Acórdão do Tribunal Constitucional n.º 464/2019 — Declara a inconstitucionalidade, com força obrigatória geral, da norma constante do artigo 3.º da Lei Orgânica n.º…

ii) No que respeita ao controlo judicial e autorização prévia, a LO n.º 4/2017 reserva os mesmos agora a «uma formação das secções criminais do Supremo Tribunal de Justiça (STJ), constituída pelos presidentes das secções e por um juiz designado pelo Conselho Superior de Magistratura de entre os mais antigos destas secções» (art. 8.º e, também art. 5.º, n.º 1) - tendo a Lei de Organização do Sistema Judiciário sido alterada para contemplar tal específica formação das secções criminais (arts. 1.º, n.º 2 e 17.º da LO 4/2017). Assim, diversamente da Comissão de Controlo Prévio prevista no Decreto (cf. artigo 35.º), a formação em causa é configurada como uma (específica) formação das secções criminais do Supremo Tribunal de Justiça (e organicamente emanada destas) - constituída apenas por juízes das secções criminais do mesmo Supremo Tribunal (os presidentes das seções criminais e um juiz, de entre os mais antigos destas secções, designado pelo Conselho Superior de Magistratura). Deste modo, no exercício das competências que são lhe cometidas pela LO n.º 4/2017 - autorização prévia e controlo -, não deixa a formação (específica) em causa, e bem assim os magistrados que a integram, de comungar, em especial, da independência que constitui atributo próprio dos tribunais e da magistratura judicial, o que se revela particularmente relevante num domínio em que estão em causa direitos fundamentais e eventuais restrições aos mesmos. No mesmo sentido parece apontar o artigo 5.º, n.º 1, na parte em que se refere à obrigatoriedade de «autorização judicial prévia» por aquela formação específica das secções criminais do STJ - segundo o qual essa mesma formação (e a autorização pela mesma obrigatoriamente concedida) constitui «garante [d]a ponderação da relevância dos fundamentos do pedido e a salvaguarda dos direitos, liberdades e garantias constitucionalmente previstos».

iii) No que respeita aos traços de regime respeitantes à apreciação judicial (resultantes do art. 10.º), a LO n.º 4/2017 - para além dos traços que reproduzem o teor do artigo 4.º (art. 10.º, n.º 2) e regulam os prazos de decisão (art. 10.º, n.º 3, 1.ª parte, e n.º 4) - relevam em particular os termos dessa apreciação judicial, tendo o legislador cometido à formação judicial supra referida a apreciação da necessidade, adequação e proporcionalidade do pedido e estipulando que tal apreciação, designadamente no que se refere à «justa medida da espécie e da escala de informação obtida», «compreende a definição das categorias de dados de telecomunicações e Internet a fornecer pelos operadores, segundo um juízo restritivo de proibição do excesso que interdite o acesso indiscriminado a todos os dados de telecomunicações e Internet de um determinado cidadão, bem como a definição das condições de proteção do segredo profissional» (art. 10.º, n.º 1). Estipula ainda o mesmo preceito que a decisão judicial, sob a forma de despacho, deve ser «fundamentado com base em informações claras e completas, nomeadamente quanto aos objetivos do processamento» (art. 10.º, n.º 3, 2.ª parte). Deste modo o legislador, não só reitera - em consonância com o supra referido conceito de «medidas pontuais de acesso» - a interdição de acesso indiscriminado a todos os dados em causa do visado (assim circunscrevendo o acesso a tais dados a um acesso efetuado de modo seletivo), bem como impõe - em consonância com as exigências da fundamentação do pedido constante do artigo 9.º, n.º 2 - que a fundamentação da decisão judicial leve em conta informações claras e completas, designadamente quanto aos objetivos do processamento (dos dados cujo acesso estiver em causa).

iv) Por último, no que respeita aos traços de regime relativos às garantias instituído pelos artigos 12.º, 14.º 15.º e 16.º, resulta destes preceitos - bem como da sua conjugação com o n.º 1, parte final, do artigo 1.º e o artigo 8.º - que, para além do «controlo» exercido pela formação das secções criminais do STJ no momento da apreciação da admissibilidade do pedido e da decisão de autorização (judicial) prévia, são previstas outras formas de controlo - e correspondentes garantias - em fase posterior à autorização, i.e, durante o período em que se processa (e mantém) o acesso aos dados, quer cometidas à referida formação do STJ (art. 1.º, n.º 1, parte final e 12.º), quer cometidas à Comissão de Fiscalização de Dados do SIRP (art. 15.º) e ao Conselho de Fiscalização do SIRP (art. 16.º).

Por um lado, após a comunicação eletrónica através da qual se processa (com especiais cautelas) a transmissão diferida dos dados de telecomunicações e Internet - obtidos ao abrigo da LO n.º 4/2017 (cf. art. 11.º, n.º 1) e, assim, cujo acesso foi autorizado, nos termos da mesma - a formação do STJ que decide da concessão (ou não) de autorização de acesso, valida, nos termos do n.º 2 do artigo 12.º, o tratamento dos mesmos pelo SIS ou pelo SIED em conformidade com o disposto no n.º 1 do mesmo artigo - i.e., com vista a garantir o respeito pelos direitos, liberdades e garantias e pelo princípio da legalidade, assegurando, nomeadamente, que tais dados são recolhidos para finalidades determinadas, explícitas e legítimas e são adequados, pertinentes e não excessivos relativamente às finalidades para que são recolhidos (art. 12.º, n.º 1, alíneas a) e b)); e, em razão de tal controlo, pode determinar a todo o momento o cancelamento de procedimentos em curso de acesso aos dados em causa, bem como ordenar a destruição imediata de todos os dados obtidos de forma ilegal ou abusiva, ou que violem o âmbito da autorização judicial prévia, bem como os dados que sejam manifestamente estranhos ao processo, nomeadamente quando não tenham relação com o objeto ou finalidades do pedido ou cujo tratamento possa afetar gravemente direitos, liberdades e garantias (art. 12.º, n.º 3).

Por outro lado, à Comissão de Fiscalização de Dados do SIRP (art. 15.º) e ao Conselho de Fiscalização do SIRP (art. 16.º) são cometidas também competências de controlo.

A Comissão de Fiscalização de Dados do SIRP - à qual compete a fiscalização do respeito pelos princípios e cumprimento das regras relativos à qualidade e à salvaguarda da confidencialidade e da segurança dos dados obtidos nos termos da LO n.º 4/2017 - detém (para além dos poderes de fiscalização previstos no regime geral aplicável aos centros de dados do SIS e do SIED - cf. arts. 7.º, alínea c), 26.º e 27.º da Lei n.º 34/84, de 5 de setembro, que estabelece as bases gerais do SIRP), em especial, poderes de fiscalização oficiosa, por referência nominativa, dos dados de telecomunicações e Internet obtidos nos termos da mesma Lei, dando conhecimento ao Conselho de Fiscalização do SIRP das irregularidades ou violações verificadas, detendo igualmente poderes para ordenar o cancelamento ou retificação dos dados recolhidos que envolvam violação dos direitos, liberdades e garantias consignados na Constituição e na lei e, se for caso disso, exercer a correspondente ação penal (cf. art. 15.º, n.º 7, da LO n.º 4/2017 - à semelhança do disposto, respetivamente, no n.º 3 do art. 27.º e do n.º 6 do art. 26.º, ambos da referida Lei n.º 30/84). Ademais, é através da mesma Comissão que se exerce o «direito de acesso dos cidadãos aos dados processados ou conservados nos centros de dados do SIS e do SIED», segundo o procedimento previsto no regime geral aplicável aos centros de dados do SIS e do SIED quanto à fiscalização mediante participação (este regulado no artigo 26.º, n.º 5, da mencionada Lei n.º 30/84, de 5 de setembro, segundo o qual a fiscalização pela Comissão de Fiscalização de Dados do SIRP, com a composição prevista no n.º 2 do mesmo artigo, se exerce, além de verificações periódicas dos programas, dados e informações por amostragem, fornecidos sem referência nominativa, igualmente pelo acesso a dados e informações com referência nominativa, particularmente quando a mesma Comissão «entenda estar perante denúncia ou suspeita fundamentada da sua recolha ilegítima ou infundada»).

O Conselho de Fiscalização do SIRP detém também poderes de fiscalização relativamente ao procedimento de acesso e aos dados de telecomunicações e Internet obtidos nos termos da LO n.º 4/2017, podendo solicitar e obter esclarecimentos e informações complementares que considere necessários e adequados ao exercício das suas funções de fiscalização (cf. art. 16.º, n.º 2, parte final, da LO n.º 4/2017- à semelhança do disposto no art. 9.º, n.º 1, e n.º 2, alínea e), da Lei n.º 30/84, de 5 de setembro).

Para além das garantias que decorram do regime de proteção de dados consagrado nos artigos 12.º, 15.º e 16.º da LO n.º 4/2017, o artigo 14.º consagra igualmente garantias inerentes ao regime de proteção de dados (cf. em especial n.º 1 e n.º 2, alíneas a) a d)), sendo aplicável ao tratamento dos dados de telecomunicações e de Internet obtidos ao abrigo da LO n.º 4/2017 o regime especial de proteção de dados pessoais do SIRP (assim, n.º 3 e n.º 4 do art. 14.º [cf. Regulamento dos Centros de Dados do SIED e do SIS, aprovado em anexo à Resolução do Conselho de Ministros n.º 188/2017, de 23/11/2017, em especial arts. 4.º, alíneas a) e b), e 6.º, n.º 3, quanto à competência dos diretores dos centros de dados]) e o regime de segredo de Estado aplicável ao SIRP (cf. n.º 5 do art. 14.º - regime esse aprovado pela Lei n.º 6/94, de 7 de abril).

3 - Os traços de regime que acima se referenciam - parcial e fragmentariamente abordados na fundamentação que fez maioria quanto à declaração de inconstitucionalidade constante da alínea c) da Decisão - não podem deixar de se levar em consideração, em especial, para efeitos da posterior análise - uma vez afastada a violação do parâmetro constante do artigo 34.º, n.º 4, da Constituição -, da proporcionalidade (art. 18.º, n.º 2, da Constituição) das medidas de acesso a dados de tráfego previstas no artigo 4.º da LO n.º 4/2017, à luz dos direitos fundamentais (pelas mesmas restringidos) consagrados nos artigos 26.º, n.º 1, e 35.º, n.os 1 e 4, da Constituição. Tal análise será efetuada após a explicitação do vencimento parcial quanto à decisão, constante da alínea a) da fórmula decisória do Acórdão, de declaração de inconstitucionalidade com força obrigatória geral do segmento do artigo 3.º da LO n.º 4/2017 que prevê o acesso a dados de base e de localização de equipamento para efeitos de produção de informações necessárias à salvaguarda da defesa nacional e da segurança interna.

