Acórdão do Tribunal Constitucional n.º 464/2019 — Declara a inconstitucionalidade, com força obrigatória geral, da norma constante do artigo 3.º da Lei Orgânica n.º…

Ora, como a generalidade das polícias com funções de investigação criminal, desenvolvida nas fases de inquérito ou de instrução de um processo penal, também detêm funções de prevenção quanto às infrações relativas às suas competências, por vezes, verificam-se dificuldades de caraterização e diferenciação entre estes dois domínios, tanto mais delicadas quanto é certo que as regras a observar consoante se atua no domínio da prevenção ou no da investigação, não são - ou podem não ser - as mesmas. O critério formal e tradicional de distinção entre prevenção e investigação, assente no tempo de intervenção das autoridades, perde os seus contornos claros. Os meios ocultos de investigação, mesmo quando partem do processo penal, podem descobrir "crimes" possíveis ou prováveis ou perigos suscetíveis de vir a atualizar-se. Uma prevenção criminal positiva ou pró-ativa, como aquela que o Estado pretende para combater as novas formas de criminalidade organizada, não espera pela prática do crime para começar a investigar e recolher provas. Daí que, em certos casos, a colheita de informação mesmo antes de surgir o fumus commissi delicti, para ser valorada num futuro processo penal, possa consubstanciar uma "investigação de campo avançado", ou de um tertium genus ou terceira tarefa da polícia, materialmente elevada ao estatuto de investigação própria do processo penal (cf. Costa Andrade, ob. cit., "Bruscamente no verão passado", a reforma do Código de Processo Penal", pág. 324).

Seja como for, a verdade é que o procedimento de recolha de informações através de dados de tráfego, previsto no questionado artigo 4.º da Lei Orgânica n.º 4/2017, não está orientado para uma atividade investigatória de crimes praticados, nem visa reunir «provas» do planeamento de crimes organizados de terrorismo. Nos termos em que o acesso aos dados de tráfego está regulado no diploma, com os pressupostos previstos no seu artigo 6.º, não se trata de finalidade de investigação criminal, mas apenas de acumulação funcional de informação por razões preventivas, ou seja, uma atividade exclusivamente inserida na função preventiva.

Ora, o princípio da proporcionalidade preceitua que este poder do Estado, no acesso a dados pessoais dos cidadãos, além de exigir um fundamento, preciso e determinado, na lei - princípio da determinabilidade -, não pode ser utilizado para além do estritamente necessário. Não basta que tenha um conteúdo suficientemente definido na lei, impõe-se ainda que obedeça aos requisitos da necessidade, exigibilidade e proporcionalidade (ou proibição do excesso). Com efeito, decorre do artigo 272.º da Constituição a preocupação de limitar e vincular as medidas policiais restritivas dos direitos fundamentais, as quais «só serão legítimas se idóneas (próprias para a eliminação de perigo), necessárias (necessidade de eliminar um perigo grave e atual de «desordem»), proporcionais (proporção entre o sacrifício dos direitos e o resultado), tempestivas e de duração limitada ao perigo» (cf. Vieira de Andrade, Direitos Fundamentais, na Constituição Portuguesa de 1976, 5.ª ed., p. 333).

As ações de prevenção da polícia devem traduzir-se, assim, em medidas de defesa contra perigos concretos. Com efeito, a probabilidade/previsibilidade de ocorrência de situações potencialmente lesivas para bens jurídicos cuja proteção se encontra a cargo do Estado reclama medidas necessárias para as evitar - negar tal afirmação significa exonerar as autoridades estaduais de uma das suas tarefas primordiais: garantir a segurança de pessoas e bens. Por isso, as medidas preventivas pressupõem habilitações legais de ingerência contra situações de perigo, entendido no sentido de «ameaça objetiva de lesão imediata de bens jurídicos por condutas individuais ilegais particularmente suscetíveis de a gerar numa situação concreta» (Sérvulo Correia, O Direito de Manifestação - Âmbito de Proteção e Restrições, Coimbra, 2006, p. 98).

Deve notar-se, contudo, que, como os serviços de informação não são órgãos policiais, revestindo-se a sua atividade de uma natureza secreta e não observável pelos cidadãos afetados, a norma constante do artigo 4.º deve estar sujeita a um rigoroso controlo de constitucionalidade.

Assim, o princípio da necessidade, uma das dimensões do princípio da proibição do excesso, impõe que o acesso aos dados de tráfego lesivo da autodeterminação informativa se destine a reagir a situações de perigo suficientemente indiciadas, ou seja, a situações em que se nada for feito para o evitar, bens constitucionalmente protegidos - como a vida, a liberdade e a integridade pessoal ou a independência e a integridade nacionais - serão provavelmente lesados.

Ora, no âmbito das ações de prevenção criminal, a lei não tem previsto intromissões nas comunicações eletrónicas: o acesso ao conteúdo das comunicações só pode ser autorizado no "inquérito" ou em qualquer outra fase do processo penal (artigos 187.º e 189.º do CPP e artigo 18.º da Lei n.º 109/2009, de 15 de setembro, relativo ao domínio do cibercrime). Por via disso, o tratamento de dados pessoais para fins de investigação criminal «deve limitar-se ao necessário para prevenção de um perigo concreto ou repressão de uma infração determinada» (n.º 3 do artigo 8.º da anterior Lei n.º 67/98, de 26 de outubro - LPDP); e a conservação e transmissão de dados têm por «finalidade exclusiva a investigação deteção e repressão de crimes graves» (n.º 1 do artigo 3.º da Lei n.º 32/2008, de 17 de julho).

De um modo geral, pode afirmar-se que a "concordância prática" entre os valores constitucionais de perseguição e punição do crime com os direitos fundamentais deve ser feita em sede de processo penal. Qualquer ação preventiva que interfira, no sentido de os comprimir ou devassar, com direitos, liberdades e garantias, não pode ter lugar fora de um processo criminal devidamente formalizado, porque «é evidente que uma atuação investigatória processualizada e publicizada, na forma de inquérito preliminar ou de instrução, não só salvaguarda a liberdade e segurança no decurso do processo como dá garantia de que a prova para ele canalizada foi obtida com respeito pelos direitos fundamentais. A mesma conclusão não se pode extrair de uma ação de prevenção não processualizada ou mesmo não suficientemente formalizada, coberta pelo segredo de Estado, que decorre na total ausência de instrumentos defensivos que comportem um mínimo de dialética processual» (Acórdão n.º 403/2015, ponto 19).

11.2.4 - Simplesmente, a norma do artigo 4.º da Lei Orgânica n.º 4/2017, enquadrada no respetivo regime jurídico, afasta-se claramente deste paradigma.

A necessidade do acesso aos dados de tráfego funda-se em dois pressupostos alternativos, mencionados no artigo 6.º: (i) obtenção de informação de um alvo ou um intermediário determinado; (ii) impossibilidade ou dificuldade em obter a informação por outra forma ou em tempo útil para responder a uma situação de urgência. A ação preventiva modela-se assim por uma abertura de conceitos ("alvo determinado", "situação de urgência", "muito difícil de obter", "tempo útil"), semanticamente maleáveis e insuficientemente determinados, no âmbito dos quais a incerteza sobre os pressupostos de acesso aos dados de tráfego é bastante grande, atendendo à singularidade de cada caso concreto.

Com efeito, a intromissão nesta categoria de dados depende unicamente da existência de um alvo determinado e da impossibilidade ou dificuldade de em tempo curto obter informações através de meios abertos. O apuramento de um «alvo» ou a avaliação de uma «situação de urgência» depende da existência material de pressupostos de facto totalmente escolhidos pelos serviços de informação e do juízo valorativo que sobre eles faça. O mesmo se passa, aliás, com a própria conexão da informação visada pelo pedido de acesso (seja sobre o "alvo" ou outra informação não especificada) e a prevenção de atos de espionagem ou de terrorismo: os factos que suportam tal pedido, as finalidades que o fundamentam e as razões que aconselham o mesmo acesso são aqueles que os serviços entenderem dever indicar no pedido de autorização [cf. o artigo 9.º, n.º 2, alínea b), da Lei Orgânica n.º 4/2017]. Consequentemente, a relevância dos fundamentos do pedido, que, enquanto fator de ponderação da decisão dos juízes, limita a salvaguarda dos direitos fundamentais concretamente em causa (cf. o artigo 5.º, n.º 1, do mesmo diploma), também só pode ser apreciada em função do que os próprios serviços enunciarem no pedido que apresentem. Deste modo, qualquer cidadão pode ser potencialmente referenciado como alvo, assim como qualquer situação poderá ser configurada como urgente. Tudo depende do juízo de prognose ou da avaliação que os serviços de informação façam da situação concreta vivida.

Na definição do cidadão alvo da medida, a lei não indica critérios objetivos para a seleção, relacionados com a probabilidade de as pessoas visadas estarem envolvidas direta ou indiretamente na preparação ou execução de ataques terroristas, ou uma relação, pelo menos indireta, com atos de criminalidade grave, nomeadamente a espionagem, não passando a norma, também neste ponto, o teste da proporcionalidade, por falta de densificação do regime jurídico que lhe serve de pressuposto.

Ora, tendo em conta que o fenómeno da prevenção se basta com uma suspeita, que pode ser vaga, em relação ao indivíduo a cujos dados pessoais se pretende obter acesso, podendo ser suficiente, para fundar tal acesso, uma relação meramente aparente, espacial ou circunstancial (critério geográfico), com pessoas suspeitas ou a sua presença em locais ou contextos normalmente associados a atentados terroristas (aeroportos, viagens em determinados países estrangeiros), tem de se reconhecer que os poderes que a lei confere ao Estado no domínio da prevenção de atos de terrorismo ou de espionagem podem atingir, pelo menos potencialmente, qualquer pessoa, sem que esta tenha consciência disso ou tenha qualquer poder de reação a posteriori para pedir a destruição dos dados e responsabilizar as entidades que a eles tiveram acesso ou que os forneceram aos serviços de informação, sem qualquer indício ou relação de causalidade com atos correspondentes à prática dos mencionados crimes. Encontramo-nos, pois, perante situações em que o indivíduo perde o controlo sobre a circulação dos seus dados pessoais e em que claramente pode ser violado o seu direito à autodeterminação informativa, sendo transformado em «objeto de informações».

