Acórdão do Tribunal Constitucional n.º 464/2019 — Declara a inconstitucionalidade, com força obrigatória geral, da norma constante do artigo 3.º da Lei Orgânica n.º…

Processo n.º 26 2018

Acordam no Plenário do Tribunal Constitucional

I - Relatório

1 - Trinta e cinco Deputados à Assembleia da República, ao abrigo do disposto na alínea a) do n.º 1 e na alínea f) do n.º 2 do artigo 281.º da Constituição da República Portuguesa, pediram a apreciação e declaração da inconstitucionalidade das normas constantes dos artigos 3.º e 4.º da Lei Orgânica n.º 4/2017, de 25 de agosto, que aprova e regula o procedimento especial de acesso a dados de telecomunicações e Internet pelos oficiais de informações do Serviço de Informações de Segurança (SIS) e do Serviço de Informações Estratégicas de Defesa (SIED) e procede à segunda alteração à Lei n.º 62/2013, de 26 de agosto (Lei da Organização do Sistema Judiciário).

2 - As normas questionadas têm o seguinte teor:

Artigo 3.º — Acesso a dados de base e de localização de equipamento

Os oficiais de informações do SIS e do SIED podem ter acesso a dados de base e de localização de equipamento para efeitos de produção de informações necessárias à salvaguarda da defesa nacional, da segurança interna e da prevenção de atos de sabotagem, espionagem, terrorismo, proliferação de armas de destruição maciça e criminalidade altamente organizada e no seu exclusivo âmbito.

Artigo 4.º — Acesso a dados de tráfego

Os oficiais de informações do SIS e do SIED apenas podem ter acesso a dados de tráfego para efeitos de produção de informações necessárias à prevenção de atos de espionagem e do terrorismo.

3 - Para impugnar a constitucionalidade das normas acima indicadas, os requerentes invocam a violação do n.º 4 do artigo 34.º da Constituição.

Os fundamentos do pedido são, em síntese, os seguintes:

«A questão relevante a apreciar é a de saber quais os tipos de dados que se encontram sob a proteção estabelecida no n.º 4 do artigo 34.º da Constituição que dispõe expressamente que "é proibida toda a ingerência das autoridades públicas na correspondência, nas telecomunicações e nos demais meios de comunicação, salvo os casos previstos na lei em matéria de processo criminal."

A resposta dada pelo TC, no Acórdão n.º 403/2015, à questão de saber se os dados de tráfego, incluindo os dados de localização, se encontram no âmbito da proteção do n.º 4 do artigo 34.º da Constituição, não podia ser mais clara.

Aí se afirma (p. 16) que "há um largo consenso na doutrina e na jurisprudência, de resto não se conhece posição contrária, no sentido de se incluir os dados de tráfego no conceito de comunicações constitucionalmente relevante para a proibição de ingerência".

E depois de uma ampla explanação doutrinal e jurisprudencial, o TC conclui que "a área de proteção do sigilo das comunicações consagrada no n.º 4 do artigo 34.º da CRP, compreende tanto o conteúdo da comunicação como os dados de tráfego atinentes ao processo de comunicação".

Assente a questão dos dados protegidos pelo sigilo das comunicações, importa saber se o acesso a dados de tráfego previsto nos artigos 3.º e 4.º da LO por parte de oficiais de informações se conforma com a exceção constante da segunda parte do n.º 4 do artigo 34.º da CRP que permite o acesso a dados dessa natureza nos casos previstos na lei em matéria de processo criminal.

O Acórdão n.º 403/2015 do TC também analisa extensamente esse ponto para concluir que "ao autorizar a ingerência das autoridades públicas nos meios de comunicação apenas em matéria de processo penal, e não para quaisquer outros efeitos, a Constituição quis garantir que o acesso a esses meios, para salvaguarda dos valores da justiça e da segurança, fosse efetuado através de um instrumento processual que também proteja os direitos fundamentais das pessoas". E prossegue: "porque a ingerência nas comunicações põe em conflito um direito fundamental com outros direitos ou valores comunitários, considerou-se que a restrição daquele direito só seria autorizada para a realização dos valores da justiça, da descoberta da verdade material e restabelecimento da paz jurídica comunitária, os valores que ao processo penal incumbe realizar".

Mas o citado Acórdão vai mais longe, ao referir que o n.º 4 do artigo 34.º da CRP tem consequências que se refletem no estatuto constitucional do arguido (artigo 32.º n.º 8 da CRP) e que conduzem à consideração da nulidade de provas obtidas por ingerência abusiva nas comunicações.

Por outro lado, conclui ainda o citado Acórdão, que "no caso da ingerência das autoridades públicas nas comunicações, que o artigo 34.º, n.º 4, primeira parte, consagra como princípio geral, as exceções a que se refere o segmento final desse preceito estão condicionadas à matéria de processo penal, e sendo a restrição constitucionalmente autorizada apenas nesses termos, não tem cabimento efetuar uma qualquer outra interpretação que permita alargar a restrição a outros efeitos, como se a restrição não estivesse especificada no próprio texto constitucional ou se tratasse aí de uma restrição meramente implícita que permitisse atender a outros valores ou bens constitucionalmente reconhecidos".

Existe aliás, como é referido, uma abundante jurisprudência constitucional nesse sentido (Acórdãos n.os 241/02, 195/85, 407/97, 70/2008, 486/2009 e 699/2013).

O TC considera, pois, que, fora do processo penal, vigora uma proibição absoluta de ingerência das autoridades públicas nos meios de comunicação, incluindo em matéria de dados de tráfego.

Assim sendo, importa então saber se o acesso de oficiais de informações a dados de tráfego, incluindo os dados de localização, se pode considerar como uma atividade "em matéria de processo criminal".

A resposta do TC é "seguramente" negativa, porquanto "os fins e interesses que a lei incumbe ao SIRP de prosseguir, os poderes funcionais que confere ao seu pessoal e os procedimentos de atuação e de controlo que estabelece, colocam o acesso aos dados de tráfego fora do âmbito da investigação criminal".

O que dispõe o artigo 3.º da LO é que os oficiais de informações do SIS e do SIED podem ter acesso a dados de base e de localização de equipamento para efeitos de produção de informações necessárias à salvaguarda da defesa nacional, da segurança interna e da prevenção de atos de sabotagem, espionagem, terrorismo, proliferação de armas de destruição maciça e criminalidade altamente organizada e no seu exclusivo âmbito.

E o artigo 4.º dispõe que os oficiais de informações do SIS e do SIED podem ter acesso a dados de tráfego para efeitos de produção de informações necessárias à prevenção de atos de espionagem e do terrorismo.

Estamos assim no domínio da recolha de informações para efeitos de prevenção, o que no entendimento do TC "se dissocia, de forma clara e precisa, da atividade própria da investigação criminal" (Acórdão cit., p. 23).

Nos termos da Lei n.º 49/2008, de 27 de agosto, a investigação criminal "compreende o conjunto de diligências que, nos termos da lei processual penal, se destinam a averiguar a existência de um crime, determinar os seus agentes e a sua responsabilidade e descobrir e recolher as provas, no âmbito de processo".

Na verdade, os serviços de informações não possuem quaisquer atribuições policiais ou de investigação criminal, estando-lhes legalmente vedadas tais atividades.

Há, pois, (é o entendimento do TC) "uma distinção radical entre informações e investigação criminal, o que impede os oficiais de informações de intervirem no processo penal".

Ainda que a recolha de informações possa ser utilizada no processo penal, a recolha para esse fim tem que se dirigir a um crime já praticado. Ora, a recolha de informações pela SIRP, porque preventiva, não se orienta para uma atividade investigatória de crimes já praticados ou em execução.

A conclusão perentória do TC é que a atividade de informações produzida pelo SIRP, porque não se dirige à descoberta da autoria de um crime, não reveste a natureza de investigação criminal. (...) São, pois, procedimentos administrativos que, devendo respeitar os direitos, liberdades e garantias, não obedecem aos princípios jurídico-constitucionais conformadores do processo penal (Acórdão cito P. 24).

Da relevância da natureza da entidade de controlo

Diferentemente do que acontecia com o Decreto da AR sob o qual incidiu o processo de fiscalização preventiva da constitucionalidade que culminou no Acórdão n.º 403/2015, não se prevê na LO em apreço que o controlo do acesso aos dados de tráfego seja feito por via de uma "comissão de controlo prévio" de natureza administrativa, e como tal qualificada no referido acórdão, apesar de integrada por magistrados judiciais.

No caso presente, nos termos do artigo 8.º da LO, o controlo judicial e a autorização prévia do acesso dos oficiais de informações do SIS e do SIED a dados de telecomunicações e Internet são efetuados por uma formação das secções criminais do Supremo Tribunal de Justiça, constituída pelos presidentes das secções e por um juiz designado pelo Conselho Superior da Magistratura, de entre os mais antigos destas secções.

A intensidade do controlo do acesso aos dados de tráfego por parte dos oficiais de informações é também consideravelmente superior à que se previa no decreto julgado inconstitucional em 2015, de modo a conferir garantias de necessidade, adequação e proporcionalidade ao pedido efetuado.

Todavia, entendem os requerentes que as alterações assim efetuadas não afastam as decisivas razões que levaram à declaração de inconstitucionalidade do Decreto n.º 426/XII.

Se é certo que as secções criminais do Supremo Tribunal de Justiça não podem ser qualificadas como órgãos administrativos, sendo este Tribunal inequivocamente um órgão de natureza jurisdicional, não é menos certo que as funções que a LO lhes atribui - em tudo estranhas às funções que até agora este Tribunal foi chamado legalmente a desempenhar - não constituem matéria de processo criminal.

Assim como no Acórdão n.º 241/02 o TC julgou inconstitucional que, em processo laboral, pudesse ser pedido por despacho judicial aos operadores de telecomunicações informações relativas aos dados de tráfego e à faturação detalhada de linha telefónica, por "não constituir matéria de processo criminal", sendo tal entendimento confirmado em acórdãos posteriores (citados no Acórdão n.º 403/2015, p. 22) designadamente no âmbito do processo civil, também agora é forçoso concluir pela inconstitucionalidade do disposto na LO.

