
   
               21.2.2022   
            
            
               PT
            
            
               Jornal Oficial da União Europeia
            
            
               C 84/26
            
         
      Pedido de decisão prejudicial apresentado pelo Vilniaus apygardos administracinis teismas (Lituânia) em 12 de novembro de 2021 — Nacionalinis visuomenės sveikatos centras prie Sveikatos apsaugos ministerijos/Valstybinė duomenų apsaugos inspekcija
      (Processo C-683/21)
      (2022/C 84/34)
      Língua do processo: lituano
      
         Órgão jurisdicional de reenvio
      
      Vilniaus apygardos administracinis teismas
      
         Partes no processo principal
      
      
         Recorrente: Nacionalinis visuomenės sveikatos centras prie Sveikatos apsaugos ministerijos
      
         Recorrido: Valstybinė duomenų apsaugos inspekcija
      
         Questões prejudiciais
      
      
                  1)
               
               
                  Pode o conceito de «responsável pelo tratamento» previsto no artigo 4.o, n.o 7, do RGPD (1), ser interpretado no sentido de que também deve ser considerada responsável pelo tratamento uma pessoa que pretende adquirir um instrumento de recolha de dados (aplicação móvel) através de concurso público, independentemente do facto de não ter sido celebrado um contrato público e de o produto criado (aplicação móvel), para cuja aquisição foi utilizado um procedimento de contratação pública, não ter sido transferido?
               
            
                  2)
               
               
                  Pode o conceito de «responsável pelo tratamento» previsto no artigo 4.o, n.o 7, do RGPD ser interpretado no sentido de que também deve ser considerada responsável pelo tratamento uma entidade adjudicante que não tenha adquirido o direito de propriedade do produto informático criado nem tenha tomado posse do mesmo, no caso de a versão final da aplicação criada fornecer hiperligações ou interfaces a essa entidade pública e/ou de a política de confidencialidade, que não foi oficialmente aprovada nem reconhecida pela entidade pública em questão, ter designado a própria entidade pública como responsável pelo tratamento?
               
            
                  3)
               
               
                  Pode o conceito de «responsável pelo tratamento» previsto no artigo 4.o, n.o 7, do RGPD ser interpretado no sentido de que também deve ser considerada responsável pelo tratamento uma pessoa que não tenha realizado efetivamente nenhuma operação de tratamento de dados, como definida no artigo 4.o, n.o 2, do RGPD e/ou não tenha dado autorização ou consentimento de modo claro para a realização dessas operações? O facto de o produto informático utilizado para o tratamento de dados pessoais ter sido criado em conformidade com as especificações da entidade adjudicante é relevante para a interpretação do conceito de «responsável pelo tratamento»?
               
            
                  4)
               
               
                  Se a determinação das operações de tratamento de dados efetivas for relevante para a interpretação do conceito de «responsável pelo tratamento», deve a definição de «tratamento» de dados pessoais na aceção do artigo 4.o, n.o 2, do RGPD ser interpretada no sentido de que abrange igualmente as situações em que foram utilizadas cópias de dados pessoais para testar sistemas informáticos no processo de aquisição de uma aplicação móvel?
               
            
                  5)
               
               
                  Pode o controlo conjunto de dados, na aceção do artigo 4.o, n.o 7, e do artigo 26.o, n.o 1, do RGPD ser interpretado exclusivamente no sentido de que implica atividades deliberadamente coordenadas no que respeita à determinação da finalidade e dos meios de tratamento de dados, ou pode esse conceito também ser interpretado no sentido de que o controlo conjunto também abrange situações em que não existe um «acordo» claro quanto à finalidade e aos meios de tratamento de dados e/ou em que as atividades não são coordenadas entre as entidades? As circunstâncias relacionadas com a fase de criação dos meios de tratamento de dados pessoais (aplicação informática) em que os dados pessoais foram tratados, e a finalidade da criação da aplicação têm relevância jurídica para a interpretação do conceito de controlo conjunto de dados? Pode um «acordo» entre responsáveis conjuntos pelo tratamento ser entendido exclusivamente como uma estipulação clara e definida dos termos que regulam o controlo conjunto de dados?
               
            
                  6)
               
               
                  Deve a disposição do artigo 83.o, n.o 1, do RGPD, segundo a qual «a aplicação de coimas […] é […] efetiva, proporcionada e dissuasiva» ser interpretada no sentido de que abrange igualmente as situações em que o «responsável pelo tratamento» é considerado responsável quando, no processo de criação de um produto informático, a entidade que a desenvolveu também executa atividades de tratamento de dados pessoais, e as atividades de tratamento de dados pessoais irregulares executadas pelo subcontratante implicam sempre e automaticamente a responsabilidade jurídica por parte do responsável pelo tratamento? Deve esta disposição ser interpretada no sentido de que abrange igualmente as situações de responsabilidade objetiva do responsável pelo tratamento?
               
            
         (1)  Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO 2016, L 119, p. 1).
   
   