Dada a sensibilidade da questão para os direitos fundamentais, deve entender-se que os pressupostos substanciais da ação de intromissão nos dados de tráfego não se revestem de suficiente densidade na lei, ou seja, não estão preordenados à prevenção de perigos cuja ameaça assente em circunstâncias de facto, normativamente descritas, para bens jurídicos de importância transcendente para o indivíduo e para a comunidade organizada em Estado de direito. Nos termos difusos e indeterminados que resultam da articulação do artigo 4.º com o referido artigo 6.º, cabe aos serviços de informações escolher os elementos da situação concreta relevantes para o acesso aos dados de tráfego, não resultando da lei que o acesso apenas deve ocorrer perante a existência, no caso concreto, de uma situação em que, com probabilidade bastante, e num tempo relativamente próximo, ocorrerá um dano para bens jurídicos ou para direitos fundamentais de relevância transcendente para os cidadãos e para toda a comunidade. A autorização legal para a invasão legítima nos dados de tráfego não integra sequer como pressuposto um determinado grau de suspeita da prática dos crimes de espionagem e terrorismo, nem o perigo ou a suspeita de perigo concreto está enunciado na lei como objeto possível da ação preventiva. Com efeito, daquele preceito não resulta expresso que a recolha da informação tenha por objeto notícias de factos suscetíveis de fundamentar suspeitas de perigo da prática de determinados crimes contra um número circunscrito de bens jurídicos fundamentais para a comunidade.

A necessidade de intervenção em matéria de direitos, liberdades e garantias tem que figurar formalmente como pressuposto da ação preventiva. A existência de um determinado alvo ou de uma situação de urgência, sem especificação de diretrizes que balizem a escolha dos elementos relevantes à deteção do alvo ou à qualificação da situação como urgente, não permite avaliar, por si só, a necessidade da intromissão e devassa dos dados de tráfego. Sem a fixação legal de tais orientações, o acesso aos dados de tráfego tanto se pode fundar numa defesa contra perigos como numa antecipação de riscos. É evidente que, para justificar uma ação preventiva à luz da proporcionalidade, um perigo pressentido, mas não comprovável, não tem o mesmo peso valorativo que um perigo concreto e suscetível de demonstração objetiva. Naturalmente que os riscos sem potencial de perigosidade conhecido - as meras suspeitas de perigo - são mais tolerados pela comunidade do que as situações de perigo iminente, não constituindo os primeiros, por isso, um fundamento legítimo para as restrições a direitos fundamentais, dada a necessidade de respeitar um mínimo de liberdade.

Daí que as normas atributivas do poder de defesa contra perigos tenham que estabelecer com precisão e densidade suficiente os pressupostos que fundamentam a necessidade de tomar medidas de prevenção ou de ingerência. Acolhendo-nos à fundamentação do Tribunal Constitucional alemão, quando estão em causa intromissões em direitos fundamentais assentes em "juízos de prognose", exige-se que as "pertinentes autorizações legais contenham elementos tipificadores limitadores da ação". Isto para que "a limitação do âmbito da intromissão autorizada [...] permita tornar tolerável, em matéria de direitos fundamentais, o risco de uma prognose errada" (BVerfGE, 110, 33, 57 e 60).

No mesmo sentido, a jurisprudência do TJUE exige que a regulamentação nacional contenha normas claras e precisas que indiquem em que circunstâncias e em que condições materiais e processuais os prestadores de serviços de comunicações eletrónicas devem conceder às autoridades nacionais acesso aos dados, não podendo a legislação nacional limitar-se a remeter para os objetivos gerais do artigo 15.º, n.º 1, da Diretiva 2002/58 (cf. TJUE Acórdão Tele 2, n.os 117 e 118 e Digital Rights, n.º 61). De acordo com a jurisprudência do TEDH e do TJUE, só pode ser concedido o acesso de uma autoridade pública a dados de comunicação ou de tráfego, mediante critérios determinados e objetivos, definidos numa lei clara e detalhada nos seus termos, acessível e de efeitos previsíveis para os cidadãos, e relativa a pessoas suspeitas de estarem a planear ou terem planeado, de estarem a cometer, ou terem cometido um ato terrorista, ou de estarem, de algum modo, envolvidas nessa infração (TJUE Tele 2 n.º 119, TEDH Zakharov v. Russia, §260).

A ausência ou indeterminação normativa desses pressupostos possibilita intervenções restritivas em situações cuja potencialidade lesiva não obriga à adoção de medidas preventivas. A possibilidade de se tomarem medidas preventivas sem especificação das condições substanciais do seu exercício, constituiria um agravo imprevisível para os cidadãos, sem qualquer compensação de certeza e segurança. Como refere Reis Novais, «uma restrição de contornos não antecipadamente bem firmados alarga potencialmente a margem de atuação restritiva dos poderes constituídos a um plano não consentâneo com o princípio de repartição de Estado de Direito e de proibição do excesso e gera efeitos inibitórios no lado do exercício das liberdades» (Os Princípios Constitucionais Estruturantes da República Portuguesa, Coimbra Editora, 2004, p. 192).

A norma do artigo 4.º da Lei Orgânica n.º 4/2017 versa sobre matéria de reserva de lei parlamentar: direitos, liberdades e garantias (artigos 165.º, n.º 1, alínea b), e 18.º n.º 2, ambos da Constituição). Nestas matérias, designadamente no domínio utilização da informática relativamente ao tratamento de dados pessoais, a lei deve prever e prescrever de forma clara e precisa o quadro de circunstâncias em que as intervenções restritivas podem ser tomadas, não podendo ser redigida em termos tão latos que possa ser interpretada como incluindo, na sua previsão, a liberdade de escolha dos pressupostos que justificam a necessidade da intervenção. Uma lei vaga, imprecisa e demasiado abrangente converteria as medidas restritivas em arbítrio, por ausência de critérios objetivos quanto à razão de ser da sua utilização.

Tanto mais que, neste caso, o acesso aos dados de tráfego representa uma intromissão sem que os respetivos titulares tenham conhecimento do facto nem dele se apercebam, ou sem que possam reagir durante a sua execução, ou mesmo no seu termo, já que dele não são notificados, nem se prevê quaisquer atos ou procedimentos que permitam o conhecimento ou cognoscibilidade da intromissão pelos interessados, contrariamente ao exigido pelo Tribunal de Justiça: «importa que as autoridades nacionais competentes às quais foi concedido o acesso aos dados conservados informem desse facto as pessoas em causa, no âmbito dos processos nacionais aplicáveis, a partir do momento em que essa comunicação não seja suscetível de comprometer as investigações levadas a cabo por essas autoridades», já que essa informação é indispensável ao acionamento por tais pessoas da proteção jurisdicional efetiva dos seus direitos neste domínio, nomeadamente o direito à retificação ou à eliminação dos dados em causa (cf. o Acórdão Tele2, n.º 121, e o Acórdão Schrems, C-362/14, EU:C:2015: 650, n.º 95).

Tal como decidiu o TEDH, no seu Acórdão de 6 de junho de 2006 (caso Segrstedt - Wiberg e outros c. Suécia, pedido n.º 62332/00), «nestes casos, o risco de arbitrariedade é, naturalmente maior; porque as medidas de vigilância secreta não são suscetíveis, pela sua natureza, de ser controladas pelo público em geral nem são conhecidas dos indivíduos visados, a lei deve indicar, com precisão e suficiente clareza, o âmbito desse poder discricionário conferido às autoridades nacionais competentes, e o modo como deve ser por elas exercido, concedendo-se, assim, ao particular a defesa contra ingerências arbitrárias nos seus direitos».

Não é, pois, qualquer alvo ou carência urgente de informação que legitima uma lei restritiva do direito à autodeterminação informativa dos dados de tráfego.

Como se disse, a recolha de informações através de dados de internet só está em conformidade com a autodeterminação informacional quando se verificam situações face às quais seja possível um juízo materialmente fundado de prognose de ocorrência do perigo para um número circunscrito de bens jurídicos de importância extrema para a comunidade, como a vida, corpo e a liberdade das pessoas, ou a segurança do Estado de direito. O princípio da proporcionalidade impõe que o Estado invoque uma situação de perigo previsível, concreta e de verificação altamente provável, justificando os juízos de prognose através da identificação normativa da situação fáctica que está na origem do perigo, a possibilidade de ocorrência de eventos lesivos num prazo próximo e a relação da situação de perigo com pessoas determinadas.

Todavia, os enunciados normativos retirados do artigo 4.º em articulação com o preceituado no artigo 6.º da Lei Orgânica n.º 4/2017 não respondem a estas exigências. Tal como estão formulados os pressupostos da intromissão, existe a possibilidade de acesso a esses dados em situações indefinidas, em eventos de verificação mais ou menos improvável, sem qualquer referência de circunstâncias de facto, caso em que é impossível evitar o arbítrio.

É evidente que o Estado, para salvaguarda de valores sociais inquestionáveis, como a segurança pública ou o perigo público de ações terroristas, pode e deve tomar medidas preventivas.

E foi com esse objetivo que a LSI criou a Unidade de Coordenação Antiterrorismo (UCAT), na dependência do Secretário-Geral de Sistema de Segurança Interna, composto pelos representantes de vários serviços, entre os quais o Secretário-Geral do SIRP e dos diretores do SIED e do SIS, cuja função principal é a «coordenação e partilha de informações, no âmbito do combate ao terrorismo», que foi posta em funcionamento pelo Decreto Regulamentar n.º 2/2016, de 23 de agosto. Porém, a ação deste serviço e das polícias que o integram move-se sobretudo no campo avançado da antecipação, avaliação e gestão de riscos do terrorismo, um domínio em que, devido à incerteza que encerra, é excessivo restringir o direito fundamental à autodeterminação informativa.

No juízo de proporcionalidade sobre as medidas restritivas tem que ser equacionado o risco de, sob a capa da luta contra o terrorismo e a espionagem, os cidadãos serem reduzidos a identidades digitalmente criadas e heteroconstruídas, baseadas em perfis definidos por terceiros, com a consequente desumanização das pessoas e estandardização dos seus comportamentos, aniquilando-se a privacidade e condicionando-se a liberdade, assim acabando por perverter a democracia. O desvalor do sacrifício imposto à liberdade dos cidadãos assume aqui um especial peso na análise da relação meio-fim inerente ao teste da proporcionalidade

Entende-se, pois, que a ação de prevenção prevista no artigo 4.º da Lei Orgânica n.º 4/2017, de 25 de agosto, tal como articulada com as condições de admissibilidade previstas no artigo 6.º do mesmo diploma e tendo em conta a insuficiência dos meios de reação dos cidadãos contra intervenções ilícitas, desequilibra desrazoavelmente a ponderação de meio-fim ínsita na vertente apontada do princípio da proporcionalidade, violando o direito à autodeterminação informativa, consagrado nos artigos 26.º, n.º 1 e 35.º, n.os 1 e 4, em conjugação com o artigo 18.º, n.º 2, da CRP.

12 - A questão da constitucionalidade do artigo 3.º da Lei Orgânica n.º 4/2017

Como já foi dito e se repete, não se aplicando o artigo 34.º, n.º 4, da Constituição, ao domínio coberto por aquele artigo 3.º, a constitucionalidade desta norma deve ser apreciada com base nos artigos 26.º, n.º 1 (direito ao desenvolvimento da personalidade e à reserva de intimidade da vida privada) e 35.º, n.os 1 e 4 (proibição de acesso a dados pessoais) da Constituição. Os dados a que a norma do artigo 3.º da Lei Orgânica n.º 4/2017 permite acesso são «dados pessoais de terceiros», para efeitos do artigo 35.º, n.º 4, da Constituição, abrangidos, portanto, por um princípio de proibição do acesso, em que sobressai sobretudo a vertente negativa de defesa perante o Estado.