A2. O enquadramento das normas sindicadas à luz do Direito da União Europeia

4 - No que respeita ao enquadramento das normas sindicadas à luz do Direito da União Europeia, o Acórdão faz referência ao quadro europeu relevante (cf. II - Fundamentos, 6. Enquadramento, b) O quadro europeu, e c) a jurisprudência europeia em matéria de proteção da privacidade das comunicações eletrónicas, i. A Carta dos Direitos Fundamentais da UE). Não obstante, afiguram-se ainda pertinentes algumas referências (e precisões) no tocante ao enquadramento de Direito da União Europeia, na medida em que igualmente relevam, na perspetiva que se adota, para alcançar o juízo de não inconstitucionalidade das normas sindicadas que subscrevemos: i) quanto ao âmbito de aplicação do Direito da União Europeia; ii) quanto às especificidades de regime resultantes do Direito da União Europeia; e, por fim, iii) quanto ao alcance da jurisprudência do TJUE (e do TEDH) mencionada no Acórdão.

Sendo a regra, no que respeita ao âmbito de aplicação da Diretiva em causa (Diretiva 2002/58/CEE, na redação decorrente da Diretiva 2009/136/CE), tal como previsto no n.º 3 do seu artigo 1.º, que a mesma não se aplica a «atividades fora do âmbito do Tratado que instituiu a Comunidade Europeia», tais como as abrangidas pelos Títulos V e VI do TUE [à data (i.e., anteriormente à entrada em vigor do Tratado de Lisboa) Disposições relativas à Política Externa e de Segurança Comum (arts. 11.º-28.º do TUE) e Disposições relativas à cooperação policial e judiciária em matéria penal (arts. 29.º-42.º do TUE), respetivamente] e, «em caso algum, é aplicável às atividades relacionadas com a segurança pública, a defesa, a segurança do Estado (incluindo o bem-estar económico do Estado quando as atividades se relacionem com matérias de segurança do Estado) e as atividades do Estado em matéria de direito penal» (itálicos acrescentados), a mesma regra deve ser entendida à luz do disposto em duas outras fontes de Direito da União.

Por um lado, à luz do disposto no artigo 4.º, n.º 2, segundo parágrafo, in fine, e terceiro parágrafo, do TUE, segundo os quais, por um lado, a União respeita as funções essenciais do Estado, nomeadamente as que se destinam a garantir a integridade territorial, a manter a ordem pública e a salvaguardar a segurança nacional e, por outro lado, «Em especial, a segurança nacional continua a ser da exclusiva responsabilidade de cada Estado membro» (itálicos acrescentados) - assim afastando a inclusão da segurança nacional nas atribuições (partilhadas ou destinadas a apoiar, coordenar ou completar a ação dos Estados membros) da União Europeia.

Por outro lado, à luz do disposto no Regulamento Geral de Proteção de Dados (RGPD), aprovado pelo Regulamento (UE) n.º 2016/679 - o qual (como é referido no Acórdão) revogou a Diretiva n.º 95/46/CE (transposta pela Lei n.º 67/98, de 26 de outubro, "Lei de Proteção de Dados Pessoais") que a referida Diretiva n.º 2002/58/CE visou especificar e complementar (cf. art. 94.º e 95.º do RGPD). Com efeito, tal como disposto no artigo 1.º («Âmbito e objetivos»), n.º 3, da Diretiva 2002/58/CE, também o artigo 2.º, n.º 2, do RGPD («Âmbito de aplicação material») - que constitui, diversamente das Diretivas citadas, direito uniforme diretamente aplicável nos Estados membros - dispõe que o mesmo não se aplica ao tratamento de dados pessoais: a) Efetuada no exercício de atividades não sujeitas à aplicação do Direito da União; b) Efetuado pelos Estados membros no exercício de atividades abrangidas pelo âmbito de aplicação do Título V, capítulo 2, do TUE (ou seja, depois da entrada em vigor do Tratado de Lisboa, as Disposições específicas relativas à Política Externa e de Segurança Comum [Secção 1 - Disposições Comuns, arts. 23.º-41.º e Secção 2, Disposições relativas à Política Comum de Segurança e Defesa, arts. 42.º-46.º, todos do TUE]); d)Efetuado pelas autoridades competentes para efeitos de prevenção, investigação, deteção e repressão de infrações penais ou da execução de sanções penais, incluindo a salvaguarda e a prevenção de ameaças à segurança pública (note-se, aliás, que a delimitação negativa do âmbito de aplicação do RGPD é retomado no artigo 2.º, n.º 2, alíneas a), b) e d) da Proposta de Regulamento relativo à privacidade e às comunicações eletrónicas - COM(2017) 10 final de 10/1/2017).

Pese embora a não exata coincidência entre o elenco de domínios subtraídos ao âmbito de aplicação do direito derivado da União - por um lado, atividades fora do âmbito do [então] Tratado que instituiu a Comunidade Europeia [hoje, Tratado sobre o Funcionamento da União Europeia (TFUE)], atividades relacionadas com a segurança pública, a defesa, a segurança do Estado e as atividades do Estado em matéria de direito penal, por um lado (segundo o direito harmonizado); e, por outro lado, as atividades não sujeitas à aplicação do Direito da União, as atividades abrangidas pelo âmbito de aplicação das Disposições específicas relativas à Política Externa e de Segurança Comum e as atividades relacionadas com a prevenção, investigação, deteção e repressão de infrações penais ou da execução de sanções penais, incluindo a salvaguarda e a prevenção de ameaças à segurança pública (segundo o direito uniforme) - resulta daqueles vários preceitos a ideia essencial de que há um conjunto de domínios materiais (e correspondentes fins do Estado) à partida subtraído ao âmbito de aplicação do Direito da União - e relativamente aos quais, sendo possível aos Estados membros (e à União, como resultou da aprovação da Diretiva n.º 2006/24/CE e durante a sua vigência) usar da faculdade de aprovar medidas legislativas excecionais (e restritivas dos direitos consagrados também pelo ordenamento da União), as mesmas se encontrarem sujeitas, apenas nesse caso, a um regime que, ainda que seja objeto de uma harmonização mínima (como disposto no art. 15.º, n.º 1, da Diretiva n.º 2002/58/CE), comporta ainda, por força da natureza de tais fins, especificidades resultantes de tal natureza.

ii) Assim, e em segundo lugar, quanto às especificidades decorrentes do regime de Direito da União aplicável no caso aprovação, a título facultativo, das referidas medidas legislativas restritivas do âmbito dos direitos e obrigações decorrentes do mesmo Direito, não releva apenas o disposto no n.º 1 do art. 15.º da Diretiva n.º 2002/58/CE (Aplicação de determinadas disposições da Diretiva 95/46/CE - a qual, recorde-se, foi revogada pelo art. 94.º do RGPD) - que estabelece os fins (dos Estados membros) passíveis de justificar a adoção, a título facultativo, de medidas restritivas pelos mesmos Estados membros (salvaguarda da segurança nacional (ou seja, a segurança do Estado), a defesa, a segurança pública e a prevenção, a investigação, a deteção e a repressão de infrações penais ou a utilização não autorizada do sistema de comunicações eletrónicas) e os limites a observar na adoção de tais medidas («medida necessária, adequada e proporcionada numa sociedade democrática», para a salvaguarda de tais fins e, ainda, conformidade das mesmas com os «princípios gerais do direito comunitário, incluindo os mencionados nos [à data] n.os 1 e 2 do artigo 6.º do Tratado da União Europeia» [após a entrada em vigor do Tratado de Lisboa, no art. 2.º e no art. 6.º do TUE]) - mas igualmente o que hoje se dispõe no artigo 23.º do RGPD (que, por constar de ato de direito derivado com aplicabilidade direta, tem precedência sobre o disposto em atos de harmonização já que estes convocam necessariamente a transposição respetiva por ato legislativo nacional), preceito que não mereceu, todavia, qualquer referência na Fundamentação do Acórdão.

O artigo 23.º do RGPD, com a epígrafe «Limitações», prevê, no que relevará para o juízo de não inconstitucionalidade que se adota, que o Direito da União ou dos Estados membros pode limitar por medida legislativa o alcance das obrigações e dos direitos previstos nos artigos 12.º a 22.º e no artigo 34.º, bem como no artigo 5.º (todos do RGPD), na medida em que tais disposições correspondam aos direitos e obrigações previstos nos artigos 12.º a 22.º, desde que tal limitação respeite a essência dos direitos e liberdades fundamentais e constitua uma medida necessária e proporcionada numa sociedade democrática para assegurar os fins previstos nas respetivas (além das demais) alíneas a), b), c) e d), que correspondem aos domínios à partida subtraídos ao âmbito de aplicação do próprio RGPD (i.e., do Direito da União) - a segurança do Estado, a defesa, a segurança pública e a prevenção, investigação, deteção ou repressão de infrações penais, ou da execução de sanções penais, incluindo a salvaguarda e a prevenção de ameaças à segurança pública (previsão retomada no art. 11.º, n.º 1, da referida Proposta de Regulamento relativo à privacidade e às comunicações eletrónicas, que igualmente prevê que os prestadores de serviços de telecomunicações eletrónicas devem prever procedimentos internos para dar resposta ao pedido de acesso aos dados nos termos das referidas medidas legislativas, da União ou nacionais). Neste ponto, o conteúdo do n.º 1 do artigo 23.º do RGPD não se distancia, no essencial, da previsão anterior contida no n.º 1 do artigo 15.º da Diretiva n.º 2002/58/CE. Todavia, o n.º 2 do artigo 23.º do RGPD prevê - de modo inovatório face aquele artigo - que as medidas legislativas adotadas ao abrigo do n.º 1 e para os fins neste previstos, incluem, quando for relevante, «disposições explícitas» pelo menos relativas a um conjunto de itens (previstos nas alíneas a) a h) do mesmo n.º 2), incluindo ao direito dos titulares dos dados a serem informados da limitação, mas com uma ressalva que se afigura essencial para os presentes autos e omitida no Acórdão - «a menos que tal possa prejudicar o objetivo da limitação».

Pese embora a aplicabilidade direta do RGPD, a Lei n.º 58/2019, de 8 de agosto, que «assegura a execução, na ordem jurídica nacional» daquele RGPD, dispõe expressamente, que a lei «não se aplica aos ficheiros de dados pessoais constituídos e mantidos sob a responsabilidade do Sistema de Informações da República Portuguesa, que se rege por disposições específicas, nos termos da lei» - em consonância com o âmbito de aplicação material do RGPD fixado (negativamente) no seu artigo 2.º, n.º 2, e com as limitações enunciadas no artigo 23.º do mesmo Regulamento - sendo a «lei» para que aquele preceito remete, entre outras, a LO n.º 4/2017 em que se inserem as normas sindicadas nos presentes autos.

iii) Por último, e em terceiro lugar, quanto ao exato alcance da jurisprudência do TJUE mencionada no Acórdão e factualidade subjacente, em especial a jurisprudência prolatada no caso Tele2/Watson (referida em II, 6., b), e c), i.) e no caso Digital Ireland e.o. (referida em II, 6., c), i), cumpre precisar um aspeto essencial (omisso no Acórdão) que distingue os casos e as normas nacionais apreciados no acórdão Tele2/Watson das normas sindicadas nos presentes autos.

Não obstante estarem em causa naqueles casos apreciados pelo TJUE - tal como nos presentes autos -, medidas legislativas (nacionais) previstas no art. 15.º, n.º 1, da Diretiva 2002/58/CE, que derrogam (a exceção) o princípio da confidencialidade das comunicações e dos correspondentes dados de tráfego (a regra), as medidas que estiveram na origem da pronúncia prejudicial do TJUE - diversamente das sindicadas nos presentes autos - previam, para efeitos de luta contra a criminalidade, «uma conservação generalizada e indiferenciada de todos os dados de tráfego e dos dados de localização de todos os assinantes e utilizadores registados relativos a todos os meios de comunicação eletrónica e que obriga os prestadores de serviços de comunicações eletrónicas a conservarem esses dados de forma sistemática, contínua e sem nenhuma exceção» (cf. n.º 97, quanto às medidas em causa no caso Tele2 Sverige AB, C-203/15) - respondendo o TJUE à primeira questão prejudicial colocada pelo órgão jurisdicional nacional da Suécia no sentido de a interpretação das normas de Direito da União em causa (art. 15.º, n.º 1, da Diretiva 2002/58/CE, lido à luz dos arts. 7.º, 8.º e 11.º e 52.º n.º 1, da Carta) se opõe a tal regulamentação nacional (cf. n.º 112 e, n.º 134, 1), da fórmula decisória, do acórdão).

Como resulta da decisão de colocação da questão prejudicial, as categorias de dados visados pela legislação nacional da Suécia correspondiam, em substância, àquelas cuja conservação estava prevista na Diretiva 2006/24/CE - que, relembre-se, até ser julgada inválida pelo TJUE no caso Digital Ireland, visava harmonizar o direito dos Estados membros relativas às obrigações dos fornecedores de serviços de comunicações eletrónicas (publicamente disponíveis ou de um rede pública de comunicações) em matéria de conservação de determinados dados por eles gerados ou tratados, tendo em vista garantir a disponibilidade desses dados para efeitos de investigação, de deteção e de repressão de crimes graves (tal como definidos no direito nacional de cada Estado membro) -, assim subtraindo ao âmbito de aplicação do n.º 1 do art. 15.º da Diretiva 2002/58/CE os dados em causa, cuja conservação decorria do regime da Diretiva 2006/24/CE e para os referidos fins em causa (cf. art. 11.º da Diretiva 2006/24/CE, que introduziu um novo n.º 1-A na Diretiva 2002/58/CE).

O acórdão Tele2/Watson, ainda que apenas na fundamentação, não deixa aliás de admitir expressamente que as disposições de Direito da União aí interpretadas não se opõem a que um Estado adote regulamentação que permita, a título preventivo, a conservação seletiva dos dados de tráfego e de localização, para efeitos de luta contra a criminalidade grave, desde que a conservação dos dados observe um conjunto de requisitos (cf. n.º 108) - conservação limitada ao estritamente necessário no que se refere às categorias de dados a conservar, aos equipamentos de comunicação visados, às pessoas em causa e à duração de conservação fixada - para cujo cumprimento o TJUE indica de seguida diversas condições (cf. n.os 108 a 111). E, entre tais condições, indica o TJUE que no que respeita à delimitação de uma medida quanto ao público e às situações potencialmente abrangidas, a regulamentação nacional «deve basear-se em elementos objetivos que permitam visar um público cujos dados sejam suscetíveis de revelar uma relação, pelo menos indireta, com atos de criminalidade grave ou de prevenir um risco grave para a segurança pública», nomeadamente através de um «critério geográfico quando as autoridades nacionais competentes considerem, com base em elementos objetivos, que existe um risco elevado de preparação ou de execução desses atos, numa ou em mais zonas geográficas» (cf. n.º 111).

Considerando a concreta legislação em causa no primeiro caso, a interpretação do arco normativo de Direito da União que inclui o artigo 15.º, n.º 1, da Diretiva 2002/58/CE, na parte que se refere à luta contra a criminalidade grave constante do enunciado da decisão (cf. 134, 1)) não pode deixar de ser entendida no específico contexto da transposição da Diretiva 2006/24/CE que, como se referiu, visava (cf. art. 1.º, n.º 1) harmonizar o direito dos Estados membros quanto às obrigações dos fornecedores de serviços de comunicações eletrónicas para garantir a disponibilidade de certos dados por eles gerados ou tratados, para garantir a sua disponibilidade (apenas) para efeitos de investigação, de deteção e de repressão de crimes graves. E, pese embora esse específico contexto (e fim, admitido pelo Direito da União como fundamento de medidas restritivas), a interpretação afasta (tão só) a conformidade com o Direito da União de medidas legislativas nacionais que prevejam uma conservação generalizada e indiferenciada de todos os dados (de tráfego e de localização), de todos os assinantes e utilizadores registados e, relação a todos os meios de comunicação eletrónica, mas não resulta afastada à partida a conservação seletiva dos dados (de tráfego e de localização) em causa - a montante do respetivo acesso para os fins dos Estados membros elencados pelo Direito da União em derrogação (exceção) do princípio da confidencialidade das comunicações e dos correspondentes dados de tráfego (a regra).

Quanto à segunda questão prejudicial a que o TJUE deu resposta (em ambos os processos) - que este considerou independente do carácter generalizado ou circunscrito de uma conservação de dados i.e, independentemente do âmbito da obrigação de conservação de dados imposta aos prestadores de serviços de telecomunicações (cf. 113) - não pode deixar de sublinhar-se também o exato contexto da questão (legislação adotada na sequência da Diretiva 2006/24/CE) e teor das normas nacionais pertinentes quanto às condições de acesso aos dados, as exigências de segurança e o prazo de conservação - retomado no enunciado (conjunto) da segunda questão prejudicial apreciada pelo TJUE (acesso das autoridades aos dados conservados sem limitar esse acesso apenas para efeitos de luta contra a criminalidade grave [reitere-se, o fim único previsto na Diretiva 2006/24/CE - de investigação, de deteção e de repressão de crimes graves], acesso não submetido a um controlo prévio por um órgãos jurisdicional ou por uma autoridade administrativa independente e não exigência da conservação dos dados no território da União). Neste específico contexto, o TJUE também não afasta a possibilidade de acesso (não generalizado) a certos (não todos) dados conservados devendo a regulamentação nacional que o preveja basear-se em «critérios objetivos para definir as circunstâncias e as condições nas quais deve ser concedido às autoridades nacionais competentes o acesso aos dados dos assinantes ou dos utilizadores registados» em causa (cf. n.º 119). E determina de seguida que o acesso em relação ao (específico) fim em causa - objetivo da luta contra a criminalidade - «só poderá em princípio ser concedido aos dados de pessoas suspeitas de terem planeado, de estarem a cometer ou de terem cometido uma infração grave ou ainda de estarem envolvidas de uma maneira ou de outra numa infração deste tipo» (fazendo apelo, por analogia, ao acórdão proferido pelo TEDH no caso Zakharov c. Rússia [também citado no presente Acórdão em 6., c), ii., embora sem referenciar as diferenças do caso - e também do citado caso Big Brother - relativamente ao regime em que se inserem as normas ora sindicadas, estando ali em causa um regime de bulk interception e não de targeted interception (cf. caso Big Brother, 13/9/2018, par. 315]) mas admitindo também, «em situações específicas como aquelas em que os interesses vitais da segurança nacional, da defesa ou da segurança pública estejam ameaçados por atividades terroristas», o acesso aos «dados de outras pessoas quando existam elementos objetivos que permitam considerar que esses dados podem, num caso concreto, trazer uma contribuição efetiva para a luta contra essas atividades» (idem, n.º 119) - respondendo depois à segunda questão prejudicial no sentido de que o Direito da União Europeia se opõe a uma regulamentação nacional que regula o acesso aos dados conservados sem respeitar as três condições indicadas pelo TJUE (nos n.os 119, 120 e 122) e (as únicas) levadas à fórmula decisória do acórdão (cf. 134, 2)), entre as quais a limitação do acesso aos dados apenas para efeitos de criminalidade grave (condição que o TJUE, no caso Ministerio Fiscal, C-207/16, entendeu não ser exigível face ao afastamento da qualificação da ingerência em causa consubstanciada no pedido de acesso (a dados de identificação dos titulares do cartão SIM ativados num telemóvel roubado) como «grave» - cf. n.º 58 a 63).

Por último, e no que respeita à condição referida pelo TJUE no aresto em causa (cf. 121) - informação às pessoas visadas para que estas exerçam, nomeadamente, o direito ao recurso previsto no artigo 15.º, n.º 2, da Diretiva 2002/58/CE - e mencionada no presente Acórdão e neste considerada relevante para o juízo de proporcionalidade efetuado em relação ao artigo 4.º da LO n.º 4/2017 (cf. 11.2.4) - afiguram-se relevantes três notas: i) tal condição não foi levada à fórmula decisória (cf., 134, 2)); ii) a remissão para o Capítulo III da Diretiva 95/46/CE deve hoje ler-se como remissão para o Capítulo VIII (art. 77.º e ss.) do RGPD (art. 94.º, n.º 2, do RGPD que revogou aquela) - já em vigor, mais ainda não aplicável, à data da prolação do acórdão Tele2/Watson (cf. art. 99.º do RGPD); iii) mas tendo em conta a (já supra referida) limitação expressamente prevista na parte final da alínea h) do n.º 2 do artigo 23.º do RGPD, i.e., a expressa limitação ao direito dos titulares dos dados a serem informados da limitação «a menos que tal possa prejudicar o objectivo da limitação».

B) A questão de constitucionalidade das normas sindicadas

B1) A norma do artigo 3.º da Lei Orgânica n.º 4/2017

5 - Vencida parcialmente quanto à decisão e fundamentação na parte em que declara a inconstitucionalidade do segmento que prevê a segurança nacional.

Quanto à declaração de inconstitucionalidade da norma constante do artigo 3.º da LO n.º 4/2017, na parte em que admite o acesso dos oficiais de informações do SIS e do SIED, relativamente a dados de base e de localização de equipamento, quando não dão suporte a uma concreta comunicação, para efeitos de produção de informações necessárias à salvaguarda da defesa nacional e da segurança interna, por violação dos artigos 26.º, n.º 1, e 35.º, n.os 1 e 4, em conjugação com o artigo 18.º, n.º 2.º da Constituição da República Portuguesa (cf. II, 12.), a maioria que fez vencimento, após a análise do regime de acesso consagrado pela LO n.º 4/2017, nomeadamente as finalidades, os critérios, as formas, os limites e as garantias (que não podem deixar de ser completados pelas precisões de regime acima mencionadas), conclui pela não censura das medidas em causa no plano da adequação e da necessidade - conclusão que se acompanha. Todavia, na análise da proporcionalidade em sentido estrito da norma em causa, entendeu a maioria que o juízo de não desproporção não se estende ao segmento da norma que permite o acesso aos dados para efeitos de salvaguarda imediata da defesa nacional e da segurança interna (cf. II, 12.) «sem a mediação de critérios de determinabilidade destes conceitos através de "elementos tipificadores da ação"», já que, além do mais, os conceitos usados na norma questionada são demasiado vagos e estranhos ao universo da judicatura; a exigência de autorização judicial não dá no que a eles respeita, garantias suficientes de que a ingerência na privacidade dos cidadãos se cinge ao mínimo necessário e proporcional; e os conceitos de atribuições essenciais do SIRP remetem para uma prerrogativa de avaliação do SIS e do SIED que frustra o equilíbrio que apenas o escrutínio judicial rigoroso de cada pedido pode assegurar - concluindo que o legislador tem o ónus de concretização, de forma rigorosa e precisa, quais os critérios suscetíveis de justificar o acesso por parte dos oficiais de informações do SIS e do SIED aos dados - de base e de localização de equipamento (tal como definidos na LO n.º 4/2017) - dos cidadãos em causa.

Todavia, diversamente da maioria, entende-se que, quanto ao fim de «produção de informações necessárias à salvaguarda da (...) segurança interna», a densificação do respetivo conceito, se entendido pela maioria como fim autónomo (a par dos demais depois indicados por referência a ilícitos criminais), pode ainda ser encontrada no quadro do sistema, ie, na conjugação do preceito em causa com as leis que regulam essa atividade do Estado (que, tal como a defesa nacional, constitui uma sua atribuição) e, ainda, as atribuições e competências do SIS (Lei n.º 30/84, de 5 de setembro, alterada em último lugar pela LO n.º 4/2014, de 13/8 - Lei Quadro do SIRP). Assim, no que respeita à atividade de produção de informações necessárias à salvaguarda da segurança interna, o respetivo conceito (de segurança interna) é ainda densificado no art. 1.º, n.º 1, da Lei n.º 53/2008, de 29/8 (alterada em último lugar pela Lei n.º 21/2019, de 25/2) [«atividade desenvolvida pelo Estado para garantir a ordem, a segurança e a tranquilidade públicas, proteger pessoas e bens, prevenir e reprimir a criminalidade e contribuir para assegurar o normal funcionamento das instituições democráticas, o regular exercício dos direitos, liberdades e garantias fundamentais dos cidadãos e o respeito pela legalidade democrática»] - abrangendo esta atividade desenvolvida do Estado expressamente também fins de prevenção (e repressão) da criminalidade, designadamente, o terrorismo, a criminalidade violenta ou altamente organizada, a sabotagem e a espionagem (que, nos termos do n.º 3 do mesmo art. 1.º constituem igualmente fins das medidas - de polícia - previstas na mesma Lei de Segurança Interna). E, nos termos da Lei n.º 30/84, as finalidades do SIRP «realizam-se exclusivamente mediante as atribuições e competências dos serviços» nela previstos, entre os quais o SIS - que, nos termos da alínea e) do n.º 2 do artigo 25.º da LSI, exerce funções de segurança interna - (e o SIED), competindo aos serviços de informação «a produção de informações necessárias à preservação da segurança interna, bem como à independência e interesses nacionais e à unidade do Estado» (art. 2.º, n.º 2). E em concreto ao SIS, enquanto serviço que integra a orgânica do SIRP (alínea f) do art. 7.º), compete, nos termos da mesma Lei, a «produção de informações que contribuam para a salvaguarda da segurança interna e a prevenção da sabotagem, do terrorismo, da espionagem e a prática de atos que, pela sua natureza, possam alterar ou destruir o Estado de direito constitucionalmente estabelecido» (art. 21.º) - finalidades, pelo menos em parte, coincidentes com os fins da própria atividade de segurança interna (prevenção da criminalidade) e também com as finalidade de acesso a dados pelos oficiais do SIS e do SIED previstas no art. 3.º da LO n.º 4/2017 (prevenção de sabotagem, do terrorismo e da espionagem - crimes previstos hoje, respetivamente, no artigo 79.º, com a epígrafe «Dano em bens militares ou de interesse militar», do Código de Justiça Militar (CJM), aprovado pelo artigo 1.º da Lei n.º 100/2003, de 15/11, cujo artigo 2.º, n.º 3, revogou, além do mais, o artigo 315.º do Código Penal que previa então o correspondente crime de «Sabotagem contra a defesa nacional»; no artigo 4.º («Terrorismo») - e 5.º («Terrorismo internacional»), 2.º («Organizações terroristas») e 5.º-A («Financiamento do terrorismo») - da Lei n.º 52/2003, de 22/8, que transpôs para a ordem jurídica interna a Diretiva (UE) 2017/541, do Parlamento e do Conselho, de 15/3/2017, relativa à luta contra o terrorismo (sublinhando-se aliás que a definição de «terrorismo» para efeitos do Código de Processo Penal abrange, no termos da alínea i) do seu artigo 1.º, as condutas que integram os crimes de organizações terroristas, terrorismo, terrorismo internacional e financiamento do terrorismo); e, integrando o catálogo de crimes contra a independência e a integridades nacionais, no artigo 317.º do Código Penal («Espionagem») e no artigo 34.º («Espionagem») do mencionado CJM).

Tendo em conta uma leitura integrada e sistémica dos referidos preceitos, considera-se ser ainda possível, pelo menos em parte, reconduzir os fins de tal atividade (de segurança interna) a fins de prevenção da criminalidade - concretamente dos crimes referenciados na LSI e, coincidentemente, também no artigo 3.º da LO n.º 4/2017 - em termos que não padecem, pelo menos nessa medida, do apontado vício falta de mediação de critérios de determinabilidade do conceito de segurança interna. Diversamente, não se alcança idêntica conclusão quanto ao segmento do artigo 3.º que se refere à defesa nacional (cf. art. 1.º, n.º 1, da Lei n.º 31-A/2009, de 7 de Julho, que aprova a Lei de Defesa Nacional e arts. 7.º, alínea e) e 20.º da Lei-Quadro do SIRP), pelo que se acompanha, sem reservas, o juízo de inconstitucionalidade nessa parte. Acompanhando este juízo e com a ressalva acima explicitada, entende-se, pois, que os restantes segmentos da norma do artigo 3.º não violam os artigos 26.º, n.º 1, e 35.º, n.os 1 e 4, em conjugação com o artigo 18.º, n.º 2, da Constituição, acompanhando-se, deste modo, a alínea b) da Decisão (cf. III, alínea b).

B2) A norma do artigo 4.º da Lei Orgânica n.º 4/2017

6 - Vencida quanto à decisão e fundamentação, por considerar que, diversamente da maioria, a norma do artigo 4.º da LO n.º 4/2017 não configura uma violação do artigo 34.º, n.º 4, no que respeita aos dados de tráfego que envolvem comunicação intersubjetiva, e dos artigos 26.º, n.º 1, e 35.º, n.os 1 e 4, em conjugação com o artigo 18.º, n.º 2, da Constituição, no que se refere a dados de tráfego que não envolvem comunicação subjetiva.

Quanto à declaração de inconstitucionalidade da norma constante do artigo 4.º da Lei Orgânica n.º 4/2017, de 25 de agosto, por violação do disposto no artigo 34.º, n.º 4, da Constituição, no que diz respeito ao acesso aos dados de tráfego que envolvem comunicação intersubjetiva, e por violação do disposto nos artigos 26.º, n.º 1 e 35.º, n.os 1 e 4, em conjugação com o artigo 18.º, n.º 2, todos da Constituição, no que se refere ao acesso a dados de tráfego que não envolvem comunicação intersubjetiva (cf. II, 11.), a maioria que fez vencimento entendeu, no que respeita a dados de tráfego que envolvem comunicação intersubjetiva, em linha com o Acórdão n.º 403/2015, que o artigo 34.º, n.º 4, da Constituição limita a possibilidade de ingerência estadual nas comunicações ao âmbito circunscrito do processo criminal (assim afastando a adoção pelo legislador de qualquer solução distinta para a colisão entre os valores constitucionalmente protegidos e os direitos fundamentais em causa), entendendo ainda que as alterações introduzidas pela LO n.º 4/2017 no sistema de acesso não o aproximam de forma decisiva do processo penal em moldes de justificar uma mudança quanto ao juízo de constitucionalidade (cf. 9.2 e 11.1 e explicitação subsequente na fundamentação constante dos pontos 11.1.1 a 11.1.3.). Depois, e no que respeita aos dados de tráfego que não envolvem comunicações intersubjetivas, concluiu a maioria, aplicando intensidade de escrutínio equivalente à que considera resultar do parâmetro do artigo 34.º, n.º 4, que a ação de prevenção prevista na norma sindicada, tal como articulada com as condições de admissibilidade previstas no artigo 6.º da LO n.º 4/2017 e tendo em conta a insuficiência dos meios de reação dos cidadãos contra intervenções ilícitas, «desequilibra desrazoavelmente a ponderação de meio-fim ínsita na vertente apontada do princípio da proporcionalidade», concluindo pela violação do direito à autodeterminação informativa, consagrado nos artigos 26.º, n.º 1, e 35.º, n.os 1 e 4, em conjugação com o artigo 18.º, n.º 2, da Constituição (cf. 11.2 e fundamentação desenvolvida nos pontos 11.2.1 a 11.2.2).

Diversamente da maioria, entende-se que o artigo 4.º da LO n.º 4/2017 (como aliás o artigo 3.º da mesma Lei Orgânica) não viola o disposto no artigo 34.º, n.º 4, da Constituição; e, uma vez superada a violação deste parâmetro constitucional (no que respeita ao âmbito de proteção do mesmo quanto a dados de tráfego que envolvem comunicação intersubjetiva), entende-se igualmente que o artigo 4.º não viola (como aliás o artigo 3.º da mesma LO, no segmento não declarado inconstitucional, não viola) os artigos 26.º, n.º 1, e 35.º, n.os 1 e 4, em conjugação com o artigo 18.º, n.º 2, da Constituição, por a medida de acesso aí consagrada, na sua modelação legal, não configurar uma restrição desproporcionada dos direitos ali consagrados (direito à reserva da intimidade da vida privada e direito à autodeterminação informativa). Isto, pelas razões que de seguida brevemente se explicitam.

7 - No que respeita ao parâmetro do n.º 4 do artigo 34.º da Constituição, entende-se que os fins e interesses aí fixados passíveis de justificar uma restrição do direito fundamental à inviolabilidade das comunicações - casos previstos na lei em matéria de processo criminal (para a maioria, em exclusivo, ou, na expressão do Acórdão n.º 403/2015 pela mesma maioria retomada, uma «reserva absoluta de processo criminal», cf. II, 9.2) -, podem comportar uma leitura mais ampla, por apelo a uma interpretação sistemática (e atualista), quando - como sucede com as medidas de acesso aos metadados em causa nos presentes autos -, estando em causa a salvaguarda de valores e objetivos fundamentais do Estado, como a segurança e a preservação da ordem constitucional (cf. II, 9.2 do Acórdão), contra certos comportamentos especialmente graves suscetíveis de os pôr em perigo e recondutíveis a tipos de ilícitos criminais graves (e que podem configurar criminalidade violenta ou altamente violenta - cf. alíneas j) e l) do n.º 1 do Código de Processo Penal (CPP)), essa salvaguarda possa implicar restrições ao âmbito de proteção de direitos fundamentais dos cidadãos e, assim, também do direito fundamental à inviolabilidade das comunicações previsto no mesmo artigo 34.º

Por um lado, os valores e objetivos do Estado subjacentes à medida restritiva do direito fundamental em causa, constituem inequivocamente valores e objetivos essencialíssimos do Estado, que encontram respaldo no elenco das «Tarefas fundamentais do Estado» previstas, em especial, nas alíneas a) a c) do artigo 9.º da Constituição e reflexo no âmbito de proteção dos direitos fundamentais (cf. art. 27.º, n.º 1).

Depois, e em particular, a relevante tarefa estadual de garantia do valor constitucional da segurança (seja interna, seja face ao exterior, seja coletiva, seja individual) - agregando, como se afirma no Acórdão, a dimensão positiva de um conjunto muito vasto de direitos fundamentais e interesses coletivos (cf. II, 12.), não pode deixar de se entender hoje, no que concretamente ao fim de prevenção do «terrorismo» diz respeito, também à luz do disposto na Constituição em matéria de relações internacionais - concretamente na parte em que prevê que Portugal pode «convencionar o exercício, em comum, em cooperação ou pelas instituições da União, dos poderes necessários à construção da união europeia», em particular no que ao «espaço de liberdade, segurança e justiça» (cf. art. 7.º, n.º 6, da Constituição, na redação introduzida em pela revisão constitucional de 1992 e resultante, em último lugar, da revisão constitucional de 2001), domínio material de atribuições da União que constitui domínio de competência partilhada com os Estados membros (cf. art. 4.º n.º 2, alínea j) do TFUE) e cujos objetivos abrangem a garantia de um elevado nível de segurança [no território da União e dos seus Estados membros] a prosseguir, nomeadamente através de medidas de prevenção da criminalidade e, se necessário, através da aproximação das legislações penais (cf. art. 67.º, n.º 3, e art. 83.º, n.os 1 e 2, do TFUE) - consistindo o terrorismo um domínio de «criminalidade particularmente grave com dimensão transfronteiriça» (cf. art. 83.º, n.º 1, do TFUE), sendo por isso neste contexto que se integra a mencionada Diretiva (UE) 2017/541, relativa à luta contra o terrorismo.

Depois, sendo os fins do procedimento de acesso aos dados de tráfego (sempre na específica aceção da LO n.º 4/2017) pelos oficiais de informações do SIS e do SIED previsto no artigo 4.º da LO n.º 4/2017 - produção de informações necessárias à prevenção de espionagem e do terrorismo -, identificados por referência a (dois, com a ressalva supra indicada quanto à previsão de punição dos atos e organizações terroristas resultante da transposição da referida Diretiva (UE) 2017/541) tipos de ilícito criminal graves, os mesmos fins - ainda que situados em momento temporal necessariamente prévio às fases preliminares do processo penal, incluindo a fase do inquérito (cf. art. 13.º da LO n.º 4/2017, entendendo-se a prevista intervenção do Procurador-Geral da República no procedimento de molde assegurar, sendo caso disso, o exercício das competências próprias do Ministério Público, em especial o exercício da ação penal e a defesa da legalidade - cf. arts. 219.º, n.º 1, e 220.º, n.º 2, da Constituição) - se afiguram ainda valorativamente próximos, senão equivalentes, aos fins («matéria de processo criminal») legitimadores da intervenção restritiva pelo legislador previstos expressamente na parte final daquele n.º 4 do artigo 34.º da Constituição (sem que exista neste caso uma 'simples' devolução ao legislador da tarefa de fixação dos casos em que tal restrição possa ocorrer, ie, uma autorização explícita do legislador constituinte ao legislador ordinário para legislar sobre os casos de restrição dos direitos fundamentais em causa, sem fixação por aquele do critério a observar pela intervenção deste último, como sucede, v.g., no artigo 35.º, n.º 4, da Constituição, quanto ao direito à autodeterminação informativa e à proteção de dados pessoais, também tido como parâmetro constitucional relevante para a análise da conformidade constitucional das normas sindicadas) - i.e, aos fins que legitimam a ingerência das autoridades públicas na correspondência, nas telecomunicações e nos demais meios de comunicação.

Em suma, mesmo sem admitir à partida uma leitura da Lei Fundamental que permita, em cada momento temporal, 'novas' ponderações pelo legislador ordinário de eventuais colisões entre valores essenciais da comunidade estadual constitucionalmente protegidos (a prosseguir em cada momento face a novos fenómenos ou situações suscetíveis de os pôr em perigo) e direitos fundamentais - e sempre na condição ou no pressuposto de ainda se tratar da proteção de valores nucleares do Estado (como a independência, a soberania nacional, a defesa da ordem constitucional e a segurança, interna e externa) e da qual depende, necessariamente, a proteção de outros tantos valores essenciais do Estado (maxime a proteção de direitos, liberdades e garantias) - não pode deixar de se admitir, pelo menos, que a concreta ponderação efetuada pelo legislador constituinte ao fixar como critério de atuação do legislador ordinário a matéria de processo criminal admite uma leitura mais abrangente de molde a acomodar nesse critério (que delimita o âmbito das restrições à garantia da inviolabilidade das comunicações) medidas, como a prevista na norma sindicada nos autos, que ainda apresentem identidade valorativa ou axiológica por referência ao mesmo processo criminal, incluindo as suas fases preliminares, que de igual modo se destinem a proteger os referidos valores nucleares da comunidade estadual. A axiologia subjacente à Lei Fundamental e as tarefas por esta cometida ao Estado não podem deixar de convocar uma leitura mais ampla do n.º 4 do artigo 34.º da Constituição admitindo que fiquem ainda abrangidas na sua letra as medidas de acesso previstas na norma sindicada.

Note-se, aliás que a ordem jurídico-constitucional não afasta a hipótese de adoção, mediante autorização judicial, de medidas de acesso a conversações ou comunicações telefónicas ou por qualquer meio técnico diferente do telefone (similares às medidas de acesso em causa mas porventura mais gravosas na medida em que possam incidir sobre o conteúdo das comunicações, o que a LO n.º 4/2017 não contempla), lesivas de certos direitos fundamentais durante a fase preliminar do inquérito, mesmo sem que ocorra a constituição de arguido (cf. art. 187.º, n.º 1 e 189.º , e 58.º, ambos do CPP) [registe-se também a similitude de formulação entre a redação do art. 6.º, n.º 2, alínea b) e, quanto aos limites temporais das medidas de acesso, da alínea d) do n.º 2 do art. 9.º e a redação dos n.os 1 e 6 do art. 187.º do CPP]), pelo que a aludida projeção da reserva de processo criminal acolhida pela maioria sobre a esfera jurídica da pessoa, em particular quando constituída arguida (cf. II, 9.1), não é sequer certa, já que tal ocorrência pode não se verificar. E note-se também que a ordem jurídico-constitucional não afasta a hipótese de obtenção de dados sobre a localização celular pelas autoridades judiciárias e de polícia criminal, mesmo quando não se referirem a nenhum processo em curso, nos termos previstos no artigo 252.º-A, n.os 1 e 3, do CPP, mas cuja obtenção deve ser comunicada a um juiz. Ora, em qualquer caso, é exatamente a configuração do procedimento de autorização previsto na LO n.º 47/2017 - por órgão integrado na organização judiciária (e no seu nível superior) - e a natureza e estatuto dos seus membros (magistrados judiciais independentes), aliados aos contornos do procedimento autorizativo e ao controlo (judicial) do mesmo, prévio e durante o tratamento dos dados, que permitem ainda assegurar, de forma não desproporcionada, os direitos dos visados numa fase em que, por força das especificidades próprias do domínio em causa (produção de informações com vista à prevenção de atos que constituem tipos de ilícito criminal graves e criminalidade organizada) a participação dos mesmos é necessariamente, sob pena da frustração de tal fim, ainda excluída.

8 - Concluindo-se, diversamente da maioria, que o artigo 4.º da LO n.º 4/2017 não viola o n.º 4 do artigo 34.º da Constituição, também no que respeita aos demais parâmetros constitucionais convocados (artigo 35.º, n.os 1 e 4, e artigo 26.º da Constituição) alcançamos conclusão diversa da maioria. Entende-se que a medida de acesso a dados de tráfego (com o específico sentido fixado pela mesma Lei na alínea c) do n.º 2 do artigo 2.º) prevista na norma do artigo 4.º, restritiva de direitos fundamentais, tal como articulada, não apenas com as condições de admissibilidade previstas no artigo 6.º da LO n.º 4/2017 (como considerado pela maioria, mas sem levar em conta os demais preceitos que se reportam igualmente ao procedimento de autorização do pedido de acesso - seja à apreciação da necessidade, adequação e proporcionalidade da medida (art. 10.º, n.os 1 e 3), seja à própria noção de «medida pontual de acesso» a autorizar (art. 9.º, n.º 3), cuja proporcionalidade é apreciada pela formação especial de juízes criada pelo legislador e integrada organicamente no STJ), mas articulada necessariamente também com os demais traços do regime legal das medidas de acesso aos dados de tráfego, não violam o princípio da proporcionalidade, em especial na sua dimensão de proibição do excesso.

Tal como considera o presente Acórdão quanto às medidas de acesso previstas no artigo 3.º (cf. II, 12., p. 68), também se afigura possível identificar, com suficiente clareza, as razões justificativas das medidas - restritivas de direitos - consagradas no artigo 4.º da LO n.º 4/2017: a proteção de valores constitucionalmente consagrados. Tratando-se de acesso a metadados, concretamente dados de tráfego na aceção própria da LO n.º 4/2017, para efeitos de produção, pelos serviços de informação em causa, de informações necessárias à prevenção de atos de espionagem e do terrorismo, está em causa a prevenção de atos e condutas que, na sua essência, visam prejudicar valores essenciais do Estado com consagração constitucional: desde logo, no primeiro caso, interesses militares do Estado português relativos à independência nacional, à unidade e à integridade do Estado ou à sua segurança interna e externa (cf. art. 33.º, n.º 1, por remissão do art. 34.º, n.º 1, alíneas a) e d) do CJM); e, no segundo caso, a integridade e independência nacionais, funcionamento das instituições constitucionalmente previstas ou intimidação de pessoas, grupos de pessoas ou a população em geral, mediante a prática de certos atos que constituam crimes, em especial contra a vida, a integridade física ou a liberdade das pessoas (cf. art. 2.º, n.º 1, da Lei n.º 52/2003, de 22 de agosto, por remissão do art. 4.º da mesma Lei). Ora, tais valores e interesses inerentes à ordem constitucional do Estado têm inequívoca consagração constitucional (cf., em especial, arts. 1.º, 2.º e 3.º, 9.º, alíneas a), b) e c) e 11.º, n.º 1) e de cuja salvaguarda depende igualmente a salvaguarda dos direitos, liberdades e garantias consagrados na Lei Fundamental.

O acesso aos dados de tráfego previsto no artigo 4.º e com os objetivos aí fixados não merece - tal como não merece o acesso aos dados previsto no artigo 3.º (que, pese embora os conceitos aí utilizados [dados de base e dados de localização de equipamento «quando não deem suporte a uma concreta comunicação»], também abrange, em rigor, dados de tráfego) - censura no que respeita à sua adequação e necessidade: não só a medida de acesso aos dados de tráfego ínsita no artigo 4.º da LO n.º 4/2017 configura um meio idóneo para alcançar o fim de produção de informações necessárias à prevenção de atos de espionagem e do terrorismo, como não se afigura evidente a existência de meios menos lesivos (i.e, menos restritivos dos direitos fundamentais em causa) suscetíveis de, com igual eficácia, alcançar os objetivos traçados pelo regime de acesso.

Assim, a eventual desproporção da medida de acesso em causa só poderia resultar da aferição da sua proporcionalidade em sentido estrito, com recurso a uma metodologia de ponderação de bens, ou seja, da aferição da sua justa medida face à prevalecente valia dos fins de interesse público e valores do Estado em causa, também pressuposto e condição da salvaguarda de outros valores igualmente com relevância constitucional. Entende-se, porém, que não há violação do princípio da proporcionalidade na vertente de proibição do excesso, inexistindo violação da proporcionalidade em sentido estrito. Para a formulação de tal juízo de não violação da proporcionalidade em sentido estrito, ou seja, para a conclusão de que o sacrifício imposto aos direitos fundamentais dos visados pela medida de acesso aos dados de tráfego (e, por maioria de razão aos dados de base e de localização de equipamento na aceção da LO n.º 4/2017) não excede a justa medida, no confronto com os fins visados, afiguram-se essenciais os traços do regime de acesso aos dados contido na LO n.º 4/2017- em que se insere a norma do artigo 4.º sindicada - supra enunciados em A1, i) a iv), quanto à iniciativa, na vertente da fundamentação do pedido e seu objeto, ao controlo judicial e autorização prévia, à apreciação judicial e ao regime de garantias instituído, os quais não foram cabalmente considerados pela fundamentação subscrita pela maioria.

Na apreciação em causa relevam em particular, os elementos do regime atrás indicados que apontam para a contenção - ao estritamente necessário - da medida de acesso aos dados (justa medida), desde logo - e em termos que se consideram determinantes - tratar-se de uma medida de acesso a dados direcionada ou selectiva (arts. 6.º, n.º 1, alínea a), e 9.º, n.º 2), com base numa suspeita concreta e individualizada (art. 9.º, n.º 3) e que, além da sua duração temporal limitada, não só não se estende à totalidade dos dados previamente armazenados pelos prestadores de serviços de comunicações eletrónicas (independentemente da questão da base jurídica em que se funda, a montante do acesso, tal armazenamento), como não admite a informação em larga escala, por transferência integral dos registos existentes, nem a ligação em tempo real às redes de comunicações eletrónicas (arts. 9.º, n.º, 3 e 6.º, n.º 2). Em especial, a aferição dos pressupostos (alternativos) da autorização do pedido (previstos nas alíneas a) e b) do n.º 1 do art. 6.º), se não dispensa a observância (pelo requerente) dos elementos que constituem a fundamentação do pedido de acesso, inclusive os factos que o suportam, as finalidades e as razões das medidas pontuais de acesso requeridas e a identificação da pessoa ou pessoas, caso sejam conhecidas, envolvidas nos factos (cf. alíneas b) e c) do n.º 2 do art. 9.º) - o «juízo de prognose ou da avaliação» feito pelos serviços a que alude a maioria - igualmente não dispensará a sua verificação e ponderação («ponderação da relevância dos fundamentos do pedido», conforme previsto no artigo 5.º, n.º 1) pela entidade que autoriza, em moldes que não se concebem meramente 'automáticos' ou, como parece indicar a maioria, levando a cabo uma apreciação só em função do que os serviços 'formalmente' enunciarem no pedido, assim referenciando qualquer cidadão como «alvo» ou qualquer situação como «urgente» (alíneas a) e b) do n.º 1 do art. 6.º).

Ora, relevam igualmente para tal apreciação e ponderação os traços de regime (atrás apontados) relativos à autorização prévia, seja quanto à natureza do ente competente, seja quanto aos pressupostos de que depende a decisão autorizativa, seja, ainda, quanto aos critérios que presidem à apreciação e decisão. Neste âmbito entende-se, ao invés da maioria, relevar também de modo determinante para o juízo de proporcionalidade em sentido estrito a natureza do ente competente para a autorização prévia (e controlo) - formação específica das secções criminais do STJ, composta apenas por magistrados (mais antigos) que integram aquelas secções. Ora, ainda que, como sustenta a maioria se estivesse tão só «perante uma atuação de natureza administrativa e não judicial» (cf. II, 11. A questão da constitucionalidade do artigo 4.º da Lei Orgânica n.º 4/2017), a natureza da formação em causa (formação organicamente emanada das secções criminais do STJ) e a qualidade de magistrado judicial dos membros que a integram, com os atributos próprios dessa função, em especial a independência, se apresentam como especiais elementos garantísticos, quer da verificação do preenchimento dos pressupostos de que depende a autorização (em particular os mencionados nos arts. 6.º, n.os 1, alíneas a) e b)) e da adequada fundamentação «de modo detalhado e circunstanciado» do pedido de acesso (arts. 9.º, n.º 2 e 3, em particular a suspeita concreta e individualizada e art. 10.º, n.º 3, quanto às «informações claras e completas» a levar em conta na fundamentação da decisão quanto ao pedido), quer da aferição, necessariamente casuística e com base naqueles fundamentos, da necessidade, adequação e proporcionalidade do pedido de acesso e da sua justa medida face aos fins previstos na lei de molde a salvaguardar os direitos, liberdades e garantias constitucionalmente previstos.

Assim, as medidas de acesso aos dados em causa, porque determinadas no quadro de um procedimento de autorização particularmente exigente, segundo pressupostos e critérios que se afiguram densificados de modo suficiente, orientado pela sua 'estrita necessidade', não configuram um sacrifício dos direitos envolvidos que exceda a justa medida face aos prevalentes fins últimos ínsitos na norma sindicada - produção, pelos serviços em causa, de informações necessárias à prevenção de atos de espionagem e do terrorismo, i.e, prevenção de atos e condutas que, constituindo tipos de ilícito criminal, visam na sua essência prejudicar ou pôr em perigo valores essenciais do Estado com previsão constitucional e condição da salvaguarda de outros valores igualmente com relevo constitucional, como a proteção de direitos fundamentais. Deste modo a proteção dos relevantes valores do Estado cuja prossecução se visa alcançar através das medidas sindicadas afigura-se sempre de particular grandeza e relevância em moldes que ainda permite justificar, em ponderação, o sacrifício de direitos fundamentais resultante do carácter restritivo das medidas - sublinhe-se, medidas pontuais de acesso, seletivas, casuísticas, orientadas pelo princípio da necessidade de conhecer e limitadas no tempo - de acesso aos dados de tráfego (na aceção da alínea c) do n.º 2 do art. 2.º da LO n.º 4/2017), sem que as mesmas se afigurem excessivas para alcançar os fins do Estado em causa, não tendo por isso o legislador ordinário excedido a sua justa medida.

9 - Três notas se afiguram ainda pertinentes, em particular, quanto à argumentação da maioria no que respeita à desconformidade do artigo 4.º da LO n.º 4/2017 com a Constituição.

Em primeiro lugar, entende-se não proceder a argumentação da maioria quando ancora o juízo de proporcionalidade e a sua violação na falta de previsão na lei de comunicação ao visado das medidas restritivas adotadas ou seja, insuficiência dos meios de reação dos cidadãos contra o acesso aos seus dados - que, por um lado, se encontra expressamente excecionada pelo Direito da União no caso de o direito à informação sobre a limitação poder prejudicar o objetivo da limitação (art. 23.º, n.º 2, alínea h), parte final, do RGPD supra referido) - o que se entende suceder no acesso aos dados em causa; e, por outro, não integra o enunciado da fórmula decisória adotada pelo TJUE no acórdão proferido, em sede de questão prejudicial de interpretação, no caso Tele2/Watson (citada em II, 6., b) do Acórdão).