É que o que está em causa não é tanto a natureza administrativa ou judicial da entidade de controlo (embora tal natureza não seja irrelevante) mas a questão de saber se o controlo judicial efetuado se insere, ou não, no âmbito do processo penal.

E pelas razões acima expendidas à luz da jurisprudência constitucional, sobre a distinção radical entre informações e investigação criminal, que impede os oficiais de informações de intervirem no processo penal, parece aos proponentes que a resposta só pode ser negativa».

4 - Notificado para responder, o Presidente da Assembleia da República veio oferecer o merecimento dos autos, aproveitando, no entanto, para explicar, em síntese, o seguinte:

«1 - Breve enquadramento legal

A Lei Orgânica n.º 4/2017, de 25 de agosto, veio aprovar e regular o procedimento especial de acesso a dados de telecomunicações e Internet, previamente armazenados pelos prestadores de serviços de comunicações eletrónicas, por parte dos oficiais de informações do Serviço de Informações de Segurança e do Serviço de Informações Estratégicas de Defesa.

A Lei sujeita a controlo judicial a possibilidade de acesso aos dados que se mostrem necessários para a prossecução da atividade de produção de informações pelo Sistema de Informações da República Portuguesa (SIRP) relacionados com a segurança interna, a defesa, a segurança do Estado e a prevenção da espionagem e do terrorismo.

A matéria do acesso pelos Serviços de Informações da República Portuguesa aos dados de telecomunicações e Internet já fora objeto de aprovação parlamentar, tendo o decreto então aprovado - Decreto n.º 426/XII da Assembleia da República (com origem na Proposta de Lei n.º 345/XIV4.ª - Aprova o regime do Sistema de Informações da República Portuguesa) - sido objeto de fiscalização preventiva da constitucionalidade, que culminou na pronúncia do Tribunal Constitucional pela inconstitucionalidade da norma do n.º 2 do seu artigo 78.º, por violação do disposto no n.º 4 do artigo 34.º da CRP, através do Acórdão n.º 403/2015, de 27 de agosto. Este decreto foi objeto de veto no seguimento da referida pronúncia do Tribunal Constitucional.

2 - Trabalhos preparatórios da Lei Orgânica n.º 4/2017

A Lei Orgânica n.º 4/2017, de 25 de agosto, que Aprova e regula o procedimento especial de acesso a dados de telecomunicações e Internet pelos oficiais de informações do Serviço de Informações de Segurança e do Serviço de Informações Estratégicas de Defesa e procede à segunda alteração à Lei n.º 62/2013, de 26 de agosto (Lei da Organização do Sistema Judiciário) teve origem na Proposta de Lei n.º 79/XIII/2.ª, da iniciativa do Governo - "Aprova o regime especial de acesso a dados de base e a dados de tráfego de comunicações eletrónicas pelo SIRP" e no Projeto de Lei n.º 480/XIII/2.ª, da iniciativa dos dezoito Deputados do Grupo Parlamentar do CDS/PP - "Acesso a dados de tráfego, de localização ou outros dados conexos das comunicações por funcionários e agentes dos serviços de informações da República Portuguesa".

As normas objeto do pedido de declaração de inconstitucionalidade com força obrigatória geral - os artigos 3.º (Acesso a dados de base e de localização de equipamento) e 4.º (Acesso a dados de tráfego) da referida Lei Orgânica - correspondem, na sua redação, respetivamente aos artigos 2.º e 3.º da Proposta de Lei n.º 79/XIII. Estas normas não foram objeto de quaisquer propostas de alteração no decurso do processo legislativo que deu origem à Lei, salvo no que respeita à sua numeração (em resultado do aperfeiçoamento operado em redação final, aprovada pela l.ª Comissão em 27 de julho de 2017, que consistiu no desdobramento do artigo 1.º em dois artigos - 1.º e 2.º - com consequente remuneração dos seguintes).

Dos trabalhos preparatórios da Lei Orgânica, - todos os elementos de tramitação da Proposta de Lei n.º 79/XIII e do Projeto de Lei n.º 480/XIII disponíveis na base de dados "Atividade parlamentar" constante do site do Parlamento na Internet, na hiperligação http://www.parlamento.pt/ActividadeParlamentar/Paginas/DetalheIniciativa.aspx?BID= 41364) - é possível retirar, com relevância para a questão objeto do presente pedido de fiscalização, que:

1 - Na exposição de motivos da Proposta de Lei n.º 79/XIII, o proponente explicitava que o regime especial de acesso a dados preconizado se revelava adequado e proporcional «aos desafios colocados à segurança nacional e internacional do Estado, considerando os procedimentos e metodologias previstos em regimes jurídicos congéneres, particularmente no espaço europeu (...)», e atendendo, ainda, ao regime estabelecido na Estratégia Nacional de Combate ao terrorismo, aprovada pela Resolução do Conselho de Ministros n.º 7-A/2015, de 20 de fevereiro».

A iniciativa previa que a atividade de recolha de informação pelos funcionários do SIRP para efeitos de prevenção fosse precedida de um procedimento de autorização obrigatória da responsabilidade de uma formação das secções criminais do Supremo Tribunal de Justiça, comunicado ao Procurador-Geral da República, estando os dados de telecomunicações e Internet obtidos - dados de base, de localização e de tráfego - sujeitos à fiscalização da Comissão de Fiscalização de Dados do SIRP e do Conselho de Fiscalização do SIRP, «ficando assim...» - nas palavras do proponente - «... acautelados os limites e os níveis cumulativos de fiscalização interna e externa do sistema, bem como as restrições constitucionais em matéria de privacidade e garantias fundamentais».

2 - Uma vez que o proponente Governo solicitou o agendamento da discussão na generalidade da iniciativa - que dera entrada na Mesa da Assembleia da República em 11 de maio de 2017 e fora admitida no subsequente dia 16 de maio - para a sessão Plenária de 17 de maio, por arrastamento com um conjunto de iniciativas sobre matéria idêntica (designadamente o Projeto de Lei n.º 480/XIII), a Proposta de Lei não baixou, na fase de generalidade, à comissão competente, pelo que a Comissão de Assuntos Constitucionais, Direitos, Liberdades e Garantias sobre ela não emitiu parecer, muito embora tenha subsequentemente sido objeto de nota técnica.

Não existe assim, para além deste documento técnico (com pertinência possível na parte relativa ao enquadramento legal internacional e ao tratamento da matéria no plano do Direito da União Europeia), nenhum outro elemento de apreciação - parecer ou ata de reunião em que tivesse sido discutido - suscetível de relevar para a análise do pedido.

3 - Objeto de parecer da Comissão de Assuntos Constitucionais, Direitos, Liberdades e Garantias, fora, na reunião de 10 de maio de 2017, o Projeto de Lei n.º 480/XIII, que visava alterar a Lei n.º 30/84, de 5 de setembro (Lei Quadro do Sistema de Informações da República Portuguesa) e a Lei n.º 62/2013, de 26 de agosto (Lei de Organização do Sistema Judiciário), estabelecendo a competência e o procedimento de acesso por parte dos funcionários e agentes dos serviços de informações da República Portuguesa, mediante autorização judicial prévia a cargo de uma secção especial para autorização de acesso a informação e a dados (de tráfego, de localização ou outros dados conexos das comunicações), que propunha criar no Supremo Tribunal de Justiça.

Na exposição de motivos, os proponentes consideravam «essencial dotar o país de todos os mecanismos ao seu alcance para» evitar o terrorismo, devendo ser trabalhada a sua «prevenção e repressão».

Propunha esta iniciativa a sujeição do acesso aos dados a autorização judicial «com audição prévia da Comissão Nacional de Proteção de Dados, no quadro das suas competências próprias» (cf. n.º 1 do artigo 5.º). Previa a mesma iniciativa a criação de uma «secção especial para autorização de acesso a informações e a dados», «constituída por três juízes da secção penal do Supremo Tribunal de Justiça, anual e sucessivamente designados, cabendo a um juiz as funções de relator e aos outros juízes as funções de adjuntos», tal como a atribuição ao Procurador-Geral da República da incumbência de designação anual de «um procurador-geral-adjunto junto da secção especial para autorização de acesso a informação e a dados».

O parecer (e a nota técnica que o acompanha) dão conta de que a iniciativa preconizava a adoção de «regras sobre a forma de transmissão dos dados, estabelecendo a transferência eletrónica encriptada ou codificada como regra, à semelhança do que sucede na Lei n.º 32/2008, de 17 de julho, para a transmissão de dados de tráfego e dados de localização, bem como os dados conexos necessários para identificar o assinante ou o utilizador». Recorde-se que a Lei n.º 32/2008 transpusera para a ordem jurídica interna a Diretiva n.º 2006/24/CE, do Parlamento Europeu e do Conselho, de 15 de março, relativa à conservação de dados gerados ou tratados no contexto da oferta de serviços de comunicações eletrónicas publicamente disponíveis ou de redes públicas de comunicações.

A justificação do impulso legislativo residia ainda, segundo o proponente, na Estratégia Nacional de Combate ao Terrorismo, aprovada pela Resolução do Conselho de Ministros n.º 7-A/2015, de 20 de fevereiro, bem como na «prevenção de ameaças à segurança nacional e europeia em matéria de terrorismo», necessidade sublinhada, segundo os autores da iniciativa, pelo Conselho de Fiscalização do Sistema de Informações da República Portuguesa, tanto no parecer relativo ao ano de 2015, como no respeitante ao primeiro semestre de 2016.

