Pronuncia-se pela inconstitucionalidade da norma constante do artigo 2.º do Decreto n.º 91/XV, da Assembleia da República (Regula o acesso a metadados referentes a comunicações eletrónicas para fins de investigação criminal), publicado no Diário da Assembleia da República n.º 26, 2.ª série-A, de 26 de outubro de 2023, procedendo à segunda alteração à Lei e enviado ao Presidente da República para promulgação como lei, na parte em que altera o artigo 4.º da Lei n.º 32/2008, de 17 de julho, conjugado com o artigo 6.º da mesma lei, quanto aos dados previstos no n.º 2 do mencionado artigo 6.º; não se pronuncia pela inconstitucionalidade das demais normas cuja apreciação foi requerida

Acórdão do Tribunal Constitucional n.º 800/2023

Sumário: Pronuncia-se pela inconstitucionalidade da norma constante do artigo 2.º do Decreto 91/XV, da Assembleia da República (Regula o acesso a metadados referentes a comunicações eletrónicas para fins de investigação criminal), publicado no Diário da Assembleia da República n.º 26, 2.ª série-A, de 26 de outubro de 2023, procedendo à segunda alteração à Lei e enviado ao Presidente da República para promulgação como lei, na parte em que altera o artigo 4.º da Lei 32/2008, de 17 de julho, conjugado com o artigo 6.º da mesma lei, quanto aos dados previstos no n.º 2 do mencionado artigo 6.º; não se pronuncia pela inconstitucionalidade das demais normas cuja apreciação foi requerida.

Processo 1130/23

Acordam, em Plenário, no Tribunal Constitucional

I. Relatório

1 - O Presidente da República requereu ao Tribunal Constitucional, ao abrigo do disposto no n.º 1 do artigo 278.º da Constituição da República Portuguesa (doravante, CRP) e dos artigos 51.º, n.º 1 e 57.º, n.º 1, ambos da Lei 28/82, de 15 de novembro (Lei da Organização, Funcionamento e Processo do Tribunal Constitucional, adiante designada por LTC), a «apreciação da conformidade com a mesma Constituição das seguintes normas constantes do Decreto 91/XV da Assembleia da República, recebido e registado na Presidência da República, no dia 2 de novembro, para ser promulgado como lei:

- A norma constante do artigo 2.º, na parte em que altera o artigo 4.º da Lei 32/2008, de 17 de julho;

- A norma constante do artigo 2.º, na parte em que altera o artigo 4.º quando conjugado com o artigo 6.º da Lei 32/2008, de 17 de julho;

- A norma constante do artigo 2.º, na parte em que altera o artigo 9.º da Lei 32/2008, de 17 de julho».

O referido Decreto 91/XV da Assembleia da República, publicado no Diário da Assembleia da República n.º 26, 2.ª série-A, de 26 de outubro de 2023, cujas normas são assim submetidas à apreciação deste Tribunal, em processo de fiscalização preventiva da constitucionalidade, «Regula o acesso a metadados referentes a comunicações eletrónicas para fins de investigação criminal, procedendo à segunda alteração à Lei 32/2008, de 17 de julho, que transpõe para a ordem jurídica interna a Diretiva n.º 2006/24/CE, do Parlamento Europeu e do Conselho, de 15 de março, relativa à conservação de dados gerados ou tratados no contexto da oferta de serviços de comunicações eletrónicas publicamente disponíveis ou de redes públicas de comunicações, conformando-a com o Acórdão do Tribunal Constitucional n.º 268/2022, e à décima segunda alteração à Lei 62/2013, de 26 de agosto, que aprova a Lei da Organização do Sistema Judiciário».

2 - Normas sindicadas

O artigo 2.º do Decreto 91/XV, da Assembleia da República, de onde constam as normas sindicadas, tem o seguinte teor:

«Artigo 2.º

Alteração à Lei 32/2008, de 17 de julho

Os artigos 2.º, 4.º, 6.º, 7.º, 9.º, 15.º, 16.º e 17.º da Lei 32/2008, de 17 de julho, alterada pela Lei 79/2021, de 24 de novembro, passam a ter a seguinte redação:

Artigo 4.º

[...]

1 - Os fornecedores de serviços de comunicações eletrónicas publicamente disponíveis ou de uma rede pública de comunicações devem conservar, nos termos previstos na presente lei, em Portugal ou no território de outro Estado-Membro da União Europeia, as seguintes categorias de dados:

a) [...]

b) [...]

c) [...]

d) [...]

e) [...]

f) [...]

2 - [...]

3 - [...]

4 - [...]

5 - [...]

6 - [...]

7 - [...]

Artigo 6.º

Período e regras de conservação

1 - Para efeitos da finalidade prevista no n.º 1 do artigo 3.º, as entidades referidas no n.º 1 do artigo 4.º devem conservar, pelo período de um ano a contar da data da conclusão da comunicação, os seguintes dados:

a) Os dados relativos à identificação civil dos assinantes ou utilizadores de serviços de comunicações publicamente disponíveis ou de uma rede pública de comunicações;

b) Os demais dados de base;

c) Os endereços de protocolo IP atribuídos à fonte de uma ligação.

2 - Os dados de tráfego e de localização são conservados pelas entidades referidas no n.º 1 do artigo 4.º pelo período de três meses a contar da data da conclusão da comunicação, considerando-se esse período prorrogado até seis meses, salvo se o seu titular se tiver oposto perante as referidas entidades à prorrogação dessa conservação.

3 - Os prazos de conservação previstos no número anterior podem ser prorrogados por períodos de três meses até ao limite máximo de um ano, mediante autorização judicial, requerida pelo Procurador-Geral da República, fundada na sua necessidade para a finalidade prevista no n.º 1 do artigo 3.º

4 - A prorrogação do prazo de conservação referida nos números anteriores deve limitar-se ao estritamente necessário para a prossecução da finalidade prevista no n.º 1 do artigo 3.º, devendo cessar logo que se confirme a desnecessidade da sua conservação.

5 - As entidades referidas no n.º 1 do artigo 4.º não podem aceder aos dados aí elencados salvo nos casos previstos na lei ou definidos contratualmente com o cliente para efeitos emergentes das respetivas relações jurídicas comerciais.

6 - A autorização judicial a que se refere o n.º 3 compete a uma formação das secções criminais do Supremo Tribunal de Justiça, constituída pelos presidentes das secções e por um juiz designado pelo Conselho Superior da Magistratura, de entre os mais antigos destas secções.

Artigo 9.º

[...]

1 - [...]

2 - A autorização prevista no número anterior só pode ser requerida pelo Ministério Público.

3 - [...]

4 - [...]

5 - [...]

6 - [...]

7 - Sem prejuízo do disposto no número seguinte, o despacho que autoriza a transmissão dos dados referentes às categorias previstas no n.º 1 do artigo 4.º é notificado ao titular dos dados no prazo máximo de 10 dias a contar da sua prolação.

8 - Se, em inquérito, o Ministério Público considerar que a notificação referida no número anterior comporta risco de pôr em causa a investigação, dificultar a descoberta da verdade ou criar perigo para a vida, para a integridade física ou psíquica ou para a liberdade dos participantes processuais, das vítimas do crime ou de outras pessoas devidamente identificadas, pode solicitar ao juiz de instrução criminal que protele a notificação, a qual é realizada logo que a razão do protelamento deixar de existir ou, o mais tardar, no prazo máximo de 10 dias a contar da data em que for proferido despacho de encerramento desta fase processual.

9 - A transmissão dos dados referentes às categorias previstas no n.º 1 do artigo 4.º a autoridades de outros Estados só pode ocorrer no âmbito da cooperação judiciária internacional em matéria penal, de acordo com as regras fixadas na respetiva lei e desde que esses Estados garantam o mesmo nível de proteção de dados pessoais vigente no território da União Europeia.».

3 - Parâmetros da constitucionalidade invocados

O requerente invoca no seu pedido, em termos expressos, «a importância de garantir a certeza jurídica em tão delicada e controversa matéria», pretendendo ver confrontadas as normas sindicadas com os números 1 e 4 do artigo 35.º e o n.º 1 do artigo 26.º, em conjugação com o n.º 2 do artigo 18.º; e o disposto no n.º 1 do artigo 35.º e do n.º 1 do artigo 20.º, em conjugação com o n.º 2 do artigo 18.º, todos da Constituição da República Portuguesa.

4 - Fundamento do pedido

Os fundamentos apresentados no pedido para sustentarem as dúvidas quanto à constitucionalidade das normas impugnadas articulam-se, como dito, com o desiderato de garantir a certeza jurídica nesta matéria, convocando expressa e diretamente a jurisprudência afirmada no Acórdão 268/2022 deste Tribunal Constitucional.

É o seguinte o conteúdo do pedido:

«[...]

1.º

Pelo Acórdão 268/2022, o Tribunal Constitucional decidiu pronunciar-se pela inconstitucionalidade das normas constantes do artigo 4.º da Lei 32/2008, de 17 de julho, conjugada com o artigo 6.º da mesma lei, por violação do disposto nos números 1 e 4 do artigo 35.º e do n.º 1 do artigo 26.º, em conjugação com o n.º 2 do artigo 18.º, todos da Constituição, e da norma do artigo 9.º da Lei 32/2008, de 17 de julho, relativa à transmissão de dados armazenados às autoridades competentes para investigação, deteção e repressão de crimes graves, na parte em que não prevê uma notificação ao visado de que os dados conservados foram acedidos pelas autoridades de investigação criminal, a partir do momento em que tal comunicação não seja suscetível de comprometer as investigações, nem a vida ou integridade física de terceiros, por violação do disposto no n.º 1 do artigo 35.º e do n.º 1 do artigo 20.º, em conjugação com o n.º 2 do artigo 18.º, todos da Constituição.

2.º

A Assembleia da República entendeu, através do Decreto em apreciação, alterar a referida Lei 32/2008, de 17 de julho, no sentido de, tal como afirmado no próprio título do Decreto, a "conformar com o Acórdão do Tribunal Constitucional n.º 268/2022".

3.º

Ora, de acordo com o referido acórdão do Tribunal Constitucional, as normas em causa padeciam de inconstitucionalidade, no essencial, e tendo em conta o regime aplicável de Direito Europeu e a sua projeção na Constituição da República Portuguesa, em resultado de: i) permitir uma recolha indiscriminada de dados de tráfego; ii) não prever a notificação ao visado de que os dados conservados foram acedidos pelas autoridades de investigação criminal.

4.º

O legislador vem agora, e nas suas próprias palavras, declaradamente conformar o regime em causa com as conclusões do acórdão do Tribunal Constitucional. Importa, pois, verificar se o Tribunal considera que a Assembleia da República teve sucesso nesta sua deliberação.

5.º

Quanto à primeira questão, o Tribunal distingue, na linha da jurisprudência anterior, dados de base de dados de tráfego aplicando, compreensivelmente, um regime mais exigente aos segundos.

6.º

Com efeito, refere o Tribunal no citado acórdão que "no fundo, se a medida de conservação de dados de tráfego e de localização em si mesma pode ser tida como adequada e necessária para os fins de interesse público que visa salvaguardar, a definição do leque de sujeitos visados só não transgride os limites da proporcionalidade na medida em que se dirija, de forma direta, às situações em que a agressão aos direitos fundamentais em causa possa ter-se por orientada à perseguição dos objetivos da ação penal. Neste quadro, por se ultrapassarem na medida fiscalizada os limites da proporcionalidade no que concerne ao respetivo âmbito subjetivo, viola-se o n.º 2 do artigo 18.º da Constituição na restrição aos direitos fundamentais à reserva da intimidade da vida privada e à autodeterminação informativa (artigos 26.º, n.º 1, e 35.º, n.º 1, da Constituição), perdendo relevância a questão de saber se os demais elementos de que dependeria a proporcionalidade da medida (o ajustamento do prazo de conservação ao estritamente necessário para os fins a alcançar; e a imposição de condições de segurança do respetivo armazenamento) são preenchidos pela regulamentação fiscalizada.

Razão pela qual deve ter-se por inconstitucional, por violação dos n.os 1 e 4 do artigo 35.º e do n.º 1 do artigo 26.º, em conjugação com o artigo 18.º, n.º 2, da Constituição, a medida de conservação por um ano dos dados de tráfego e dos dados de localização, decorrente da conjugação do disposto do artigo 4.º com o artigo 6.º da Lei 32/2008, de 17 de julho".

7.º

Resulta da leitura das normas sindicadas que, não obstante ter sido reduzido o prazo para a conservação dos dados de tráfego, pode interpretar-se que se pode continuar a permitir a sua recolha indiscriminada, o que pode não se conformar com o decidido pelo Tribunal no acórdão citado. O Tribunal afirmou então que a recolha indiscriminada destes dados violaria, só por si, o princípio da proporcionalidade, perdendo relevância a apreciação dos demais elementos, entre os quais o prazo.

8.º

De igual modo, importa verificar se a notificação ao visado, nos termos em que é prevista na nova redação do artigo 9.º, satisfaz as exigências constantes do referido acórdão do Tribunal Constitucional, designadamente no que respeita ao princípio da proporcionalidade.

Ante o exposto, e dada a importância de garantir a certeza jurídica em tão delicada e controversa matéria, requer-se, nos termos do n.º 1 do artigo 278.º da Constituição, bem como do n.º 1 do artigo 51.º e n.º 1 do artigo 57.º da Lei 28/82, de 15 de novembro, a fiscalização preventiva da constitucionalidade das normas constantes do artigo 2.º, na parte em que altera o artigo 4.º da Lei 32/2008, de 17 de julho; do artigo 2.º, na parte em que altera o artigo 4.º quando conjugado com o artigo 6.º da Lei 32/2008, de 17 de julho; e do artigo 2.º, na parte em que altera o artigo 9.º da Lei 32/2008, de 17 de julho, do Decreto 91/XV da Assembleia da República, por violação do disposto nos n.os 1 e 4 do artigo 35.º e do n.º 1 do artigo 26.º, em conjugação com o n.º 2 do artigo n.º 18.º, e disposto no n.º 1 do artigo 35.º e no n.º 1 do artigo 20.º, em conjugação com o n.º 2 do artigo 18.º, todos da Constituição da República Portuguesa».

Em síntese, o requerente questiona se o artigo 2.º do Decreto 91/XV, da Assembleia da República, na parte em que altera o artigo 4.º da Lei 32/2008, de 17 de julho, e quando conjugado com o artigo 6.º da mesma Lei, viola o disposto nos n.os 1 e 4 do artigo 35.º e no n.º 1 do artigo 26.º, em conjugação com o n.º 2 do artigo 18.º, todos da Constituição, por continuar a permitir uma conservação indiscriminada dos dados de tráfego; e sustenta, simultaneamente, ser também necessário verificar se o mesmo artigo 2.º do Decreto, na parte em que altera o artigo 9.º da Lei 32/2008, de 17 de julho - em particular o regime de notificação ao visado aí previsto -, está, ou não, conforme às exigências que decorrem do n.º 1 do artigo 20.º, em conjugação com o n.º 2 do artigo 18.º, todos da Constituição.

5 - Resposta do autor das normas

Notificada a Assembleia da República, enquanto órgão autor das normas sindicadas, na pessoa do seu Presidente, ao abrigo do disposto nos artigos 54.º e 55.º, n.º 3, e 56.º, n.os 1, 2 e 4, da LTC, para, querendo, se pronunciar sobre o pedido, o mesmo apresentou resposta, oferecendo o merecimento dos autos. Mais esclareceu que o Decreto em causa tramitou na Comissão de Assuntos Constitucionais, Direitos, Liberdades e Garantias, pelo que enviou em anexo uma nota técnica sobre os respetivos trabalhos preparatórios, elaborada pelos serviços de apoio à referida Comissão Parlamentar, informando ainda que os trabalhos preparatórios que conduziram à aprovação da referida lei estão disponíveis no sítio do Parlamento na Internet.

II. Fundamentação

A. Conhecimento do pedido

6 - Considerando a legitimidade do requerente, fundada no artigo 278.º, n.º 1, da CRP, bem como a circunstância de o pedido conter todas as indicações a que se refere o artigo 51.º, n.º 1, da LTC e a observância dos prazos aplicáveis (artigo 278.º, n.º 3, da Constituição e artigos 54.º, 56.º, n.º 4, 57.º, n.os 1 e 2, e 58.º da LTC), nada obsta ao conhecimento da questão de constitucionalidade formulada nos presentes autos, nem à consideração da resposta apresentada pelo órgão autor da norma impugnada.

B. Enquadramento normativo

7 - As normas sindicadas procedem a alterações à Lei 32/2008, de 17 de julho, que havia transposto para a ordem jurídica interna a Diretiva n.º 2006/24/CE, do Parlamento Europeu e do Conselho, de 15 de março, relativa à conservação de dados gerados ou tratados no contexto da oferta de serviços de comunicações eletrónicas publicamente disponíveis ou de redes públicas de comunicações.

Como ficou registado no Acórdão 268/2022 (6.), «[a] Lei 32/2008, de 17 de julho [...] regula a conservação e a transmissão dos dados de identificação, tráfego e de localização relativos a pessoas singulares e a pessoas coletivas, bem como dos dados conexos necessários para identificar o assinante ou o utilizador registado, para fins de investigação, deteção e repressão de crimes graves por parte das autoridades competentes. [...]

O artigo 4.º identifica as categorias de dados a armazenar pelos fornecedores de serviços de comunicações eletrónicas publicamente disponíveis ou de uma rede pública de comunicações; o artigo 6.º determina a obrigação da sua conservação pelo período de um ano, a contar da data da conclusão da comunicação; e o artigo 9.º estabelece as condições de transmissão de dados armazenados ao Ministério Público ou à autoridade de polícia criminal competente.

[...]

Na Lei 32/2008, de 17 de julho, são identificáveis dois regimes jurídicos em torno dos dados identificados no artigo 4.º: um relativo à obrigação de conservação pelos fornecedores de serviços de comunicações eletrónicas ou de uma rede pública de comunicações, essencialmente contido nos artigos 4.º a 8.º; e outro atinente ao seu acesso pelas autoridades competentes para a investigação e repressão criminal, estatuído nos artigos 9.º a 11.º».

8 - Precisamente estas normas, contidas nos artigos 4.º, 6.º e 9.º deste ato legislativo, foram declaradas inconstitucionais, pelo Tribunal Constitucional, através do citado Acórdão 268/2022 - no qual se levou a cabo, além do mais, um estreito diálogo com a jurisprudência do Tribunal de Justiça da União Europeia (doravante, TJUE) e, consequentemente, com a Carta dos Direitos Fundamentais da União Europeia (a seguir «Carta» ou «CDFUE»). Nesse aresto, e em síntese, o Tribunal declarou a inconstitucionalidade, com força obrigatória geral, da norma constante do artigo 4.º da Lei 32/2008, de 17 de julho, conjugada com o artigo 6.º da mesma lei, por violação do disposto nos n.os 1 e 4 do artigo 35.º e do n.º 1 do artigo 26.º, em conjugação com o n.º 2 do artigo 18.º, todos da Constituição, bem como da norma do artigo 9.º da Lei 32/2008, de 17 de julho, relativa à transmissão de dados armazenados às autoridades competentes para investigação, deteção e repressão de crimes graves, na parte em que não prevê uma notificação ao visado de que os dados conservados foram acedidos pelas autoridades de investigação criminal, a partir do momento em que tal comunicação não seja suscetível de comprometer as investigações nem a vida ou integridade física de terceiros, por violação do disposto no n.º 1 do artigo 35.º e do n.º 1 do artigo 20.º, em conjugação com o n.º 2 do artigo 18.º, todos da Constituição.

O presente ato legislativo, cujas normas se pretende ver sindicadas, procede a um conjunto de alterações com o objetivo último - que será analisado infra com maior pormenor - de o conformar ao referido Acórdão 268/2022, do Tribunal Constitucional.

C. O direito da União Europeia e o objeto do presente processo

C.1. O regime do Direito da União Europeia pertinente

9 - No que respeita ao regime de direito europeu correlacionado com a questão que ora nos ocupa - tendo sempre presente que o Decreto questionado pretende alterar a Lei 32/2008, de 17 de julho, que havia transposto para a ordem jurídica interna a Diretiva n.º 2006/24/CE, do Parlamento Europeu e do Conselho, de 15 de março de 2006, relativa à conservação de dados gerados ou tratados no contexto da oferta de serviços de comunicações eletrónicas publicamente disponíveis ou de redes públicas de comunicações - cumpre relembrar que o tema foi discutido com grande desenvolvimento no Acórdão 268/2022. Como tal, não vamos voltar a esta temática, o que não invalida a necessidade incontornável, aí fixada e que naturalmente se mantém, de interpretar as normas sindicadas, bem como os parâmetros constitucionais aplicáveis, em conformidade com o Direito da União Europeia (doravante, DUE), onde pontificam as diretivas pertinentes, os preceitos da CDFUE convocáveis e os diversos arestos do Tribunal de Justiça. Assim, mostra-se relevante relembrar algumas das notas que, a este propósito, foram indicadas por este Tribunal no referido Acórdão de 2022:

- As normas sindicadas colocam-se, sem qualquer dúvida, no domínio de aplicação do Direito da União Europeia e, por isso, estão (também) abrangidas pela Carta dos Direitos Fundamentais da União Europeia;

- Em virtude do princípio da administração indireta, a CDFUE vincula os Estados-membros quando estes apliquem DUE (artigo 51.º da Carta), isto é, quando as autoridades nacionais legiferam em aplicação do DUE ficam os Estados-membros vinculados ao parâmetro europeu de proteção dos direitos fundamentais;

- As normas cuja fiscalização de constitucionalidade foi (e é agora) pedida estão indiscutivelmente no âmbito de aplicação do DUE e, assim, da CDFUE;

- A Diretiva n.º 2002/58/CE, do Parlamento Europeu e do Conselho, de 12 de julho de 2002, regula as condições em que os Estados-membros podem adotar medidas de intrusão nos dados cuja confidencialidade é prescrita, tendo o Tribunal de Justiça concluído no Acórdão de 6 de outubro de 2020, La Quadrature du Net, nomeadamente em função do artigo 15.º desta Diretiva, que tanto as medidas nacionais de conservação de metadados relativos a comunicações eletrónicas, como as medidas de transmissão desses dados às autoridades públicas, para fins de investigação e repressão de criminalidade, se encontram sob o âmbito de aplicação do DUE - o que comprova a necessidade de determinar a relevância da ordem jurídica comunitária para o(s) pedido(s) de declaração de constitucionalidade, o que conduziu ao Acórdão de 2022 e o que agora está sob apreciação;

- O DUE, em decorrência do princípio da cooperação leal acolhido no n.º 3 do artigo 4.º do TUE, consagra uma imposição de os Estados-membros garantirem o efeito útil das normas europeias e de não adotarem medidas que ponham em causa os objetivos das mesmas, sendo isso que sucede no domínio dos direitos fundamentais simultaneamente acolhidos na Constituição e na CDFUE;

- Esta orientação está em boa parte plasmada em jurisprudência anterior deste Tribunal, nomeadamente no Acórdão 464/2019, onde se pode ler que «[...] este Tribunal não pode deixar de considerar os direitos fundamentais consagrados na CDFUE e na referida Convenção, devendo igualmente ter em conta, numa perspetiva de diálogo interjurisdicional, a interpretação que dos mesmos tem vindo a ser feita pelas instâncias competentes para a sua aplicação, nomeadamente o Tribunal de Justiça da União Europeia ("TJUE") e o Tribunal Europeu dos Direitos Humanos ("TEDH")»;

- No que diz respeito à CDFUE, assumem relevância neste âmbito, em particular, as normas contidas no artigo 7.º («[r]espeito pela vida privada e familiar») e 8.º ([p]roteção de dados pessoais») da CDFUE;

- O TJUE, chamado a pronunciar-se prejudicialmente sobre a citada Diretiva n.º 2006/24/CE, concluiu pela invalidade das suas normas, por implicarem uma restrição desproporcionada aos direitos ao respeito pela vida privada e familiar e à proteção de dados pessoais, consagrados, como vimos, nos artigos 7.º e 8.º da CDFUE e por estabelecerem de forma indeterminada o leque de crimes cuja investigação ou repressão pode admitir o acesso aos dados conservados - considerando violado o princípio da proporcionalidade, face ao excessivo âmbito de aplicação da medida de conservação dos dados, quer quanto ao universo objetivo (ao englobar todos os meios de comunicação eletrónica), quer subjetivo (ao abranger todas as pessoas, sem criar qualquer diferenciação, limitação ou exceção em função do objetivo ou do risco) e sem exigir qualquer relação entre a conservação dos dados e uma ameaça para a segurança pública; e também por não estabelecer garantias de proteção eficaz contra os riscos de abuso e contra qualquer acesso e sua utilização ilícita;

- O Acórdão Digital Rights Ireland permitiu a delimitação do parâmetro comunitário de admissibilidade das medidas de conservação dos dados de tráfego e de localização: tais medidas são possíveis se houver uma definição seletiva do universo dos dados e dos titulares afetados; se forem estabelecidas garantias no acesso das autoridades a essas informações; bem como de critérios objetivos de duração da conservação; e, por último, se forem criados mecanismos de segurança de proteção eficaz desses dados contra abusos, utilização e acesso ilícitos - sendo de destacar, em particular, a exigência de delimitação do universo de pessoas e situações abrangidas pelas normas, com base em elementos objetivos;

- O TJUE teve oportunidade de reiterar, em relação aos dados de tráfego e de localização, a incompatibilidade com o DUE de um regime nacional que prescreva a obrigação de conservação indiferenciada de dados de tráfego, por restringir desproporcionadamente os direitos consagrados nos artigos 7.º e 8.º da CDFUE.

10 - Foram estes, em termos sintéticos, os principais elementos do regime do direito e da jurisprudência da União Europeia carreados para os autos, no Acórdão 268/2022, que consideramos dever ser agora relembrados, em face da sua relevância para a resposta a dar ao presente pedido de fiscalização preventiva da constitucionalidade.

C.2. Desenvolvimentos recentes da jurisprudência do TJUE: o Acórdão SpaceNet

11 - Cinco meses apenas após a prolação do Acórdão 268/2022, foi exarado pela Grande Secção do Tribunal de Justiça, em 20 de setembro de 2022, o Acórdão SpaceNet e Telekom Deutschland (doravante, Acórdão SpaceNet) resultante de dois processos apensos, da República Federal da Alemanha contra SpaceNet AG (C-793/19) e contra Telekom Deutschland GmbH (C-794/19) - o qual se apoia, em larga medida, em diversos dos arestos citados no Acórdão do Tribunal Constitucional e, sobretudo, no Acórdão Commissioner of An Garda Síochána, de 5 de abril de 2022 (C-140/20), prolatado 14 dias antes do Acórdão 268/2022.

O juízo contido no Acórdão SpaceNet e a fundamentação respetiva não trazem novidades significativas à jurisprudência do TJUE, tal como extensamente examinada no Acórdão 268/2022, do Tribunal Constitucional, reafirmando as suas linhas fundamentais. O confronto do dispositivo do Acórdão ora sob o nosso escrutínio com o Acórdão La Quadrature du Net, examinado no Acórdão deste Tribunal de 2022, permite confirmar a essencial proximidade entre eles, assinalando essa linha de continuidade na jurisprudência do Tribunal de Justiça que é aqui pressuposta.

12 - Neste aresto, tendo por base dois pedidos de reenvio prejudicial efetuados pelo Bundesverwaltungsgericht alemão, respeitantes à interpretação do artigo 15.º, n.º 1, da Diretiva 2002/58/CE, do Parlamento Europeu e do Conselho, de 12 de julho de 2002, «lido à luz dos artigos 6.º a 8.º e 11.º, bem como do artigo 52.º, n.º 1, da Carta e do artigo 4.º, n.º 2, TUE». Os pedidos em questão foram apresentados no âmbito de litígios que opunham a República Federal Alemã à SpaceNet AG (processo C-793/19) e à Telekom Deutschland GmbH (processo C-794/19), a respeito da obrigação imposta a estas últimas de conservação dos dados de tráfego e dos dados de localização relativos às telecomunicações dos seus clientes - uma vez que se trata de empresas que prestam, na Alemanha, serviços de Internet publicamente disponíveis.

13 - As questões prejudiciais colocadas ao TJUE visavam averiguar se tal artigo da Diretiva deve «ser interpretado no sentido de que se opõe a uma regulamentação nacional que obriga os prestadores de serviços de comunicações publicamente disponíveis a conservarem os dados de tráfego e de localização dos utilizadores finais destes serviços» em condições determinadas. Depois de uma cuidada e desenvolvida análise da Diretiva n.º 2002/58/CE e dos preceitos de direito alemão pertinentes, concluiu o TJUE declarando que tal artigo 15.º deve ser interpretado no sentido de que «se opõe a medidas legislativas nacionais que preveem, a título preventivo, para efeitos da luta contra a criminalidade grave e da prevenção de ameaças graves contra a segurança pública, uma conservação generalizada e indiferenciada dos dados de tráfego e dos dados de localização». Pelo contrário, não se opõe a medidas legislativas nacionais que, designadamente, «permitem, para efeitos da salvaguarda da segurança nacional, impor aos prestadores de serviços de comunicações eletrónicas que procedam a uma conservação generalizada e indiferenciada de dados de tráfego e de dados de localização, em situações em que o Estado-Membro em causa enfrenta uma ameaça grave para a segurança nacional que se revela real e atual ou previsível, desde que a decisão que prevê tal imposição possa ser objeto de fiscalização efetiva quer por um órgão jurisdicional quer por uma entidade administrativa independente, cuja decisão produza efeitos vinculativos, destinada a verificar a existência de uma dessas situações e o respeito pelos requisitos e pelas garantias que devem estar previstos, e a referida imposição apenas possa ser aplicada por um período temporalmente limitado ao estritamente necessário» (itálicos nossos); bem como que prevejam, «para efeitos da salvaguarda da segurança nacional, da luta contra a criminalidade grave e da prevenção de ameaças graves contra a segurança pública, uma conservação seletiva dos dados de tráfego e dos dados de localização que seja delimitada, com base em elementos objetivos e não discriminatórios [...] por um período temporalmente limitado ao estritamente necessário» mas renovável (itálicos nossos). Havendo ainda outras aberturas, mas concluindo o TJUE, para todas elas, que só serão legítimas «desde que essas medidas assegurem, através de regras claras e precisas, que a conservação dos dados em causa está sujeita ao respeito das respetivas condições materiais e processuais e que as pessoas em causa dispõem de garantias efetivas contra os riscos de abuso» (itálicos nossos).

14 - São ainda de destacar as seguintes notas resultantes da fundamentação do Acórdão SpaceNet, no sentido da jurisprudência anterior convocada no Acórdão 268/2022:

i) O papel do princípio da confidencialidade tanto das comunicações eletrónicas como dos respetivos dados de tráfego;

ii) O facto de o legislador da União ter pretendido «assegurar a continuação de um elevado nível de proteção dos dados pessoais e da privacidade no que diz respeito a todos os serviços de comunicações eletrónicas»;

iii) A necessidade de proteger os utilizadores dos serviços de comunicações eletrónicas contra os riscos para os seus dados pessoais e a sua vida privada resultantes das novas tecnologias, em particular o pleno respeito pelos direitos consignados nos artigos 7.º e 8.º da Carta, relativos, respetivamente, à proteção da vida privada e à proteção dos dados pessoais;

iv) O facto de a conservação de dados de tráfego e de dados de localização constituir, em si mesma, uma derrogação da proibição, prevista no artigo 5.º, n.º 1, da Diretiva 2002/58/CE, imposta a qualquer pessoa distinta dos utilizadores, de armazenar estes dados e, por outro lado, uma ingerência nos direitos fundamentais do respeito pela vida privada e da proteção dos dados pessoais;

v) A circunstância de a conservação de dados de tráfego e de dados de localização para fins policiais ser suscetível de violar o direito ao respeito pelas comunicações, consagrado no artigo 7.º da Carta e de a mera conservação de tais dados pelos prestadores de serviços de comunicações eletrónicas comportar riscos de abuso e de acesso ilícito.

15 - Por outro lado, é natural que o Acórdão SpaceNet não tenha visto a realidade em questão apenas pelo prisma dos direitos fundamentais convocados, mostrando também que o artigo 15.º, n.º 1, da Diretiva 2002/58/CE reflete o facto de os direitos consagrados nos artigos 7.º, 8.º e 11.º da Carta não serem prerrogativas absolutas, já que resulta do artigo 52.º, n.º 1, da mesma Carta que se admitem restrições ao exercício desses direitos, mas desde que tais restrições estejam previstas por lei, respeitem o conteúdo essencial desses direitos e, na observância do princípio da proporcionalidade, sejam necessárias e correspondam efetivamente a objetivos de interesse geral reconhecidos pela União ou à necessidade de proteção dos direitos e liberdades de terceiros. Mas, para cumprir tal exigência de proporcionalidade, a legislação nacional deve prever «normas claras e precisas que regulem o âmbito e a aplicação da medida em causa e impor requisitos mínimos, de modo que as pessoas cujos dados foram conservados disponham de garantias suficientes que permitam proteger eficazmente os seus dados pessoais contra os riscos de abuso». Reforçando a tendência protetora quando salienta, em relação aos objetivos de prevenção, de investigação, de deteção e de repressão de infrações penais, em conformidade com o princípio da proporcionalidade, que «só a luta contra a criminalidade grave e a prevenção das ameaças graves contra a segurança pública são suscetíveis de justificar ingerências graves nos direitos fundamentais consagrados nos artigos 7.º e 8.º da Carta» - apesar de, mesmo neste âmbito da luta contra a criminalidade grave, «uma legislação nacional que prevê, para este efeito, a conservação generalizada e indiferenciada de dados de tráfego e de dados de localização excede os limites do estritamente necessário e não pode ser considerada justificada».

16 - No que se refere ao prazo de conservação dos dados, o Acórdão SpaceNet é também claro: apesar de nos preceitos alemães em questão os prazos de conservação serem curtos (quatro semanas para os dados de localização e dez semanas para os outros dados), o TJUE não deixou de assinalar que «a gravidade da ingerência decorre do risco, nomeadamente tendo em conta o seu número e a sua variedade, de os dados conservados, considerados no seu conjunto, permitirem tirar conclusões muito precisas sobre a vida privada da ou das pessoas cujos dados foram conservados e, em especial, fornecerem os meios para determinar o perfil da ou das pessoas em causa, que é uma informação tão sensível, à luz do direito ao respeito pela privacidade, quanto o próprio conteúdo das comunicações», pelo que a conservação de dados de tráfego ou de dados de localização «apresenta, de qualquer modo, um caráter grave independentemente da duração do período de conservação, da quantidade ou da natureza dos dados conservados, quando o referido conjunto de dados seja suscetível de permitir tirar conclusões precisas sobre a vida privada da pessoa ou das pessoas em causa».

17 - Em conclusão, os dados do DUE e a forma como os preceitos pertinentes para esta decisão são interpretados pelo TJUE não se alteraram, após a prolação do Acórdão 268/2022, confirmando os elementos carreados para este aresto. Razão pela qual nenhum elemento novo resulta desta análise para a resposta ao presente pedido de fiscalização preventiva da constitucionalidade.

D. Enquadramento jurisprudencial: o Acórdão 268/2022

18 - Como é referido no pedido do Senhor Presidente da República e no próprio Decreto cujas normas se encontram sob apreciação, o Acórdão do Tribunal Constitucional n.º 268/2022 é o critério fundamental que o legislador terá procurado seguir e cujo cumprimento é questionado no pedido. Neste último destaca-se a dúvida do requerente no sentido de uma das soluções encontradas «pode[r] não se conformar com o decidido pelo Tribunal no acórdão citado» (7.º) e se uma outra «satisfaz as exigências constantes do referido acórdão do Tribunal Constitucional» (8.º). No Decreto, é no próprio título que se pode ler que se leva a cabo a segunda alteração à Lei 32/2008, de 17 de julho, «conformando-a com o Acórdão do Tribunal Constitucional n.º 268/2022», indicação reiterada na alínea a) do seu artigo 1.º

19 - Nestes termos, revela-se incontornável que seja em torno da referida pronúncia deste Tribunal que deverão ser apreciadas as normas sindicadas, que pretenderam responder de forma direta aos fundamentos de inconstitucionalidade ali assinalados. A forma como o Acórdão 268/2022 interpretou e aplicou as exigências constitucionais nesta sede não poderá deixar de ser o parâmetro fundamental na apreciação do pedido. Circunstância reforçada por serem os preceitos constitucionais indicados no dispositivo dessa decisão [os n.os 1 e 4 do artigo 35.º e o n.º 1 do artigo 26.º, em conjugação com o n.º 2 do artigo 18.º, todos da Constituição, na sua alínea a); e o n.º 1 do artigo 35.º e o n.º 1 do artigo 20.º, em conjugação com o n.º 2 do artigo 18.º, todos da Constituição, na alínea b) do dispositivo] exatamente os mesmos que são convocados pelo Senhor Presidente da República no seu pedido.

Em suma: o Acórdão 268/2022 - ou, melhor, a forma como as normas do regime em causa foram analisadas neste aresto à luz das exigências constitucionais decorrentes dos preceitos citados - terá de ser o crivo fundamental pelo qual deverão passar as normas sindicadas, para se concluir pela sua conformidade constitucional ou, pelo contrário, pela não obediência às determinações constitucionais pertinentes.

20 - Cumpre ainda pôr em evidência que o requerente sintetiza as razões que levaram o Tribunal Constitucional a pronunciar-se no sentido da inconstitucionalidade da seguinte forma: em resultado de o regime resultante de tais normas «i) permitir uma recolha indiscriminada de dados de tráfego; ii) não prever a notificação ao visado de que os dados conservados foram acedidos pelas autoridades de investigação criminal».

21 - De qualquer forma, impõe-se recuperar, de forma condensada, o entendimento perfilhado pelo Tribunal no que respeita à admissibilidade de um regime de conservação, armazenamento e acesso de metadados, com vista à sua eventual futura utilização para prevenção, investigação e repressão de crimes graves, respeitando os direitos fundamentais à reserva da intimidade da vida privada, à autodeterminação informativa e à tutela jurisdicional efetiva (artigos 26.º, n.º 1, 35.º, n.º 1, e 20.º, n.º 1, todos da Constituição, respetivamente):

(i) É constitucionalmente admissível a conservação generalizada de todos os dados de base, pelo período de um ano;

(ii) Quanto aos dados de tráfego e de localização, tal conservação apenas será constitucionalmente admissível, desde logo, se não for indiferenciada - portanto, se houver uma definição do leque de visados que se dirija, de forma direta, às situações em que a agressão aos direitos fundamentais que estejam em causa possa ter-se por orientada ao cumprimento dos objetivos da ação penal, no sentido em que esses visados tenham de ser, no mínimo, suspeitos de uma atividade criminosa;

(iii) Em qualquer caso, o armazenamento dos dados tem de ocorrer em território da União Europeia;

(iv) O acesso aos dados - todos eles, sejam dados de base e/ou dados de tráfego - tem necessariamente de ser acompanhado de uma notificação, aos interessados, de que os seus dados foram acedidos pelos órgãos competentes pela investigação criminal, uma vez terminado o processo em que tal tenha ocorrido, e desde que essa notificação não seja suscetível de comprometer as investigações criminais ou de constituir risco para a integridade física ou vida de terceiros.