O direito à autodeterminação informativa abrange uma proteção mais ampla do que a simples reserva da vida privada, incluindo os dados pessoais dos indivíduos, ainda que autonomizados de concretos atos de comunicação, cuja possibilidade de devassa aumenta exponencialmente com o progresso tecnológico, e que refletem, por exemplo, os hábitos de vida de um indivíduo, os locais que frequenta, os seus gostos, a sua saúde, a forma como passa os tempos livres, a conduta e as características do utilizador ou até traços fundamentais da sua personalidade. O acesso pelos SIRP a dados dessa natureza condiciona a autodeterminação informativa dos cidadãos a que esses dados digam respeito - uma das refrações da tutela constitucional do livre desenvolvimento da personalidade - e constitui uma ameaça de invasão da privacidade dos visados.

Conforme se afirma no ponto 13 do Acórdão n.º 403/2015, o direito à autodeterminação informativa consagrado no artigo 35.º da Constituição, com vista à proteção das pessoas perante o tratamento de dados pessoais informatizados, não se reporta, como o direito à autodeterminação comunicativa, a comunicações individuais efetivamente realizadas ou tentadas, estas já protegidas pelo sigilo de comunicações. «Naquele outro direito protege-se as informações pessoais recolhidas e tratadas por entidades públicas e privadas, cuja forma de tratamento e divulgação pode propiciar ofensas à privacidade das pessoas a que digam respeito. [...] Neste caso, pretende-se impedir que as informações prestadas a um particular ou a uma entidade possam por estes ser divulgadas a outras pessoas ou entidades, ou seja, que a pessoa se torne "simples objeto de informações", face a todos os registos informáticos que vai deixando no seu dia a dia. A proibição de ingerência ou devassa neste domínio implica não apenas a proibição de acesso a terceiros aos dados pessoais, mas ainda a proibição de divulgação ou mesmo de interconexão de ficheiros com dados da mesma natureza».

Contudo, como se referiu, estes direitos podem ser objeto de restrições por via legislativa - as leis restritivas de direitos, liberdades e garantias. Nalgumas normas constitucionais, a Constituição autorizou a lei ordinária a restringir determinados direitos em alguns aspetos ou para algumas finalidades, noutras atribuiu ao legislador expressamente uma competência de regulação geral da matéria que inclui poderes de restrição. Assim, no que respeita ao direito consagrado no artigo 35.º, n.º 4, a Constituição prevê expressamente a possibilidade da sua restrição, no inciso final «salvo em casos excecionais previstos na lei», mas não indica os seus pressupostos ou finalidades. Porém, a restrição terá de observar, para além da reserva de lei em sentido formal consagrada no artigo 165.º, n.º 1, alínea b), da Constituição, os limites impostos pelo artigo 18.º, n.os 2 e 3: proporcionalidade em sentido amplo; reserva de lei em sentido material; proibição de retroatividade; e inviolabilidade do conteúdo essencial. As dúvidas, neste caso, centram-se no respeito pelo princípio da proporcionalidade.

Tratando-se da restrição de direitos de defesa ou de conteúdo negativo - o direito a que o Estado não aceda a dados pessoais -, o problema que se coloca é o de saber se o legislador, na solução estipulada no artigo 3.º contextualizada no respetivo regime jurídico, violou a proibição do excesso.

A primeira etapa do juízo passa por identificar as razões que podem justificar a restrição dos direitos aqui envolvidos - razões que, nos termos do n.º 2 do artigo 18.º, se traduzem necessariamente num dever de proteção de outros direitos fundamentais ou na prossecução de interesses legítimos que a ordem constitucional confia ao poder público, mormente o legislativo. No que diz respeito ao artigo 3.º da Lei Orgânica n.º 4/2017, as finalidades da norma reconduzem-se ao valor constitucional da segurança, que agrega a dimensão positiva de um conjunto muito vasto de direitos fundamentais (v.g., vida, integridade, propriedade) e interesses coletivos como a independência nacional e a ordem pública. Trata-se, em suma, das alíneas a) (garantir a independência nacional), b) (garantir os direitos e liberdades fundamentais) e c) (defender a democracia política) do artigo 9.º da Constituição, que define as «tarefas fundamentais do Estado». O texto constitucional vai ao ponto de subjetivar a segurança, no artigo 27.º, n.º 1, in fine, tratando-a como um direito fundamental.

Na prática, as limitações de direitos fundamentais devem obedecer aos seguintes requisitos: (a) formulação de uma norma clara e previsível; (b) meio necessário para alcançar um objetivo de interesse geral ou para proteger direitos ou liberdades de outrem; (c) proporcionalidade em relação ao objetivo visado; (d) preservação do conteúdo essencial do direito fundamental.

Cabe, assim, determinar, a esta luz, se o acesso pelos «oficiais de informações do SIS e do SIED» a «dados de base e de localização de equipamento» é uma medida desproporcionada ou um meio excessivo para alcançar as finalidades - em si mesmas não apenas legítimas como constitucionalmente impostas ao poder público - a que se destina.

Antes de submeter a norma aos testes da adequação, da necessidade e da proporcionalidade em sentido estrito, compreendidos no princípio da proibição do excesso, é indispensável analisar o regime de acesso que a Lei Orgânica n.º 4/2017 consagra para esta categoria específica de dados, nomeadamente as finalidades, os critérios, as formas, os limites e as garantias nela previstas.

No que respeita às finalidades, a lei prevê (artigo 3.º) o acesso a dados de base e dados de localização exclusivamente «para efeitos de produção de informações necessárias à salvaguarda da defesa nacional, da segurança interna e da prevenção de atos de sabotagem, espionagem, terrorismo, proliferação de armas de destruição maciça e criminalidade altamente organizada». Ou seja, a defesa nacional e a segurança interna surgem, quer como bens jurídicos subjacentes a um elenco fechado de tipos criminais ou categorias de crimes, quer como razões residuais para aceder aos dados.

Quanto aos critérios, a lei exige (artigo 6.º) que o acesso seja adequado, necessário e proporcional em cada caso concreto - ou seja, que a diligência não se mostre excessiva, atentas todas as circunstâncias relevantes -, densificando esta exigência através do requisito de que a informação obtida diga respeito a um alvo ou um intermediário determinados (exigência de individuação) e de que seja impossível ou muito difícil obter a informação de outra forma ou em tempo útil (exigência de necessidade). O artigo 10.º, n.º 1, estabelece ainda que o acesso não compreende «todos os dados», mas apenas as «categorias de dados» que a diligência reclamar (exigência de restrição), ressalvando-se as «condições de proteção do segredo profissional».

Relativamente à forma, a lei determina que o acesso aos dados pelos oficiais de informações do SIS e do SIED seja objeto de autorização judicial «por uma formação das secções criminais do Supremo Tribunal de Justiça, constituída pelos presidentes das secções e por um juiz designado pelo Conselho Superior da Magistratura, de entre os mais antigos destas secções» (artigos 5.º e 8.º). O processo inicia-se com um pedido dos oficiais de informações sujeito a determinadas exigências de conteúdo (artigo 9.º), o qual é objeto de apreciação judicial fundamentada num prazo de 48 horas (artigo 10.º, n.º 3). Ainda que se entenda que esta formação, na prática, funciona, não como um tribunal, mas como uma entidade administrativa, tal entendimento não muda o equilíbrio de interesses constitucionalmente exigido entre a proteção da vida privada e os poderes-deveres do Estado na prevenção do terrorismo, pois nos termos do artigo 35.º, n.º 2, da Constituição, é suficiente que a garantia da proteção destes direitos seja levada a cabo por uma entidade independente.

No que concerne aos limites, destaca-se a proibição, contida no n.º 2 do artigo 6.º, de «interconexão em tempo real com as bases de dados dos operadores de telecomunicações e Internet para o acesso direto em linha aos dados requeridos» Significa isto que é permitido o acesso pelos oficiais de informações do SIS e do SIED apenas aos dados previamente armazenados pelos operadores de telecomunicações, como decorre da definição do objeto que consta do artigo 1.º, n.º 1.

Finalmente, quanto a garantias, para além da exigência de autorização judicial, a lei atribui à formação do Supremo Tribunal de Justiça competente para autorizar o acesso o poder de «determinar a todo o momento o cancelamento de procedimentos em curso de acesso a dados... obtidos de forma ilegal ou abusiva», que «violem o âmbito da autorização judicial prévia» ou que sejam «manifestamente estranhos ao processo» (artigo 12.º, n.º 3). Atribui a uma Comissão de Fiscalização de Dados do SIRP a competência para fiscalizar a atividade dos oficiais de informações, com o fito de garantir o «respeito pelos princípios e cumprimento das regras relativos à qualidade e à salvaguarda da confidencialidade e da segurança dos dados obtidos» (artigo 15.º, n.º 1). Reconhece ainda poderes de fiscalização, neste domínio, ao Conselho de Fiscalização do SIRP (artigo 16.º). Por fim, o artigo 7.º prevê o agravamento das penas abstratamente aplicáveis aos vários tipos de crime que possam estar implicados no acesso ilegal a dados pessoais.

Todas estas medidas procuram assegurar a salvaguarda de uma esfera fundamentalíssima de privacidade e de autodeterminação informativa, limitando ao mínimo indispensável a ingerência estadual.

O acesso aos dados previstos e com os objetivos fixados no artigo 3.º da Lei Orgânica n.º 4/2017, dificilmente pode ser censurado no plano da adequação e da necessidade. Por um lado, é óbvio que a medida é um meio idóneo de produção de informações que se venham a revelar úteis na prevenção dos atos e na tutela dos interesses mencionados na lei. Por outro lado, não há evidência alguma de que existam meios menos lesivos que permitam, com igual eficácia, alcançar os objetivos a que o regime se destina, tanto mais que a lei faz depender a autorização de acesso e a sua manutenção da verificação da necessidade da diligência.

É na proporcionalidade em sentido estrito que se joga a conformidade constitucional da norma. Colocam-se aqui duas questões essenciais. A primeira é a de saber se um regime de acesso a «dados de base e de localização de equipamento» pelos oficiais de informações do SIRP, com o efeito inibidor da autodeterminação informativa dos cidadãos e com o risco de abuso da privacidade pessoal que a mera existência de um tal regime inevitavelmente implica, reprova no teste da proporcionalidade. Entendendo-se que não, surge-nos uma segunda questão: a de saber se o regime estabelecido na Lei Orgânica n.º 4/2017 limita o acesso aos dados pessoais a que respeita o seu artigo 3.º aos casos concretos em que, tudo visto e ponderado, tal acesso se justifica - ou, pelo menos, reduz a possibilidade de erro ou de abuso a um mínimo possível que se possa ajuizar constitucionalmente tolerável.