A nota técnica assinalava que com a Lei n.º 30/84, de 5 de setembro (Lei Quadro do Sistema de Informações da República Portuguesa), alterada pelas Leis n.º 4/95, de 21 de fevereiro, n.º 15/96, de 30 de abril, n.º 75-A/97, de 22 de julho, e pela Lei Orgânica n.º 4/2004, de 6 de novembro, que a republicou (incluindo a Declaração de Retificação n.º 44-A/20 14, de 10 de outubro), se haviam estabelecido as bases gerais das informações em Portugal e a definição das regras de funcionamento, direção e controlo dos respetivos órgãos, definindo-se estruturas de fiscalização. A Lei precisava também as missões, deveres e responsabilidades dos serviços e das entidades fiscalizadoras. O SIRP tinha como missão fundamental «a produção de informações necessárias à salvaguarda da independência nacional e à garantia da segurança interna» (artigo 2.º, n.º 2), para o que dispunha de três serviços de informações: o Serviço de Informações Estratégicas de Defesa (SIED), o Serviço de Informações Militares (SIM) e o Serviço de Informações e Segurança (SIS).

A Lei Orgânica n.º 4/2004, de 6 de novembro, introduziu relevantes alterações ao regime do Sistema de Informações, colocando os dois serviços de informações na dependência direta do Primeiro-Ministro e criando o cargo de Secretário-Geral do SIRP, que ficou incumbido de coordenar e conduzir superiormente a atividade dos serviços de informações. O SIEDM perdeu a componente militar e voltou a designar-se SIED (Serviço de Informações Estratégicas de Defesa).

Recorda o mesmo documento que a atividade do SIRP está "especificamente limitada por alguns princípios inscritos nos n.os 1 e 3 do artigo 3.º e n.º 1 do artigo 4.º da Lei Quadro do SIRP: (i) o princípio da constitucionalidade e da legalidade: a atividade dos serviços de informações está sujeita ao escrupuloso respeito pela Constituição e pela lei, designadamente em matéria de proteção dos direitos fundamentais das pessoas, especialmente frente à utilização de dados informatizados; (ii) o princípio da exclusividade: a atividade dos serviços está rigorosamente limitada às suas atribuições, não podendo desenvolver uma atividade de produção de informações em domínio que não lhe tenha sido concedido; (iii) o princípio da especialidade: a atividade dos serviços de informações reduz-se ao seu estrito âmbito, não podendo a sua atividade confundir-se com a atividade própria de outros organismos, como no domínio da atividade dos tribunais ou da atividade policial."

A nota técnica evocava também o que ficara consignado na nota da referida Proposta de Lei n.º 345/XII/4, no sentido de que "os dados (cujo acesso pelo SIRP se estabelece) podem, eventualmente, ser considerados 'dados pessoais' para os efeitos do disposto no artigo 35.º da CRP, artigo que estabelece, no n.º 4, uma proibição genérica do acesso a dados pessoais de terceiros, salvo casos excecionalmente previstos na lei. A estes casos excecionais deve ser aplicado o regime das restrições aos direitos, liberdades e garantias do art. 18.º da CRP, pelo que, de acordo com Gomes Canotilho e Vital Moreira, «só podem ter lugar quando exigidas pela necessidade de defesa de direitos ou bens constitucionalmente protegidos (defesa da existência do Estado, combate à criminalidade, proteção dos direitos fundamentais de outrem, etc.)» (in Constituição da República Portuguesa Anotada, Volume I 4.ª Edição revista, pág. 555)». A este propósito, poderá ainda referir-se o n.º 4 do artigo 34.º da CRP, que proíbe toda a «ingerência das autoridades públicas na correspondência, nas telecomunicações e nos demais meios de comunicação, salvo os casos previstos na lei em matéria de processo criminal».

A nota faz, por fim, apelo ao Acórdão do Tribunal Constitucional n.º 403/2015, de 27 de agosto, que "sublinha a necessidade de «caracterizar o tipo de dados em causa e saber se o acesso aos mesmos é merecedor de proteção constitucional». Recorda que o ordenamento jurídico providencia uma definição legal de «dados de tráfego» (designação utilizada no projeto de lei) - contida na alínea d) do n.º 1 do artigo 2.º da Lei n.º 41/2004, de 18 de agosto, sobre Segurança nas Telecomunicações -, que faz corresponder a «quaisquer dados tratados para efeitos do envio de uma comunicação através de uma rede de comunicações eletrónicas ou para efeitos da faturação da mesma». A este propósito, o acórdão em causa convoca a jurisprudência do mesmo Tribunal Constitucional, que acolheu uma classificação tripartida dos dados resultantes do serviço de telecomunicações: «(...) os dados relativos à conexão à rede, ditos dados de base; os dados funcionais necessários ao estabelecimento de uma ligação ou comunicação; e os dados gerados pela utilização da rede (por exemplo, localização do utilizador, localização do destinatário, duração da utilização, data e hora, frequência), dados de tráfego; dados relativos ao conteúdo da comunicação ou da mensagem, dados de conteúdo». Atenta esta distinção, o mesmo acórdão considera que os «dados de tráfego», «dados de localização» ou outros «dados conexos» das comunicações, necessários para identificar o assinante ou utilizador ou para encontrar e identificar a fonte, o destino, data, hora, duração e o tipo de comunicação, bem como para identificar o equipamento de telecomunicações ou a sua localização, devem ser considerados como dados de tráfego, «por respeitarem aos próprios elementos funcionais da comunicação, reportando-se à direção, destino, via e trajeto de uma determinada mensagem. São dados, pois, que identificam ou permitem identificar a comunicação e, uma vez conservados, possibilitam a identificação das comunicações entre emitente e destinatário, a data, o tempo e a frequência das ligações efetuadas Aludindo à regulamentação legal existente sobre acesso a dados relativos a comunicações, a mesma nota lembra que o tratamento de dados pessoais obedece às condições estabelecidas na Lei n.º 67/98, de 26 de outubro, que, transpondo para a ordem jurídica portuguesa a Diretiva n.º 95/46/CE, do Parlamento Europeu e do Conselho, de 24 de outubro de 1995, relativa à proteção das pessoas singulares no que diz respeito ao tratamento dos dados pessoais e à livre circulação desses dados, aprovou a Lei de Proteção de Dados Pessoais.

Do enquadramento da matéria no plano do Direito da União Europeia, destaca-se a menção, feita na referida nota, à Decisão-Quadro 2008/977/JAI do Conselho, de novembro de 2008, relativa à proteção dos dados pessoais tratados no âmbito da cooperação judicial e da justiça penal, que abrange apenas os dados policiais e judiciários trocados entre os Estados-Membros, as autoridades e os sistemas associados da União Europeia e não abrange os dados nacionais, e que será revogada (em maio de 2018) pela Diretiva (UE) 2016/680, de 27 de abril de 2016, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, e à livre circulação desses dados. A diretiva visa proteger os dados pessoais das pessoas singulares tratados pelas autoridades policiais e judiciárias, do mesmo passo que visa melhorar a cooperação no combate ao terrorismo e à criminalidade transfronteiras na UE permitindo às autoridades policiais e judiciárias dos países da UE trocarem informações necessárias para que as investigações sejam mais eficazes e mais eficientes.

O enquadramento internacional do tema apresenta elementos de análise relativos à Alemanha, Espanha, França e Reino Unido, dando nota da possibilidade e condições de interceção de comunicações por partes dos Serviços de Informações de alguns daqueles Estados - aludindo, na Alemanha, à Comissão G-l O, composta por quatro membros (não necessariamente membros do Bundestag), presidida por um juiz e que tem como missão "implementar medidas de fiscalização restritivas no campo da correspondência, mensagens e sigilo de telecomunicações (GG artigo 10), sendo responsável pela autorização de pedidos de interceção de comunicações. O seu poder de controlo também se estende a todo o processo de recolha, processamento e utilização de informações pessoais obtido a partir dessa ação"; em Espanha, "ao acesso a informação pelos serviços de informações (..) o artigo 15 da Ley 5/2014, de 4 de abril, de Seguridad Privada, que admite esta possibilidade, nomeadamente quanto àqueles serviços poderem solicitar às empresas privadas de segurança que lhes concedam acesso aos sistemas de vigilância eletrónica de sinais quando necessário. Tal deve ser feito para evitar um perigo real para a segurança pública ou para efeitos de investigação criminal, devendo sempre respeitar as disposições da lei relativa à proteção de dados"; referindo-se, relativamente a França, "às técnicas de interceção de informação em matéria de segurança", relativamente a cuja regulamentação elenca "a Loi récente n.º 2015-912 du 24 juillet 2015 (..) aprovada com o propósito de aumentar as taxas de detenção no âmbito da ameaça terrorista, pretendeu atualizar o regime do segredo da correspondência transmitida por via das telecomunicações, regulada pela Loi n.º 91-646 du 10 juillet 1991 relative au secret des correspondances émises par la voie des télécommunications. Aquela lei repesca as disposições existentes sobre interceções de segurança e acesso aos dados de conexão, e transpõe para o campo da prevenção técnicas de recolha de informação já permitidas num contexto judicial (como a captação de imagens em locais privados e a recolha de dados informáticos).

De acordo com a Lei n.º 91-646, são autorizadas as interceções de comunicações emitidas por via eletrónica (v.g. escutas telefónicas) que tenham por fim procurar informações relacionadas com a segurança nacional, a salvaguarda dos elementos essenciais do potencial científico e económico da França, ou a prevenção do terrorismo, criminalidade e delinquência organizada.

Em termos de procedimento, cabe ao primeiro-ministro, com base num pedido escrito e fundamentado de um dos ministérios responsáveis pelos seis serviços de informações, conceder a autorização para executar, por exemplo, uma escuta telefónica, depois de consultada a Commission nationale de contrôle des interceptions de sécurité (CNCIS).

A Lei n.º 2015-912 de 24 de julho de 2015 altera este regime, prevendo que a autorização seja estendida às pessoas da entourage da pessoa visada (artigo 852-1 código de segurança interna), substituindo-se o CNCIS pela Commission nationale de contrôle des techniques de renseignement (CNCTR).