E. Da apreciação da conformidade constitucional das normas do Decreto sindicadas

22 - Como já foi referido, são as seguintes as normas do Decreto da Assembleia da República n.º 91/XV sindicadas no pedido sob apreciação:

- A norma constante do artigo 2.º, na parte em que altera o artigo 4.º da Lei 32/2008, de 17 de julho;

- A norma constante do artigo 2.º, na parte em que altera o artigo 4.º quando conjugado com o artigo 6.º da Lei 32/2008, de 17 de julho;

- A norma constante do artigo 2.º, na parte em que altera o artigo 9.º da Lei 32/2008, de 17 de julho.

Procederemos de seguida à sua análise autónoma, confrontando as soluções acolhidas agora pelo legislador parlamentar com as exigências constitucionais pertinentes, tal como foram concretizadas no Acórdão 268/2022. Isto é, analisaremos para cada uma das normas sindicadas (i) o pedido do requerente; em seguida, (ii) a redação da norma sindicada na versão submetida ao Tribunal no pedido que deu origem ao Acórdão 268/2022; examinaremos, então, (iii) a nova solução, da versão sindicada, para (iv) a confrontar com as exigências resultantes desse mesmo aresto; e (v) concluiremos pela observância ou não observância dos ditames constitucionais tal como foram concretizados no dito Acórdão.

23 - Começando, nos termos do pedido, pela norma constante do artigo 2.º, na parte em que altera o artigo 4.º da Lei 32/2008, de 17 de julho - e seguindo a orientação metodológica supra enunciada - a redação submetida à anterior apreciação do Tribunal Constitucional era a seguinte: «1. Os fornecedores de serviços de comunicações electrónicas publicamente disponíveis ou de uma rede pública de comunicações devem conservar as seguintes categorias de dados: [...]». De acordo com a redação do Decreto da Assembleia da República n.º 91/XV tal artigo passa a ter a seguinte redação (alterações em destacado): «1. Os fornecedores de serviços de comunicações eletrónicas publicamente disponíveis ou de uma rede pública de comunicações devem conservar, nos termos previstos na presente lei, em Portugal ou no território de outro Estado-Membro da União Europeia, as seguintes categorias de dados: [...]».

24 - Resulta à evidência que, com este aditamento, pretendeu o legislador ultrapassar o juízo de inconstitucionalidade contido na alínea a) do dispositivo do Acórdão 268/2022, tendo por parâmetro as normas dos n.os 1 e 4 do artigo 35.º da Constituição - lidos e aplicados em conjugação com a jurisprudência do TJUE produzida neste âmbito, com convocação e apoio nos artigos 7.º e 8.º da CDFUE - e que está desenvolvido no Acórdão nos seguintes termos:

«16 - No seguimento das conclusões precedentes, e ainda antes de quaisquer ponderações de proporcionalidade, é desde logo evidente que as normas fiscalizadas não obedecem a uma das condições de que depende a conformidade constitucional das medidas legislativas relativas à conservação de dados pessoais: o legislador não prescreveu a necessidade de o armazenamento dos dados ocorrer no território da União Europeia, pondo em causa a efetividade dos direitos avalizados pelos n.os 1 e 4 do artigo 35.º da Constituição [...].

Ao admitir que tais dados possam ser conservados em países subtraídos à fiscalização por autoridade administrativa independente e aos direitos de auditoria dos visados, o legislador transgride a injunção de previsão do seu armazenamento em local em que sejam efetivas as garantias constitucionais de proteção e a intervenção da autoridade administrativa independente (n.º 2 do artigo 35.º da Constituição), falecendo a garantia de proteção destes dados contra a devassa ou difusão. Com efeito, o ordenamento apenas tutelou a transferência para Estados terceiros de tais dados pessoais e somente no que respeita a pessoas singulares; não tendo determinado, como resultava da injunção constitucional, a obrigação de armazenamento desses dados num Estado-Membro da União Europeia.

É quanto basta para concluir pela inconstitucionalidade, por violação do direito à autodeterminação informativa, consagrado nos n.os 1 e 4 do artigo 35.º da Constituição [...], das normas contidas nos artigos 4.º e 6.º da Lei 38/2008, de 17 de julho».

25 - Isto é, na redação anterior o legislador não prescrevia a necessidade de o armazenamento de dados ocorrer no território da União Europeia, pondo em causa a efetividade dos direitos contidos nos preceitos constitucionais citados, admitindo que tais dados pudessem ser conservados em países não sujeitos à fiscalização por autoridade administrativa independente, não dando guarida à necessidade de determinação do seu armazenamento em local onde sejam efetivas as garantias constitucionais de proteção por parte de tal autoridade. Tal consideração foi suficiente para este Tribunal concluir, sem mais, pela inconstitucionalidade de tal norma, por violação do direito à autodeterminação informativa, consagrado nos citados n.os 1 e 4 do artigo 35.º da Constituição, lidos e aplicados em conjugação com os preceitos de DUE pertinentes.

26 - Pelo contrário, o n.º 1 do artigo 4.º do Decreto 91/XV prevê que a conservação dos dados por parte dos fornecedores de serviços de comunicações eletrónicas publicamente disponíveis ou de uma rede pública de comunicações deve ser feito em Portugal ou no território de outro Estado-Membro da União Europeia. Como tal, se a conservação dos dados passa a ser feita em território em cujas jurisdições são assegurados níveis de proteção dos dados materialmente equivalentes àqueles que decorrem da Constituição, em especial do seu artigo 35.º, deixa de haver motivo para se manter o juízo de inconstitucionalidade vertido no Acórdão 268/2022. Que é o mesmo que dizer: a alteração preconizada por esta norma, indo ao encontro das condições de admissibilidade elencadas pelo Tribunal Constitucional, não padece de inconstitucionalidade por violação do artigo 35.º, n.os 1 e 2, da Constituição.

27 - O segundo segmento do pedido do Senhor Presidente da República reporta-se à «norma constante do artigo 2.º, na parte em que altera o artigo 4.º quando conjugado com o artigo 6.º da Lei 32/2008, de 17 de julho». É esta a parte que exige uma análise mais detida e pormenorizada, nomeadamente por o artigo 6.º do Decreto sob escrutínio proceder a uma catalogação bastante detalhada, com a submissão das diferentes categorias de dados, de forma inovatória, por comparação com a redação da Lei 32/2008, de 17 de julho, submetida à apreciação deste Tribunal no pedido que deu origem ao Acórdão 268/2022. Vejamos então a questão nos seus múltiplos contornos.

28 - O artigo 6.º da Lei 32/2008, que regula o período de conservação durante o qual os «fornecedores de serviços de comunicações eletrónicas publicamente disponíveis ou de uma rede pública de comunicações devem conservar» as diversas categorias de dados (artigo 4.º) limitava-se a estabelecer o «período de um ano a contar da data da conclusão da comunicação», sem estabelecer qualquer distinção entre os diversos tipos de dados.

Não obstante, o Tribunal Constitucional sentiu-se na necessidade de fazer tal diferenciação, uma vez que as exigências jurídico-constitucionais - paralelas às exigências do DUE, nomeadamente as resultantes da CDFUE - não são as mesmas para os diversos tipos de dados. Partindo das diversas categorias de dados previstas no artigo 4.º e numa síntese, pelo menos por ora, muito apertada, há que distinguir os dados de base dos dados de tráfego, incluindo nestes últimos, por regra, os dados de localização. Recuperando o que ficou a este propósito plasmado no Acórdão 268/2022:

«6.1 - No que tange ao regime de conservação dos dados, prevê-se uma obrigação, para os fornecedores de serviços de comunicações eletrónicas ou de uma rede pública de comunicações, de preservação dos dados elencados no artigo 4.º, relativos a quaisquer utilizadores e assinantes.

O n.º 1 do artigo 4.º prescreve a conservação de dados que permitam identificar o assinante ou utilizador, a fonte, o destino, data, hora, duração e o tipo de comunicação, bem como identificar o equipamento de telecomunicações e a sua localização. A obrigação abrange os dados relativos às subscrições e a todas as comunicações eletrónicas necessários para encontrar e identificar a fonte e o destino de uma comunicação [alíneas a) e b) do n.º 1 do artigo 4.º], para determinar a data, a hora, a duração e o tipo de comunicação [alíneas c) e d) do n.º 1 do artigo 4.º], para identificar o equipamento de telecomunicações dos utilizadores [alínea e) do n.º 1 do artigo 4.º] e para identificar a localização do equipamento de comunicação móvel [alínea f) do n.º 1 do artigo 4.º]. O que compreende os dados gerados ou tratados no âmbito de serviços telefónicos na rede fixa, de serviços telefónicos na rede móvel, de serviços de acesso à internet, de serviços de correio eletrónico através da internet e de serviços de comunicações telefónicas através da internet.

[...]

Os dados referidos no artigo 4.º não abrangem o conteúdo das comunicações, dizendo respeito somente às suas circunstâncias - razão pela qual são usualmente designados por metadados (ou dados sobre dados) - cf. Acórdãos n.os 403/2015 e 420/2017:

[...]

O conjunto de metadados elencado no artigo 4.º abrange dados de diferente natureza, categorizados na jurisprudência constitucional como dados de base e dados de tráfego. A distinção é relevante, pois a tutela constitucional não é modelada nos mesmos termos para as duas espécies.

Os dados de base referem-se à conexão à rede, independentemente de qualquer comunicação, permitindo a identificação do utilizador de certo equipamento - nome, morada, número de telefone (Acórdãos n.os 241/2002, 486/2009, 403/2015, 420/2017 e 464/2019); como se disse no Acórdão 486/2009, reproduzindo os Pareceres n.os 16/94 e 21/2000 do Conselho Consultivo da PGR, «Os dados de base constituem, na perspetiva dos utilizadores, os elementos necessários ao acesso à rede, designadamente através da ligação individual e para utilização própria do respetivo serviço: interessa aqui essencialmente o número e os dados através dos quais o utilizador tem acesso ao serviço». Já os dados de tráfego são definidos como «os dados funcionais necessários ao estabelecimento de uma ligação ou comunicação e os dados gerados pela utilização da rede (por exemplo, localização do utilizador, localização do destinatário, duração da utilização, data e hora, frequência)» (Acórdão 403/2015); «Constituem, pois, elementos já inerentes à própria comunicação, na medida em que permitem identificar, em tempo real ou a posteriori, os utilizadores, o relacionamento direto entre uns e outros através da rede, a localização, a frequência, a data, hora e a duração da comunicação, devem participar das garantias a que está submetida a utilização do serviço, especialmente tudo quanto respeite ao sigilo das comunicações» (Acórdão 486/2009, reproduzindo os Pareceres n.os 16/94 e 21/2000 do Conselho Consultivo da PGR)

A norma abrange ambas as categorias de metadados: ao determinar a conservação de dados relativos a «nome do assinante ou do utilizador registado», «códigos de identificação atribuídos ao utilizador», «O código de identificação do utilizador e o número de telefone atribuídos a qualquer comunicação que entre na rede telefónica pública» e «nome e o endereço do assinante ou do utilizador registado, a quem o endereço do protocolo IP estava atribuído», alcançam-se os designados dados de base, que não pressupõem qualquer comunicação (abrangendo até uma fase prévia à comunicação), visando a identificação do utilizador do aparelho que se conexiona à rede. Por outro lado, ao estabelecer a conservação de dados gerados a propósito de uma certa comunicação (dados relativos à data, hora e duração de comunicações, protocolos IP estáticos e dinâmicos, hora e data de início [log in] e fim [log off] de ligação à internet), compreendem-se os dados de tráfego, aqueles que são produzidos pelo estabelecimento de uma certa comunicação ou sua tentativa.

Importa traçar dois sublinhados no que respeita à subsunção dos dados mencionados no artigo 4.º da Lei 32/2008 na categorização seguida pelo Tribunal Constitucional (dados de base e dados de tráfego).

A primeira nota refere-se aos endereços de protocolo IP. Estes são habitualmente inseridos na categoria de dados de base, por não revelarem quaisquer circunstâncias da comunicação - mas apenas a identificação do computador que se conectou à rede. Todavia, se se contrapuser a identificação de um utilizador de um número de telefone com a do protocolo IP, subjazem diferenças importantes, que o Tribunal Constitucional Federal Alemão assinalou no Acórdão do 1. Senat, de 2 de março de 2010 - 1 BvR 256/08; 1 BvR 263/08; 1 BvR 586/08, §259: os números de telefone são, em princípio, caracteres permanentes, pelo que a identificação do sujeito a que pertencem pode ser obtida independentemente de qualquer comunicação. Pelo contrário, os protocolos IP podem ser estáticos (identificando permanentemente um ponto de acesso à rede) ou dinâmicos (sendo atribuídos a certo computador apenas no momento em que se conexiona à rede e durante a sua ligação). Quer isto dizer que a identificação de um protocolo IP dinâmico envolve informação da sua utilização num determinado momento, revelando não apenas o utilizador como também o uso da internet em certo contexto.

Neste quadro, a identificação do sujeito a que estava atribuído determinado protocolo IP dinâmico não permite, de forma tão clara, obedecer à divisão entre dados de base e dados de tráfego, pois certas circunstâncias da comunicação (a data e a hora) são inerentes à identificação do protocolo de IP dinâmico. Foi essa a razão pela qual o Tribunal Constitucional Federal Alemão, no Acórdão de 17 de julho de 2020 (1 BvR 1873/13 - 1 BvR 2618/13), entendeu que a identificação do titular de um protocolo IP dinâmico, ao pressupor uma consulta do tráfego para identificar o utilizador em dado momento, se enquadra nos dados de tráfego, eventualmente submetidos no âmbito do direito à inviolabilidade das comunicações (§§ 101 e 102 do Acórdão).

A segunda nota liga-se à natureza dos designados "dados de localização", definidos pela alínea c) do artigo 2.º da Diretiva 2002/58/CE como «quaisquer dados tratados numa rede de comunicações eletrónicas que indiquem a posição geográfica do equipamento terminal de um utilizador de um serviço de comunicações eletrónicas publicamente disponível». Reconduzindo aquele conceito às categorias de metadados reconhecidas pelo Tribunal Constitucional, a informação relativa à localização do equipamento pode enquadrar-se nos dados de base (quando identifica a posição geográfica do aparelho, independentemente de qualquer comunicação) ou nos dados de tráfego (quando esta identificação está associada a uma comunicação ou tentativa de comunicação - onde estava o sujeito A quando comunicou com o sujeito B). Sucede que a primeira espécie dos dados de localização (a que não pressupõe comunicações) é residual, como notou o Tribunal Constitucional no Acórdão 464/2019: «segundo o parecer da CNPD n.º 38/2017, nos dias de hoje ocorrem comunicações mesmo quando o utilizador do equipamento de comunicação não o aciona direta e intencionalmente. É, por exemplo, o caso das atualizações efetuadas pelas aplicações de correio eletrónico ou outro tipo de mensagens, o que significa que a geração e troca de dados são praticamente constantes, mesmo quando os cidadãos utilizadores dos equipamentos nada fazem». Por essa razão, «tem-se considerado que os mesmos estão também incluídos no conceito mais amplo de "dados de tráfego"» (Acórdão 403/2015), ideia que aqui se reafirma.

O legislador de 2008, repetimo-lo, não foi sensível à categorização dos diversos tipos de dados, estabelecendo para todos o período de conservação de um ano.

29 - Pelo contrário, no Decreto da Assembleia da República n.º 91/XV procede-se a uma densificação do período de conservação dos dados previsto no artigo 6.º, com o estabelecimento de regras diferenciadas em relação às diferentes categorias. Isto é, de um regime indiferenciado, em que se determinava o prazo de um ano como período de conservação durante o qual os fornecedores de serviços de comunicações eletrónicas publicamente disponíveis ou de uma rede pública de comunicações estavam obrigados a conservar todos os tipos de dados, passamos para uma disciplina com regras diferenciadas em função da natureza dos dados em causa. Assim, na versão proposta, é a seguinte a redação do artigo 6.º:

«Artigo 6.º

Período e regras de conservação

1 - Para efeitos da finalidade prevista no n.º 1 do artigo 3.º, as entidades referidas no n.º 1 do artigo 4.º devem conservar, pelo período de um ano a contar da data da conclusão da comunicação, os seguintes dados:

a) Os dados relativos à identificação civil dos assinantes ou utilizadores de serviços de comunicações publicamente disponíveis ou de uma rede pública de comunicações;

b) Os demais dados de base;

c) Os endereços de protocolo IP atribuídos à fonte de uma ligação.

2 - Os dados de tráfego e de localização são conservados pelas entidades referidas no n.º 1 do artigo 4.º pelo período de três meses a contar da data da conclusão da comunicação, considerando-se esse período prorrogado até seis meses, salvo se o seu titular se tiver oposto perante as referidas entidades à prorrogação dessa conservação.

3 - Os prazos de conservação previstos no número anterior podem ser prorrogados por períodos de três meses até ao limite máximo de um ano, mediante autorização judicial, requerida pelo Procurador-Geral da República, fundada na sua necessidade para a finalidade prevista no n.º 1 do artigo 3.º

4 - A prorrogação do prazo de conservação referida nos números anteriores deve limitar-se ao estritamente necessário para a prossecução da finalidade prevista no n.º 1 do artigo 3.º, devendo cessar logo que se confirme a desnecessidade da sua conservação.

5 - As entidades referidas no n.º 1 do artigo 4.º não podem aceder aos dados aí elencados salvo nos casos previstos na lei ou definidos contratualmente com o cliente para efeitos emergentes das respetivas relações jurídicas comerciais.

6 - A autorização judicial a que se refere o n.º 3 compete a uma formação das secções criminais do Supremo Tribunal de Justiça, constituída pelos presidentes das secções e por um juiz designado pelo Conselho Superior da Magistratura, de entre os mais antigos destas secções.»

30 - Cumpre, agora, averiguar se este regime, com as diferenciações propostas, observa as exigências jurídico-constitucionais tal como ficaram plasmadas no Acórdão 268/2022. Tarefa facilitada por o Tribunal Constitucional, neste seu aresto, ter já procedido a tais diferenciações, no pressuposto de que:

«de acordo com a jurisprudência deste Tribunal, a tutela constitucional dos metadados das comunicações (dados que não abrangem o conteúdo das comunicações, mas dizem respeito somente às suas circunstâncias) não é uniforme: a distinção entre dados de base, relativos à identificação dos sujeitos que se conectam à rede, e dados de tráfego - «os dados funcionais necessários ao estabelecimento de uma ligação ou comunicação e os dados gerados pela utilização da rede (por exemplo, localização do utilizador, localização do destinatário, duração da utilização, data e hora, frequência)» - tem refração nos parâmetros convocáveis» (cf. 10.).

31 - Em termos genéricos, começou o Tribunal Constitucional por observar que,

«Ao determinar a conservação e o armazenamento dos dados pessoais aí elencados pelo período de um ano, as normas dos artigos 4.º e 6.º da Lei 32/2008, de 17 de julho, constringem, pelo menos, os direitos à reserva da intimidade da vida privada, ao livre desenvolvimento da personalidade e à autodeterminação informativa. [...].

Deste modo, o problema que é posto ao Tribunal é o de saber se estão preenchidos os pressupostos para a legitimidade constitucional da compressão. O que depende, atenta a natureza de direitos, liberdades e garantias dos direitos restringidos, da necessidade de salvaguardar outros direitos ou interesses constitucionalmente protegidos e do estrito cumprimento do princípio da proporcionalidade» (Acórdão 268/2022, 15.).

E uma vez que se deu por demonstrada a salvaguarda de tais direitos ou interesses constitucionalmente protegidos - então como agora, a investigação, prevenção e repressão de crimes graves, determinada no artigo 1.º da Lei 32/2008, de 17 de julho, preceito que não foi alterado pelo Decreto sob apreciação - a análise centrou-se em saber se seriam cumpridos os requisitos colocados pelo princípio da proporcionalidade - nos três planos em que o mesmo se desenvolve - à restrição de direitos fundamentais, nos termos decorrentes dos n.os 2 e 3 do artigo 18.º da Constituição da República.

32 - No que se refere, em primeiro lugar, aos dados de base (cf. ponto 17. do Acórdão 268/2022) entendeu o Tribunal que «o período de conservação de um ano não é desrazoável, não se demonstrando que a previsão de um prazo de conservação mais curto pudesse garantir similar eficácia» (cf. 17.3.). Acrescentando, para fundamentar tal compreensão das coisas que, «no que respeita aos dados de base (e aos endereços de protocolo IP que identificam a fonte da comunicação, independentemente da sua classificação), o direito da União Europeia não põe em causa a ponderação de proporcionalidade feita pelo Tribunal Constitucional no Acórdão 420/2017, sendo esta conforme ao parâmetro europeu, cujo sentido foi já clarificado pela jurisprudência do Tribunal de Justiça. Em consequência, concluindo-se pela bondade constitucional da conservação dos endereços do protocolo IP da fonte da comunicação - enquanto dado que pode espelhar uma agressão mais intensa no direito à intimidade da vida privada, por pressupor um tratamento do momento do acesso à internet, no caso dos endereços dinâmicos - por maioria de razão será igualmente conforme aos requisitos do n.º 2 do artigo 18.º a conservação de dados de base que não pressupõem a análise de quaisquer comunicações (números de telefone, endereços de correio eletrónico, etc.)» (17.3.). Juízo de conformidade constitucional que se entendeu também estender aos dados de base que conduzam à identificação de pessoas coletivas, levando à conclusão segundo a qual «a obrigação de conservação de dados de base (e de endereços de protocolo IP dinâmicos relativos à fonte de uma comunicação, independentemente da respetiva categorização) pelo período de um ano, constante da conjugação das normas dos artigos 4.º e 6.º da Lei 32/2008, de 17 de julho, não seria em si mesma inconstitucional, se o legislador houvesse cumprido a injunção de prever o seu armazenamento no território da União Europeia» (17.4.).

33 - Já no que diz respeito aos dados de tráfego, gerados a propósito de uma específica comunicação - com destaque especial para os dados de localização - a decisão do Tribunal foi oposta, concluindo pela inconstitucionalidade do regime da Lei 32/2008 então submetida ao seu juízo. O Tribunal partiu do pressuposto - que se nos continua a afigurar incontornável, também em face da jurisprudência do TJUE - de que a conservação dos dados de localização (mesmo daqueles que não sejam gerados em virtude de uma comunicação pessoal) «materializa uma agressão mais intensa à intimidade da vida privada dos sujeitos privados do que a preservação dos dados de base, ao permitirem identificar, a todo o tempo, a posição e os movimentos dos utilizadores». E a conclusão foi - e é - a mesma em relação aos dados de tráfego, mesmo quando não pressupõem uma comunicação (ou sua tentativa) interpessoal, como os sítios da Internet consultados, por quanto tempo, em que momento e a quantidade de tráfego gerado. Como ficou plasmado no Acórdão em apreço, «[e]stes dados permitem traçar um perfil do utilizador, identificar os seus interesses e mesmo reconhecer, em certos casos, o tipo de conteúdos consultados» (18.).

Seguindo ainda esse aresto do Tribunal Constitucional, a privacidade e a proteção dos dados pessoais é afetada de modo particularmente intenso pela conservação destes dados, constituindo uma agressão mais intensa dos direitos fundamentais à intimidade da vida privada, a qual se reflete, naturalmente, na proporcionalidade da restrição: as exigências decorrentes deste princípio eram ultrapassadas pelas normas então sindicadas, juízo que foi tirado com suporte essencial nas pronúncias do Tribunal de Justiça carreadas para o Acórdão 268/2022. A conclusão do Tribunal foi a de que se estava perante «uma solução legislativa desequilibrada, por atingir sujeitos relativamente aos quais não há qualquer suspeita de atividade criminosa», porque a conservação de todos os dados de localização e de tráfego de todos os assinantes implica que fiquem abrangidas as «comunicações eletrónicas da quase totalidade da população, sem qualquer diferenciação, exceção ou ponderação face ao objetivo perseguido». Não podendo surpreender, como tal, a conclusão da ultrapassagem, nas disposições aí fiscalizadas, dos limites da proporcionalidade no que concerne ao respetivo âmbito subjetivo, violando-se o n.º 2 do artigo 18.º da Constituição na restrição aos direitos fundamentais à reserva da intimidade da vida privada e à autodeterminação informativa (artigos 26.º, n.º 1, e 35.º, n.º 1, da Constituição).

34 - É agora tempo de confrontar as soluções do Decreto 91/XV com as exigências constitucionais, tal como foram elucidadas no Acórdão 268/2022.

As novidades mais assinaláveis do artigo 6.º, na versão ora proposta passam, como já foi adiantado (cf. supra. 27. e 29.), pelo estabelecimento de regras diferenciadas em função das diferentes categorias de dados. Assim, o período de conservação para os dados de base, definidos no n.º 1 - uma vez que este se refere, na al. a), aos dados relativos à identificação civil dos assinantes ou utilizadores de comunicações publicamente disponíveis ou de uma rede pública de comunicações; na alínea b) aos demais dados de base; e na alínea c) aos endereços de protocolo IP atribuídos à fonte de uma ligação - continua a ser de um ano a contar da data da conclusão da comunicação. Acrescente-se que, mesmo em relação aos endereços de protocolo IP dinâmicos, o TJUE se pronunciou no sentido de que «as medidas nacionais que estabeleçam a sua conservação generalizada, mesmo restringindo os direitos consagrados nos artigos 7.º e 8.º da CDFUE (respeito pela vida privada e familiar; proteção de dados pessoais), deve ter-se por compatível com o direito da União Europeia, por cumprir o crivo da proporcionalidade (Acórdão La quadrature du net, cit., n.º 152)» (cf. Acórdão 268/2022, 17.3., bem como, ainda, o Acórdão Commissioner of An Garda Síochána, cit., n.os 70/74). Também este Tribunal considerou, no mesmo aresto (17.4.) - como foi já visto - que a obrigação de conservação de dados de base - incluindo de endereços de protocolo IP dinâmicos relativos à fonte de uma comunicação - pelo período de um ano, não é em si mesma inconstitucional.

35 - Já os dados de tráfego e de localização passam a ser conservados (apenas) pelo prazo de três meses a contar da data da conclusão da comunicação, sendo esse período prorrogado até seis meses desde que o seu titular não se tenha oposto à prorrogação da conservação (n.º 2). Em todo o caso, a prorrogação dos prazos de conservação pode ir até ao limite máximo de um ano, mediante autorização judicial, requerida pelo Procurador-Geral da República (n.º 3). Este artigo 6.º passou a ter um regime bastante mais completo e densificado, não sendo, todavia, evidente que os restantes números relevem, pelo menos autonomamente, para a questão de constitucionalidade: o n.º 4 determina que as prorrogações do prazo de conservação se devem limitar «ao estritamente necessário para a prossecução da finalidade prevista no n.º 1 do artigo 3.º, devendo cessar logo que se confirme a desnecessidade da sua conservação»; o n.º 5 dispõe que as entidades fornecedoras de serviços de comunicações eletrónicas não podem aceder aos dados conservados, salvo nos casos previstos na lei ou definidos contratualmente com o cliente; e o n.º 6, por fim, estabelece que a autorização judicial prevista no n.º 3 compete a uma formação das secções criminais do Supremo Tribunal de Justiça, com a composição aí prevista.

36 - Antecipando a nossa conclusão, a alteração do artigo 4.º, quando conjugado com o artigo 6.º da Lei 32/2008, de 17 de julho, levada a cabo pelo artigo 2.º do Decreto da Assembleia da República n.º 91/XV, referente à obrigação de conservação dos dados de tráfego gerados a propósito de uma específica comunicação - onde assumem relevo particular os dados de localização - não ultrapassa o crivo da constitucionalidade, tal como ficou plasmado de forma cristalina no Acórdão 268/2022. Regressando uma vez mais a este aresto, ficou absolutamente claro no seu ponto 18., o seguinte (destacados e sublinhados nossos):

«18 - O mesmo não pode concluir-se quanto à obrigação de conservação dos dados de tráfego, gerados a propósito de uma específica comunicação, com especial relevância para os dados de localização.

A conservação dos dados de localização, ainda que não sejam gerados em virtude de uma comunicação pessoal, materializam uma agressão mais intensa à intimidade da vida privada dos sujeitos privados do que a preservação dos dados de base, ao permitirem identificar, a todo o tempo, a posição e os movimentos dos utilizadores. O mesmo se diga quanto aos dados de tráfego, mesmo quando não pressupõem uma comunicação (ou sua tentativa) interpessoal, como os sítios da internet consultados, por quanto tempo, em que momento e a quantidade de tráfego gerado. Estes dados permitem traçar um perfil do utilizador, identificar os seus interesses e mesmo reconhecer, em certos casos, o tipo de conteúdos consultados. [...]

Note-se que, se as normas em crise parecem apenas determinar a conservação de dados relativos a comunicações, no que respeita aos dados de tráfego «necessários para identificar a data, a hora e a duração de uma comunicação» (alínea c) do n.º 1 do artigo 4.º), determina-se a conservação de dados que são gerados pela simples utilização da internet, independentemente de qualquer comunicação intersubjetiva (alínea b) do n.º 4 do artigo 4.º: «A data e a hora do início (log in) e do fim (log off) da ligação ao serviço de acesso à Internet com base em determinado fuso horário, juntamente com o endereço do protocolo IP, dinâmico ou estático, atribuído pelo fornecedor do serviço de acesso à Internet a uma comunicação». Ora, a conservação destes dados de navegação, mesmo que não abranja os conteúdos consultados, afeta a privacidade e a proteção dos dados pessoais de modo particularmente intenso. Como se concluiu no Acórdão 464/2019, «o tratamento não consentido dos respetivos dados de tráfego põe em causa valores e interesses do utilizador, tais como (i) a confiança que tem na segurança e reserva dos sistemas informáticos do fornecedor do serviço de acesso à internet; (ii) o interesse em decidir, ele mesmo, acerca da utilização que poderá ser efetuada das suas informações pessoais; (iii) o interesse em não ser sujeito a decisões exclusivamente automatizadas dos seus dados; (iv) o interesse em conhecer, dispor, controlar, atualizar, corrigir ou apagar os dados pessoais que lhe digam respeito; (v) o interesse em conhecer a finalidade do tratamento dos seus dados (vi) o interesse na não divulgação de dados objeto de tratamento».

O facto de a conservação destes dados materializar uma agressão mais intensa dos direitos fundamentais à intimidade da vida privada tem reflexos na proporcionalidade da restrição. Como sublinhou o Tribunal de Justiça no Acórdão La quadrature du net (cit.), n.º 131, «decorre da jurisprudência do Tribunal de Justiça que a possibilidade de os Estados-Membros justificarem uma limitação aos direitos e às obrigações previstos, nomeadamente, nos artigos 5.º, 6.º e 9.º da Diretiva 2002/58 deve ser apreciada através da medição da gravidade da ingerência que tal limitação implica e da verificação de que a importância do objetivo de interesse geral prosseguido por esta limitação está relacionada com essa gravidade».

Ora, a restrição aos direitos fundamentais agredidos com esta regulamentação não obedece às exigências de proporcionalidade, desde logo por atenção ao âmbito alargado da medida. O que, de resto, coincide com a conclusão do Tribunal de Justiça - versando apenas sobre os dados que, entre nós, são classificados como dados de tráfego e dados de localização - sobre o carácter manifestamente excessivo da conservação generalizada destes dados quanto a todos os utilizadores e assinantes, no Acórdão La quadrature du net, cit., n.os 141 a 144:

«141 - Uma regulamentação nacional que prevê a conservação generalizada e indiferenciada de dados de tráfego e de dados de localização, com vista a lutar contra a criminalidade grave, excede os limites do estritamente necessário e não pode ser considerada justificada, numa sociedade democrática, como exige o artigo 15.º, n.º 1, da Diretiva 2002/58, lido à luz dos artigos 7.º, 8.º, 11.º e 52.º, n.º 1, da Carta [...].

142 - Com efeito, tendo em conta o caráter sensível das informações que os dados de tráfego e os dados de localização podem fornecer, a sua confidencialidade é essencial para o direito ao respeito da vida privada. Assim, e tendo em conta, por um lado, os efeitos dissuasivos no exercício dos direitos fundamentais consagrados nos artigos 7.º e 11.º da Carta, referidos no n.º 118 do presente acórdão, que a conservação desses dados pode produzir e, por outro, a gravidade da ingerência que tal conservação implica, é necessário, numa sociedade democrática, que esta seja a exceção e não a regra, como prevê o sistema instituído pela Diretiva 2002/58, e que esses dados não possam ser objeto de uma conservação sistemática e contínua. Esta conclusão impõe-se mesmo em relação aos objetivos de luta contra a criminalidade grave e de prevenção das ameaças graves contra a segurança pública, bem como à importância que lhes deve ser reconhecida.

143 - Além disso, o Tribunal de Justiça sublinhou que uma regulamentação que prevê a conservação generalizada e indiferenciada de dados de tráfego e de dados de localização abrange as comunicações eletrónicas de quase toda a população sem que seja estabelecida nenhuma diferenciação, limitação ou exceção em função do objetivo prosseguido. Tal regulamentação, contrariamente à exigência recordada no n.º 133 do presente acórdão, afeta globalmente todas as pessoas que utilizam serviços de comunicações eletrónicas, sem que essas pessoas se encontrem, mesmo indiretamente, numa situação suscetível de justificar um procedimento penal. [...].

144 - Em particular, como já declarou o Tribunal de Justiça, tal regulamentação não está limitada a uma conservação que tenha por objeto dados relativos a um período temporal e/ou uma zona geográfica e/ou a um círculo de pessoas que possam estar envolvidas de alguma forma numa infração grave, nem a pessoas que, por outros motivos, mediante a conservação dos seus dados, podiam contribuir para a luta contra a criminalidade grave [...]»

Interpretando os direitos à reserva da intimidade da vida privada e à autodeterminação informativa à luz dos parâmetros europeus aqui convocáveis, há que reafirmar este juízo no plano constitucional. Com efeito, ainda que não se configurem medidas com a mesma eficácia do que a conservação de todos os dados de todas as pessoas, a ponderação de uma agressão tão grave com os efeitos positivos que se alcançam conduz à conclusão de que se trata de uma solução legislativa desequilibrada, por atingir sujeitos relativamente aos quais não há qualquer suspeita de atividade criminosa. Ao conservar todos os dados de localização e de tráfego de todos os assinantes, abrangem-se as comunicações eletrónicas da quase totalidade da população, sem qualquer diferenciação, exceção ou ponderação face ao objetivo perseguido. O legislador adota aqui um âmbito muito mais alargado (seja quanto às categorias de dados, seja quanto ao âmbito subjetivo) do que o crivo que foi seguido em outros ambientes normativos [...] abrangendo a agressão daqueles direitos fundamentais em situações que, num juízo de ponderação, não são contrapesadas pelos efeitos positivos no combate à criminalidade.

No fundo, se a medida de conservação de dados de tráfego e de localização em si mesma pode ser tida como adequada e necessária para os fins de interesse público que visa salvaguardar, a definição do leque de sujeitos visados só não transgride os limites da proporcionalidade na medida em que se dirija, de forma direta, às situações em que a agressão aos direitos fundamentais em causa possa ter-se por orientada à perseguição dos objetivos da ação penal. Neste quadro, por se ultrapassarem na medida fiscalizada os limites da proporcionalidade no que concerne ao respetivo âmbito subjetivo, viola-se o n.º 2 do artigo 18.º da Constituição na restrição aos direitos fundamentais à reserva da intimidade da vida privada e à autodeterminação informativa (artigos 26.º, n.º 1, e 35.º, n.º 1, da Constituição), perdendo relevância a questão de saber se os demais elementos de que dependeria a proporcionalidade da medida (o ajustamento do prazo de conservação ao estritamente necessário para os fins a alcançar; e a imposição de condições de segurança do respetivo armazenamento) são preenchidos pela regulamentação fiscalizada.

Razão pela qual deve ter-se por inconstitucional, por violação dos n.os 1 e 4 do artigo 35.º e do n.º 1 do artigo 26.º, em conjugação com o artigo n.º 18.º, n.º 2, da Constituição, a medida de conservação por um ano dos dados de tráfego e dos dados de localização, decorrente da conjugação do disposto do artigo 4.º com o artigo 6.º da Lei 32/2008, de 17 de julho.».

37 - Em jeito de síntese: concluímos ser evidente que nada de essencial mudou quanto aos diversos números e alíneas do artigo 4.º (com exceção do n.º 1), pelo que a argumentação se mantém incólume. E a nova regulamentação vertida no Decreto em apreço não obedece, de forma patente, aos condicionalismos plasmados - de forma cristalina, repetimos - neste ponto do Acórdão, que nem sequer menciona o prazo de conservação dos dados de tráfego e de localização como obstáculo à constitucionalidade das normas sindicadas. O legislador limitou-se a restringir, para estas categorias de dados, o prazo de conservação: esse prazo era de um ano, passando agora a ser de três meses, prorrogável para seis meses e, no limite, para um ano, mediante autorização judicial. Todavia, deixou incólume o potencial âmbito subjetivo das normas, sendo precisamente aí que reside a desconformidade constitucional.

38 - Na verdade, e como ficou dito no Acórdão referido, ultrapassavam-se na medida (então) fiscalizada os limites da proporcionalidade no que respeita ao respetivo âmbito subjetivo, restringindo-se os direitos fundamentais à reserva da intimidade da vida privada e à autodeterminação informativa (artigos 26.º, n.º 1, e 35.º, n.º 1, da Constituição) em violação do n.º 2 do artigo 18.º da Constituição. E tal violação considerou-se verificada sem curar de saber ou ponderar os demais elementos de que dependeria a proporcionalidade da medida, nomeadamente o ajustamento do prazo de conservação ao estritamente necessário. Ora, a única modificação foi esta: o ajustamento do prazo de conservação dos dados, pelo que não há como não manter o juízo de inconstitucionalidade então emitido. O "afinamento" do prazo de conservação levado a cabo pelo legislador é insuscetível, nestes termos, de ultrapassar o juízo de inconstitucionalidade da conservação dos dados de tráfego e de localização, por violação dos artigos 26.º, n.º 1, e 35.º, n.º 1, da Constituição da República - uma vez que a conservação destes dados continua a abranger as comunicações eletrónicas da quase totalidade da população, sem que haja uma diferenciação (ou exceção) quanto ao objetivo perseguido. Ou seja, continua a ser geral e indiferenciada, e não seletiva, por não se dirigir, de forma direta, objetiva e não discriminatória, a pessoas que tenham uma relação com os objetivos da ação penal, antes atingindo (ou melhor dizendo, continuando a atingir) sujeitos relativamente aos quais não há qualquer suspeita de atividade criminosa.

39 - Reiterando o que acaba de ficar dito, os testes do princípio da proporcionalidade - seja o da necessidade seja o da proporcionalidade em sentido estrito - não foram superados pelo legislador; para que tal tivesse acontecido, não se revela suficiente a limitação temporal levada a cabo, impondo-se inelutavelmente que tivesse sido realizada uma limitação do âmbito subjetivo das normas. Não o tendo feito, as exigências constitucionais - paralelas às múltiplas indicações do DUE no mesmo sentido - não foram respeitadas, mantendo-se os dados da quase totalidade da população, numa base de generalidade e indiferenciação. O que vale por dizer, como possíveis suspeitos da prática de crimes.

40 - Uma última nota, quanto a este juízo de inconstitucionalidade: poderia objetar-se o facto de o nosso direito contemplar já a existência de uma base de dados, para efeitos de faturação, em que os respetivos dados - que podem compreender diversos dados de tráfego - são conservados por um período de 6 meses.

