TJUE bloqueia isenção sueca do GDPR e reabre pedido de 300.000 coroas
Derrogações do artigo 85 param no jornalismo: quem cobra por dados pessoais perde o abrigo constitucional e passa a responder por danos sob o capítulo VIII.
O Tribunal de Justiça da União Europeia decidiu em 9 de julho de 2026 que vender acesso a decisões judiciais não transforma, por si só, uma empresa em publisher, e que nenhum Estado-membro pode desligar os mecanismos de reparação do regulamento invocando a própria Constituição.
A Quinta Seção proferiu o acórdão no processo C-199/24, ND contra Legal Newsdesk Sweden AB, em Luxemburgo. Três questões tinham sido submetidas pelo Attunda tingsrätt, tribunal de primeira instância ao norte de Estocolmo. Todas foram respondidas contra a operadora de uma base de dados comercial de condenações criminais suecas, e a fundamentação alcança muito mais do que a empresa que perdeu.
Em causa estava o artigo 85 do GDPR (em inglês), o dispositivo que incumbe os Estados-membros de conciliar a proteção de dados com a liberdade de expressão. A Suécia leu essa incumbência de forma expansiva. O tribunal leu-a de forma estrita e, ao fazê-lo, traçou uma linha diante da qual qualquer organização que monetize dados pessoais terá agora de se situar.
O que o tribunal decidiu
O acórdão é curto na parte dispositiva e denso na fundamentação. Dele saíram três decisões.
Em primeiro lugar, o artigo 85, parágrafo 1, não autoriza os Estados-membros a legislar além do que permite o parágrafo 2. Medidas nacionais não podem instituir derrogações a capítulos do regulamento para tratamento realizado com finalidades distintas da expressão jornalística, acadêmica, artística ou literária, ainda que um governo sustente que tais medidas são necessárias para equilibrar proteção de dados e liberdade de expressão.
Em segundo lugar, os Estados-membros não podem reduzir os meios de defesa de uma pessoa condenada a uma ação por difamação. Quando dados pessoais relativos a condenações criminais são disponibilizados na internet mediante pagamento, o indivíduo afetado conserva os recursos que o próprio regulamento lhe confere.
Em terceiro lugar, disponibilizar na internet, em troca de pagamento, documentos públicos que consistem em condenações criminais não pode ser tratado como tratamento para fins jornalísticos, a menos que a atividade preencha um conjunto definido de condições: divulgação ao público de informações, opiniões ou ideias, em conformidade com as regras éticas e os códigos de conduta da profissão jornalística, após edição ou adaptação ou ao menos uma política editorial, e após verificação das alegações factuais em questão.
Segundo o comunicado de imprensa divulgado pelo tribunal em 9 de julho de 2026, o ato de colocar condenações criminais na internet mediante pagamento “não parece” (”does not appear”) satisfazer essas condições, sujeito a verificação pelo tribunal nacional.
De uma condenação de 2011 a Luxemburgo
Os fatos são estreitos. A Legal Newsdesk Sweden AB, antes denominada Garrapatica AB, opera a Lexbase, base de dados que permite pesquisar pessoas físicas e empresas que foram parte em processos criminais nos tribunais suecos. O requerente, identificado no processo como ND, foi condenado por infração penal em decisão de 17 de janeiro de 2011. Esse julgado foi publicado na Lexbase e permaneceu acessível até fevereiro de 2024.
ND pediu à empresa a eliminação de seus dados pessoais. Os dados não foram removidos de imediato. A eliminação veio depois e por força da política interna de armazenamento de dados da própria companhia, não como resposta ao pedido. ND então acionou o Attunda tingsrätt, pleiteando indenização de 300.000 coroas suecas, cerca de 26.000 euros, mais juros.
A defesa girou em torno de um único instrumento sueco. A Legal Newsdesk Sweden invocou seu utgivningsbevis, certificado de proteção constitucional da liberdade de expressão emitido pela Myndigheten för press, radio och tv, a autoridade sueca de imprensa e radiodifusão. Na lei sueca, esse certificado tem uma consequência marcante: retira a base de dados do alcance do GDPR por completo.