Importa referir também a Loi n.º 2006-64 du 23 janvier 2006 relative à la lutte contre le terrorisme et portant dispositions diverses relatives à la sécurité et aux contrâles frontaliers, que instituiu um regime de requisição administrativa dos dados de conexão. Este diploma foi reformulado pela lei de programação militar de 2013. Contudo, a vigência de várias das suas disposições foi sendo sucessivamente prolongada no âmbito da política de luta contra o terrorismo, estando ainda em vigor em finais de 2015. As disposições em causa dizem respeito ao controlo de identidade a bordo de comboios transfronteiriços, dispositivo de requisição administrativa de dados relativos às comunicações eletrónicas e acesso dos serviços luta contra o terrorismo a certos arquivos administrativos. A já mencionada lei de programação militar de 2013 estendeu ainda a capacidade de acesso aos dados de conexão ao conjunto dos serviços de informação - e não apenas serviços relevantes do Ministério do Interior - por qualquer motivo ligado à defesa dos interesses fundamentais da nação. Na realidade, mais do que uma inovação, tratou-se de uma simplificação legal, atendendo a que isto já era possível, No Código de segurança interior precisam-se as técnicas especiais de recolha de informações sujeitas a uma autorização, abrangendo as seguintes matérias: Acesso administrativo aos dados de conexão (artigos L851-1 à L851-7); Interceções de segurança {artigo L852-1); Sonorização de certas instalações e veículos e captação de imagens e dados informáticos (articles L853-1 à L853-3); Medidas de vigilância das comunicações eletrónicas internacionais (articles L854-1 à L854-9). "E, quanto ao Reino Unido, apontando para que a Regulation of Investigatory Powers 2000 (RIPA) é a lei que regula os poderes de entidades públicas no âmbito da vigilância e investigação, assim como da interceção de comunicações. Foi introduzida com o propósito de acomodar mudanças tecnológicas no domínio da comunicação, como a Internet e a encriptação. Mais recentemente, a UK Investigatory Powers Act 2016 veio introduzir alterações no âmbito da interceção de comunicações, interferência de equipamentos (hacking para obter informações) e aquisição de dados de comunicação em massa. Esta lei entrou em vigor no final de 2016.

O sistema de informações do Reino Unido é composto, ao nível de direção estratégica, pela Joint Intelligence Committee (JIC) (Lordes e Comuns), instituída pelo Intelligence Services Act 1994.

O Reino Unido possui ainda a Intelligence and Security Committee, criada por iniciativa governamental, através do qual os membros são nomeados pelo Primeiro-ministro, sob nomeação do Parlamento e consulta do líder da oposição, respondendo a Comissão diretamente ao Primeiro-ministro. A UK Investigatory Powers Act 2016 criou também a Investigatory Powers Commission (IPC), com o fim de supervisionar, conjuntamente com a Intelligence and Security Committee, o uso de todos os poderes investigatórios.

Outra das medidas constantes da nova lei de 2016 prende-se com a exigência de confirmação por um juiz (ao serviço da IPC) da autorização para aceder ao conteúdo de comunicações (ou interferência de equipamento) autorizadas por um secretary of state (equivalente a ministro no sistema português).

Uma descrição detalhada da nova regulamentação da UK Investigatory Powers Act 2016 pode ser consultada nos vários documentos informativos da proposta que lhe deu origem, destacando-se o referente Information Data, Interferência de Equipamento e Interceção de comunicações - e fazendo apelo aos instrumentos de direito internacional e jurisprudência supranacional aplicáveis - o artigo 12.º da Declaração Universal dos Direitos Humanos, em redação retomada pelo artigo 17.º do Pacto Internacional relativo aos Direitos Civis e Políticos; o artigo 8.º da Convenção Europeia dos Direitos Humanos (CEDH), de acordo com cujo n.º 2, «não pode haver ingerência da autoridade pública no exercício deste direito senão quando esta ingerência estiver prevista na lei e constituir uma providência que, numa sociedade democrática, seja necessária para a segurança nacional, para a segurança pública, para o bem-estar económico do país, a defesa da ordem e a prevenção das infrações penais, a proteção da saúde ou da moral, ou a proteção dos direitos e das liberdades de terceiros» e a jurisprudência do Tribunal Europeu dos Direitos do Humanos (TEDH) sobre a proteção do acesso a dados de comunicações, que afirma expressamente que os mesmos se encontram abrangidos pela proteção de «vida privada e familiar» ínsita no n.º 1 do artigo 8.º da CEDH».

O Presidente da Assembleia da República chama ainda a atenção para as pronúncias escritas sobre as iniciativas legislativas da Comissão Nacional de Proteção de Dados, da Comissão de Fiscalização de Dados dos Serviços de Informações da República Portuguesa, do Secretário-Geral do Sistema de Informações da República Portuguesa, do Conselho de Fiscalização do Sistema de Informações da República Portuguesa e da Procuradoria-Geral da República.

Por último, transcreve-se na resposta do órgão autor da norma uma parte do debate parlamentar que precedeu a aprovação da Lei Orgânica n.º 4/2017.

5 - Discutido em Plenário o memorando elaborado pelo Presidente do Tribunal Constitucional, nos termos do artigo 63.º, n.º 1, da LTC, foi fixada a orientação do Tribunal; distribuído o processo à relatora designada por sorteio, foi apresentado e discutido o projeto de acórdão; perante a posição da Relatora, o Presidente do Tribunal, ouvido o mesmo, designou novo relator para elaborar o acórdão em conformidade com o projeto discutido.

Cumpre agora decidir em harmonia com o que então se estabeleceu.

II - Fundamentos

6 - Enquadramento

As normas questionadas constam, como já se afirmou, da Lei Orgânica n.º 4/2017, que veio instituir um procedimento especial de acesso a dados de telecomunicações e Internet, previamente armazenados pelos prestadores de serviços de comunicações eletrónicas, por parte dos oficiais de informações do SIS e do SIED. O diploma foi regulamentado pela Portaria n.º 237-A/2018, de 28 de agosto, que define as condições técnicas e de segurança da comunicação eletrónica, para efeito de transmissão diferida dos dados de telecomunicações e Internet obtidos de acordo com o regime consagrado na dita Lei Orgânica.

Na exposição de motivos da Proposta de Lei n.º 79/XIII, uma das iniciativas legislativas que conduziram à aprovação da Lei Orgânica ora em questão, o Governo explica o seguinte:

"O Sistema de Informações da República Portuguesa (SIRP), através do Serviço de Informações Estratégicas de Defesa (SIED) e do Serviço de Informações de Segurança (SIS), no estrito cumprimento da Constituição e da Lei e em regime de exclusividade, assegura a produção de informações necessárias à salvaguarda dos interesses nacionais, da independência nacional e da segurança interna.

Os Serviços de Informações, SIED e SIS, no exercício das suas missões e competências, prosseguem as atividades de produção de informações atinentes à manutenção das condições de segurança dos cidadãos, bem como ao pleno funcionamento das instituições democráticas, no respeito pela legalidade e pelos princípios do Estado de direito democrático.

Nesse âmbito, os resultados da atividade dos Serviços de Informações, SIS e SIED, consubstanciam uma exclusiva e permanente avaliação das principais ameaças ao Estado de direito democrático, algumas especialmente corrosivas dos pilares do Estado de direito democrático tais como o fenómeno terrorista, pela sua abrangência e impacto.

Procurando corresponder os procedimentos e metodologias da atividade dos Serviços de Informações da República Portuguesa aos desafios colocados à segurança nacional e internacional do Estado, considerando os procedimentos e metodologias previstas em regimes jurídicos aplicáveis a serviços congéneres, particularmente no espaço europeu, espaço esse onde naturalmente estes serviços se inscrevem e, atendendo, ainda, ao regime estabelecido na Estratégia Nacional de Combate ao Terrorismo, aprovado pela Resolução do Conselho de Ministros n.º 7-A/2015, de 20 de fevereiro, configura-se adequado e proporcional a consagração de um regime especial de acesso a dados de base e a dados de tráfego de comunicações eletrónicas ao abrigo da Constituição e da lei por parte do SIRP".

A intenção do legislador foi, assim, a de consagrar na legislação ordinária a possibilidade de acesso a um amplo conjunto de dados sobre dados, ou metadados, relativos a comunicações, por parte dos oficiais de informação do SIRP, expurgando o regime jurídico das inconstitucionalidades apontadas pelo Tribunal Constitucional, no seu Acórdão n.º 403/2015, relativo à apreciação preventiva da constitucionalidade do artigo 78.º do Decreto n.º 426/XII da Assembleia da República.

Para bem se compreender o sentido e alcance das normas em análise e poder levar a cabo a ponderação que deverá presidir ao juízo sobre a sua validade constitucional, há que ter presente o sentido prescritivo dos preceitos normativos que lhe são acessórios, quer os consagrados na própria Lei Orgânica n.º 4/2017, quer os que constam da Portaria n.º 237-A/2018.

Deste modo, e salientando apenas as mais relevantes, há que destacar as normas da Lei Orgânica n.º 4/2017, que estatuem o seguinte:

Artigo 5.º — Comunicação ao Ministério Público e autorização judicial

1 - O acesso dos oficiais de informações do SIS e do SIED a dados de telecomunicações e Internet no âmbito da atividade de pesquisa depende de autorização judicial prévia e obrigatória, por uma formação das secções criminais do Supremo Tribunal de Justiça, constituída nos termos do artigo 8.º, que garanta a ponderação da relevância dos fundamentos do pedido e a salvaguarda dos direitos, liberdades e garantias constitucionalmente previstos.

2 - O processo de autorização de acesso aos dados é sempre comunicado ao Procurador-Geral da República.

Artigo 6.º — Admissibilidade do pedido

1 - O pedido só pode ser autorizado quando houver razões para crer que a diligência é necessária, adequada e proporcional, nos termos seguintes:

2 - É proibida a interconexão em tempo real com as bases de dados dos operadores de telecomunicações e Internet para o acesso direto em linha aos dados requeridos.

Artigo 8.º — Controlo judicial e autorização prévia

O controlo judicial e a autorização prévia do acesso dos oficiais de informações do SIS e do SIED a dados de telecomunicações e Internet são efetuados por uma formação das secções criminais do Supremo Tribunal de Justiça, constituída pelos presidentes das secções e por um juiz designado pelo Conselho Superior da Magistratura, de entre os mais antigos destas secções.