Com efeito, decorre da Lei 23/96, que criou mecanismos destinados a proteger o utente de serviços públicos essenciais - em concreto, do respetivo artigo 10.º - o prazo de 6 meses como prazo de prescrição e caducidade (do direito do prestador ao recebimento do preço ou do direito de ação), resultando ainda do seu artigo 9.º, n.º 1, o direito do utente a uma fatura que especifique devidamente os valores que apresenta e, do respetivo n.º 3, atinente ao serviço de comunicações eletrónicas, o direito, a pedido do interessado, de que a fatura traduza «com o maior pormenor possível os serviços prestados, sem prejuízo do legalmente estabelecido em matéria de salvaguarda dos direitos à privacidade e ao sigilo das comunicações». Acresce que a Lei 41/2004, de 18 de agosto (tratamento de dados pessoais e proteção da privacidade no setor das comunicações eletrónicas), permite, nos termos do n.º 2 do seu artigo 6.º, o tratamento de uma série de dados de tráfego necessários à faturação dos assinantes e ao pagamento de interligações. Esses dados devem ser «armazenados pelas empresas que oferecem redes e ou serviços de comunicações eletrónicas» (n.º 1 do mesmo preceito) pelo período durante o qual a fatura pode ser legalmente contestada ou o pagamento reclamado, de acordo com o n.º 3 - prazo esse que, como vimos, é de 6 meses.

No entanto, as semelhanças com a base de dados em discussão nos autos ou a possibilidade de estabelecer potenciais critérios comparativos são apenas aparentes: é um facto que, de acordo com este último preceito, alguns dados de tráfego podem ser guardados durante 6 meses. Todavia, para além da finalidade ser outra, completamente distinta - de um lado, está em causa a conservação dos dados para efeitos de faturação e proteção comercial (relação jurídica de natureza cível) e, do outro, a conservação de dados para efeitos de investigação e repressão criminal - destaca-se ainda a circunstância de a conservação dos dados para efeitos de faturação ficar sujeita ao consentimento do titular dos dados, em face do disposto no n.º 4 do citado artigo 6.º da Lei 41/2004, consentimento esse que apenas é dado na medida do necessário e pelo tempo necessário à comercialização de serviços de comunicações eletrónicas, podendo ser revogado a todo o tempo. O que implica, em suma, que esta disciplina não seja mobilizável para efeitos comparativos com o regime em apreço.

41 - Em conclusão quanto a este ponto: o que está em discussão nas normas do Decreto sob sindicância é a criação de uma base de dados autónoma - indiferenciada e generalizada - para efeitos de investigação criminal. A conservação de tais dados, no que se refere aos dados de tráfego e de localização, cria evidentes possibilidades de extrapolação dos mesmos, com riscos claros e um enorme potencial de lesividade - designadamente de lesões aos direitos (fundamentais) à reserva da intimidade da vida privada e à autodeterminação comunicacional -, sendo por esta razão que a desproporcionalidade de tais medidas implica a sua inconstitucionalidade.

Note-se, porém, que atenta a vinculação do Tribunal ao pedido formulado, a apreciação da constitucionalidade levada a cabo nos presentes autos cinge-se única e exclusivamente à base de dados emergente da Lei 32/2008, de 17 de julho - não se pronunciando este Tribunal quanto à viabilidade constitucional de acesso pelas autoridades de investigação criminal a dados conservados pelas operadoras em cumprimento de outras normas legais.

42 - Resta enfrentar o terceiro segmento do pedido do requerente, reportado à norma constante do artigo 2.º, na parte em que altera o artigo 9.º da Lei 32/2008, de 17 de julho, importando «verificar se a notificação ao visado, nos termos em que é prevista na nova redação do artigo 9.º, satisfaz as exigências constantes do referido acórdão do Tribunal Constitucional, designadamente no que respeita ao princípio da proporcionalidade» (8.º).

43 - Na redação da Lei 32/2008, de 17 de julho, declarada inconstitucional por este Tribunal, previa o respetivo artigo 9.º que a autorização do juiz de instrução para a transmissão dos dados conservados pelos fornecedores de serviços de comunicações eletrónicas, nas condições previstas no seu n.º 1, podia ser requerida pelo Ministério Público ou pela autoridade de polícia criminal competente. O mesmo preceito não estabelecia quaisquer regras quanto à notificação do titular dos dados - nada se dizia quanto à notificação propriamente dita e, por maioria de razão, a lei era omissa quanto ao prazo de tal notificação.

44 - As diferenças na redação do artigo 9.º são evidentes no Decreto sob sindicância: o n.º 2 passa a referir apenas a possibilidade de o Ministério Público requerer a autorização para a transmissão dos dados conservados, suprimindo a possibilidade de tal requerimento ser feito pela autoridade de polícia criminal competente. Ao que acresce o aditamento dos n.os 7, 8 e 9: no n.º 7 passa a prever-se a notificação ao titular dos dados do despacho que autoriza a transmissão desses dados - de todos eles, uma vez que o preceito alude aos «dados referentes às categorias previstas no n.º 1 do artigo 4.º», sem fazer qualquer exceção - no prazo máximo de 10 dias a contar da sua prolação; admitindo-se a possibilidade de o Ministério Público, na fase de inquérito, solicitar ao juiz de instrução o protelamento da notificação, a qual será realizada «no prazo máximo de 10 dias a contar da data em que for proferido despacho de encerramento desta fase processual». Registe-se igualmente o aditamento do n.º 9, segundo o qual a transmissão de todos os dados previstos no artigo 4.º, n.º 1, a autoridades de outros Estados «só pode ocorrer no âmbito da cooperação judiciária internacional em matéria penal, de acordo com as regras fixadas na respetiva lei e desde que esses Estados garantam o mesmo nível de proteção de dados pessoais vigente no território da União Europeia» - norma que garante, em relação ao problema neste momento em apreciação, que o mesmo nível de proteção tenha de abranger, também, a exigência de notificação.

45 - O Acórdão 268/2022 declarou a inconstitucionalidade, com força obrigatória geral, da norma do artigo 9.º da Lei 32/2008, de 17 de julho, «na parte em que não prevê uma notificação ao visado de que os dados conservados foram acedidos pelas autoridades de investigação criminal, a partir do momento em que tal comunicação não seja suscetível de comprometer as investigações nem a vida ou integridade física de terceiros, por violação do disposto no n.º 1 do artigo 35.º e do n.º 1 do artigo 20.º, em conjugação com o n.º 2 do artigo 18.º, todos da Constituição» (itálico nosso). O argumento central que levou a este juízo foi o de que a ausência, no regime legal, da previsão de uma tal notificação restringia de modo desproporcionado o direito à autodeterminação informativa, consagrado no artigo 35.º, n.º 1, da Constituição, bem como o direito a uma tutela jurisdicional efetiva, decorrente do artigo 20.º, n.º 1, da Constituição, por prejudicar a viabilidade prática do exercício de controlo judicial de acessos abusivos ou ilícitos aos dados conservados.

46 - Recuperamos de seguida, de forma tópica, as notas fundamentais do Acórdão, a este propósito, contidas no seu ponto 19.:

- O regime nacional de transmissão dos dados conservados às autoridades nacionais está, também ele, no âmbito de aplicação do direito da União Europeia, tendo o Tribunal de Justiça concluído - em linha com a jurisprudência do Tribunal Europeu dos Direitos Humanos, como se pôs em evidência no Acórdão do Tribunal Constitucional n.º 403/2015 -, que a conformidade do regime de acesso aos dados pelas autoridades públicas com os direitos garantidos pela CDFUE depende da sua limitação ao estritamente necessário para a prevenção, investigação, deteção e repressão de criminalidade grave, de um controlo judicial ou de entidade administrativa independente e da comunicação do acesso às pessoas abrangidas a partir do momento em que tal não seja suscetível de comprometer as investigações criminais;

- Convocando, ainda, a jurisprudência do TJUE (designadamente o Acórdão Tele2), o Tribunal fez notar a ausência de previsão de uma notificação aos sujeitos visados de que os dados relativos às suas comunicações foram transmitidos às autoridades públicas, condição considerada necessária para se poder concluir pela compatibilidade com o artigo 15.º da Diretiva n.º 2002/58/CE;

- A ausência de uma tal notificação impede os visados de exercer um controlo jurisdicional da legalidade daquela transmissão, configurando-se, assim, uma violação do direito à tutela jurisdicional efetiva;

- Dependendo a eventual lesão deste último direito fundamental do reconhecimento de um direito ou interesse legalmente protegido cuja proteção reclamasse o acesso à via judiciária, o Tribunal identificou o direito à autodeterminação informativa, consagrado no artigo 35.º da Constituição, como o que seria comprimido por esta limitação de acesso à via judiciária;

- Existem mecanismos processuais e administrativos vigentes no direito nacional - nomeadamente no Regulamento Geral sobre a Proteção de Dados (Regulamento UE 2016/679) e na Lei 59/2019, de 8 de agosto - que permitem ao visado conhecer os termos do acesso das autoridades de investigação criminal aos seus dados e, se necessário, reagir judicialmente;

- Não obstante, apesar de se permitir ao titular dos dados a possibilidade de conhecimento, a ausência da obrigatoriedade de notificação, por parte das entidades competentes para a ação penal, de que conheceram efetivamente os dados armazenados cria para o seu titular um ónus de, periodicamente, se interessar pela questão de saber se tais informações foram acedidas, registando-se uma limitação clara do conhecimento efetivo da difusão de dados pessoais a terceiros, ocorrendo a grande maioria dos acessos aos dados pelos órgãos de investigação criminal sem que o visado dela alguma vez se possa aperceber - ficando comprometida a faculdade de reação e defesa contra eventuais acessos ilegítimos a essa mesma informação;

- A limitação ao direito à autodeterminação informativa, na sua dimensão de garantia de controlo efetivo dos dados pessoais, está, assim, a ser objeto de uma restrição desproporcionada: não se descortina qualquer motivo constitucionalmente relevante que legitime a inexistência de uma notificação ao titular dos dados; a restrição ao direito de controlo dos dados pessoais não é necessária, porque a notificação ao visado de que a transmissão ocorreu - a partir do momento em que tal comunicação não seja já suscetível de comprometer as investigações ou de constituir risco para a integridade física ou vida de terceiros - constitui uma opção menos restritiva, concluindo-se pela desnecessidade ou inexigibilidade da restrição;

- Em conclusão quanto a este ponto, considerou o Tribunal que a ausência, no regime legal, da previsão de uma tal notificação restringia de modo desproporcionado o direito à autodeterminação informativa, consagrado no artigo 35.º, n.º 1, da Constituição, bem como o direito a uma tutela jurisdicional efetiva, decorrente do artigo 20.º, n.º 1, da Constituição, por prejudicar a viabilidade prática de exercício de controlo judicial de acessos abusivos ou ilícitos aos dados conservados.

47 - Antecipando uma vez mais a nossa conclusão, também aqui - à semelhança do que se passa quanto ao primeiro segmento do pedido - o legislador logrou afastar os obstáculos que conduziram ao juízo de inconstitucionalidade que impendeu sobre a norma do artigo 9.º, na sua redação anterior.

48 - O artigo 9.º do Decreto em apreço manteve a regra segundo a qual a transmissão dos dados só pode ser autorizada por despacho fundamentado do juiz de instrução (n.º 1), em cumprimento dos demais requisitos previstos neste número. Todavia, e por forma a ultrapassar o juízo de inconstitucionalidade, os titulares dos dados passam a ser notificados de que os seus dados foram acedidos pelos órgãos competentes em matéria de investigação criminal, estando agora em condições de exercer um controlo efetivo sobre o acesso a tais dados, em particular com a possibilidade de, sendo esse o caso, efetivar um controlo jurisdicional sobre a licitude e a regularidade do acesso. Assim, as exigências presentes na fundamentação do aresto deste Tribunal - bem como as do TJUE, tal como assinaladas em tal Acórdão - parecem ter sido cumpridas pelo legislador parlamentar, no Decreto submetido à apreciação do Tribunal Constitucional.

49 - Estava antes de mais em causa, como vimos, uma restrição desproporcionada ao direito à autodeterminação informativa, consagrado no n.º 1 do artigo 35.º da Constituição, decorrente do facto de as pessoas cujos dados de tráfego e de localização tinham sido acedidos não serem informadas desse facto, pelo menos a partir do momento em que tal comunicação já não seja suscetível de comprometer as investigações em curso ou de constituir risco para a integridade física ou vida de terceiros; bem como a afetação do direito à tutela jurisdicional efetiva, decorrente do n.º 1 do artigo 20.º da CRP, por ser prejudicado o exercício do controlo judicial de acessos abusivos ou ilícitos.

Ora, com as novas regras, passa a garantir-se que o despacho do juiz de instrução que autoriza a transmissão das diferentes categorias de dados é notificado ao titular dos dados, em princípio no prazo de 10 dias a contar da sua prolação (n.º 7 do artigo 9.º). E ainda que o n.º 8 permita ao Ministério Público - por entender que tal notificação pode pôr em risco a investigação, dificultar a descoberta da verdade ou criar perigo para a vida, para a integridade física ou psíquica ou para a liberdade dos participantes processuais, das vítimas do crime ou de outras pessoas - solicitar ao juiz de instrução o protelamento da notificação, a norma assegura que ela será feita no prazo máximo de 10 dias a contar da data em que for proferido o despacho de encerramento desta fase processual.

No entanto, não se afigura que tal restrição, filtrada pelos requisitos decorrentes do princípio da proporcionalidade, consagrados no n.º 2 do artigo 18.º da Constituição, ultrapasse tais requisitos: ponderando nomeadamente os motivos que o Ministério Público terá de invocar para requerer o protelamento, o nosso entendimento é o de que a restrição não se revela excessiva. Olhando para as várias dimensões do princípio da proporcionalidade, o protelamento afigura-se ser uma medida apta aos fins que pretende atingir, não sendo tão-pouco violadora da dimensão da necessidade ou exigibilidade nem da proporcionalidade em sentido estrito, uma vez que, em face dos benefícios esperados com tal medida, num juízo de ponderação, parece justificar-se a compressão aos direitos fundamentais em causa que, em todo o caso, não deixa de acarretar - não se vislumbrando opção menos restritiva para aquele direito fundamental sem que venha acompanhada de uma substancial redução de eficácia quanto ao objetivo visado. Como, aliás, foi dito no Acórdão 268/2022: «[...] a notificação ao visado de que tal transmissão ocorreu - a partir do momento em que tal comunicação não seja já suscetível de comprometer as investigações ou de constituir risco para a integridade física ou vida de terceiros - constituiria opção menos restritiva, sem que se vislumbre qualquer redução de eficácia face aos expedientes vigentes» (19.).

50 - Assim, a nova redação do artigo 9.º acolhe uma solução equilibrada no que respeita à ponderação entre os interesses que justificam o acesso aos dados pelas autoridades competentes em matéria de investigação criminal e as exigências decorrentes do direito à autodeterminação informativa, previsto no artigo 35.º da Constituição e, ainda, do princípio da proibição do excesso tal como plasmadas no artigo 18.º, n.º 2; quer, ainda, do direito a uma tutela jurisdicional efetiva, previsto no artigo 20.º, n.º 1, da Lei Fundamental.

III. Decisão

Pelos fundamentos expostos, o Tribunal Constitucional decide:

(a) Pronunciar-se pela inconstitucionalidade da norma constante do artigo 2.º do Decreto 91/XV, da Assembleia da República, publicado no Diário da Assembleia da República n.º 26, 2.ª série A, de 26 de outubro de 2023, e enviado ao Presidente da República para promulgação como lei, na parte em que altera o artigo 4.º da Lei 32/2008, de 17 de julho, conjugado com o artigo 6.º da mesma lei, quanto aos dados previstos no n.º 2 do mencionado artigo 6.º, por violação do disposto nos números 1 e 4 do artigo 35.º e do n.º 1 do artigo 26.º, em conjugação com o n.º 2 do artigo 18.º, todos da Constituição;

(b) Não se pronunciar pela inconstitucionalidade das demais normas cuja apreciação foi requerida.

Atesto que o presente acórdão tem o voto de conformidade do Senhor Conselheiro Vice-Presidente, Gonçalo de Almeida Ribeiro, tendo ficado parcialmente vencida a Senhora Conselheira Maria Benedita Urbano, conforme declaração junta. José Eduardo Figueiredo Dias

Lisboa, 4 de dezembro de 2023. - José Eduardo Figueiredo Dias - Mariana Canotilho [Votei a decisão; entendo, no entanto, que a norma a que se refere a alínea a) do dispositivo viola, igualmente, os artigos 34.º e 18.º, n.º 2, da CRP, nos termos da declaração de voto conjunta aposta ao Acórdão 268/2022.] - Afonso Patrão (com declaração de voto) - Rui Guerra da Fonseca - Carlos Medeiros de Carvalho - José Teles Pereira - António José da Ascensão Ramos - Joana Fernandes Costa (parcialmente vencida, conforme declaração em anexo) - João Carlos Loureiro (parcialmente vencido, conforme declaração em anexo) - José João Abrantes.

DECLARAÇÃO DE VOTO

Subscrevo a decisão.

No que respeita à norma a que se refere a alínea a) do dispositivo, considero ser também violado o direito à inviolabilidade das comunicações (artigos 34.º e 18.º, n.º 2, da Constituição), nos termos da Declaração de Voto aposta ao Acórdão 268/2022 que subscrevi conjuntamente com os Senhores Juízes Conselheiros José João Abrantes, Assunção Raimundo e Mariana Canotilho. Afonso Patrão

DECLARAÇÃO DE VOTO

Vencida quanto à alínea a) do dispositivo.

1 - Compreendendo os fundamentos que levaram a maioria a renovar, perante as alterações à Lei 32/2008 contempladas no Decreto sob apreciação, o juízo positivo de inconstitucionalidade a que o Acórdão 268/2022 sujeitou a norma constante do artigo 4.º da referida Lei, conjugada com o respetivo artigo 6.º, no segmento relativo à conservação de dados de tráfego e de localização, entendo, no entanto, que devo distanciar-me deles pelo conjunto de razões que procurarei expor de seguida.

2 - Como é sabido, a Diretiva n.º 2002/58/CE, que teve por objetivo a «harmonização das disposições dos Estados Membros necessárias para garantir um nível equivalente de proteção dos direitos e liberdades fundamentais, nomeadamente o direito à privacidade e à confidencialidade, no que respeita ao tratamento de dados pessoais no sector das comunicações eletrónicas, e para garantir a livre circulação desses dados e de equipamentos e serviços de comunicações eletrónicas na Comunidade» (artigo 1.º), impõe a cada Estado-Membro a obrigação de garantir, através da sua legislação nacional: (i) a confidencialidade dos dados de tráfego mediante a proibição do respetivo armazenamento por pessoas que não os utilizadores, sem o consentimento destes (artigo 5.º, n.º 1), e a obrigação da respetiva eliminação ou anonimização quando deixem de ser necessários para efeitos da transmissão da comunicação (artigo 6.º, n.º 1), sem prejuízo da possibilidade de tratamento dos dados de tráfego necessários para efeitos de faturação dos assinantes e de pagamento de interligações até ao final do período durante o qual a fatura pode ser legalmente contestada ou o pagamento reclamado (artigo 6.º, n.º 2); e (ii) a confidencialidade dos outros dados de localização para além dos dados de tráfego, mediante a proibição do respetivo tratamento de forma não anonimizada ou sem o consentimento dos utilizadores ou assinantes (artigo 9.º, n.º 1). Ao mesmo tempo, a Diretiva atribui aos Estados-Membros a faculdade de adotarem medidas legislativas para restringir o âmbito das obrigações e proibições acima referidas «sempre que essas restrições constituam uma medida necessária, adequada e proporcionada numa sociedade democrática para salvaguardar a segurança nacional (ou seja, a segurança do Estado), a defesa, a segurança pública, e a prevenção, a investigação, a deteção e a repressão de infrações penais ou a utilização não autorizada do sistema de comunicações eletrónicas», prevendo, designadamente, que sejam conservados dados de tráfego e outros dados de localização para alem dos dados de tráfego para aquela finalidade «durante um período limitado» (artigo 15.º, n.º 1). Daqui se retira, portanto, que a Diretiva n.º 2002/58/CE impõe aos Estados-Membros que permitam aos prestadores de serviços de comunicações eletrónicas o armazenamento dos dados de tráfego necessários para efeitos de faturação dos assinantes e de pagamento de interligações até ao final do período durante o qual a fatura pode ser legalmente contestada ou o pagamento reclamado e permite aos Estados-Membros que imponham aos referidos operadores a conservação de todos os dados de tráfego, assim como dos outros dados de localização que não sejam dados de tráfego, durante um período limitado de tempo, quando tal configure uma medida necessária, adequada e proporcionada para prossecução daquela finalidade.

Como também é referido no Acórdão, a Diretiva n.º 2002/58/CE foi transposta para a ordem jurídica interna pela Lei 41/2004 (alterada e republicada pela Lei 46/2012, na sequência da alteração da Diretiva 2009/136/CE), sem que nessa transposição tivesse sido exercida (ou pretendida exercer) pelo Estado português a faculdade prevista no respetivo artigo 15.º, n.º 1, como resulta, aliás, claramente dos n.os 4 e 5 do artigo 1.º da referida Lei. Em estrita conformidade com a Diretiva n.º 2002/58/CE, a Lei 41/2004 sujeita o tratamento de dados pessoais no contexto da prestação de serviços de comunicações eletrónicas acessíveis ao público em redes de comunicações públicas: (i) à proibição de conservação de dados de tráfego, mediante a obrigação da sua eliminação ou anonimização logo que deixem de ser necessários para efeitos de transmissão da comunicação, excetuada pela permissão de tratamento dos dados de tráfego necessários à faturação dos assinantes e ao pagamento de interligações até ao final do período durante o qual a fatura pode ser legalmente contestada ou o pagamento reclamado e, quanto aos demais, se o utilizador a quem os dados digam respeito tiver dado o seu consentimento prévio e expresso, que pode ser retirado a qualquer momento, mas apenas na medida do necessário e pelo tempo necessário à comercialização de serviços de comunicações eletrónicas ou à prestação de serviços de valor acrescentado (artigo 6.º, n.os 1 a 4); e (ii) à proibição absoluta de conservação dos «dados de localização, para além dos dados de tráfego», a não ser que os mesmos sejam tornados anónimos (artigo 7.º, n.º 1).

A Diretiva n.º 2002/58/CE foi alterada pela Diretiva 2006/24/CE, relativa à conservação de dados gerados ou tratados no contexto da oferta de serviços de comunicações eletrónicas publicamente disponíveis ou de redes públicas de comunicações. Partindo das constatadas «disparidades legislativas e técnicas existentes entre as disposições nacionais relativas à conservação dos dados para efeitos de prevenção, investigação, deteção e repressão de infrações penais» aprovadas pelos Estados-Membros que haviam exercido a faculdade concedida pelo artigo 15.º, n.º 1, da Diretiva n.º 2002/58/CE, designadamente as diferentes exigências por cada um deles colocadas quanto «aos tipos de dados de tráfego e de dados de localização a conservar, bem como às condições e aos períodos de conservação dos dados» (Considerando (6)), a Diretiva 2006/24/CE visou «harmonizar as disposições dos Estados-Membros relativas às obrigações dos fornecedores de serviços de comunicações eletrónicas publicamente disponíveis ou de uma rede pública de comunicações em matéria de conservação de determinados dados por eles gerados ou tratados, tendo em vista garantir a disponibilidade desses dados para efeitos de investigação, de deteção e de repressão de crimes graves, tal como definidos no direito nacional de cada Estado-Membro» (artigo 1,º, n.º 1). Assim, em derrogação do regime-regra consagrado na Diretiva n.º 2002/58/CE, a Diretiva 2006/24/CE veio impor aos Estados-Membros a adoção de medidas destinadas a garantir a conservação por períodos não inferiores a seis meses e não superiores a dois anos, a contar da data da comunicação, dos dados de tráfego e os dados de localização gerados ou tratados no contexto da oferta dos serviços de comunicações em causa por fornecedores de serviços de comunicações eletrónicas publicamente disponíveis ou de uma rede pública de comunicações, e a concomitante obrigação de assegurar que esses os dados conservados apenas fossem transmitidos às autoridades nacionais em casos específicos e de acordo com a legislação nacional (artigos 3.º, n.º 1, 4.º, 5.º e 6.º), fixando ainda regras de proteção e segurança de dados e requisitos para o armazenamento dos dados conservados.

Depois de transposta para a ordem jurídica interna pela Lei 32/2008, a Diretiva 2006/24/CE, como se dá nota igual nota no presente aresto, foi declarada inválida pelo Tribunal de Justiça da União Europeia («TJUE») no Acórdão Digital Rights Ireland, de 8 de abril de 2014, por se ter considerado que, ao adotar essa mesma Diretiva, «o legislador da União exced[era] os limites impostos pelo princípio da proporcionalidade à luz dos artigos 7.º, 8.º e 52.º, n.º 1, da Carta» (v. o n.º 69). Com a invalidação da Diretiva 2006/24/CE, a adoção pelos Estados-Membros de medidas destinadas à conservação de dados de tráfego e de localização para efeitos de investigação, de deteção e de repressão de crimes graves retomou o estatuto decorrente do artigo 15.º, n.º 1, da Diretiva n.º 2002/58/CE, isto é, reconverteu-se numa faculdade vinculada, dependente da verificação dos pressupostos ali estabelecidos, isto é, constituir tal conservação uma medida necessária, adequada e proporcionada numa sociedade democrática para salvaguardar a segurança nacional, a defesa e a segurança pública, e a prevenção, a investigação, a deteção e a repressão de infrações penais ou a utilização não autorizada do sistema de comunicações eletrónicas.

3 - A abordagem jurisprudencial seguida pelo TJUE procurou densificar tais pressupostos à luz dos artigos 7.º, 8.º e 52.º, n.º 1, da Carta dos Direitos Fundamentais da União Europeia (doravante «Carta»), tendo conduzido, nomeadamente através da sua explicitação nos julgamentos subsequentes (Acórdãos Tele2 Sverige AB, de 21 de dezembro de 2016, La Quadrature du Net, de 6 de outubro de 2020, e Prokuratuur, de 2 de março de 2021), à clarificação de quatro importantes aspetos.

Em primeiro lugar, as medidas diretamente aplicadas pelos Estados-Membros que derrogam a confidencialidade das comunicações eletrónicas sem imporem obrigações de tratamento aos prestadores de serviços de tais comunicações não se encontram abrangidas pela Diretiva 2002/58/CE, mas apenas pelo direito nacional, sem prejuízo da aplicação da Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, e à livre circulação desses dados. A Diretiva 2002/58/CE, designadamente através dos pressupostos que fixa no n.º 1 do artigo 15.º, aplica-se às normas de direito interno que impõem aos prestadores de serviços de comunicações eletrónicas a obrigação de conservarem os dados de tráfego e de dados de localização para efeitos da proteção da segurança nacional e da luta contra a criminalidade e o dever de permitem o acesso das autoridades competentes aos dados assim conservados (Acórdão La Quadrature du Net, n.os 96, 103 e 104), não condicionando a validade das disposições de direito interno que autorizem o acesso a dados de conexão conservados por outra via.

Em segundo lugar, e como sublinhado no presente Acórdão, o artigo 15.º, n.º 1, da Diretiva 2002/58, lido à luz dos artigos 7.º, 8.º, 11.º e 52.º, n.º 1, da Carta, é incompatível com a edição de normas internas que imponham aos prestadores de serviços de comunicações eletrónicas, a título preventivo, uma obrigação de conservação generalizada e indiferenciada de dados de tráfego e de dados de localização, mas compatível com a adoção de medidas legislativas que: (i) permitam, para efeitos da salvaguarda da segurança nacional, impor aos prestadores de serviços de comunicações eletrónicas que procedam a uma conservação generalizada e indiferenciada de dados de tráfego e de dados de localização, quando o Estado-Membro em causa enfrente uma ameaça grave para a segurança nacional que se revele real e atual ou previsível e a decisão que prevê tal imposição possa ser objeto de fiscalização efetiva quer por um órgão jurisdicional quer por uma entidade administrativa efetiva independente, cuja decisão verifique a existência de uma dessas situações e a observância dos requisitos e garantias que devem estar previstos e quando tal imposição apenas possa ser aplicada por um período temporalmente limitado ao estritamente necessário, embora renovável em caso de persistência dessa ameaça; (ii) prevejam, para efeitos da salvaguarda da segurança nacional, da luta contra a criminalidade grave e da prevenção de ameaças graves contra a segurança pública, uma conservação selecionada dos dados de tráfego e dos dados de localização que seja delimitada, com base em elementos objetivos e não discriminatórios, em função das categorias de pessoas em causa ou através de um critério geográfico, por um período temporalmente limitado ao estritamente necessário, mas que pode ser renovado (Acórdão La Quadrature du Net, n.º 168).

Em terceiro lugar, o artigo 15.º, n.º 1, da Diretiva 2002/58/CE não permite que os Estados-Membros estabeleçam exceções aos seus artigos 4.º, n.º 1, e 4.º, n.º 1-A, que exigem que os prestadores de serviços adotem medidas de ordem técnica e de organização adequadas para garantir uma proteção eficaz dos dados conservados contra os riscos de abuso e contra qualquer acesso ilícito a esses dados, o que implica que as regulamentações nacionais imponham a sua conservação no território da União (Acórdão Digital Rigths, n.º 68).

Em quarto e último lugar, o acesso das autoridades nacionais competentes aos dados conservados deve ser limitado ao estritamente necessário, o que implica que apenas possam ser acedidos dados de pessoas suspeitas de terem planeado, de estarem a cometer ou de terem cometido um crime grave (ou de nele estarem envolvidas de uma maneira ou de outra) e que tal acesso se encontre submetido a um controlo prévio efetuado por um órgão jurisdicional ou por uma entidade administrativa independente e, quando efetivado, seja comunicado às pessoas em causa, no âmbito dos processos nacionais aplicáveis, a partir do momento em que essa comunicação se torne insuscetível comprometer as investigações levadas a cabo por essas autoridades, de modo a assegurar o direito ao recurso previsto no n.º 2 do artigo 15.º da Diretiva (Acórdão Tele2 Sverige AB, n.os 120 a 122).

4 - Foi com este universo de elementos normativos e jurisprudenciais que se confrontou o Tribunal no Acórdão 268/2022, que declarou a inconstitucionalidade, com força obrigatória geral e por violação do disposto nos n.os 1 e 4 do artigo 35.º e do n.º 1 do artigo 26.º, em conjugação com o n.º 2 do artigo 18.º da Constituição, das normas da Lei 32/2008 que impunham aos fornecedores de serviços de comunicações eletrónicas o dever de conservação dos dados de tráfego e dos dados de localização (artigo 4.º) relativos a pessoas singulares e a pessoas coletivas pelo período de um ano a contar da data da conclusão da comunicação (artigo 6.º) para fins de investigação, deteção e repressão (artigo 1.º, n.º 1) dos crimes de terrorismo, criminalidade violenta, criminalidade altamente organizada, sequestro, rapto e tomada de reféns, crimes contra a identidade cultural e integridade pessoal, contra a segurança do Estado, falsificação de moeda ou de títulos equiparados a moeda, contrafação de cartões ou outros dispositivos de pagamento, uso de cartões ou outros dispositivos de pagamento contrafeitos, aquisição de cartões ou outros dispositivos de pagamento contrafeitos, atos preparatórios da contrafação e crimes abrangidos por convenção sobre segurança da navegação aérea ou marítima (artigo 2.º, alínea g)), sem, contudo, assegurarem a conservação desses dados em território da União, nem contemplarem o dever de comunicação às pessoas cujos dados tivessem sido acedidos de que esse acesso fora realizado.

Tendo acompanhado esse juízo positivo de inconstitucionalidade, fi-lo, contudo, com base nas razões expostas na declaração de voto conjunta aposta ao referido Acórdão e que subscrevi. Nessa declaração, indicou-se como fundamento para a adesão ao julgamento realizado pelo Tribunal o «artigo 8.º, n.º 4, da Constituição, referido ao seu segmento inicial», tal como este fora interpretado no Acórdão 422/2020. Considerou-se, em suma, «resultar da conjugação dos artigos 7.º, n.º 6 e 8.º, n.º 4 da CRP, no quadro do DUE (por força do princípio da cooperação leal, na sua vertente negativa, decorrente do artigo 4.º, n.º 3, 3.º parágrafo, do TUE) e da jurisprudência do Tribunal Constitucional sobre a interação das duas ordens jurídicas (designadamente do Acórdão 422/2020), que este Tribunal deveria ter assumido (integrando como condicionante), no iter conducente ao juízo de inconstitucionalidade, o [...] standard europeu de controlo de proporcionalidade (referido às situações nacionais, designadamente as decorrentes da Diretiva 2006/24/CE, indutoras de uma situação de conservação generalizada e indiferenciada dos dados de tráfego e dos dados de localização relativos às comunicações eletrónicas) [...] fixado pelo Tribunal de Justiça da União Europeia (TJ), em 8 de abril de 2014, no Acórdão Digital Rights (processos C-293/12 e C-594/12), que declarou inválida a Diretiva 2006/24/CE», tendo «presente que essa invalidação, suprimindo a fonte de DUE transposta pela Lei 32/2008, fez desaparecer as disposições determinantes, no seio do DUE, do exato conteúdo das normas nacionais que o Tribunal considerou inconstitucionais». Entendeu-se, assim, que o Tribunal deveria ter concluído pela inconstitucionalidade das normas então sindicadas «por força da violação da primeira parte do n.º 4 do artigo 8.º da CRP», por desta resultar que as normas de direito originário e derivado valem na ordem jurídica interna «nos termos definidos pelo direito da União» - isto é, com o sentido e alcance que lhes for atribuído pelo TJUE, enquanto órgão jurisdicional competente para as interpretar - e, consequentemente, não poder deixar de valer para as normas da Lei 32/2008, «estreitamente conexionadas com normas de DUE - porque diretamente determinadas por estas, como obrigação de resultado (artigo 288.º, terceiro parágrafo, do TFUE) -, o controlo, funcionalmente equivalente ao nacional, efetuado pelo TJ relativamente a essas normas de DUE, com base em valores paramétricos materialmente equivalentes aos que estão em causa na Constituição da República». Nessa medida, e «porque daquele controlo, funcionalmente equivalente àquele que seria autonomamente realizável pelo Tribunal Constitucional, decorr[ia] já que o nível de proteção dos direitos ao respeito pela vida privada, à proteção dos dados pessoais e à liberdade de expressão assegurado pela CDFUE é incompatível com regimes de direito interno como aquele que resulta[va] das normas sob fiscalização», afastei-me, ao subscrever tal declaração, do controlo de natureza sucedânea levado então a cabo pela maioria.

Não tendo alterado a minha posição de princípio sobre o alcance das consequências jurídicas que o segmento inicial do artigo 8.º, n.º 4, da Constituição, extrai do compromisso assumido nos n.os 5 e 6 do seu artigo 7.º, nem sobre a projeção dessas consequências no controlo exercitável pela jurisdição constitucional no âmbito da sindicância de normas de direito interno harmonizado à face do princípio da cooperação leal, creio, todavia, que a solução a que conjuntamente cheguei na declaração de voto aposta ao Acórdão 268/2022 não poderá manter-se perante a reconfiguração do regime de conservação e transmissão dos dados de tráfego e de localização para efeitos de investigação criminal a que se propõe o Decreto, não obstante a posição recentemente assumida pelo TJUE no Acórdão SpaceNet AG e Telekom Deutschland GmbH, de 20 de setembro de 2022. Isto é, o entendimento de que o artigo 15.º, n. 1, da Diretiva 2002/58/CE, lido à luz dos artigos 7.º, 8.º e 11.º, bem como do artigo 52.º, n.º 1, da Carta, se opõe a medidas legislativas nacionais que prevejam, a título preventivo, para efeitos da luta contra a criminalidade grave e da prevenção de ameaças graves contra a segurança pública, uma conservação generalizada e indiferenciada dos dados de tráfego e dos dados de localização, ainda que sejam prestadas especiais garantias de uma proteção eficaz dos dados conservados contra os perigos de abuso e de acesso ilícito e essa conservação ocorra por períodos curtos de tempo.

5 - Para explicar as razões que me levaram a afastar a possibilidade de aderir a uma solução idêntica àquela que defendi valer para as normas sindicadas no Acórdão 268/2022 é importante começar por esclarecer que acompanhei o julgamento levado a cabo no referido aresto sem partilhar, pelo menos na íntegra, o juízo de proporcionalidade formulado pelo TJUE nos Acórdãos Digital Rights, Tele2 Sverige AB, La Quadrature du Net e Prokuratuur. A minha discordância relativamente à ponderação levada a cabo em tais decisões desenvolve-se em dois planos.

O primeiro diz respeito à relação entre a conservação, a custódia e o acesso a dados de tráfego e de localização. Embora reconheça que a preservação dos referidos dados à revelia do consentimento dos respetivo titulares constitui, em si mesma, uma ingerência nos direitos fundamentais ao respeito pela vida privada e à proteção dos dados pessoais, consagrados nos artigos 7.º e 8.º da Carta e nos artigos 35.º, n.os 1 e 4, e artigo 26.º, n.º 1, da Constituição, estou convicta de que o nível dessa ingerência depende em estreita medida do regime jurídico que cada Estado-Membro edite ao exercer a faculdade prevista no artigo 15.º, n.º 1, da Diretiva 2002/58/CE. Quero com isto dizer que a restrição dos direitos fundamentais ao respeito pela vida privada e à proteção dos dados pessoais implicada na conservação de dados de tráfego e de localização, na medida em que se consubstancia no facto de estes dados «pode[rem] permitir tirar conclusões muito precisas sobre a vida privada das pessoas cujos dados foram conservados, como os hábitos da vida quotidiana, os lugares onde se encontram de modo permanente ou temporário, as deslocações diárias ou outras, as atividades exercidas, as relações sociais dessas pessoas e os meios sociais que frequentam» (Acórdão La Quadrature du Net, n.º 117), será tanto maior quanto mais elevado for o período de armazenamento admitido, menos eficazes se mostrarem as garantias de proteção dos dados armazenados contra riscos de abuso e de acesso ilícito e menos exigentes se revelarem os pressupostos para a comunicação desses dados às autoridades competentes. Inversamente, será tanto menor quanto mais curto for o período durante o qual a conservação pode manter-se, mais robustas se relevarem as providências adotadas com vista a excluir o risco de acesso indevido aos dados armazenados e mais limitada se encontrar a possibilidade da sua transmissão às autoridades legitimadas para a eles aceder. Retenção, armazenamento e acesso constituem, quanto a mim, elementos necessariamente interligados, cada um deles delimitando o potencial lesivo dos demais, sendo em face do regime jurídico que deriva da respetiva conjugação, e não de cada um desses elementos isoladamente considerado, que deverá aferir-se o nível de afetação dos direitos à proteção da reserva da vida privada e à proteção de dados pessoais originado pelo tratamento de dados de tráfego e de localização.