Quanto à primeira questão, deve entender-se que a existência de um regime desta natureza, pese embora o seu efeito restritivo de direitos fundamentais, é constitucionalmente admissível. O acesso a dados pessoais previsto no artigo 3.º da Lei Orgânica n.º 4/2017 destina-se ao cumprimento de deveres de proteção de direitos fundamentais e a tutela de interesses coletivos com elevada carga axiológica na ordem constitucional. Trata-se, como se viu, do desempenho pelo Estado de tarefas fundamentais definidas na Constituição, em circunstâncias em que a omissão de medidas desta natureza se pode razoavelmente reputar prejudicial para a salvaguarda dos valores constitucionais subjacentes àquelas tarefas.

Quanto à segunda questão, julga-se que o acesso para efeitos de prevenção de atos que integram os tipos ou categorias de crimes referidos no artigo 3.º, tal como se encontra regulado na lei, não é desproporcionado. A indeterminação dos critérios de acesso - que se consubstanciam num juízo de ponderação casuística, sujeito às exigências acima mencionadas de individuação, necessidade e restrição - traduzem a inevitável e desejável concordância prática entre os valores da privacidade e da segurança que relevam das circunstâncias. E o risco de abuso e de erro é fortemente limitado pelo controlo prévio da formação especial do Supremo Tribunal de Justiça: o risco de abuso é mitigado pela garantia estatutária de independência e imparcialidade dos juízes; o risco de erro é mitigado pela adequação funcional do poder judicial para fazer as ponderações reclamadas pela lei, as quais têm, de resto, uma grande afinidade com as que caracterizam a intervenção do juiz de instrução criminal na fase de inquérito.

Porém, semelhante juízo não se pode estender ao segmento da norma que permite o acesso aos dados para efeitos de salvaguarda imediata da defesa nacional e da segurança interna, sem a mediação de critérios de determinabilidade destes conceitos através de «elementos tipificadores limitadores da ação», na expressão do Tribunal Constitucional alemão (cf. BVerfG, 110, pp. 33, 57 e 60).

Os conceitos usados na norma questionada são demasiado vagos, por um lado, e são estranhos ao universo da judicatura, por outro; a exigência de autorização judicial não dá, no que a eles respeita, garantias suficientes de que a ingerência na privacidade dos cidadãos se cinge ao mínimo necessário e proporcional. Na verdade, pela sua própria natureza de conceitos de atribuições essenciais do SIRP, remetem para uma prerrogativa de avaliação do SIS e do SIED que frustra o equilíbrio que apenas o escrutínio judicial rigoroso de cada pedido de acesso pode assegurar. O legislador tem, assim, o ónus de concretizar, de forma rigorosa e precisa, quais os critérios suscetíveis de justificar, nos termos do artigo 3.º da Lei Orgânica n.º 4/2017, o acesso, por entidades públicas, aos dados de base e de localização de equipamento dos cidadãos.

Sendo assim, julga-se a norma constante do artigo 3.º da Lei Orgânica n.º 4/2017 inconstitucional, no segmento que confere aos oficiais de informação do SIS e do SIED acesso a dados de base e de localização de equipamento, para efeitos de produção de informações necessárias à salvaguarda da defesa nacional e da segurança interna, por violação dos artigos 26.º, n.º 1, e 35.º, n.os 1 e 4, em conjugação com o artigo 18.º, n.º 2, da Constituição.

III - Decisão

Pelo exposto, decide-se:

Lisboa, 18 de setembro de 2019. - Lino Rodrigues Ribeiro [com declaração de voto quanto à alínea a) do dispositivo, que junto] - Pedro Machete [vencido quanto à alínea b) e com declaração quanto às alíneas a) e c)] - João Pedro Caupers (com declaração de voto) - Fernando Vaz Ventura [vencido quanto à alínea b) da decisão, conforme declaração de voto que junto] - Claudio Monteiro (vencido, nos termos da declaração de voto que junto) - Joana Fernandes Costa (parcialmente vencida nos termos da declaração conjunta apresentada) - José Teles Pereira (parcialmente vencido nos termos da declaração que apresentei) - Maria de Fátima Mata-Mouros (parcialmente vencida nos termos da declaração que junto) - Gonçalo Almeida Ribeiro (parcialmente vencido, nos termos da declaração conjunta apresentada) - Maria José Rangel de Mesquita [vencida parcialmente quanto à decisão da alínea a) e vencida quanto à decisão da alínea c), nos termos da declaração de voto que se apresenta] - Manuel da Costa Andrade [vencido quanto à alínea b) do dispositivo] - Tem votos de conformidade quanto às alíneas a) e c) do dispositivo e quanto à alínea b) votos de vencidas, da Conselheira Catarina Sarmento e Castro e Maria Clara Sottomayor, que não assinam por entretanto terem cessado funções. Lino Rodrigues Ribeiro

Declaração de voto

Votei vencido quanto à alínea a) da decisão constante do acórdão tirado nos presentes autos, pelos fundamentos que passo a expor.

A inconstitucionalidade do segmento da norma do artigo 3.º - «produção de informações necessárias à salvaguarda da defesa nacional, da segurança interna [...]» - assenta exclusivamente na indeterminação dos conceitos «defesa nacional» e «segurança interna», os quais remetem para "prerrogativa de avaliação do SIS e do SIED que frustra o equilíbrio que apenas o escrutínio judicial rigoroso de cada pedido de acesso pode assegurar". De modo que, sem a mediação de critérios de determinabilidade desses conceitos através de «elementos tipificadores limitadores da ação», a norma não respeita o princípio da proporcionalidade, na vertente de proibição do excesso.

Ora, em meu entender, a norma extraída do referido artigo 3.º não atribui aos oficiais de informação do SIS e do SIED um poder irrestrito de aceder aos dados de base e aos dados de localização que não deem suporte a uma concreta comunicação. Com efeito, para além de explicitar a natureza do poder concedido e a respetiva titularidade, a norma demarca-lhe os limites através da explicitação do fim visado na concessão desse poder. É verdade que a descrição normativa do fim integra conceitos jurídicos indeterminados - como os de «defesa nacional» e de «segurança interna» - cuja vagueza não permite autonomamente reconvertê-los em pressupostos do exercício do poder de aceder àquela categoria de dados. Mas não é menos certo que a norma do fim-interesse público que deve ser prosseguido através do acesso aos dados, não só vem acompanhada da explicitação, nos artigos 6.º e 9.º do mesmo diploma, das condições do exercício do poder, como a interpretação abstrata daqueles conceitos indeterminados exige o concurso das demais normas do sistema que regula a atividade dos Serviços de Informação.

De facto, para além do mínimo de conteúdo semântico que os enunciados «segurança interna» e «defesa nacional» possuem, é na Constituição - artigos 272.º e 273.º -, na Lei de Segurança Interna e na Lei de Defesa Nacional que se encontra o núcleo essencial do tipo de situações sobre o qual pode incidir o acesso à categoria de dados prevista no artigo 3.º da Lei Orgânica n.º 4/2017, de 25 de agosto. Assim, a «segurança interna» compreende a atividade desenvolvida pelo Estado para garantir a ordem, a segurança e a tranquilidade pública, em especial, «proteger a vida e a integridade das pessoas, a paz pública e a ordem democrática, designadamente contra o terrorismo, a criminalidade violenta ou altamente organizada, a sabotagem e a espionagem» (artigo 1.º, n.º 1 e 3 da Lei n.º 53/2008, de 29 de agosto); por sua vez, a «defesa nacional» abrange a atividade destinada a garantir a «soberania do Estado, independência nacional e a integridade territorial de Portugal, bem como assegurar a liberdade e a segurança das populações e a proteção de valores fundamentais da ordem constitucional contra qualquer agressão ou ameaça exterior» (n.º 1 do artigo 1.º da Lei Orgânica n.º 1-B/2009, de 7 de julho).

Deste modo, o acesso à categoria de dados coberta pelo artigo 3.º encontra-se limitado por finalidades mais pormenorizadas e especificadas que, não obstante a subsistente indeterminação, fornecem simultaneamente o quadro das circunstâncias em que a intromissão pode ter lugar. Tal como é necessário o recurso às normas do Código Penal e Legislação extravagante para determinar o que são «atos de sabotagem, espionagem, terrorismo, proliferação de armas de destruição maciça e criminalidade altamente organizada» - casos que o Acórdão considerou, e bem, que «traduzem a inevitável e desejável concordância prática entre os valores da privacidade e da segurança que relevam das circunstâncias» -, também se torna necessário o concurso das normas que expressamente definem e enunciam os atos abrangidos pelas conceitos de «segurança nacional» e de «defesa nacional». E mesmo assim, considerando os Serviços de Informação abordam esses fenómenos por ângulos diferentes da investigação criminal, tem que se ter em conta que os conceitos usados no âmbito das informações têm um sentido funcional e teleológico não necessariamente coincidente com o significado jurídico-penal.

Pode, pois, afirmar-se que o núcleo essencial do tipo de situações capazes de justificar a acesso aos dados de base e de localização que não dão suporte a uma concreta comunicação esta normativamente estabelecido. Porém, o facto de estar assegurada a tipificação mínima das situações em que é possível aceder aos dados não exclui as diferentes possibilidades de ação que decorrem dos conceitos expressivos das normas. A margem de maleabilidade deixada pelos conceitos indeterminados que configuram normativamente os pressupostos do acesso aos dados confere aos Serviços de Informação e à autoridade independente que previamente autoriza o acesso o poder de livremente avaliar, em cada caso concreto, se ocorre o tipo de situações que o legislador previu. Na verdade, sendo a responsabilidade de produzir "informações de segurança" exclusiva daqueles serviços, apenas eles estão em condições de formular juízes de valor, muitos deles juízes de prognose, sobre a necessidade de aceder aos dados para salvaguarda de qualquer das situações que o legislador enquadrou no âmbito da segurança interna e defesa nacional.

A menor densidade normativa que resulta da utilização desses conceitos indeterminados apenas é tolerável, sem violação do princípio da segurança jurídica, perante o menor grau de danosidade à privacidade causada pela intromissão nessa específica categoria de dados. A Acórdão não deixa de reconhecer tal facto quando inicia a apreciação da constitucionalidade das normas sindicadas pelas questões suscitadas pelos dados de tráfego «tendo em conta o seu maior grau de lesividade na intromissão nesse domínio», referindo de seguida que «o conhecimento destes dados pelos SIS e pelo SIED representa, necessariamente, uma mais intensa devassa da vida privada do que o acesso aos dados de base ou a dados de localização, previstos no artigo 3.º», porém, sem que daí se tire quaisquer consequências. E de facto, o acesso a essa categoria de dados - de base e de localização -, quando dissociado de qualquer comunicação, não apresenta o mesmo dano à privacidade dos respetivos titulares que o causado pela intromissão nos dados de tráfego.