Quanto à Portaria n.º 237-A/2018, da sua leitura resulta uma perceção mais clara da efetiva forma de funcionamento do sistema de acesso às informações por parte dos oficiais do SIS e do SIED, sendo de destacar as normas que seguidamente se transcrevem, porque permitem compreender o conjunto de trâmites processuais a realizar:

Artigo 1.º

1 - Os trâmites processuais relacionados com a comunicação eletrónica de dados de telecomunicações e Internet aos serviços de informações pelos prestadores de serviços de comunicações eletrónicas, nos termos previstos na Lei Orgânica n.º 4/2017, de 25 de agosto, são praticados por via de um serviço informático, baseado na Internet, especificamente disponibilizado para o efeito no denominado «Sistema de Acesso ou Pedido de Dados aos Prestadores de Serviços de Comunicações Eletrónicas», abreviadamente designado por SAPDOC.

2 - O SAPDOC é desenvolvido e gerido pelo Instituto de Gestão Financeira e Equipamentos da Justiça, I. P. (IGFEJ, I. P.), a quem caberá também a função de gestão do sistema e da respetiva credenciação de acesso.

3 - O SAPDOC é dotado de funcionalidades técnicas que permitam praticar, pelo menos, os seguintes atos procedimentais, em execução dos procedimentos previstos na Lei Orgânica n.º 4/2017, de 25 de agosto:

Decorre dos preceitos acima transcritos que o acesso do SIS e do SIED aos dados previamente armazenados pelos prestadores de serviços de comunicações eletrónicas implica que estes últimos procedam ao registo e à organização de dados pessoais para efeitos de armazenamento e à sua transmissão não autorizada a terceiros. Trata-se, pois, de tratamento de dados de comunicações sem o prévio consentimento dos seus titulares que interfere naturalmente com a proteção da privacidade no setor das comunicações eletrónicas.

Tal matéria é objeto da disciplina constante da Lei n.º 41/2004, de 18 de agosto ("Lei da Privacidade nas Comunicações Eletrónicas"), que transpôs para a ordem jurídica nacional a Diretiva n.º 2002/58/CE, do Parlamento Europeu e do Conselho, de 12 de julho, relativa ao tratamento de dados pessoais e à proteção da privacidade no setor das comunicações eletrónicas (na versão decorrente da Diretiva 2009/136/CE do Parlamento Europeu e do Conselho, de 25 de novembro de 2009) - adiante referida apenas como "Diretiva n.º 2002/58".

As disposições da Diretiva n.º 2002/58 visavam especificar e complementar a Diretiva n.º 95/46/CE do Parlamento Europeu e do Conselho, de 24 de outubro de 1995 - transposta para a ordem jurídica portuguesa pela "Lei de Proteção de Dados Pessoais" (Lei n.º 67/98, de 26 de outubro) - a qual foi revogada pelo Regulamento Geral de Proteção de Dados (Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, cuja execução foi assegurada, na ordem jurídica interna, pela Lei n.º 58/2019, de 8 de agosto, que revogou a referida Lei n.º 67/98, de 26 de outubro. No seu artigo 1.º, n.º 1, estabelece-se que o objetivo da Diretiva é prever «a harmonização das disposições dos Estados-Membros necessárias para garantir um nível equivalente de proteção dos direitos e liberdades fundamentais, nomeadamente o direito à privacidade e à confidencialidade, no que respeita ao tratamento de dados pessoais no setor das comunicações eletrónicas e para garantir a livre circulação desses dados e de equipamentos e serviços de comunicações eletrónicas na Comunidade».

A Lei n.º 41/2004, no n.º 4 do artigo 1.º, remete para legislação especial a definição das exceções e do respetivo regime jurídico que se mostrem estritamente necessárias para a proteção de atividades relacionadas com a segurança pública, a defesa, a segurança do Estado e a prevenção, investigação e repressão de infrações penais. Tal disposição justifica-se e compreende-se à luz do previsto nos artigos 1.º, n.º 3, e 15.º, n.º 1, da referida Diretiva n.º 2002/58, que preveem o seguinte:

Artigo 1.º

3 - A presente diretiva não é aplicável a atividades fora do âmbito do Tratado que institui a Comunidade Europeia, tais como as abrangidas pelos títulos V e VI do Tratado da União Europeia, e em caso algum é aplicável às atividades relacionadas com a segurança pública, a defesa, a segurança do Estado (incluindo o bem-estar económico do Estado quando as atividades se relacionem com matérias de segurança do Estado) e as atividades do Estado em matéria de direito penal.

Artigo 15.º

1 - Os Estados-Membros podem adotar medidas legislativas para restringir o âmbito dos direitos e obrigações previstos nos artigos 5.º e 6.º, nos n.os 1 a 4 do artigo 8.º e no artigo 9.º da presente diretivas sempre que essas restrições constituam uma medida necessária, adequada e proporcionada numa sociedade democrática para salvaguardar a segurança nacional (ou seja, a segurança do Estado), a defesa, a segurança pública e a prevenção, a investigação, a deteção e a repressão de infrações penais ou a utilização não autorizada do sistema de comunicações eletrónicas, tal como referido no n.º 1 do artigo 13.º da Diretiva 95/46/CE. Para o efeito, os Estados-Membros podem designadamente adotar medidas legislativas prevendo que os dados sejam conservados durante um período limitado, pelas razões enunciadas no presente número. Todas as medidas referidas no presente número deverão ser conformes com os princípios gerais do direito comunitário, incluindo os mencionados nos n.os 1 e 2 do artigo 6.º do Tratado da União Europeia.

Através de tais disposições, a Diretiva 2002/58 pretende realizar um esforço de compatibilização entre as exigências comunitárias da prevenção da criminalidade grave e os princípios da confidencialidade, do anonimato e da não conservação de dados. Para concretização desse objetivo, a Diretiva prevê a possibilidade de os Estados-Membros adotarem medidas legislativas restritivas do âmbito dos direitos e obrigações previstos nos seguintes preceitos: (i): no artigo 5.º, que estabelece o princípio da confidencialidade das comunicações e respetivos dados de tráfego, incluindo a proibição de armazenamento de dados de tráfego sem o consentimento dos utilizadores, sem prejuízo das exceções legalmente previstas nos termos do artigo 15.º, n.º 1; (ii) no artigo 6.º, que estatui a obrigação de os dados de tráfego relativos a assinantes e utilizadores tratados e armazenados pelo fornecedor de uma rede pública de comunicações ou de um serviço de comunicações eletrónicas publicamente disponíveis serem eliminados ou tornados anónimos «quando deixem de ser necessários para efeitos da transmissão da comunicação», mas sem prejuízo do disposto no citado artigo 15.º, n.º 1; (iii) nos n.os 1 a 4 do artigo 8.º, que respeitam à apresentação e restrição da identificação da linha chamadora e da linha conectada; (iv) e, finalmente, no artigo 9.º, que tem por objeto o tratamento dos dados de localização para além dos dados de tráfego, nomeadamente nos casos da prestação de um serviço de valor acrescentado.

Ora, a Lei Orgânica n.º 4/2017, ao regular o procedimento especial de acesso a dados previamente armazenados pelos prestadores de serviços de comunicações eletrónicas necessários para a prossecução da atividade de produção de informações pelo SIRP relacionadas com a segurança nacional, a defesa, a segurança do Estado e a prevenção de espionagem e do terrorismo, traduz justamente uma concretização da exceção facultativa ao regime-regra da privacidade em matéria de comunicações eletrónicas admitida no artigo 15.º, n.º 1, da Diretiva n.º 2002/58, com referência a atividades dos Estados-Membros, em princípio excluídas do âmbito de aplicação da mesma Diretiva, segundo o respetivo artigo 1.º, n.º 3. Ou seja, uma medida legislativa adotada por um Estado-Membro para restringir o âmbito dos direitos e obrigações previstos em certas disposições daquela Diretiva destinada a salvaguardar a segurança nacional (ou seja, a segurança do Estado), a defesa, a segurança pública e a prevenção de infrações penais.

Tal medida, enquanto resultado do exercício do poder legislativo de um Estado-Membro, está naturalmente sujeita à respetiva Constituição e, devido à matéria em causa, tem de respeitar igualmente os limites estatuídos no artigo 15.º, n.º 1, da Diretiva n.º 2002/58. O direito da União Europeia não impõe, antes permite a adoção daquele tipo de medidas derrogatórias, em circunstâncias bem identificadas e definidas em leis claras e precisas, em ordem a proteger os direitos fundamentais dos cidadãos afetados.

Nestes exatos termos, e apesar de se tratar de uma iniciativa exclusiva do Estado-Membro - que pode decidir, ou não, fazer uso da faculdade de derrogar certos direitos e obrigações consagrados na Diretiva n.º 2002/58 -, a aprovação de medidas derrogatórias ao abrigo do citado artigo 15.º, n.º 1, também representa uma aplicação de «direito da União» para efeitos do disposto no artigo 51.º, n.º 1, da Carta dos Direitos Fundamentais da União Europeia ("CDFUE"), com a consequência de vincular imediatamente a República Portuguesa, de acordo com as respetivas competências, ao respeito dos direitos e à observância dos princípios nela previstos.

A tal propósito, pode ler-se no Acórdão de 21 de dezembro de 2016, Tele2 Sverige e Watson, C-203/15 e C-698/15, EU:C:2016:970 (a seguir "Acórdão Tele2"), n.os 73 e 74:

«73. [O artigo 15.º, n.º 1, da Diretiva 2002/58] pressupõe necessariamente que as medidas nacionais aí mencionadas, como as relativas à conservação de dados para efeitos de luta contra criminalidade, se enquadram no âmbito de aplicação desta mesma diretiva, uma vez que esta última só autoriza expressamente que os Estados-Membros as adotem desde que respeitadas as condições que prevê.

