Acórdão do Tribunal Constitucional n.º 687/2021 — Decide, com referência ao Decreto n.º 167/XIV, da Assembleia da República, publicado no Diário da Assembleia da…

Processo n.º 830/2021

I - Relatório

1 - O Presidente da República vem, ao abrigo do artigo 278.º, n.º 1, da Constituição da República Portuguesa, submeter à apreciação deste Tribunal, em processo de fiscalização preventiva da constitucionalidade, as normas constantes do artigo 5.º - "na parte em que altera o artigo 17.º da Lei n.º 109/2009, de 15 de setembro" - do Decreto n.º 167/XIV, que «transpõe a Diretiva (UE) 2019/713 do Parlamento Europeu e do Conselho, de 17 de abril de 2019, relativa ao combate à fraude e à contrafação de meios de pagamento que não em numerário, alterando o Código Penal, o Código de Processo Penal, a Lei n.º 109/2009, de 15 de setembro, que aprova a Lei do Cibercrime, e outros atos legislativos», aprovado pela Assembleia da República (doravante, «AR»), em 20 de julho de 2021, publicado no Diário da Assembleia da República, Série II-A, n.º 177, de 29 de julho de 2021, que lhe foi enviado para promulgação como lei e recebido em 4 de agosto de 2021.

2 - Os preceitos ora questionados do Decreto n.º 167/XIV da Assembleia da República têm o seguinte teor:

«Artigo 5.º

Alteração à Lei n.º 109/2009, de 15 de setembro

Os artigos 3.º, 6.º, 17.º, 19.º, 20.º, 21.º, 25.º e 30.º da Lei n.º 109/2009, de 15 de setembro, passam a ter a seguinte redação:

«(...)

Artigo 17.º — Apreensão de mensagens de correio eletrónico ou de natureza semelhante

1 - Quando, no decurso de uma pesquisa informática ou de outro acesso legítimo a um sistema informático, forem encontradas, armazenadas nesse sistema informático ou noutro a que seja permitido o acesso legítimo a partir do primeiro, mensagens de correio eletrónico ou de natureza semelhante que sejam necessárias à produção de prova, tendo em vista a descoberta da verdade, a autoridade judiciária competente autoriza ou ordena por despacho a sua apreensão.

2 - O órgão de polícia criminal pode efetuar as apreensões referidas no número anterior, sem prévia autorização da autoridade judiciária, no decurso de pesquisa informática legitimamente ordenada e executada nos termos do artigo 15.º, bem como quando haja urgência ou perigo na demora, devendo tal apreensão ser validada pela autoridade judiciária no prazo máximo de 72 horas.

3 - À apreensão de mensagens de correio eletrónico e de natureza semelhante aplica-se o disposto nos n.os 5 a 8 do artigo anterior.

4 - O Ministério Público apresenta ao juiz, sob pena de nulidade, as mensagens de correio eletrónico ou de natureza semelhante cuja apreensão tiver ordenado ou validado e que considere serem de grande interesse para a descoberta da verdade ou para a prova, ponderando o juiz a sua junção aos autos tendo em conta os interesses do caso concreto.

5 - Os suportes técnicos que contenham as mensagens apreendidas cuja junção não tenha sido determinada pelo juiz são guardados em envelope lacrado, à ordem do tribunal, e destruídos após o trânsito em julgado da decisão que puser termo ao processo.

6 - No que não se encontrar previsto nos números anteriores, é aplicável, com as necessárias adaptações, o regime da apreensão de correspondência previsto no Código de Processo Penal.»

Segundo o requerente, as normas questionadas poderão padecer do vício de inconstitucionalidade material, por violação do direito à inviolabilidade do domicílio e da correspondência, na interpretação que lhe tem sido dada pelo Tribunal Constitucional, e do direito à utilização da informática, não respeitando a exigência de proporcionalidade resultante do regime material dos direitos, liberdades e garantias, conforme decorre da conjugação do artigo 18.º, n.º 2, respetivamente, com os artigos 34.º, n.º 4, por um lado, e com o artigo 35.º, por outro, todos da Constituição da República Portuguesa (doravante, CRP).

3 - Os fundamentos apresentados no pedido para sustentar a inconstitucionalidade dos preceitos impugnados são os seguintes:

«[...]

1.º

Pelo Decreto n.º 167/XIV, a Assembleia da República aprovou a lei relativa ao combate à fraude e à contrafação de meios de pagamento que não em numerário, alterando o Código Penal, o Código de Processo Penal, a Lei n.º 109/2009, de 15 de setembro, que aprova a Lei do Cibercrime, e outros atos legislativos.

2.º

O Decreto em causa procede à transposição de Diretiva europeia. Contudo, e como se admite na exposição de motivos da própria proposta de lei, o legislador aproveitou a oportunidade para alterar normas não diretamente visadas pela Diretiva.

3.º

É o caso da alteração ao artigo 17.º da Lei do Cibercrime. Com efeito, como referido na exposição de motivos: "Noutro plano, e ainda que se trate de um aspeto não respeitante à transposição da Diretiva (UE) 2019/713, aproveita-se o ensejo para ajustar o artigo 17.º da Lei do Cibercrime, cujo teor tem gerado conflitos jurisprudenciais que prejudicam a economia processual e geram dúvidas desnecessárias.

Este ajustamento tem como propósito clarificar o modelo de apreensão de correio eletrónico e da respetiva validação judicial.

Visa-se, por um lado, esclarecer que a apreensão de mensagens de correio eletrónico ou de natureza similar está sujeita a um regime autónomo, que vigora em paralelo com o regime da apreensão de correspondência previsto no Código de Processo Penal. Este último regime apenas se aplica à apreensão de mensagens de correio eletrónico ou de natureza similar a título subsidiário, e com as necessárias adaptações.

Visa-se, por outro lado, esclarecer que a apreensão de mensagens de correio eletrónico ou de natureza similar guardadas num determinado dispositivo, embora incidindo sobre dados informáticos de conteúdo especial, não é tecnicamente diferente da apreensão de outro tipo de dados informáticos. Assim, deve o Ministério Público, após análise do respetivo conteúdo, apresentar ao juiz as mensagens de correio eletrónico ou de natureza similar cuja apreensão tiver ordenado ou validado e que considere serem de grande interesse para a descoberta da verdade ou para a prova, ponderando o juiz a sua junção aos autos tendo em conta os interesses do caso concreto.

Esta solução procura replicar, no domínio das mensagens de correio eletrónico ou de natureza similar, a solução presentemente aplicável aos dados e documentos informáticos cujo conteúdo possa revelar dados pessoais ou íntimos, pondo em causa a privacidade do respetivo titular ou de terceiro, nos termos do n.º 3 do artigo 16.º da Lei do Cibercrime".

4.º

É o seguinte o conteúdo da alteração em causa:

"Artigo 17.º

Apreensão de mensagens de correio eletrónico ou de natureza semelhante

1 - Quando, no decurso de uma pesquisa informática ou de outro acesso legítimo a um sistema informático, forem encontradas, armazenadas nesse sistema informático ou noutro a que seja permitido o acesso legítimo a partir do primeiro, mensagens de correio eletrónico ou de natureza semelhante que sejam necessárias à produção de prova, tendo em vista a descoberta da verdade, a autoridade judiciária competente autoriza ou ordena por despacho a sua apreensão.

2 - O órgão de polícia criminal pode efetuar as apreensões referidas no número anterior, sem prévia autorização da autoridade judiciária, no decurso de pesquisa informática legitimamente ordenada e executada nos termos do artigo 15.º, bem como quando haja urgência ou perigo na demora, devendo tal apreensão ser validada pela autoridade judiciária no prazo máximo de 72 horas.

3 - À apreensão de mensagens de correio eletrónico e de natureza semelhante aplica-se o disposto nos n.os 5 a 8 do artigo anterior.

4 - O Ministério Público apresenta ao juiz, sob pena de nulidade, as mensagens de correio eletrónico ou de natureza semelhante cuja apreensão tiver ordenado ou validado e que considere serem de grande interesse para a descoberta da verdade ou para a prova, ponderando o juiz a sua junção aos autos tendo em conta os interesses do caso concreto.

5 - Os suportes técnicos que contenham as mensagens apreendidas cuja junção não tenha sido determinada pelo juiz são guardados em envelope lacrado, à ordem do tribunal, e destruídos após o trânsito em julgado da decisão que puser termo ao processo.

6 - No que não se encontrar previsto nos números anteriores, é aplicável, com as necessárias adaptações, o regime da apreensão de correspondência previsto no Código de Processo Penal."

5.º

Deste modo, como se vê, a alteração em causa não constitui um mero "ajustamento", mas a uma mudança substancial no paradigma de acesso ao conteúdo das comunicações eletrónicas, admitindo-se que esse acesso caiba, em primeira linha, ao Ministério Público, que só posteriormente o apresenta ao juiz.

6.º

O Tribunal Constitucional tem dedicado atenção recente, numa leitura estrita, ao acesso por parte de entidades públicas às comunicações, sejam no seu conteúdo, sejam os metadados (vd. Acórdão TC n.º 464/2019).

7.º

Por outro lado, como bem alerta a Comissão Nacional de Proteção de Dados no seu parecer (Parecer 2021/74), jurisprudência recente do Tribunal de Justiça da União Europeia, em caso semelhante, entendeu que o Ministério Público, por deter a ação penal, não possui a independência requerida para apreciar a necessidade de acesso ao conteúdo das comunicações, razão pela qual essa tarefa deve ser cometida ao juiz.