Os dados de base - os dados informatizados relativos à conexão a uma rede de comunicações eletrónicas - limitam-se a descrever os elementos que fazem parte do objeto do "contrato de prestação de serviços" celebrado entre o utilizador e o operador do serviço de comunicações eletrónica, ou seja, são "dados contratuais" que subsistem enquanto durar o contrato e que se mostram indispensáveis, na perspetiva dos operadores, à faturação dos assinantes e pagamento de interligações, podendo ser tratados sem o consentimento do utilizador (alínea a) do artigo 6.º da Lei n.º 67/98, de 26 de outubro); e os dados de localização de equipamento de telecomunicações, quando não deem suporte a uma concreta comunicação, são uma categoria "meramente residual" - como se refere no Acórdão -, que não identificam a célula (cell ID) de origem e de destino de uma chamada telefónica numa rede móvel, para além desses equipamentos poderem conter dispositivos de desativação de serviços de localização que impedem ou dificultam a identificação do respetivo possuidor.

Não obstante o assinante poder declarar no ato de assinatura do contrato que pretende a confidencialidade dos dados contratuais, incluindo a não transmissão a terceiro, a verdade é que, para fins de investigação criminal, a lei não protege na mesma medida essas categorias de dados relativamente aos dados de tráfego. Com efeito, a Lei n.º 32/2008, de 17 de julho, sobre a conservação de dados gerados ou tratados no contexto de comunicações eletrónicas, considera bloqueados desde o início da sua conservação as categorias de dados indicadas no seu artigo 4.º, «com exceção dos dados relativos ao nome e endereço» (n.º 2 do artigo 7.º); a obrigação de conservação dos dados não abrange os dados de comunicação em que não foi estabelecida ligação telefónica (n.º 2 do artigo 5.º); o acesso e a transmissão de dados sobre localização celular são admissíveis sem autorização judicial (n.º 6 do artigo 9.º, que remete para o artigo 252.º-A do CPP); e o acesso aos dados de base também é possível sem prévia autorização judicial [artigos 187.º, 189.º, e 269.º, n.º 1, alínea e) do CPP].

Assim, estando proibida a interconexão em tempo real com as bases de dados dos operadores de telecomunicações e Internet para acesso direto em linha aos dados requeridos, assim como o acesso à totalidade dos dados previamente armazenados, através da aquisição em larga escala, por transferência integral dos registos existentes (artigos 6.º, n.º 2 e 9.º, n.º 3 da Lei Orgânica n.º 4/2017), a transmissão de dados contratuais dissociadas das comunicações efetivamente realizadas ou tentadas não pode ter o mesmo grau de proteção que o exigido para dados que revelam as circunstâncias de uma concreta comunicação, já que não colide com a ratio do regime de confidencialidade. O sigilo das telecomunicações não deverá ser sobrevalorizado ao ponto de impedir a prestação da "identificação" e "morada" para produção de informações de segurança relativas a uma "suspeita concreta e individualizada" (n.º 3 do artigo 9.º da Lei Orgânica n.º 4/2017).

É que essa categoria específica de dados - dados de identificação - também consta de registos administrativos que descrevem algumas características pessoais de um sujeito - designadamente o nome, a filiação, a nacionalidade, a residência, a data de nascimento, género - resultando a identificação de um sujeito do conjunto de documentos oficiais constantes daqueles registos. Não obstante ser o sujeito a determinar os elementos que o particularizam, traçando a sua história de vida, individualizando-se, e não o Estado a individualiza-lo segundo critérios próprios, a verdade é que a necessidade de identificação persiste no sistema jurídico sob uma perspetiva eminentemente publicista: o ato de atribuir signos distintivos à pessoa, como o nome, data de nascimento, estado civil e sexo, surgiu da necessidade estadual de individualizar os seus cidadãos para melhor se relacionar com eles (cobrança de impostos, repressão de delitos, etc.). Por isso, a identificação de uma pessoa, distinguindo-a das demais, tem um campo de abrangência bem mais restrito que a identidade pessoal protegida pelo artigo 26.º da CRP, que possui uma aceção mais substancial, sendo composta por uma série de elementos que a constituem, e que fazem com que a pessoa seja única.

Muitos e relevantes aspetos da identidade pessoal, como o conjunto de particularidades comportamentais que distingue uma pessoa das outras, não são atingidos pela intromissão nos dados de base. Os dados através dos quais o utilizador tem acesso a um serviço de comunicações são meros elementos estáticos da sua identidade que constam do contrato de prestação de serviços de comunicações eletrónicas previsto no artigo 48.º da Lei n.º 5/2004, de 10 de fevereiro, mas que não permitem identificar, em tempo real ou a posteriori, os utilizadores, o relacionamento entre uns e outros através da rede, a localização, a frequência, a data, a hora e a duração da comunicação. Por isso, a recolha e informatização dessa categoria de dados por si só não fornece informação sobre o modo de ser do respetivo titular, o modo como constrói a sua vida e como expressa a sua individualidade e personalidade. Essa informação só é possível, incluindo a criação de perfis (profiling), através do acesso aos dados de tráfego, que engloba em si mesmo os dados de base. Mas neste caso, os dados de base não poderão dissociar-se dos dados de tráfego, pois quando se tem acesso à informação que estes últimos contêm, ter-se-á também acesso à informação relativas aos dados de base, e por isso não podem deixar de estar abrangidos pelo artigo 4.º da Lei Orgânica n.º 4/2017.

E quanto aos dados de localização previsto no artigo 3.º, na medida em que o acesso está vedado quando deem suporte a uma concreta e efetiva comunicação, não permitem o acesso à identificação da célula (cell ID) de origem e de destino de uma chamada telefónica numa rede móvel; e quando em posição de stand-by, isto é, ligado e apto a receber chamadas, podem permitir identificar a situação geográfica das células, mas não identificam, nem permitem identificar o possuidor do equipamento no momento da recolha de dados.

Ora, se os elementos mais substanciais e dinâmicos da identidade não são afetados através da intromissão nos dados de base e de localização que não pressupõem qualquer ato de comunicação, o tratamento desses dados pessoais é menos lesivo da esfera de personalidade e privacidade do respetivo titular que o tratamento dos dados segregados pela comunicação. Por isso, a menor danosidade à confidencialidade dos dados pessoais e à privacidade que lhe está subjacente pode justificar um grau menor de exigência correlativa à determinabilidade da norma que legitima o acesso a esses dados. Enquanto o acesso aos dados de tráfego, porque se revela tão intrusivo quanto o próprio conteúdo da comunicação em si mesma, impõe que o legislador tipifique com suficiente clareza e determinabilidade as situações em que, por razões de segurança, se justifica eliminar ou enfraquecer o direito à proteção dos dados, no tratamento dos dados de base e de localização que não deem suporte a uma comunicação pode aceitar-se e tolerar-se maior abertura da norma que fixa os pressupostos de acesso a tais dados.

É por isso que as normas do artigo 6.º da Lei Orgânica n.º 4/2017, se não revelam o grau mínimo de densidade dos pressupostos de acesso aos dados de tráfego, já que, como se refere no acórdão, dele «não resulta expresso que a recolha da informação tenha por objeto notícias de factos suscetíveis de fundamentar suspeitas de perigo da prática de determinados crimes contra um número circunscrito de bens jurídicos fundamentais para a comunidade», podem ter determinabilidade normativa suficiente para acesso aos dados que não pressupõem comunicações. Neste domínio, em que não há uma concreta comunicação, a intensidade do sacrífico do tratamento de dados pessoais assume contornos diversos e menos lesivos. Enquanto o acesso aos dados de tráfego, pela intensidade da lesão causada à autodeterminação informativa, só é tolerável numa "situação de perigo", em que existe probabilidade de ocorrência de um evento lesivo, não é excessivo ou desrazoável que o acesso aos dados de base se estenda a uma "situação de risco", em que possibilidade de ocorrência de um evento lesivo é incerta ou reduzida. Por variadas razões, que o legislador não pode prever, os serviços que compõem o SIRP, podem necessitar de produzir informações para prevenção de riscos à segurança interna e defesa nacional com recurso a "dados contratuais" de comunicações eletrónicas, sem que esse acesso possa ser configurado como intromissão na (tele)comunicação entre pessoas. Para esse efeito - avaliação e antecipação de riscos - as balizas de atuação do SIS e do SIED estão suficientemente traçadas nos artigos 6.º e 9.º da Lei Orgânica n.º 4/2017. Perante a incerteza que encerra a prevenção de riscos de atentados à segurança interna e à segurança nacional, o SIRP não pode estar constrangido a uma atuação baseada em pressupostos firmes, podendo aceitar-se espaços de ponderação valorativa que não podem estar presentes nas situações de perigo. Por isso, não estando em causa a confidencialidade das comunicações, o poder de intromissão naquela categoria específica de dados pessoais não fere intoleravelmente a esfera jurídica dos titulares dos dados. - Lino Rodrigues Ribeiro

Declaração de voto

[referente à decisão da alínea b) do dispositivo e à fundamentação das decisões das alíneas a) e c)]

1 - A proteção constitucional dos dados pessoais deve ser perspetivada de modo integrado, pois todos os aspetos respeitantes ao seu tratamento - desde a sua recolha e conservação, a transmissão a terceiros e a utilização e conexão com outros dados -, embora autónomos, estão interligados não podendo ser analisados isoladamente. Com efeito, as diferentes expressões ou modos que pode assumir o tratamento de dados pessoais não autorizado pelo respetivo titular representam uma ou mais agressões aos seus direitos fundamentais, em particular ao direito à autodeterminação informativa e, caso estejam em causa comunicações interpessoais, também ao direito à autodeterminação comunicativa.

Por outro lado, resulta claramente da presente decisão que os dados no domínio das comunicações interpessoais que permitem a identificação das pessoas também são dados pessoais e que, por conseguinte, a tutela constitucional da autodeterminação comunicativa é especial relativamente à tutela constitucional em matéria de autodeterminação informativa (cf. os n.os 8, in fine, 9, in fine, e 11.2.1 do acórdão).

Com base nestas duas premissas, subscrevo integralmente a fundamentação do acórdão na parte respeitante à aplicação ao caso do artigo 34.º, n.º 4, da Constituição (v., em especial, os n.os 9 e 11.1).

Aliás, não poderia deixar de causar enorme perplexidade que, depois de uma pronúncia tão clara como a que consta do Acórdão n.º 403/2015, o Tribunal, a propósito da mesma matéria e com referência ao mesmo parâmetro, viesse a adotar um entendimento diferente. Onde a Constituição é clara por razões históricas, literais, sistemáticas e teleológicas, no sentido da defesa dos direitos fundamentais de liberdade perante os poderes públicos, não pode o Tribunal adotar uma hermenêutica constitucional em que tais direitos comecem por ser perspetivados enquanto fonte de deveres de proteção legitimadores de intervenções intrusivas no seu âmbito de aplicação. A prevenção de perigos para os direitos fundamentais é necessária e devida, mas apenas - e só - no quadro do respeito pelo Estado de direito democrático. Esse é, de resto, o caminho seguido em experiências constitucionais próximas da portuguesa, onde tais exigências conduzem frequentemente à introdução de modificações na Constituição. O que não se afigura admissível é contornar - ou considerar ultrapassados - os obstáculos colocados pelas referidas exigências sob a invocação de um consenso político alargado, mas que, todavia, não chegou a ser vertido nas formas próprias e devidas do quadro constitucional vigente.