O segundo plano respeita ao juízo de proporcionalidade propriamente dito, mais concretamente ao modo como o TJUE deu por fracassado o teste da necessidade. Este destina-se a verificar se, para atingir o objetivo tido em vista, «o meio efetivamente escolhido é o necessário ou exigível, por não existirem outros meios tão idóneos ou eficazes que pudessem obter o mesmo resultado de forma menos onerosa para as pessoas afetadas». Para isso, «são dois os requisitos que devem ser considerados: por um lado, mostrar a existência de medidas alternativas menos onerosas ou ingerentes («alternativas mais amigas dos direitos fundamentais» - grundrechtsfreundlicheren Alternativen); por outro, que elas não soçobram quando analisadas na ótica da eficácia para a realização da finalidade prosseguida» (Acórdão 587/2023). De acordo com o TJUE, a conservação generalizada e indiferenciada de dados de tráfego e de dados de localização com vista à prevenção, investigação, deteção e repressão da criminalidade grave excede os limites do estritamente necessário na medida em que «afeta globalmente todas as pessoas que utilizam serviços de comunicações eletrónicas, sem que essas pessoas se encontrem, mesmo indiretamente, numa situação suscetível de justificar um procedimento penal». Inversamente, a conservação seletiva de dados de tráfego e de dados de localização para a prossecução daqueles fins conter-se-á dentro dos limites do estritamente necessário na medida em que o armazenamento visará apenas um conjunto limitado daquele tipo de dados, sendo essa delimitação realizada, nomeadamente, em função das «categorias das pessoas em causa» - com o que se atingirão apenas pessoas cujos dados de tráfego e de localização sejam «suscetíveis de revelar uma relação, pelo menos indireta, com atos de criminalidade grave, de contribuir de uma maneira ou outra para a luta contra a criminalidade grave ou de prevenir um risco grave para a segurança pública ou ainda um risco para a segurança nacional», como sejam aquelas pessoas que «foram previamente identificadas, no âmbito dos processos nacionais aplicáveis e com base em elementos objetivos, como uma ameaça para a segurança pública ou para a segurança nacional do Estado-Membro em causa» - ou de citérios geográficos - com o que se obterão apenas os dados de tráfego e localização gerados em «locais caracterizados por um elevado número de atos de criminalidade grave, locais particularmente expostos à prática de atos de criminalidade grave, tais como locais ou infraestruturas frequentados regularmente por um número muito grande de pessoas, ou ainda locais estratégicos, como aeroportos, estações ou zonas de portagens», ou «numa ou em mais zonas geográficas» em que «as autoridades nacionais competentes considerem, com base em elementos objetivos e não discriminatórios, que existe uma situação caracterizada por um risco elevado de preparação ou de prática de atos de criminalidade grave» (Acórdão La Quadrature du Net, n.os 140 a 150).

Ora, à semelhança do que tem sido em larga medida defendido, ainda que sem sucesso, pelos Estados-Membros junto do TJUE, permaneço convicta de que a preservação dos dados de tráfego e de localização com vista à prevenção, investigação, deteção e repressão da criminalidade grave só será eficaz, e até mesmo legítima, se o acesso for exequível seja quem for a pessoa sobre quem vier a recair a suspeita da atividade ilícita, desiderato que não é propiciado pela conservação seletiva daquele tipo de metadados. Não é no plano da eficácia na medida em que, sendo o utilizador de rede de comunicações eletrónicas naturalmente insuspeito até à colocação da possibilidade do respetivo envolvimento na atividade delituosa, apenas será possível reconstituir as suas ações precedentes através do acesso a dados de tráfego e de localização em ordem à confirmação ou infirmação da suspeita que sobre ele recai se os respetivos dados se encontrarem abrangidos pelos critérios de seleção estabelecidos para o armazenamento e houverem sido por isso conservados. E também não o será no plano da legitimidade na medida em que, para além do problema da diferenciação em sim mesma, os critérios de seleção configuráveis de acordo com a jurisprudência do TJUE, particularmente aquele que aponta para uma conservação preventiva de dados de tráfego e de localização de pessoas pertencentes a determinadas categorias, dificilmente deixariam de evidenciar traços de adesão às chamadas teorias do labelling approach e de escapar por isso a uma inevitável tensão com a proibição de discriminação implicada no princípio da igualdade (artigo 13.º da Constituição) ou até mesmo com a proibição do efeito automático das penas (artigo 30.º, n.º 4), caso essa categoria viesse a ser constituída pelos cidadãos condenados pela prática de determinado tipo de crimes.

6 - A evolução registada após a prolação do Acórdão 268/2022 quer na jurisprudência do TJUE, quer no plano do direito comparado, não apenas adensou as razões da minha divergência relativamente à abordagem seguida nos Acórdãos Digital Rights, Tele2 Sverige AB, La Quadrature du Net e Prokuratuur, como contribuiu para lhes somar outras.

Em linha com a posição assumida no Acórdão Commissioner of An Garda Síochána, de 5 de abril de 2022, o TJUE veio reiterar, no Acórdão SpaceNet, o essencial da sua precedente jurisprudência, tornando desta vez indubitavelmente claro que, em si mesma, a obrigação legal de conservação generalizada e indiferenciada dos dados de tráfego e de localização dos utilizadores de serviços de comunicações eletrónicas constitui sempre e em qualquer circunstância uma medida que «excede os limites do estritamente necessário e não pode ser considerada justificada, numa sociedade democrática», independentemente do universo dos dados a conservar, do período de tempo durante o qual essa conservação deva ter lugar, das garantias oferecidas pelo regime de acesso das autoridades nacionais competentes aos dados assim conservados e da robustez da proteção dos dados armazenados contra os riscos de abuso e de acesso ilícito. Para efeitos da salvaguarda da segurança nacional, o artigo 15.º, n. 1, da Diretiva 2002/58/CE, lido à luz dos artigos 7.º, 8.º e 11.º, bem como do artigo 52.º, n.º 1, da Carta, admite que possa ser imposta aos prestadores de serviços de comunicações eletrónicas a obrigação de procederem a uma conservação generalizada e indiferenciada de dados de tráfego e de dados de localização, desde que essa imposição resulte de decisão suscetível de fiscalização efetiva quer por um órgão jurisdicional quer por uma entidade administrativa independente, que ateste que o Estado-Membro em causa enfrenta uma ameaça grave para a segurança nacional que se revela real e atual ou previsível. Já para efeitos da luta contra a criminalidade grave, a conservação de dados de tráfego e de dados de localização só poderá ser seletiva, mantendo-se a incompatibilidade com o artigo 15.º, n.º 1, da Diretiva, lido à luz dos artigos 7.º, 8.º, 11.º e 52.º, n.º 1, da Carta, ainda que a conservação generalizada e indiferenciada se encontre prevista por períodos de tempo «sensivelmente mais curtos» do que os previstos nas regulamentações nacionais examinadas nos Acórdãos Tele2, La Quadrature du Net e Commissioner of An Garda Síochána, mais concretamente de quatro semanas para os dados de localização e de dez semanas para os outros dados (Acórdão SpaceNet, n.os 86 a 88). Quanto aos critérios de seleção a adotar pelos Estados-Membros, o TJUE explicitou um pouco mais a sua anterior jurisprudência, esclarecendo que a conservação de metadados em função das «categorias das pessoas em causa» pode dirigir-se contra pessoas que «sejam objeto de um inquérito ou de outras medidas de vigilância atuais ou de inscrição no registo criminal nacional que mencione uma condenação anterior por atos de criminalidade grave que possam implicar um risco elevado de reincidência». E que conservação seletiva baseada num critério geográfico destinado a abranger os «locais caracterizados por um elevado número de atos de criminalidade grave» pode assentar na «taxa média de criminalidade numa zona geográfica». Ainda que sem antecipar quais, o TJUE admitiu, por último, a possibilidade de os legisladores nacionais preverem outros critérios de seleção para além do pessoal ou geográfico, desde que objetivos e não discriminatórios, e suscetíveis de «garantir que o âmbito de uma conservação seletiva se limite ao estritamente necessário e estabelecer uma ligação, pelo menos indireta, entre os atos de criminalidade grave e as pessoas cujos dados são conservados» (idem, n.os 106 a 112).

7 - A esta jurisprudência, muitas vezes acusada de conferir um alcance sem precedentes aos direitos ao respeito pela vida privada e à proteção dos dados pessoais, desconsiderando a proteção devida a outros direitos fundamentais igualmente consagrados na Carta, ou até mesmo de invadir as prerrogativas exclusivas dos Estados-Membros em matéria de segurança pública e de prevenção, investigação, deteção e repressão de infrações penais, as autoridades dos Estados-Membros vêm reagindo de formas muito diversas.

Como dá conta o recentíssimo relatório sobre utilização de dados de conexão em procedimentos criminais que foi elaborado por uma Comissão do Senado francês, onde foi apresentado em 15 de novembro de 2023 (acessível em https://www.senat.fr/rap/r23-110/r23-110.html e do qual constam todos os elementos seguidamente mencionados sem indicação de fonte diversa), entre os países que envidaram esforços no sentido de adaptar, em maior ou menor medida, as respetivas leis internas às exigências decorrentes da jurisprudência do TJUE contam-se a Bélgica, a Dinamarca, a Estónia e a Irlanda.

Na Bélgica, depois de o Tribunal Constitucional ter invalidado a lei que impunha a conservação generalizada e indiferenciada dos dados de tráfego e de localização por um período de doze meses e limitava o acesso aos dados conservados em função da gravidade da infração, foi introduzido, em 2022, um sistema misto, que combina a conservação generalizada e seletiva daquele tipo de metadados. A conservação generalizada e indiferenciada encontra-se prevista para determinado tipo de infrações penais - e não para salvaguarda da segurança nacional, como exige o TJUE -, assentando a conservação seletiva para efeitos de prevenção de ameaças graves à segurança pública e de prevenção ou repressão da criminalidade grave em critérios geográficos. Assim, os dados são automaticamente conservados em zonas particularmente expostas a ameaças de criminalidade grave ou de violação da segurança nacional (aeroportos, estações, etc.), bem como em zonas sujeitas a uma elevada taxa de criminalidade grave, sendo esta registada para cada distrito judicial durante uma média de três anos, por 1.000 habitantes, segundo o cálculo efetuado a partir do Banco Nacional de Dados Gerais, o que, de acordo com a ratio utilizada, permite a cobertura alargada do território belga (ou mesmo a sua totalidade, a fazer fé no posicionamento crítico do eurodeputado Patrick Breyer, acessível em https://www.patrick-breyer.de/en/conservation-ciblee-des-donnees-cartographier-ce-que-le-gouvernement-belge-veut-cacher/). Na sequência da decisão da La Quadrature du Net, a Dinamarca alterou a sua regulamentação interna em 2022, prevendo a nova lei a conservação generalizada e indiferenciada de dados de tráfego e de localização por decisão do Ministro da Justiça para efeitos de salvaguarda da segurança nacional e a conservação seletiva dos referidos dados de conexão com vista à luta contra a criminalidade grave. Esta conservação baseia-se quer em categorias de pessoas, quer critérios geográficos, sendo a conservação de dados automática: (i) para as pessoas condenadas por infrações penais graves por um período de três a dez anos, bem como para os números de telefone que tenham sido objeto de uma ordem de interceção de comunicações; (ii) em áreas de 3 km2, sempre que o número de infrações penais graves comunicadas à polícia ou o número de residentes locais condenados por infrações penais graves for superior a 1,5 vezes a média nacional nos últimos três anos, abrangendo ainda "zonas sensíveis em termos de segurança", que incluem vários tipos de edifícios institucionais e infra-estruturas, tais como palácios reais, pontes e estações ferroviárias. Estima-se que a conservação de dados resultante da aplicação dos referidos abranja 11 % da área geográfica da Dinamarca e 67 % da respetiva população.

Na Estónia, na sequência do Acórdão Prokuratuur, proferido em resposta a um pedido de decisão prejudicial apresentado pelo Supremo Tribunal, o legislador alterou o Código de Processo Penal em 2022, de modo a proporcionar um melhor enquadramento para o acesso aos dados de conexão. Os dados de tráfego e de localização só podem agora ser acedidos por decisão do tribunal - e já não pelo Ministério Público, como até então sucedia - e o pedido apenas pode visar os dados armazenados pelos operadores para os seus próprios fins - isto é, para efeitos de faturação -, estando o acesso limitado à luta contra a criminalidade organizada. Embora o regime de conservação dos dados de tráfego e de localização tenha sido adaptado de modo a ter em conta as exigências formuladas pelo TJUE, o legislador estónio recusou a possibilidade de aplicar um regime de conservação seletiva por considerá-lo "irrealista e ineficaz" por razões técnicas e jurídicas relacionadas, em especial, com a impossibilidade de definição de critérios de seleção não discriminatórios.

A Irlanda alterou o respetivo regime jurídico de conservação de dados em julho de 2022, na sequência do acórdão Graham Dwyer v Commissioner of An Garda Síochánax, proferido no âmbito de um pedido de reenvio prejudicial apresentado pelo Supremo Tribunal da Irlanda. Na sequência de tal alteração, a conservação dos dados relativos ao tráfego e à localização passou a ser limitada à luta contra uma ameaça grave e real, atual e previsível à segurança nacional, por decisão do juiz competente e pelo período de um ano.

Já países como a Alemanha e os Países Baixos deixaram de aplicar o regime de conservação de dados de tráfego e de localização em consequência das decisões do TJUE. Desde o Acórdão SpaceNet, os prestadores de serviços de comunicações eletrónicas alemães não são obrigados a conservar aqueles dados de conexão, preservando apenas os necessários para satisfazer as necessidades comerciais e técnicas dos operadores durante um período máximo de seis meses. O mesmo sucede nos Países Baixos, onde os operadores deixaram de ser obrigados a conservar os dados de conexão dos seus utilizadores a partir de março de 2015. Assim, apenas os dados conservados para satisfazer as necessidades comerciais dos próprios operadores podem ser objeto de pedidos de transmissão por parte das autoridades competentes.

No extremo oposto situam-se os Estados que, de forma mais ou menos declarada, se recusaram até agora a abdicar, pelo menos na totalidade, do sistema de conservação generalizada e indiferenciada de dados de tráfego e de localização para efeitos de luta contra a criminalidade grave, não obstante a jurisprudência do TJUE. É o caso da vizinha Espanha, onde continua em vigor a Lei 25/2007, referente à conservação de dados relativos às comunicações eletrónicas e redes públicas de comunicações, que permite a conservação generalizada e indiferenciada de dados de tráfego e de localização pelo período de um ano, que pode ser reduzido para seis meses ou aumentado para dois anos (artigos 4.º, 5.º e 6.º). Regime que o Supremo Tribunal de Espanha entendeu, em diversas ocasiões, nem sequer submeter à apreciação do TJUE através de reenvio prejudicial por considerar, em síntese, que a legislação espanhola, no seu conjunto, respeita os direitos reconhecidos na Carta, na medida em que assegura que os dados conservados permanecem sob custódia e não podem ter outra utilidade que não a sua transferência à autoridade judiciária quando esta os ordenar sob um rigoroso sistema de garantias, o que anula o risco de poderem permitir tirar conclusões muito precisas sobre a vida privada das pessoas cujos dados foram preservados que está na base da ingerência afirmada no Acórdão Digital Rights (https://www.poderjudicial.es/search/TS/openDocument/1aeba67fca8f5e38/20210421~).

Também a Itália manteve inalterado o regime de conservação de dados de tráfego e de localização previsto no artigo 132.º do Codice della Privacy, que abrange todos os meios de comunicação eletrónica e todos os utilizadores desses meios, tendo o Tribunal de Cassação decidido, em diversas ocasiões, que as regras nacionais cumprem os pressupostos necessários na medida em que limitam o período de conservação e confiam à autoridade judicial o controlo efetivo do acesso aos dados conservados, sendo certo que o artigo 15.º, n.º 1, da Diretiva 2002/58/CE delega nos legisladores a concretização das exceções que contempla (https://www.sistemapenale.it/pdf_contenuti/1649612618_cassazione-2022-9204-disciplina-transitoria-dl-tabulati.pdf). A conservação encontra-se prevista para efeitos de luta contra a criminalidade em geral, mas o acesso só é permitido nos processos relativos à prática de infrações graves.

Já a Suécia alterou em várias ocasiões o seu regime jurídico de conservação e acesso aos dados de tráfego e de localização com vista a acomodar a evolução da jurisprudência do TJUE, tendo a primeira alteração legislativa surgido na sequência do Acórdão Tele2, que deu resposta a um pedido de decisão prejudicial apresentado pelo Tribunal Administrativo de Recurso de Estocolmo. Porém, no âmbito desse esforço de acomodação, o legislador sueco excluiu a possibilidade de transição para um sistema de conservação seletiva por considerar que o mesmo não ofereceria garantias adicionais em termos de eficácia e seria, além do mais, inaceitável, na medida em que tornaria muito mais difícil e, em alguns casos, talvez mesmo impossível, o esclarecimento de crimes graves, dependendo do local onde o ilícito fora cometido ou planeado. O sistema sueco continua a basear-se, assim, na conservação generalizada e indiferenciada dos dados de tráfego e de localização, ainda que com exclusão de certas subcategorias, variando o período de armazenamento e os termos da conservação em função da natureza dos dados a conservar. Os dados de localização são conservados durante dois meses no caso dos dados telefónicos e seis meses no caso dos dados da Internet, sendo os outros dados de ligação armazenados pelo período de seis meses no caso dos dados telefónicos e dez meses no caso dos dados da Internet. O acesso a uns e a outros só é possível no âmbito da luta contra a criminalidade grave.

Finalmente, o caso francês. Na sequência do Acórdão La Quadrature du Net, que apreciou um pedido de reenvio prejudicial apresentado pelo Conseil d'État, bem como da decisão proferida por este órgão após resposta àquele pedido (decisão de 21 de abril de 2021, acessível em https://www.legifrance.gouv.fr/ceta/id/CETATEXT000043411127), o legislador francês alterou o artigo 34.º do Código dos Correios e Comunicações Eletrónicas francês, que estabelecia um sistema de conservação geral e indiferenciada dos dados de conexão, sem quaisquer condições específicas. O regime que resultou dessas alterações é em larga medida tributário das considerações expendidas pelo Conseil d'État na referida decisão. Considerando que o Governo francês não poderia impor aos operadores de comunicações eletrónicas a conservação geral e indiscriminada de dados de conexão, para além dos relativos à identidade civil, aos endereços IP e às informações sobre contas e pagamentos, para efeitos de combate à criminalidade e de prevenção de ameaças à ordem pública, sem violar o direito da União, o Conseil d'État admitiu, porém, a possibilidade de os dados de tráfego e de localização conservados de forma generalizada e indiscriminada para salvaguarda da segurança nacional serem acedidos, mediante a imposição da sua conservação rápida, pela autoridade judiciária sempre que tais dados se revelarem necessários para efeitos de repressão e investigação de infrações penais graves (v. os n.os 57 e 58). De acordo com a atual lei francesa, o Primeiro-Ministro pode ordenar aos operadores de comunicações eletrónicas, por decreto, que conservem os dados de tráfego e de localização pelo período de um ano, renovável, sendo tais dados acessíveis pelas competentes autoridades judiciárias para efeitos de prevenção e repressão de crimes graves, mediante uma ordem de conservação rápida.

8 - A passagem em revista da evolução registada nos ordenamentos jurídicos dos Estados-Membros acima referidos permite enquadrar melhor a iniciativa do legislador português de que resultaram as alterações à Lei 32/2008 que constam do Decreto sob apreciação.

Longe de traduzirem uma opção isolada no espaço da União, tais alterações procuram enfrentar o dilema em que os legisladores nacionais foram colocados pelas exigências decorrentes da jurisprudência do TJUE - e superar por essa via a declaração de inconstitucionalidade com força obrigatória geral resultante do Acórdão 268/2022 -, através da mitigação do potencial lesivo do sistema de conservação generalizada e indiferenciada de dados de tráfego e de localização para efeitos de luta contra a criminalidade grave pela via da significativa redução do respetivo prazo de conservação - que passa a ser de três meses, considerando-se prorrogado até seis meses, salvo oposição do respetivo titular (artigo 6.º, n.º 2) -, do estabelecimento de condições especiais para a respetiva prorrogação - apenas por períodos de três meses até ao limite máximo de um ano e sempre por decisão de uma formação das secções criminais do Supremo Tribunal de Justiça, constituída pelos presidentes das secções e por um juiz designado pelo Conselho Superior da Magistratura, de entre os mais antigos destas secções, a pedido do Procurador-Geral da República (artigo 6.º, n.os 3, 4 e 6) -, do reforço das condições de segurança dos dados conservados (artigos 6.º, n.º 5, e 7.º), da exigência de que essa conservação ocorra em Portugal ou no território de outro Estado-Membro da União Europeia (artigo 4.º, n.º 1) e da ampliação das garantias inerentes ao regime de acesso aos dados conservados. Tal acesso permanece sujeito a despacho fundamentado do juiz de instrução, que agora apenas o pode autorizar a pedido do Ministério Público (artigo 9.º, n.º 2) se estiver em causa, tal como até aqui se exigia, a investigação, deteção e repressão de «crimes de terrorismo, criminalidade violenta, criminalidade altamente organizada, sequestro, rapto e tomada de reféns, crimes contra a identidade cultural e integridade pessoal, contra a segurança do Estado, falsificação de moeda ou de títulos equiparados a moeda, contrafação de cartões ou outros dispositivos de pagamento, uso de cartões ou outros dispositivos de pagamento contrafeitos, aquisição de cartões ou outros dispositivos de pagamento contrafeitos, atos preparatórios da contrafação e crimes abrangidos por convenção sobre segurança da navegação aérea ou marítima» e tal acesso se revelar indispensável para a descoberta da verdade ou para a obtenção de prova que, de outra forma, seria impossível ou muito difícil de obter (artigo 9.º, n.º 1). O despacho que autoriza o acesso passa a ser obrigatoriamente notificado ao titular dos dados acedidos (artigo 9.º, n.os 7 e 8).

9 - O modelo que emerge deste conjunto de alterações tem na sua base a recusa da possibilidade de adaptação do direito nacional aos pressupostos estabelecidos no n.º 1 do artigo 15.º da Diretiva n.º 2002/58/CE, tal como interpretado pelo TJUE, através da substituição do sistema de conservação generalizada e indiferenciada de dados de tráfego e de localização para efeitos de investigação, deteção e repressão de crimes graves pela alternativa representada por um sistema de conservação seletiva, baseado em categorias de sujeitos, em critérios geográficos ou na combinação dos dois. O legislador português coloca-se deste modo ao lado de outros legisladores nacionais, como o estónio, o sueco e o francês, que, no esforço de ajustamento das respetivas normas internas à jurisprudência do TJUE, enjeitaram a possibilidade de proceder à transição do primeiro modelo para o segundo tendo em conta não apenas a duvidosa praticabilidade técnica e a discutível eficácia do sistema de conservação seletiva preconizado naquela jurisprudência, como, sobretudo, a sua difícil compatibilização com princípios constitucionais de máxima relevância, como o princípio da igual dignidade social de todos os cidadãos (artigo 13.º da Constituição). Estes aspetos foram, de resto, particularmente sublinhados pelo Conseil d'État na sua decisão de 21 de abril de 2021, onde pode ler-se o seguinte:

«52 - Em terceiro lugar, decorre da jurisprudência do Tribunal de Justiça que a diretiva não se opõe à conservação seletiva de dados de tráfego e de dados de localização delimitada, com base em fatores objetivos e não discriminatórios, segundo categorias de pessoas em causa ou através de um critério geográfico, por um período de tempo limitado ao estritamente necessário, mas renovável, para combater a criminalidade grave ou prevenir ameaças graves à segurança pública.

53 - No entanto, resulta dos documentos do processo, nomeadamente das informações obtidas junto da Federação Francesa das Telecomunicações, que esta conservação seletiva se depara com obstáculos técnicos que comprometem claramente a sua aplicação. No que se refere à conservação seletiva com base em critérios geográficos, verifica-se que a localização das antenas de telefonia móvel e das suas células é específica de cada operador, que o modo de propagação das ondas de rádio emitidas pelas antenas de telefonia móvel não é compatível com limites geográficos pré-definidos e que as informações de localização não são sistematicamente incluídas nos dados recolhidos. Por seu lado, a Free Mobile e a Free declaram que os dados de conexão armazenados nos seus sistemas de informação não estão associados a uma área geográfica específica, que essa localização muda ao longo do tempo e que só podem estabelecer uma correlação entre a "célula" de rádio à qual os dados de conexão estão associados e a localização geográfica dessa célula numa base casuística, em resposta a uma ordem judicial. A Federação Francesa das Telecomunicações argumenta que a conservação orientada de dados sobre as pessoas seria dificultada pelo facto de as informações contidas nos dados de tráfego não poderem ser classificadas de acordo com categorias de pessoas. Por seu lado, a Free e a Free Mobile sublinham que as pessoas são identificadas por dados - o número de telefone, o número IMSI e o número IMEI - que podem variar ao longo do tempo e que estes dados são geridos de forma estanque para cumprir os requisitos do RGPD.

54 - Além disso, a retenção seletiva, na hipótese de ser tecnicamente possível, teria um valor operacional particularmente incerto, uma vez que não permitiria o acesso, mesmo no caso de infrações particularmente graves, aos dados de ligação de uma pessoa suspeita de uma infração que não tivesse sido previamente identificada como suscetível de cometer tal infração. [...]. Além disso, é impossível definir antecipadamente as zonas geográficas onde, pela sua própria natureza, não se registam crimes graves suscetíveis de justificar a conservação dos dados de conexão. Uma obrigação de conservação dos dados de conexão limitada a certas zonas geográficas, mesmo que fosse tecnicamente viável, impediria assim a ação das autoridades de investigação noutras partes do território nacional quando tais infrações fossem aí cometidas. Por último, não se pode legalmente presumir a perigosidade de uma pessoa em função do seu local de residência ou da sua atividade profissional para justificar a conservação dos seus dados de tráfego e de localização. Qualquer diferença de tratamento estabelecida por estes motivos seria contrária ao princípio constitucional da igualdade perante a lei.»

A experiência dinamarquesa ilustra, aliás, bem a duvidosa viabilidade constitucional do recurso a critérios de seleção baseados na categoria das pessoas cujos dados de conexão podem ser preventivamente conservados, constituindo a lei belga, por seu turno, um paradigmático exemplo da tentativa de, através da modelação do critério geográfico, se abrangerem, na verdade, os dados de tráfego e de localização gerados em (quase) todo o território nacional, à semelhança do que seria propiciado por um sistema de conservação generalizada e indiferenciada.

9 - [sic] Excluída a possibilidade de consagração de um sistema de conservação seletiva, o legislador de 2023 procurou, através das alterações constantes do Decreto sob apreciação, preencher o vazio normativo que resultou da declaração com força obrigatória geral resultante do Acórdão 268/2022, impedindo a perpetuação da situação que, como vimos, vigora presentemente em Estados como a Alemanha e os Países Baixos.

Não sobram hoje grandes dúvidas de que os dados de tráfego e de localização constituem um elemento imprescindível para a investigação, deteção e repressão de crimes graves, consistindo os dados de localização do proprietário do equipamento terminal, em muitos casos, na única forma de encontrar os autores das infrações. Como notou ainda o Conseil d'État na decisão acima citada, «[p]ela sua própria natureza, os métodos de investigação tradicionais [...] não fornecem qualquer informação sobre factos passados e são ineficazes para as infrações desmaterializadas», sendo certo que os «métodos de investigação científica, como a procura de impressões digitais e de vestígios genéticos, só podem ser eficazes se houver provas materiais deixadas pelos autores dos crimes». Ademais, justamente pela sua aptidão para a permitir a reconstituição de factos pretéritos, os dados de tráfego e de localização armazenados podem relevar-se decisivos para infirmar a suspeita que recaia sobre «pessoas injustamente indiciadas de envolvimento no crime» sob investigação (idem, n.º 50). Proporcionando o conhecimento das interações digitais ou telefónicas do suspeito, a identificação de pessoas presentes no local da infração e a determinação dos seus verdadeiros protagonistas, os dados de tráfego e de localização constituem um elemento crucial para a deteção e repressão de crimes graves, muitos deles cometidos contra pessoas especialmente vulneráveis (como dá nota o relatório mencionado supra, em França, o acesso aos dados de conexão influiu nas investigações relacionadas com o desaparecimento de Émile, de dois anos, no verão de 2023, tendo conduzido à identificação dos membros do comando terrorista responsável pelos atentados de 13 de novembro de 2015), o que não deixa, aliás, de ser reconhecido pelo Tribunal Europeu dos Direitos Humanos, ao admitir que os «meios modernos de telecomunicações e as alterações no comportamento de comunicação exigem a adaptação dos instrumentos de investigação dos serviços responsáveis pela aplicação da lei e dos serviços de segurança nacional» (Acórdão proferido Breyer v. Germany, de 7 de setembro de 2020, n.º 88). Até porque, estando em causa crimes de terrorismo - um dos abrangidos pelo artigo 1.º, n.º 1, da Lei 32/2008 -, «as ameaças à vida humana, liberdade e dignidade surgem não apenas das ações dos próprios terroristas, mas também da reação das autoridades diante de tais ameaças» (Acórdão proferido pela Grand Chamber no caso Ibrahim and Others v. The United Kingdom, em 13 de setembro de 2016, n.º 293).

Ora, na ausência de um regime que imponha aos prestadores de serviços de comunicações eletrónicas a obrigação de conservação dos dados de tráfego e de localização relativamente a todos os assinantes, a utilização daquele tipo de dados para efeitos de investigação, deteção e repressão de crimes graves apenas poderá ter lugar na medida em que tais dados hajam sido conservados pelos operadores nos termos consentidos, mas não impostos, pela Lei 41/2004. Para além de esta proibir absolutamente, como acima se viu, o armazenamento de dados de localização - os únicos capazes de fornecer informações mais ou menos precisas sobre a localização do utilizador, identificando a estação de base à qual o seu dispositivo esteve ligado -, as diligências levadas a cabo pelo Conseil d'État com vista ao estabelecimento das bases da sua decisão de 21 de abril de 2021 permitiram esclarecer que apenas uma parte dos dados abrangidos pela faculdade de conservação atribuída aos operadores para efeitos de faturação ou para a segurança das suas redes e instalações são por eles efetivamente conservados. Em particular, revelaram que «os dados de ligação relativos às chamadas recebidas [...] são muito raramente armazenados pelos operadores» e que os «os dados relativos às chamadas efetuadas no âmbito de pacotes ilimitados não são conservados por não serem úteis para efeitos de faturação» (n.º 51). Os entraves desta solução são por isso evidentes, mais a mais se se assumir que a conservação de dados de tráfego para efeitos de faturação depende sempre do consentimento do respetivo titular, seja por ser isso que resulta, como se diz no Acórdão, dos n.os 1 e 4 do artigo 6.º da Lei 41/2004, seja por nos encontramos em qualquer caso no âmbito de «restrições em benefício de outros direitos e interesses do titular, inerentes a essa relação contratual de prestação de serviços e estritamente nesse contexto, o que justifica a exigência de consentimento, como forma de gestão de auto-restrições de direitos fundamentais» (neste sentido, Domingos Soares Farinho, "Comentário ao Acórdão 268/2022 do Tribunal Constitucional português: a aplicação do princípio da proporcionalidade no controlo de restrições aos direitos à reserva da intimidade da vida privada e à autodeterminação informativa", e-Pública - Revista Eletrónica de Direito Público, Lisboa, v. 10 n.º 2 (novembro 2023), p. 206-227, acessível em https://e-publica.pt/article/90033-comentario-ao-acordao-n-268-2022-do-tribunal-constitucional-portugues-a-aplicacao-do-principio-da-proporcionalidade-no-controlo-de-restricoes-aos-d). Tendo em conta as óbvias limitações de uma solução deste tipo, compreende-se que, no âmbito do processo legislativo iniciado na sequência da declaração de inconstitucionalidade com força obrigatória geral resultante do Acórdão 268/2022, tenha sido abandonada a Proposta de Lei 11/XV, cujo objetivo era garantir e regular o acesso para fins de investigação criminal aos dados de tráfego tratados pelos prestadores de serviços de comunicações eletrónicas no âmbito da Lei 41/2004, em benefício da manutenção de um sistema de conservação generalizada e indiferenciada de dados de tráfego e de localização por períodos significativamente encurtados, com reforçadas garantias de proteção dos dados armazenados contra os riscos de abuso e de acesso ilícito e exigentes pressupostos de acesso aos dados assim conservados.

A questão é a de saber se, ao fazê-lo, o legislador violou o artigo 8.º, n.º 4, da Constituição.

10 - No Acórdão 422/2020, o Tribunal teve oportunidade de explicitar, com um elevado grau de profundidade, as caraterísticas do modelo de relacionamento entre a jurisdição comunitária e as jurisdições constitucionais dos Estados-Membros assente no princípio do primado, sublinhando, com apoio na própria jurisprudência do TJUE, que o mesmo «induz compromissos e a criação de espaços de diálogo e de cooperação, mas não deixa de originar - pela persistência de algumas linhas de fratura - situações relacionais com potencialidade conflitual». E que estas «implicam, como decorrência do princípio da cooperação leal (artigo 4.º, n.º 3 do TUE) e do empenho no projeto europeu dos atores relevantes desta interação, abordagens de evitação ou de ultrapassagem de impasses, em que a ideia de diálogo [...] se expressa, nas palavras de Maria José Rangel de Mesquita, sob a forma de "[...] um 'salutar' confronto [...]" (Introdução ao Contencioso da União Europeia, 3.ª ed., Coimbra, 2018, p. 279: "[q]uanto à perspetiva respeitante ao 'diálogo' entre o TJUE e os tribunais constitucionais nacionais, tal diálogo pode assumir várias formas, desde a concordância ou sintonia, até um 'salutar' confronto")».

Não cabe discutir aqui se as últimas decisões proferidas pelo TJUE em matéria de conservação de dados de localização e de tráfego para efeitos de investigação, deteção e repressão de crimes graves, em particular o Acórdão SpaceNet, se inscrevem ainda no âmbito do «processo de interação» entre jurisdições que se dirige «ao "[...] estabelecimento de mecanismos e à projeção de construções que possibilitam um envolvimento mútuo construtivo entre ordens jurídicas", "[...] mesmo na ausência de uma ordenação hierárquica" ["The Moral Point of Constitutional Pluralism", in, Philosophical Foundations of European Union Law, Julie Dickson e Pavlos Eleftheriadis (eds.), Oxford University Press, Oxford, 2012, p. 217]» (idem). O que importa notar - até porque reside nisso a razão do meu dissentimento - é que, ao colocar o legislador nacional perante a radical alternativa representada pela conservação seletiva de dados de tráfego e de localização ou a ausência pura e simples de qualquer obrigação de conservação, o TJUE confere aos pressupostos fixados n.º 1 do artigo 15.º da Diretiva 2002/58 um sentido que priva as autoridades competentes do acesso a elementos potencialmente decisivos não apenas para a efetivação da responsabilidade penal, em condições de igualdade perante a lei, de quem quer que tenha praticado um crime de especial gravidade, como ainda - o que é para mim particularmente relevante - para a identificação, através do conhecimento dos seus anteriores movimentos e interações, do autor de crimes graves ainda em execução, como os de «sequestro, rapto e tomada de reféns», comprometendo com isso a possibilidade de ser posto cobro a situações, no mínimo, de privação da liberdade de movimentos ou mesmo de ser evitada a lesão de outros bens, como a integridade física e a vida. E na privação desse acesso, a interpretação imposta pelo TJUE debilita significativamente as condições de que o Estado dispõe para assegurar a proteção, tanto retrospetiva quanto prospetiva, dos direitos fundamentais dos cidadãos lesados ou ameaçados por ações criminosas de especial gravidade, vulnerabilizando a garantia do respeito pelo compromisso de defesa da ordem jurídico-constitucional a que o mesmo se encontra vinculado por força do artigo 9.º, alínea b), da Constituição.

O sentido do meu voto não foi determinado, portanto, pela discordância que mantenho relativamente ao alcance atribuído pelo TJUE às condições a que n.º 1 do artigo 15.º da Diretiva 2002/58/CE sujeita o exercício pelos Estados-Membros da faculdade de adotarem medidas legislativas que restrinjam para efeitos de prevenção, investigação, deteção e repressão de infrações penais o âmbito das obrigações e proibições que resultam dessa Diretiva em matéria de tratamento de dados de tráfego e de localização. Ou seja, não é por entender que a conservação generalizada e indiferenciada dos dados de tráfego e de localização nas condições definidas pelo Decreto está longe de constituir uma ingerência desnecessária ou excessiva - e por isso desproporcionada - nos direitos ao respeito pela vida privada, à proteção dos dados pessoais e à liberdade de expressão que defendi a solução contrária àquela que chegou a maioria. É por entender que, na forma como impôs a eliminação do excesso em que considerou terem incorrido todas as regulamentações nacionais com que até ao presente momento se confrontou, sem qualquer abertura à ponderação do efeito de contenção adveniente do encurtamento dos prazos de conservação e das garantias de preservação dos dados conservados contra os riscos de abuso e de acesso ilícito, o TJUE não só elevou a tutela dos direitos ao respeito pela reserva da vida privada, à proteção dos dados pessoais e à liberdade de expressão a um ponto que, quanto a mim, não leva em suficiente conta a solidariedade devida entre membros da mesma comunidade, como fez retroceder a real capacidade de proteção dos outros direitos fundamentais das pessoas afetadas por práticas criminosas especialmente graves para níveis incompatíveis com a proibição da proteção deficitária, pondo dessa forma em causa o «princípio do respeito, garantia e efetivação dos direitos e liberdades fundamentais» (Gomes Canotilho e Vital Moreira, Constituição da República Portuguesa Anotada, 1.º vol., 4.ª ed. revista, p. 267) na ordem jurídica interna em termos de que, a meu ver, não se pode alhear o Tribunal Constitucional, enquanto guardião de toda a Constituição. Joana Fernandes Costa

DECLARAÇÃO DE VOTO

Não acompanho a pronúncia pela inconstitucionalidade subscrita pela maioria, nos termos enunciados na alínea a) do dispositivo.

Nesta Declaração de Voto, brevitatis causa não serão considerados outros pontos (a questão da aplicação, ou não, do artigo 34.º, n.os 1 e 4, da Constituição da República Portuguesa, por exemplo). As razões do meu voto podem sintetizar-se desta forma:

1 - Como se procura mostrar em I, naquilo em que o armazenamento se limita à conservação de dados necessários para a faturação (e pagamento de interligações), pelo mesmo tempo (em regra, até seis meses) e pelas mesmas entidades fornecedoras dos serviços de comunicações, mas com mais garantias no que toca aos dados e ao acesso, não se vê como se possam considerar inconstitucionais as normas que permitem a sua retenção;

2 - Indo mais longe do que acabámos de enunciar, em II, considera-se que, à face da Constituição da República Portuguesa, nomeadamente tendo presente os direitos e os preceitos convocados no corpo deste aresto, o quadro normativo proposto não é inconstitucional, sem prejuízo da desconformidade com o direito da União, nomeadamente a Carta dos Direitos Fundamentais da União Europeia (doravante, CDFUE), na interpretação controvertida do Tribunal de Justiça da União Europeia (doravante, TJUE). Na defesa da pronúncia pela não inconstitucionalidade, percorrem-se três etapas, a saber:

A) Num primeiro momento, afirma-se que, sem prejuízo da vinculação multiparamétrica do legislador (constitucional, internacional e supranacional), compete ao Tribunal Constitucional avaliar a conformidade das normas objeto de controlo com o «bloco de constitucionalidade». Neste não se integra a Carta, ainda que caiba ao Tribunal proceder segundo uma metodologia dialógica, tendo presente no processo hermenêutico-normativo a abertura constitucional (aqui, de uma forma especial, a pertença à União), num tempo de particular internormatividade, e ainda a relevância jurisprudencial europeia.