74 - Além disso, as medidas legislativas referidas no artigo 15.º, n.º 1, da Diretiva 2002/58 regulam, para os efeitos mencionados nesta disposição, a atividade dos prestadores de serviços de comunicações eletrónicas. Por conseguinte, este artigo 15.º, n.º 1, lido em conjugação com o artigo 3.º da referida diretiva, deve ser interpretado no sentido de que tais medidas legislativas estão abrangidas pelo âmbito de aplicação desta mesma diretiva.»

Por outro lado, apesar de o artigo 15.º, n.º 1, da Diretiva n.º 52/2008 se referir apenas - mas a título meramente exemplificativo - a medidas legislativas que imponham a conservação dos dados durante um período limitado, nenhuma dúvida existe de que também as medidas nacionais que concedam o acesso aos dados previamente conservados se enquadram no âmbito de aplicação daquele preceito, conforme foi entendido pelo Tribunal de Justiça no já citado Acórdão Tele2:

«76 - Também se enquadra no referido âmbito de aplicação uma medida legislativa que tem por objeto [...] o acesso das autoridades nacionais aos dados conservados pelos prestadores de serviços de comunicações eletrónicas.

77 - Com efeito, a proteção da confidencialidade das comunicações eletrónicas e dos dados de tráfego com elas relacionados, garantida no artigo 5.º, n.º 1, da Diretiva 2002/58, aplica-se às medidas tomadas por todas as pessoas que não sejam os utilizadores, independentemente de se tratar de pessoas singulares ou de entidades privadas ou públicas. Como confirma o considerando 21 desta diretiva, esta tem como objetivo impedir «o acesso» não autorizado às comunicações, incluindo a «quaisquer dados com elas relacionados», para proteger a confidencialidade das comunicações eletrónicas.

78 - Nestas condições, uma medida legislativa através da qual um Estado-Membro impõe, com fundamento no artigo 15.º, n.º 1, da Diretiva 2002/58, aos prestadores de serviços de comunicações eletrónicas, para os efeitos mencionados nesta disposição, a obrigação de conceder às autoridades nacionais, nas condições previstas nessa medida, o acesso aos dados conservados pelos referidos prestadores tem por objeto o tratamento de dados pessoais por parte destes últimos, tratamento que se enquadra no âmbito de aplicação desta diretiva.»

Ainda a este respeito, importa indicar o pronunciamento decisório formulado pelo TJUE nessa ocasião em resposta às questões concretas objeto do reenvio em que aquele Acórdão foi proferido:

«1) O artigo 15.º, n.º 1, da Diretiva 2002/58/CE do Parlamento Europeu e do Conselho, de 12 de julho de 2002, relativa ao tratamento de dados pessoais e à proteção da privacidade no setor das comunicações eletrónicas (Diretiva relativa à privacidade e às comunicações eletrónicas), conforme alterada pela Diretiva 2009/136/CE do Parlamento Europeu e do Conselho, de 25 de novembro de 2009, lido à luz dos artigos 7.º, 8.º e 11.º, bem como do artigo 52.º, n.º 1, da Carta dos Direitos Fundamentais da União Europeia, deve ser interpretado no sentido de que se opõe a uma regulamentação nacional que prevê, para efeitos de luta contra a criminalidade, uma conservação generalizada e indiferenciada de todos os dados de tráfego e dados de localização de todos os assinantes e utilizadores registados em relação a todos os meios de comunicação eletrónica.

2) O artigo 15.º, n.º 1, da Diretiva 2002/58, conforme alterada pela Diretiva 2009/136, lido à luz dos artigos 7.º, 8.º e 11.º bem como do artigo 52.º, n.º 1, da Carta dos Direitos Fundamentais, deve ser interpretado no sentido de que se opõe a uma regulamentação nacional que regula a proteção e a segurança dos dados de tráfego e dos dados de localização, em especial, o acesso das autoridades nacionais competentes aos dados conservados, sem limitar, no âmbito da luta contra a criminalidade, esse acesso apenas para efeitos de luta contra a criminalidade grave, sem submeter o referido acesso a um controlo prévio por parte de um órgão jurisdicional ou de uma autoridade administrativa independente, e sem exigir que os dados em causa sejam conservados em território da União.»

Este enquadramento à luz do direito da União Europeia é relevante direta e indiretamente: por um lado, determina, por força do princípio do primado daquele ordenamento (relativamente às matérias que relevam das atribuições e competências da União Europeia) e, bem assim, do estatuído no artigo 8.º, n.º 4, da Constituição, que as medidas legislativas nacionais adotadas com base na faculdade consagrada no artigo 15.º, n.º 1, da Diretiva 2002/58 respeitem tal disposição, assim como as demais regras e princípios do direito da União, incluindo os direitos e princípios consagrados na Carta (cf. o respetivo artigo 51.º, n.º 1); por outro, justifica a interpretação e aplicação de tais medidas em conformidade com o mesmo direito.

Sem prejuízo da competência do legislador nacional para adotar as medidas de acesso previstas na Lei Orgânica n.º 4/2017 se fundar no artigo 15.º, n.º 1, da Diretiva 2002/58, reitere-se que se trata de uma faculdade concedida e não de uma obrigação imposta pelo direito da União Europeia. Por outras palavras, os Estados-membros são autorizados, dentro de certos limites, a atuar neste domínio, segundo as formas e com as restrições que as suas ordens jurídicas determinam. Ora, encontrando-se os atos dos poderes públicos na ordem jurídica interna subordinados ao princípio da constitucionalidade (artigo 3.º, n.º 3, da Constituição), coloca-se a questão de saber se a legislação nacional respeita a Constituição. Na exata medida em que tal não seja o caso, compete ao Tribunal Constitucional eliminar as correspondentes normas da ordem jurídica interna, através de declaração de inconstitucionalidade com força obrigatória geral (artigo 282.º, n.º 1, da Constituição). Essa a questão que consubstancia o objeto do presente processo.

Daqui não se segue, todavia, que o Direito da União Europeia, assim como a Convenção Europeia dos Direitos Humanos (para o qual, de resto, o artigo 15.º, n.º 1, da Diretiva n.º 2002/58 também remete - cf. a referência ao n.º 2 do artigo 6.º do Tratado da União Europeia constante da última frase de tal preceito), devam aqui ser objeto de desconsideração, na apreciação da constitucionalidade dos artigos 3.º e 4.º da Lei Orgânica n.º 4/2017. Com efeito, por força das normas do artigo 8.º da Constituição que estabelecem a relevância do Direito Internacional e do Direito da União na ordem jurídica interna e, também, da cláusula aberta no domínio dos direitos fundamentais consagrada no artigo 16.º da Constituição, este Tribunal não pode deixar de considerar os direitos fundamentais consagrados na CDFUE e na referida Convenção, devendo igualmente ter em conta, numa perspetiva de diálogo interjurisdicional, a interpretação que dos mesmos tem vindo a ser feita pelas instâncias competentes para a sua aplicação, nomeadamente o Tribunal de Justiça da União Europeia ("TJUE") e o Tribunal Europeu dos Direitos Humanos ("TEDH").

Como referido, a problemática do tratamento de dados relativos às comunicações é matéria objeto de regulação por parte do direito da União Europeia e da CEDH, pelo que se justifica tomar em consideração a proteção que o direito à privacidade e à tutela dos dados pessoais tem conhecido na jurisprudência do TJUE e na jurisprudência do TEDH.

i. A Carta dos Direitos Fundamentais da UE

Respeitando as tradições constitucionais dos Estados membros da UE, a CDFUE reafirma no seu preâmbulo «os direitos que decorrem, nomeadamente, das tradições constitucionais e das obrigações internacionais comuns aos Estados-Membros, do Tratado da União Europeia e dos Tratados comunitários, da Convenção europeia para a proteção dos direitos humanos e das liberdades fundamentais, das Cartas Sociais aprovadas pela Comunidade e pelo Conselho da Europa, bem como da jurisprudência do Tribunal de Justiça das Comunidades Europeias e do Tribunal Europeu dos Direitos Humanos».

Neste documento proclamatório de direitos fundamentais, de caráter vinculativo para os Estados Membros (artigo 6.º, n.º 1, do TUE), destacam-se duas normas de fundamental relevância nesta matéria, a saber, as normas constantes dos artigos 7.º e 8.º

A norma do artigo 7.º consagra o direito ao respeito pela vida privada e familiar, pelo domicílio e pelas comunicações, sendo a norma tributária de todo o percurso de densificação destes direitos percorrido no plano europeu até à sua aprovação. Aliás, nos termos do n.º 3 do artigo 52.º, este direito tem um sentido e um âmbito iguais aos do artigo correspondente da CEDH. Por conseguinte, as restrições suscetíveis de lhe serem legitimamente impostas são idênticas às toleradas no quadro do artigo 8.º da Convenção.

Por seu turno, a norma do artigo 8.º consagra o direito à proteção dos dados de caráter pessoal, ao acesso a esses dados e ao seu tratamento leal e com um fundamento legítimo. O conceito de dados, com interesse no presente processo, inclui "qualquer informação relativa a uma pessoa singular identificada ou identificável, considerando-se identificável todo aquele que possa ser identificado, direta ou indiretamente, nomeadamente por referência a um número de identificação ou a um ou mais elementos específicos da sua identidade física, fisiológica, psíquica, económica, cultural ou social" (cf. Catarina Sarmento e Castro, "Comentário ao art. 8.º", in Carta dos Direitos Fundamentais da União Europeia Comentada, Alessandra Silveira e Mariana Canotilho (ed.), Almedina, Coimbra, 2013; v. também a noção legal de "dados pessoais" do artigo 4.º, 1), do Regulamento Geral sobre a Proteção de Dados, relevante nos termos do corpo do artigo 2.º da Diretiva n.º 2002/58). Quanto à densificação do conceito de tratamento de dados, que também se reveste de relevância para a presente análise, "os dados pessoais são objeto de proteção quando sujeitos a qualquer operação ou conjunto de operações (ou seja, a um «tratamento»), efetuadas com ou sem meios automatizados. São exemplos destes tratamentos de dados pessoais, a recolha de dados, o seu registo, organização, conservação, adaptação ou alteração, recuperação, consulta, utilização, comunicação por transmissão, difusão ou qualquer outra forma de colocação à disposição, com comparação ou interconexão, bem como o bloqueio, apagamento ou destruição de dados)" (cf. igualmente a definição legal de "tratamento" prevista no artigo 4.º, 2), do citado Regulamento).