Por concordar com o que na presente decisão é referido a propósito do sentido e alcance do artigo 34.º, n.º 4, da Constituição, as considerações que se seguem respeitam apenas à avaliação da proporcionalidade das soluções normativas analisadas à luz dos artigos 26.º, n.º 1, e 35.º, n.os 1 e 4, da Constituição respeitantes à autodeterminação informativa, matéria que é objeto dos n.os 10, 11.2 e 12 daquela decisão. De todo o modo, atento o mencionado caráter geral (e, por isso, também subsidiário) da tutela constitucional da autodeterminação informativa, tais considerações são transponíveis para o domínio da autodeterminação comunicativa, nomeadamente com referência aos dados de tráfego por ela tutelados, pelo que, se não fora a regra proibitiva consagrada no citado artigo 34.º, n.º 4, as mesmas considerações poderiam adquirir uma relevância autónoma a propósito da autodeterminação comunicativa.

Igualmente no tocante à aplicação do princípio da proporcionalidade neste domínio, não está em causa a inviabilização da defesa dos valores próprios do Estado de direito democrático. Bem pelo contrário, e como uma vez mais as experiências constitucionais próximas da nossa comprovam, são esses mesmos valores que impõem que a respetiva defesa, sem perda da eficácia, se faça ao abrigo de uma disciplina que assegure as garantias próprias de tal tipo de Estado.

2 - A Lei Orgânica n.º 4/2017, de 25 de agosto, vem, ao abrigo da concessão prevista no artigo 15.º, n.º 1, da Diretiva n.º 2002/58/CE citada no acórdão, disciplinar o acesso por oficiais de informações do SIS e do SIED a certo tipo de dados de toda e qualquer pessoa singular ou coletiva que utilize as comunicações eletrónicas (note-se que é justamente por estar em causa a iniciativa legislativa de um Estado-Membro correspondente a uma derrogação facultativa de normas de direito da União Europeia em domínio por este harmonizado, permitida pelo próprio direito da União, que o Tribunal Constitucional, apesar de as medidas legislativas nacionais em causa estarem abrangidas pela referida Diretiva - e, nessa medida, constituírem "aplicação de direito da União", nos termos e para os efeitos do disposto no artigo 51.º, n.º 1, da Carta dos Direitos Fundamentais da União Europeia [cf. a síntese formulada no Acórdão do Tribunal de Justiça de 2 de outubro de 2018, Ministerio Fiscal, C- 207/16, EU:C:2018:788, n.os 34 a 37] -, não pôde deixar de exercer a sua competência em matéria de fiscalização abstrata sucessiva da constitucionalidade, sem prejuízo da competência do Tribunal de Justiça relativamente à interpretação do direito da União que eventualmente possa ser considerada necessária para a apreciação e decisão sobre a aplicabilidade das normas nacionais em causa no âmbito do ordenamento português; cf. o n.º 6, alínea b), do acórdão). Os dados em causa, são, por determinação legal, recolhidos sistemática e generalizadamente e sem uma qualquer razão específica pelos prestadores de serviços de comunicações eletrónicas e conservados durante o período de um ano (cf. os artigos 4.º e 6.º da Lei n.º 32/2008, de 17 de julho). Os titulares desses dados não podem opor-se a tal conservação (cf. ibidem, o artigo 3.º, n.º 4). A razão de ser fundamental da imposição da obrigação dessa conservação de dados é possibilitar a posterior transmissão às autoridades de apenas alguns deles referentes a certas pessoas, tendo em vista a deteção e esclarecimento de situações indispensáveis à prevenção e repressão de uma criminalidade caracterizada pelo recurso cada vez mais frequente às comunicações eletrónicas, seja na fase de preparação, seja na fase de execução.

As exigências relativas ao acesso a esta "reserva cautelar de dados" por parte das referidas autoridades - em rigor, não se trata de uma única reserva, pois cada fornecedor de serviços de comunicações eletrónicas está obrigado à conservação dos dados de todos os seus clientes - têm de assegurar que os dados acedidos só sejam utilizados para as finalidades que estiveram na base da justificação da obrigação legal de conservação dos dados de todos os utilizadores sem uma razão determinada. De outro modo, por causa do caráter geral, sistemático e indiscriminado daquele armazenamento, podem surgir, a jusante, intrusões consequentes no âmbito de proteção do direito à autodeterminação informativa de qualquer um.

Na verdade, a falta de razões concretas para armazenar sistematicamente dados pessoais sem o consentimento dos seus titulares durante um certo período de tempo, além de constituir per se uma ingerência no âmbito de proteção daquele direito, potencia o risco de novas ingerências não antecipáveis pelos titulares dos dados. Recorde-se que o efeito protetor dos direitos fundamentais referentes ao tratamento de dados não se circunscreve ao primeiro acesso, estendendo-se igualmente a todo o processamento subsequente dos mesmos dados, o qual frequentemente também reveste caráter intrusivo (cf., por exemplo, e, respetivamente, as decisões do Tribunal Constitucional Federal alemão Volkszählung, de 15 de dezembro de 1983, a seguir referida como BVerfGE 65, 1 [46], e Telekommunikationsüberwachung, de 14 de julho de 1999, a seguir referida como BVerfGE 100, 313 [359]). Na verdade, as disposições que conferem poderes às autoridades públicas para acederem e utilizarem dados pessoais no domínio das comunicações criam, em regra, uma "cadeia de diferentes agressões baseadas umas nas outras" [verschiedene, aufeinander aufbauende Eingriffe] (assim, v. a decisão do Tribunal Constitucional Federal alemão Zuordnung dynamischer IP-Adressen, de 24 de janeiro de 2012, a seguir referida como BVerfGE 130, 151 [184]). Acresce a proteção específica proporcionada pelo direito à autodeterminação informativa contra os perigos para o direito ao desenvolvimento da personalidade, a liberdade geral de ação e o direito à reserva da intimidade da vida privada e familiar decorrentes do tratamento informatizado de dados (incluindo os dados publicamente acessíveis; cf. as decisões do Tribunal Constitucional Federal alemão Online-Durchsuchungen, de 27 de fevereiro de 2008, a seguir referida como BVerfGE 120, 378 [397 ff.], BVerfGE 130, 151 [183 f.] e KfZ-Kennzeichenkontrollen 2, de 18 de dezembro de 2018, a seguir referida como 1 BvR 142/15, Rn. 37-39; salientando igualmente a projeção de ingerências no mencionado direito à autodeterminação informativa sobre outros direitos fundamentais, v. o Acórdão Tele 2, já citado no presente acórdão, n.os 92 e 93).

Deste modo, o tratamento de dados subsequente a uma agressão inicial ao direito à autodeterminação informativa - in casu consubstanciada na conservação sistemática de dados sem uma razão específica - tem igualmente de ser apreciado e avaliado com referência à proteção assegurada por tal direito. Desde logo, e no que ora releva, a transmissão dos dados armazenados pelos prestadores de serviços de comunicações eletrónicas a autoridades públicas e a possibilidade de acesso destas aos mesmos a fim de os utilizarem na prossecução das respetivas atribuições. Ou seja, as normas legais aplicáveis a cada um destes modos de tratamento de dados constituem, por isso, restrições legais do direito à autodeterminação informativa. Daí a necessidade de um cuidado acrescido na conformação do regime legal de acesso e de utilização dos dados em causa pelas autoridades competentes, nomeadamente quanto à definição das condições de acesso e ao estabelecimento de garantias de que os dados, uma vez acedidos, não sejam utilizados para fins diferentes daqueles que justificaram o armazenamento inicial nem fiquem definitivamente "perdidos" para o seu titular (no sentido de este perder o seu rasto e de ficar impossibilitado não só de pedir a sua eliminação, como de conhecer a utilização que dos mesmos é feita, por quem e para quê).

O equilíbrio de tal regime, globalmente considerado, é que permite avaliar se as diversas agressões decorrentes da transmissão às autoridades dos dados previamente armazenados pelos prestadores de serviços de comunicações eletrónicas podem ser justificadas à luz do princípio da proporcionalidade.

3 - Para além dos fundamentos que estão na base dos juízos positivos de inconstitucionalidade formulados no presente acórdão, nomeadamente nas alíneas a) e c) do seu dispositivo, com os quais concordo, entendo que o regime de acesso aos dados de telecomunicações e de internet - dados esses cuja sensibilidade resulta do que na sequência do seu tratamento automatizado podem revelar sobre cada um e, principalmente, de poderem ser utilizados na construção de perfis detalhados quanto à personalidade, à mobilidade, às interações e ao envolvimento sociais ou, no caso de entes coletivos, também aos respetivos procedimentos decisórios (cf. a decisão do Tribunal Constitucional Federal alemão Vorratsdatenspeicherung, de 2 de março de 2010, a seguir referida como BVerfGE 125, 260 [318 f.], e o Acórdão Tele 2, n.os 98 a 100) - por parte dos oficiais de informações do SIS e do SIED consagrado nos artigos 3.º e 4.º da Lei Orgânica n.º 4/2017 é, todo ele - incluindo, pois, a parte referida na alínea b) do dispositivo -, desproporcionado e, por isso, incompatível com o direito à autodeterminação informativa pelas seguintes razões:

ii) A omissão de previsão do dever de notificar as pessoas cujos dados são transmitidos aos serviços de informações do facto dessa transmissão ter sido realizada;

iii) A omissão de previsão da garantia de que os dados pessoais acedidos pelos SIS e pelo SIED só possam ser transmitidos a terceiros, nomeadamente a serviços de Estados que não sejam membros da União Europeia ou a organizações internacionais, desde que se mostre assegurado um nível de proteção de dados equivalente àquele a que estão obrigados os serviços de informações nacionais.