Em segundo lugar, a aplicação, pela maioria que fez vencimento, de uma exigência similar ou equivalente à aplicada no domínio do artigo 34.º, n.º 4, da Constituição, fora da esfera de proteção desta norma, resulta afinal, num idêntica proibição de atuação por parte do legislador ordinário - que parece redundar na limitação da autorização que constitucionalmente lhe é conferida para restringir o conteúdo dos direitos fundamentais tutelados por outras disposições constitucionais também em causa, para além da sujeição ao regime de restrição dos direitos, liberdades e garantias consagrado no artigo 18.º, em especial, n.º 2, da Constituição. Ora, na leitura 'equivalente' da maioria quanto à exigência do controlo de conformidade constitucional aplicada aos artigos 26.º e 35.º da Constituição, parece resultar, inclusive, mesmo em caso de (futura e eventual) diversa ponderação do legislador de revisão constitucional no que ao direito à inviolabilidade das comunicações diz respeito e à matéria que possa justificar a sua eventual restrição, a impossibilidade ou a extrema dificuldade de o legislador exercer a sua margem de apreciação na concretização do mandato constitucional em matéria de restrições de modo a abranger restrições aos direitos em causa justificadas, em ponderação, pelos fins previstos nas normas da LO n.º 4/207 ora sindicadas. Isto já que apenas as parece admitir nos (muito) restritos termos e condições previstos no Acórdão, nomeadamente afirmando que o princípio da proporcionalidade «impõe que o Estado invoque uma situação de perigo previsível, concreta e de verificação altamente provável justificando os juízos de prognose através da identificação normativa da situação fáctica que está na origem do perigo, a possibilidade de ocorrência de eventos lesivos num prazo próximo e a relação da situação de perigo com pessoas determinadas» (cf. II, 11, 11.2.4, em especial p. 65-66) e a previsão de atos e procedimentos que permitam o conhecimento e a cognoscibilidade da intromissão pelos interessados e a reação contra as medidas restritivas (cf. II, 11, 11.2.4, em especial pp. 65-66).

Em terceiro e último lugar, a fundamentação do acórdão assenta em grande parte num cotejo entre a atividade do SIRP (e do SIS e SIED) e o domínio do processo e da investigação criminal (e da atividade de polícia) - para concluir que o sistema de acesso a dados consagrado pela LO n.º 4/2017 não o aproxima ou equipara, de todo, formal e materialmente, do processo penal (cf. II, 11., 11.1.3) assim não justificando uma mudança quanto ao juízo de inconstitucionalidade formulado no Acórdão n.º 403/2015. Todavia, tal cotejo afigura-se em parte menos adequado já que, pese embora eventuais pontos de contacto, nomeadamente quanto à participação de ambos na prossecução do objetivo de garantir a segurança interna no quadro do Estado e no exercício de funções de segurança interna (cf. art. 25.º, n.º 1 e 2, da já citada LSI), é incontornável a diferenciação das funções próprias cometidas ao SIRP e, no seu quadro, especificamente ao SIS e ao SIED (já acima mencionadas, cf. arts. 20.º e 21.º da Lei-Quadro do SIRP) e aos órgãos de polícia com competência do domínio criminal (cf. em especial arts. 1.º, 3.º, 6.º e 7.º da Lei n.º 49/2008, de 27/8; art. 3.º da Lei n.º 53/2007, de 31/8; e arts. 2.º e 5.º da Lei n.º 37/2008, de 6/8). Ora, daquele cotejo parece resultar da fundamentação do acórdão uma aplicação do princípio da proibição do excesso segundo um figurino (próprio do contexto de investigação, perseguição e punição de crimes) pelo menos em parte estranho à especificidade própria do domínio de atribuições e competência dos serviços de informação previstos na lei do SIRP - o SIS e o SIED (cf. arts. 21.º e 20, respetivamente, da Lei-Quadro do SIRP).

10 - Por fim, acresce referir que, submetendo a medida de acesso contida na norma do artigo 4.º da LO n.º 4/2017, na medida em que a mesma configure ainda a concretização de uma das exceções contidas no artigo 15.º, n.º 1, da Diretiva n.º 2002/58/CE, ao crivo dos pressupostos estipulados pela jurisprudência do TJUE no caso Tele 2/Watson - na formulação da resposta à segunda questão prejudicial (conjunta) supra enunciada, assim aclarando o sentido interpretativo de um arco normativo que integra a norma do referido n.º 1 do artigo 15.º daquela Diretiva -, a medida de acesso prevista no artigo 4.º da LO n.º 4/2017 sempre respeitaria, inequivocamente, tais pressupostos.

Desde logo, a medida de acesso das autoridades nacionais (SIS e SIED), a dados previamente armazenados, prevista no artigo 4.º, é limitada neste caso, com evidência, à criminalidade grave - por apenas respeitar à produção de informações necessárias à prevenção de atos de espionagem e do terrorismo. Depois, a medida de acesso em causa é submetida a um controlo prévio de um órgão jurisdicional ou de uma autoridade administrativa, como decorre daquela jurisprudência - condição que, mesmo na perspetiva da maioria (que desqualifica a intervenção, para efeitos de autorização prévia, de uma específica formação das secções criminais do STJ, neste organicamente integrada, composta por juízes dessas secções do STJ), se verifica com evidência.

E, por último, quanto ao requisito da exigência da conservação dos dados em causa em território da União Europeia, admitindo-se não resultar tal exigência de modo expresso do regime geral aplicável à transmissão diferida e conservação em arquivo nos centros de dados do SIS e do SIED (mas que também o não permite expressamente) e acesso aos mesmos (cf. em especial art. 11.º da LO n.º 4/2017 e Portaria n.º 237-A/2018, em especial art. 2.º, n.os 1 e 2), a mesma exigência sempre resultaria necessariamente ou de uma interpretação do direito nacional em conformidade com o Direito da União aplicável na matéria (artigo 15.º, n.º 1, da Diretiva, tal como interpretado pelo TJUE no acórdão Tele2/Watson) ou, admitindo-se que as medidas em causa ainda possam ficar, em parte, abrangidas pelo âmbito de aplicação do RGPD, nos termos do regime neste contido - sublinhe-se, com aplicabilidade direta na ordem jurídica interna - quanto à transferência de dados pessoais para países terceiros (e organizações internacionais) contido no seu Capítulo V (artigos 44.º a 50.º).

11 - Em suma, pelas razões apontadas, considera-se que a medida de acesso a dados de tráfego em causa prevista no artigo 4.º da LO n.º 4/2017, inserida no regime de acesso configurado pelo legislador contido naquele diploma, não viola o princípio da proporcionalidade, por referência ao âmbito de proteção consagrado nos artigos 26.º, n.º 1, e 35.º, n.os 1 e 4, da Constituição, respeitando a mesma norma também, em qualquer caso, os pressupostos decorrentes da jurisprudência pertinente do TJUE. - Maria José Rangel de Mesquita

Declaração de voto

1 - Votei vencido na alínea b) do dispositivo, que não declara inconstitucional a norma constante do artigo 3.º da Lei Orgânica n.º 4/2017, de 25 de agosto, na parte em que admite o acesso dos oficiais de informações do SIS e do SIED a dados de base e de localização de equipamento, quando não dão suporte a uma concreta comunicação, para efeitos de produção de informações necessárias à prevenção de atos de sabotagem, espionagem, terrorismo, proliferação de armas de destruição maciça e criminalidade altamente organizada. Por estar convencido de que a norma em causa atenta de forma direta contra a Constituição.

Descontado este aspeto parcelar e localizado, subscrevo em toda a linha o entendimento maioritário e, concretamente, as declarações de inconstitucionalidade constantes das alíneas a) e c) do dispositivo. Uma concordância nas decisões que vale, igual e irrestritamente, para as fundamentações que, respetivamente, as suportam. Só que é minha convicção que as mesmas razões que sustentam a declaração de inconstitucionalidade da norma constante do artigo 4.º da mesma Lei Orgânica, e atinente ao acesso a dados de tráfego que não envolvem comunicação intersubjetiva - por violação do disposto nos artigos 26.º, n.º 1 e 35.º, n.os 1 e 4, em conjugação com o artigo 18.º, n.º 2, todos da Constituição da República -, impõem a mesma conclusão (de inconstitucionalidade) relativamente à norma constante do artigo 3.º da Lei Orgânica n.º 4/17, aqui em exame.

2 - Resumidamente e por um lado, sobra unívoco que também a intromissão nos dados de base e de localização que não acompanham comunicações intersubjetivas comportam uma específica e inarredável danosidade. Já como atentado à autodeterminação informacional, já como perigo de devassa da esfera de reserva e privacidade das pessoas concretamente atingidas.

Não se desconhece que a expressividade destes dados, do ponto de vista do desvelamento da vida privada e familiar, e, por vias disso, o potencial de danosidade da intromissão não consentida - quer como dano quer como perigo - se revelam, por natureza e em princípio, menos drásticos quando comparados com a intromissão nos dados a que se reporta o artigo 4.º da Lei Orgânica em exame. A saber: por um lado, os dados de tráfego correspondentes a comunicações intersubjetivas e, como tais, pertinentes à categoria, ao estatuto e ao regime dos dados de telecomunicação; e, por outro lado, os dados de tráfego de internet, a sinalizar inter alia os sites visitados, os documentos consultados e a informação procurada. O que permite aos serviços obter conhecimentos sobre estes dados de tráfego, sua frequência, relacionamento entre si, conteúdos, circunstâncias de lugar, tempo e conexões conjunturais, etc. Tudo dados cujo conhecimento e tratamento podem, consoante os casos, revelar-se particularmente significativos relativamente aos gostos, preocupações, planos, compromissos políticos, ideológicos, filosóficos, correntes de pensamento, condução da vida, tendências, afetos, problemas de saúde, etc. Como podem mesmo, no extremo, permitir traçar perfis psicológicos e reconduzir as pessoas atingidas a tipologias de agentes relevantes para as decisões legislativas ou os movimentos de acompanhamento e vigilância. Não sendo por isso de excluir que a recolha destes dados de tráfego possa, eventualmente, revelar-se mais invasiva e lesiva do que a própria intromissão nos dados de telecomunicação, sc. dos dados de tráfego correspondentes a circunstâncias externas da comunicação intersubjetiva. De todo o modo e como ficou antecipado, sempre a intromissão não consentida nestes dados de tráfego arrastará consigo um potencial de devassa e de ameaça em princípio mais drástico e gravoso do que a recolha e tratamento dos dados de base e de localização que não suportem atos de comunicação intersubjetiva. Isto é, dos dados de que aqui expressamente curamos.

3 - Assim, estando aqui em causa atos menos lesivos de intromissão, tal circunstância - ou seja, a menor lesividade - não poderá deixar de ser levada em conta na hora de definir os regimes legais de recolha e tratamento (não consentidos) levados a cabo em nome da salvaguarda dos bens jurídicos individuais e coletivos, atingidos ou ameaçados pelas manifestações de criminalidade a prevenir. Tudo apontando, por isso, para um regime mais permissivo e um quadro mais alargado das autorizações legais, a legitimar as ações de intromissão (nestes dados de base e de localização), com vista à prevenção de atos de sabotagem, espionagem, terrorismo, proliferação de armas de destruição maciça e de criminalidade altamente organizada.