O Tribunal de Justiça tem densificado o significado das normas constantes dos artigos 7.º e 8.º da CDFUE em linha com a jurisprudência do TEDH, sustentando que "no que respeita ao nível de proteção das liberdades e direitos fundamentais garantido dentro da União, uma regulamentação dessa proteção que implique uma ingerência nos direitos fundamentais garantidos pelos artigos 7.º e 8.º da Carta deve, segundo a jurisprudência constante do Tribunal de Justiça, estabelecer regras claras e precisas que regulem o âmbito e a aplicação de uma medida e imponham exigências mínimas, de modo a que as pessoas cujos dados pessoais estejam em causa disponham de garantias suficientes que permitam proteger eficazmente os seus dados contra os riscos de abuso e contra qualquer acesso e qualquer utilização ilícita desses dados" (Acórdão de 6 de outubro de 2015, Schrems, C-362/14, EU:C:2015:650, n.º 91).

Como referido, a Diretiva n.º 2002/58/CE, relativa à privacidade e às comunicações eletrónicas, segundo o seu artigo 1.º, n.º 1, visa harmonizar as disposições dos Estados-Membros necessárias para garantir um nível equivalente de proteção dos direitos e liberdades fundamentais, nomeadamente o direito à privacidade, no que respeita ao tratamento de dados pessoais no sector das comunicações eletrónicas. Nesta Diretiva visa realizar-se um esforço de compatibilização entre as exigências comunitárias da prevenção da criminalidade grave e os princípios da confidencialidade, do anonimato e da não conservação de dados (cf. artigos 1.º, 5.º, 6.º, n.º 1, 8.º e 9.º).

A Diretiva admitiu a possibilidade de derrogação daqueles princípios, em circunstâncias bem identificadas e definidas em leis claras e precisas. O seu artigo 15.º, n.º 1, perspetiva a abordagem do Direito da União a esta problemática como um conflito entre o interesse público na investigação e prevenção da criminalidade grave e os direitos fundamentais dos cidadãos à liberdade e à privacidade, remetendo a regulação do conflito, através de medidas restritivas, para a margem de determinação dos Estados-membros, mas sem baixar o patamar de proteção dos direitos tal como garantidos na jurisprudência do TJUE e do TEDH.

No considerando n.º 11 da referida Diretiva, afirmou-se, também, que «Assim sendo, a presente diretiva não afeta a capacidade de os Estados-Membros intercetarem legalmente comunicações eletrónicas ou tomarem outras medidas, se necessário, para quaisquer desses objetivos e em conformidade com a Convenção Europeia para a Proteção dos Direitos Humanos e das Liberdades Fundamentais, segundo a interpretação da mesma na jurisprudência do Tribunal Europeu dos Direitos do Homem. Essas medidas devem ser adequadas, rigorosamente proporcionais ao objetivo a alcançar e necessárias numa sociedade democrática e devem estar sujeitas, além disso, a salvaguardas adequadas, em conformidade com a Convenção Europeia para a Proteção dos Direitos Humanos e das Liberdades Fundamentais».

O TJUE, na sua jurisprudência sobre a matéria do acesso a dados pessoais, decidiu no Acórdão Tele2, entre outras questões, que o artigo 15.º, n.º 1, da Diretiva 2002/58, lido à luz dos artigos 7.º, 8.º e 11.º, bem como do artigo 52.º, n.º 1, da CDFUE, deve ser interpretado no sentido de que uma regulamentação nacional que incida sobre o acesso das autoridades nacionais competentes aos dados conservados, deve obedecer aos seguintes requisitos: 1) o acesso, pelas autoridades nacionais competentes, a dados pessoais deve estar limitado aos casos de criminalidade grave; 2) o referido acesso deve estar submetido a um controlo prévio por parte de um órgão jurisdicional ou de uma autoridade administrativa independente; 3) os dados em causa devem ser conservados em território da União.

O TJUE, nesta decisão Tele2, apesar de no seu dispositivo referir apenas os três citados requisitos, na fundamentação, exige ainda que os cidadãos sejam informados, a posteriori, desse acesso, e tenham ao seu dispor meios de reação ou remédios que lhes permitam controlar e impugnar o acesso aos seus dados, quando ilícito (n.º 121).

Por último, uma palavra para a Diretiva n.º 2006/24/CE do Parlamento Europeu e do Conselho, relativa à conservação de dados gerados ou tratados no contexto da oferta de serviços de comunicações eletrónicas publicamente disponíveis ou de redes públicas de comunicações com vista a garantir a disponibilidade desses dados para efeitos de investigação, deteção e de repressão de crimes graves, assim subtraindo tais dados ao âmbito de aplicação do artigo 15.º da Diretiva n.º 2002/58. Tal Diretiva foi declarada inválida, pelo TJUE, no Acórdão de 8 de abril de 2014, Digital Rights Ireland e o., C-293/12 e C-594/12, EU:C:2014:238 (a seguir, "Acórdão Digital Rights). Considerou o TJUE, no mencionado processo, que "a Diretiva 2006/24 não estabelece regras claras e precisas que regulem o alcance da ingerência nos direitos fundamentais consagrados nos artigos 7.º e 8.º da Carta" (n.º 65). Consequentemente, entendeu que era inevitável "concluir que esta diretiva comporta uma ingerência nestes direitos fundamentais, de grande amplitude e particular gravidade na ordem jurídica da União, sem que essa ingerência seja enquadrada com precisão por disposições que permitam garantir que se limita efetivamente ao estritamente necessário" (ibidem).

A diretiva invalidada pelo TJUE foi transposta para a ordem jurídica interna pela Lei n.º 32/2008, de 17 de julho, a qual, todavia, não foi imediatamente afetada pela declaração de invalidade da Diretiva n.º 2006/24/CE (isto sem prejuízo de se considerar "imperativo avaliar a conformidade desta com o direito da União Europeia, em especial com a Carta dos Direitos Fundamentais da UE"; nesse sentido, v. C. Guerra e F. Calvão, "Anotação ao Acórdão do Tribunal de Justiça da União Europeia (Grande Secção)", in Fórum da Proteção de Dados, n.º 1, julho 2015 e, ainda a Recomendação n.º 1/B/2019 da Provedora de Justiça sobre a Lei n.º 32/2008, de 17 de julho).

Apesar de a Lei n.º 32/2008 se reportar ao tratamento de dados (recolha, registo ou conservação), que serão, num momento posterior, transmitidos aos serviços de informação e segurança, encontrando-se, portanto, as suas disposições numa relação de complementaridade com as normas agora em apreciação, relativas ao acesso a dados previamente conservados - embora, como resulta das disposições da Diretiva n.º 2002/58 anteriormente referidas, os prestadores de serviços de comunicações eletrónicas possam ou devam proceder ao armazenamento de dados também por razões técnicas ou ligadas à faturação de serviços -, o problema da sua validade, à luz da Constituição, não foi, contudo, colocado ao Tribunal Constitucional no presente processo, pelo que não será proferida qualquer pronúncia a este respeito.

Com efeito, tal questão não foi integrada no objeto do processo, tal como delimitado pelo princípio do pedido, nem pode afirmar-se existir uma relação de dependência funcional ou de incindibilidade entre normas, suscetível de justificar um alargamento do pedido. Eventuais problemas de constitucionalidade, por violação de normas e princípios constitucionais, terão que ser colocados em processo de fiscalização abstrata sucessiva pelas entidades legitimadas para o efeito, ou em processos de fiscalização concreta, verificados os seus pressupostos específicos de admissibilidade.

ii. A Convenção Europeia dos Direitos Humanos

O standard mínimo de proteção dos direitos fundamentais é o consagrado nas normas da Convenção Europeia dos Direitos Humanos, interpretadas de acordo com a jurisprudência do TEDH. A jurisprudência do TEDH deve ser considerada pelo Tribunal Constitucional nas suas decisões como critério coadjuvante na interpretação das normas constitucionais, atendendo, nomeadamente, aos juízos de ponderação no contexto da aplicação do princípio da proporcionalidade e à densificação do conteúdo dos direitos fundamentais, sobretudo quando estão em causa novos direitos ou novas dimensões de direitos preexistentes. Por força da cláusula aberta no domínio dos direitos fundamentais consagrada no artigo 16.º da Constituição, este Tribunal não pode, na verdade, deixar de considerar os direitos fundamentais consagrados na referida Convenção, devendo igualmente ter em conta a interpretação que dos mesmos tem vindo a ser feita pelo Tribunal Europeu dos Direitos Humanos (TEDH).

A pedra de toque deste standard europeu de proteção e garantia dos direitos fundamentais à reserva da intimidade da vida privada, ao sigilo das comunicações e à proteção de dados, aqui em causa é, naturalmente, o artigo 8.º da CEDH. Dispõem as normas deste artigo que: 1) qualquer pessoa tem direito ao respeito da sua vida privada e familiar, do seu domicílio e da sua correspondência e 2) não pode haver ingerência da autoridade pública no exercício deste direito senão quando esta ingerência estiver prevista na lei e constituir uma providência que, numa sociedade democrática, seja necessária para a segurança nacional, para a segurança pública, para o bem-estar económico do país, a defesa da ordem e a prevenção das infrações penais, a proteção da saúde ou da moral, ou a proteção dos direitos e das liberdades de terceiros.

O TEDH tem conhecida jurisprudência sobre a matéria, sendo habitual submeter os regimes jurídicos nacionais que possibilitam intervenções estaduais neste campo a um teste de proporcionalidade bastante estrito. Assim, pese embora o facto de o TEDH reconhecer a importância do dever estadual de proteção da sociedade contra todas as formas de terrorismo e de ameaça aos valores democráticos, e de admitir restrições aos direitos consagrados no artigo 8.º da CEDH por esse motivo, exige, contudo, um escrutínio intenso e atento às circunstâncias de cada caso concreto. Em várias decisões, já citadas no Acórdão n.º 403/2015, deste Tribunal, esclareceram-se uma série de pressupostos de validade das intervenções restritivas no âmbito das comunicações e da recolha de dados pessoais.

