Os dados pessoais dos utilizadores das plataformas colaborativas à luz do RGPD

Os dados pessoais dos utilizadores das plataformas colaborativas à luz do RGPD* https://doi.org/10.21814/uminho.ed.100.15 Anabela Susana de Sousa Gonçalves** Tiago Branco da Costa*** * Atualizado a 30 de junho de 2021. ** Professora Associada da Escola de Direito da Universidade do Minho. Investigadora do JusGov (E-Tec). *** Assistente Convidado na Escola de Direito da Universidade do Minho. Doutorando em Ciências Jurídicas Privatísticas na Escola de Direito da Universidade do Minho. Investigador do JusGov. 367ECONOMIA COLABORATIVA Resumo: A economia colaborativa tem-se afirmado como um modelo de negócio capaz de ditar uma nova interação entre a economia e a sociedade e uma das áreas em que esta interação tem levantado maior preocupação é a da proteção de dados pessoais. Se, por um lado, existe um aumento e uma facilidade da interação entre os sujeitos no tráfico jurídico negocial, e, por conseguinte, dos fluxos de dados pessoais, por outro lado, é importante refletir sobre a proteção dos dados pessoais, enquanto direito fundamental. Neste sentido, importará enquadrar esta nova realidade no panorama legal atual, clarificando em que medida convive a economia colaborativa com a proteção de dados pessoais e desvendando os principais desafios que se levantam, designadamente no que respeita à licitude do tratamento de dados, aos deveres do responsável pelo tratamento de dados e aos direitos dos titulares. Palavras-chave: Proteção de dados pessoais – economia colaborativa – plataformas digitais. Sumário: 1. A aplicação do Regulamento Geral de Proteção de Dados à economia colaborativa. 2. Fundamento do tratamento de dados: licitude e finalidades. 2.1. A licitude do tratamento de dados. 2.1.1. A execução de um contrato e as diligências pré-contratuais. 2.1.2. O consentimento do titular dos dados. 2.1.3. Interesses legítimos. 2.1.4. Outros fundamentos de licitude para o tratamento de dados. 2.2. Finalidades do tratamento de dados. 3. Os deveres dos responsáveis pelo tratamento. 4. Os direitos dos utilizadores das plataformas colaborativas enquanto titulares de dados. 5. Conclusão. Referências. Abstract: The collaborative economy is a business model capable of dictating a new interaction between the economy and society and one of the areas where this interaction has raised the most concern is regarding the protection of personal data. If, on the one hand, there is an increase and facilitation of the interaction between legal persons in the legal business traffic, and, consequently, in the cross-border flows of personal data, on the other hand, it is important to study the protection of personal data, as a fundamental right. In this sense, it will be important to fit this new reality into the current legal landscape, clarifying the extent to which the collaborative economy coexists with the protection of personal data and unveiling the 368 OS DADOS PESSOAIS DOS UTILIZADORES DAS PLATAFORMAS COLABORATIVAS... main challenges arising in this regard, namely with regard to the lawfulness of data processing, to duties of the data controller and the rights of the data subjects. Keywords: Protection of Personal Data – collaborative economy – digital platforms. Summary: 1. The application of the General Data Protection Regulation to the collaborative economy. 2. Grounds data processing: lawfulness and purposes. 2.1. The lawfulness of data processing. 2.1.1. The performance of a contract and pre-contractual steps. 2.1.2. The consent of the data subject. 2.1.3. Legitimate interests. 2.1.4. Other lawfulness grounds for data processing. 2.2. Purposes of data processing. 3. The duties of controllers. 4. The rights of users of collaborative platforms as data subjects. 5. Conclusion. References. 369ECONOMIA COLABORATIVA 1. A aplicação do Regulamento Geral de Proteção de Dados à economia colaborativa Na Agenda Europeia para a Economia Colaborativa, a Comissão Europeia define a economia colaborativa como os «(…) modelos empresariais no âmbito dos quais as atividades são facilitadas por plataformas colaborativas que criam um mercado aberto para a utilização temporária de bens ou serviços, muitas vezes prestados por particulares»1. Não obstante as dificuldades que se assinalam relativamente à definição concreta e precisa deste fenómeno2, será esta a noção de economia colaborativa que adotaremos. No referido documento, a Comissão Europeia reconhece a diversidade de configurações que as atividades da economia colaborativa podem assumir e, consequentemente, a variedade de questões jurídicas que podem produzir, sendo certo que «[c]ada relação (utilizador-plataforma; prestador de serviços-plataforma; prestador de serviços-utilizador) deve ser analisada separadamente»3. A necessidade de respeitar a regulamentação jurídica existente em matéria de proteção de dados pessoais foi uma das questões jurídicas assinaladas4. De facto, as plataformas digitais da economia colaborativa recolhem e tratam dados pessoais em grandes quantidades e estes adquirem um valor económico considerável, porque são um elemento importante para a atividade dessas plataformas. Todavia, de acordo com a posição do Comité Europeu para a Proteção de Dados (CEPD/EDPB), os 1 Comissão Europeia, Comunicação da Comissão ao Parlamento Europeu, ao Conselho, ao Comité Económico e Social Europeu e ao Comité das Regiões, Uma Agenda Europeia para a Economia Colaborativa, COM(2016) 356 final, Bruxelas, 02.06.2016, p.3. 