Ações que, importa não esquecê-lo, embora menos invasivas - quando comparadas com a intromissão nos dados de tráfego (de telecomunicação ou de internet) a que se reporta o artigo 4.º - comportam sempre um irredutível coeficiente de lesividade do direito à autodeterminação informacional e de perigo para a reserva da vida privada e familiar.

4 - Tudo, em definitivo, está no desenho e tipificação das constelações fácticas erigidas em pressupostos das autorizações legais que justificam o sacrifício destes bens jurídicos pessoais, nos termos e à luz das exigências do princípio de proporcionalidade (artigo 18.º, n.º 2, da Constituição da República), na plenitude das implicações normativas em que ele se desdobra.

A começar pela satisfação integral das exigências de legalidade e de reserva de lei, a reclamarem, desde logo, autorizações legais vertidas em leis claras e determinadas. Isto é, leis que, à partida, permitam aos seus destinatários identificar com segurança os pressupostos das autorizações: desde o "catálogo" de crimes pertinentes; à densificação material das situações face às quais é objetivamente razoável um juízo de prognose e de antecipação do perigo; à densificação do limiar de suspeita de envolvimento (das pessoas atingidas pela intromissão) nas situações de ameaça ou perigo de uma qualquer daquelas manifestações de criminalidade, etc.

Resumidamente e como de forma clara e vincada refere o presente acórdão a propósito da intromissão nos "dados de tráfego que não envolvem comunicação intersubjetiva", trata-se de levar tão longe quanto possível um exercício de tipificação da fattispecie correspondente à autorização legal de intromissão. A reclamar, designadamente e no plano da law in books, previsões normativas "face às quais seja possível um juízo materialmente fundado de prognose de ocorrência do perigo para um número circunscrito de bens jurídicos de importância extrema para a comunidade, como a vida, o corpo e a liberdade das pessoas ou a segurança do Estado de direito". E, por vias disso e reflexamente, previsões normativas que no plano da law in action não franqueiem a porta à "liberdade de escolha (por parte dos oficiais dos serviços de informações) dos pressupostos que justificam a necessidade da intervenção". Isto porquanto uma "lei vaga, imprecisa e demasiado abrangente converteria as medidas restritivas em arbítrio, por ausência de critérios objetivos quanto à razão de ser da sua utilização".

5 - Foi por considerar que não satisfaziam estas exigências que - fundada e pertinentemente - o entendimento maioritário declarou a inconstitucionalidade da norma que autoriza a intromissão nos dados de tráfego que não suportam comunicações intersubjetivas contida no artigo 4.º da Lei Orgânica n.º 4/2017. Nomeadamente pelo recurso a conceitos de grande abertura e plasticidade, "semanticamente maleáveis e insuficientemente determinados, no âmbito dos quais a incerteza sobre os pressupostos de acesso aos dados de tráfego é bastante grande, atendendo à singularidade de cada caso concreto". A que acresce a ausência da previsão normativa de mecanismos de reação - a começar pela consagração de formas de notificação ou informação a posteriori - das pessoas concretamente atingidas. Que, apanhadas nas malhas deste paradigmático meio oculto de investigação, não tem qualquer forma de reagir contra atos arbitrários e ilegais de intromissão e devassa de que não têm conhecimento. Bem podendo, deste modo, multiplicar-se as "situações em que o indivíduo perde o controlo sobre a circulação dos seus dados pessoais e em que claramente pode ser violado o seu direito à autodeterminação informativa, sendo transformado em 'objeto de informações'".

6 - São estas, em breve síntese, algumas das razões que sustentam a declaração de inconstitucionalidade da norma constante do artigo 4.º e atinente à intromissão nos dados de tráfego (da internet) não correspondentes a atos de comunicação pessoal à distância. Tudo razões que se ajustam como luva à hipótese normativa aqui em exame e atinente aos dados de base e localização, constante do artigo 3.º da mesma Lei. Precisamente porque se reportam a vícios, insuficiências ou lacunas que resultam no inadimplemento das exigências do princípio da legalidade/determinabilidade, e que inquinam em igual medida ambos os regimes - respetivamente, dos dados de tráfego (artigo 4.º) e dos dados de base e de localização (artigo 3.º) -, nesta parte inteiramente coincidentes. Trata-se, noutros termos, de vícios que atingem os momentos de comunicabilidade e "mesmidade" dos dois regimes e não interferem com aspetos específicos suscetíveis de apontar para soluções normativas diferenciadas. Por vias disso e na medida em que suportam a declaração de inconstitucionalidade da norma do artigo 4.º (relativa aos dados de tráfego que não suportam comunicações intersubjetivas), só podem, por identidade de razões, desencadear em igual medida, a inconstitucionalidade da norma aqui sub judice e constante do artigo 3.º da Lei Orgânica n.º 4/2017, de 25 de agosto.

É por isso que (apenas) nesta precisa e localizada dimensão, não acompanho o entendimento que tem por si o sufrágio maioritário do Tribunal. - Manuel da Costa Andrade

(1) "[...]

[...]".

(2) "[...] a) declarar a inconstitucionalidade, com força obrigatória geral, da norma constante do artigo 3.º, da Lei Orgânica n.º 4/2017, de 25 de agosto, na parte em que admite o acesso dos oficiais de informações do Serviço de Informações de Segurança (SIS) e do Serviço de Informações Estratégicas e de Defesa (SIED), relativamente a dados de base e de localização de equipamento, quando não dão suporte a uma concreta comunicação, para efeitos de produção de informações necessárias à salvaguarda da defesa nacional e da segurança interna, por violação dos artigos 26.º, n.º 1, e 35.º, n.os 1 e 4, em conjugação com o artigo 18.º, n.º 2, da Constituição da República Portuguesa;

[...]".

(3) "[...] b) não declarar a inconstitucionalidade da norma constante do artigo 3.º, da Lei Orgânica n.º 4/2017, de 25 de agosto, na parte em que admite o acesso dos oficiais de informações [do SIS e do SIED], no âmbito das respetivas atribuições, relativamente a dados de base e de localização de equipamento, quando não dão suporte a uma concreta comunicação, para efeitos de produção de informações necessárias à prevenção de atos de sabotagem, espionagem, terrorismo, proliferação de armas de destruição maciça e criminalidade altamente organizada;

[...]".

(4) Esta disposição - que integrava um diploma contendo uma alteração global do Regime Jurídico do Sistema de Informações da República Portuguesa, substituindo as Leis n.os 30/84, de 5 de setembro, e 9/2007, de 19 de fevereiro - tinha o seguinte conteúdo:

Artigo 78.º — Acesso a dados e informação

1 -

2 - Os oficiais de informações do SIS e do SIED podem, para efeitos do disposto na alínea c) do n.º 2 do artigo 4.º, e no seu exclusivo âmbito, aceder a informação bancária, a informação fiscal, a dados de tráfego, de localização ou outros dados conexos das comunicações, necessários para identificar o assinante ou utilizador ou para encontrar e identificar a fonte, o destino, a data, a hora, a duração e o tipo de comunicação, bem como para identificar o equipamento de telecomunicações ou a sua localização, sempre que sejam necessários, adequados e proporcionais, numa sociedade democrática, para o cumprimento das atribuições legais dos serviços de informações, mediante a autorização prévia e obrigatória da Comissão de Controlo Prévio, na sequência de pedido devidamente fundamentado.

(5) Aí se referiu:

"[...]

Já quanto aos dados de base (v.g. número de telefone, endereço eletrónico, contrato de ligação à rede) e aos dados de localização de equipamento, quando não dão suporte a uma concreta comunicação, não são objeto de proteção do direito ao sigilo das comunicações (cf. Acórdão n.º 486/2009). De facto, se o objeto de proteção é uma comunicação individual, então os dados que não pressuponham uma concreta comunicação, que não façam parte do processo de comunicação, ainda que protegidos pela reserva da vida privada - artigo 26.º da CRP - não estão cobertos pela tutela do sigilo das comunicações.

[...]".

Esta específica questão foi por mim abordada, nesse contexto processual, no item 9.2. do voto de vencido que juntei ao Acórdão n.º 403/2015, também por referência ao valor persuasivo que atribuí - e continuo a atribuir - ao Acórdão n.º 486/2009 (cf. o ponto 2.2. deste).

(6) Referi-me a esse espaço de proximidade - creio ser um termo apropriado - no ponto 10.1. do voto de vencido no Acórdão n.º 403/2015.

(7) Frederic F. Manget, "Intelligence And Law Enforcement", in The Oxford Handbook of National Security Intelligence, (ed. Loch K. Johnson), Oxford University Press, Oxford, 2009, p. 189.

(8) A ideia de um ciclo (que etimologicamente corresponde a um círculo) de produção de informações conceptualiza a dinâmica da função de produção de informações, através da qual, "[...] sequenciando atividades portadoras de uma funcionalidade específica, se cria uma narrativa, ligando os diversos passos envolvidos na criação de um produto final, designado 'informação' [intelligence], começando pela recolha de informações de base ou de notícias [collection of raw material] [...], conduzindo, após processamento (validação, cotejo, análise e avaliação), a um relato sistematizado dirigido a um destinatário [to some form of intelligence reporting to an end user], seja este um decisor politico, um comandante militar ou uma autoridade encarregue da perseguição criminal [...]. É a ideia de que a informação assim tratada acrescenta valor ao processo decisório relativo às políticas públicas [situadas nos diversos níveis funcionais dos destinatários] e induz uma resposta do destinatário que conduz esta narrativa a uma espécie de retorno sobre si própria, gerando como que um efeito de feedback que realimenta o processo já num plano superior, expressando a sua descrição, antes linearmente apresentada, como um ciclo" [David Omand, "Is it time to move beyond the intelligence Cycle?", Understanding the Intelligence Cycle, (MarK Phythian, ed), Routledge, Londres, Nova York, 2014, p. 134].

(9) "[A] característica comum e principal desta atividade reside no seu caráter sensível, por questões de propriedade e de legalidade, mas principalmente por razões de vulnerabilidade das suas fontes e métodos à adoção de contramedidas [...]. Daqui decorre o caráter secreto da atividade de informações: o secretismo constitui a imagem de marca das informações, a base da sua relação com o governo (com o destinatário da informação) e a sua autoimagem" (Michael Herman, Intelligence Services in The Information Age, Frank Cass Publishers, Londres, 2002, pp. 3/4).

(10) Peter Gill, "«Knowing the self, knowing the other». The comparative analysis of security intelligence", Handbook of Intelligence Studies (ed. Loch K. Johnson), Routledge, Londres, Nova York, 2007, p. 89, nota 1.

(11) Peter Gill, "Theories of Intelligence", The Oxford Handbook of National Security Intelligence, cit., p. 45.

(12) Ibidem.