Como o Tribunal Constitucional já deu nota nesse Acórdão, o TEDH afirmou:

«[...] que um processo de acesso a dados, porque não sujeito ao escrutínio dos indivíduos visados, tem de ser compensado por uma lei suficientemente tuteladora dos direitos fundamentais (Acórdão de 06/06/2006, Segerstedt-Wiberg e outros c. Suécia, queixa n.º 62332/2000); que essa lei deve empregar termos suficientemente claros para possibilitar a todos os cidadãos terem conhecimento das circunstâncias e dos requisitos que permitem ao poder público fazer uso de uma medida secreta que lesa o direito à vida privada pessoal e familiar e à correspondência (Acórdão de 02/08/1984, Malone c. Reino Unido, queixa n.º 8691/79); que seria contrária às exigências do artigo 8.º, n.º 2, da CEDH se a ingerência nas telecomunicações fosse conferida aos poderes públicos através de um poder amplo e discricionário, e que são necessárias regras claras e detalhadas, especialmente devido ao facto de a tecnologia disponível se tornar cada vez mais sofisticada, a fim de garantir uma proteção adequada contra ingerências arbitrárias (Acórdão de 16/02/2000, Amann c. Suíça, queixa n.º 27798/95); e nos casos Valenzuela c. Espanha (Acórdão de 30/07/1998, queixa n.º 27671/95) e Prado Bugallo c. Espanha (Acórdão de 18/02/2003, queixa n.º 58496/00), chegou à mesma conclusão, afirmando que a lei que permitia a ingerência nas comunicações não era suficientemente clara e precisa, não mencionando a natureza das infrações que podem dar lugar às mesmas, a fixação de um limite de duração da medida, as condições de acesso aos dados e a eliminação dos mesmos».

Tem entendido o TEDH, a este propósito, que a interferência nestes direitos tem de estar de acordo com a lei, e que, por razões de segurança jurídica, a lei deve ser suficientemente clara nos seus termos para fornecer aos indivíduos uma indicação adequada sobre quais são as circunstâncias e as condições que permitem às autoridades recorrer a essas medidas.

A decisão mais recente do TEDH, de 13 de setembro de 2018 (Big Brother Watch and Others v. the United Kingdom, queixas n.os 58170/13, 62322/14 e 24960/15), sobre a proteção do direito à privacidade em face de ingerências nas comunicações e dados de tráfego, incidiu sobre queixas de jornalistas e organizações de direitos humanos em relação a três distintos regimes de vigilância: (1) a interceção em massa de comunicações; (2) a partilha de informações com governos estrangeiros; e (3) a aquisição de dados de comunicação previamente armazenados pelas empresas fornecedoras de serviços de comunicações.

Embora o TEDH já se tenha pronunciado noutros processos (p. ex. Centrum För Rättvisa c. Sweden, Weber and Saravia c. Germany; Liberty c. the United Kingdom), o caso Big Brother Watch é o primeiro em que o TEDH especificamente considera a interceção e o acesso a dados de tráfego (distintos dos dados de conteúdo) como uma interferência na vida privada das pessoas.

Relativamente à aquisição de dados previamente armazenados, o TEDH, no caso Big Brother Watch, estabelece os seguintes critérios de conformidade destas medidas ao artigo 8.º da CEDH (§§464 a 467): (1) o regime deve estar de acordo com a lei, no sentido de esta ser clara, acessível e de efeitos previsíveis para os cidadãos; (2) deve prosseguir um objetivo legítimo, (3) e ser necessário numa sociedade democrática, restringindo-se ao combate à criminalidade grave; (4) o acesso deve estar sujeito a uma autorização prévia decidida por um tribunal ou por uma entidade administrativa independente; (5) a lei deve providenciar garantias adequadas contra a arbitrariedade.

Embora referindo-se à recolha em massa de dados e à interceção das comunicações, questões não em causa no presente processo, afirma o TEDH que a lei tem de prever meios de notificação das medidas de vigilância aos visados, que possibilitem que estes possam usar os recursos previstos para questionar a legalidade das medidas retrospetivamente, ou, em alternativa, que qualquer pessoa que suspeite ter sido monitorizada possa questionar os serviços de informação e recorrer aos tribunais em caso de ilicitude na recolha dos seus dados pessoais (Big Brother Watch, § 310, seguindo orientação do Acórdão Roman Zakharov v. Russia, decisão de 4, de dezembro de 2015, queixa n.º 47143/06), o que exigiu ao Reino Unido previsão, pela legislação nacional, de providências para a supervisão das medidas secretas de vigilância, mecanismos de notificação das pessoas visadas e vias de recurso.

7 - Os dados pessoais a transmitir ao SIRP nos termos dos artigos 3.º e 4.º da Lei Orgânica n.º 4/2017

A Lei Orgânica n.º 4/2017 atribui aos oficiais de informação do SIRP o poder funcional de aceder a dados de comunicação que permitam identificar, entre outros dados, o assinante ou utilizador do meio de comunicação, a fonte, o destino, a data, a hora, a duração e o tipo de comunicação, bem como identificar o equipamento de telecomunicações utilizado ou a sua localização.

Ora, a atividade destes oficiais de informações já foi amplamente caraterizada por este Tribunal, no mencionado Acórdão n.º 403/2015, onde se entendeu que a recolha de "informações" para efeitos de "prevenção" - que é a definição legal do âmbito da atividade dos serviços de informação - a dissocia, naturalmente, da atividade de investigação criminal. De facto, nos termos da Lei n.º 30/84 (Lei Quadro do Sistema de Informações da República Portuguesa), "aos serviços de informações incumbe assegurar, no respeito da Constituição e da lei, a produção de informações necessárias à preservação da segurança interna e externa, bem como à independência e interesses nacionais e à unidade e integridade do Estado" (n.º 2 do artigo 2.º).

Também nos termos do n.º 2 do artigo 3.º da Lei n.º 9/2007 (que estabelece a orgânica do Secretário-Geral do Sistema de Informações da República Portuguesa, do Serviço de Informações Estratégicas de Defesa e do Serviço de Informações de Segurança), "o SIED é o único organismo incumbido da produção de informações que contribuam para a salvaguarda da independência nacional, dos interesses nacionais e da segurança externa do Estado Português"; e nos termos do n.º 3 do mesmo artigo "o SIS é o único organismo incumbido da produção de informações destinadas a garantir a segurança interna e necessárias a prevenir a sabotagem, o terrorismo, a espionagem e a prática de atos que, pela sua natureza, possam alterar ou destruir o Estado de direito constitucionalmente estabelecido".

É certo que a existência de serviços de informações se afigura como um dos instrumentos ao dispor do Estado para garantir a segurança nacional, objetivo plasmado em diversos preceitos constitucionais, demonstrativos tanto da sua importância, quanto do seu lugar no quadro da Constituição. A garantia da segurança enquanto tarefa fundamental do Estado estabelece-se, desde logo, nas alíneas a) e b) do artigo 9.º, nos termos das quais lhe cabe: a) Garantir a independência nacional e criar as condições políticas, económicas, sociais e culturais que a promovam; e b) Garantir os direitos e liberdades fundamentais e o respeito pelos princípios do Estado de direito democrático; tem ainda eco, na forma de direito fundamental, no n.º 1 do artigo 27.º, e no plano organizacional, nos artigos 272.º e 273.º do texto constitucional.

O enunciado do artigo 9.º da Constituição investe, assim, o Estado de um conjunto de obrigações no domínio da segurança e tem implícito o dever de empreender os esforços necessários à sua prossecução. Tal dever resulta, ao longo da Constituição, da definição dos atributos para as distintas instituições para tal criadas, e constitucionalmente consagradas, como a polícia, as forças armadas ou o sistema de informações da República (previsto na alínea q) do artigo 164.º da Constituição, que integra nas matérias de reserva absoluta de competência parlamentar a aprovação do seu regime jurídico).

Todavia, o próprio enquadramento legal da atividade do SIRP impõe limites claros à sua atuação, consagrando, designadamente, (i) o princípio da constitucionalidade e da legalidade, nos termos do qual a atividade dos serviços de informações está sujeita ao escrupuloso respeito pela Constituição e pela lei, designadamente em matéria de proteção dos direitos fundamentais das pessoas, especialmente frente à utilização de dados informatizados; (ii) o princípio da exclusividade, nos termos do qual a atividade dos serviços está rigorosamente limitada às suas atribuições, estando-lhes vedada a produção de informações em domínio que lhe não tenha sido concedido; (iii) e o princípio da especialidade, segundo o qual atividade dos serviços de informações se reduz ao seu estrito âmbito, não podendo confundir-se com a atividade própria de outros organismos, entre os quais os tribunais e as forças policiais (Acórdão n.º 403/2015 - ponto 7).

A questão de constitucionalidade ora em análise reduz-se, verdadeiramente, à averiguação da conformidade constitucional da possibilidade de acesso, pelos oficiais de informações do SIS e do SIED, a dados de base e de localização de equipamento (artigo 3.º) e a dados de tráfego (artigo 4.º). No primeiro caso, o legislador restringe esse acesso aos casos em que seja indispensável a produção de informações necessárias à salvaguarda da defesa nacional, da segurança interna e da prevenção de atos de sabotagem, espionagem, terrorismo, proliferação de armas de destruição maciça e criminalidade altamente organizada e no seu exclusivo âmbito; no segundo, e de forma ainda mais restritiva, prevê-se que o acesso a dados de tráfego deve limitar-se à produção de informações necessárias à prevenção de atos de espionagem e do terrorismo.

A Lei Orgânica n.º 4/2017 adota, no artigo 2.º, n.º 1, uma distinção entre dois grupos de dados - os «dados de telecomunicações» e os «dados de Internet» - definidos, respetivamente, nas alíneas a) e b) do n.º 1: