O Tribunal de Justiça da União Europeia (TJUE) decidiu que, na apreciação da solvência de uma pessoa singular - um perfil de solvência -, sendo a avaliação do crédito feita de forma automatizada, o titular dos dados tem direito à explicação que o esclareça sobre como a decisão foi tomada, à luz do Regulamento Geral sobre a Proteção de Dados (RGPD), mesmo existindo segredos comerciais envolvidos.
O caso
Uma operadora de telecomunicações móveis na Áustria recusou celebrar contrato com uma cliente, com uma mensalidade de 10 euros, por considerar que esta não tinha o nível de solvência adequado. Baseou a sua decisão numa avaliação do crédito da cliente realizada por uma empresa especializada, cujo procedimento é automatizado.
A interessada não concordou e, no litígio levado a tribunal, considerou-se que a empresa de avaliação de crédito não tinha prestado à senhora as informações úteis relativas à lógica subjacente à decisão automatizada em questão. Desde logo, não tinha fundamentado de forma suficiente a razão pela qual não tinha prestado essas informações. Contudo, a empresa defendeu que se tratava de informação protegida pelo segredo comercial.
O tribunal austríaco enviou ao TJUE um pedido de decisão prejudicial para a interpretação do RGPD quanto ao direito de acesso do titular dos dados, no que respeita à informação a que tem direito em caso de decisões automatizadas e à lógica subjacente, bem como a compatibilização com a proteção de know?how e de informações comerciais confidenciais (segredos comerciais) prevista na Diretiva sobre esta matéria.
Decisão do Tribunal de Justiça
Para o TJUE a mera comunicação de um algoritmo não constitui uma explicação suficientemente concisa e inteligível à luz do RGPD.
O responsável pelo tratamento deve descrever o procedimento e os princípios concretamente aplicados, para que o titular dos dados possa compreender que dados pessoais seus foram utilizados e de que forma foram utilizados no momento da decisão automatizada.
Para cumprir o RGPD em matéria de requisitos de transparência e de inteligibilidade, poderá inclusivamente ser necessário informar o titular dos dados sobre como uma variação ao nível dos dados pessoais tidos em conta poderia ter conduzido a um resultado diferente.
Se o responsável pelo tratamento considerar que as informações a prestar contêm dados protegidos de terceiros ou relativos a segredo comercial, deve comunicar essas informações à autoridade de controlo ou ao órgão jurisdicional competentes.
Caberá a estas autoridades ponderar os direitos e os interesses em causa para determinar o alcance do direito de acesso do titular dos dados às referidas informações.
Face à necessidade de proceder casuisticamente a essa determinação, nessa ponderação, o RGPD não permite a aplicação de uma disposição nacional que exclua o direito de acesso aqui em causa quando tal prejudique um segredo comercial do responsável pelo tratamento ou de um terceiro.
Entende o TJUE que, em caso de conflito entre o exercício de um direito de acesso pleno e completo aos dados pessoais e os direitos ou liberdades de terceiros, é necessário encontrar um equilíbrio entre os direitos e liberdades em questão. Sempre que possível, é necessário optar por formas de comunicação de dados pessoais que não violem os direitos ou as liberdades de terceiros, tendo em conta que tais considerações não devem resultar na recusa de prestação de todas as informações ao titular dos dados.
Referências
Acórdão do Tribunal de Justiça, de 27.02.2025
Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, JO L 119 de 4.5.2016, artigo 15.º/1 h)
Diretiva (UE) n.º 2016/943 do Parlamento Europeu e do Conselho, de 08.06.2016, artigo 2.°, ponto 1