4 - O acesso de autoridades públicas a dados previamente armazenados tão sensíveis como os referidos na Lei Orgânica n.º 4/2017, devido à gravidade da agressão ao direito à autodeterminação informativa do titular dos dados que tal acesso representa, só pode ser legitimado pela eficácia da proteção preventiva relativamente a bens constitucionalmente muito importantes. Em vista deste fim, que em si mesmo é legítimo, o acesso em causa, além de adequado e necessário para a consecução do mesmo, deve estar submetido a condições fixadas por lei formal tão precisa e clara que permita aos titulares dos dados em causa antecipar ou prever tal acesso - evitando-o, se assim o entenderem, por via da omissão dos comportamentos que podem constituir pressuposto da autorização de acesso - e que forneça às entidades competentes uma medida legal, um critério, para autorizarem o acesso e para o controlarem (cf. o artigo 18.º, n.º 2, da Constituição, e, sobre a exigência de precisão ou determinabilidade das leis restritivas de direitos, liberdades e garantias enquanto condição necessária para aferir da respetiva proporcionalidade, v. os Acórdãos deste Tribunal n.os 285/92 [III, C), n.º 5], 474/2013 [n.º 12] e 225/2018 [n.º 53]; neste domínio específico do tratamento de dados, v. também, por exemplo, a decisão BVerfGE 120, 378 [407 f.] e a decisão do Tribunal Constitucional Federal alemão Bundeskriminalamtsgesetz, de 20 de abril de 2016, a seguir referida como BVerfGE 141, 220 [265], os Acórdãos Digital Rights, já citado na presente decisão, n.os 54 e 55, e Tele 2, n.os 109 e 117; v., por último, o Parecer n.º 1/15 do Tribunal de Justiça [Grande Secção], de 26 de julho de 2017, n.º 141, que refere igualmente jurisprudência do Tribunal Europeu dos Direitos Humanos).

A razão legal justificativa do acesso tem, por isso, de corresponder a uma situação de facto concreta que circunscreva efetivamente a atuação possível das autoridades, tornando claros os limites da atuação permitida. Esta exigência torna-se ainda mais premente nos casos - como o presente - em que os dados de todos são conservados sem uma qualquer razão específica, justamente para efeitos de uma eventual posterior transmissão às autoridades públicas, a seu pedido, mediante um procedimento secreto e não observável pelas pessoas afetadas (cf. o artigo 14.º, n.º 5, da Lei Orgânica n.º 4/2017). Com efeito, tais circunstâncias, por poderem criar na generalidade das pessoas a sensação de estarem sob uma vigilância permanente por parte das autoridades, aumentam o grau de agressão ao direito à autodeterminação informativa: «as pessoas não sabem o que uma dada autoridade pública sabe sobre elas, mas sabem que as autoridades podem saber muito sobre elas, incluindo informações muito pessoais» (cf. a decisão BVerfGE 125, 260 [335]; no mesmo sentido, v. o Acórdão Tele 2, n.º 100).

Ora, a cláusula de prevenção de atos relacionados com certos crimes consagrada nos artigos 3.º e 4.º daquele diploma não satisfaz tal exigência.

4.1 - Desde logo, porque não é unívoco em todos os casos previstos o crime concretamente visado e o alcance possível da sua prevenção.

Por exemplo, no que se refere ao «terrorismo», é visado apenas o crime homónimo previsto no artigo 4.º da Lei n.º 52/2003, de 22 de agosto, ou também os crimes de «organizações terroristas», «terrorismo internacional» e «financiamento do terrorismo» previstos, respetivamente, nos artigos 2.º e 3.º, 5.º e 5.º-A da mesma Lei? Note-se que, para efeitos do disposto no Código de Processo Penal, todos os citados crimes são considerados «terrorismo» (cf. o artigo 1.º, n.º 1, alínea i), deste Código). Em qualquer caso, e independentemente da punição dos atos preparatórios do crime de terrorismo estatuída no artigo 2.º, n.º 4, da Lei n.º 52/2003, a verdade é que a prevenção do terrorismo - mesmo que praticado por um só indivíduo - não pode deixar de abranger o seu financiamento e eventuais ajudas ou colaborações.

Os atos preparatórios do crime de «espionagem» também são punidos (cf. o artigo 344.º do Código Penal com referência ao artigo 317.º do mesmo diploma). Tal amplia muitíssimo o âmbito possível da prevenção: pense-se, por exemplo, na interação de alguém com acesso a documentos classificados como segredo de Estado com uma associação ou organização estrangeira. Ora, só em função do contexto concreto pode ser afastado o eventual caráter preparatório. Aliás, a simples ideia de prevenção pode, em tese, justificar a vigilância de todos os que tenham acesso a tal tipo de informação. Nesse caso, qual o critério legal para vigiar A, mas já não B?

A mesma amplitude quanto à prevenção pode ser replicada a propósito dos atos de «sabotagem» (cf. o artigo 329.º do Código Penal): perante a agitação académica ou social, qual o facto que justifica iniciar a vigilância tendo em vista prevenir greves "incómodas" e eventualmente lesivas de interesses importantes, protestos sob a forma de "fecho a cadeado" das portas de uma universidade ou o "corte" (temporário) de uma estrada?

Por outro lado, onde encontrar a definição relevante para efeitos do artigo 3.º da Lei Orgânica n.º 4/2017 da noção de «proliferação de armas de destruição maciça»? E a «criminalidade altamente organizada» corresponde apenas ao conceito homónimo definido no artigo 1.º, n.º 1, alínea m), do Código de Processo Penal, ou deverá ser entendida como um conceito indeterminado, à maneira dos «crimes graves» cuja investigação e repressão justifica a transmissão do mesmo tipo de dados dos que aqui estão em causa, nos termos da Lei n.º 32/2008, de 17 de julho (cf. o respetivo artigo 9.º, n.º 1)?

4.2 - As aludidas imprecisões ganham maior acuidade em razão da natureza da atividade desenvolvida pelos serviços de informações, ou seja, as autoridades às quais os dados em causa podem ser transmitidos.

Diferentemente do que sucede com a transmissão de dados prevista no artigo 9.º da Lei n.º 32/2008 - a transmissão dos dados de telecomunicações e de internet previamente armazenados pode ser autorizada para fins de investigação e repressão de crimes graves («se houver razões para crer que a diligência é indispensável para a descoberta da verdade ou que a prova seria, de outra forma, impossível ou muito difícil de obter no âmbito da investigação, deteção e repressão de crimes graves» -, a Lei Orgânica n.º 4/2017 visa disciplinar a transmissão de dados para fins de mera prevenção de atos criminosos que ameacem bens jurídicos muito importantes. A prevenção de perigos implica juízos de prognose baseados em regras de experiência quanto à probabilidade de lesão de um dado bem jurídico - orienta-se, por conseguinte, objetivamente, em função da situação de perigo criada em relação a determinado bem; a repressão criminal parte da verificação de um ato danoso punível como crime e procura determinar as circunstâncias da sua produção e o responsável pela sua prática - a orientação aqui é referida essencialmente à pessoa do suspeito da prática do crime (cf. os desenvolvimentos constantes dos n.os 11.2.3 e 11.2.4 do presente acórdão).

As diferentes perspetivas coenvolvidas - respetivamente, análise de situações objetivas ex ante e a descoberta ex post e perseguição de suspeitos de terem praticado certos crimes - têm levado a considerar, neste domínio da intrusão no âmbito de proteção do direito à autodeterminação informativa, que a autorização de acesso a dados sensíveis com fins de mera prevenção por simples referência a um catálogo de crimes, tendo em vista evitar que os mesmos venham a ser cometidos e, consequentemente, lesados os bens por eles protegidos, não constitui a técnica normativa mais adequada, uma vez que não são claras as exigências e os critérios quanto à intensidade do perigo para os bens jurídicos a proteger e que é relevante para permitir a intrusão. Esta incerteza é agravada nos casos em que o perigo para tais bens já é, ele próprio, objeto de incriminação ou nos casos em que os atos preparatórios dos crimes do catálogo também são punidos (cf. a decisão BVerfGE 125, 260 [329]). Acresce, no que se refere especificamente aos serviços de informações, que a respetiva atuação neste domínio se deve submeter às exigências aplicáveis em matéria de prevenção: «as exigências constitucionais para a utilização de dados ordenada à prevenção de perigos [Gefahrenabwehr] valem para todas as habilitações de intrusão com fins preventivos. As mesmas valem assim também para o processamento de dados pelos serviços de informações [e não apenas para a atuação preventiva de cariz policial]» (cf. a decisão BVerfGE 125, 260 [331]).

Para superar estas dificuldades, deve o legislador, ao invés, tomar como referência imediata os próprios bens jurídicos cuja proteção justifica o acesso e posterior utilização dos dados em causa e determinar o grau de ameaça de lesão de tais bens a partir do qual se deve considerar verificado o pressuposto para autorizar o acesso aos dados. Uma solução normativa deste tipo é a que mais se ajusta à prevenção de perigos enquanto modo de proteção de bens jurídicos e garante uma conexão imediata ao fim justificativo da ingerência no âmbito de proteção do direito fundamental (cf. ibidem, pp. 329-330).

Em qualquer caso, a base legal habilitante da ingerência tem de conter indicações factuais e pontos de referência a identificar numa dada situação que indiciem um perigo suficientemente caracterizado para os bens jurídicos a proteger; ou, pelo menos, tais indicações devem levar a concluir que uma situação desse tipo poderá ocorrer num futuro próximo. As meras suspeitas ou suposições gerais baseadas na experiência são insuficientes. O mesmo se passa com conjeturas factualmente fundadas sobre possíveis perigos, em que a situação de facto se caracteriza por uma grande abertura quanto ao desenvolvimento futuro. Com efeito, as indicações factuais normativamente exigíveis devem permitir identificar situações concretas em que, com um grau variável de proximidade temporal, determinadas pessoas poderão lesar os bens jurídicos considerados (cf. as decisões BVerfGE 120, 274 [328 f.], 125, 260 [330 f.] e 141, 220 [271 ff.]) - revestindo tais bens, naturalmente, uma importância constitucional fundamental.

Especialmente em relação a formas de criminalidade muito complexas que ameacem bens especialmente importantes, pode o legislador alargar os limites da possibilidade de intervenção para além do "perigo concreto" típico da prevenção policial (uma situação em que, se nada se fizer no imediato ou a muito curto prazo, ocorrerá com grande probabilidade a lesão de um bem jurídico protegido), reduzindo as exigências quanto à previsibilidade da sequência causal e, portanto, fazendo recuar a intervenção a situações suscetíveis de serem integradas numa fase preparatória ainda relativamente longínqua - trata-se do "campo avançado" próprio da antecipação de perigos para bens jurídicos valiosos (cf. o n.º 11.1.2 do presente acórdão). Mas, também nesses casos, deve a verificação de factos concretos que suportem a prognose de um acontecimento que conduza à lesão dos bens protegidos por pessoas determinadas constar da previsão legal (cf. a exigência de "situações de perigo suficientemente indiciadas" referida no n.º 11.2.3 do acórdão). Por exemplo, em relação à prevenção de atos de terrorismo, «frequentemente praticados na sequência de um longo planeamento, de modos muito diferenciados e em locais não previsíveis por indivíduos não condenados anteriormente em processos criminais, podem ser autorizadas medidas de vigilância, mesmo que não seja conhecido um acontecimento concreto e previsível, desde que o comportamento individual de certa pessoa funde a probabilidade concreta de que num futuro mais ou menos próximo irá praticar crimes dessa natureza» (cf. a decisão BVerfGE 141, 220 [272 f.]: o exemplo mencionado é o da entrada no país de uma pessoa que tenha estado num campo de treino para terroristas localizado no estrangeiro; porém, se o fundamento da intrusão se localizasse ainda mais a montante de uma situação de perigo não totalmente definido para os bens jurídicos protegidos, por hipótese, a atração intelectual por uma compreensão religiosa de cariz fundamentalista, o custo da ingerência consubstanciada na vigilância já provavelmente deixaria de ser compensado pelo valor dos fins intencionados).