8.º

O regime aprovado parece divergir, por outro lado, do disposto no artigo 179.º do Código do Processo Penal, no qual a intervenção do juiz ab initio é indispensável. Esta é também a opinião expressa pela Comissão Nacional de Proteção de Dados no seu parecer.

9.º

Com efeito, é o seguinte o conteúdo do artigo 179.º do Código do Processo Penal:

"Artigo 179.º

Apreensão de correspondência

1 - Sob pena de nulidade, o juiz pode autorizar ou ordenar, por despacho, a apreensão, mesmo nas estações de correios e de telecomunicações, de cartas, encomendas, valores, telegramas ou qualquer outra correspondência, quando tiver fundadas razões para crer que:

2 - É proibida, sob pena de nulidade, a apreensão e qualquer outra forma de controlo da correspondência entre o arguido e o seu defensor, salvo se o juiz tiver fundadas razões para crer que aquela constitui objeto ou elemento de um crime.

3 - O juiz que tiver autorizado ou ordenado a diligência é a primeira pessoa a tomar conhecimento do conteúdo da correspondência apreendida. Se a considerar relevante para a prova, fá-la juntar ao processo; caso contrário, restitui-a a quem de direito, não podendo ela ser utilizada como meio de prova, e fica ligado por dever de segredo relativamente àquilo de que tiver tomado conhecimento e não tiver interesse para a prova."

10.º

Torna-se, pois, claro que o regime agora aprovado se parece afastar, substancialmente, do disposto no Código de Processo Penal em matéria de correspondência, onde é sempre exigida a intervenção do juiz.

11.º

O legislador justificou, em parte, na exposição de motivos, a necessidade da presente alteração com a resolução "conflitos jurisprudenciais". Se é certo que a jurisprudência nem sempre tem sido linear na aplicação desta norma (vd., entre outros, Ac. do Tribunal da Relação de Guimarães de 29-03-2011), também é verdade que alguma jurisprudência parece apelidar a confusão de "aparente" (vd. Ac. do Tribunal da Relação de Lisboa de 06-02-2018). Seja como for, seria importante assegurar que a tais alegados "conflitos jurisprudenciais" não fosse agora acrescentada a dúvida de eventual não conformidade constitucional do regime aprovado.

12.º

Por outro lado, a nova redação dada ao artigo 17.º aproxima-se, é certo, do regime em vigor no artigo 16.º Sucede que, como alerta a Comissão Nacional de Proteção de Dados, o artigo 16.º refere-se a dados informáticos, o que - de modo diverso do que parece resultar da exposição de motivos - não inclui necessariamente dados pessoais nem o conteúdo das comunicações, razão que justifica um regime menos exigente.

13.º

Não por acaso, o legislador tratou em artigos diversos da apreensão de dados informáticos e da apreensão de correio eletrónico e registos de comunicações de natureza semelhante, justamente por esta última dever justificar um regime mais rigoroso de acesso.

14.º

Ora, a admitir-se esta interpretação, o regime em causa seria assim suscetível de introduzir novas restrições ao disposto no artigo 34.º, em especial no seu n.º 4, e no artigo 35.º, todos da Constituição. Tais restrições, nesse caso, poderiam não respeitar os termos estritos do citado n.º 4 do artigo 34.º, na interpretação que lhe tem sido dada pelo Tribunal Constitucional, o disposto no artigo 35.º, nem a exigência de proporcionalidade resultante do regime material dos direitos, liberdades e garantias, constante do n.º 2 do artigo 18.º da Constituição.

Ante o exposto, perante as dúvidas suscitadas, parece oportuno clarificar, antecipadamente, a potencial não conformidade constitucional deste novo regime, e a compreensível preocupação que pode suscitar em termos de investigação criminal.

[...]»

Com tais fundamentos, o Presidente da República requer ao Tribunal Constitucional a apreciação preventiva da constitucionalidade das normas do artigo 5.º do Decreto n.º 167/XIV, na parte em que altera o artigo 17.º da Lei n.º 109/2009, de 15 de setembro, em virtude de o considerar potencialmente desconforme com a Constituição, por violação do direito à inviolabilidade do domicílio e da correspondência, na interpretação que lhe tem sido dada pelo Tribunal Constitucional, e do direito à utilização da informática, nos termos expostos.

4 - Notificado para o efeito previsto no artigo 54.º da Lei de Organização, Funcionamento e Processo do Tribunal Constitucional (doravante, «LTC»), o Presidente da Assembleia da República ofereceu o merecimento dos autos, enviando em anexo uma nota sobre os trabalhos preparatórios, elaborada pelos Serviços de Apoio à Comissão Parlamentar de Assuntos Constitucionais, Direitos, Liberdades e Garantias e informando que os trabalhos preparatórios que conduziram à aprovação do Decreto em questão se encontram disponíveis na página de Internet do Parlamento.

O Presidente da Assembleia da República juntou ainda aos autos uma pronúncia da direção do Grupo Parlamentar do Partido Socialista, que apresenta argumentos no sentido da conformidade constitucional das normas questionadas. Os fundamentos para tal posição são, em síntese, os seguintes:

«A pronúncia do Grupo Parlamentar do Partido Socialista sobre o requerimento feito pelo Exmo. Senhor Presidente da República visando a apreciação da conformidade com a Constituição da norma constante do artigo 5.º do Decreto n.º 167/XIV da Assembleia da República, na parte em que altera o artigo 17.º da Lei n.º 109/2009, de 15 de setembro, evidencia, resumidamente, o seguinte:

ii) A solução constante do artigo 17.º não viola o princípio da reserva de juiz no acesso a correspondência informática porquanto (i) o artigo 17.º não é a norma-regra sobre acesso a mensagens de correio eletrónico - tal acesso continuará, em regra, a carecer de prévia decisão judicial, nos termos do artigo 179.º do Código de Processo Penal para o qual o n.º 6 do artigo 17.º remete; (ii) o artigo 17.º limita-se a criar uma solução excecional para hipóteses em que as mensagens de correio eletrónico sejam conhecidas no âmbito de uma outra pesquisa informática validamente determinada e que já está a ocorrer; (iii) as hipóteses previstas no artigo 17.º pressupõem sempre um controlo judicial orientado para a avaliação da legalidade, necessidade e proporcionalidade das apreensões realizadas, não se tratando, por isso, nunca de uma "solução sem juiz"; (iv) o sigilo da correspondência que é objeto da proteção reforçada do artigo 34.º da Constituição refere-se à comunicação "fechada" e à intercetação de fluxos comunicacionais que estão a acontecer, não abrangendo a chamada comunicação "já aberta" associada ao armazenamento de dados resultantes de comunicações prévias; (v) numa estrutura de máxima acusatoriedade como é a portuguesa, reconhece-se ao ministério público o estatuto de autoridade judiciária regida por critérios de legalidade e objetividade e atribui-se-lhe o papel de titular da ação penal que faz dele o "dominus" do inquérito, não podendo tal atribuição ser esvaziada pela outorga ao juiz das opções sobre a investigação, ainda que as decisões que mais gravosamente limitem direitos fundamentais devam ser sujeitas ao controlo do juiz de instrução.

iii) O parecer da CNPD e o Acórdão do TJUE invocados como fundantes das dúvidas sobre a conformidade constitucional referem-se sobretudo ao acesso sem prévia autorização judicial a dados de tráfego (não se referem, portanto, como sucede no artigo 17.º, a dados de conteúdo de correspondência que não está em trânsito, isto é, que já foi recebida pelo destinatário).»

Elaborado o memorando a que alude o artigo 58.º, n.º 2, da LTC, e fixada a orientação do Tribunal, importa decidir conforme dispõe o artigo 59.º da mesma Lei.

II - Fundamentação

A) Conhecimento do pedido

5 - Considerando a legitimidade do requerente, a circunstância de o pedido conter todas as indicações a que se refere o artigo 51.º, n.º 1, da LTC e a observância dos prazos aplicáveis (artigo 278.º, n.º 3, da Constituição e artigos 54.º, 56.º, n.º 4, 57.º, n.os 1 e 2, e 58.º da LTC), nada obsta ao conhecimento da questão de constitucionalidade formulada nos presentes autos.

B) Normas a apreciar e respetivo enquadramento

6 - A análise da questão de constitucionalidade agora colocada ao Tribunal Constitucional exige a consideração do quadro sistémico traçado pela Lei do Cibercrime - cujo artigo 17.º é significativamente alterado pelos preceitos legais questionados -, bem como pelo acervo normativo resultante da interconexão entre tal lei, o Código de Processo Penal (CPP) e as normas relevantes - paramétricas e de direito ordinário -, vigentes no espaço europeu.

A Lei n.º 109/2009, de 15 de setembro, denominada Lei do Cibercrime, que o Decreto em que se insere a norma questionada vem alterar, transpôs para a ordem jurídica interna a Decisão Quadro n.º 2005/222/JAI, do Conselho, de 24 de fevereiro, relativa a ataques contra sistemas de informação, e adaptou o direito interno à Convenção sobre Cibercrime do Conselho da Europa, adotada em Budapeste em 23 de novembro de 2001 (aprovada pela Resolução da Assembleia da República n.º 88/2009, de 10 de julho de 2009 e ratificada pelo Decreto n.º 91/2009, de 15 de setembro). Ao mesmo tempo, revogou a anterior legislação sobre a matéria, nomeadamente, a Lei n.º 109/1991, de 17 de agosto, denominada Lei da Criminalidade Informática.