2 V. Basselier, R.; Langenus, G.; Walravens, L., “The rise of the sharing economy”, in NBB Economic Review, iii, 2018; pp. 57-59; Makela, Finn; Mckee, Derek; Scassa, Teresa, “Introduction: The «Sharing Economy» through the Lens of Law”, in Law and the “Sharing Economy” (Coord. Derek McKee, Finn Makela, Teresa Scassa, Sabrina Tremblay-Huet), University of Ottawa Press, Canada, 2018, p. 5; Marín Anglada, Quico; Hernández Lara, Ana Beatriz, “Descripción de un caso real de economía colaborativa en el sector cultural: eventtrade”, in Comercio Internacional y Economía Colaborativa en la Era Digital. Aspectos Tributarios y Empresariales (Angél Urquizu Cavallé, Estela Rivas Nieto), Thomson Reuters Aranzadi, Navarra, 2019, p. 364; Pagès i Galtès, Joan, “Análisis fiscal de los aspectos conceptuales de la economía colaborativa en sentido estricto”, in Comercio Internacional y Economía Colaborativa en la Era Digital. Aspectos Tributarios y Empresariales (Angél Urquizu Cavallé, Estela Rivas Nieto), Thomson Reuters Aranzadi, Navarra, 2019, pp. 201-202; Valle Baudino, Paola del, “Economía colaborativa en el marco de las asociaciones sin ánimo de lucro”, in Comercio Internacional y Economía Colaborativa en la Era Digital. Aspectos Tributarios y Empresariales (Angél Urquizu Cavallé, Estela Rivas Nieto), Thomson Reuters Aranzadi, Navarra, 2019, pp. 307-308. 3 Comissão Europeia, Comunicação da Comissão ao Parlamento Europeu, ao Conselho, ao Comité Económico e Social Europeu e ao Comité das Regiões, Uma Agenda Europeia para a Economia Colaborativa, op. cit., p. 3. 4 Idem, ibidem, p. 11. 370 OS DADOS PESSOAIS DOS UTILIZADORES DAS PLATAFORMAS COLABORATIVAS... dados pessoais não podem ser considerados uma mercadoria comercializável5. Por esta razão, e para garantir a confiança dos utilizadores das atividades da economia colaborativa (como prestadores ou consumidores) e o direito fundamental à proteção dos dados pessoais, a Comissão Europeia afirmou a necessidade de as plataformas colaborativas cumprirem o quadro de regulamentação existente na União referente à proteção de dados6. A proteção de dados pessoais encontra a sua regulamentação jurídica no Regulamento (UE) 2016/679 do Parlamento e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (Regulamento Geral sobre a Proteção de Dados ou RGPD), que visa a concretização da proteção de dados pessoais, enquanto direito fundamental, nos termos estabelecidos no art. 8.º da Carta dos Direitos Fundamentais da União Europeia. Na ordem jurídica portuguesa, o RGPD é executado pela Lei n.º 58/2019, de 8 de agosto (Lei da Proteção de Dados Pessoais). A primeira questão a analisar é em que circunstâncias as atividades da economia colaborativa estão abrangidas pelo âmbito de proteção do RGPD. De acordo com o art. 2.º, n.º 1, do RGPD, este é aplicável ao «tratamento de dados pessoais por meios total ou parcialmente automatizados, bem como ao tratamento por meios não automatizados de dados pessoais contidos em ficheiros ou a eles destinados», sendo excluídas da sua aplicação as situações identificadas no n.º 2 da referida disposição legal. Uma dessas exclusões é o tratamento de dados pessoais efetuado por uma pessoa singular no exercício de atividades exclusivamente pessoais ou domésticas, o que significa a inaplicabilidade do RGPD quando não estejam em causa atividades profissionais ou comerciais. Contudo, o considerando 18 do RGPD esclarece que o «(…) regulamento é aplicável aos responsáveis pelo tratamento e aos subcontratantes que forneçam os meios para o tratamento dos dados pessoais dessas atividades pessoais ou domésticas». Ainda assim, 5 Comité Europeu para a Proteção de Dados, Diretrizes 2/2019 sobre o tratamento de dados pessoais ao abrigo do artigo 6.º, n.º 1, alínea b), do RGPD no contexto da prestação de serviços em linha aos titulares dos dados, p. 16, disponível em https://edpb.europa.eu/sites/edpb/files/files/file1/edpb_guidelines- -art_6-1-b-adopted_after_public_consultation_pt.pdf, consultado em 01.04.2021. 6 Comissão Europeia, Comunicação da Comissão ao Parlamento Europeu, ao Conselho, ao Comité Económico e Social Europeu e ao Comité das Regiões, Uma Agenda Europeia para a Economia Colaborativa, op.cit., p. 11. 371ECONOMIA COLABORATIVA concordamos que não é fácil estabelecer quando é que uma atividade é pessoal ou doméstica7. No domínio particular das plataformas colaborativas, atendendo à complexidade das relações estabelecidas entre os diversos sujeitos participantes, podemos identificar situações que ficam abrangidas pelo âmbito de aplicação material do RGPD e outras que se encontram excluídas, consoante a natureza das pessoas que intervêm e a qualidade que reúnem ou não de comerciantes. Além disso, como foi reconhecido pelo Comité das Regiões Europeu, as atividades da economia colaborativa podem ser realizadas com fins lucrativos ou sem fins lucrativos8. Segundo Alarcón Sevilla, nas plataformas colaborativas lucrativas, incluir-se-iam aquelas que ligam oferta e procura online num setor específico, em que o lucro resulta geralmente de uma percentagem que é aplicada ao preço do serviço, que tomam decisões alimentadas por razões económicas ou comerciais, e como forma de controlo selecionam o prestador do serviço9. Ora, é mais fácil a associação das plataformas colaborativas lucrativas à atividade profissional ou comercial. Quando a entidade que explora a plataforma digital é uma pessoa coletiva, que atua no âmbito da sua atividade comercial ou profissional, as relações quer em relação ao utilizador, quer em relação ao prestador de serviços ou vendedor estarão abrangidas pelo RGPD. Por seu turno, quando a entidade exploradora da plataforma digital for uma pessoa singular, a mesma estará igualmente incluída no âmbito de aplicação material do RGPD, quer esta a explore no âmbito da sua atividade profissional, quer não o faça nessa qualidade, já que, figurando como algo público ou divulgado entre um grupo indefinido de sujeitos, a mesma deixará de ser, necessariamente, classificada como uma atividade pessoal ou doméstica10. Deste modo, quando nos referimos ao tratamento de dados que resulta da interação entre este tipo de plataformas colaborativas e o utilizador, em princípio, estaremos dentro do âmbito de aplicação do RGPD. 7 No mesmo sentido, Alarcón Sevilla, Verónica, “Los dados personales de los usuarios en la economía colaborativa: protección o negocio?”, in Retos Jurídicos de la Economía Colaborativa en el Contexto Digital (Rosalía Alfonso Sánchez, Julián Valero Torrijos), Thomson Reuters Aranzadi, Navarra, 2017, p. 123; Hatzopoulos, Vassilis, The Collaborative Economy and EU Law, Bloomsbury Hart Publishing, Oxford and Portland, 2018, p. 73. 8 Comité das Regiões Europeu, Parecer do Comité das Regiões Europeu – A economia colaborativa e as plataformas em linha: Visão partilhada dos municípios e das regiões, JO C 185, 09.06.2017, p. 24. 9 Alarcón Sevilla, Verónica, op. cit., p. 126. 10 Neste sentido, vd. Pinheiro, Alexandre Sousa et al., Comentário ao Regulamento Geral de Proteção de Dados, Coimbra, Almedina, 2018, p.106. 372 OS DADOS PESSOAIS DOS UTILIZADORES DAS PLATAFORMAS COLABORATIVAS... Em relação às plataformas colaborativas, é ainda necessário fazer outra distinção, entre aquelas que são puramente intermediárias e aquelas que exercem um controlo sobre o serviço. O art. 14.º da Diretiva 2000/31/CE do Parlamento Europeu e do Conselho de 8 de junho de 2000 relativa a certos aspetos legais dos serviços da sociedade de informação, em especial do comércio eletrónico, no mercado interno (Diretiva sobre o Comércio Eletrónico), estabelece que não pode ser invocada a responsabilidade das plataformas em linha pelo conteúdo das informações que armazenam, nas condições indicadas na norma. Esta exoneração de responsabilidade apenas funciona para uma plataforma da economia colaborativa naquelas situações em que a atividade da mesma é meramente passiva, ou seja, a «(…) plataforma colaborativa não [desempenhe] um papel ativo que lhe faculte o conhecimento ou o controlo de informação ilegal ou, a partir do momento em que tenha conhecimento dessa informação, atue com diligência no sentido de retirar ou impossibilitar o acesso às informações»11. Esta análise terá de ser feita casuisticamente, e aplica-se apenas às informações armazenadas e não a outros serviços ou atividades da própria plataforma que impliquem tratamento de dados12. Em contrapartida, se existir direção ou controlo sobre a atividade económica dos prestadores ou usuários, já não gozarão desta exceção13. A questão poderá conhecer outros contornos quando estejamos a observar a relação que se estabelece entre o prestador de serviços e o utilizador, quando estiver em causa uma relação entre dois particulares que atuem a título pessoal, isto é, duas pessoas singulares cuja atuação nada tem que ver com fins profissionais ou comerciais. O tratamento de dados no âmbito desta relação estará excluído do âmbito de aplicação do RGPD. Note-se que o titular dos dados tanto pode ser o prestador dos serviços, como o usuário (consumidor), desde que esteja em causa uma pessoa singular, porque o RGPD apenas protege os dados pessoais das pessoas singulares, como resulta do art. 4.º, n.º 1, e do considerando 14 do RGPD, não abrangendo o tratamento de dados pessoais relativos a pessoas coletivas14. 11 Comissão Europeia, Comunicação da Comissão ao Parlamento Europeu, ao Conselho, ao Comité Económico e Social Europeu e ao Comité das Regiões, Uma Agenda Europeia para a Economia Colaborativa, op. cit., p. 8. 12 Neste sentido, Hatzopoulos, Vassilis, op. cit., p. 73. 13 Neste sentido, Alarcón Sevilla, Verónica, op. cit., p. 126. 14 Cfr. Comissão Europeia, Proposta de Regulamento do Parlamento Europeu e do Conselho relativo ao respeito pela vida privada e  proteção dos dados pessoais nas comunicações eletrónicas e que revoga a Diretiva 2002/58/CE (Regulamento relativo  privacidade e s comunicações eletrónicas 373ECONOMIA COLABORATIVA O prestador do serviço e o usuário introduzem os seus dados pessoais na plataforma colaborativa. Esta, por sua vez, tendo os dados registados no seu sistema informático, faz o tratamento dos mesmos, decidindo a(s) finalidade(s), os meios de tratamento e o uso que faz deles, assumindo, assim, o papel de responsável pelo tratamento, nos termos do art. 4.º, n.º7. Já o prestador de serviços, frequentemente, assumirá o papel de subcontratante, nos termos do art. 4.º, n.º 8, quando, de acordo com o contrato que estabeleceu com a plataforma colaborativa, usa estes dados pessoais para se conectar com o usuário e prestar o serviço em causa, respeitando as instruções do responsável pelo tratamento. Todavia, as posições de responsável pelo tratamento de dados e de subcontratante são muito próximas e a sua delimitação está dependente, no caso em concreto, da análise da determinação das finalidades e dos meios de tratamento, o que pode colocar a plataforma e o prestador de serviços quer no papel de responsável pelo tratamento, quer de subcontratante, consoante o seu modelo de organização e negócio em causa. Não podemos, contudo, ignorar a possibilidade de ambos os sujeitos serem considerados responsáveis pelo tratamento, na aceção do art. 26.º do RGPD, quando determinem conjuntamente as finalidades e os meios desse tratamento de dados pessoais. Além disso, a aplicação do RGPD precisa também de respeitar o seu âmbito espacial, estabelecido no art. 3.º. Para o efeito, é necessário que o tratamento dos dados, ocorrendo dentro ou fora da União, seja efetuado no contexto das atividades de um estabelecimento de um responsável pelo tratamento ou de um subcontratante situado no território da União (art. 3.º, n.º 1). Ou seja, nesta situação, basta a plataforma colaborativa estar situada na União para lhe ser aplicada o regime do RGPD. Todavia, o art. 3.º, n.º 2, estende a aplicação do RGPD àquelas situações em que a plataforma colaborativa não tem um estabelecimento localizado na União que seja relevante para as atividades de tratamento de dados em causa. De acordo com a norma, o RGPD é aplicável ao tratamento de dados pessoais dos titulares de dados que estejam na União, realizado por um responsável pelo tratamento ou subcontratante não estabelecido na União Europeia, desde que as atividades de tratamento estejam relacionadas: com a oferta de bens ou serviços a esses titulares de dados, independentemente de ser exigido um pagamento do titular; ou com a monitorização do comportamento desses titulares de dados, na medida em que o comportamento tenha lugar na União. Desta COM/2017/010 final – 2017/03 (COD), disponível em https://eur-lex.europa.eu/legal-content/PT/ TXT/?uri=celex%3A52017PC0010. O desiderato deste diploma, cujo processo legislativo se encontra em curso, é o de assegurar um nível equivalente de proteção das pessoas singulares e coletivas e a livre circulação de dados de comunicações eletrónicas na União (considerando 42 e art. 1.º). 380 OS DADOS PESSOAIS DOS UTILIZADORES DAS PLATAFORMAS COLABORATIVAS... terceiros ou organizações internacionais na ausência de garantias adequadas e das decisões individuais automatizadas, incluindo definição de perfis. Em qualquer dos casos, o consentimento do titular de dados poderá ser revogado a todo o tempo36, sem que, contudo, seja colocada em causa a validade do tratamento ocorrido até então, e de forma tão fácil quanto aquela que se estabeleceu para a sua concessão. 2.1.3. Interesses legítimos O tratamento de dados será lícito se o tratamento for necessário para efeito dos interesses legítimos prosseguidos pelo responsável pelo tratamento de dados ou por terceiros, de acordo com o art. 6.º, n.º 1, alínea f), do RGPD. Este fundamento de licitude é aquele que mais dúvidas suscita, tendo em conta que, ao invés dos restantes, assenta nos interesses (lícitos e legítimos) do responsável pelo tratamento de dados ou de terceiros. Vejamos em que medida. A primeira dificuldade que se assinala diz respeito à interpretação do conceito indeterminado “interesses legítimos”. A este respeito, pese embora não seja oferecida uma definição para o termo em questão, são avançados alguns exemplos, concretamente nos considerandos 47 a 49 do RGPD37. Importa, em primeiro lugar, clarificar que o interesse «é o objetivo mais abrangente que o responsável pelo tratamento pode ter no tratamento, ou o benefício que o responsável pelo tratamento retira – ou que a sociedade pode retirar – do tratamento»38. Quando o responsável pelo tratamento for uma pessoa coletiva, este trabalho de delimitação do interesse (que deve ser legal) surge mais facilitado, pois esta pessoa estará sempre circundada pelo fim a que se destina. Deste modo, a entidade que explora a plataforma colaborativa ou o vendedor/prestador de serviços deve ater-se ao seu propósito natural, ao seu fim. Por seu turno, quando estejamos perante uma pessoa singular, para que o tratamento de dados esteja subordinado ao 36 Esta é uma proteção importante para o titular de dados, pois, como refere Cordeiro, A. Barreto Menezes, Direito da Proteção de Dados…, op. cit., p. 188, isto permite acautelar eventuais evoluções tecnológicas que permitam que o responsável pelo tratamento obtenha mais informações dos seus dados pessoais do que aquelas que o titular dos dados quer fornecer. 37 Grupo de Trabalho do Artigo 29.º para a Proteção de Dados, Parecer 06/2014 sobre o conceito de interesses legítimos do responsável pelo tratamento dos dados na aceção do artigo 7.º da Diretiva 95/46/CE, p. 39, disponível em https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2014/wp217_pt.pdf, consultado em 01.04.2021. 38 Idem, ibidem, p. 38. 381ECONOMIA COLABORATIVA cumprimento das regras previstas no RGPD, a sua atuação deverá circunscrever-se a uma atuação comercial ou profissional, pelo que o conceito de interesse também só poderá ser entendido neste domínio. O passo seguinte referente à classificação do interesse como legítimo afigura-se de difícil concretização, pelo que terá de submeter-se este interesse ao teste da ponderação39. Este teste de ponderação é-nos exigido pelo RGPD, no sentido de pesar, por um lado, os interesses legítimos em apreço e, por outro lado, os interesses ou direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais (em especial se o titular for uma criança). Este deve ter em conta os seguintes aspetos: (i) avaliação do interesse legítimo do responsável pelo tratamento, (ii) impacto nas pessoas em causa; (iii) equilíbrio provisório; e (iv) garantias complementares aplicadas pelo responsável pelo tratamento para evitar qualquer impacto indevido nas pessoas em causa40. Ademais, outra dificuldade ou fragilidade se avizinha: o responsável pelo tratamento de dados decidirá se estamos ou não perante um interesse legítimo próprio ou de terceiro, deverá levar a cabo o teste de ponderação, determinará a realização ou a não realização do tratamento, as operações de tratamento e a forma como serão levadas a cabo. A posição que o responsável pelo tratamento de dados assume neste domínio em particular coloca o titular de dados numa situação de especial vulnerabilidade e/ou exposição, pois, apesar dos deveres e obrigações a que o responsável pelo tratamento se encontra adstrito, a verdade é que o titular de dados pode facilmente perder o controlo quanto ao tratamento dos seus dados pessoais41. 2.1.4. Outros fundamentos de licitude para o tratamento de dados No domínio da licitude do tratamento de dados pessoais, existem outros fundamentos que o poderão legitimar e que estão previstos no art. 6.º do RGPD. Na alínea c) do n.º 1 do art. 6.º do RGPD, estabelece-se como fundamento de tratamento a necessidade de cumprimento de uma obrigação legal42 por parte do responsável pelo tratamento de dados. A este respeito importa 39 Idem, ibidem, p. 40. De acordo com Pinheiro, Alexandre Sousa et al., op. cit., p. 224, será importante ter em conta a posição jurídica e a expectativa das partes. 40 Comité Europeu para a Proteção de Dados, Parecer 06/2014, op. cit., p. 52. 41 Cfr. Cordeiro, A. Barreto Menezes, Direito da Proteção de Dados…, op. cit., p. 224. 42 Sobre a terminologia empregue no RGPD – “obrigação jurídica” –, vd. Cordeiro, A. Barreto Menezes, Direito da Proteção de Dados… , op. cit., p. 213. 382 OS DADOS PESSOAIS DOS UTILIZADORES DAS PLATAFORMAS COLABORATIVAS... referir que esta necessidade de cumprimento deve ser efetiva e resultar claramente da lei (nacional ou da União), encontrando-se esta obrigação legal de tratamento sujeita a dois limites: o do interesse público e o da proporcionalidade43. Com efeito, esta cláusula poderá também surgir frequentemente no domínio da utilização das plataformas colaborativas, na medida em que a interação do utilizador com o vendedor ou prestador de serviços, ou do utilizador com a plataforma, ou ainda entre a plataforma e o vendedor ou prestador de serviços origine o cumprimento de uma obrigação legal que implique, por sua vez, uma qualquer operação de tratamento de dados (v.g., emissão de uma fatura-recibo). Este será, então, mais um dos fundamentos de licitude que, facilmente, poderá ser acoplado a um outro, como seja, por exemplo, o da execução de um contrato. Por seu turno, o fundamento da defesa dos interesses vitais do titular ou de terceiros, previsto no art. 6.º, n.º 1, alínea d), do RGPD, tem um campo de aplicação mais restrito, na medida em que o conceito de “interesses vitais” assim o obriga. Por outro lado, conforme se assinala na doutrina, o tratamento de dados que ocorra nestas circunstâncias tenderá a respeitar a dados relativos à saúde44. Por estas razões, este fundamento de licitude do tratamento de dados não deverá assumir um papel significativo neste domínio, embora tenhamos de reconhecer a sua presença, mormente no domínio da prestação de cuidados de saúde, onde se conhecem já diversas plataformas colaborativas45. Por fim, prevê, ainda, o art. 6.º, n.º 1, alínea e), do RGPD a licitude do tratamento de dados quando este seja necessário ao exercício de funções de interesse público ou ao exercício da autoridade pública de que está investido o responsável pelo tratamento de dados. Este fundamento reclama também particular atenção, na medida em que no domínio do direito público, onde um dos sujeitos atua dotado do seu ius imperium, será um dos fundamentos com maior aplicabilidade46. 43 Cfr. art. 6.º, n.os 2 e 3, do RGPD. 44 Cfr. art. 9.º, n.º 1, alínea c), do RGPD; Cordeiro, A. Barreto Menezes, Direito da Proteção de Dados…, op. cit., pp. 204-206. 45 Gonçalves, Anabela Susana de Sousa; Cruz, Catarina, A economia colaborativa na saúde, nesta obra coletiva, pp. 235-249. 46 Cordeiro, A. Barreto Menezes, Direito da Proteção de Dados…, op. cit., pp. 219-222. 383ECONOMIA COLABORATIVA 2.2. Finalidades do tratamento de dados O tratamento de dados pessoais lícito respeita o princípio da limitação das finalidades, o que significa que os dados pessoais devem ser recolhidos para finalidades determinadas, explícitas e legítimas. Não podemos ignorar que este princípio basilar, patente no art. 5.º, n.º 1, alínea b), do RGPD, não vive isolado, mas, pelo contrário, concretiza e é concretizado pelo princípio da licitude (ao qual aludimos supra), pelo princípio da lealdade e pelo princípio da transparência, na medida em que permite informar o titular dos fins do tratamento, dos riscos associados, das regras desse tratamento, das garantias e dos direitos que assistem ao titular. Cumpre, antes de mais, clarificar o conceito de finalidade, devendo ser entendido como «razão específica pela qual os dados são tratados: o objetivo ou a intenção do tratamento de dados»47. Definida a finalidade, o responsável pelo tratamento de dados deve procurar o fundamento de licitude que lhe permita proceder ao tratamento de dados de forma lícita. E, encontrado esse fundamento, terá necessariamente de o respeitar no futuro, sob pena de o desvirtuar e de, por conseguinte, o tratamento de dados ser considerado ilícito. A lógica subjacente é a de impedir o responsável pelo tratamento de levar a cabo operações de tratamento de dados que não condigam com o objetivo principal delineado e sirvam, antes, para prosseguir outros interesses do responsável pelo tratamento de dados ou de terceiros e, assim, alargar o espectro de operações de tratamento. Não obstante, pese embora a regra geral seja a de limitar as finalidades do tratamento, impedindo-se um tratamento que extravase as finalidades inicialmente definidas, a título excecional, esse alargamento poderá verificar-se. Os requisitos legais de que depende a extensão da licitude do tratamento de dados pessoais são quatro: (i) o tratamento de dados deve prosseguir um fim distinto (diverso ou mais extenso) daquele para o qual os dados pessoais do titular foram inicialmente recolhidos; (ii) não haja consentimento do titular para esse tratamento para outros fins; (iii) o tratamento para outros fins não seja operado com base em disposições do direito da União ou dos Estados-Membros, que constituam uma medida necessária e proporcionada numa sociedade democrática para salvaguardar os objetivos referidos no art. 23.º, n.º 1, do RGPD – (a) a segurança do Estado; (b) a defesa; (c) a segurança pública; (d) a prevenção, investigação, deteção ou repressão de infrações penais, ou a execução de sanções penais, 47 Comité Europeu para a Proteção de Dados, Parecer 06/2014, op. cit., p. 38. 384 OS DADOS PESSOAIS DOS UTILIZADORES DAS PLATAFORMAS COLABORATIVAS... etc. – ; e (iv) a compatibilidade entre o tratamento para outros fins e a finalidade para a qual os dados pessoais foram inicialmente recolhidos. 3. Os deveres dos responsáveis pelo tratamento Conforme tivemos oportunidade de assinalar supra, apesar das diferentes naturezas que as relações estabelecidas no contexto da economia colaborativa podem assumir entre os diversos sujeitos, os responsáveis pelo tratamento e os subcontratantes que forneçam os meios para o tratamento dos dados pessoais de atividades pessoais ou domésticas sempre estarão obrigados ao cumprimento do regime legal instituído pelo RGPD. Neste sentido, a pessoa, singular ou coletiva, encarregue de explorar a plataforma colaborativa sempre será considerada responsável pelo tratamento ou subcontratante, nos termos do RGPD. A questão que se coloca de seguida e a que tem um maior impacto para a esfera jurídica do titular dos dados é a de saber se o vendedor/prestador de serviços é ou não um responsável pelo tratamento ou subcontratante ao abrigo do RGPD. E, mais, interessará igualmente saber se esta pessoa e o tratamento de dados que eventualmente levará a cabo estarão ou não abrangidos pelo RGPD. Uma vez que esta questão foi já abordada nos capítulos antecedentes, vamo-nos escusar de a abordar novamente com o mesmo pormenor, relembrando apenas que a atividade deste vendedor/prestador de serviços estará abrangida pelo RGPD sempre que desenvolva uma atividade comercial ou profissional e no âmbito da mesma proceda ao tratamento de dados pessoais. Assim sendo, cumprirá, agora, sublinhar os deveres a que o responsável pelo tratamento e o subcontratante estarão adstritos. Em primeiro lugar, diríamos que o responsável pelo tratamento sempre estará obrigado a cumprir os preceitos legais previstos no RGPD e nos demais diplomas legais que o complementam, bem como a assegurar o respeito pelos direitos dos titulares e o cumprimento dos princípios basilares que se estabelecem no art. 5.º do RGPD, e que depois vêm a ser concretizados pelas subsequentes disposições legais – princípio da licitude, lealdade e transparência, princípio da limitação das finalidades, princípio da minimização dos dados, princípio da exatidão, princípio da limitação da conservação, princípio da integridade e confidencialidade e princípio da responsabilidade. Oresponsável pelo tratamento de dados deve, assim, ao abrigo do princípio da licitude, lealdade e transparência, facultar ao titular de dados, 385ECONOMIA COLABORATIVA aquando da recolha dos seus dados, um conjunto alargado de informações sobre o tratamento que se pretende levar a cabo (arts. 13.º e 14.º do RGPD), e, ao longo da relação, todas as informações atinentes aos direitos do titular e ao seu exercício. A informação deve ser concisa, transparente, inteligível e de fácil acesso, privilegiando-se uma linguagem clara e simples, de acordo com o art. 12.º do RGPD. Ademais, o responsável pelo tratamento de dados está obrigado a aplicar as medidas técnicas e organizativas que se afigurem adequadas a assegurar e poder comprovar que o tratamento de dados é realizado em conformidade com o RGPD, bem como a assegurar um nível de segurança adequado ao risco. Neste particular, cada responsável pelo tratamento deverá, casuisticamente, atendendo à natureza, ao âmbito, ao contexto e às finalidades do tratamento de dados, aos riscos para os direitos e liberdades das pessoas singulares, as técnicas mais avançadas e os custos de aplicação, ponderar a adoção dessas medidas (art. 32.º do RGPD). Por outro lado, o responsável pelo tratamento de dados poderá estar sujeito ao registo de todas as operações de tratamento de dados, caso se trate de uma empresa ou organização com mais de 250 trabalhadores, caso o tratamento seja suscetível de implicar um risco para os direitos, liberdades e garantias dos titulares, não seja ocasional ou caso abranja categorias especiais de dados (art. 30.º do RGPD). Estes preceitos contribuem, deste modo, para a concretização dos princípios da integridade, da confidencialidade e da responsabilidade48. A respeito deste último, devemos ainda sublinhar que a entidade exploradora da plataforma colaborativa e o vendedor/prestador de serviços poderão assumir diferentes papéis, consoante definam ou não as finalidades e os meios de tratamento de dados pessoais. Ademais, poderemos também assistir a uma outra realidade, aquela em que vários sujeitos exploram em conjunto uma plataforma colaborativa, cabendo neste caso ponderar se e em que medida todos definem as finalidades e os meios de tratamento. De qualquer modo, e pese embora a lei reconheça a possibilidade de os vários responsáveis pelo tratamento de dados distribuírem entre si a responsabilidade e o papel que cada um assumirá perante 48 Sobre estes princípios e as disposições legais que os concretizam, v. Gonçalves, Anabela Susana de Sousa, “O tratamento de dados pessoais no Regulamento Geral de Proteção de Dados”, op.cit., pp.173-179. 386 OS DADOS PESSOAIS DOS UTILIZADORES DAS PLATAFORMAS COLABORATIVAS... o titular de dados, a verdade é que estamos perante uma relação interna à qual o titular deve ser alheio49. Destarte, no que à dimensão externa diz respeito, de acordo com o art.26.º, n.º3, do RGPD, o titular dos dados poderá validamente exercer os seus direitos contra qualquer um dos responsáveis conjuntos, independentemente da responsabilidade que cada um deles assumiu em relação aos restantes, pois o art. 26.º, n.º 1, do RGPD estabelece que quando há uma pluralidade de responsáveis pelo tratamento, em que determinam as finalidades e os meios de tratamento, ambos são responsáveis conjuntos pelo tratamento. Como refere A. B. Menezes Cordeiro, «[é] irrelevante se apenas um dos sujeitos tem o controlo físico do sistema que procede aos tratamentos ou se para o exterior tudo se desenrola como se o tratamento fosse realizado por apenas um responsável. Os propósitos prosseguidos podem não ser os mesmos, mas deverá sempre existir um qualquer tipo de relação – p.e.: várias empresas criam uma plataforma comum na Internet para prosseguir finalidades próprias»50. No que concerne à sua responsabilidade perante o titular de dados, ambos responderão, nos termos do disposto nos arts. 79.º e 82.º do RGPD51, quando o titular dos dados entenda ter havido violação dos direitos que lhe assistem, na sequência de um tratamento desconforme e tenha sofrido danos materiais ou imateriais devido a essa violação. 4. Os direitos dos utilizadores das plataformas colaborativas enquanto titulares de dados Aos utilizadores das plataformas colaborativas, na qualidade de titulares de dados, são-lhes reconhecidos o direito à informação (arts. 13.