A arquitetura constitucional sueca
Duas leis de estatuto constitucional regem a matéria. A Tryckfrihetsförordningen (1949:105) trata da liberdade de imprensa. A Yttrandefrihetsgrundlagen (1991:1469) trata da liberdade de expressão, abrangendo certas categorias de sítio na internet quando concedido o certificado.
A ponte com o direito europeu está no capítulo 1, parágrafo 7, da Lei 2018:218, de 19 de abril de 2018, que estabelece não se aplicar o GDPR quando sua aplicação contrariar qualquer das duas leis constitucionais. Para um detentor de certificado, o efeito prático é que restam ao lesado apenas duas vias: processo criminal por difamação ou ação civil de indenização por difamação. Nos termos da Yttrandefrihetsgrundlagen, identificar alguém como tendo conduta criminosa ou censurável pode configurar difamação, mas o ato não é punível quando a divulgação for justificada e a informação verdadeira, ou razoavelmente tida como verdadeira.
A barreira é materialmente mais alta do que a dos recursos previstos no regulamento, que não exigem falsidade nem dano reputacional. O tribunal de origem, em dúvida quanto à compatibilidade desse arranjo com o direito da União, suspendeu o processo e submeteu suas questões por decisão de 1 de março de 2024. O reenvio chegou ao Tribunal de Justiça em 13 de março de 2024 e foi publicado no Jornal Oficial em 3 de maio de 2024.
O artigo 85 lido contra a própria redação
O tribunal começou pelo texto. O parágrafo 1 do artigo 85 obriga os Estados-membros a conciliar os dois direitos por via legislativa. Nada diz sobre isenções ou derrogações. O parágrafo 2, ao contrário, exige isenções ou derrogações aos capítulos II a VII e IX quando necessárias, e somente para tratamento realizado com fins jornalísticos ou de expressão acadêmica, artística ou literária.
Os juízes caracterizaram o primeiro parágrafo como obrigação geral e o segundo como regra especial circunscrita àquelas finalidades específicas. O considerando 153 sustenta essa divisão, ao descrever o objetivo do artigo 85 como o de permitir derrogações apenas no contexto dessas formas de expressão. Como o parágrafo 2 define seu próprio âmbito de modo exaustivo, as isenções que autoriza devem ser interpretadas restritivamente.
O advogado-geral Maciej Szpunar, cujas conclusões foram apresentadas em 4 de setembro de 2025 em inglês, havia observado que a palavra “incluindo” (”including”) no parágrafo 1 mostra que o tratamento jornalístico e expressivo forma apenas parte daquilo que pode ser conciliado ao amparo desse parágrafo. O tribunal acolheu o argumento linguístico e recusou-se a extrair dele a consequência que a Suécia pretendia. A conciliação do parágrafo 1 pode ser ampla. O poder de derrogar do parágrafo 2 não é.
Recursos que não podem ser desligados
A segunda decisão é a de alcance prático mais largo, e repousa em um argumento de omissão.
O capítulo VIII do regulamento, intitulado direito de recurso, responsabilidade e sanções, contém o artigo 77, parágrafo 1, sobre reclamações à autoridade supervisora; o artigo 78, parágrafos 1 e 2, sobre recursos judiciais contra autoridades supervisoras; o artigo 79, parágrafo 1, sobre recursos judiciais contra controladores e operadores; e o artigo 82, parágrafo 1, sobre indenização por danos materiais e imateriais. O capítulo VIII não figura na lista de capítulos em relação aos quais o artigo 85, parágrafo 2, admite derrogação.
A inferência foi extraída de forma direta. Se o parágrafo 1 não pode autorizar as derrogações contempladas no parágrafo 2 para finalidades não qualificadas, tampouco pode autorizar derrogação ao capítulo VIII. Essas disposições são diretamente aplicáveis e conferem direitos que os Estados-membros não podem submeter a condições substantivas de sua própria lavra.
A autonomia processual sobrevive, dentro de limites. Cabe aos Estados-membros fixar as regras processuais detalhadas de exercício dos recursos, desde que não sejam menos favoráveis do que as aplicáveis a situações internas comparáveis e não tornem o exercício dos direitos da União impossível na prática ou excessivamente difícil. A distinção que o acórdão traça é entre procedimento, que permanece nacional, e substância, que não permanece.
Um teste em três partes para o jornalismo
A terceira questão obrigou o tribunal a dizer o que é jornalismo para efeitos do direito europeu de proteção de dados, definição que o próprio regulamento nunca fornece.
O governo búlgaro sustentou que a questão era inadmissível, sob o argumento de que a exposição do tribunal de origem não permitia identificar a finalidade do tratamento nem avaliar sua conformidade com o artigo 10. O tribunal discordou: interpretar o termo não exige conhecer a finalidade específica, e as questões submetidas por órgãos jurisdicionais nacionais gozam de presunção de pertinência.
Quanto ao mérito, os juízes montaram um teste a partir da jurisprudência do Tribunal Europeu dos Direitos Humanos, importada pela via do artigo 52, parágrafo 3, da Carta. Emergiram três elementos. A atividade jornalística pressupõe edição ou adaptação do material divulgado, realizada em base regular ou profissional, ou, no mínimo, publicação conforme decisões editoriais. Pressupõe que as alegações factuais tenham sido verificadas segundo padrão suficiente de confiabilidade. E pressupõe observância das regras éticas e dos códigos de conduta da profissão.
O tribunal também leu a palavra “fins” de modo a estender o âmbito do parágrafo 2 para trás, ao longo do processo de produção. Qualifica-se o tratamento necessário à publicação, e não apenas o ato de publicar. Como o trabalho jornalístico envolve seleção e hierarquização, a fundamentação abrange operações sobre dados pessoais contidos em material que foi coletado e acabou não sendo usado. Esse ponto protege as cadeias internas de redação, em vez de restringi-las.
Aplicado à Lexbase, o teste produziu resposta negativa. Disponibilizar documentos de condenação na internet mediante taxa não parece exigir edição ou adaptação, nem seguir política editorial, e nada nos autos indicava que a empresa estivesse sujeita a regras éticas jornalísticas. Os juízes acrescentaram uma condição adicional: documentos desse tipo podem ser genuinamente úteis a jornalistas, mas seu tratamento só conta como jornalístico quando destinados exclusivamente a tal atividade. Onde qualquer pessoa pode obter uma condenação sob a única condição de pagar, essa exclusividade não existe.
A verificação de cada um desses pontos cabe ao Attunda tingsrätt.
O que não desqualifica um publisher
O acórdão é cuidadoso com aquilo que não decide. Dois traços do modelo Lexbase foram expressamente considerados irrelevantes para a questão da classificação.
Operar na internet e cobrar pelo acesso não excluem fins jornalísticos. O tribunal citou seu próprio acórdão de 2008 em Satakunnan Markkinapörssi e Satamedia, que chegara à mesma conclusão a respeito de serviços comerciais de dados. Tampouco o fato de o tratamento incidir sobre condenações criminais afasta os fins jornalísticos na etapa de classificação, ainda que o artigo 10 submeta esses dados a proteção especial e reserve à autoridade oficial os registros completos de condenações.
A sensibilidade dos dados, o número de pessoas com acesso e as condições desse acesso continuam pertinentes, mas em momento posterior: quando se avalia se a derrogação a determinada disposição se justifica, não quando se decide se a atividade é jornalismo. A sequência importa para quem pretende construir um argumento de conformidade.
Por que isso importa para a comunidade de marketing
A leitura comercial deste acórdão tem pouco a ver com registros judiciais suecos e muito a ver com a estrutura do artigo 85.
Qualquer negócio que trate dados pessoais e venha se apoiando em uma exceção nacional de liberdade de expressão conhece agora o contorno externo desse abrigo. A lista do artigo 85, parágrafo 2, é exaustiva e de leitura estrita, e o capítulo VIII está fora dela. Reclamações de titulares, recursos judiciais e pedidos de indenização com base no artigo 82 sobrevivem a qualquer legislação de um Estado-membro. Para empresas de identity resolution, busca de pessoas, enriquecimento de dados empresariais e geração de leads, a exposição passa a ser um pedido direto de indenização, e não uma conversa regulatória.
Essa exposição não é teórica. Tribunais alemães vêm concedendo indenizações com base no artigo 82 em casos de rastreamento, com um tribunal de Leipzig deferindo 5.000 euros em julho de 2025 e o Tribunal Regional Superior da Turíngia arbitrando 3.000 euros em março de 2026, o quarto Tribunal Regional Superior alemão a decidir a favor de demandantes em processos sobre as Business Tools da Meta (em inglês). O litígio privado é onde as linhas traçadas em 9 de julho de 2026 serão testadas primeiro.
O teste tripartite do jornalismo também chega em momento incômodo para uma indústria de mídia que se reorganiza em torno de conteúdo automatizado. Edição ou adaptação, política editorial, fatos verificados e adesão a códigos éticos profissionais são agora os critérios que separam um publisher de um fornecedor de dados no direito europeu de proteção de dados. Sítios que agregam e republicam sem camada editorial ficam do lado errado dessa linha, seja qual for o cabeçalho que exibam.
O paralelo lusófono é estreito, mas existe. A LGPD afasta de seu âmbito o tratamento realizado para fins exclusivamente jornalístico, artístico ou acadêmico, no artigo 4º, sem definir o que caracteriza a atividade jornalística, lacuna equivalente à que o tribunal europeu acaba de preencher para o GDPR. Portugal, como Estado-membro, fica diretamente vinculado à interpretação, que passa a orientar os tribunais nacionais e a CNPD.
O contexto de fiscalização afia o argumento. As autoridades nacionais aplicaram 1.145.760.374 euros em multas do GDPR ao longo de 2025, conforme o relatório anual do EDPB (em inglês) publicado em 9 de abril de 2026, enquanto uma análise divulgada em maio de 2026 apurou que perto de 40% dos 7.100 milhões de euros em multas acumuladas (em inglês) foram anulados ou estão sob contestação. Sanções administrativas são disputadas e frequentemente reduzidas. Pedidos individuais ao amparo do capítulo VIII são mais difíceis de neutralizar, e é precisamente por isso que uma decisão que os protege pesa.
A autoridade supervisora sueca já atuava em terreno adjacente. A IMY aplicou advertência ao Flightradar24 em junho de 2025 pelo tratamento de pedidos de eliminação e pelas exigências de verificação de identidade (em inglês), e multou Apoteket e Apohem em 45 milhões de coroas em 2024 por transferir dados sensíveis de clientes à Meta pelo pixel (em inglês). Nenhum dos dois casos envolvia certificado de publicação. Depois de 9 de julho de 2026, o certificado é uma resposta mais frágil do que era.
O quadro legislativo mais amplo segue indefinido. O Digital Omnibus da Comissão Europeia, publicado em 19 de novembro de 2025, propõe alterações à definição de dados pessoais, à base do legítimo interesse, ao regime das categorias especiais e ao marco de avaliação de impacto, e teria inserido um sinal de consentimento (em inglês) legível por máquina como artigo 88b. O Conselho retirou essa disposição em junho de 2026 (em inglês) após pressão em que o Google (em inglês) teve papel central, e o EDPB e o EDPS já haviam se oposto (em inglês) ao pacote em parecer conjunto de 10 de fevereiro de 2026. Nenhuma das propostas documentadas reabre o artigo 85. A interpretação firmada em 9 de julho de 2026 permanece, portanto, qualquer que seja o resultado das negociações de simplificação.