A Lei n.º 109/2009 foi inovadora, na medida em que instituiu, pela primeira vez, regras jurídicas específicas referentes à recolha de prova em suporte eletrónico. Até então, a investigação dos crimes relacionados com a informática fazia-se com recurso às normas pertinentes, interpretadas com as necessárias adaptações, do Código de Processo Penal. Com a aprovação desta lei, o legislador procurou reunir num único diploma todas as normas respeitantes à criminalidade informática: normas de direito substantivo, normas de direito processual e normas relativas à cooperação judiciária em matéria penal.

Assim, do ponto de vista estrutural, a Lei do Cibercrime contém disposições introdutórias e definições legais, bem como um capítulo dedicado a normas penais de natureza material, onde são consagrados diversos tipos penais especificamente relacionados com a criminalidade informática; além disso, a Lei n.º 109/2009 estabelece, em capítulo autónomo, e como já se mencionou, um conjunto de normas de natureza adjetiva (designadas como "disposições processuais"), consagrando uma série de novos meios de obtenção de prova. Finalmente, um capítulo sobre cooperação internacional contém normas que complementam as disposições da Lei da Cooperação Judiciária em Matéria Penal.

7 - Nos termos do artigo 11.º da Lei do Cibercrime - a primeira disposição normativa constante do Capítulo III - as disposições processuais dela constantes apresentam-se como de aplicação tendencialmente privativa aos crimes nela consagrados. Todavia, como resulta do disposto nas diversas alíneas do n.º 1 do artigo 11.º de tal diploma, designadamente na sua alínea c), e como decorre do artigo 14.º, n.º 2, alínea c), da Convenção de Budapeste sobre o Cibercrime, aquelas disposições são, na realidade, aplicáveis a todo e qualquer crime, desde que se mostre necessária a recolha de prova em suporte eletrónico. Assim, "as regras de direito probatório previstas no diploma não são assim meras normas processuais sobre cibercrimes ou sequer apenas relativas a crimes praticados em sistemas informáticos, mas correspondem a um regime consideravelmente mais abrangente sobre prova eletrónica em processo penal aplicável a qualquer crime" (P. Dá Mesquita, "Prolegómeno sobre prova eletrónica e interceção de telecomunicações no direito processual penal português - o Código e a Lei do Cibercrime", in Processo Penal, Prova e Sistema Judiciário, Wolters Kluwer Portugal/Coimbra Editora, 1.ª edição, 2010, p. 98). Por esta razão, uma argumentação nos termos da qual as normas processuais penais constantes da Lei do Cibercrime teriam a natureza de normas excecionais, orientadas para a investigação de crimes revestidos de especial ofensividade não pode proceder. Ou, pelo menos, não pode ter-se por inequívoca a veracidade de tal argumentação, havendo espaço para interpretações diferentes, que permitam a extensão da aplicação do regime previsto no artigo 17.º a outros crimes, desde que se tenha por indispensável a recolha de prova em suporte eletrónico.

Efetivamente, o legislador nacional escolheu, ao aprovar a Lei do Cibercrime, consagrar normas de direito probatório de espetro geral num diploma extravagante, ao invés de rever e adaptar o CPP aos novos tempos. Se isto era assim em 2009, é particularmente premente nos dias de hoje, e a norma em análise prossegue esse caminho.

Ora, desta forma, tendo em consideração os processos de digitalização e desmaterialização que dominam a sociedade contemporânea, o âmbito de aplicação efetivo das normas adjetivas da Lei n.º 109/2009 revela-se substancialmente mais amplo do que poderia parecer numa primeira análise, como adiante se explicitará. De facto, a prova em suporte eletrónico tenderá a ser uma realidade material omnipresente na vida comunitária, mais ainda do que já sucedia aquando da aprovação da versão inicial das normas questionadas; notem-se, entre muitos outros fatores de incremento da vida digital, o aumento das interações entre Estado e cidadãos com recurso à Internet, bem como o crescimento do teletrabalho, em particular no cenário pandémico - e estes exemplos constituem apenas duas das mais recentes manifestações da extensão a novos domínios da vida em sociedade das referidas digitalização e desmaterialização. Na presente análise, dever-se-á, pois, ter em atenção que os preceitos questionados são passíveis de aplicação à investigação de qualquer crime, e não apenas aos crimes diretamente relacionados com a utilização da informática.

8 - Ainda no Capítulo III da Lei n.º 109/2009, e no que particularmente releva para a presente análise, encontramos os artigos 15.º a 17.º, que visam regular a matéria relativa à pesquisa (artigo 15.º) e subsequente apreensão (artigo 16.º) de dados ou documentos informáticos, previamente armazenados num sistema informático, estabelecendo-se um regime especial, no artigo 17.º, agora em causa, para a apreensão de correio eletrónico e registos de comunicações de natureza semelhante.

Assim, o artigo 15.º da Lei do Cibercrime regula a pesquisa de sistemas informáticos, com vista a obter dados informáticos específicos e determinados nele armazenados; ou seja, as normas contidas em tal artigo estabelecem as regras do que pode designar-se por "busca informática". Por regra, é a autoridade judiciária competente - o juiz ou o Ministério Público, consoante a fase processual em questão - que autoriza ou ordena a realização da pesquisa, devendo, sempre que possível, presidir à diligência (artigo 15.º, n.º 1). No âmbito de tais pesquisas, é possível, nos termos do artigo 16.º da Lei n.º 109/2009, a apreensão de dados, ordenada por despacho da mesma autoridade judiciária, sempre que tal seja necessário à produção de prova. Contudo, a lei individualiza duas situações específicas, cuja sensibilidade e relevância jurídico-constitucional justifica a previsão de um regime normativo particular - por um lado, as apreensões de um conjunto de dados sensíveis; por outro, as apreensões de mensagens de correio eletrónico ou semelhantes. A apreensão de dados de especial sensibilidade encontra-se regulada no n.º 3 do artigo 16.º da Lei do Cibercrime, que prevê que, nas situações em que sejam apreendidos dados ou documentos informáticos cujo conteúdo seja suscetível de revelar dados pessoais ou íntimos, que possam pôr em causa a privacidade do respetivo titular ou de terceiro, os mesmos devem ser, sob pena de nulidade, apresentados ao juiz, que ponderará a sua junção aos autos, tendo em conta os interesses do caso concreto. Além disto, a lei estabelece ainda a aplicabilidade, com as adaptações necessárias, das regras específicas previstas no Código de Processo Penal e demais legislação para as apreensões de dados em sistemas informáticos utilizados para o exercício da advocacia e das atividades médica, bancária e de jornalismo, bem como do regime de segredo profissional ou de funcionário e de segredo de Estado.

Quanto ao regime especial consagrado para a apreensão de correio eletrónico ou similar, constante da versão em vigor do artigo 17.º da Lei do Cibercrime, e que constitui o objeto do presente processo, será analisado infra. Adiante-se, desde já, que se exige a intervenção obrigatória do juiz que, nos termos da norma referida, pode autorizar ou ordenar, por despacho, a apreensão quando tal se afigure ser de grande interesse para a descoberta da verdade ou para a prova, aplicando-se o regime da apreensão de correspondência previsto no Código de Processo Penal.

9 - A Lei do Cibercrime suscitou dificuldades interpretativas várias e foi objeto de crítica e divergência, no plano da doutrina. Questiona-se, desde logo, a regulação desta matéria em legislação avulsa (não apenas a Lei n.º 109/2009, em si mesma, mas também a Lei n.º 32/2008, de 17 de julho, que transpõe para a ordem jurídica interna a Diretiva n.º 2006/24/CE, do Parlamento Europeu e do Conselho, de 15 de Março, relativa à conservação de dados gerados ou tratados no contexto da oferta de serviços de comunicações eletrónicas publicamente disponíveis ou de redes públicas de comunicações), cuja interpretação integrada com as disposições do Código de Processo Penal se revela, amiúde, problemática: "persistindo numa estranha lógica legislativa, que tem resistido incólume ao irremediável volver dos tempos, o legislador nacional continua a manter em vigor três diplomas legais diferentes para regular aspetos parcelares da mesma realidade concreta. Esta trilogia, para além de acentuar o atual paradigma da descodificação e de negar a desejável centralidade normativa do Código de Processo Penal, contribui para a assimetria, para a incoerência das soluções legais e, sobretudo, para o seu indesejável e nefasto insucesso prático. A prova digital - essencial no mundo hodierno - continua mergulhada num verdadeiro pântano prático e, sobretudo, normativo, que só poderá ser superado mediante uma intervenção legislativa coerente, global e, cientificamente, sustentável" (J. Conde Correia, "Prova Digital: as leis que temos e a lei que devíamos ter", in Revista do Ministério Público, n.º 139, julho-setembro de 2014, pp. 30-31).

10 - No que especificamente se relaciona com o regime jurídico de apreensão do correio eletrónico, ou semelhante, plasmado no artigo 17.º, também se acumulam dúvidas e posições divergentes.

Em primeiro lugar, discute-se se o paralelismo legalmente estabelecido com o regime processual penal que regula a apreensão de correspondência deve aplicar-se a todo o correio eletrónico, ou apenas às situações em que este não foi ainda lido pelo destinatário, aplicando-se ao correio lido o regime da simples apreensão de documentos. Até à aprovação da lei, posições havia, até, que afastavam qualquer equivalência entre as mensagens de correio eletrónico recebidas num sistema informático e o conceito tradicional de correspondência ou de carta (veja-se, neste sentido, R. Bravo, "Da não equiparação do conceito de correio eletrónico ao conceito tradicional de correspondência por carta", in Revista Polícia e Justiça, 3.ª série, N.º 7, janeiro-junho de 2006, Coimbra Editora).

A Lei do Cibercrime veio clarificar a existência de tal paralelismo, sem que, porém, se afastassem todas as dúvidas respeitantes à interseção entre os regimes processuais respeitantes à intercetação de telecomunicações, à apreensão de correspondência e à apreensão de documentos. Assim, questiona-se, nomeadamente, se, a partir do momento da leitura, a mensagem de correio eletrónico, ou similar, não passa a ser um documento eletrónico como qualquer outro, estabelecendo-se como objeto idóneo de busca, em sentido tradicional, e sujeitando-se ao regime correspondente àquele a que ficam sujeitos os documentos que o visado cria e arquiva no seu computador. Vários autores, especialmente em escritos mais antigos, inclinam-se no sentido desta última solução.

Nestes termos, no sentido da equiparação entre correio eletrónico lido pelo destinatário e simples documentos, afirma-se que "depois de recebido, lido e guardado no computador do destinatário, um e-mail deixa de pertencer à área de tutela das telecomunicações, passando a valer como um normal escrito. E, como tal, sujeito ao mesmo regime em que se encontra um qualquer ficheiro produzido pelo utilizador do computador e nele arquivado. Podendo, como tal, figurar como objeto idóneo da busca, em sentido tradicional" (M. Costa Andrade, "Comentário ao artigo 194.º do Código Penal", in Comentário Conimbricense do Código Penal, Tomo I, 2.ª Edição, Coimbra Editora, maio de 2012, ponto 27). Posição idêntica explica que "no art. 17.º, apesar da redação pouco clara, a remissão para as regras do processo penal sobre apreensão de correspondência parece implicar que a mesma reconduz o intérprete à teleologia do regime processual sobre a apreensão de correspondência, pelo que não são objeto da sua tutela especial, nomeadamente, mensagens de correio eletrónico já acedidas pelo destinatário" (P. Dá Mesquita, "Prolegómeno sobre prova eletrónica e interceção de telecomunicações no direito processual penal português - o Código e a Lei do Cibercrime", in Processo Penal, Prova e Sistema Judiciário, Wolters Kluwer Portugal/Coimbra Editora, 1.ª edição, 2010, p. 118).

Todavia, esta posição não é consensual; há quem defenda uma maior garantia mesmo do correio eletrónico já lido, entendendo que "a Lei do Cibercrime consagra uma distinção de regime para o e-mail armazenado, que nem equipara à proteção da interceção do e-mail enquanto comunicação, nem à (falta de) proteção dos normais escritos. De facto, reconhece esta lei um plus de proteção a arquivos que já foram comunicação, em nome da salvaguarda da privacidade da autodeterminação informacional, remetendo para o regime de correspondência. (...) O que a Lei n.º 109/2009 faz é reconhecer ao correio eletrónico apenas dois momentos, com separação entre um e outro desde a leitura do e-mail pelo destinatário, mas conferindo, ao mesmo tempo, proteção acrescida ao segundo momento, de armazenamento, fazendo coincidir os requisitos previstos para o regime da correspondência" (Ana Rita Castanheira Neves, As ingerências nas comunicações eletrónicas em proteção penal: natureza e respetivo regime jurídico do correio eletrónico enquanto meio de obtenção de prova, Coimbra Editora, 2011, pp. 276-277).

Nesta linha, alguma doutrina tem evoluído para uma posição que desconsidera a distinção entre correio eletrónico lido e não lido pelo destinatário, com suporte na letra do artigo 17.º da Lei do Cibercrime, que não contém qualquer divisão concetual ou de âmbito de aplicação; justifica-se esta orientação, desde logo, com as dificuldades técnicas e a possibilidade de equívocos que tal diferenciação comporta. A consagração de um regime jurídico único, especificamente desenhado para a figura do correio eletrónico, permite, aliás, ultrapassar incongruências e antinomias que resultariam de um tratamento jurídico diferenciado entre as mensagens guardadas no sistema informático do visado e as mensagens armazenadas em nuvem, ou no sistema informático do prestador do serviço. Assim, tem-se caminhado em direção a uma disciplina tendencialmente unitária da apreensão de correio eletrónico em processo penal, permitindo enfrentar as questões levantadas por tal realidade, levando em consideração os bens jurídico-constitucionalmente tutelados que a propósito dela devem ser convocados (como a privacidade, o sigilo da correspondência, a autodeterminação informativa, a proteção conferida aos dados pessoais e aos dados informáticos), e contribuindo para ultrapassar os desencontros provocados pelo "enquadramento categorial e normativo dos e-mails nas fases e ao tempo em que se encontram guardados no e-mail account do provider: tanto na fase intermédia, em que a mensagem não foi ainda chamada nem aberta ou lida pelo destinatário; como na fase final, nas constelações em que, depois de aberto e lido, o e-mail é depositado no server do provider, a que só é possível aceder através da internet, isto é, através de um ato de telecomunicação" (M. Costa Andrade, "Comentário ao artigo 194.º do Código Penal", in Comentário Conimbricense do Código Penal, Tomo I, 2.ª Edição, Coimbra Editora, maio de 2012, ponto 28). Efetivamente, a verdade é que é, hoje, possível "com um simples clique, marcar como lida uma mensagem de correio eletrónico não lida e vice-versa. O sujeito pode aceder ao correio eletrónico através de vários dispositivos e em uns deles a mensagem surgir como lida e noutros como não lida, dependendo do tipo de sincronização existente entre os diversos dispositivos. A fronteira entre correio eletrónico lido e não lido é, assim, difícil de estabelecer. O legislador, reconhecendo o anacronismo e a inadequação daquela distinção de regimes, optou por atribuir uma tutela acrescida à mensagem em formato digital, submetendo-a ao regime do artigo 17.º, independentemente de ter ou não sido lida pelo seu destinatário (Sónia Fidalgo, "A apreensão de correio eletrónico e a utilização noutro processo das mensagens apreendidas", in Revista Portuguesa de Ciência Criminal, Ano 29, n.º 1, janeiro-abril de 2019, Gestlegal, p. 69).

Por esta razão, e atendendo igualmente aos bens jurídico-constitucionais e aos direitos fundamentais em causa, bem como à necessidade de uma compreensão atualista da tutela jusconstitucional conferida pela CRP nesta matéria, atender-se-á ao regime jurídico de apreensão de correio eletrónico sem proceder a este tipo de distinções.

11 - Por outro lado, e com evidente interesse para a questão de constitucionalidade que se analisará no presente processo, questiona-se também, no que respeita à aplicação do disposto no artigo 17.º da Lei do Cibercrime, a obrigatoriedade de despacho judicial prévio, que autorize ou ordene a apreensão de mensagens de correio eletrónico, bem como a necessidade de o juiz ser o primeiro a tomar conhecimento do conteúdo das mensagens de correio eletrónico ou semelhantes apreendidas. Quanto a estes pontos, as divergências são significativas, no plano doutrinal.

Para alguns autores, a apreensão só pode ser feita na sequência de despacho judicial prévio: "A lei exige claramente um despacho judicial prévio a qualquer apreensão. Poderá questionar-se as dificuldades que tal exigência levanta na prática, mas não poderá dizer-se que a lei não faz esta exigência" (cf. Sónia Fidalgo, "A apreensão de correio eletrónico e a utilização noutro processo das mensagens apreendidas", in Revista Portuguesa de Ciência Criminal, Ano 29, n.º 1, janeiro-abril de 2019, Gestlegal, p. 67 e ainda, no mesmo sentido, Ana Rita Castanheira Neves, As ingerências nas comunicações eletrónicas em proteção penal: natureza e respetivo regime jurídico do correio eletrónico enquanto meio de obtenção de prova, Coimbra Editora, 2011, p. 275).

Outros, porém, entendem que a lei é omissa a este propósito e permite interpretações possibilitadoras de uma apreensão cautelar ou provisória das mensagens de correio eletrónico, sem despacho judicial prévio, desde que haja, depois, despacho judicial que ordene a junção aos autos das mensagens apreendidas. Ou seja, nesses casos, "o despacho judicial deverá ser ulterior à chegada das mensagens ao conhecimento de quem está a conduzir a investigação. Por idênticas razões, terá que entender-se que a única exigência legal para a sua apreensão provisória é a da existência de uma forma legítima de acesso ao meio informático em que estavam armazenadas. Esta apreensão é provisória porque caso o juiz entenda dever autorizar a apreensão, a mensagem em causa será efetivamente apreendida e junta ao processo. Caso assim não entenda, então a apreensão não se mantém, devendo o suporte das mensagens em causa ser devolvido ou, se a apreensão tiver sido feita por cópia, destruído. Este regime vai ao encontro das exigências práticas dos casos concretos, permitindo flexibilizar o procedimento a este propósito" (P. Verdelho, "A nova Lei do Cibercrime", in Scientia Iuridica, Tomo LVIII, n.º 320, outubro-dezembro de 2009, Universidade do Minho, p. 743).

A divergência estende-se, como acima se explicou, à questão de saber se o juiz tem que tomar, forçosamente, conhecimento do conteúdo das mensagens em primeiro lugar. Nos termos de uma das posições doutrinais em confronto, "a letra da lei aponta antes para a possibilidade de quem procede à pesquisa encaminha para o juiz mensagens concretas, com relevância para o caso concreto, que aquele depois apreenderá ou não". Chama-se ainda a atenção para o facto de este regime não divergir "estruturalmente daquele que se prevê no Código de Processo Penal para a apreensão de correspondência" (neste sentido, de novo, cf. P. Verdelho, "A nova Lei do Cibercrime", in Scientia Iuridica, Tomo LVIII, n.º 320, outubro-dezembro de 2009, Universidade do Minho, pp. 744 e 745), e para a incoerência em sede do sistema de tutela de direitos fundamentais no âmbito processual penal que resultaria de solução contrária, na medida em que "nos casos mais graves para a privacidade dos artigos 16.º, n.º 3, e 18.º, os OPC's e o Ministério Público podem e devem tomar primeiro conhecimento do conteúdo" (assim, R. Cardoso, "Apreensão de correio eletrónico e registos de comunicações de natureza semelhante - artigo 17.º da Lei n.º 109/2009, de 15.IX", in Revista do Ministério Público, janeiro-março de 2018, p. 197-199). Em sentido oposto, pode defender-se que, numa interpretação mais próxima da letra do artigo 17.º da Lei do Cibercrime, e uma vez que se aplica o regime de apreensão da correspondência, previsto no artigo 179.º do Código de Processo Penal, "quando se apreende correio eletrónico ou de registos de comunicações de natureza semelhante, aplicando-se obrigatoriamente mutatis mutandis o regime da apreensão de correspondência, o juiz é o primeiro a tomar conhecimento do seu conteúdo" (cf. A. Dias Ramos, A prova digital em processo penal: o correio eletrónico, 2.ª Edição, Chiado Editora, 2017). A análise da questão de constitucionalidade ora em causa atenderá a estas divergências em dois planos; em primeiro lugar, tendo presente que a nova redação do regime jurídico constante do artigo 17.º da Lei do Cibercrime visa, entre outras finalidades, superar estas interpretações dissonantes. Em segundo lugar, refletindo sobre se - tendo em consideração as normas constitucionais relevantes, em especial as relativas às garantias processuais em sede de processo penal - a superação, por via legislativa, das dissonâncias interpretativas relatadas pode fazer-se escolhendo qualquer um dos caminhos doutrinalmente propostos, ou se a Constituição impõe um determinado rumo.

12 - O Decreto n.º 167/XIV promove um conjunto vasto de alterações em diversos diplomas - entre os quais se destaca o Código Penal, o Código Processo Penal e a Lei n.º 109/2009 - procurando adaptar a ordem interna às recentes imposições do Direito da União Europeia em matéria penal. Com efeito, apesar de a Exposição de Motivos da Proposta de Lei n.º 98/XIV/2.ª reconhecer que "ordem jurídica interna est[á], genericamente, conforme à Diretiva (EU) 2019/713", o legislador identificou "algumas lacunas de punibilidade, que se propõe colmatar". As alterações agora introduzidas na mencionada Lei n.º 109/2009 justificam-se, pois, antes de mais, pela necessidade de proceder a ajustes e adaptações, para conformar plenamente a ordem jurídica portuguesa com os preceitos da Diretiva (UE) 2019/713, do Parlamento Europeu e do Conselho, de 17 de abril de 2019, relativa ao combate à fraude e à contrafação de meios de pagamento que não em numerário, que substitui a Decisão-Quadro 2001/413/JAI do Conselho (Diretiva (UE) 2019/713), e coloca aos Estados-Membros um conjunto de imposições em matéria penal.

O Governo apresentou, pois, a Proposta de Lei n.º 98/XIV/2.ª, ao abrigo da sua iniciativa legislativa, nos termos do disposto nos artigos 167.º, n.º 1, e 197.º, n.º 1, alínea d), da CRP, com o propósito expresso de proceder à transposição para a ordem jurídica interna da Diretiva acima mencionada. Destacam-se, neste seguimento, segundo a respetiva Exposição de Motivos, como principais modificações introduzidas pelo Decreto n.º 167/XIV, advindas da Diretiva (UE) 2019/713:(i) o alargamento do leque de crimes relativamente aos quais se admite a responsabilização penal das pessoas coletivas (cf. artigo 11.º, n.º 2, do Código Penal), passando a incluir nessa sede um conjunto de crimes associados à fenomenologia da fraude e da contrafação de meios de pagamento que não em numerário; (ii) a previsão de novos tipos legais na Lei do Cibercrime, através dos novos artigos 3.º-A a 3.º-D, englobando toda a matéria relativa à contrafação ou falsificação de todos os instrumentos de pagamento (corpóreos e não corpóreos) que não em numerário; (iii) o ajustamento das molduras penais de algumas condutas já previstas, através da alteração do artigo 6.º da Lei do Cibercrime; (iv) o aditamento das condutas descritas no artigo 5.º da Diretiva (distinção entre «apropriação ilegítima» e «obtenção ilícita»), introduzindo um novo artigo 3.º-E à Lei do Cibercrime; (v) e o ajustamento do ponto de contacto para fins de cooperação internacional, previsto no artigo 21.º da Lei do Cibercrime, onde passa a figurar o Ministério Público, atenta a natureza da informação a trocar.

Todavia, a redação proposta do artigo 17.º da Lei do Cibercrime não constitui uma exigência imposta pela transposição da Diretiva (UE) 2019/713, correspondendo, antes, a um desejo do legislador de clarificação e alteração da norma até agora vigente em matéria de apreensão de correio eletrónico. Efetivamente, no que respeita à alteração do artigo 17.º da Lei do Cibercrime, que é objeto do presente pedido de fiscalização preventiva, pode ler-se na parte que ora releva da Exposição de Motivos da Proposta de Lei:

«Noutro plano, e ainda que se trate de um aspeto não respeitante à transposição da Diretiva (UE) 2019/713, aproveita-se o ensejo para ajustar o artigo 17.º da Lei do Cibercrime, cujo teor tem gerado conflitos jurisprudenciais que prejudicam a economia processual e geram dúvidas desnecessárias.

Este ajustamento tem como propósito clarificar o modelo de apreensão de correio eletrónico e da respetiva validação judicial.

Visa-se, por um lado, esclarecer que a apreensão de mensagens de correio eletrónico ou de natureza similar está sujeita a um regime autónomo, que vigora em paralelo com o regime da apreensão de correspondência previsto no Código de Processo Penal. Este último regime apenas se aplica à apreensão de mensagens de correio eletrónico ou de natureza similar a título subsidiário, e com as necessárias adaptações.

Visa-se, por outro lado, esclarecer que a apreensão de mensagens de correio eletrónico ou de natureza similar guardadas num determinado dispositivo, embora incidindo sobre dados informáticos de conteúdo especial, não é tecnicamente diferente da apreensão de outro tipo de dados informáticos.

Assim, deve o Ministério Público, após análise do respetivo conteúdo, apresentar ao juiz as mensagens de correio eletrónico ou de natureza similar cuja apreensão tiver ordenado ou validado e que considere serem de grande interesse para a descoberta da verdade ou para a prova, ponderando o juiz a sua junção aos autos tendo em conta os interesses do caso concreto.

Esta solução procura replicar, no domínio das mensagens de correio eletrónico ou de natureza similar, a solução presentemente aplicável aos dados e documentos informáticos cujo conteúdo possa revelar dados pessoais ou íntimos, pondo em causa a privacidade do respetivo titular ou de terceiro, nos termos do n.º 3 do artigo 16.º da Lei do Cibercrime.»

Deste modo, e como resulta evidente do texto transcrito, a alteração do artigo 17.º da Lei do Cibercrime prende-se com a necessidade, identificada pelo legislador, de procurar resolver alegados conflitos jurisprudenciais causados pelo teor daquela norma, assim como de clarificar o regime jurídico relativo à apreensão de correio eletrónico e respetiva validação judicial.

Na verdade, no que respeita à motivação das alterações em causa, a Estratégia Nacional de Segurança do Ciberespaço 2019-2023, aprovada pela Resolução do Conselho de Ministros n.º 92/2019, 23 de maio de 2019, indiciava já tais propósitos. Lê-se no respetivo Eixo 4 que se pretende:

«[a]valiar no âmbito da cibercriminalidade [d]a necessidade de ajustamento das normas processuais penais aos desafios globais que a mesma coloca e, em particular quanto a eventual acesso transfronteiriço a dados (prova digital), a eventual cooperação com operadores de comunicações estrangeiros e a agilização de ações de investigação online, incluindo as que possam enquadrar-se no contexto de ações encobertas, nos termos da lei; [p]onderar a atualização do existente enquadramento legal da retenção de dados e o enquadramento legal da apreensão do correio eletrónico e outras comunicações de natureza semelhante.»

13 - Atentos os motivos expostos pelo legislador, cabe esclarecer o seguinte: é evidentemente legítimo, no que respeita à segurança e determinabilidade na aplicação da lei processual penal, a criação de um regime jurídico próprio, e autónomo, especificamente respeitante à apreensão de mensagens de correio eletrónico ou de natureza similar, podendo remeter-se o regime de apreensão da correspondência previsto no Código de Processo Penal para a condição de legislação subsidiária. Isso não invalida, porém, a necessidade de respeito pelas normas jurídico-constitucionais relevantes, em particular as que dizem respeito a direitos fundamentais e às garantias em processo penal, bem como as que consagram princípios fundantes do Estado de direito, como o princípio da proporcionalidade. Ou seja, pode criar-se um novo regime, mas não qualquer regime.

Por outro lado, no que respeita aos alegados "conflitos jurisprudenciais que prejudicam a economia processual e geram dúvidas desnecessárias" em torno do artigo 17.º da Lei do Cibercrime, que também justificariam a referida alteração legislativa, analisada a jurisprudência dos tribunais superiores, verifica-se que, amiúde, as diferenças de fundamentação e pronúncia resultam dos distintos contornos e da problemática concretamente em causa em cada um dos acórdãos (veja-se, por exemplo, a este propósito, o Acórdão do Supremo Tribunal de Justiça de 20 de janeiro de 2021, no Processo 454/17.6T9LMG-E.C1-A.S1, disponível, bem como todos os que em seguida se referirão, em www.dgsi.pt).

14 - Atento o enquadramento que acaba de se descrever, é, pois, indispensável analisar as alterações introduzidas pelo artigo 5.º do Decreto n.º 167/XIV, da Assembleia da República, no que respeita ao regime jurídico relativo à apreensão de correio eletrónico e registos de comunicações de natureza semelhante, regulado pelo artigo 17.º da Lei do Cibercrime.

A versão atual da norma consagra o seguinte:

«Artigo 17.º

Apreensão de correio eletrónico e registos de comunicações de natureza semelhante

Quando, no decurso de uma pesquisa informática ou outro acesso legítimo a um sistema informático, forem encontrados, armazenados nesse sistema informático ou noutro a que seja permitido o acesso legítimo a partir do primeiro, mensagens de correio eletrónico ou registos de comunicações de natureza semelhante, o juiz pode autorizar ou ordenar, por despacho, a apreensão daqueles que se afigurem ser de grande interesse para a descoberta da verdade ou para a prova, aplicando-se correspondentemente o regime da apreensão de correspondência previsto no Código de Processo Penal.»

Por seu turno, a nova redação do artigo 17.º, contendo os preceitos normativos questionados, e que deverão ser objeto de análise pelo Tribunal Constitucional, dispõe neste sentido:

«Artigo 17.º

Apreensão de mensagens de correio eletrónico ou de natureza semelhante

1 - Quando, no decurso de uma pesquisa informática ou de outro acesso legítimo a um sistema informático, forem encontradas, armazenadas nesse sistema informático ou noutro a que seja permitido o acesso legítimo a partir do primeiro, mensagens de correio eletrónico ou de natureza semelhante que sejam necessárias à produção de prova, tendo em vista a descoberta da verdade, a autoridade judiciária competente autoriza ou ordena por despacho a sua apreensão.

2 - O órgão de polícia criminal pode efetuar as apreensões referidas no número anterior, sem prévia autorização da autoridade judiciária, no decurso de pesquisa informática legitimamente ordenada e executada nos termos do artigo 15.º, bem como quando haja urgência ou perigo na demora, devendo tal apreensão ser validada pela autoridade judiciária no prazo máximo de 72 horas.

3 - À apreensão de mensagens de correio eletrónico e de natureza semelhante aplica-se o disposto nos n.os 5 a 8 do artigo anterior.

4 - O Ministério Público apresenta ao juiz, sob pena de nulidade, as mensagens de correio eletrónico ou de natureza semelhante cuja apreensão tiver ordenado ou validado e que considere serem de grande interesse para a descoberta da verdade ou para a prova, ponderando o juiz a sua junção aos autos tendo em conta os interesses do caso concreto.

5 - Os suportes técnicos que contenham as mensagens apreendidas cuja junção não tenha sido determinada pelo juiz são guardados em envelope lacrado, à ordem do tribunal, e destruídos após o trânsito em julgado da decisão que puser termo ao processo.

6 - No que se não encontrar previsto nos números anteriores, é aplicável, com as necessárias adaptações, o regime da apreensão de correspondência previsto no Código de Processo Penal.»

Do confronto entre ambas as versões do artigo em causa ressaltam alterações relevantes no regime jurídico por ele instituído, que correspondem à intenção de mudança expressa pelo legislador na Exposição de Motivos do diploma, acima transcrita.

15 - Tais alterações respeitam, em primeiro lugar, ao órgão competente e às formalidades exigíveis para apreensão de correio eletrónico ou semelhante. Onde a atual versão da lei prevê uma competência exclusiva do juiz, a versão constante do Decreto em análise refere-se à autoridade judiciária competente. Daqui resulta, pois, uma (nova) repartição da competência em causa entre o Juiz, o Ministério Público, em fase de inquérito, nos termos do n.º 1 do artigo 17.º, e os Órgãos de Polícia Criminal, sem prévia autorização judicial, nas situações previstas no n.º 2 do artigo 17.º, de natureza cautelar.

Nestes termos, nos casos em que tenha sido o Ministério Público a ordenar ou validar a apreensão, deve este apresentar ao juiz, sob pena de nulidade, as mensagens de correio eletrónico que repute de grande interesse para a descoberta da verdade ou para a prova, ponderando este a sua junção aos autos (artigo 17.º, n.º 4) - à semelhança do disposto no n.º 3 do artigo 179.º do CPP, que também atribui ao juiz a competência para determinar a junção da correspondência apreendida ao processo. Por outro lado, os Órgãos de Polícia Criminal podem apreender correio eletrónico ou similar, nas situações de pesquisa informática executada nos termos do artigo 15.º da própria Lei do Cibercrime, ou quando haja urgência ou perigo na demora, exigindo-se ulterior validação pela autoridade judiciária, no prazo máximo de 72 horas.

Em segundo lugar, há mudanças relevantes no que toca à definição do objeto das apreensões. Na redação atual, podem ser apreendidas mensagens de correio eletrónico, ou semelhante, que se revelem de grande interesse para a descoberta da verdade ou para a prova; porém, na redação agora proposta, alarga-se o objeto a todo o conjunto de mensagens necessárias à produção de prova, tendo em vista a descoberta da verdade, ponderação esta que poderá ser feita por qualquer dos órgãos com competência para efetuar a apreensão.

Além do que se assinalou, cabe ainda notar que a remissão, em bloco, para o disposto no artigo 179.º do CPP - que contém o regime jurídico aplicável à apreensão de correspondência -, presente na atual redação do artigo 17.º da Lei do Cibercrime, será substituída, na versão aqui em crise, por uma previsão de aplicação subsidiária, e com as necessárias adaptações do disposto naquela norma do Código de Processo Penal.

16 - Assim, parece resultar da análise empreendida que as alterações propostas pretendem criar um regime jurídico autónomo, relativo à apreensão de mensagens de correio eletrónico ou de natureza semelhante, com paralelismos significativos com o regime consagrado no artigo 178.º do CPP, relativo às apreensões de objetos relacionados com a prática de um facto ilícito típico, deixados pelo agente no local do crime ou quaisquer outros suscetíveis de servir a prova.

De facto, e como acima se assinalou, a alteração mais significativa consiste no alargamento da competência do Ministério Público que, enquanto autoridade judiciária competente em sede de inquérito, passa a poder autorizar, ordenar e até mesmo validar a apreensão de mensagens de correio eletrónico. Do mesmo modo, e em coerência com o estabelecido nos artigos 55.º e 249.º do CPP quanto à competência dos Órgãos de Polícia Criminal, a estes é atribuída a faculdade de praticar, no âmbito da apreensão de correio eletrónico, os atos destinados a assegurar os meios de prova, no decurso de pesquisa informática legitimamente ordenada e executada nos termos do artigo 15.º, bem como (o que parece indiciar uma condição alternativa e não cumulativa) nos casos de urgência ou perigo na demora - atos estes sujeitos, como sempre se imporia, a ulterior validação da autoridade judiciária. Nestes termos, não só o Ministério Público passa a ter, em fase de inquérito, e à luz da nova redação do n.º 1 do artigo 17.º da Lei do Cibercrime, competência para uma intervenção prévia à apreensão - ordenando-a ou autorizando-a, por despacho, em vez do Juiz de Instrução Criminal -, como o n.º 2 do mesmo artigo admite também uma intervenção ex post, validando, no prazo de 72 horas, a apreensão realizada pelo Órgão de Polícia Criminal. Note-se, ainda, que, em qualquer dos casos, as normas questionadas não preveem um prazo para apresentação pelo Ministério Público ao juiz das mensagens de correio eletrónico ou de natureza semelhantes cuja apreensão tenham ordenado (ex ante) ou validado (ex post).

Ora, este regime jurídico, na sua autonomia, expressamente pretendida pelo legislador, aproxima-se mais do regime jurídico previsto na legislação processual penal para a apreensão de objetos, lato sensu, consagrado no artigo 178.º do CPP, do que do disposto no artigo 179.º do CPP quanto à apreensão de correspondência, pese embora este último continuar a funcionar - por força da remissão em bloco feita no n.º 6 da redação proposta para o artigo 17.º da Lei do Cibercrime - como legislação subsidiária. Paralelamente, o legislador inspira-se no disposto no n.º 3 do artigo 179.º do CPP quando, no (novo) n.º 4 do artigo 17.º, estabelece que caberá ao juiz aferir da pertinência da junção ao processo das mensagens apreendidas. Este paralelismo parece, assim, também, permitir estender às situações de apreensão de correio eletrónico ou similar uma das mais relevantes garantias referentes às situações de apreensão de correspondência, a saber, a consagração da nulidade como sanção associada à ausência de despacho do juiz (cf. artigo 179.º, n.º 1, do CPP). Pretende-se com isto assinalar que a intromissão na correspondência, pelo potencial de afetação de direitos fundamentais que apresenta, merece uma tutela mais exigente por parte do legislador.

Em suma, com esta nova versão do artigo 17.º, constante do Decreto aqui em causa, constrói-se, para a específica situação de apreensão de correio eletrónico ou similar, um regime híbrido, que combina elementos significativos do regime consagrado no artigo 178.º do CPP, relativo às apreensões de objetos relacionados com a prática de um facto ilícito, com parte da disciplina jurídica respeitante à apreensão de correspondência, constante do artigo 179.º CPP. O novo regime legal determina um reforço da competência do Ministério Público, em fase de inquérito, dispensando a intervenção do juiz para a apreensão de mensagens de correio eletrónico ou de natureza semelhante, ficando esta reservada, apenas, para a eventual junção aos autos de mensagens de correio eletrónico selecionadas.

17 - A Proposta de Lei foi apreciada em sede parlamentar pela Comissão dos Assuntos Constitucionais, Direitos, Liberdades e Garantias da Assembleia da República, em conexão com a Comissão de Orçamento e Finanças, tendo ambas emitido pareceres favoráveis, no dia 23 de junho de 2021.

No âmbito dos trabalhos da Comissão dos Assuntos Constitucionais, Direitos, Liberdades e Garantias foram consultadas diversas entidades, que também emitiram, maioritariamente, opinião favorável sobre a Proposta de Lei. Com particular interesse para o presente processo, cabe dar nota, em primeiro lugar, do parecer do Conselho Superior do Ministério Público, de 8 de junho de 2021, no qual se pode ler, no que respeita especificamente à nova redação do artigo 17.º da Lei do Cibercrime:

«Trata-se de uma alteração alheia ao propósito principal do projeto legislativo, mas que se afigura muito positiva. Por um lado, esta norma tem gerado grandes críticas, pelas enormes divergências interpretativas que tem gerado, na doutrina e na jurisprudência. Por outro lado, havendo uma intervenção legislativa nesta Lei (que é a primeira, desde que foi publicada em 2009), julga-se ser apropriado aproveitar esta iniciativa legislativa para ajustar um regime legal que é claramente problemático, por suscitar recorrentemente divergentes decisões, nos processos reais, nos tribunais, com claro prejuízo para a eficácia do sistema e para a justiça do caso concreto.

A redação da proposta visa enquadrar de forma mais adequada a apreensão de mensagens de correio eletrónico ou de natureza similar, no contexto do regime geral das apreensões de dados informáticos. Trata-se de uma opção legislativa muito positiva, uma vez que, numa perspetiva técnica e operativa, a apreensão de mensagens de correio eletrónico ou de natureza similar não difere da apreensão de dados em geral. É certo que incide sobre conteúdos específicos - e sensíveis -, mas a proposta legislativa introduz um complexo sistema de salvaguardas que vão ao encontro dessa especificidade.

Atendendo à natureza específica deste tipo de mensagens, o regime proposto introduz um modelo que aproxima a lei do modelo constitucional, de atribuição ao Ministério Público da competência para investigar crimes e recolher e selecionar a respetiva prova. Por outro lado, reserva para o juiz de instrução a função de garantir que os direitos, liberdades e garantias dos cidadãos são observadas durante a investigação.

O modelo operativo proposto também é coerente com o modelo das interceções telefónicas - o que não acontece com o regime vigente, que é disfuncional. Na verdade, o modelo atual consagra (e bem) um modelo de clara iniciativa do Ministério Público quanto a interceções telefónicas e interceções de comunicações eletrónicas de todas as naturezas, mas depois tolhe por completo a iniciativa do Ministério Público na apreensão de registos de correio eletrónico, já recebido.

Na prática, o modelo agora preconizado por esta Proposta de Lei vai ao encontro das sugestões e da interpretação da doutrina mais preponderante a este respeito, ao mesmo tempo que garante a essencial intervenção judicial.»

Por seu turno, o Conselho Superior da Magistratura submeteu o seu parecer a 24 de junho de 2021, no qual concluiu, na parte que ora releva, que "[a] presente Proposta de Lei procede a uma correta transposição para a ordem jurídica interna [d]a Diretiva", e que "a presente iniciativa legislativa constitui uma proposta de alterações pontuais à legislação já existente, as quais entenderam-se ser as necessárias para superar lacunas ou para esclarecer divergências de interpretações."

18 - Em sentido contrário, e de forma bastante contundente, a Comissão Nacional de Proteção de Dados (CNPD) entendeu, no seu parecer 2021/74, mencionado também pelo autor do presente pedido de fiscalização da constitucionalidade, que as alterações propostas ao artigo 17.º da Lei do Cibercrime se afiguram como problemáticas, a vários títulos, tendo apresentado os seguintes fundamentos principais:

«17 - Resulta, na perspetiva da CNPD, evidente, que o artigo 17.º da Lei do Cibercrime arquiteta um sistema de validação da apreensão de mensagens de correio eletrónico (ou registos de comunicações de natureza semelhante) em (quase) tudo coincidente com o previsto no artigo 179.º do CPP. Sendo o objeto da Lei do Cibercrime o "estabelec[imento d]as disposições penais materiais e processuais, bem como as disposições relativas à cooperação internacional em matéria penal, relativas ao domínio do cibercrime e da recolha de prova em suporte electrónico", ela constitui, quanto aos elementos de prova em suporte eletrónico verdadeira lex specialis por contraponto ao CPP. Ainda assim, o legislador optou por concretizar a restrição do direito constitucional à inviolabilidade da correspondência, previsto no artigo 34.º da Constituição da República Portuguesa (CRP), com uma cláusula que praticamente replica o n.º 1 do artigo 179.º do CPP, salvo quando à tripla condição que neste inciso se aponta como condição para fundamentar a autorização ou ordem de apreensão.

18 - Ora, se se aceita que uma alteração legislativa possa servir para superar "conflitos jurisprudenciais que prejudicam a economia processual e geram dúvidas desnecessárias", já se apontam maiores dificuldades a admitir que essa modificação possa pretender superar esses problemas pela via da menorização de direitos fundamentais constitucionalmente consagrados - em particular, um direito fundamental que tem precisamente por objeto a reserva do conteúdo das comunicações.

19 - Também se pode compreender "que a apreensão de mensagens de correio eletrónico ou de natureza similar guardadas num determinado dispositivo, embora incidindo sobre dados informáticos de conteúdo especial, não é tecnicamente diferente da apreensão de outro tipo de dados informáticos", mas esta conclusão já se torna incompreensível se se destinar a justificar a equiparação de dados pessoais e dados não pessoais. Com efeito, a CRP reserva não só uma esfera de proteção para a reserva da intimidade da vida privada, como melhor a concretiza no direito à inviolabilidade da correspondência, e ainda singulariza a proteção de dados pessoais neste catálogo de preceitos "diretamente aplicáveis".

20 - Seria, por isso, injustificado, desde logo no plano constitucional, consagrar na legislação a indistinção entre dados pessoais e dados não pessoais. Ademais, tal constituiria uma latente violação do reconhecimento que é devido ao direito ao respeito pela vida privada e familiar como se encontra positivado no artigo 8.º da Convenção Europeia dos Direitos do Homem e, bem assim, pelos artigos 7.º e 8.º da Carta dos Direitos Fundamentais da União Europeia, respetivamente quanto ao respeito pela vida privada e familiar e à proteção de dados pessoais.

21 - Temos, portanto, que um tal objetivo, declarado na exposição de motivos, contraria quer a Constituição, quer os compromissos internacionais do Estado português, sendo insondável a razão para a sua inclusão na Lei do Cibercrime.

22 - E nem se diga, como é avançado no Projeto, que o que se pretende é a equiparação ao regime da apreensão de dados informáticos, constante do artigo 16.º, especificamente o previsto no n.º 3. Desde logo, a apreensão de dados informáticos, ao contrário do correio eletrónico e dos registos de comunicações do artigo 17.º, não tem necessariamente que envolver dados pessoais ou reveladores da dimensão da vida privada dos visados, sendo essa a razão para que o sobredito n.º 3 do artigo 16.º acautele potenciais casos em que tal aconteça, reforçando-se as garantias dos cidadãos através da obrigatória intervenção do Juiz.

23 - Depois, porque, ao contrário das comunicações, será habitual encontrar esta informação (i. e., os dados informáticos) não vedada ou fechada (ou com indicação semelhante), dependendo o conhecimento da existência de dados pessoais ou íntimos do contacto direto e inevitável com o conteúdo desses dados informáticos ainda antes da potencial intervenção do Juiz.

24 - Finalmente, por degradar o regime aplicável às comunicações, não deveria ser visto como o meio óbvio e idóneo para fazer face aos requisitos constitucionais que os n.os 2 e 3 do artigo 18.º da CRP colocam sempre que se pretenda limitar ou restringir os direitos, liberdades e garantias. Sobretudo quando tal degradação se aparta, em medida desproporcionada, do regime previsto no CPP para a apreensão de correspondência, o qual era, até agora, perfeitamente aplicável aos casos previstos no artigo 17.º da Lei do Cibercrime.

25 - Uma última nota, quanto à exposição de motivos, no que concerne à desconsideração processual da indicação "de as mensagens de correio eletrónico ou de natureza similar estarem identificadas como «abertas» ou «fechadas» uma vez que, ao contrário do que sucede quanto à correspondência em papel, tal identificação pode ser livremente feita pelo seu detentor." [...].