4.3 - Mas não é nada disso que se passa com as previsões dos artigos 3.º e 4.º da Lei Orgânica n.º 4/2017. Acompanhando e procurando reforçar o que se afirma no n.º 11.2.4 do acórdão - afirmações essas que considero transponíveis para o âmbito de aplicação do artigo 3.º da citada Lei -, verifico que nenhum daqueles dois preceitos contém uma medida clara e precisa quanto aos limites da intrusão. Consequentemente, os mesmos artigos, por si só ou em conjugação com outros elementos do regime em causa, não permitem assegurar que a lesão do direito fundamental à autodeterminação informativa, consubstanciada no acesso por parte dos oficiais do SIS e do SIED aos dados de telecomunicações e internet - revistam eles a natureza de dados de base, de dados de localização de equipamento ou de dados de tráfego (cf. o artigo 2.º, n.º 2, da Lei Orgânica n.º 4/2017) - previamente armazenados pelos prestadores de serviços de comunicações eletrónicas (o mesmo é dizer, a carga coativa) seja, em todos os casos, reduzida ao mínimo indispensável à proteção dos bens jurídicos que, enquanto interesse público fundamental, a legitima (o ganho ou benefício para o interesse público). A racionalidade e justa medida entre as vantagens (públicas) e desvantagens (privadas), entre benefícios e custos, não se mostra, por isso, suficientemente garantida.

Para que assim não fosse, seria indispensável determinar no amplíssimo campo da prevenção - que pode ir da mera possibilidade de dano, mais ou menos remota, até ao limiar do perigo concreto, passando pela precaução, pela suspeita de perigo e por várias outras situações em que a aproximação do dano pode surgir com maior ou menor definição e com maior ou menor urgência - um tipo de situação objetivamente comprovável a partir da qual a análise custos-benefícios, fundada na consistência da prognose relativamente ao dano do bem jurídico considerado, pudesse ser submetida a uma apreciação crítica.

Com efeito, a cláusula de prevenção daqueles dois artigos limita-se a remeter para as atribuições do SIS e do SIED. O primeiro é, justamente, «o organismo incumbido da produção de informações que contribuam para [...] a prevenção da sabotagem, do terrorismo, da espionagem e a prática de atos que, pela sua natureza, possam alterar ou destruir o Estado de direito constitucionalmente estabelecido» (cf. o artigo 21.º da Lei-Quadro do Sistema de Informações da República - Lei n.º 30/84, de 5 de setembro). Nesse quadro, os «factos que suportam o pedido» de acesso aos dados, assim como as pessoas envolvidas em tais factos elegíveis como «alvo» ou «intermediário determinado» (cf. os artigos 6.º, n.º 1, alínea a), e 9.º, n.º 2, alíneas b) e c), ambos da Lei Orgânica n.º 4/2017), podem ser quaisquer indivíduos ou entidades que, no juízo do SIS ou do SIED, apresentem uma qualquer possibilidade de conexão - a lei nem sequer exige um risco mínimo - com a prática futura de um dos crimes do "catálogo" (crimes esses que, conforme mencionado, também não se encontram claramente identificados). Mais: o legislador até parece admitir que o acesso aos dados pessoais seja meramente instrumental «para a obtenção de informação» que nem sequer diga diretamente respeito ao titular dos dados [cf. o artigo 6.º, n.º 1, alínea b), da citada Lei: por hipótese, a ocupação de uma casa ou a utilização de um veículo ou computador). Em suma, nos termos legais, o fim da prevenção, tal como avaliada pelo SIS e pelo SIED, justifica sempre o acesso aos dados.

Deste modo, a prerrogativa de avaliação reconhecida aos serviços de informações no domínio da prevenção, torna a garantia do controlo a priori desenvolvido pela formação de conselheiros do Supremo Tribunal de Justiça, em larga medida, ineficaz. A proporcionalidade do pedido referida no artigo 10.º, n.os 1 e 2, da Lei Orgânica n.º 4/2017 só pode ser medida em função dos próprios termos em que o pedido é formulado, designadamente das finalidades invocadas dentro do âmbito demasiado vago e indeterminado da prevenção: salvo desvio de poder ou erro de facto manifesto, não se vislumbram outros fundamentos legais para a denegação da autorização de acesso.

Por outro lado, é verdade que a mesma formação de conselheiros deve assegurar «a ponderação da relevância dos fundamentos do pedido e a salvaguarda dos direitos, liberdades e garantias constitucionalmente previstos», de acordo com o estatuído no artigo 5.º daquele diploma (itálico adicionado). Simplesmente, esta remissão para a decisão do caso concreto da solução do conflito entre os direitos dos titulares dos dados e o interesse público na prevenção é, por si só, insuficiente.

Desde logo, tal ponderação é sempre exigível, devendo, em todo o caso, assegurar-se aos órgãos de controlo a possibilidade da sua realização. O prazo de decisão e a possibilidade de determinar a todo o momento o cancelamento de procedimento em curso concorrem decerto nesse sentido (cf., respetivamente, os artigos 10.º, n.os 3 e 4, e 12.º, n.º 3, da Lei Orgânica n.º 4/2017). E o mesmo se diga quanto à fundamentação do pedido de acesso aos dados (cf. ibidem, o artigo 9.º, n.º 2).

Porém, no caso vertente, o que se discute é a localização das próprias balizas da prevenção constitucionalmente admissível, em função do direito fundamental a comprimir - o direito à autodeterminação informativa - e do modus operandi da referida compressão (a partir de uma "reserva de dados" conservados indiscriminadamente e sem uma razão específica, em segredo e sem que os titulares do direito comprimido tenham consciência de estarem sob observação). A simples devolução da resolução do aludido conflito para decisões concretas não resolve, por isso, o problema específico da agressão ao direito à autodeterminação informativa aqui em análise: as pessoas em geral, sabendo que os seus dados se encontram conservados e acessíveis às autoridades mas desconhecendo as condições objetivas em que tal acesso é permitido, podem considerar ser mais prudente absterem-se de exercer outros direitos que sejam expressão da sua autonomia pessoal (liberdade de expressão, liberdade de circulação, liberdade de associação, entre outros) em consequência do receio de estarem ou virem a estar sob vigilância.

Acresce, por fim, ser igualmente seguro que as restrições legalmente previstas de direitos de liberdade fundadas em preocupações de prevenção não poderem, sob pena de violação do princípio da proporcionalidade, deixar de ser limitadas ao plano avançado de defesa definido em função daquele limiar de agressão que, garantindo a eficácia da prevenção, menos se afaste das situações de perigo concreto.

5 - No que se refere à omissão de previsão do dever de notificar as pessoas cujos dados são transmitidos aos serviços de informações do facto dessa transmissão ter sido realizada, cumpre começar por recordar que o artigo 35.º, n.º 1, da Constituição, reconhece o direito de acesso aos «dados informatizados» de cada um e o direito a conhecer a finalidade a que se destinam, em ambos os casos «nos termos da lei». Nesse sentido, a legislação aplicável, consagra o princípio da transparência em matéria de tratamento de dados pessoais, em função do qual aqueles direitos são concretizados e desenvolvidos (cf. o artigo 5.º, n.º 1, alínea a), do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016 - o Regulamento Geral sobre a Proteção de Dados -, e os direitos de informação e acesso, retificação e destruição e limitação do tratamento consagrados nos seus artigos 12.º e ss.; cf. também os direitos dos titulares dos dados consagrados na legislação anterior, nomeadamente nos artigos 10.º e ss. da Lei n.º 67/98, de 26 de outubro - Lei de Proteção de Dados Pessoais).

O pressuposto do exercício de todos esses direitos - incluindo a possibilidade de recurso à via jurisdicional para defesa de interesses relacionados com o tratamento desses dados - é naturalmente o conhecimento de que os dados do próprio estão a ser ou foram objeto de tratamento. Daí a importância fundamental para a transparência e consequente equilíbrio do regime em matéria de tratamento e proteção de dados do dever de informar o titular dos dados em causa. A exigência de informação, nomeadamente sob a forma de uma notificação, surge reforçada nos casos em que dados pessoais sensíveis de todos são armazenados sistematicamente e sem uma razão específica por prestadores de serviços no cumprimento de uma obrigação legal para fins de posterior disponibilização às autoridades, caso estas venham a considerar o acesso a alguns desses dados necessário para a prossecução das suas atribuições (cf. as decisões BVerfGE 65, 1 [44 ff.], 100, 313 [361], 125, 260 [335] e 141, 220 [282]; v., num domínio próximo, o artigo 13.º, n.º 2, alínea d), da Diretiva (UE) 2016/680, do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, e à livre circulação desses dados; e, apesar da transposição menos precisa no que se refere à disponibilização de informações sobre os dados em causa ao seu titular - e não apenas de informações gerais sobre dados -, o artigo 14.º, n.º 2, alínea d), da Lei n.º 59/2019, de 8 de agosto, que a transpôs). É evidente que, nos casos de vigilâncias encobertas legalmente autorizadas, a informação ao titular dos dados não pode comprometer a finalidade das medidas adotadas (cf., por analogia, o artigo 13.º, n.º 3, da citada Diretiva (UE) 2016/680, e o artigo 14.º, n.º 3, da Lei n.º 59/2019; recorde-se que este último diploma também inclui no seu âmbito de aplicação subjetivo o SIS, enquanto força de segurança - cf. o seu artigo 3.º, n.os 1, alínea i), e 3, e o artigo 25.º, n.º 2, alínea e), da Lei n.º 53/2008, de 29 de agosto, a Lei da Segurança Interna).

Todavia, e sem prejuízo de exceções determinadas com base numa ponderação caso a caso e sujeitas a reavaliações periódicas, designadamente no âmbito da prevenção e repressão da espionagem ou do terrorismo, o legislador deve prever, como regra, a informação posterior ao titular dos dados de que os mesmos: (i) foram acedidos e com que finalidade; (ii) constam ou constaram de uma base de dados; e, se for o caso (iii) em que data foram eliminados. Possibilita-se, desse modo, ao referido titular dos dados o exercício que ainda for possível ou que, em seu entender, se justificar dos direitos próprios da proteção de dados pessoais (cf. as decisões BVerfGE 125, 260 [336] e 141, 220 [283]; ver também os Acórdãos Schrems, n.º 95, e Tele 2, n.º 121 e, ainda, o Parecer n.º 1/15, n.os 218 a 220).