Para publishers em particular, o acórdão corta em dois sentidos. Confirma que o tratamento preparatório, inclusive de dados que nunca chegam à publicação, cabe no abrigo jornalístico, o que representa proteção efetiva ao trabalho investigativo. Confirma também que esse abrigo está condicionado a uma prática profissional demonstrável em juízo. Publishers suecos e noruegueses que hoje defendem estruturas de consentimento pay-or-okay (em inglês) aprendem a mesma lição por outro ângulo: enquadramento constitucional e comercial não substitui a conformidade com o regulamento tal como escrito.
Linha do tempo
24 de outubro de 1995: adotada a Diretiva 95/46/CE, cujo artigo 9 exigia dos Estados-membros isenções para o tratamento realizado exclusivamente com fins jornalísticos, artísticos ou literários
16 de dezembro de 2008: o Tribunal de Justiça decide, em Satakunnan Markkinapörssi e Satamedia, que a distribuição comercial e on-line não afasta a atividade jornalística
17 de janeiro de 2011: ND é condenado por infração penal em decisão de tribunal sueco posteriormente publicada na base de dados Lexbase
27 de abril de 2016: adotado o Regulamento (UE) 2016/679, que substitui a Diretiva 95/46/CE com efeitos a partir de 25 de maio de 2018
19 de abril de 2018: a Suécia adota a Lei 2018:218, segundo a qual o GDPR não se aplica quando sua aplicação contrariar as leis constitucionais sobre liberdade de imprensa e de expressão
fevereiro de 2024: a decisão que condenou ND deixa de estar acessível na Lexbase, após eliminação sob a política interna de armazenamento de dados da empresa
1 de março de 2024: o Attunda tingsrätt decide submeter três questões ao Tribunal de Justiça
13 de março de 2024: o reenvio é recebido no Tribunal de Justiça como processo C-199/24
3 de maio de 2024: o pedido é publicado no Jornal Oficial
4 de outubro de 2024: o Tribunal de Justiça decide que a Meta deve minimizar os dados pessoais usados em publicidade direcionada (em inglês)
14 de maio de 2025: realizada a audiência perante a Quinta Seção
4 de setembro de 2025: o advogado-geral Szpunar apresenta suas conclusões, em inglês
19 de novembro de 2025: a Comissão Europeia publica o pacote Digital Omnibus, propondo alterações substanciais ao GDPR (em inglês)
10 de fevereiro de 2026: EDPB e EDPS adotam parecer conjunto que rejeita elementos centrais da proposta (em inglês)
9 de abril de 2026: o EDPB publica seu relatório anual de 2025, registrando 1.145.760.374 euros em multas do GDPR no ano (em inglês)
18 de junho de 2026: o Conselho da UE publica texto de compromisso que retira o artigo 88b do Digital Omnibus(em inglês)
9 de julho de 2026: a Quinta Seção profere o acórdão no processo C-199/24, com o resumo publicado no mesmo dia
Cobertura relacionada
CJEU limits Meta’s data use for ads (em inglês): a decisão de outubro de 2024 que aplicou o princípio da minimização de dados à publicidade direcionada, até então o acórdão do tribunal com maior consequência sobre o GDPR para o setor publicitário.
Flightradar24 receives reprimand for violating aircraft data privacy rights (em inglês): a IMY sueca sancionou um serviço de rastreamento baseado em dados públicos por obstruir pedidos de eliminação, caso adjacente ao modelo da Lexbase.
Swedish DPA fines Apoteket and Apohem for transferring sensitive data to Meta (em inglês): a multa de 45 milhões de coroas aplicada pela IMY por transferências, via pixel, de dados próximos à esfera da saúde.
German court asks CJEU: must platforms publish GDPR joint controller details? (em inglês): documenta as indenizações alemãs fundadas no artigo 82 que tornam o litígio privado sobre GDPR um risco comercial concreto.
EU court’s top adviser says data watchdogs must honor GDPR access requests (em inglês): a recusa, por um advogado-geral, de exclusões nacionais genéricas dos direitos dos titulares, em raciocínio paralelo ao deste acórdão.
Luxembourg court annuls Amazon’s 746 million euro GDPR fine, sends case back to regulator (em inglês): mostra como sanções administrativas se desfazem em recurso enquanto os recursos individuais persistem.