º e 16.º), o direito de acesso (art. 15.º), o direito de corrigir, apagar e limitar (arts.16.º 49 Note-se que o art. 26.º, n.º 2, do RGPD estabelece que a essência do acordo fixado entre os responsáveis pelo tratamento é disponibilizada ao titular dos dados. 50 Cordeiro, A. Barreto Menezes, Direito da Proteção de Dados…, op. cit., pp. 311-314. 51 Cordeiro, A. Barreto Menezes, Da responsabilidade civil pelo tratamento de dados pessoais [em linha], Blook [Consult. 05 abr. 2021], disponível em https://blook.pt/publications/publication/2ae6399f13bb/; Barbosa, Mafalda Miranda, “Data controllers e data processors: da responsabilidade pelo tratamento de dados à responsabilidade civil”, in Revista de Direito Comercial, n.º 2, março de 2018, pp. 423-493; Costa, Tiago Branco da, “A responsabilidade civil decorrente da violação do Regulamento Geral sobre a Proteção de Dados”, in UNIO E-BOOK 2019: O Mercado Único Digital da União Europeia como desígnio político: a interoperabilidade como o caminho a seguir (Alessandra Silveira; Joana Covelo de Abreu; Larissa Coelho), Pensamento Sábio – Associação para o conhecimento e inovação, Escola de Direito da Universidade do Minho, Braga, 2019, pp. 68-77. 387ECONOMIA COLABORATIVA a19.º), o direito de oposição (art. 21.º), o direito a não ser alvo de decisões automatizadas (art. 22.º), o direito à portabilidade (art. 20.º) e o direito à comunicação de violação de dados pessoais (art. 34.º). O direito à informação é o contraponto, em bom rigor, do dever de o responsável pelo tratamento de dados facultar ao titular de dados, aquando da recolha dos seus dados, um conjunto alargado de informações sobre o tratamento que se pretende levar a cabo, e, ao longo da relação, todas as informações atinentes aos direitos do titular e ao seu exercício (arts. 13.º e 14.º do RGPD). Por sua vez, o titular dos dados tem o direito de obter, do responsável pelo tratamento, a confirmação de que os seus dados pessoais são ou não objeto de tratamento; e, em caso afirmativo, o direito de aceder aos seus dados e a outras informações, como sejam as finalidades do tratamento dos dados, as categorias dos dados pessoais em questão, o direito de apresentar reclamação a uma autoridade de controlo, os destinatários ou categorias de destinatários a quem os dados pessoais foram ou serão divulgados, nomeadamente os destinatários estabelecidos em países terceiros ou pertencentes a organizações internacionais, entre outros (art. 5.º, alíneas a) a h), do RGPD). É nisto que se traduz o seu direito de acesso. Ademais, além de poder aceder aos seus dados, o titular pode também retificá-los ou completá-los (art. 16.º do RGPD), assim como poderá exigir o seu apagamento, sem demora injustificada (art. 17.º do RGPD), ou a sua limitação (art. 18.º do RGPD). A retificação e a completude dos dados concretizam o princípio da exatidão, plasmado no art. 5.º, n.º 1, alínea d), do RGPD. Por sua vez, o direito à limitação e o direito ao apagamento figuram como concretização do princípio da minimização dos dados, também consagrado no art. 5.º do RGPD. Este último direito ao apagamento, quando exercido, implica que o responsável pelo tratamento comunique a cada destinatário a quem os dados pessoais tenham sido transmitidos o apagamento dos dados (art. 19.º do RGPD). Só assim não será se a comunicação se revelar impossível ou implicar um esforço desproporcionado. Note-se que o exercício deste direito no contexto da utilização das plataformas colaborativas pode implicar uma alteração significativa da relação outrora celebrada. Na verdade, cumpre perceber em que moldes esta relação é configurada, para conseguirmos descortinar o resultado desta operação. Com efeito, o utilizador interage, primeiramente, com a plataforma 388 OS DADOS PESSOAIS DOS UTILIZADORES DAS PLATAFORMAS COLABORATIVAS... colaborativa, no sentido de encontrar a proposta negocial que lhe agrade ou satisfaça, e de oferecer todas as informações que sejam necessárias para a celebração do negócio. Por sua vez, a plataforma colaborativa transmitirá, necessariamente, essa informação ao vendedor/prestador de serviços, para que seja possível a celebração do negócio final. Sem esta comunicação entre a plataforma colaborativa e o vendedor/prestador de serviços, não teremos negócio (pelo menos por via da plataforma). Dito isto, constatamos que, caso o titular dos dados pretenda exercer o seu direito ao apagamento junto da entidade exploradora da plataforma colaborativa, esta estará obrigada a comunicá-lo, nos termos do disposto no art. 19.º do RGPD, aos destinatários a quem os dados tenham sido transmitidos, portanto, pelo menos, aos vendedores/prestadores de serviços. Caso assim não o faça, podemos estar perante um tratamento ilícito, pois, consoante os contornos de cada caso, podemos, com o exercício deste direito pelo titular, ter perdido o fundamento legal para o seu tratamento (p.e., no caso do consentimento do titular para o tratamento de dados). No entanto, o titular dos dados poderá exercer este seu direito diretamente sobre o vendedor/prestador de serviços, quando este esteja abrangido pelo âmbito de aplicação material do RGPD, e, se assim for, o impacto do exercício deste direito será, por princípio, mais circunscrito. Ao elenco destes direitos, que transitam da anterior Diretiva, junta-se agora o direito à portabilidade dos dados, que concede ao titular a possibilidade de receber os dados pessoais que lhe digam respeito e que tenha facultado a um responsável pelo tratamento, num formato estruturado de uso corrente e de leitura automática e de os transmitir a outro responsável, o que deverá ocorrer diretamente entre os responsáveis pelo tratamento de dados (art. 20.º do RGPD). Além disso, assiste ao titular o direito de oposição, a qualquer momento, por motivos relacionados com a sua situação particular, ao tratamento dos seus dados pessoais (art. 21.