B) Seguidamente, procede-se a uma crítica da jurisprudência do TJUE, começando por dar conta do seu caráter divisivo. Percorre-se depois a sua análise de proporcionalidade, contestando-se a tese de que a «conservação generalizada e indiferenciada» dos dados reprova no teste de necessidade ou de exigibilidade que integra o princípio da proibição do excesso. Na verdade, sem se negar a possibilidade de medidas menos onerosas, verifica-se que não cumprem o pressuposto de eficácia equivalente. Na análise da (in)eficácia das alternativas (nomeadamente da chamada «conservação dirigida» propugnada pelo TJUE), não se ignoram estudos, críticas e concretizações normativas (Bélgica e Dinamarca) ou propostas de alteração legislativa (Suécia, por exemplo). Para além das medidas alternativas não conseguirem assegurar uma eficácia equivalente, num campo muito relevante para o Estado de Direito (efetivação da justiça criminal), à «conservação dirigida», assente na seletividade e não numa (quase) universalidade, censura-se, desde logo, o potencial discriminatório, ponto que se explicita em C).

C) Empreende-se uma releitura dos direitos convocados na análise da ingerência adequada à mudança em termos de digitalidade, num tempo 4.0, ilustrando o exame com o direito à autodeterminação informacional ou informativa. Defende-se que, sem prejuízo de cautelas perante as entidades públicas, num Estado constitucional as ameaças à privacidade provêm hoje fundamentalmente de uma pluralidade de poderes fácticos que dispõem de um enorme manancial de dados e de ingerências por via da pirataria informática com riscos, especialmente neste último caso, para as nossas vidas (e não apenas no que toca ao nosso «eu digital»). Face a um contexto de significativa perda de controlo também da nossa esfera digital, o Estado assume imprescindíveis deveres de proteção para a liberdade em segurança. Deste modo, mecanismos como a conservação de dados para prevenção da e combate à criminalidade grave são instrumentos que, no respeito dos direitos fundamentais, a exigir estritas garantias que efetivam uma tutela das posições jusfundamentais, nomeadamente através da organização e do procedimento, contribuem para uma sociedade digital decente. Um sistema de armazenamento multipolar de dados, em registo de «generalização e indiferenciação», permite (o que não é irrelevante, bem pelo contrário, em sede de juízo de proporcionalidade) maior igualdade e atende mais à vulnerabilidade. Na verdade, sendo a prossecução penal um campo marcado pela desigualdade, como revela a criminologia, um modelo que não seja tendencialmente universal agravará ainda mais a injustiça neste campo e aumentará a subtração à justiça, por exemplo, nos casos de «colarinho branco» e de grandes redes criminosas, reforçando assimetrias entre os cidadãos. Quanto à vulnerabilidade, a utilização destes meios de comunicação eletrónica afeta particularmente certas categorias (como as crianças) e tem um especial impacto nos mais pobres, que, em regra, não dispõem de acesso a um nível de cibersegurança adequado.

Em face destes argumentos, entendi não me pronunciar pela inconstitucionalidade das normas do Decreto que mereceram a censura de larga maioria dos Conselheiros.

I. MODELO DE CONSERVAÇÃO DE DADOS PROPOSTO NO DECRETO DA ASSEMBLEIA DA REPÚBLICA N.º 91/XV

Em primeiro lugar, tendo o Decreto 91/XV consagrado um modelo de conservação de dados de comunicações já existentes e acessíveis, para efeitos de investigação criminal (no quadro de um rigoroso controlo), pelo menos em relação a todos os dados de tráfego «necessários para efeitos de faturação dos assinantes e de pagamento de interligações» (artigo 6.º, n.º 2, da Diretiva 2002/58/CE; com uma redação quase idêntica, vd. o artigo 6.º, n.º 2, da Lei 41/2004([1]), de 18 de agosto, que transpõe a Diretiva, e que, neste número, concretiza ainda esses dados), não se vê como não possam subsistir os preceitos que os referem, alargando-se significativamente o âmbito de possibilidades de armazenamento que sobreviveria ao controlo.

Contrariamente ao que se sustenta neste aresto na esteira do Acórdão 268/2022, que convoca a jurisprudência do TJUE neste campo, com esta solução - armazenamento dos dados durante os primeiros seis meses (quanto ao intervalo que decorre a partir daí até um ano não será agora considerado) - não se cria um risco acrescido num sistema multipolar, pois os dados já existem, sendo conservados no mesmo horizonte temporal, e, já agora, com maiores garantias quer quanto à sua proteção (por via do seu bloqueamento) quer, na etapa do acesso, numa perspetiva subjetiva, com um número mais limitado e mais controlado de pessoas que lhes podem aceder([2]). Assim, num quadro atento à segurança da informação, reforçam-se as finalidades de proteção, no caso a integridade dos dados (no que toca à sua manipulação) e a sua confidencialidade([3]).

A objeção de que estaríamos perante uma «conservação generalizada e indiferenciada» dos dados parece olvidar que esse é modo de funcionamento do sistema de comunicações, resultante da manutenção de dados em que, pela soma das bases dos diferentes fornecedores de serviço, se obtém uma quase universalidade no que toca ao âmbito pessoal de cobertura.

Quanto às duas etapas de análise que têm sido distinguidas - a constituição de uma base (rectius, no caso, de uma rede de bases) e o acesso e as suas garantias, de um ponto de vista de avaliação da constitucionalidade (também da conformidade com o direito da União Europeia) do quadro normativo, pode defender-se ou um modelo global (sinótico ou integrado) ou um modelo assente numa consideração autónoma das duas etapas, em que uma eventual desconformidade com o parâmetro relativa à existência preclude a passagem à segunda. A jurisprudência do TJUE é clara na sua opção pelo último modelo, pelo que, independentemente das reservas que possa merecer, será o que aqui se convoca, com o concurso, no que toca à criação de bases, de quatro aspetos: teleologia (finalidade ou escopo); âmbito material (dados compreendidos); âmbito subjetivo (pessoas cobertas); âmbito modal [base única ou rede de bases; base(s) gerida(s) por entidade(s) privadas ou pelo Estado].

Os três primeiros pontos têm merecido maior ou menor consideração nas decisões do TJUE. Começando pelo primeiro - critério teleológico -, a criação de uma base ou bases para efeitos de prevenção, deteção ou repressão de infrações graves foi considerada perfeitamente legítima à luz do Direito da União (caso Digital Rights Ireland)([4]). O segundo e o terceiro merecem uma apreciação associada: por um lado, em relação aos chamados dados de base, admite-se a generalidade da rede de bases (no que toca à cobertura subjetiva); contudo, em relação aos dados de tráfego e localização, rejeita-se que possa haver um tratamento indiferenciado dos mesmos, pelos seguintes argumentos: a) risco de acesso a dados que permitem desenhar perfis([5]) e que, desse modo, seriam profundamente intrusivos, tocando em diferentes direitos protegidos pela CDFUE; b) em termos subjetivos, seriam tratados dados de pessoas que não são suspeitas, ainda que indiretamente, da prática de qualquer crime (seja ou não grave)([6]).

É que a conservação dos dados com fundamento no artigo 15.º, n.º 1, da Diretiva 2002/58/CE pressupõe que os problemas verdadeiramente se põem quando se pretende uma conservação indiferenciada de dados: 1) que compreenda outros que não os necessários para a faturação (desde logo, os dados da localização, que só de uma forma muito limitada - roaming - são usados para essas finalidades comerciais e de proteção do consumidor); 2) que mesmo para os dados conservados para fins de faturação se prolongue (até dois anos era a regra prevista no artigo 6.º da Diretiva 2006/24/CE) a sua conservação para lá dos prazos necessários para esse escopo, pois desta forma aumentar-se-ia o risco possível de violação de dados.

No caso português, durante seis meses e no que toca aos dados conservados para faturação, não se vê como uma base de dados autónoma (rectius, uma pluralidade de bases, dado que cada operador é obrigado a manter a sua), com uma proteção acrescida dos dados, seja desconforme com a Diretiva 2002/58/CE. Não há um risco de segurança maior([7]) - trata-se de um armazenamento de dados no mesmo fornecedor de serviços de comunicações eletrónicas, pois cabe a cada entidade fazê-lo, sem que sejam menores os standards de cibersegurança, que devem respeitar o estado da arte. Assim, dir-se-ia que não seria problemática a solução defendida para o caso português - admissibilidade de armazenamento autónomo dos dados numa versão multipolar, mas limitada aos que, na estrita conformidade com o n.º 2 do artigo 6.º da Diretiva 2002/58/CE (convoca-se também o n.º 2 do artigo 6.º da Lei 41/2004, de 18 de agosto) sejam necessários para a faturação.

Sed contra, regista-se que, em relação a prazos mais curtos de conservação (quatro semanas quanto aos dados de localização e dez no que toca aos dados de tráfego), no Acórdão SpaceNet e Telekom Deutschland (doravante, Acórdão SpaceNet), de 20 de setembro de 2022([8]), se considerou que a obrigação da sua conservação violaria o Direito da União Europeia. A pergunta é, pois, esta: como compatibilizar o caminho português apresentado com o referido aresto?

Na verdade, o TJUE recusou a criação de uma base específica com prazos muito limitados, contrastando temporalmente com a via que, aproveitando ao máximo as possibilidades do artigo 6.º da Diretiva 2006/24/CE, fora seguida noutros países (até dois anos). Apesar da magreza do prazo dos dados de localização (quatro semanas), estes estão excluídos, pois não são necessários para a faturação.

Diferentemente do que acontece em Portugal([9]), em vários Estados há uma diferença entre o prazo de prescrição da dívida e o prazo de reclamação do consumidor. Este é significativamente mais reduzido do que os seis meses previstos entre nós. Assim, na Alemanha, o prazo para reclamar da fatura é, em regra, de oito semanas depois da sua receção([10]), e, se o cliente o não fizer e pagar, abrem-se as portas para o apagamento dos dados.

No Acórdão SpaceNet, estava, pois, em causa a imposição de conservação dos dados às empresas fornecedoras de serviços, anteriormente pelo § 113a (1) em conjunto com o § 113b TKG (Telekommunikationsgesetz), na versão da lei de 10 de dezembro de 2015 e que, com pequenas alterações, passou a corresponder ao § 175, n.º 1, frase 1, conjugado com o § 176 TKG. Desde logo, o âmbito material ou substantivo da obrigação de conservação de dados ia muito para lá do que é exigido para a faturação - «conjunto amplíssimo de dados de tráfego e de dados de localização»([11]) -, o que se traduz no facto de, a partir daí e com essa extensão, não haver credencial no artigo 15.º da Diretiva para um armazenamento desta natureza, na interpretação do TJUE, que não acolho, mas que respeito, em face das suas competências. Nessa ótica, constantemente reiterada pelo Tribunal, trata-se de uma «conservação sem motivo, universal e indiferenciada em termos pessoais, temporais e geográficos, da maioria dos dados de tráfego e dos dados de localização»([12]), censurada pela instância judicial. Assim sendo, nem a estreiteza dos prazos - quatro semanas para os dados de localização e dez para os de tráfego - salvou este quadro normativo alemão do pecado original que, de acordo com a leitura do TJUE([13]), padeceria. Acresce que, como sublinhou o Tribunal Administrativo Federal (Bundesverwaltungsgericht), na sua decisão já em 2023([14]), considerando os novos preceitos da Lei das Telecomunicações (alterada em 2021), mas que, neste ponto, não diferem do quadro vigente à data do reenvio, «as infracções a prevenir também não se limitam aos casos de criminalidade grave neste contexto»([15]).

No caso português, o prazo máximo de conservação de seis meses, há muito enraizado, só excedido em caso de litígio, situa-se no limiar mínimo do horizonte temporal previsto na Diretiva 2006/24/CE que foi invalidada. Além disso, sublinha-se, ficam de fora dados considerados muito importantes para a investigação criminal, como os dados de localização (se excetuarmos a referência geográfica em caso de roaming).

Do ponto de vista da «justiça do sistema», não se entenderia que, estando disponíveis os dados digitalmente, estes pudessem ser usados no quadro da relação comercial, mas não ser considerados para o combate à criminalidade grave. O Tribunal de Justiça tem sublinhado que «a mera conservação dos referidos dados pelos prestadores de serviços de comunicações eletrónicas comporta riscos de abuso e de acesso ilícito»([16]). Ora, no caso, os dados relevantes para a faturação já existem e mantêm-se dentro do fornecedor de serviços, estando os ficheiros sujeitos a uma maior proteção.

Também não me convence o argumento do consentimento que agora se convoca neste aresto. Com efeito, além de tudo o mais que já foi aduzido, se se tratar apenas dos dados necessários para a faturação e nessa estrita medida, em face da legitimidade do fim prosseguido (combate à criminalidade grave), não se vê que colha. Desde logo, porque em tudo o que seja indispensável para efeitos de faturação (nalguns casos envolvendo outras redes de comunicações que não a do subscritor do serviço e os custos interoperadoras) esses dados não podem deixar de ser recolhidos, sendo necessários à relação contratual assente no consentimento das partes (outra é a questão depois da faturação). Além disso, a teoria da diferenciação de finalidades prosseguidas - faturação, no quadro da relação entre o fornecedor de serviço e os consumidores; investigação e repressão criminais noutro - aparece aqui mobilizada para sustentar a ilegitimidade, pelo seu caráter heterónomo (isto é, não resultante do consentimento dos afetados) do referido armazenamento separado dos dados. Contudo, a conservação multipolar dos dados, reitero, não traz risco adicional, pois os dados já existem nas mesmas entidades e até com salvaguardas acrescidas. Durante o período de retenção (em regra, até seis meses, com um prazo inicial de três meses, prorrogável se não houver oposição do titular), os dados encontram-se em estado de «latência», só podendo ser acedidos em termos muito estritos. Esse acesso, tal como acontece atualmente para fins de investigação criminal, não está dependente de consentimento dos visados. Ou seja, para esse escopo, não se aplica aqui o princípio segundo o qual os dados só poderão ser tratados para a finalidade específica para que foram inicialmente recolhidos. O artigo 6.º, n.º 1, do Regulamento Geral sobre a Proteção de Dados (doravante, RGPD)([17]) conta entre as bases de licitude do tratamento a situação em que este «e) [...] for necessário ao exercício de funções de interesse público ou ao exercício da autoridade pública de que está investido o responsável pelo tratamento»([18]).

Quanto ao argumento da utilidade de uma base desta natureza, trata-se de uma opção político-legislativa que não cabe a este Tribunal avaliar. Contudo, sempre se dirá que este armazenamento multipolar previsto na Lei 32/2008, de 17 de julho, resultante da separação de ficheiros estabelecida no n.º 3 do artigo 3.º, prossegue várias funções adicionais ou diferenciais, a saber:

a) Quanto aos dados e à sua qualidade e preservação: a1.) como referi, garantia em relação à conservação dos dados em virtude quer do seu bloqueamento quer, do ponto de vista subjetivo, das pessoas que podem legitimamente aceder-lhes (as pessoas especialmente autorizadas), limitando a possibilidade da sua manipulação abusiva ou a sua destruição intencional (ilícita); a.2. salvaguarda dos dados «contra a destruição acidental [...], a perda ou a alteração acidental»([19]);

b) No que se refere à temporalidade, o período regra de conservação, tendo em vista a redução da ingerência, vai até ao limite de seis meses, contados a partir da data da conclusão da comunicação (artigo 6.º, n.º 2, do Decreto), coincidindo com o quadro previsto na legislação nacional em matéria de faturação. Acresce que, após os três primeiros meses, o titular poderá opor-se à conservação, o que implica a destruição dos dados, salvo se, nos termos da legislação processual penal, houver um pedido legítimo para a preservação, mas aí de forma considerada sem problemas no quadro do direito da União Europeia.

II - (IN)ADEQUAÇÃO DA LEITURA DO TRIBUNAL DE JUSTIÇA DA UNIÃO EUROPEIA

Mesmo que o Tribunal Constitucional acolhesse os argumentos apresentados na secção anterior, o que limitaria o objeto da pronúncia pela inconstitucionalidade às normas que permitem a conservação de dados não necessários para a faturação, ainda assim defenderia a não inconstitucionalidade de todas as normas sujeitas a controlo. Se em relação ao primeiro juízo se poderia discutir se o modelo passaria o teste de conformidade com o direito da União Europeia, é indubitável que esta solução é desconforme com o quadro de interpretação tal como foi desenvolvido pelo Tribunal de Justiça.

Neste percurso de fundamentação, recortam-se as seguintes etapas:

a) Em primeiro lugar, importa sustentar a legitimidade de um discurso que, a partir do parâmetro constitucional nacional e sem prejuízo do diálogo entre ordenamentos que deve ser cultivado, no quadro de uma internormatividade, pode concluir (e neste caso, conclui) de uma forma dissonante com o direito da União Europeia (na leitura do TJUE), no que toca ao juízo de inconstitucionalidade (A);

b) Num segundo momento, procura-se mostrar que, contrariamente à jurisprudência do TJUE relativa à aplicação do princípio da proibição do excesso ou da proporcionalidade em sentido amplo, a partir de uma certa leitura da Carta e da Diretiva 2002/58/CE (posição agora reiterada pelo Tribunal Constitucional), a quase universalidade do armazenamento de dados, desde que temporalmente limitada e com um forte quadro garantístico (que, neste processo, justifica que o Tribunal não se pronuncie pela inconstitucionalidade de um conjunto de normas, dado o legislador ter superado problemas que, no Acórdão 268/2022, tinham merecido a sua censura), resiste ao teste da necessidade ou da exigibilidade (B);

c) Finalmente, assume-se que os direitos convocados neste Acórdão (direito à autodeterminação informacional ou informativa e direito à reserva da intimidade da vida privada e familiar), que a maioria dos Conselheiros do Tribunal Constitucional entende serem violados, devem ser objeto de uma recompreensão intrinsecamente relacional, num tempo 4.0, marcado, inter alia, por algoritmos aprendentes, Internet das Coisas e pelo desenvolvimento de redes sociais e plataformas, quando o modelo de base de informação centralizada deu lugar a um sistema descentralizado e multipolar de armazenamento de dados, em que alguns atores privados têm muito mais informação do que aquela que resulta da rede de bases sub iudice. Neste cenário, a garantia da liberdade e da segurança no que toca à existência no ciberespaço e à vida em sociedades politicamente organizadas decentes exige que o Estado Constitucional disponha de um conjunto de instrumentos também no plano informacional. Sustenta-se ainda que a (quase) universalidade do sistema multipolar de carregamento dos dados é, numa perspetiva de igualdade (e também considerando a vulnerabilidade), um caminho constitucionalmente conforme, num quadro respublicano (C).

A) Parametricidade(s) e competências do Tribunal Constitucional

No âmbito de uma normatividade em rede, o legislador nacional está sujeito a um quadro de vinculações multiparamétrico: a) Constituição; b) direito internacional; c) direito da União Europeia. Ao Tribunal Constitucional compete a defesa da CRP, mas fá-lo, na linha de uma tradição nacional de consideração de outros ordenamentos (também estrangeiros - na formulação häberliana, a comparação é um elemento interpretativo([20]) e tendo presente a «amizade jus-internacional» e a opção pela integração europeia que conforma a nossa lei fundamental, através de um diálogo que toma a sério os diferentes parâmetros relevantes e as contribuições jurisprudenciais, nomeadamente do TJUE e do TEDH (Tribunal Europeu dos Direitos do Homem, agora rebatizado dos Direitos Humanos) e de outros tribunais constitucionais, sobretudo os daqueles países que, há muito, contribuem para o enriquecimento da nossa cultura jurídica.

Tendo presente o papel da CDFUE e da CEDH (Convenção Europeia dos Direitos do Homem, agora designada dos Direitos Humanos) neste caso, sempre se recorda que, apesar da sua importância, não são, enquanto tais, parte do «bloco de constitucionalidade». A CRP não consagra, por exemplo, uma via como a acolhida na Lei fundamental (Grondwet) dos Países Baixos, país onde, no que toca ao controlo dos atos legislativos([21]), o parâmetro constitucional nacional deu lugar ao referente internacional([22]). Também não se procedeu a um alargamento paramétrico por via da constitucionalização da CEDH, como ocorreu na Áustria([23]).

Em Portugal, abraçou-se um modelo que se poderá designar como de parâmetro constitucional interpretado em registo dialogante. A jurisprudência do Tribunal Constitucional([24]) de há muito acentua que estamos perante elementos convocados no processo hermenêutico-normativo, operando como «auxiliar[es] de interpretação»([25]).

No Acórdão 268/2022, triunfou tangencialmente a tese - que mereceu forte discordância dos restantes seis juízes - da convocação, na «medida do possível»([26]) (8.2.), de uma interpretação conforme da constituição ao direito europeu, que não acompanho.

Também não acompanho a tese segundo a qual, se na sequência de um diálogo internormativo, nomeadamente interconstitucional (neste caso, interjusfundamental([27]), se não se conseguir chegar a um resultado interpretativo que, por si, não é inconstitucional, a sua eventual desconformidade com o Direito da União Europeia levaria à sua inconstitucionalidade([28]). Na jurisprudência do Tribunal, essa posição de uma eventual dissonância de uma norma nacional com o parâmetro supranacional não seria reconduzível a uma inconstitucionalidade([29]). A este propósito, lê-se no Acórdão 621/98:

«Assim, e seguindo a exposição de José Manuel Cardoso da Costa (O Tribunal Constitucional português e o Tribunal de Justiça das Comunidades europeias, in Ab Uno Ad Omnes, 75 anos da Coimbra Editora, 1920-1995, Coimbra, 1998, p. 1363 ss, 1371), é de rejeitar a qualificação da incompatibilidade do direito interno com o direito comunitário como uma situação de «inconstitucionalidade» que ao Tribunal Constitucional caiba apreciar.

Isto porque, segundo o autor citado, diferentemente (ou para além) do que sucede na receção interna do direito internacional convencional em geral, a receção do direito comunitário envolve (ou envolveu) também a dos mecanismos institucionais que visam especificamente garantir a sua aplicação. Ora, compreendendo a ordem jurídica comunitária recebida nesses termos «compreensivos» e globais pelo direito português, logo por via de uma cláusula da própria Constituição, uma instância jurisdicional precipuamente vocacionada para a sua mesma tutela (e não só no plano das relações interestaduais ou intergovernamentais), e concentrando ela nessa instância a competência para velar pela aplicação uniforme e pela prevalência das suas normas, seria algo incongruente que se fizesse intervir para o mesmo efeito, e no plano interno, uma outra instância do mesmo ou semelhante tipo (como seria o Tribunal Constitucional)»([30]).

Não tendo razões, como se explicitará, para acompanhar a jurisprudência reiterada do TJUE no que toca ao juízo de proporcionalidade, não adoto também a posição dos seis Conselheiros que, convocando a primeira parte do n.º 4 do artigo 8.º da CRP, mobilizam o «standard europeu do controlo da proporcionalidade»([31]). Analisando esta via, Patrícia Fragoso Martins realça que importa evitar que

«o controlo que o Tribunal Constitucional venha a fazer não seja, na prática, em tudo semelhante a garantir a Constituição interpretada à luz do direito europeu. [...] Se assim for [...] então estar-se-á novamente a 'deixar entrar pela janela o que não se deixou entrar pela porta'»([32]).

De qualquer modo, a solução que subscrevo reveste autonomia: trata-se de, a partir da CRP, proceder a uma avaliação da constitucionalidade dialogicamente aberta, mas que assume como referente a ser defendido pelo Tribunal a nossa lei fundamental. Como se verá, o próprio TJUE não considera que se esteja perante uma violação do conteúdo essencial dos direitos em causa, mas sustenta que a admissibilidade de uma «conservação generalizada e indiferenciada» dos dados soçobra no juízo de proporcionalidade (mais exatamente, ao nível da necessidade ou exigibilidade).

No Acórdão 687/2021, encontramos expressamente realçado esse diálogo como método:

«19 - Ainda que, como expressamente reconhece o legislador na Exposição de Motivos acima transcrita, a nova redação do artigo 17.º da Lei do Cibercrime não resulte diretamente de exigências decorrentes da transposição de diretivas da União Europeia, não pode olvidar-se que a Lei 109/2009 tem que ser interpretada à luz do contexto de internormatividade e interconstitucionalidade que esteve na sua génese e que define o seu horizonte aplicativo (uma vez que transpôs para a ordem jurídica interna a Decisão Quadro n.º 2005/222/JAI, relativa a ataques contra sistemas de informação, e adaptou o direito interno à Convenção sobre Cibercrime do Conselho da Europa).

Deste modo, afigura-se incontornável o enquadramento da discussão da matéria dos presentes autos no domínio do direito do espaço europeu - quer da União Europeia, quer do Conselho da Europa -, importando conhecer e atender aos standards de proteção que deles resulta para os direitos fundamentais aqui em causa, designadamente, a privacidade, entendida em sentido lato, e com particular relevância no domínio da proteção de dados e utilização da informática. A jurisprudência do Tribunal de Justiça da União Europeia ("TJUE") e do Tribunal Europeu dos Direitos do Homem ("TEDH") oferece, neste domínio, um relevante conjunto de informações e orientações que o Tribunal Constitucional, animado pela necessidade de proceder a uma interpretação do texto constitucional articulada com os parâmetros europeus, não pode deixar de considerar na análise que lhe é solicitada nos presentes autos».

Contudo, a procura de articulação entre o referente constitucional e o quadro supranacional não significa que não haja limites a este procedimento hermenêutico-normativo. No caso, não consigo, tal como outros académicos e juízes de tribunais constitucionais, rever-me no juízo de proporcionalidade do TJUE e sustento, pelo contrário, a não inconstitucionalidade.

Se se concluir no sentido de a solução sub iudice não ser desconforme com a Constituição, nem por isso, no referido horizonte multiparamétrico, acaba a questão. Cabe ao legislador nacional, ciente dos problemas de conformidade com o direito da União Europeia, na leitura feita pelo TJUE, tomar as decisões político-legislativas e aos tribunais não ignorar essa rede de vinculações normativas.

B) Em torno da jurisprudência do Tribunal de Justiça relativa à conservação de dados: (contra)posição

No Acórdão Digital Rights Ireland, de 8 abril de 2014, o TJUE considerou inválida a Diretiva 2006/24/CE, entre nós transposta pela Lei 32/2008, de 17 de julho. Daqui não decorreu a invalidade desse diploma de transposição.

Há dois pontos que se devem realçar:

a) a jurisprudência em matéria de conservação de dados revelou-se divisiva quer se pense nas decisões de diversos Tribunais Constitucionais (plano nacional) quer, naquilo que agora particularmente nos importa, no que toca às intervenções do TJUE na matéria, nomeadamente da leitura da CDFUE que sustentou;

b) o juízo de proporcionalidade feito, que não acompanho em vários pontos.

B.1. Jurisprudência(s): diálogos e monólogos

Respeitando o papel essencial do TJUE na interpretação da Carta, sempre se começará por dizer que, no caso em apreço, a leitura do Tribunal mereceu e merece forte dissenso numa Europa marcada também pela diversidade. Discordância não apenas no plano da doutrina, mas espelhada em diferentes decisões de tribunais constitucionais que, sem prejuízo do reconhecimento das ingerências em relação a vários direitos (desde a liberdade de comunicação à autodeterminação informacional ou informativa, entre outros), nem sempre chegaram a resultados semelhantes no que toca à existência de bases desta natureza. Também aqui o retrato é plural e diversificado, como já se ilustrará.

A dimensão dialógica pressupõe uma verdadeira interação argumentativa entre tribunais, que não deve ser limitada apenas aos tribunais constitucionais nacionais. No campo da conservação de dados, o registo afigura-se problemático, merecendo a jurisprudência do TJUE reservas, em termos que já foram considerados como revelando «tensões sérias»([33]) entre os tribunais nacionais e o referido Tribunal de Justiça. No caso francês([34]), registe-se a intervenção do Conseil d'Etat([35]), por via do seu aresto de 21 de abril de 2021, que procedeu a uma reconstrução discursiva([36]) fazendo a ponte entre os casos de criminalidade grave e as ameaças à segurança nacional. O quebra-cabeças para a luta contra a criminalidade decorrente de uma malha cada vez mais apertada por via supranacional levou a que, na sequência de La Quadrature du Net, se pergunte se não teremos antes uma «quadratura do círculo»([37]).

Assinale-se que, numa primeira etapa, diferentes tribunais constitucionais([38]) confrontaram-se com problemas, no que toca à transposição da Diretiva, na maioria dos casos tendo como parâmetro os textos constitucionais nacionais, mas também a CEDH. Na decisão alemã de 2010, no entanto, não se punha em causa a legitimidade de uma base (quase) universal, desde que observado um conjunto de requisitos. É preciso sublinhar que, em vários casos, havia problemas diferentes: por exemplo, na decisão do Tribunal Constitucional da Bulgária([39]) não se limitava à criminalidade grave e, além disso, o quadro normativo sucumbiu em termos de violação do princípio da proibição do excesso por causa do longo período permitido para a conservação dos dados.

Trata-se de assegurar um «standard unitário mínimo» (a não confundir com minimalista) e é o próprio Tribunal de Justiça a reconhecer, na análise da questão da conservação ou retenção (diferente de preservação: cf. infra) dos dados, que não é tocado o conteúdo essencial dos diferentes direitos fundamentais convocados([40]) e que há um interesse legítimo (geral) que alicerça a sua restrição([41]).

B.2. Juízo de proporcionalidade

Também não me revejo no juízo de (des)proporcionalidade feito pelo TJUE, apresentado, como vimos, como «standard europeu de controlo de proporcionalidade». Em termos sistemáticos, atente-se nos seguintes subpontos: a) considerações introdutórias sobre o princípio da proibição do excesso; b) vinculação teleológica da conservação de dados; c) âmbito pessoal (subjetivo) e material das bases admissíveis, na ótica do TJUE; d) adequação ou não dos meios; e) exigibilidade ou necessidade.

B.2.1. Princípio da proibição do excesso: introdução

Uma análise em sede de princípio da proibição do excesso ou da proporcionalidade em sentido amplo convoca os três testes já clássicos de análise. Por outras palavras: trata-se de verificar se as medidas adotadas (meios) são adequadas ou apropriadas para a realização dos escopos propostos; se cumprem o requisito da exigibilidade ou da necessidade; por fim, se é observado o princípio da proporcionalidade em sentido restrito, ou seja, procede-se a um juízo de ponderação das desvantagens dos meios e das vantagens dos fim ou fins prosseguidos.

Contrariamente à jurisprudência do TJUE na matéria, discordo da interpretação dos artigos da Carta que consideraram pertinentes (nomeadamente os artigos 7.º e 8.º da CDFUE([42]). Entendo que não é violada qualquer uma das referidas dimensões do princípio da proibição do excesso: nem a adequação (como, aliás, reconhece expressamente o Tribunal); nem a necessidade (divergindo aqui do referido lastro jurisprudencial); nem a proporcionalidade em sentido restrito. Posição que se tornará ainda mais clara por via da recompreensão dos direitos fundamentais em causa e da defesa, inclusivamente, de uma conservação (quase) universal («generalizada») dos dados.

Este juízo tem presentes os direitos e os artigos que neste Acórdão são mobilizados para alicerçar o resultado: inconstitucionalidade, por violação do princípio da proibição do excesso (artigo 18.º, n.º 2, da Constituição) na restrição aos direitos fundamentais à autodeterminação informativa (artigo 35.º, n.º 1, da Constituição) e à reserva da intimidade da vida privada (artigo 26.º, n.º 1, da Constituição). No seu n.º 39, afirma-se que

«os testes do princípio da proporcionalidade - seja o da necessidade seja o da proporcionalidade em sentido estrito - não foram superados pelo legislador; para que tal tivesse acontecido, não se revela suficiente a limitação temporal levada a cabo, impondo-se inelutavelmente que tivesse sido realizada uma limitação do âmbito subjetivo das normas».

Centrarei a minha análise no teste da exigibilidade, mas, mutatis mutandis, também não descortino problemas em sede de proporcionalidade em sentido estrito.

B.2.2. Vinculação teleológica: o combate à criminalidade grave

Não se discute a legitimidade constitucional do fim prosseguido - o combate à criminalidade grave. Na ótica do Tribunal de Justiça, este é um aspeto essencial na avaliação da proporcionalidade, tendo sido descartada a conservação de dados com outros escopos, no plano penal ou mesmo contraordenacional. Lê-se no Acórdão do TJUE (Grande Secção), de 6 de outubro de 2020([43]) (Privacy International):

«No que diz respeito ao objetivo de prevenção, de investigação, de deteção e de repressão de infrações penais, em conformidade com o princípio da proporcionalidade, só a luta contra a criminalidade grave e a prevenção das ameaças graves contra a segurança pública são suscetíveis de justificar ingerências graves nos direitos fundamentais consagrados nos artigos 7.º e 8.º da Carta, tais como as que implicam a conservação de dados de tráfego e de dados de localização. Por conseguinte, só as ingerências sem caráter grave nos referidos direitos fundamentais podem ser justificadas pelo objetivo de prevenção, de investigação, de deteção e de repressão de infrações penais em geral [v., neste sentido, Acórdãos de 21 de dezembro de 2016, Tele2, C-203/15 e C-698/15, EU:C:2016:970, n.º 102, e de 2 de outubro de 2018, Ministerio Fiscal, C-207/16, EU:C:2018:788, n.os 56 e 57; Parecer 1/15 (Acordo PNR UE-Canadá), de 26 de julho de 2017, EU:C:2017:592, n.º 149]».

Em relação ao fim prosseguido - «luta contra a criminalidade grave, com o objetivo de garantir a segurança pública»([44]) -, importa não olvidar que este visa, em última análise, a defesa de um conjunto de bens fundamentais, como sejam a vida, a integridade pessoal, a reserva da intimidade da vida privada e família e a autodeterminação informacional, entre outros, quer nos movamos no quadro da CDFUE quer nos situemos no plano constitucional nacional. Este é o lado que tende a ficar em segundo plano. É verdade que em Digital Rights Ireland, o TUJE menciona, mas «apenas de passagem», o direito à segurança([45]), entre nós convocado expressamente pelo Conselheiro Lino de Carvalho para chegar a um resultado nos antípodas da posição do Tribunal de Justiça([46]). Apela-se para o princípio da proporcionalidade - na Carta, previsto no artigo 52.º, n.º 1 - e aí mobiliza-se o segmento relativo «a objetivos de interesse geral reconhecidos pela União». Neste ponto, a abordagem foi criticada, na medida em que descuraria o papel dos deveres de proteção de bens jurídicos em conflito([47]). Na verdade, Sebastian Leuschner([48]), tratando precisamente do caso da conservação de dados, defende a consideração, no processo de ponderação, dos deveres de proteção dos bens subjacentes aos direitos previstos nos artigos 2.º (direito à vida) e 3.º (direito à integridade) da CDFUE. Isto traduz-se em enfatizar o segmento final do n.º 1 do artigo 52.º da Carta, ou seja, a «necessidade de proteção dos direitos e liberdades de terceiros».

A já referida menção fugidia ao direito à segurança não altera o facto de este juízo de proporcionalidade se centrar no objetivo de interesse geral («luta contra a criminalidade grave, com o objetivo de garantir a segurança pública») reconhecido pela União Europeia. Entre nós, o Tribunal Constitucional convoca o artigo 18.º, n.º 2, no segmento «interesses constitucionalmente protegidos», no caso, tendo por finalidade «então [Acórdão 268/2022([49])] como agora, a investigação, prevenção e repressão de crimes graves, determinada no artigo 1.º da Lei 32/2008, de 17 de julho».

B.2.3. Âmbito pessoal e material

Em relação aos metadados, proíbe-se, como se disse, a sua conservação «generalizada» e «indiferenciada». Da leitura das decisões do TJUE, resulta que, no caso, a proibição desse tipo de conservação conhece algumas exceções, a saber:

a) Admite-se «uma conservação generalizada e indiferenciada de dados de tráfego e de dados de localização, quando o Estado-Membro em causa enfrente uma ameaça grave para a segurança nacional que se revele real e atual ou previsível, [...] quando a referida imposição apenas possa ser aplicada por um período temporalmente limitado ao estritamente necessário, mas renovável em caso de persistência dessa ameaça» (La Quadrature du Net)([50]), mas tal não é transferível para o campo da criminalidade grave;

b) Permite-se que a conservação generalizada e indiferenciada também valha para «os dados relativos à identidade civil dos utilizadores de meios de comunicações eletrónicos»([51]);

c) Abre-se a possibilidade de conservação generalizada e indiferenciada, de forma temporalmente limitada, dos endereços de IP atribuídos à fonte de uma ligação, apesar do grau de ingerência (SpaceNet, n.º 101). Lê-se no n.º 100 do Acórdão do TJUE, de 20 de setembro de 2022 (SpaceNet):

«a conservação generalizada dos endereços IP atribuídos à fonte da ligação constitui uma ingerência grave nos direitos fundamentais consagrados nos artigos 7.º e 8.º da Carta, uma vez que esses endereços IP podem permitir tirar conclusões precisas sobre a vida privada do utilizador do meio de comunicação eletrónica em causa e ter efeitos dissuasivos no exercício da liberdade de expressão garantida no artigo 11.º da mesma. Todavia, no que respeita a essa conservação, o Tribunal de Justiça declarou que, para efeitos da necessária conciliação dos direitos e dos interesses em causa exigida pela jurisprudência referida nos n.os 65 a 68 do presente acórdão, há que ter em conta o facto de, no caso de uma infração cometida em linha e, em especial, no caso da aquisição, da difusão, da transmissão ou da colocação à disposição em linha de pornografia infantil, na aceção do artigo 2.º, alínea c), da Diretiva 2011/93/UE do Parlamento Europeu e do Conselho, de 13 de dezembro de 2011, relativa à luta contra o abuso sexual e a exploração sexual de crianças e a pornografia infantil, e que substitui a Decisão-Quadro 2004/68/JAI do Conselho (JO 2011, L 335, p. 1, e retificação JO 2012, L 18, p. 7), o endereço IP poder constituir o único meio de investigação que permite a identificação da pessoa à qual esse endereço estava atribuído no momento da prática dessa infração (Acórdão de 5 de abril de 2022, Commissioner of An Garda Síochána e o., C-140/20, EU:C:2022:258, n.º 73)».

Tal só aconteceu na sequência de outras decisões do TJUE, que não ressalvaram os IPs dinâmicos, já assinalados numa decisão do Tribunal Constitucional Federal alemão([52]), em 2012, como convocando problemas em matéria de liberdade de comunicação (artigo 10.º da Grundgesetz)([53]). Ou seja, excetuada a primeira possibilidade, que não é aplicável ao combate à criminalidade grave, a segunda é permitida por se entender que se trata de uma ingerência baixa e a terceira por necessidade de «conciliação dos direitos e interesses em causa», como se explicita na passagem transcrita.

B.2.4. Teste de adequação

Quanto à adequação, a orientação do Tribunal de Justiça não é problemática. Lê-se no referido Acórdão (Digital Rights Ireland), de 8 de abril de 2014:

«49 - No que respeita à questão de saber se a conservação dos dados é adequada à realização do objetivo prosseguido pela Diretiva 2006/24, cumpre observar que, tendo em conta a crescente importância dos meios de comunicação eletrónica, os dados que devem ser conservados em aplicação desta diretiva permitem às autoridades nacionais competentes em matéria penal dispor de possibilidades suplementares de elucidação das infrações graves e, portanto, nesta perspetiva, constituem um instrumento útil nas investigações penais. Assim, a conservação desses dados pode ser considerada adequada à realização do objetivo prosseguido pela dita diretiva.

50 - Esta apreciação não pode ser posta em causa pela circunstância, invocada designadamente por C. Tschohl e M. Seitlinger, bem como pelo Governo português nas observações escritas que apresentou ao Tribunal de Justiça, de haver várias modalidades de comunicações eletrónicas que não estão abrangidas pelo âmbito de aplicação da Diretiva 2006/24 ou que permitem uma comunicação anónima. Embora, é certo, esta circunstância seja suscetível de limitar a adequação da medida de conservação dos dados à realização do objetivo prosseguido, não é, todavia, suscetível de a tornar inapta, como salientou o advogado-geral no n.º 137 das suas conclusões».

À face da Constituição da República Portuguesa, a solução também não soçobra, cumprindo a exigência de adequação.

B.2.5. Necessidade ou exigibilidade

B.2.5.1. Considerações introdutórias

As divergências centram-se no juízo de necessidade ou de exigibilidade da solução de conservação dos dados. Descontada a censura a alguns aspetos relativos ao nível das «condições materiais e processuais» de acesso (Digital Rights Ireland, n.º 61) e que, no caso deste Decreto, foram observados pelo legislador nacional, o argumento chave parte da ideia, já tratada, de que a simples criação de uma base deste tipo seria uma grave ingerência em matéria de direitos fundamentais, desnecessária na medida em que existem meios menos onerosos, que não poriam em causa a eficácia da finalidade prosseguida.

Cabe-me, pois, um ónus acrescido de fundamentação, ao afastar-me da jurisprudência quer do TJUE quer da larga maioria que teve vencimento em sede de Tribunal Constitucional (no Acórdão 268/2022, apenas o Conselheiro Lino de Carvalho, com quem convirjo nalguns argumentos, votou em sentido contrário).

Recorda-se que, numa ótica de exigibilidade ou necessidade, estaremos perante uma violação do princípio da proibição do excesso se houver meios menos onerosos, ou seja, menos ingerentes, e que se apresentem como «alternativas equivalentes» (gleichwertige Alternativen). Como se escreveu no Acórdão 578/2023:

«Na doutrina, encontramos expressões como «meio igualmente efetivo» (gleich effektiven Mittels), «igualmente eficaz» (gleich wirksam Mittel) ou com «igual aptidão» (gleiche Eignung). Importa precisar que equivalência no que toca às alternativas não significa nem pode significar a mesma e exata medida, o que levantaria especiais problemas e, no limite, conduziria a um esvaziamento do princípio. [...] Equivalência não significa [pois] que a medida tenha exatamente o mesmo nível de eficácia (Niels Petersen, Verhältnismä(beta)igkeit als Rationalitätskontrolle: eine rechtsempirische Studie verfassungsrechtlicher Rechtsprechung zu den Freiheitsgrundrechten, Tübingen: Mohr Siebeck, 2015, pp. 150-153)».

B.2.5.2. A questão do risco da existência de uma rede de bases de conservação de dados

Em relação à natureza desta rede de conservação de dados, discordo da tese de que, no caso, haja risco agravado pela sua constituição (os dados já existem, em boa parte, nos mesmos operadores e aí, presentemente, com menos garantias: cf. supra, I) e de que a rejeição se possa fundar na sua aplicação «mesmo a pessoas em relação às quais não haja indícios que levem a acreditar que o seu comportamento possa ter um nexo, ainda que indireto ou longínquo, com infrações grave» (Digital Rights Ireland, n.º 58). Quanto a este segundo ponto, já nos movemos noutro plano e a questão será aprofundada infra.

B.2.5.3. Alternativas: (re)lendo a jurisprudência do TJUE

Contra o modelo (quase) universal de conservação, apresentam-se como medidas menos onerosas, que seriam capazes de assegurar a luta contra a criminalidade grave, soluções de «conservação dirigida» ou «condicionada», limitadas em termos temporais, territoriais e pessoais([54]), ou seja, seletivas, não deixando de se considerar o «congelamento rápido» de dados.

Centremo-nos nas alternativas avançadas na jurisprudência do TJUE e que têm sido discutidas. Recentemente, vários Estados nacionais, tendo sido forçados a descartar o quadro normativo anterior neste campo, procuraram encontrar caminhos que permitam minorar os danos.

B.2.5.3.1. Preservação de dados como alternativa à conservação

Em sentido estrito, a preservação de dados distingue-se da conservação de dados, embora a preservação expedita apareça designada também como «conservação rápida»([55]). No artigo 12.º da Lei do Cibercrime([56]), é admitida a preservação de dados, por um período de três meses, mas extensível a um ano. Lê-se no n.º 1:

«Se no decurso do processo for necessário à produção de prova, tendo em vista a descoberta da verdade, obter dados informáticos específicos armazenados num sistema informático, incluindo dados de tráfego, em relação aos quais haja receio de que possam perder-se, alterar-se ou deixar de estar disponíveis, a autoridade judiciária competente ordena a quem tenha disponibilidade ou controlo desses dados, designadamente a fornecedor de serviço, que preserve os dados em causa».

É um caminho previsto no Título 2 («Conservação expedita de dados informáticos armazenados») da Convenção sobre a Cibercriminalidade do Conselho da Europa, de 23 de novembro de 2001 (Série de Tratados Europeus - n.º 185)([57]), conhecida como Convenção de Budapeste. Trata-se de uma via expressamente prevista na jurisprudência do TJUE, como se comprova consultando, por exemplo, os acórdãos La Quadrature du Net e Commissioner of An Garda Síochána([58]).

Neste último, lê-se:

«89 [...] uma medida legislativa pode autorizar que se imponha aos prestadores de serviços de comunicações eletrónicas a conservação rápida dos dados de tráfego e dos dados de localização, nomeadamente, das pessoas com as quais, antes da ocorrência de uma ameaça grave para a segurança pública ou da prática de um ato de criminalidade grave, uma vítima tenha estado em contacto utilizando os seus meios de comunicações eletrónicas.

90 Tal conservação rápida pode, segundo a jurisprudência do Tribunal de Justiça recordada no n.º 88 do presente acórdão e nas mesmas condições visadas nesse número, igualmente ser alargada a zonas geográficas determinadas, como os locais da prática e da preparação da infração ou da ofensa à segurança nacional em causa. Importa precisar que podem ainda ser objeto dessa medida os dados de tráfego e os dados de localização relativos ao local onde uma pessoa, potencialmente vítima de um ato de criminalidade grave, desapareceu, desde que essa medida e o acesso aos dados assim conservados respeitem os limites do estritamente necessário para efeitos da luta contra a criminalidade grave ou a salvaguarda da segurança nacional, conforme enunciados nos n.os 164 a 167 do Acórdão de 6 de outubro de 2020, La Quadrature du Net e o. (C-511/18, C-512/18 e C-520/18, EU:C:2020:791).

91 Por outro lado, importa precisar que o artigo 15.º, n.º 1, da Diretiva 2002/58 não se opõe a que as autoridades nacionais competentes ordenem uma medida de conservação rápida desde a primeira fase do inquérito sobre uma ameaça grave para a segurança pública ou sobre um eventual ato de criminalidade grave, a saber, a partir do momento em que, segundo as disposições pertinentes do direito nacional, essas autoridades podem dar início a esse inquérito.

92 No que respeita à variedade das medidas de conservação dos dados de tráfego e dos dados de localização referidos no n.º 67 do presente acórdão, importa precisar que estas diferentes medidas podem, consoante a escolha do legislador nacional e respeitando os limites do estritamente necessário, ser aplicadas conjuntamente. Nestas condições, o artigo 15.º, n.º 1, da Diretiva 2002/58, lido à luz dos artigos 7.º, 8.º, 11.º e 52.º, n.º 1, da Carta, conforme interpretado pela jurisprudência decorrente do Acórdão de 6 de outubro de 2020, La Quadrature du Net e o. (C-511/18, C-512/18 e C-520/18, EU:C:2020:791), não se opõe a uma combinação destas medidas».

Esta possibilidade de «congelamento» de dados corresponde a uma solução que, na sequência do Acórdão SpaceNet, integra proposta de quadro legislativo em matéria de conservação de dados, na Alemanha([59]).

B.2.5.3.2. Territorialidade: cruzando geografia e criminalidade

Na jurisprudência do TJUE, apresenta-se como alternativa legítima para combater a criminalidade grave a chamada «conservação dirigida», que se socorre de critérios assentes na seletividade territorial ou pessoal. Como se viu no trecho jurisprudencial acabado de citar, embora se possa cruzar com a preservação expedita, reveste autonomia. Especial interesse assume a questão da territorialidade, que passa por uma identificação de espaços que são reconhecidos como tendo associado um risco acrescido (os aeroportos, por exemplo) e ainda pelo recorte de áreas com uma criminalidade grave acima da média. Antes da avaliação crítica das alternativas, nomeadamente, mas de modo algum exclusivamente, na perspetiva da eficácia, proceda-se a uma breve apresentação, olhando-se para algumas concretizações normativas e discussões em curso, neste caso, limitando-me a breves referências à Suécia.

A escolha de uma determinada zona geográfica para uma retenção orientada pressupõe critérios objetivos, como a verificação de probabilidade de uma criminalidade grave significativamente maior do que noutras áreas. A legislação dinamarquesa ou na Bélgica ilustram soluções desta natureza, que tratarei de forma necessariamente breve.

a) Dinamarca

A Dinamarca procedeu a um conjunto de alterações normativas neste campo, realçando-se a Lei 291, de 8 de março de 2022 (LOV nr 291 af 08/03/2022 - Lov om ændring af retsplejeloven og lov om elektroniske kommunikationsnet og -tjenester/ Lei que altera a Lei da Administração da Justiça e a Lei das Redes e Serviços de Comunicações Eletrónicas).

Consultando o documento que, a par das alterações, procede a uma exposição dos motivos([60]), vê-se que se tratou de consagrar um sistema de conservação direcionada, que, lê-se, é o remédio para continuar a utilizar dados de comunicação na investigação criminal, sem prejuízo da sua redução.

Para além da cobertura de pessoas condenadas por crimes graves, adotou-se como critério uma conservação ou retenção geograficamente orientada, tomando como indicadores a média de crimes graves, a saber:

a) Média de crimes graves cometidos nos últimos três anos superior 1,5 vezes à média nacional;

b) Média de pessoas condenadas nessa área na mesma janela temporal também superior a 1,5 vezes a média nacional.

Acresce que, entre outras medidas, pode haver um armazenamento geograficamente orientado em áreas particularmente sensíveis, tais como aeroportos, embaixadas, palácio real, etc.

Na sua análise do processo, o Instituto para os Direitos Humanos (Institut for Menneskerettigheder([61]) considera que, com os critérios propostos, há o risco de consagração de um tratamento próximo da generalização e indiferenciação vedadas pela leitura da Carta feita pelo TJUE. Prevê-se, na verdade, o corte do território em zonas de três por três quilómetros([62]). A possibilidade de, deste modo, continuar a não ser conforme com o Direito da União, nomeadamente com a proteção jusfundamental, é bastante significativa([63]). Lê-se que a conservação de dados pode, segundo estimativas oficiais, abranger mais de 2/3 (avança-se com 67 %) da população([64]).

b) Bélgica

Na Bélgica, a Loi du 20 juillet 2022 relative à la collecte et à la conservation des données d'identification et des métadonnées dans le secteur des communications électroniques et à la fourniture de ces données aux autorités([65]) entrou em vigor a 18 de agosto desse mesmo ano. Cruzam-se dois critérios geográficos([66]):

a) De acordo com o primeiro, prevê-se, nos termos do artigo 126/3 § 1. que:

«Os dados referidos no artigo 126/2, § 2, são conservados na área geográfica constituída por:

- Circunscrições judiciárias nas quais tenham sido registadas, em média, nos três anos civis anteriores ao ano em curso, pelo menos três infrações referidas nos §§ 2 a 4 do artigo 90ter do Código de Processo Penal por ano e por 1000 habitantes;

- As áreas policiais nas quais tenham sido registados em média, por ano e por 1000 habitantes, pelo menos três crimes referidos no artigo 90ter, §§ 2.º a 4.º, do Código de Processo Penal, nos três anos civis anteriores ao corrente, e situadas em circunscrições judiciais nas quais, durante o ano civil anterior ao corrente, tenham sido registados, em média, nos três anos civis anteriores ao corrente, menos de três crimes referidos no artigo 90.º-ter, §§ 2.º a 4.º, do Código de Processo Penal por ano e por 1000 habitantes»([67]).

b) Além disso, também se estabelecem obrigações de conservação dos dados nas «zonas particularmente expostas a ameaças para a segurança nacional ou à comissão de atos de criminalidade grave» tais como portos, estações de caminho de ferro e de metro, aeroportos, prisões, etc([68]).

O diploma belga ilustra também alguns dos problemas decorrentes da repartição do território no quadro de uma «conservação dirigida». Veja-se, a título meramente ilustrativo, a redação do § 3.º do artigo 126.º, n.º 1:

«Se o utilizador final se deslocar durante uma comunicação eletrónica, o operador conservará os dados de tráfego na medida em que o utilizador final se encontre, em qualquer momento da comunicação, numa das zonas referidas no artigo 126/3.

Os operadores conservarão os dados relativos à ligação do equipamento terminal à rede e ao serviço e à localização desse equipamento, incluindo o ponto terminal da rede, enumerados no n.º 2 do artigo 126.º/2, § 2, caso esse equipamento se encontre numa das zonas referidas no artigo 126/3.

Para determinar se o equipamento terminal está localizado numa zona geográfica referida no artigo 126.º/3, os operadores utilizam os dados mais fiáveis e precisos possíveis. Utilizam, quando disponíveis para o efeito, a localização por satélite de um equipamento terminal.

Sempre que a tecnologia utilizada pelo operador não permita limitar a conservação dos dados a uma zona referida no artigo 126.º/3, o operador conserva os dados necessários para cobrir a totalidade da zona em causa, limitando a conservação dos dados fora dessa zona ao estritamente necessário, tendo em conta as suas possibilidades técnicas.

Se o ponto de agregação de um operador, como uma antena, abranger várias zonas geográficas referidas no artigo 126.º/3 que estejam sujeitas a diferentes períodos de conservação, o operador conserva os dados relativos a esse ponto de agregação durante o período de conservação mais curto.

Quando, nos termos do presente artigo e do artigo 126.º/3, forem aplicáveis períodos de conservação diferentes aos mesmos dados, os operadores conservarão os dados pelo período mais curto»([69]).

B.2.5.4. Avaliação: em especial, a questão da eficácia

Quanto ao critério geográfico como fundamento para o «armazenamento direcionado», são vários os argumentos convocados e que estão sintetizados no relatório sueco de 2023([70]), a saber:

a) Desde logo, o problema da sua eficácia, dado que, naturalmente, «não é possível determinar antecipadamente onde serão cometidos os crimes»([71]);

b) Acresce que se podem pôr problemas sérios de discriminação e de estigmatização, que têm sido sublinhados([72]), o que vai bulir com valores constitucionalmente tutelados pela Carta e pelos textos constitucionais nacionais;

c) Em termos de combate ao crime, embora se reconheça a necessidade de medidas distintas, há o risco de termos velocidades muito diferenciadas no país.

Lembre-se também que este modelo geograficamente direcionado pode de alguma forma promover uma deslocação de grupos criminosos para áreas com baixa criminalidade.

Quanto à eficácia, a não ser que, sob a capa de intervenções direcionadas, se adotassem medidas tão extensas que, na prática, se aproximariam do modelo rejeitado pelo TJUE (numa situação, no limite, de manifesta fraude), não se vê como seja possível defender uma equivalência do ponto de vista de medidas, mas apenas encontrar remédios que atenuem essa redução. Considerem-se dois pontos:

a) Uma análise que privilegia um retrato empírico, tendo presente estatísticas e resultados de estudos;

b) Uma avaliação das alternativas, incluindo a chamada «nova geração de leis de conservação de dados»([73]).

B.2.5.4.1. Retrato empírico: práticas, números e estudos

Sem prejuízo de oscilações, assistiu-se na última década a um crescimento dos números do crime praticado no ciberespaço quer sejam situações de crime estritamente informáticos quer atos em que a «constelação digital»([74]) é instrumental([75]). Ou seja, estamos num território virtual onde têm vindo a aumentar significativamente os incidentes informáticos([76]).

Esta tendência não é apenas nacional. Na verdade, se se considerar o panorama global em todo o espaço da União, também se assinala um acréscimo de atividade ilícita, como se espelha num relatório recente da Agência da União Europeia para a Cibersegurança (ENISA)([77]):

«um crescimento significativo quer na variedade quer na quantidade de ataques cibernéticos e suas consequências. A guerra em curso contra a Ucrânia continua a influenciar este quadro. O "hacktivismo" expandiu-se com o surgimento de novos grupos, enquanto os incidentes de ransomware [software de extorsão] aumentaram no primeiro semestre de 2023 e não mostraram sinais de desaceleração»([78]).

No catálogo das ameaças para a existência digital, para a «identidade digital» de cada um (com projeções na nossa «identidade 'híbrida'», conjugação de várias dimensões da vida, que não se esgota na «conetividade digital»)([79]), contam-se riscos externos e internos. Entre os primeiros, registam-se vários modos de pirataria informática [engenharia social, falsificação ou mistificação de interface (phishing), ataques DDoS] e de «software malicioso» (malware), ilustrado nos vírus, vermes, cavalos de Troia, «software espião» (spyware), software de extorsão (ransomware), por exemplo([80]). Quanto aos segundos - riscos internos -, são fundamentais as garantias para evitar acessos indevidos, o que se traduz, nomeadamente, em medidas organizacionais e técnicas([81]).

Um Parecer do então denominado Max-Planck-Instituts für ausländisches und internationales Strafrecht([82]) (agora Max-Planck-Institut zur Erforschung von Kriminalität, Sicherheit und Recht) sobre os efeitos da não conservação dos dados na investigação criminal e na proteção jurídica mostrou-se inconclusivo (realçou-se a insuficiência de dados empíricos), não permitindo alicerçar de forma clara nenhuma das posições.

Do ponto de vista da Comissão Europeia, numa informação datada de abril de 2014, lê-se o seguinte([83]):

«Qual é o valor da conservação de dados para os sistemas de justiça criminal e para a aplicação da lei?

A conservação de dados é feita na maioria dos Estados-Membros. Os Estados-Membros têm, em geral, relatado, que os dados conservados são muito valiosos e, em alguns casos, indispensáveis, para prevenir e combater a criminalidade, para proteger as vítimas e para a absolvição de inocentes em processos penais.

A evidência, sob a forma de estatística e exemplos fornecidos pelos Estados-Membros, é limitada quanto a alguns aspetos, no entanto, atesta o papel muito importante dos dados conservados para a investigação criminal. Estes dados fornecem pistas e provas valiosas na prevenção e repressão do crime e na garantia da justiça penal. A sua utilização resultou em condenações por infrações penais que, sem a retenção de dados, poderiam nunca ter sido obtidas.

A conservação de dados permite fornecer pistas para a investigação de uma infração. Também ajuda a discernir ou confirmar outro tipo de provas sobre as atividades e ligações entre suspeitos e vítimas. Na ausência de provas forenses ou testemunhas presenciais, a retenção de dados é muitas vezes a única forma de iniciar uma investigação criminal. Em geral, a conservação de dados parece desempenhar um papel central na investigação criminal, mesmo que nem sempre seja possível isolar e quantificar o impacto de uma determinada prova num determinado caso»([84]).

No retrato traçado, encontramos referências a vários Estados europeus, sendo em regra diferentes os períodos temporais de conservação. Na Irlanda, as entidades policiais têm uma tradição de recurso frequente a estes dados([85]).

Em 2020, foi publicado um Relatório da Comissão Europeia([86]), baseado na análise de dez países (entre os quais Portugal), onde se lê que, relativamente às alternativas, as autoridades (no caso, as LEA - law enforcement authorities) «sublinharam que nenhum destes mecanismos pode ser visto como uma verdadeira alternativa à conservação de dados obrigatória e generalizada»([87]). Por exemplo, no que toca à vigilância pressupõe-se a existência de suspeito(s) identificado(s) e para o procedimento identificador haver dados conservados pode fazer toda a diferença. O mesmo vale para o acesso a dispositivos que venham a ser apreendidos no decurso da investigação.

Em vários países, e pondo de parte outras necessidades de conservação de informação, a paleta de razões em defesa de salvaguarda dos dados é variada. Por exemplo, em relação às empresas de comunicações eletrónicas alemãs, um Projeto de Lei conjunto dos Grupos Parlamentares da CDU/CSU e do SPD([88]), de 2 de junho de 2015, sobre esta questão, realçava a necessidade de um quadro comum dado que os períodos de armazenamento dos dados eram muitos distintos (no limite, apenas alguns dias), o que se traduzia numa álea([89]) que se poderia repercutir no sucesso da investigação, comprometendo a eficácia da prossecução penal([90]).

B.2.5.4.2. Avaliação das alternativas

A jurisprudência do TJUE considera que é possível uma armazenagem seletiva ou direcionada, apresentando diferentes critérios. Este ponto é importante para o juízo de necessidade ou exigibilidade, pois estas medidas que pretendem ser menos onerosas, devem ter uma eficácia equivalente (o que, como se disse, não tem de significar idêntica). Testemos, pois, os critérios propostos e os modos.

a) Preservação expedita

No referido relatório final do estudo promovido pela Comissão Europeia - Study on the retention of electronic communications non-content data for law enforcement purposes -, lê-se a propósito deste meio que «A maioria das LEA consultadas não considera que a preservação de dados seja uma medida alternativa adequada à conservação obrigatória de dados»([91]). E acrescenta-se:

«Em geral, porque os ESP [Electronic communications service Provider /Fornecedores de serviços de comunicações eletrónicas] não necessitam de dados de localização ou de endereços IP de uma ligação à Internet durante mais do que alguns dias, não podem preservar esses dados se já tiverem sido apagados. As LEA enfrentam, portanto, dificuldades semelhantes às que existem quando dependem do acesso aos dados armazenados pelos ESP para fins comerciais. As LEA podem recorrer à preservação de dados apenas quando os factos que constituem crime são relativamente recentes, ou quando o crime está em curso no momento em que é detetado pela investigação. Embora a conservação de dados garanta a disponibilidade de dados históricos ligados ao caso sob investigação, a preservação de dados só pode ser aplicada a partir do momento em que surge uma suspeita e é emitida uma ordem de preservação. Não permite fornecer pistas para a investigação antes da ordem de preservação([92]).

Ou seja, para ser efetiva a preservação pressupõe-se a disponibilidade desses dados, o que levanta a questão da sua conservação ou retenção em sentido estrito. Por outras palavras: a efetividade do congelamento rápido depende de ainda existirem esses dados, sendo a função do armazenamento a sua conservação.

Desta forma, o chamado método de preservação rápida não resolve o problema, pois se já não houver dados, total ou parcialmente, não se consegue efetivar([93]). Falou-se já de um «placebo»([94]). Em relação à justiça constitucional, foi referido na paleta de medidas menos onerosas pelo Tribunal Constitucional português([95]) e já antes apontado como via pelo Tribunal Constitucional eslovaco([96]), mas recusado, em 2010, pelo Tribunal Constitucional Federal alemão([97]).

b) Conservação dirigida: critérios territoriais

O modelo belga tem sido criticado, entre outras coisas, por se aproximar, em termos de cobertura, da situação censurada pela jurisprudência do Tribunal de Justiça([98]). O Eurodeputado Patrick Breyer MEP (Verdes/Aliança Livre Europeia) mostrou([99]), com o auxílio de um mapa digital, que, de facto, mais de 2/3 da população residente cairá no âmbito territorial. Num artigo publicado já em 2023, lê-se mesmo que «as implementações nacionais de tais alternativas na prática perpetuam os mesmos problemas»([100]).

Embora seja uma forma de redução de danos por via do impacto da jurisprudência do TJUE, nem sempre é claro que não haverá problemas de discriminação([101]). Tal preocupação é sublinhada quer ao nível da doutrina quer em termos de posições de instituições. Na Suécia, há um Provedor que especificamente considera as questões da discriminação [Diskrimineringsombudsmannen (DO)] e que, face à alteração proposta na esteira da jurisprudência do TJUE, manifestou preocupações do ponto de vista da utilização do recorte geográfico - identificação de determinadas zonas - em função do critério de uma prática de crimes acima da média.

Assim, não havendo medidas alternativas com uma eficácia equivalente à solução de um armazenamento multipolar quase universal não podemos acompanhar a conclusão da jurisprudência do TJUE que sustenta, no referido Acórdão SpaceNet:

«113 - Em todo o caso, como salientou o advogado-geral no n.º 50 das suas conclusões, a eventual existência de dificuldades para definir precisamente as hipóteses e as condições em que pode ser efetuada uma conservação seletiva não pode justificar que os Estados-Membros, fazendo da exceção uma regra, prevejam uma conservação generalizada e indiferenciada dos dados de tráfego e dos dados de localização (Acórdão de 5 de abril de 2022, Commissioner of An Garda Síochána e o., C-140/20, EU:C:2022:258, n.º 84)».

Mais: trata-se de uma jurisprudência que, contra quadros jurídicos nacionais que conformavam países tão distintos como a Alemanha, a Dinamarca, a Suécia e Portugal, impôs uma leitura rigidificante e, em minha opinião, desproporcionada em termos da ponderação, que tem levado, após uma longa resistência de alguns Estados nacionais, a mudanças legislativas, já concluídas ou em curso. Contudo, insisto, a CDFUE não deve ser lida nos moldes em que o tem sido pelo TJUE([102]); além disso, discute-se a ingerência na área de decisões onde outro deveria ser o peso dos legisladores nacionais. Em termos de acesa crítica, fala-se de «Estados confusos», de «União desestabilizada»([103]). Na verdade, a dificuldade de desenvolver um modelo eficaz para combater a criminalidade grave comprova-se em países que tiveram de se resignar perante uma jurisprudência europeia crescentemente intransigente. Em França, estuda-se o desenvolvimento de um novo quadro normativo. Num relatório de novembro de 2023([104]), da autoria dos senadores Philippe Bonnecarrère e de Agnès Canayer, dá-se conta, de forma muito crítica, do impacto das decisões do TJUE no ordenamento jurídico francês e afirma-se como desígnio «assumir na Europa uma posição forte, fazendo da matéria dos dados de conexão uma prioridade para a França»([105]). No quadro da Presidência espanhola da União([106]), discutiu-se a questão de encontrar legislação equilibrada no que toca ao acesso aos metadados para efeitos de investigação criminal, na sequência de um encontro dos Chefes das Polícias Europeias em Lisboa([107]). Ressaltando-se a importância da cooperação europeia no combate à criminalidade organizada, assinala-se a importância de um novo quadro jurídico da União sobre conservação de dados, pois a Diretiva de 2006 foi há muito invalidada pelo TJUE. Isto num tempo em que se discute a substituição da Diretiva 2002/58/CE([108]).

c) Experiência e ferramentas policiais

Sabe-se que ainda antes da digitalização, algumas polícias já recortavam áreas territoriais de maior relevância criminal. Atualmente, utilizam sistemas de inteligência artificial de prognose a partir da chamada cartografia do crime (crime mapping; Verbrechenskartierung)([109]). Programas como o Comp Stat, que está na base do Predpol, transformam os dados digitais em mapas digitais, utilizando algoritmos para a partir dos dados passados preverem, em geral, a ocorrência de maior ou menor criminalidade, seja grave ou não. Há diferentes soluções no mercado (como o PreCobs - Pre Crime Observation System), que se comparam com a definição de políticas de risco.

Acontece que estes sistemas geram preocupação por, à semelhança dos sistemas de prognose referidos não ao território, mas a pessoas, conduzirem a controlos desproporcionais de certas zonas e à geração de efeitos de estigmatização e discriminação([110]).

Esta política criminal tem vindo a aprofundar o fosso da desigualdade no que toca à prossecução penal (ponto que consideraremos infra, em defesa de uma quase universalidade de carregamento de dados). Ou seja, para afirmar uma tutela hiperindividualista dos direitos de alguns acaba por se aumentar as ingerências em direitos de outros que habitam em áreas suspeitas.

d) Conclusões

As pistas de resolução do problema apresentadas na jurisprudência do TJUE são menos eficazes e de difícil concretização, sendo aptas a gerar discriminações. A necessidade dos dados das telecomunicações é manifesta e, não por acaso, na União Europeia foi criado o DAPIX (Data Retention) Working Party. O Conselho da União Europeia adotou as conclusões deste grupo de trabalho([111]). Aborda-se a possível (in)suficiência dos dados recolhidos para fins comerciais, bem como, em casos de retenção, uma diferença significativa quanto aos prazos de conservação([112]). Problemas que se projetam na cooperação internacional na luta contra a criminalidade grave([113]).

Em resumo: face à Constituição da República Portuguesa não temos dúvidas da compatibilidade, em geral, da rede de bases de conservação de dados. Aliás, outra não seria a nossa ponderação também perante a Carta.

Ainda a este propósito, importa não olvidar que a justiça penal como forma de realização do Estado de Direito permite a prossecução do combate à criminalidade, tomando a sério o princípio fundante da dignidade humana e os princípios que densificam uma constituição processual e penal justa. Justiça penal que é, pois, instrumento essencial para a garantia dos bens fundamentais de todas as pessoas envolvidas. Na verdade, o emprego de metadados também possibilitou e possibilita - e isto não é de menor importância - a absolvição de pessoas inocentes.

É verdade que a jurisprudência do TJUE não questiona a bondade deste fim, mas, na sua interpretação da Carta, acaba por limitar significativamente a segurança e a liberdade pessoais. Como referimos supra, a intervenção do Estado estabelecendo a obrigação de conservação de dados é instrumental para a proteção de bens fundamentais. Ou seja, em última análise, temos titulares de posições jurídicas em ambos os lados da colisão.

No Estado de direito, assiste-se ao desenvolvimento de zonas onde parece imperar o não-direito, onde vivem populações mais pobres desprotegidas e esquecidas, com uma probabilidade mais elevada de serem mortas em tiroteios entre bandos rivais. Com o desenvolvimento do ciberespaço expandiu-se o campo de atuação criminosa - o terreno do cibercrime - que exige uma tutela em sede de digitalização. No quadro de uma globalização da criminalidade e da hipercomplexificação das sociedades, e de uma visão intrinsecamente relacional dos direitos, tendo presente um controlo de acesso com reserva de juiz, impõe-se realisticamente assegurar elementos necessários à investigação criminal, de forma a garantir direitos das vítimas, mas também dos arguidos, num contexto de crescentes desafios tecnológicos (5G, por exemplo)([114]).

C) Releitura dos direitos: defesa de uma conservação temporalmente limitada assente na (quase) universalidade

O modelo sufragado pelo TJUE, que mereceu acolhimento no Acórdão do Tribunal Constitucional n.º 268/2022, assenta numa leitura dos direitos convocados (autodeterminação informacional ou informativa e reserva da intimidade da vida privada e familiar) que me parece inadequada num tempo (4.0) marcado por uma digitalização que não é mera passagem para suporte informático de elementos em papel, antes se carateriza por uma mudança profundíssima expressa em novos desenvolvimentos da inteligência artificial [algoritmos aprendentes, Internet das Coisas, megadados (Big data), entre outros].

C.1. (Re)leitura de direitos: autodeterminação e digitalização

Esta alteração do contexto espelha-se numa recompreensão dos direitos, falando-se da «dimensão digital dos direitos fundamentais»([115]) (digitale Dimension der Grundrechte). O ciberespaço é, crescentemente, um campo onde se pratica o crime. Por via do chamado cibercrime intercetam-se comunicações (em tempo real), entra-se nos computadores e nas redes internas de empresas e famílias. Neste quadro, a segurança informática impõe-se como um elemento chave de uma sociedade de comunicação global, onde os riscos são potenciados. Com a utilização de algoritmos aprendentes, uma das marcas deste tempo 4.0 (à semelhança da revolução industrial 4.0), não são necessárias bases (sempre forçosamente limitadas) constituídas no exercício de funções públicas para possibilitar a acumulação de dados e os riscos de ingerências ilegítimas, assentes na apropriação e violação da confidencialidade dos dados. Neste sentido, as polícias - cuja atividade num Estado constitucional é, em princípio, crescentemente disciplinada e vigiada, até como forma de garantia dos direitos dos cidadãos - assumem um relevante papel na defesa dos cidadãos também nestes novos espaços.

A garantia do direito à autodeterminação informacional, para a segurança dos próprios cidadãos e tendo presente um referente comunitário([116]), abre as portas para a constituição, de forma proporcionada, mas tendencialmente universal, de um sistema de conservação de dados de base e de tráfego. Ou seja, é em nome da tutela de um conjunto de bens fundamentais de cada pessoa que habitar no ciberespaço exige medidas mais universalizantes de conservação de dados, com proteções acrescidas, nomeadamente em termos de acesso. Uma recompreensão da autodeterminação informativa ou informacional([117]) enquanto «direito fundamental global» aponta para a importância do Estado, não reduzido a uma ameaça à liberdade, mas como pressuposto da realização do direito. Na verdade, a ingerência na autodeterminação informacional não se limita ao Estado, mas é, crescentemente, resultado das atividades de uma pluralidade de atores sociais, de verdadeiros poderes fácticos([118]), agora em «sociedades em rede». Tal exige que o Estado seja visto não apenas no registo tradicional de fautor de ameaças ao direito, mas pressuposto da sua defesa e da possibilidade de uma existência no ciberespaço tanto quanto possível segura, em Estados constitucionais e com as limitações decorrentes do caráter transfronteiriço dos riscos, que exigem cooperação supranacional e internacional. Dados empíricos comprovam esta perceção de que hoje a maior fonte de riscos na infoesfera decorre da atividade de grandes atores privados. Assim, estudos realizados na Suíça junto de utilizadores da Internet revelam que o receio de violações da privacidade praticadas por grandes empresas é, em média, 14,5 % maior do que o de ingerências ilegítimas do Estado([119]). Não por acaso, nas discussões em torno de uma nova Diretiva para substituir a 2002/58/CE, defende-se a aplicação aos chamados serviços OTT (over-the-top), tais como WhatsApp, Facebook (agora Meta) e Skype,

«que recolhem muito mais dados para fins comerciais do que os operadores de telecomunicações tradicionais. Esta seria uma diferença significativa em relação à maioria das leis nacionais de conservação de dados, que abrangem apenas os fornecedores de serviços de telecomunicações»([120]).

No caso Digital Rights Ireland (processos apensos C-293/12 e C-594/12), lê-se no Acórdão do Tribunal de Justiça (Grande Secção), de 8 de abril de 2014:

«Quanto à questão de saber se a ingerência que a Diretiva 2006/24 comporta se limita ao estritamente necessário, importa salientar que esta diretiva impõe, nos termos do seu artigo 3.º, conjugado com o seu artigo 5.º, n.º 1, a conservação de todos os dados relativos ao tráfego respeitante à rede telefónica fixa, à rede telefónica móvel, ao acesso à Internet, ao correio eletrónico através da Internet e às comunicações telefónicas através da Internet. Assim, visa todos os meios de comunicação eletrónica cuja utilização está muito divulgada e é de crescente importância na vida quotidiana de todos. Além disso, em conformidade com o seu artigo 3.º, a referida diretiva abrange todos os assinantes e utilizadores registados. Comporta, portanto, uma ingerência nos direitos fundamentais de quase toda a população europeia» (n.º 56, sublinhado nosso).

Em primeiro lugar, os dados que resultam de comunicações eletrónicas, também elas suscetíveis de serem intercetadas ilicitamente (ou seja, acedendo-se ao próprio conteúdo, uma ilegítima e grave ingerência), são conservados, em prazos diferentes, num cenário que, na Europa, resulta de quadros jurídicos distintos de faturação e prazos de reclamação dos consumidores e até, nalguns países, da maior ou menor celeridade dos fornecedores de serviços no apagamento dos dados. Dados que são temporariamente armazenados pelas operadoras e não concentrados numa única base. Ou seja, trata-se de uma conservação multipolar e descentralizada de dados já existentes, pelo que o risco é pressuposto dos próprios atos de comunicação. Não se vê que colha o argumento do acréscimo de riscos resultante da duplicação das diferentes bases que, no caso português, estão também nas várias operadoras.

Assim, nas democracias com alguma robustez e não se descurando as ingerências estatais, o risco para o direito à autodeterminação informacional decorre essencialmente da atividade de uma série de empresas, especialmente grandes multinacionais([121]). Entidades privadas, que, nomeadamente com o recurso a novas ferramentas algorítmicas, recolhem um manancial de informação sobre os consumidores([122]), estabelecendo perfis, que têm valor de e no mercado. Isto projeta-se numa visão do próprio direito à autodeterminação informacional: na República e também para os habitantes do espaço da União Europeia, uma comunidade de direito.

Em geral, a conservação de dados, tal como está prevista no diploma que agora nos convoca, é uma forma proporcional de realização dos deveres de proteção de bens fundamentais, nomeadamente da própria autodeterminação informacional ou informativa([123]), tendo já sido questionado se, na sua ausência, não há mesmo uma violação do princípio da proibição do défice de proteção([124]). Na verdade, a liberdade em segurança é um aspeto fundamental do Estado Constitucional, com profundas raízes no constitucionalismo moderno. Recordam-se aqui as Bases da Constituição, de 1821:

«A segurança pessoal consiste na proteção que o Governo deve dar a todos para poderem conservar os seus direitos pessoais» (artigo 3.º).

Sem prejuízo de dimensões institucionais que fazem com o que Estado não se reduza a uma mera soma de pessoas, importa não esquecer que o interesse público na segurança se revela em rostos.

Ou seja, em face das múltiplas possibilidades de recolha de dados para quem ameaça a nossa existência no mundo digital e no mundo real, a constituição de uma rede de bases autónomas, com acessos mais garantidos, nomeadamente com mediação judicial, temporalmente limitada, é um aspeto de garantia de direitos, que não acresce em matéria de riscos em relação a terceiros. E não se branda, libertariamente, a ameaça do Estado, pois, em sociedades democráticas e integradas no tipo Estado Constitucional de direito, embora existam violações, há mecanismos de resposta. Infelizmente, em países marcados pela ditadura rapidamente se descobre que a hipervigilância pelo Estado se transforma em norma, que o poder judicial não consegue travar.

Dito de outro modo: num quadro de direitos constitutivamente relacionais, a realização do direito à autodeterminação informacional e a tutela da reserva da intimidade pessoal e familiar abrem a porta a limitações (fortemente controladas) para a defesa desses mesmos direitos, que são crescentemente postos em risco por existências online.

Assim, num tempo 3.0, assistimos essencialmente, num primeiro momento, à constituição de bases de dados que traziam o espetro do acesso e de utilizações indevidas, nomeadamente pelo próprio Estado. É neste quadro que nasce o artigo 35.º, inserindo a Constituição da República Portuguesa na linha da frente. José António Barreiros espelha esse modelo de bancos centralizados([125]), referindo que, no caso português, foi desenvolvido um modelo a partir de 1973 no Ministério da Justiça, «cuja concepção é de molde a suscitar preocupações legítimas no que concerne à sua repercussão no âmbito das liberdades públicas dos cidadãos»([126]). Havia já um problema de interconexão de ficheiros, que se veio a potenciar.

Com a difusão da Internet, especialmente a partir da década de 90, aumentaram significativamente as ameaças à autodeterminação informacional([127]). No entanto, é com a emergência do tempo 4.0 e novos desenvolvimentos na inteligência artificial, desde logo algoritmos aprendentes, que se desenvolvem novos riscos que vão muito para lá do quadro tradicional. Afirma-se um modelo de descentralização que permite recolher uma série de dados que permitem estabelecer, de forma muito mais completa, perfis, num leque que vai desde empresas a, naturalmente, piratas informáticos. É perante esta assimetria que bases sujeitas a fortíssimas garantias de acesso se configuram como um elemento importante no cumprimento do dever de proteção da autodeterminação informacional e a reserva de intimidade da vida privada e familiar.