Eight years of GDPR: 40% of the 7.1 billion euro in fines annulled or under challenge (em inglês): o histórico de fiscalização que explica por que os pedidos do capítulo VIII pesam mais do que as multas de manchete.
EDPB 2025 annual report: 1.15 billion euro in GDPR fines, new AI and DMA rules (em inglês): os totais de fiscalização de 2025 e a produção de diretrizes que moldam o ambiente atual de conformidade.
Europe’s privacy watchdogs reject Commission’s plan to narrow GDPR protections (em inglês): o parecer conjunto de EDPB e EDPS, de fevereiro de 2026, sobre o Digital Omnibus.
EU Council drops cookie signal after Google lobbying (em inglês): como o Digital Omnibus perdeu, em junho de 2026, sua disposição mais relevante para a publicidade.
Schibsted’s pay-or-okay system in Norway triggers formal GDPR complaint (em inglês): publishers nórdicos testando os limites das alternativas pagas ao consentimento, com 56 reclamações apresentadas à IMY.
Belgian court overturns data fine in direct marketing ruling (em inglês): a leitura de um tribunal nacional de recurso sobre as obrigações do controlador previstas no artigo 24, em contexto de dados de marketing.
EU court rules states can force age checks on foreign porn sites (em inglês): o acórdão da Grande Seção de junho de 2026 sobre medidas nacionais e obrigações de plataformas, também sustentado perante o advogado-geral Szpunar.
Cookie consent in Europe is changing - what marketers need to know (em inglês): mapeia a distância operacional entre as exigências atuais do GDPR e da ePrivacy e as reformas propostas.
Resumo
Quem: a Quinta Seção do Tribunal de Justiça da União Europeia, composta por M. L. Arastey Sahún como presidente da Seção, J. Passer, E. Regan como relator, D. Gratsias e B. Smulders, com o advogado-geral Maciej Szpunar e C. Strömholm na secretaria. As partes eram ND, pessoa condenada em 2011, e a Legal Newsdesk Sweden AB, antes Garrapatica AB, operadora da base de dados Lexbase. Os governos sueco, búlgaro e finlandês e a Comissão Europeia apresentaram observações.
O quê: uma decisão em reenvio prejudicial no processo C-199/24, segundo a qual o artigo 85, parágrafo 1, do GDPR não permite aos Estados-membros derrogar o regulamento para tratamento fora dos fins jornalísticos, acadêmicos, artísticos ou literários; a lei nacional não pode reduzir os meios de defesa do afetado a uma ação por difamação; e publicar documentos de condenação criminal na internet mediante pagamento não é tratamento para fins jornalísticos, salvo se houver edição ou adaptação ou política editorial, verificação dos fatos e observância dos códigos éticos jornalísticos.
Quando: o acórdão foi proferido em 9 de julho de 2026. O reenvio foi feito por decisão de 1 de março de 2024 e recebido em 13 de março de 2024, a audiência ocorreu em 14 de maio de 2025 e as conclusões do advogado-geral foram apresentadas em 4 de setembro de 2025.
Onde: o Tribunal de Justiça, em Luxemburgo, em reenvio do Attunda tingsrätt, na Suécia. A interpretação vincula os tribunais dos 27 Estados-membros e vale em todo o Espaço Econômico Europeu.
Por quê: a Suécia havia usado proteções constitucionais da liberdade de expressão, acionadas por um certificado de publicação, para retirar integralmente do âmbito do GDPR uma base de dados comercial de condenações, deixando aos afetados apenas a via da difamação. O tribunal decidiu que o artigo 85, parágrafo 2, define de modo exaustivo as derrogações disponíveis e que os recursos do capítulo VIII, entre eles o direito à indenização do artigo 82, não podem ser afastados por lei nacional. A decisão estreita o abrigo da liberdade de expressão para qualquer organização que monetize dados pessoais e enuncia, pela primeira vez na jurisprudência do Tribunal de Justiça, os critérios que distinguem jornalismo de distribuição de dados no direito europeu de proteção de dados.