As autoridades que fiscalizam o cumprimento das regras de proteção de dados também têm de as cumprir. No acórdão do processo C-205/25, o Tribunal de Justiça da União Europeia (TJUE) decidiu em 5 de novembro de 2026 que as autoridades de proteção de dados atuam como responsáveis pelo tratamento quando analisam queixas. Por isso, quem apresenta uma queixa pode, em princípio, pedir à autoridade os dados pessoais que esta guarda sobre si. O Tribunal considerou também ilegítimas as leis nacionais que excluem esse direito de forma geral.
Resposta rápida: Segundo o TJUE, uma autoridade de controlo, como a CNPD em Portugal, é responsável pelo tratamento dos dados de quem lhe apresenta uma queixa. Por isso, tem de responder aos pedidos de acesso feitos ao abrigo do artigo 15.º do RGPD. Este direito abrange os dados pessoais do queixoso, mas não dá acesso a todo o processo administrativo. Os Estados-Membros também não podem proibir este acesso de forma generalizada.
Um jornalista contra a autoridade de controlo da Baviera
O processo começou com um conflito entre o jornalista alemão Joachim Lindenberg e a autoridade de proteção de dados do setor privado da Baviera (Bayerisches Landesamt für Datenschutzaufsicht, BayLDA). Lindenberg tinha apresentado uma queixa contra outra entidade. Depois de a BayLDA ter detetado infrações cometidas por essa entidade, o jornalista pediu informações. A autoridade recusou o acesso em outubro de 2022, com base no n.º 2 do artigo 20.º da lei bávara de proteção de dados, que excluía o acesso aos ficheiros e registos das autoridades de controlo.
Mais tarde, a 23 de fevereiro de 2024, a autoridade deu-lhe acesso eletrónico ao processo da queixa, mas sem admitir qualquer obrigação legal de o fazer. Mesmo assim, Lindenberg manteve a ação no tribunal administrativo de Ansbach e pediu que a recusa inicial fosse declarada ilegal. O tribunal alemão suspendeu o processo e enviou duas questões prejudiciais ao TJUE.
Cronologia do processo
| Data | Acontecimento |
|---|---|
| Outubro de 2022 | Lindenberg pede acesso aos seus dados; a BayLDA recusa |
| 23 de fevereiro de 2024 | A BayLDA concede acesso eletrónico ao processo, sem reconhecer obrigação legal |
| 17 de março de 2025 | O pedido de decisão prejudicial dá entrada no TJUE (C-205/25) |
| 22 de janeiro de 2026 | Audiência no Tribunal de Justiça |
| 16 de abril de 2026 | Conclusões do advogado-geral Rimvydas Norkus |
| 5 de novembro de 2026 | Acórdão do TJUE |
As datas foram confirmadas no texto das conclusões publicado no EUR-Lex e no registo do pedido prejudicial no Jornal Oficial da UE. Este registo mostra que o pedido partiu do Bayerisches Verwaltungsgericht Ansbach e deu entrada a 17 de março de 2025.
O que decidiu o Tribunal
A primeira questão era saber se uma autoridade de controlo pode ser, ao mesmo tempo, responsável pelo tratamento. A BayLDA defendia que não. Na sua posição, uma autoridade de controlo é, por definição, a entidade que fiscaliza os responsáveis pelo tratamento, e esse papel institucional impediria que fosse também responsável em relação aos processos de queixa. O Tribunal rejeitou este argumento. Para o TJUE, tratar queixas implica tratar dados dos queixosos para finalidades e por meios definidos pelo direito da União, pelo que os papéis de autoridade de controlo e de responsável pelo tratamento podem coexistir.
A segunda questão dizia respeito à norma bávara que impedia o acesso. O artigo 23.º do RGPD permite que os Estados-Membros restrinjam alguns direitos, mas com limites. Essas restrições só são admitidas se respeitarem a essência dos direitos fundamentais e forem necessárias e proporcionadas face a objetivos definidos. O Tribunal considerou desproporcionada a exclusão total: os interesses de terceiros podem ser protegidos com ocultação de partes dos documentos ou anonimização, e o peso administrativo não justifica eliminar o acesso em geral.