Como referi, estamos perante uma mudança de paradigma que se expressa no próprio recorte das ameaças. Este ponto não pode deixar de ter consequências dogmáticas:

«Isto aplica-se tanto mais que as ameaças - contrariamente ao que o BVerfG tinha imaginado no acórdão sobre o Censo - não provêm apenas do lado do Estado, mas cada vez mais de privados. Aqui se incluem motores de busca, redes sociais e outras empresas comerciais («sistemas de tecnologia da informação», para cuja utilização o BVerfG não considerou suficiente o tradicional direito à autodeterminação informativa[...]), mas também utilizadores (User) normais, bem como piratas informáticos (hackers) e falsificadores de interface (phishers) criminosos»([128]).

Revisitando a jurisprudência do Tribunal Constitucional, o que se acentua é a dimensão ativa do Estado, já antes reconhecida([129]), mas que, na leitura proposta e num contexto de maior ameaça vinda de outros, é aprofundada em sede dogmática, com projeção na defesa da conservação multipolar também como forma de realização do direito e, como se densificará, da (quase) universalidade (se preferirmos, a generalidade) como modo de realizar a igualdade, subtraindo-se à discriminação que algumas das medidas alternativas acabam por transportar, sendo elas possíveis fautoras de estigmatização.

As dimensões organizacionais e procedimentais (due process) são um dos elementos importantes para assegurar este direito. No domínio da digitalização e da sociedade em rede tem-se considerado o papel da confidencialidade (Vertraulichkeit) e da integridade dos sistemas técnico-informacionais([130]) (em termos globais e não centrado nas comunicações individuais e nos dados armazenados, como acontece com o direito à autodeterminação informacional)([131]).

C.2. Defesa da constitucionalidade de um armazenamento quase universal, assente na descentralização e na limitação de conteúdos

A quase universalidade (no que toca aos sujeitos) assume especial relevância em relação a pessoas pertencentes a certos grupos sociais que, em virtude do seu status, tendem, à partida, a beneficiar de um tratamento seletivo mais favorável, comprovado pelos estudos de criminologia, agravando ainda mais a desigualdade em sede de prossecução penal. Partindo da distinção entre conservação e acesso, verifica-se que o impacto da impossibilidade de, por perda dos dados, se reduzirem provas é especialmente importante no caso dos chamados crimes de «colarinho branco» (white collar)([132]).

A igualdade perante a lei (melhor, perante o direito) é mais assegurada desta forma - ao permitir tocar em grupos sociais que tendem a escapar às malhas do controlo judicial e a viver à boleia de comunidades politicamente organizadas. Numa sociedade outra, Cesare Beccaria([133]) falava de leis que «não são senão privilégios, isto é, tributo de todos para o bem-estar de uns poucos», ainda que hoje sustentadas num discurso jusfundamental; na nossa contemporaneidade, numa crítica a uma compreensão excessivamente individualista dos direitos, Beniamino Caravita di Toritto([134]) propõe-se «superar a conceção subjetiva da tutela da privacy» que remete para um «"to be left alone", típico de uma sociedade burguesa».

É esta igualdade que, em minha opinião, melhor assegura as exigências de uma «ideia de justiça» (Amartya Sen), de um compromisso que tome a sério o bem comum (que inclui, sob pena de perversão, o bem das pessoas([135]) e a nossa intrínseca relacionalidade. Aliás, a garantia da liberdade apresenta-se como um caminho comunitário (que não tem de ser comunitarista). Trata-se de uma dimensão respublicana, que, contrariamente ao que já foi defendido([136]), não põe em causa a presunção de inocência constitucionalmente tutelada.

Acresce que, na produção constante de dados de uma sociedade em rede, a redução significativa da possibilidade de aceder, de forma altamente controlada a certos dados, acentua também a vulnerabilidade de um conjunto de cidadãos. A vulnerabilidade em sentido etimológico aponta para vulnus (a suscetibilidade de ser ferido), e, num mundo em linha, à fragilidade estrutural - própria da condição humana - acresce uma fragilidade epocal e circunstancial em que as novas possibilidades da digitalização e da inteligência artificial são também fator de riscos. Contudo, há uma vulnerabilidade digital, isto é, uma fragilidade acrescida para uma série de pessoas que, num quadro de explosão e democratização do acesso à Internet nos últimos anos (nomeadamente por via dos smartphones - telefones inteligentes), são particularmente afetadas. Fundamentalmente, por duas ordens de razões: a) por já terem uma particular situação de risco (crianças, por exemplo); b) em geral, por, desde logo, não poderem beneficiar de sistemas de cibersegurança mais avançados do que aqueles que são gratuitos. Aliás, esta objeção foi já avançada contra as conservações direcionadas que têm vindo a ser acolhidas na legislação que vários países tiveram de fazer, nomeadamente por força do cartão vermelho exibido pelo TJUE([137]). Chloé Berthélémy([138]) sublinha que a utilização de critérios como

«'áreas com taxas de criminalidade acima da média' podem levar à estigmatização de comunidades inteiras. Estas categorias correm, portanto, o risco de se transformarem em prioridades de vigilância, potencialmente discriminatórias, muitas vezes centradas em torno do comportamento policial associado às áreas mais pobres, racializadas e da classe trabalhadora»([139]).

III. Conclusão

O apertado prazo constitucionalmente fixado para a fiscalização preventiva da constitucionalidade condiciona, naturalmente, a reflexão. Contudo, a estreiteza do horizonte temporal não afeta a convicção essencial: à luz da Constituição da República Portuguesa, entendo que as normas que a posição vencedora neste aresto considerou inconstitucionais não o são. Outra é a questão da sua conformidade com o direito da União Europeia.

([1]) Dispõe-se no n.º 2 do artigo 6.º: «É permitido o tratamento de dados de tráfego necessários à faturação dos assinantes e ao pagamento de interligações, designadamente: a) número ou identificação, endereço e tipo de posto do assinante; b) número total de unidades a cobrar para o período de contagem, bem como o tipo, hora de início e duração das chamadas efetuadas ou o volume de dados transmitidos; c) data da chamada ou serviço e número chamado; d) Outras informações relativas a pagamentos, tais como pagamentos adiantados, pagamentos a prestações, cortes de ligação e avisos». No n.º 3, lê-se: «O tratamento referido no número anterior apenas é lícito até final do período durante o qual a fatura pode ser legalmente contestada ou o pagamento reclamado».

([2]) No quadro da relação comercial entre os fornecedores de serviços e os consumidores, durante o prazo de seis meses, os dados existem numa base em que o tratamento dos dados de tráfego, de acordo com o n.º 6 do artigo 6.º da referida Lei 41/2004, de 18 de agosto «[...] deve ser limitado aos trabalhadores e colaboradores das empresas que oferecem redes e ou serviços de comunicações eletrónicas acessíveis ao público encarregados da faturação ou da gestão do tráfego, das informações a clientes, da deteção de fraudes, da comercialização dos serviços de comunicações eletrónicas acessíveis ao público, ou da prestação de serviços de valor acrescentado, restringindo-se ao necessário para efeitos das referidas atividades». Tal solução contrasta com o regime de segurança acrescida previsto no artigo 7.º do Decreto da Assembleia da República n.º 91/XV, nomeadamente a exigência de «garantir que apenas pessoas especialmente autorizadas tenham acesso aos dados referentes às categorias previstas no artigo 4.º» [artigo 7.º, n.º 1, alínea d)]. Acresce que, para além do bloqueio de dados (artigo 7.º, n.º 2), há ainda um registo dessas pessoas especialmente autorizadas, com um reforço das garantias procedimentais e organizacionais, dada pela intervenção da Comissão Nacional de Proteção de Dados (CNPD).

([3]) Karsten Sohr/Thomas Kemmerich, «Kapitel 2. Technische Grundlagen der Informationssicherheit», in Dennis-Kenji Kipker (Hrsg.), Cybersecurity, München, C.H. Beck, 2020, pp. 23-82, p. 26.

([4]) Acórdão de 8 de abril de 2014, Digital Rights Ireland, proc. C-293/12 e C-594/12.

([5]) Um dos tópicos mobilizados contra a constituição de bases centradas na recolha de dados das telecomunicações prende-se com a possibilidade de traçar perfis. Ninguém duvida que o acesso a determinados dados, desde logo, a ligação para certos números de telefone (imagine-se um cliente ou uma cliente de uma operadora que liga para números facilmente associáveis, por exemplo, através das páginas de contactos de certos jornais), permite descobrir um conjunto de práticas da pessoa. Ora, num tempo 4.0, a possibilidade de constituição de perfis a partir dos dados é crescentemente multipolar, se atendermos às potencialidades abertas pelo tratamento automatizado de dados no quadro de uma revolução algorítmica. Precisemos conceitos: nos termos do artigo 4.º, n.º 4, do RGPD, entende-se por «[d]efinição de perfis qualquer forma de tratamento automatizado de dados pessoais que consista em utilizar esses dados pessoais para avaliar certos aspetos pessoais de uma pessoa singular, nomeadamente para analisar ou prever aspetos relacionados com o seu desempenho profissional, a sua situação económica, saúde, preferências pessoais, interesses, fiabilidade, comportamento, localização ou deslocações». Na nossa qualidade de navegantes, deixamos uma relevante pegada eletrónica que é utilizada por empresas que têm perfis da nossa atividade que, apropriadas por piratas, podem ser utilizadas para a prática de uma série de crimes, nomeadamente para chantagem.

([6]) Este argumento comparece também na decisão do Tribunal Constitucional da Eslováquia: segundo os requerentes, todas as pessoas seriam monitorizadas, independentemente da sua integridade e reputação ou honestidade («The applicants stressed, inter alia, that the introduction of the duty to store data on electronic communications constitutes a major interference with privacy, since it implies the monitoring of all inhabitants of Slovakia, regardless of their integrity and reputation» - Ústavný súd Slovenskej republiky [Constitutional Court of the Slovak Republic], Apr. 29, 2015, No. PL. ÚS 10/2014-29, SVK-2016-2-002 (Slovk.), com o sumário em inglês disponível em https://www.ustavnysud.sk/documents/10182/71853347/PL_10_2014.pdf/55803f09-7020-41a4-a671-819fa297160d e tradução parcial na mesma língua publicada em Marek Zubik/Jan Podkowik/Robin Rybski (eds.), European constitutional courts towards data retention laws, Cham, Springer International Publishing, 2021, pp. 370-377, obra onde também se encontra um capítulo dedicado à conservação de dados na Eslováquia (Matej Gera/ Martin Husovec, «Data Retention in Slovakia», pp. 203-217).

([7]) Em relação aos dados de faturação e num litígio sobre a conservação dos dados de tráfego entre o prestador de serviço e o cliente, que desembocou no Tribunal Constitucional Federal por via de queixa constitucional [BVerfG (1. Kammer des Ersten Senats), Beschlu(beta) vom 27. 10. 2006 - 1 BvR 1811/99], foi convocado o seguinte argumento, ao elencar os riscos do armazenamento de dados: «[t]ambém o risco de utilização abusiva dos dados de tráfego pela empresa de telecomunicações ou por terceiros que tenham acesso não autorizado aos mesmos não pode ser totalmente excluído» («Auch das Risiko eines Missbrauchs der Verkehrsdaten durch das Telekommunikationsunternehmen oder durch Dritte, die sich unbefugt Zugang zu ihnen verschaffen, ist nicht völlig auszuschlie(beta)en», n.º [de margem - Rn.] 17).

([8]) Acórdão de 20 de setembro de 2022, SpaceNet e Telekom Deutschland, resultante de dois processos apensos, SpaceNet AG (C-793/19) e Telekom Deutschland GmbH (C-794/19).

([9]) Entre nós, há uma identidade de prazos, como decorre do disposto no artigo 6.º, n.º 3, da Lei 41/2004, de 18 de agosto, em conjugação com o disposto no artigo 10.º, n.os 1 e 4, da Lei 23/96, de 26 de julho. O primeiro dispõe que «3 - O tratamento referido no número anterior [tratamento de dados de tráfego necessários à faturação dos assinantes e ao pagamento de interligações] apenas é lícito até final do período durante o qual a fatura pode ser legalmente contestada ou o pagamento reclamado»; já o artigo 10.º da Lei dos Serviços Públicos estabelece: «1 - O direito ao recebimento do preço do serviço prestado prescreve no prazo de seis meses após a sua prestação. [...] 4 - O prazo para a propositura da acção ou da injunção pelo prestador de serviços é de seis meses, contados após a prestação do serviço ou do pagamento inicial, consoante os casos».

([10]) Telekommunikationsgesetz (TKG), de 23/6/2021, § 67 (2).

([11]) Acórdão SpaceNet, n.º 81.

([12]) Acórdão SpaceNet, n.º 83.

([13]) Acórdão SpaceNet, n.os 85-90.

([14]) BVerwG, Urteil vom 14.08.2023 - 6 C 7. 22, ECLI:DE: BVerwG:2023:140823U6C7.22.0.

([15]) BVerwG, Urteil vom 14.08.2023 - 6 C 7. 22, Rn. (número de margem) 43.

([16]) Acórdão SpaceNet, n.º 61.

([17]) Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016 relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados).

([18]) Vd. também o considerando (50) do RGPD.

([19]) Artigo 7.º, n.º 1, c), da Lei 32/2008, de 18 de julho.

([20]) Peter Häberle, «Grundrechtsgeltung und Grundrechtsinterpretation im Verfassungsstaat. Zugleich zur Rechtsvergleichung als "fünfter"Auslegungsmethode», Juristenzeitung (1989), pp. 913-919, p. 916.

([21]) O artigo 120 da Grondwet proíbe expressamente o controlo da constitucionalidade das leis.

([22]) Cf. o artigo 94 da Grondwet.

([23]) Embora tenha entrado em vigor na Áustria em 1958, só em 1964 foi elevada ao estatuto constitucional, tornando-se num elemento essencial de proteção jusfundamental na ordem jurídica desse país: cf. Christoph Grabenwarter, «Verfassungsrecht, Völkerrecht und Unionsrecht als Grundrechtsquellen», in Detlef Merten/ Hans-Jürgen Papier (Hrsg.), Handbuch der Grundrechte in Deutschland und Europa, Bd. 7/ 1, Grundrechte in Österreich, 2.ª ed., Heidelberg, C.F. Müller, 2014, pp. 59-60.

([24]) Vd., para uma síntese, José Manuel Cardoso da Costa, «Constitutional supremacy of human rights treaties», in Venice Commission, The status of international treaties on human rights, Strasbourg, Council of Europe, 2006, pp. 77-85, 83-85.

([25]) Acórdão 54/85.

([26]) Acórdão 268/2022, 8.2., formulação constante da jurisprudência do TJUE: cf., a título meramente ilustrativo, Acórdão do Tribunal de Justiça (Grande Secção) de 19 de novembro de 2019, C-585/18, ECLI:EU:C:2019:982, n.º 159: «[...] importa lembrar, nomeadamente, que o princípio de interpretação conforme do direito interno, nos termos do qual o órgão jurisdicional nacional deve dar ao direito interno, na medida do possível, uma interpretação conforme com as exigências do direito da União, é inerente ao sistema dos Tratados, na medida em que permite ao órgão jurisdicional nacional assegurar, no âmbito das suas competências, a plena eficácia do direito da União quando decide do litígio que lhe é submetido (Acórdão de 24 de junho de 2019, Poplawski, C-573/17, EU:C:2019:530, n.º 55 e jurisprudência referida)».

([27]) Assim, José Joaquim Gomes Canotilho, «Incomensurabilidade dos discursos ou hierarquias entrelaçadas nos sistemas jurídicos multinível», Católica Law Review, vol. I (2017/1), pp. 35-53, p. 37 (sublinhado o «entrelaçamento»), na sequência de outros textos, nomeadamente Competência intercultural e interjusfundamentalidade (com a colaboração de Suzana Tavares da Silva), Coimbra, 2008.

([28]) José Manuel Cardoso da Costa, «O Tribunal Constitucional português e o Tribunal de Justiça das Comunidades Europeias», in AB VNO AD OMNES: 75 anos da Coimbra Editora, pp. 1363-1380, p. 1370, sobre a incompatibilidade de normas de direito interno como direito da União Europeia («direito comunitário») serem tratadas como uma questão de inconstitucionalidade. Cardoso da Costa recusa essa possibilidade de qualificação e a consequente competência do Tribunal Constitucional (p. 1371).

([29]) Na doutrina nacional, para além da reiterada posição de Cardoso da Costa, vd., por todos, a síntese de Afonso Patrão, «A relevância da Carta dos Direitos Fundamentais da União Europeia na fiscalização da constitucionalidade de normas nacionais», in Estudos em Homenagem ao Conselheiro Presidente Manuel da Costa Andrade, vol. I, Coimbra, Almedina, 2023, pp. 9-46, pp. 25-30.

([30]) N.º 11. Em sentido semelhante, vd. também o Tribunal Constitucional no Acórdão 326/98.

([31]) Acórdão do Tribunal Constitucional n.º 268/2022, 1.2 da Declaração de voto apresentada conjuntamente pelos Conselheiros José António Teles Pereira, Maria Benedita Urbano, Pedro Machete, Joana Fernandes Costa, Gonçalo de Almeida Ribeiro e João Pedro Caupers.

([32]) Patrícia Fragoso Martins, «Ao modo do triplo salto: o Direito da União Europeia na jurisprudência recente do Tribunal Constitucional», in Estudos em homenagem à Professora Doutora Maria da Glória Garcia, vol. III, Lisboa, Universidade Católica Editora, 2023, pp. 1929-1979, p. 1970.

([33]) Jan Podkowik/ Robert Rybski/ Marek Zubik, «Judicial dialogue on data retention laws: A breakthrough for European constitutional courts?», International Journal of Constitutional Law 19 (2021), pp. 1597-1631, p. 1600, ilustrando com o caso francês.

([34]) Em relação ao Conseil Constitutionnel, vd. a Décision n.º 2021-976/977 QPC du 25 février 2022 (https://www.conseil-constitutionnel.fr/decision/2022/2021976_977QPC.htm). Anteriormente, Hélène Surrel, «La protection des données à caractère personnel, domaine emblématique des interactions jurisprudentielles entre cours européennes et Conseil constitutionnel», Titre VII [en ligne], n.º 2, De l'intégration des ordres juridiques: droit constitutionnel et droit de l'Union européenne, avril 2019. URL complète: https://www.conseil-constitutionnel.fr/publications/titre-vii/la-protection-des-donnees-a-caractere-personnel-domaine-emblematique-des-interactions.

([35])Conseil d'État N.º 393099 ECLI:FR:CEASS:2021:393099.20210421 (https://www.conseil-etat.fr/fr/arianeweb/CE/decision/2021-04-21/393099). Vd., em síntese, Maximilian Gerhold, «Der Conseil d'Etat zur Vorratsdatenspeicherung: Auf Biegen und Brechen des Unionsrechts für die nationale Sicherheit? Die Öffentliche Verwaltung 75 (3/2022), pp. 93-102.

([36]) No relatório Surveiller pour punir? Pour une réforme de l'accès aux données de connexion dans l'enquête pénale, Rapport d' information n.º 110 (2023-2024), 15/11/2023, fala-se de «construtivismo jurisprudencial» (p. 13), abrindo-se a porta para a utilização dos dados recolhidos para fins de segurança nacional no combate à criminalidade grave (p. 14).

([37]) Maximilian Gerhold, «Der Conseil d'Etat zur Vorratsdatenspeicherung: Auf Biegen und Brechen des Unionsrechts für die nationale Sicherheit?», p. 93.

([38]) Para um panorama dessa jurisprudência, vd., por todos, Marek Zubik/Jan Podkowik/ Robin Rybski (eds.), European constitutional courts towards data retention laws.

([39]) Decision No. 3 of the Constitutional Court of the Republic of Bulgaria of 4.06.2009. Para o diploma búlgaro em versão inglesa, vd. https://www.mtc.government.bg/sites/default/files/documents/2023-07/Electronic_Communications_Act.pdf.

([40]) Digital Rights Ireland, n.os 39 e 40.

([41]) Digital Rights Ireland, n.os 41 a 44.

([42]) O TJUE mobiliza ainda o artigo 52.º, n.º 1, da Carta e a liberdade de expressão (artigo 11.º); cf. Acórdão de 6 de outubro de 2020 do Tribunal de Justiça (Grande Secção), Privacy International, C-623/17, ECLI:EU:C:2020:790, n.º 60: «Além disso, resulta do artigo 15.º, n.º 1, terceiro período, da Diretiva 2002/58 que os Estados-Membros apenas estão autorizados a adotar medidas legislativas para restringir o âmbito dos direitos e obrigações previstos nos artigos 5.º, 6.º e 9.º dessa diretiva no respeito dos princípios gerais do direito da União, entre os quais figura o princípio da proporcionalidade, e os direitos fundamentais garantidos pela Carta. A este respeito, o Tribunal de Justiça já declarou que a obrigação imposta por um Estado-Membro aos prestadores de serviços de comunicações eletrónicas, por uma regulamentação nacional, de conservarem os dados de tráfego para, se for caso disso, os disponibilizarem às autoridades nacionais competentes coloca questões relativas ao respeito não apenas dos artigos 7.º e 8.º da Carta, relativos, respetivamente, à proteção da vida privada e à proteção dos dados pessoais, mas igualmente do artigo 11.º da Carta, relativo à liberdade de expressão (v., neste sentido, Acórdãos de 8 de abril de 2014, Digital Rights Ireland e o., C-293/12 e C-594/12, EU:C:2014:238, n.os 25 e 70, e de 21 de dezembro de 2016, Tele2, C-203/15 e C-698/15, EU:C:2016:970, n.os 91 e 92 e jurisprudência aí referida)».

([43]) Acórdão de 6 de outubro de 2020 do Tribunal de Justiça (Grande Secção), Privacy International, C-623/17, ECLI:EU:C:2020:790.

([44]) Digital Rights Ireland, n.º 42.

([45]) Na CDFUE, o direito à segurança está consagrado no artigo 6.º: para o seu alcance, vd., entre nós, a síntese de Nuno Piçarra, «Artigo 6.º Direito à liberdade e à segurança», in Alessandra Silveira/ Mariana Canotilho (Coord.), Carta dos Direitos Fundamentais da União Europeia comentada, Coimbra, Almedina, 2013, pp. 91-102. No que agora importa, realce-se, com Sebastian Leuschner (Sicherheit als Grundsatz: eine grundrechtsdogmatische Rekonstruktion im Unionsrecht am Beispiel der Cybersicherheit, Tübingen, Mohr Siebeck, 2018), que terá sido mencionado pela primeira vez, no caso Digital Rights Ireland (2014), mas «apenas de passagem» (p. 2) (cf. n.º 42 da decisão: «Além disso, importa salientar, a este respeito, que o artigo 6.º da Carta enuncia o direito das pessoas não só à liberdade mas também à segurança»).

([46]) Acórdão 268/2022, Declaração de voto de Lino Rodrigues Ribeiro, n.º 2: «[...] a "concordância prática" entre os bens e valores em jogo - direito à autodeterminação informativa e o direito à segurança - consideramos que a Lei 32/2008 encontrou um equilíbrio que otimiza e satisfaz razoavelmente ambos os direitos».

([47]) Sebastian Leuschner, Sicherheit als Grundsatz: eine grundrechtsdogmatische Rekonstruktion im Unionsrecht am Beispiel der Cybersicherheit, p. 62.

([48]) Sebastian Leuschner, Sicherheit als Grundsatz: eine grundrechtsdogmatische Rekonstruktion im Unionsrecht am Beispiel der Cybersicherheit, p. 64.

([49]) Neste aresto, fazia-se a ligação com o Acórdão do Tribunal Constitucional n.º 420/2017, n.º 13.

([50]) Acórdão do Tribunal de Justiça (Grande Secção, de 6 de outubro de 2020, La Quadrature du Net, procs. C-511/18, C-512/18 e C-520/18, n.º 58).

([51]) Acórdão do Tribunal de Justiça (Grande Secção, de 6 de outubro de 2020, La Quadrature du Net, procs. C-511/18, C-512/18 e C-520/18, n.º 58).

([52]) BVerfG, Beschluss des Ersten Senats vom 24. Januar 2012 - 1 BvR 1299/05 -, Rn. 1-192.

([53]) Sobre a questão na Alemanha, vd. agora Bundesrat Drucksache 572/22, Entschlie(beta)ung des Bundesrates "Sexuellen Kindesmissbrauch und Kinderpornografie u.a. bekämpfen - vom EuGH benannte Spielräume zur Speicherung von IP-Adressen zeitnah nutzen, 8.11.2022.

([54]) Quanto às medidas de conservação dirigidas a certas pessoas, vd. Acórdão SpaceNet, n.os 105-107. Neste último, lê-se: «107. Os Estados-Membros têm assim, nomeadamente, a faculdade de adotar medidas de conservação contra pessoas que, a título dessa identificação, sejam objeto de um inquérito ou de outras medidas de vigilância atuais ou de inscrição no registo criminal nacional que mencione uma condenação anterior por atos de criminalidade grave que possam implicar um risco elevado de reincidência. Ora, quando essa identificação se baseia em elementos objetivos e não discriminatórios, definidos pelo direito nacional, a conservação seletiva dirigida a pessoas assim identificadas é justificada (Acórdão de 5 de abril de 2022, Commissioner of An Garda Síochána e o., C-140/20, EU:C:2022:258, n.º 78)». Neste processo, deve ser acautelada a conformidade com o artigo 21.º da CDFUE, ou seja, respeitando a não discriminação. Quanto à realização deste desiderato, vd. Council of the European Union (General Secretariat), Data retention - Contribution to the Council COPEN Working Party meeting of 16 June 2021, WK 7294/2021 INIT, p. 6.

([55]) Em La Quadrature du Net, encontramos uma parte relativa «às medidas legislativas que preveem a conservação rápida de dados de tráfego e de dados de localização para efeitos da luta contra a criminalidade grave» (em itálico no original). Repare-se que a expressão «conservação rápida» também consta da versão em português da Constituição de Budapeste, mas, no inglês, língua, juntamente com o francês, do original que faz fé, encontra-se «expedited preservation» (no francês, «conservation rapide»).

([56]) Lei 109/2009, de 15 de setembro.

([57]) Aprovada pela Resolução da Assembleia da República n.º 88/2009, de 15 de setembro; ratificada pelo Decreto do Presidente da República n.º 91/2009, de 15 de setembro.

([58]) Acórdão do Tribunal de Justiça (Grande Secção), 5 de abril de 2022, C-140/20, ECLI:EU:C:2022:258.

([59]) Referentenentwurf des Bundesministeriums der Justiz Entwurf eines Gesetzes zur Einführung einer Sicherungsanordnung für Verkehrsdaten in der Strafprozessordnung, 25/10/2022.

([60]) Forslag til Lov om ændring af retsplejeloven og lov om elektroniske kommunikationsnet og -tjenester (Revision af reglerne om registrering og opbevaring af oplysninger om teletrafik (logning) m.v.).

([61]) Revision af reglerne om registrering og opbevaring af oplysninger om teletrafik (logning) m.v. [Revisão das regras relativas ao registo e armazenamento de dados sobre o tráfego de telecomunicações (registo), etc].

([62]) Høringssvar over revision af reglerne om Regsitrering og opbevaring af oplysninger om teletrafik (logning) m.v., 25. Oktober 2021. Sobre a posição do Instituto, pode ver-se uma síntese em State of Rule of Law in Europe in 2022: Reports from human rights institutions - Denmark, The Danish Institute for Human Rights, pp. 11-12. Em língua inglesa, com um breve panaorama da questão, vd. Jesper Lund, «The new Danish data retention law: attempts to make it legal failed after just six days», 15/6/2022 (https://itpol.dk/articles/new-Danish-data-retention-law-2022).

([63]) Vd. também a posição da Ordem dos Advogados (Danske Advokater), que fala de uma «sociedade de vigilância» desproporcionada (uproportionalt"overvågningssamfund"): cf. Folketinget Retsudvalget, KOMMENTERET H(diâmetro)RINGSOVERSIGT Forslag til lov om ændring af retsplejeloven og lov om elektroniske kommunikationsnet og-tjenester (Revision af reglerne om registrering og opbevaring af oplysninger om teletrafik (logning) m.v.) (L 93) (disponível em https://hoeringsportalen.dk/Hearing/Details/65543).

([64]) Jesper Lund, «The new Danish data retention law: attempts to make it legal failed after just six days».

([65]) Texto disponível em https://www.ejustice.just.fgov.be/cgi/article.pl?numac=2022015454&caller=list&article_lang

=F&row_id=1&numero=8&pub_date=2022-08-08&dt=LOI&language=fr&du=d&fr=f&choix1=ET&choix2=ET&fromtab=+moftxt+UNION+montxt+UNION+modtxt&nl=n&trier=promulgation&pdda=2022&pdfa=2022&pddj=01&pddm=07&pdfj=31&sql=dt+=+%27LOI%27+and+pd+between+date%272022-07-01 %27+and+date%272022-08-31 %27+&rech=49&pdfm=08&tri=dd+AS+RANK+. Para o procedimento legislativo, vd. Projet de loi relatif à la collecte et à la conservation des données d'identification et des métadonnées dans le secteur des communications électroniques et à la fourniture de ces données aux autorités (disponível em https://www.dekamer.be/kvvcr/showpage.cfm?section=flwb&language=fr&cfm=flwbn.cfm?lang=N&dossierID=2572&legislat=55).

([66]) Vd. o artigo 11.º da referida Loi du 20 juillet 2022, que introduziu alterações à Loi du 13 juin 2005 relative aux communications électroniques.

([67]) Artigo 11 da Loi du 20 juillet 2022, que inseriu um artigo 126/3, com a seguinte redação:

«Art. 126/3. § 1er. Les données visées à l'article 126/2, § 2, sont conservées dans la zone géographique composée des: - arrondissements judiciaires dans lesquels au moins trois infractions visées à l'article 90ter, §§ 2 à 4, du Code d'instruction criminelle par 1 000 habitants par an ont été constatées sur une moyenne des trois années calendriers qui précèdent celle en cours; - zones de police dans lesquelles au moins trois infractions visées à l'article 90ter, §§ 2 à 4, du Code d'instruction criminelle par 1 000 habitants par an ont été constatées sur une moyenne des trois années calendriers qui précèdent celle en cours, et situées dans les arrondissements judiciaires dans lesquels pendant l'année calendrier qui précède celle en cours, moins de trois infractions visées à l'article 90ter, §§ 2 à 4, du Code d'instruction criminelle par 1000 habitants par an sur une moyenne de trois années calendriers qui précèdent celle en cours ont été constatées».

([68]) Vd. o artigo 11.º da Loi du 20 juillet 2022 «relative à la collecte et à la conservation des données d' identification et des métadonnées dans le secteur des communications électroniques et à la fourniture de ces données aux autorités», que altera a Loi du 13 juin 2005 relative aux communications électroniques: «zones particulièrement exposées à des menaces pour la sécurité nationale ou à la commission d' actes de criminalité grave».

([69]) «[...] Lorsque l'utilisateur final se déplace pendant une communication électronique, l'opérateur conserve les données de trafic pour autant que l'utilisateur final se trouve à un moment de la communication dans une zone visée à l'article 126/3. Les opérateurs conservent les données relatives à la connexion de l'équipement terminal au réseau et au service et à la localisation de cet équipement, y compris le point de terminaison du réseau, énumérées à l'article 126/2, § 2, lorsque cet équipement se trouve dans une zone visée à l'article 126/3. Pour déterminer si l'équipement terminal se trouve dans une zone géographique visée à l'article 126/3, les opérateurs utilisent les données les plus fiables et précises possibles. Ils utilisent, si disponible à cet effet, la localisation satellitaire d'un équipement terminal.

Lorsque la technologie utilisée par l'opérateur ne permet pas de limiter la conservation de données à une zone visée à l'article 126/3, il conserve les données nécessaires pour couvrir la totalité de la zone concernée tout en limitant la conservation de données en dehors de cette zone au strict nécessaire au regard de ses possibilités techniques. Lorsqu'un point d'agrégation de l'opérateur, telle une antenne, couvre plusieurs zones géographiques visées à l'article 126/3 qui sont soumises à des durées de conservation différentes, l'opérateur conserve les données pour ce point d'agrégation pendant la durée de conservation la plus courte. Lorsqu'en application du présent article et de l'article 126/3, différentes durées de conservation sont applicables aux mêmes données, les opérateurs conservent les données pendant la durée la plus courte».

([70]) Datalagring och åtkomst till elektronisk information, Stockholm, SOU 2023:22, 2023, pp. 251-253.

([71]) Datalagring och åtkomst till elektronisk information, p. 251.

([72]) Na doutrina, vd. Barbara Grabowska-Moroz, «Data Retention in the European Union», in M. Zubik et al. (eds.), European Constitutional courts towards data retention, pp. 3-17, p. 13.

([73]) Esta formulação foi utilizada em termos críticos: P. Breyer/ J. Lund/ B. Le Querrec/ J. Voboril/ E. Santos, «Stop #DataRetention: Exposing a new generation of data retention laws» https://media.ccc.de/v/ccchh-extras-4167-stop-dataretention-exp.

([74]) Cf. Ingo von Pernice, Staat und Verfassung in der Digitalen Konstellation Ausgewählte Schriften zum Wandel von Politik, Staat und Verfassung durch das Internet, Tübingen, Mohr Siebeck, 2020.

([75]) Centro Nacional de Cibersegurança em Portugal, Riscos e Conflitos, 3.ª ed., junho de 2022, p. 4.

([76]) Centro Nacional de Cibersegurança em Portugal, Riscos e Conflitos, 3.ª ed., junho de 2022, p. 10: «O CERT.PT [Equipa de Resposta a Incidentes de Segurança Informática Nacional] registou um aumento de 26 % no número de incidentes de cibersegurança em 2021 comparando com 2020».

([77]) European Union Agency for Cybersecurity, ENISA threat landscape: July 2022 to June 2023, October 2023, 2023, p. 4.

([78]) «a significant increase in both the variety and quantity of cyberattacks and their consequences. The ongoing war of aggression against Ukraine continued to influence the landscape. Hacktivism has expanded with the emergence of new groups, while ransomware incidents surged in the first half of 2023 and showed no signs of slowing down».

([79]) Ulrich Hemel, Kritik der digitalen Vernunft: Warum Humanität der Ma(beta)tab sein muss, Freiburg im Breisgau, Herder, 2020, p. 142.

([80]) Axel von dem Bussche, «Kapitel 4. Branchenübergreifende Vorgaben», in Dennis-Kenji Kipker (Hrsg.), Cybersecurity, pp. 105-149, pp. 109-110.

([81]) Com outro desenvolvimento, Axel von dem Bussche, «Kapitel 4. Branchenübergreifende Vorgaben», pp. 111-114.

([82]) Schutzlücken durch Wegfall der Vorratsdatenspeicherung? Eine Untersuchung zu Problemen der Gefahrenabwehr und Strafverfolgung bei Fehlen gespeicherter Telekommunikationsverkehrsdaten. Gutachten im Auftrag des Bundesamtes für Justiz, 2.ª ed., Freiburg im Breisgau, 2011.

([83]) «Frequently Asked Questions: The Data Retention Directive», disponível em https://ec.europa.eu/commission/presscorner/detail/en/MEMO_14_269.

([84]) «How valuable is data retention for criminal justice systems and law enforcement? Data retention takes place in most Member States. Member States have generally reported that retained data is very valuable, and in some cases indispensable, for preventing and combating crime, for protecting victims and for the acquittal of the innocent in criminal cases. The evidence, in the form of statistics and examples provided by Member States, is limited in some respects but nevertheless attests to the very important role of retained data for criminal investigation. This data provides valuable leads and evidence in the prevention and prosecution of crime and ensuring criminal justice. Its use has resulted in convictions for criminal offences which, without data retention, might never have been solved. It has also resulted in acquittals of innocent persons. Data retention enables the construction of trails of evidence leading up to an offence. It also helps to discern or corroborate other forms of evidence on the activities of and links between suspects and victims. In the absence of forensic or eye witness evidence, data retention is often the only way to start a criminal investigation. Generally, data retention appears to play a central role in criminal investigation even if it is not always possible to isolate and quantify the impact of a particular form of evidence in a given case».

([85]) Cf. iTrustEthics, Challenges on the admissibility of Telecommunications Data in Criminal Trials:

«A análise de dados de telecomunicaçõess tem sido amplamente usada ao longo dos anos pela An Garda Síochána (força policial irlandesa) na proteção da vida e na investigação de crimes graves e terrorismo. Os dados também têm sido um elemento essencial na repressão de crimes graves» [«Telecommunications data analysis has been used extensively over the years by An Garda Síochána (Irish police force) in the protection of life and the investigation of serious crime and terrorism. The data has also been a critical component in the prosecution of serious criminal offences»]. Sobre a Irlanda, vd. também a síntese de Gary Brady disponível em «Ireland, the Dwyer Case, and the 2022 Data Retention Bill - Where do we go from here?» https://emildai.eu/ireland-the-dwyer-case-and-the-2022-data-retention-bill-where-do-we-go-from-here/

([86]) Directorate-General for Migration and Home Affairs Directorate D - Law Enforcement and Security Unit D.4 - Cybercrime, Study on the retention of electronic communications non-content data for law enforcement purposes: Final report, Publications Office of the European Union, Luxembourg, 2020.

([87]) Directorate-General for Migration and Home Affairs Directorate D - Law Enforcement and Security Unit D.4 - Cybercrime, Study on the retention of electronic communications non-content data for law enforcement purposes: Final report, p. 97: «emphasised that none of these mechanisms could be seen as a real alternative to mandatory and general data retention».

([88]) Deutscher Bundestag, Drucksache 18/5088, 18. Wahlperiode, Gesetzentwurf der Fraktionen der CDU/CSU und SPD, Entwurf eines Gesetzes zur Einführung einer Speicherpflicht und einer Höchstspeicherfrist für Verkehrsdaten, 09.06.2015.

([89]) O argumento do acaso é recorrente: por exemplo, num debate parlamentar no Parlamento alemão, deu-se conta do facto de, no caso da tentativa de atentado terrorista conhecida como Castrop-Rauxe, por acaso, os dados ainda não terem sido apagados (cf. a intervenção de Günter Krings (CDU/CSU), Deutscher Bundestag - 20. Wahlperiode - 92. Sitzung. Berlin, Freitag, den 17. März 2023, p. 11045).

([90]) Deutscher Bundestag, Drucksache 18/5088, 18. Wahlperiode, Gesetzentwurf der Fraktionen der CDU/CSU und SPD, Entwurf eines Gesetzes zur Einführung einer Speicherpflicht und einer Höchstspeicherfrist für Verkehrsdaten, p. 1.

([91]) Directorate-General for Migration and Home Affairs Directorate D - Law Enforcement and Security Unit D.4 - Cybercrime, Study on the retention of electronic communications non-content data for law enforcement purposes: Final report, p. 97 (no original, em vez de itálico, usa-se negrito) [«Most of the LEAs consulted do not consider data preservation a suitable alternative to mandatory data retention»].

([92]) Directorate-General for Migration and Home Affairs Directorate D - Law Enforcement and Security Unit D.4 - Cybercrime, Study on the retention of electronic communications non-content data for law enforcement purposes: Final report, p. 97: «In general, because ESPs [Electronic communications service provider(s)] do not need location data or IP addresses of an internet connection for more than a few days, they cannot preserve such data if they have already been erased. LEAs therefore face similar difficulties as when they rely on accessing data stored by ESPs for business purposes. LEAs can use data preservation only when the facts which constitute a crime are relatively recent, or when the crime is ongoing at the time that it is detected by the investigation. While data retention guarantees availability of historical data linked to the case under investigation, data preservation can only be applied from the moment a suspicion arises and a preservation order is issued. It does not provide the ability to establish evidence trails prior to the preservation order».