º do RGPD). Neste domínio, poderá ainda o titular opor-se, particularmente, à sujeição a decisões individuais automatizadas (art. 21.º, n.º 5, do RGPD). Por fim, mas não menos importante, reconhece-se ao titular dos dados um direito de informação sobre a violação de dados pessoais, suscetível de implicar um elevado risco para os seus direitos e liberdades (arts. 33.º e 34.º do RGPD). 389ECONOMIA COLABORATIVA O utilizador da plataforma terá assim ao seu dispor um leque alargado de direitos que poderá exercer, diretamente, junto do responsável pelo tratamento de dados. Contudo, esse exercício individual poderá não ser suficiente para garantir o resultado final pretendido ou poderá o titular dos dados ter intenção de exigir uma indemnização ou compensação pelos danos que o tratamento de dados lhe tenha causado na sua esfera jurídica. Deste modo, cumpre referir, muito brevemente, os meios de tutela dos direitos dos titulares de dados, que se encontram consagrados no RGPD. Os titulares de dados têm, desde logo, ao seu dispor o direito de apresentar uma reclamação junto de uma autoridade de controlo, em especial no Estado-Membro da sua residência habitual, do seu local de trabalho, ou do local onde foi, alegadamente, praticada a infração (art. 77.º do RGPD). Ademais, poderá o titular dos dados intentar uma ação judicial contra uma autoridade de controlo, quando entenda que uma qualquer decisão da mesma coloca em causa os seus direitos ou lhe causa prejuízo (art. 78.º do RGPD). Em terceiro lugar, surge, ainda, o direito de avançar judicialmente contra o responsável pelo tratamento de dados ou o subcontratante, nos casos em que o titular entenda ter havido uma violação dos direitos que lhe assistem, na sequência de um tratamento dos seus dados pessoais ao arrepio dos preceitos legais em vigor. Esta ação judicial a intentar contra o responsável pelo tratamento de dados ou subcontratante poderá comportar o direito de indemnização, previsto no art. 82.º do RGPD, nos termos do qual qualquer pessoa que tenha sofrido danos materiais ou imateriais, devido a uma violação do RGPD, tem direito a receber uma indemnização do responsável pelo tratamento ou do subcontratado pelos danos sofridos52. A responsabilidade que recai sobre o responsável pelo tratamento de dados é resultante da violação à lei, isto é, da promoção de um tratamento de dados desconforme com os princípios e regras ínsitos no RGPD (art.82.º, n.º1, 1.ª parte). Por sua vez, a responsabilidade que recai sobre o subcontratante resulta do incumprimento das obrigações que especialmente lhe são dirigidas nos termos do RGPD, ou das instruções que lhe tenham sido facultadas pelo responsável pelo tratamento de dados (art. 82.º, n.º 1, 2.ªparte). 52 Para mais desenvolvimentos, v. Cordeiro, A. Barreto Menezes, Da responsabilidade civil pelo tratamento de dados pessoais, op. cit.; Barbosa, Mafalda Miranda, “Data controllers e data processors…”, op. cit., pp. 438-492; Costa, Tiago Branco da, “Proteção de dados pessoais: da Diretiva ao Regulamento Geral sobre a Proteção de Dados”, in Desafios do Direito no Século XXI: uma reflexão luso-brasileira sob o signo interdisciplinar (Isabel Celeste M. Fonseca; Larissa Coelho), Escola de Direito da Universidade do Minho, Centro de Investigação em Justiça e Governação, Braga, 2019, pp. 93-114. 396 OS DADOS PESSOAIS DOS UTILIZADORES DAS PLATAFORMAS COLABORATIVAS... Hatzopoulos, Vassilis, The Collaborative Economy and EU Law, Bloomsbury Hart Publishing, Oxford and Portland, 2018. Grupo de Trabalho do Artigo 29.º para a Proteção de Dados, Parecer 06/2014 sobre o conceito de interesses legítimos do responsável pelo tratamento dos dados na aceção do artigo 7.º da Diretiva 95/46/CE, p. 39, disponível em https://ec.europa.eu/justice/article-29/documentation/opinion- -recommendation/files/2014/wp217_pt.pdf, consultado em 01.04.2021. Koppernock, Martin, Das Grundrecht auf bioethische Selbstbestimmung, Zur Rekonstruktion des allgemeinem Persönlichkeitsrechts, Nomos Verlag, Baden, 1997. Makela, Finn; Mckee, Derek; Scassa, Teresa, “Introduction: The «Sharing Economy» through the Lens of Law”, in Law and the “Sharing Economy” (Coord. Derek McKee, Finn Makela, Teresa Scassa, Sabrina Tremblay-Huet), University of Ottawa Press, Canada, 2018. Marín Anglada, Quico; Hernández Lara, Ana Beatriz, “Descripción de un caso real de economía colaborativa en el sector cultural: eventtrade”, in Comercio Internacional y Economía Colaborativa en la Era Digital. Aspectos Tributarios y Empresariales (Angél Urquizu Cavallé, Estela Rivas Nieto), Thomson Reuters Aranzadi, Navarra, 2019. Pagès i Galtès, Joan, “Análisis fiscal de los aspectos conceptuales de la economía colaborativa en sentido estricto”, in Comercio Internacional y Economía Colaborativa en la Era Digital. Aspectos Tributarios y Empresariales (Angél Urquizu Cavallé, Estela Rivas Nieto), Thomson Reuters Aranzadi, Navarra, 2019. Pinheiro, Alexandre Sousa, “Apresentação do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016 – Regulamento Geral de Proteção de Dados (RGPD)”, in Revista do Centro de Estudos Judiciários, 2018-1, pp. 303-327. Pinheiro, Alexandre Sousa et al., Comentário ao Regulamento Geral de Proteção de Dados, Coimbra, Almedina, 2018. Rees, Christopher, “Tomorrow’s privacy: personal information as property”, in International Data Privacy Law, 2013, vol. 3, no. 4, pp. 220-221, doi:10.1093/idpl/ipt022. Valle Baudino, Paola del, “Economía colaborativa en el marco de las asociaciones sin ánimo de lucro”, in Comercio Internacional y Economía Colaborativa en la Era Digital. Aspectos Tributarios y Empresariales (Angél Urquizu Cavallé, Estela Rivas Nieto), Thomson Reuters Aranzadi, Navarra, 2019. Zech, Herbert, “Information as Property, Journal of Intellectual Property”, in Information Technology and Electronic Commerce Law, vol. 6, no. 3, December 2015, pp. 192-197.