O que o direito de acesso inclui e o que não inclui
O acórdão tem limites. O artigo 15.º do RGPD dá direito a informação sobre as finalidades do tratamento, os destinatários, o prazo de conservação e a origem dos dados. Não dá, porém, direito a consultar todo o processo administrativo. O acórdão confirma que o acesso aos dados pessoais não permite inspecionar o processo administrativo completo. O advogado-geral já tinha seguido esta linha. Nas conclusões, sublinhou que o artigo 15.º não cria um direito geral de acesso a documentos administrativos nem uma obrigação geral de transparência administrativa.
Na prática, o queixoso pode receber os seus dados pessoais e a informação sobre o modo como são tratados. A autoridade pode continuar a ocultar dados de terceiros e a proteger informação que não seja do queixoso.
Quem fiscaliza a autoridade que fiscaliza?
O acórdão levanta também uma questão de organização interna. Se uma autoridade de controlo é responsável pelo tratamento, alguém tem de verificar se cumpre as regras. Segundo o resumo da Digital Watch Observatory, o Tribunal sugeriu que esta supervisão independente possa ser feita por outra unidade dentro da própria autoridade, através de regras de organização interna. As autoridades poderão assim ter de mostrar que as queixas sobre o tratamento dos seus próprios dados são analisadas de forma independente.
Porque é que isto importa em Portugal
O acórdão aplica-se a todos os Estados-Membros, incluindo Portugal. Aqui, a autoridade de controlo do RGPD é a Comissão Nacional de Proteção de Dados (CNPD). Quem apresente uma queixa à CNPD, por exemplo contra uma empresa que não respondeu a um pedido de apagamento de dados, pode pedir à própria CNPD acesso aos dados pessoais que esta guarda sobre si no processo. Esse pedido tem de ser analisado segundo as regras do artigo 15.º, com as limitações que sejam proporcionadas.
Para as organizações, o acórdão confirma uma ideia simples: ser uma entidade pública ou ter funções de fiscalização não isenta ninguém das obrigações de responsável pelo tratamento. O mesmo princípio vale para outros reguladores e autoridades administrativas que recolhem dados pessoais nos seus processos. Também vale para as autoridades de supervisão do Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2), que recebem notificações de incidentes com dados de pessoas. Para os encarregados de proteção de dados, a lição prática é ter procedimentos claros para responder a pedidos de acesso, ocultando dados de terceiros sempre que necessário.
Perguntas frequentes
Posso pedir à CNPD os dados que tem sobre mim depois de apresentar uma queixa?
Sim. Segundo o acórdão C-205/25, a autoridade de controlo é responsável pelo tratamento dos dados de quem apresenta uma queixa. Por isso, tem, em princípio, de dar acesso a esses dados e à informação prevista no artigo 15.º do RGPD.
Tenho direito a ver todo o processo da queixa?
Não necessariamente. O direito de acesso abrange os seus dados pessoais e a informação sobre o modo como são tratados, mas não todos os documentos do processo administrativo.
Um país pode proibir por lei o acesso aos processos das autoridades de controlo?
Não de forma total. O TJUE considerou desproporcionada uma exclusão geral, porque existem medidas menos restritivas, como ocultar partes dos documentos ou anonimizar dados de terceiros.
Quem deu origem a este processo?
O processo começou com o jornalista alemão Joachim Lindenberg, a quem a autoridade de proteção de dados da Baviera recusou acesso aos seus dados em 2022. O tribunal administrativo de Ansbach enviou depois as questões ao TJUE.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pelo EUR-Lex (conclusões do advogado-geral no processo C-205/25), pelo Jornal Oficial da UE (pedido de decisão prejudicial C-205/25), pela EU Law Live e pela Digital Watch Observatory.