([93]) Bundeskriminalamt, Erforderliche Speicherfristen für IP-Adressen, 5/7/2023.

([94]) Michael Wojtek, «Streit um Speicherpflicht: Union fordert, Spielräume aus EuGH-Urteil zu nutzen. Dissens zwischen Ministern» (https://www.das-parlament.de/2022/40_41/titelseite/913848-913848).

([95]) Acórdão 268/2022, n.os 17.3 e 18. (bem como na Declaração de voto do Conselheiro Lino Ribeiro, n.º 2) e no requerimento da Provedora de Justiça (reproduzido no n.º 2; a sua tese de que a preservação é uma alternativa à conservação mereceu a crítica expressa de Rui Cardoso, «A conservação e a utilização probatória de metadados de comunicações electrónicas após o Acórdão do Tribunal Constitucional n.º 268/2022 - o que nasce torto...», Revista do Ministério Público 172 (2022), pp. 9-77, p. 40, n. 34). Na referida Declaração, lê-se: «Ora, esta situação de "preservação" de dados (quick freeze), que já se encontra prevista no artigo 12.º da Lei do cibercrime (Lei 109/2009, de 15 de setembro), não se mostra eficaz para garantir a recolha de prova em processo penal. Verifique-se, por exemplo, uma situação de rapto, um dos crimes incluídos naquela norma: se os dados relativos às comunicações das vítimas forem apagados, findas que sejam tais comunicações, poderá ser muito difícil identificar os agentes dos crimes; o mesmo se diga relativamente a toda a criminalidade que é praticada com recurso a meios informáticos e de telecomunicações eletrónicas, como, por exemplo, o crime de aliciamento de menores. De modo que a disponibilidade de dados históricos para a investigação criminal só é possível se eles forem temporariamente retidos pelos operadores de telecomunicações. Ou seja, a conservação de dados é estritamente necessária para as finalidades da investigação, porque só assim é possível obter dados historicamente determinados».

([96]) Mencionado por Marek Zubik/Jan Podkowik/Robin Rybski, «Judicial dialogue on data retention laws in Europe in the digital age: concluding remarques», in Idem (eds.), European constitutional courts towards data retention laws, pp. 229-249, p. 238.

([97]) BVerfG, Urteil des Ersten Senats vom 02. März 2010 - 1 BvR 256/08 -, Rn. 1-345, 141: «O procedimento de congelamento rápido não é igualmente adequado, porque se esvazia se os dados de tráfego não estiverem ou não mais estiverem disponíveis» [«Das Quick-Freezing-Verfahren sei nicht gleich gut geeignet, weil es ins Leere gehe, wenn Verkehrsdaten nicht oder nicht mehr vorhanden seien»].

([98]) No referido relatório francês (Surveiller pour punir? Pour une réforme de l'accès aux données de connexion dans l'enquête pénale), considera-se que, nos casos belga e dinamarquês, estamos perante uma tentativa de «contornar o rigor» do quadro do TJUE (falam de «ciblage contourné»: pp. 63-66).

([99]) Patrick Breyer, «"Targeted" Data Retention: Online map shows what the Belgian government wants to hide», 7/6/2022 (com uma ligação para "Targeted" Data Retention: our map explained», 8/6/2022 disponível em https://www.patrick-breyer.de/en/targeted-data-retention-online-map-shows-what-the-belgian-government-wants-to-hide/; já antes, vd. Patrick Breyer, «Que signifie réellement la conservation de données "géographiquement ciblées" en Belgique», 26/4/2022 https://www.patrick-breyer.de/en/que-signifie-reellement-la-conservation-de-donnees-geographiquement-ciblees-en-belgique/

([100])Alena Birrer/Danya He/Natascha Just, «The state is watching you - A cross-national comparison of data retention in Europe», Telecommunications Policy 47 (2023), «national implementations of such alternatives practically perpetuate the same problems».

([101]) Sobre o caráter não discriminatório, vd. Acórdão SpaceNet, n.º 109.

([102]) Vd., por exemplo, Surveiller pour punir? Pour une réforme de l'accès aux données de connexion dans l'enquête pénale, p. 12.

([103]) Ambas as expressões constam de Surveiller pour punir? Pour une réforme de l'accès aux données de connexion dans l'enquête pénale.

([104]) Surveiller pour punir? Pour une réforme de l'accès aux données de connexion dans l'enquête pénale.

([105]) Surveiller pour punir? Pour une réforme de l'accès aux données de connexion dans l'enquête pénale (no original, negrito em vez de itálico), p. 10: «assumer en Europe une position forte, en faisant du sujet des données de connexion une priorité pour la France».

([106]) Discussion paper Working lunch. Police access to electronic communications and digital data as a premise for law enforcement: The need for a respectful and effective legal framework Informal JHA ministerial meeting - Home Affairs, 20-21 July 2023, Logroño.

([107]) Cf. a Declaração Conjunta dos Chefes de Polícia Europeus Declaração de Lisboa, 30 de março de 2023, disponível em https://justica.gov.pt/Portals/0/Ficheiros/Confer%C3 %AAncia%20PJ/Declara%C3 %A7 %C3 %A3o%20Conjunta%20Chefes%20de%20Pol%C3 %ADcia%20VF.pdf, que termina desta forma: «Vivemos tempos difíceis, com um desequilíbrio crescente entre os meios e capacidades abusivamente utilizados pelas organizações criminosas e a nossa capacidade de dar uma resposta operativa e eficiente».

([108]) Proposta de Regulamento do Parlamento Europeu e do Conselho relativo ao respeito pela vida privada e à proteção dos dados pessoais nas comunicações eletrónicas e que revoga a Diretiva 2002/58/CE (Regulamento relativo à privacidade e às comunicações eletrónicas). COM/2017/010 final - 2017/03 (COD).

([109]) Johanna Sprenger, «§ 31 Verbrechensbekämpfung», in Martin Ebers/ Christian Heinze/ Tina Krügel/ Björn Steinrötter (Hrsg.), Künstliche Intelligenz und Robotik: Rechsthandbuch, München, C.H. Beck, 2020, pp. 961-986, p. 965.

([110]) Johanna Sprenger, «§ 31 Verbrechensbekämpfung», p. 974.

([111]) Conclusions of the Council of the European Union on Retention of Data for the Purpose of Fighting Crime, Brussels, 27 May 2019 (OR. en).

([112]) Conclusions of the Council of the European Union on Retention of Data for the Purpose of Fighting Crime, n.º 2.

([113]) Conclusions of the Council of the European Union on Retention of Data for the Purpose of Fighting Crime, n.º 5.

([114]) O que leva países, como a Suíça, a modificar a sua legislação neste campo: cf., para uma síntese, referindo-se às modificações com entrada em vigor a 1 de janeiro de 2024, Adaptation des ordonnances sur la surveillance des télécommunications pour suivre l'évolution technologique, 15/11/2023 (https://www.admin.ch/gov/fr/accueil/documentation/communiques.msg-id-98604.html).

([115]) Christian Hoffmann, Die digitale Dimension der Grundrechte: Das Grundgesetz im digitalen Zeitalter, Baden-Baden, Nomos, 2015.

([116]) Walter Rudolf, «§ 90 Recht auf informationnelle Selbstbestimmung», in Detlef Merten/ Hans-Jürgen Papier (Hg.), Handbuch der Grundrechte in Deutschland und Europa, Vol. 4: Grundrechte in Deutschland: Einzelgrundrechte I, Heidelberg, C.F. Müller, 2011, pp. 233-289, pp. 249-250, sublinhando a necessidade de realçar a «referência comunitária do direito à autodeterminação informacional».

([117]) Sobre este direito na Constituição da República Portuguesa, vd. Maria Paula Ribeiro de Faria, «Artigo 35.º Utilização da informática», in Jorge Miranda/ Rui Medeiros, Constituição Portuguesa Anotada, I, Universidade Católica Editora, 2.ª ed., pp. 565-581.

([118]) Em geral, recorde-se, entre nós, Rogério Soares, Direito público e sociedade técnica, 2.ª ed., Coimbra, Tenacitas, 2008.

([119]) Citado por Alena Birrer/Danya He/Natascha Just, «The state is watching you - A cross-national comparison of data retention in Europe», p. 2.

([120]) Chloé Berthélémy, «Europe's data retention saga and its risks for digital rights», https://digitalfreedomfund.org/europes-data-retention-saga-and-its-risks-for-digital-rights/ «which collect much more data for business purposes than traditional telecommunications operators. This would be a notable difference from most national data retention laws, which only cover telecommunications providers»

([121]) Shoshana Zuboff, The age of surveillance capitalism: the fight for a human future at the new frontier of power, London, Profile Books, 2019.

([122]) Vd. Alba Soriano Arnanz, Data protection for the prevention of algorithmic discrimination: protecting from discrimination and other harms caused by algorithms through privacy in the EU: possibilities, shortcomings and proposals, Cizur Menor (Navarra): Aranzadi, 2021, p. 51; sobre algoritmos e consumidores, vd. António Pinto Monteiro/ Sandra Passinhas, «Definição algorítmica de perfis e não discriminação dos consumidores», in João Carlos Loureiro (Coord.), Constituição, política e direitos fundamentais: Estudos em homenagem ao Doutor Vieira de Andrade, vol. I, Coimbra, Almedina, 2023, pp. 363-382.

([123]) Sobre os deveres de proteção no âmbito do direito à autodeterminação informacional, vd. Walter Rudolf, «§ 90 Recht auf informationnelle Selbstbestimmung», pp. 250-252.

([124]) Neste sentido, Duarte Rodrigues Nunes, «Impedirá o Acórdão do Tribunal Constitucional n.º 268/2022 a obtenção e a valoração, para fins de investigação criminal, de metadados conservados pelos fornecedores de serviços de comunicações eletrónicas ao abrigo da lei atualmente em vigor?», Revista do Ministério Público 170, pp. 24-47, pp. 43-45; sobre a convocação deste princípio na jurisprudência do Tribunal Constitucional, vd., desde logo, a Declaração de Voto de Paulo Mota Pinto (Acórdão 288/98), a que se seguiram outros arestos.

([125]) José António Barreiros, «Informática, liberdades e privacidade (Artigo 35.º)», in Estudos sobre a Constituição, vol. 1, Lisboa, Livraria Petrony, 1977, pp. 119-141, pp. 120-121.

([126]) José António Barreiros, «Informática, liberdades e privacidade (Artigo 35.º)», p. 121.

([127]) O objeto de proteção de direito são os dados pessoais: cf. Walter Rudolf, «§ 90 Recht auf informationnelle Selbstbestimmung», 253, que assinala serem as informações os «dados interpretados».

([128]) Cf. «Art. 2 [Freie Entfaltung der Persönlichkeit, Recht auf Leben, körperliche Unversehrtheit, Freiheit der Person» in v. Münch/Kunig, Grundgesetz-Kommentar, 7.ª ed., 2021, Rn. (números de margem) 75-78, 78: «Dies gilt umso mehr, als Gefährdungen - anders als das BVerfG dies im Volkszählungsurteil noch imaginiert hatte - nicht nur von staatlicher Seite, sondern immer stärker von Privaten ausgehen. Dazu gehören Suchmaschinen, soziale Netzwerke und andere Wirtschaftsunternehmen ("informationstechnische Systeme", für deren Nutzung das BVerfG das überkommene Recht auf informationelle Selbtsbestimmung nicht als ausreichend ansah [...]), aber auch die normalen "User", au(beta)erdem kriminelle "Hacker"und "Phisher"».

([129]) Vd., por exemplo, o Acórdão 464/2019: «Na forma específica de proibição de acesso por terceiros, o direito à proteção de dados apresenta-se como um direito de garantia de um conjunto de valores fundamentais individuais - a liberdade e a privacidade - bens jurídicos englobados na autodeterminação individual, abrangendo duas dimensões: a dimensão negativa ou de abstenção do Estado de ingerência na esfera jurídica dos cidadãos e a dimensão positiva enquanto função ativa do Estado para prevenir tal ingerência por parte de terceiros».

([130]) Walter Rudolf, «§ 90 Recht auf informationnelle Selbstbestimmung», pp. 280-288.

([131]) Walter Rudolf, «§ 90 Recht auf informationnelle Selbstbestimmung», p. 282.

([132]) Cf. Australian Securities and Investments Commission, Review of the mandatory data retention regime proscribed by ASIC, June 2019, p. 2: «Os dados de telecomunicações são essenciais para o desempenho eficaz das funções da ASIC de aplicação da lei e constituem uma ferramenta fundamental da ASIC para a investigação de violações graves da Corporations Act 2001 (Cth) (Corporations Act). 3. Os tipos de crimes de colarinho branco investigados pela ASIC são notoriamente difíceis de provar e capazes de causar graves danos ao sistema financeiro australiano. Estes danos incluem prejuízo para a integridade dos mercados financeiros da Austrália e para vítimas individuais que correm o risco de perder as suas casas e as suas poupanças».

«Telecommunications data is essential to the effective performance of ASIC's law enforcement functions and is a critical investigative tool utilised by ASIC for the investigation of serious offences against the Corporations Act 2001 (Cth) (Corporations Act). 3. The types of white-collar crime investigated by ASIC are both notoriously difficult to prove and capable of causing immense harm to Australia's financial system. This harm includes damage to the integrity of Australia's financial markets, and devastation to individual victims who risk losing their houses and life savings».

([133]) Cesare Beccaria, Dos delitos e das penas, Lisboa: Fundação Calouste Gulbenkian, 1998, XLI, p. 154.

([134]) Beniamino Caravita di Toritto, «Principi costituzionali e intelligenza artificiale», in Ugo Ruffolo (a cura di), Intelligenza artificiale: il diritto, i diritti, l'etica, Giuffrè Francis Lefebvre, Milano, 2020, p. 465.

([135]) António Barbosa de Melo, «As tensões entre bem pessoal e bem comum (um ponto de vista jurídico)», in Bem da pessoa e bem comum: um desafio à bioética, Coimbra, Gráfica de Coimbra, 1998, pp. 25-36.

([136]) Em sede de justiça constitucional, vd. a decisão do Tribunal Constitucional (Curtea Constitutionala) da Roménia, versando sobre preceitos da Lei 298/2008, que transpôs a Diretiva 2006/24/CE: cf. Decizie nr. 1.258 din 8 octombrie 2009.

([137]) Para um panorama das mudanças legislativas operadas ou em curso, vd. o já mencionado Surveiller pour punir? Pour une réforme de l'accès aux données de connexion dans l'enquête pénale.

([138]) Chloé Berthélémy, «Europe's data retention saga and its risks for digital rights», https://digitalfreedomfund.org/europes-data-retention-saga-and-its-risks-for-digital-rights/

([139]) «"areas with above average crime rates" can lead to the stigmatisation of entire communities. These categories therefore risk reifying existing, potentially discriminatory, surveillance priorities, often centred around policing behaviour more associated with poorer, racialised and working class areas».

João Carlos Loureiro

DECLARAÇÃO DE VOTO

Parcialmente vencida pelas razões que seguidamente serão expostas.

Antecipando o sentido do meu voto, acompanho a decisão e a respetiva fundamentação, com exceção do segmento do decisum correspondente à alínea a). Entendo agora, e revendo parcialmente a minha posição, que não deve ser considerado inconstitucional, no âmbito da luta contra a criminalidade grave e da salvaguarda da segurança pública, e por parte das autoridades competentes (sobre este conceito, ver o artigo 2.º, n.º 1, alínea f), da Lei 32/2008, de 17 de julho), o acesso, devidamente regulado (v.g., quanto aos fins permitidos e às garantias das pessoas), aos dados de tráfego e daqueles que sejam simultaneamente de tráfego e de localização que já constam das faturas detalhadas de telecomunicações. Dados esses que são quase sempre necessários para que os "fornecedores de serviços de comunicações electrónicas publicamente disponíveis ou de uma rede pública de comunicações" possam identificar os serviços que prestaram a cada cliente/utente e calcular o respetivo custo, e que foram extraídos a partir de dados técnicos ligados às comunicações e conexões à rede por si recolhidos e conservados - daí a legitimidade da sua recolha e conservação temporalmente limitada. O ideal seria, porventura, a construção de uma plataforma autónoma com esses mesmos dados (dados de faturação) para acesso exclusivo das autoridades competentes, até porque há quem defenda que uma das formas de garantir os direitos à privacidade e à autodeterminação informacional passa por assegurar que a conservação de dados apenas se pode considerar legítima na medida em que não se desvie do propósito para o qual foi determinada. No entanto, a duplicação de bases comporta riscos e custos acrescidos, pelo que não será de todo de rejeitar a possibilidade de as autoridades competentes requererem aos operadores de comunicações eletrónicas, no âmbito de um procedimento controlado, dados pessoais que constam das faturas detalhadas.

1 - Passando à explicitação das razões que subjazem ao sentido do voto que agora se expõe, impõe-se, em primeiro lugar, sublinhar que não se pretende afrontar a jurisprudência europeia, defendendo que Portugal, enquanto Estado-Membro, não deve cumprir as responsabilidades assumidas como tal, antes se procurou buscar uma solução jurídica razoável que ainda se mostre consentânea com o DUE, em especial com os princípios e direitos mobilizados em sede de proteção de dados pessoais.

2 - Seguidamente, é preciso balizar as situações em que a proteção dos dados pessoais de conexão (dados de tráfego e de localização) pode sofrer ingerências por parte das autoridades competentes. Ora, essa proteção dá-se no âmbito específico da luta contra a criminalidade grave e da salvaguarda da segurança pública - mais concretamente, e segundo se pode ler no n.º 1 do artigo 3.º ("Finalidade do tratamento") da Lei 32/2008, "A conservação e a transmissão dos dados têm por finalidade exclusiva a investigação, deteção e repressão de crimes graves por parte das autoridades competentes").

De acordo com o artigo 2.º ("Definições") da mesma lei, devem considerar-se crimes graves os seguintes casos:

"g) 'Crime grave', crimes de terrorismo, criminalidade violenta, criminalidade altamente organizada, sequestro, rapto e tomada de reféns, crimes contra a identidade cultural e integridade pessoal, contra a segurança do Estado, falsificação de moeda ou de títulos equiparados a moeda, contrafação de cartões ou outros dispositivos de pagamento, uso de cartões ou outros dispositivos de pagamento contrafeitos, aquisição de cartões ou outros dispositivos de pagamento contrafeitos, atos preparatórios da contrafação e crimes abrangidos por convenção sobre segurança da navegação aérea ou marítima".

Não se trata, portanto, de qualquer infração menor, e, é inegável, estamos aqui perante um interesse legítimo que é idóneo a fundar uma ingerência legítima nos direitos fundamentais.

Ingerência que tem de ser devidamente contextualizada, devendo ser situada na era digital em que presentemente vivemos (a era dos avanços tecnológicos, dos algoritmos e da IA), caracterizada pela hiperconectividade.

Num outro tribunal, o Tribunal Europeu dos Direitos Humanos (TEDH), em Breyer c. Alemanha, 2020 (§ 88), foi admitido que, no contexto da luta contra o terrorismo e o crime organizado, os métodos utilizados nas investigações deveriam ser adaptados aos atuais meios de comunicação e, de igual modo, à alteração dos comportamentos sociais no domínio das comunicações eletrónicas. Mais especificamente, entendeu-se que a obrigação, imposta aos operadores de serviços de telemóvel, de armazenar os dados pessoais dos utilizadores de cartões SIM de telemóveis pré-pagos e de os colocar à disposição das autoridades constitui, de maneira geral, uma resposta adequada à evolução dos meios de comunicação eletrónica e dos comportamentos relacionados com essas comunicações.

Em suma, a rapidez da evolução tecnológica e da globalização não pode ser desconsiderada, devendo a definição de estratégias contra a criminalidade grave e a promoção da segurança pública poder contar com o recurso - devidamente regulado, visando objetivos legítimos, com o respeito da necessária proporcionalidade e transparência e a previsão de garantias robustas - às mais avançadas tecnologias, designadamente, no âmbito judiciário, com a utilização dos metadados como elementos de prova. Só uma luta eficaz contra o crime e contra o terrorismo se mostrará apta a promover e preservar a confiança na justiça e nos tribunais, sendo certo que os metadados, enquanto elementos de prova, tendem a conferir maior robustez e credibilidade às acusações penais.

De forma genérica e necessariamente sintética, para fins de descoberta da verdade, que em matéria penal leva ao princípio da liberdade da prova, os meios de prova devem acompanhar os avanços tecnológicos.

4 - [sic] Num outro plano, há que ter bem em mente o modelo de ponderação a efetuar. Não estamos aqui perante o tipo de situação que tradicionalmente justificou, num momento histórico anterior, a constitucionalização dos mais importantes direitos humanos, antes estamos perante, de um lado, certos direitos, liberdades e garantias pessoais (fundamentalmente, direitos à privacidade e à autodeterminação informacional), e, do outro lado, os direitos fundamentais das vítimas (direito à segurança, à vida, à liberdade, à integridade física e psicológica, à intimidade da vida privada, ao livre desenvolvimento da personalidade - pense-se nas crianças vítimas de predadores sexuais -, ao bom nome e reputação, à imagem ...). Há que não esquecer que a luta contra a criminalidade grave e a salvaguarda da segurança pública visam proteger as suas vítimas, vítimas reais, com rosto. Justamente, é importante não ignorar que essa luta e essa salvaguarda não são um fim em si mesmo, e, ademais, que o processo penal é um instrumento por excelência de proteção dos direitos fundamentais, em especial dos direitos, liberdades e garantias das vítimas.

5 - De notar, ainda, que à luz das normas que foram agora objeto deste controlo preventivo, o legislador previu um tratamento autónomo de cada categoria de dados pessoais (em função da gravidade das ingerências operadas), sendo que, no que concerne à conservação dos dados de tráfego e de localização, de acordo com a nova redação do artigo 6.º da Lei 32/2008, a duração dessa conservação foi ainda mais limitada temporalmente, nos seguintes termos:

Artigo 6.º

Período e regras de conservação

"1 - Para efeitos da finalidade prevista no n.º 1 do artigo 3.º, as entidades referidas no n.º 1 do artigo 4.º devem conservar, pelo período de um ano a contar da data da conclusão da comunicação, os seguintes dados:

d) Os dados relativos à identificação civil dos assinantes ou utilizadores de serviços de comunicações publicamente disponíveis ou de uma rede pública de comunicações;

e) Os demais dados de base;

f) Os endereços de protocolo IP atribuídos à fonte de uma ligação.

2 - Os dados de tráfego e de localização são conservados pelas entidades referidas no n.º 1 do artigo 4.º pelo período de três meses a contar da data da conclusão da comunicação, considerando-se esse período prorrogado até seis meses, salvo se o seu titular se tiver oposto perante as referidas entidades à prorrogação dessa conservação.

3 - Os prazos de conservação previstos no número anterior podem ser prorrogados por períodos de três meses até ao limite máximo de um ano, mediante autorização judicial, requerida pelo Procurador-Geral da República, fundada na sua necessidade para a finalidade prevista no n.º 1 do artigo 3.º

4 - A prorrogação do prazo de conservação referida nos números anteriores deve limitar-se ao estritamente necessário para a prossecução da finalidade prevista no n.º 1 do artigo 3.º, devendo cessar logo que se confirme a desnecessidade da sua conservação.

[...]".

No entanto, e aos olhos da maioria que fez vencimento, o TJUE impõe aos juízes nacionais a desconsideração de elementos de prova obtidos mediante uma conservação indiferenciada e generalizada dos dados de tráfego e de localização, ainda que temporalmente limitada, não havendo meio de ultrapassar esta postura intransigente do Tribunal do Luxemburgo.

Efetivamente, a jurisprudência europeia relativa à conservação e ao acesso aos dados pessoais no domínio das comunicações eletrónicas tem-se mostrado, desde sempre, muito intransigente quando se trata da proteção dos dados pessoais no âmbito judiciário. Intransigência, no entanto, que já conheceu alguns recuos, com a admissão da conservação seletiva dos dados de tráfego e de localização que seja delimitada, com base em elementos objetivos e não discriminatórios, em função das categorias das pessoas em causa ou através de um critério geográfico, por um período temporalmente limitado ao estritamente necessário, mas renovável; de igual modo, com a admissão da conservação indiferenciada e generalizada, temporalmente limitada, dos endereços IP dinâmicos (para muitos considerados dados de tráfego, na medida em que relacionados com as circunstâncias da comunicação eletrónica ou da conexão à rede); e, ainda, com a admissão da conservação indiferenciada e generalizada, temporalmente limitada, de dados de tráfego e de localização quando está em causa uma ameaça grave, real e atual ou previsível, à segurança nacional. Verdadeiramente, e em especial no que toca a esta última 'abertura' da jurisprudência europeia, ela parece ser mais o resultado de compromissos políticos do que uma decisão puramente jurisdicional, com ela se dando resposta a alguns Estados Membros que, em particular na sequência da Decisão Tele2 Sverige e Watson, mostraram o seu profundo desagrado por não poderem dispor de meios importantes na sua luta contra o terrorismo. Já quanto à 'abertura' no que se refere aos endereços IP dinâmicos, a ela não será estranha, certamente, a luta contra a pornografia infantil e a pedofilia. Ou seja, ao que tudo indica, o TJUE, aos poucos, vem adotando uma postura mais realista e mais consentânea com uma luta eficaz contra a criminalidade grave e os ataques à segurança pública.

6 - Um outro aspeto a ter em atenção é o de que, embora não seja essa a perceção do TJUE (mas é a deste Tribunal, conforme resulta do Acórdão 268/2022), há que fazer uma abordagem holística, conjugada, da conservação dos dados pessoais e do acesso aos mesmos. Não se nega que a simples conservação indiferenciada e generalizada dos dados, em particular dos dados de tráfego e de localização, implica, em si mesma, uma ingerência nos direitos fundamentais das pessoas. Mas é com o acesso que o risco de ingerências indevidas se concretiza, se torna real. Por assim ser, é preciso considerar, em toda a equação que envolve a tutela dos dados pessoais, se foram consagradas garantias efetivas e acrescidas contra o risco de abusos por parte das autoridades competentes. Entre essas garantias estão a existência de um mecanismo de notificação do interessado de que os seus dados foram objeto de acesso pelas autoridades competentes, a existência de prazos de conservação curtos, a impossibilidade de transferência de dados para países terceiros, garantias que passariam a constar da legislação portuguesa, não fora a pronúncia pela inconstitucionalidade do diploma que as contém. Tudo isto, e mais ainda, através de normas claras e precisas.

Verdadeiramente, não é totalmente compreensível esta preocupação - legítima, é certo - com a proteção dos dados pessoais no âmbito judiciário (na luta contra os crimes graves e a salvaguarda da segurança pública), com as garantias e cautelas que já estão juridicamente consagradas, se ingerências de variada índole e proveniência ocorrem diariamente pela mão de empresas privadas, ao ponto de haver quem já fale em "datacracia" e quem compare, em termos de valor (e como fonte de rendimento), os dados pessoais ao petróleo. É hoje em dia bastante evidente a supremacia do setor privado, em especial a posição dominante dos operadores económicos, quando se trata da recolha indiscriminada de dados pessoais com vista, v.g., à criação de perfis de consumidores em função das suas preferências conhecidas a partir daquela recolha e a consequente 'targetização' dos respetivos produtos, tarefa facilitada por processos de elaboração e agregação de dados mediante a utilização de algoritmos. De igual modo, não é desconhecida a utilização de dados pessoais para a criação de perfis de eleitores, com propósitos eleitorais, orientando e modelando os comportamentos dos eleitores e, com isso, das próprias eleições. E isto, sem contar com a circunstância de que as pessoas voluntariamente expõem, nas redes sociais, aspetos da sua vida, inclusivamente aspetos mais íntimos. É verdade que esta exposição, porque voluntária, foi consentida, mas o que se pretende aqui sublinhar é o grande fluxo de dados pessoais que circulam e estão disponíveis online, escassamente protegidos e sujeitos a 'apropriação' indevida, não se vislumbrando que esta realidade mereça as mesmas preocupações que suscita o acesso aos dados pessoais por parte das autoridades competentes no âmbito da luta contra a criminalidade grave e da salvaguarda da segurança pública.

Em suma, a plurifuncionalidade dos dados pessoais pode ser explorada de muitas outras maneiras, pelo menos potencialmente perigosas para as pessoas em geral, devendo o Estado estar atento a todas elas.

7 - Importa também salientar que a luta contra a criminalidade grave e a salvaguardada segurança pública devem acompanhar a evolução do conceito de privacy, das suas origens nos idos de oitocentos aos tempos atuais, marcados pelo rápido desenvolvimento tecnológico, em particular no que se refere às tecnologias digitais. Tradicionalmente concebida como o right to be let alone, vale por dizer, o direito a ver preservados das ingerências (em particular) do Estado os aspetos íntimos da existência de cada um, hoje em dia, com os avanços tecnológicos, e em resposta a novas exigências que deles decorrem, a privacy deve ser concebida não apenas na sua dimensão negativa, individualística (evitar intromissões na esfera privada individual), mas, igualmente, como possuidora de uma dimensão positiva, materializada num direito à proteção dos dados pessoais, indispensável quando as tecnologias digitais surgem como um instrumento de controlo social. Cabe ao Estado, em grande medida, providenciar essa proteção, assim se ultrapassando a conceção liberal que via o Estado apenas como inimigo, não se podendo deixar de vê-lo, atualmente, como garante privilegiado das nossas liberdades. As duas distintas maneiras de conceber a privacy têm óbvia repercussão em termos da respetiva tutela. No que respeita à dimensão negativa, a sua proteção visa tornar opaca a vida das pessoas; ao invés, a proteção da dimensão positiva funciona como uma exigência de transparência, na medida em que pretende assegurar que a generalidade das pessoas possa controlar o fluxo de informações a si relativas. Com isto, a restrição de cada uma destas dimensões, ambas ligadas à dignidade humana, mas também fortemente associadas a uma ideia de liberdade, acaba por legitimar e mesmo impor uma ponderação de direitos, interesses e bens jurídicos muito própria. É que, se em relação à dimensão negativa pode afirmar-se estar-se perante um direito de personalidade de natureza indisponível (que não significa que seja irrestringível), quando está em jogo a dimensão positiva, a ponderação dos direitos, interesses e bens jurídicos em jogo poderá ser mais flexível, atentos, in casu, o relevo indesmentível do fim perseguido pela conservação e acesso aos dados pessoais e a sua inegável utilidade probatória, sobretudo quando a luta contra a criminalidade grave e a salvaguarda da segurança pública exigem que se lance mão de meios sofisticados e capazes de dar uma resposta imediata, ou, em todo o caso, célere às ameaças graves reais ou previsíveis.

9 - [sic] Respondendo especificamente a críticas que têm sido dirigidas à conservação generalizada e indiferenciada de dados de tráfego e de localização, e começando pelo alegado desrespeito pelo princípio da igualdade (art. 13.º da CRP), estamos em crer que - no que se refere à conservação seletiva dos dados de tráfego e de localização que seja delimitada, com base em elementos objetivos e não discriminatórios (nos dizeres do TJUE), em função das categorias das pessoas em causa ou através de um critério geográfico, por um período temporalmente limitado ao estritamente necessário, mas renovável -, ao invés do afirmado pelo TJUE, uma tal conservação seletiva é de molde a favorecer a estigmatização de grupos específicos de pessoas com base em critérios 'suspeitos' (pense-se no caso da luta contra o ciberterrorismo) e, nesse sentido, mostra-se profundamente discriminatória. Acresce a isto, que ela se mostra cega em relação às pessoas mais vulneráveis, mais concretamente àqueles que não dispõem de meios para adquirir ferramentas informáticas que impeçam que se tornem vítimas naturais do cibercrime.

Tudo isto visto e sopesado, somos do entendimento de que a dimensão do princípio da igualdade que conduz a uma solução mais justa para todos em termos de luta contra a criminalidade grave e a salvaguarda da segurança pública é a sua dimensão formal, de igualdade perante a lei, presente no n.º 1 do artigo 13.º da CRP. Esta dimensão tradicional do princípio da igualdade, que propugna uma aplicação neutral ou imparcial da lei lato sensu (aplicar a lei sem olhar a quem), tem-se mostrado, por vezes, insuficiente para assegurar uma efetiva igualdade, mas é aquela que, como dito, acaba por se mostrar mais justa quando estão em confronto a conservação generalizada e indiferenciada, por um período temporalmente limitado, dos dados de tráfego, ou, em alternativa, essa mesma conservação reportada a grupos específicos de pessoas ou a pessoas que vivam num determinado espaço geográfico (por exemplo, todas as pessoas que vivam em localidades costeiras com portos de mar, portas abertas ao tráfico de droga).

Quanto àquela outra questão da ausência de consentimento prévio dos clientes para que os dados de faturação sejam utilizados pelas autoridades competentes para efeitos de prevenção e repressão de crimes graves e de atos que atentem contra a segurança pública, que, alegadamente, constaria do artigo 6.º da Diretiva n.º 2002/58/CE para o tratamento e conservação de dados de tráfego, esse consentimento, de facto, está previsto, mas para uma finalidade muito específica, não valendo como um consentimento genérico para a conservação dos dados de tráfego. Com efeito, estabelece o n.º 3 desse artigo 6.º o seguinte:

"3 - Para efeitos de comercialização dos serviços de comunicações electrónicas ou para o fornecimento de serviços de valor acrescentado, o prestador de um serviço de comunicações electrónicas publicamente disponível pode tratar os dados referidos no n.º 1 na medida do necessário e pelo tempo necessário para a prestação desses serviços ou dessa comercialização, se o assinante ou utilizador a quem os dados dizem respeito tiver dado o seu consentimento. Será dada a possibilidade aos utilizadores ou assinantes de retirarem a qualquer momento o seu consentimento para o tratamento dos dados de tráfego.

4 - O prestador de serviços informará o assinante ou utilizador dos tipos de dados de tráfego que são tratados e da duração desse tratamento para os fins mencionados no n.º 2 e, antes de obtido o consentimento, para os fins mencionados no n.º 3". [itálicos nossos]

No que toca à alegação de que a conservação indiscriminada de dados de tráfego (e de localização) faz de todos nós suspeitos do cometimento de crimes, ela vale o que vale. Somos tão suspeitos de ser criminosos em virtude da possibilidade de conservação generalizada e indiferenciada dos dados em questão, como somos suspeitos de cometer infrações fiscais em virtude da existência de uma base de dados bastante circunstanciada da Autoridade Tributária, como seremos suspeitos de terrorismo em virtude da existência de uma base de dados dos serviços de inteligência do Estado.

10 - Por todos estes motivos, não acompanho, na íntegra, a decisão a que esta declaração de voto se apõe. Maria Benedita Urbano.

117167873

Este documento liga aos seguintes documentos (apenas ligações para documentos da Serie I do DR):

• 1915-01-11 - Lei 291 - Ministério da Guerra - 2.ª Direcção - 1.ª Repartição

  Abre um crédito extraordinário de 3000000$00 destinado a despesas de preparação para a guerra.

• 1982-11-15 - Lei 28/82 - Assembleia da República

  Aprova a organização, funcionamento e processo do Tribunal Constitucional - repete a publicação, inserindo agora a referenda ministerial.

• 1996-07-26 - Lei 23/96 - Assembleia da República

  Cria no ordenamento jurídico alguns mecanismos destinados a proteger o utente de serviços públicos essenciais, designadamente: serviço de fornecimento de água, serviço de fornecimento de energia eléctrica, serviço de fornecimento de gás e serviço de telefone (Lei dos serviços públicos).

• 1998-04-18 - Acórdão 288/98 - Tribunal Constitucional

  Procede à fiscalização preventiva da constitucionalidade e legalidade e apreciação dos requisitos relativos ao universo eleitoral da prosposta de referendo constante da Resolução da Assembleia da República n.º 19/98, de 19 de Março (apresenta ao Presidente da República uma proposta de realização de referendo sobre a despenalização da interrupção voluntária da gravidez). (Proc. nº 340/98)

• 2004-08-18 - Lei 41/2004 - Assembleia da República

  Transpõe para a ordem jurídica nacional a Directiva n.º 2002/58/CE (EUR-Lex), do Parlamento Europeu e do Conselho, de 12 de Julho, relativa ao tratamento de dados pessoais e à protecção da privacidade no sector das comunicações electrónicas.

• 2007-07-18 - Lei 25/2007 - Assembleia da República

  Autoriza o Governo a adaptar o regime geral das contra-ordenações no âmbito da transposição das Directivas n.os 2004/39/CE (EUR-Lex), do Parlamento Europeu e do Conselho, de 21 de Abril, 2006/73/CE (EUR-Lex) , da Comissão, de 10 de Agosto, 2004/109/CE (EUR-Lex), do Parlamento Europeu e do Conselho, de 15 de Dezembro, e 2007/14/CE (EUR-Lex) , da Comissão, de 8 de Março, e a estabelecer limites ao exercício das actividades de consultoria para o investimento em instrumentos financeiros e de comercialização de (...)

• 2008-07-17 - Lei 32/2008 - Assembleia da República

  Transpõe para a ordem jurídica interna a Directiva n.º 2006/24/CE (EUR-Lex), do Parlamento Europeu e do Conselho, de 15 de Março, relativa à conservação de dados gerados ou tratados no contexto da oferta de serviços de comunicações electrónicas publicamente disponíveis ou de redes públicas de comunicações.

• 2008-08-08 - Lei 38/2008 - Assembleia da República

  Altera (segunda alteração) o Decreto-Lei n.º 35/2004, de 21 de Fevereiro, que altera o regime jurídico do exercício da actividade de segurança privada.

• 2009-09-15 - Lei 109/2009 - Assembleia da República

  Aprova a Lei do Cibercrime, transpondo para a ordem jurídica interna a Decisão Quadro n.º 2005/222/JAI, do Conselho, de 24 de Fevereiro, relativa a ataques contra sistemas de informação, e adapta o direito interno à Convenção sobre Cibercrime do Conselho da Europa.

• 2012-08-29 - Lei 46/2012 - Assembleia da República

  Transpõe a Diretiva n.º 2009/136/CE, na parte que altera a Diretiva n.º 2002/58/CE, do Parlamento Europeu e do Conselho, de 12 de julho, relativa ao tratamento de dados pessoais e à proteção da privacidade no setor das comunicações eletrónicas, altera (primeira alteração) e republica a Lei n.º 41/2004, de 18 de agosto, e altera (segunda alteração) o Decreto-Lei n.º 7/2004, de 7 de janeiro.

• 2013-08-26 - Lei 62/2013 - Assembleia da República

  Estabelece as normas de enquadramento e de organização do sistema judiciário - Lei da Organização do Sistema Judiciário.

• 2019-08-08 - Lei 59/2019 - Assembleia da República

  Aprova as regras relativas ao tratamento de dados pessoais para efeitos de prevenção, deteção, investigação ou repressão de infrações penais ou de execução de sanções penais, transpondo a Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho, de 27 de abril de 2016

• 2021-11-24 - Lei 79/2021 - Assembleia da República

  Transpõe a Diretiva (UE) 2019/713 do Parlamento Europeu e do Conselho, de 17 de abril de 2019, relativa ao combate à fraude e à contrafação de meios de pagamento que não em numerário, alterando o Código Penal, o Código de Processo Penal, a Lei n.º 109/2009, de 15 de setembro, que aprova a Lei do Cibercrime, e outros atos legislativos