26 - Não se contesta a asserção final de que é hoje possível a qualquer destinatário de mensagens deste tipo apor-lhes a identificação de fechadas (ou não lidas). O que se torna incompreensível é como é que o legislador retira desta circunstância a consequência da inevitável degradação do direito fundamental à inviolabilidade da correspondência. E isto em termos completamente novos, desqualificando situações em que, de facto, as comunicações ainda não tivessem sido conhecidas pelo visado, desconsiderando, por esta via, a necessidade de intervenção do juiz e colocando nas mãos do Ministério Público, quando não mesmo do órgão de polícia criminal, a possibilidade de efetuar a apreensão dessa correspondência.

27 - O princípio da proporcionalidade, a que alude o n.º 2 do artigo 18.º da CRP, parece exigir a inclusão do juiz de instrução criminal nesta operação de validação das apreensões, mantendo um regime idêntico ao do artigo 179.º do CPP, e seguramente sempre que as mensagens se encontrem com a indicação de "fechada/não lida". E nem se diga que a intervenção do juiz de instrução nos moldes propostos fere ou pode vir a ferir a estrutura acusatória do processo criminal, porquanto ela é meramente decalcada do regime do CPP, cuja conformidade com a CRP não é questionada.

28 - Sem prejuízo de eventuais matizes que pudessem ser introduzidos por referência às especificidades das mensagens cuja apreensão vem prevista no artigo 17.º da Lei do Cibercrime, operar uma presunção desta gravidade, sempre em desfavor de qualquer pessoa que veja esse tipo de correspondência apreendida, afigura-se desproporcionado e, portanto, violador dos princípios constitucionais que regem as restrições dos direitos, liberdades e garantias.

(...)

I - Conclusão

50 - Com os fundamentos acima expostos, entende a CNPD que:

C) Elementos relevantes

C.1) Direito da União Europeia e do Conselho da Europa

19 - Ainda que, como expressamente reconhece o legislador na Exposição de Motivos acima transcrita, a nova redação do artigo 17.º da Lei do Cibercrime não resulte diretamente de exigências decorrentes da transposição de diretivas da União Europeia, não pode olvidar-se que a Lei n.º 109/2009 tem que ser interpretada à luz do contexto de internormatividade e interconstitucionalidade que esteve na sua génese e que define o seu horizonte aplicativo (uma vez que transpôs para a ordem jurídica interna a Decisão Quadro n.º 2005/222/JAI, relativa a ataques contra sistemas de informação, e adaptou o direito interno à Convenção sobre Cibercrime do Conselho da Europa).

Deste modo, afigura-se incontornável o enquadramento da discussão da matéria dos presentes autos no domínio do direito do espaço europeu - quer da União Europeia, quer do Conselho da Europa -, importando conhecer e atender aos standards de proteção que deles resulta para os direitos fundamentais aqui em causa, designadamente, a privacidade, entendida em sentido lato, e com particular relevância no domínio da proteção de dados e utilização da informática. A jurisprudência do Tribunal de Justiça da União Europeia ("TJUE") e do Tribunal Europeu dos Direitos do Homem ("TEDH") oferece, neste domínio, um relevante conjunto de informações e orientações que o Tribunal Constitucional, animado pela necessidade de proceder a uma interpretação do texto constitucional articulada com os parâmetros europeus, não pode deixar de considerar na análise que lhe é solicitada nos presentes autos.

20 - O Decreto n.º 167/XIV visa, no essencial, e como já se disse, proceder à transposição para a ordem jurídica interna da Diretiva (UE) 2019/713 do Parlamento Europeu e do Conselho, de 17 de abril de 2019, relativa ao combate à fraude e à contrafação de meios de pagamento que não em numerário (Diretiva), a qual substitui a Decisão-Quadro 2001/413/JAI do Conselho, que havia sido transposta pela Lei n.º 59/2007, de 4 de setembro, que procedeu à vigésima terceira alteração ao Código Penal.

Além disso, importa ainda mencionar, nesta sede, pela relevância que assumem na matéria em discussão nos presentes autos de fiscalização preventiva: (i) a Diretiva 2002/58/CE do Parlamento Europeu e do Conselho, de 12 de julho de 2002, relativa ao tratamento de dados pessoais e à proteção da privacidade no setor das comunicações eletrónicas, sucessivamente alterada pela Diretiva 2006/24/CE do Parlamento Europeu e do Conselho, de 15 de março de 2006 e pela Diretiva 2009/136/CE do Parlamento Europeu e do Conselho, de 25 de novembro de 2009 - adotada com o intuito de harmonizar a legislação dos Estados-Membros e garantir um nível equivalente de proteção dos direitos fundamentais, nomeadamente o direito à privacidade, no âmbito do tratamento de dados pessoais no setor das comunicações eletrónicas (n.º 1 do artigo 1.º), transposta para a ordem interna pela Lei n.º 41/2004, de 18 de agosto, e pela Lei n.º 46/2012, de 29 de agosto; e (ii) a Diretiva 2006/24/CE do Parlamento Europeu e do Conselho, de 15 de março de 2006, relativa à conservação de dados gerados ou tratados no contexto da oferta de serviços de comunicações eletrónicas publicamente disponíveis ou de redes públicas de comunicações (que veio a ser considerada inválida pelo TJUE, no seu Acórdão de 8 de abril de 2014, Processos apensos C293/12 e C594/12, Digital Rights Ireland e Seitlinger e o.), transposta para a ordem interna pela Lei n.º 32/2008, de 17 de julho.

Para além das diretivas que especificamente visam uniformizar os regimes jurídicos de conservação de dados no setor das comunicações eletrónicas, não é despicienda a disciplina que se retira do Regulamento Geral sobre a Proteção de Dados (Regulamento UE 2016/679 - RGPD), no que tange à proteção conferida às pessoas singulares a respeito do tratamento de dados pessoais. Destaca-se, nesta sede, a disposição que prevê que os dados que permitam identificar pessoas singulares, apenas podem ser recolhidos para satisfazer finalidades determinadas, explícitas e legítimas, e não podem ser tratados posteriormente de uma forma incompatível com essas finalidades (artigo 5.º, n.º 1, alínea b) RGDP).

Não se ignora, naturalmente, que nos termos do artigo 1.º, n.º 3, da Diretiva 2002/58/CE, e do artigo 2.º do RGPD, o âmbito de aplicação da legislação europeia, nesta matéria, não inclui o processo penal. Contudo, afigura-se, ainda assim, que do acervo legal e jurisprudencial da União Europeia acerca de temáticas paralelas à que ora nos ocupa resulta a paulatina construção de standards de tutela jusfundamental no que respeita ao tratamento de dados pessoais e de dados relativos às comunicações, no âmbito da utilização da informática que não deve ser ignorado.

21 - No plano jusfundamental, a matéria em causa suscita a invocação dos artigos 7.º, 8.º e 52.º, n.º 1 da Carta dos Direitos Fundamentais da União Europeia ("CDFUE") - a que o Tratado atribui valor paramétrico quanto às normas emanadas pelas instituições, nos termos do n.º 1 do artigo 6.º do Tratado da União Europeia ("TUE") -, que consagram, respetivamente: (i) o direito de todas as pessoas ao respeito pela sua vida privada e familiar, pelo seu domicílio e pelas suas comunicações; (ii) o direito de todas as pessoas à proteção dos dados de caráter pessoal que lhes digam respeito - os quais devem ser objeto de um tratamento leal, para fins específicos e com o consentimento da pessoa interessada ou com outro fundamento legítimo previsto por lei, ficando o cumprimento destas regras sujeito a fiscalização por parte de uma autoridade independente; e (iii) a garantia de que qualquer restrição ao exercício dos direitos e liberdades reconhecidos pela CDFUE deve ser prevista por lei e respeitar o conteúdo essencial desses direitos e liberdades, na observância do princípio da proporcionalidade, o que implica que essas restrições só possam ser introduzidas se forem necessárias e corresponderem efetivamente a objetivos de interesse geral reconhecidos pela União, ou à necessidade de proteção dos direitos e liberdades de terceiros. A proteção dos dados pessoais é, além disso, um direito fundamental igualmente consagrado no artigo 16.º, n.º 1, do Tratado sobre o Funcionamento da União Europeia ("TFUE").

Assume, por último, relevância a consagração no artigo 8.º da Convenção Europeia para a Proteção dos Direitos do Homem e das Liberdades Fundamentais ("CEDH"), do direito de qualquer pessoa ao respeito da sua vida privada e familiar, do seu domicílio e da sua correspondência. Daqui decorre a proibição de haver ingerência da autoridade pública no exercício deste direito senão quando esta ingerência estiver prevista na lei e constituir uma providência que, numa sociedade democrática, seja necessária para a segurança nacional, para a segurança pública, para o bem-estar económico do país, a defesa da ordem e a prevenção das infrações penais, a proteção da saúde ou da moral, ou a proteção dos direitos e das liberdades de terceiros.

22 - A matéria objeto de regulação pelas normas fiscalizadas não é, diretamente, objeto de qualquer acórdão do TJUE e/ou do TEDH. Sem prejuízo disso, a jurisprudência europeia emitida no quadro das Diretivas 2002/58/CE e 2006/24/CE, a propósito da conservação e transmissão de dados provenientes de comunicações eletrónicas, ou da interceção de comunicações em massa, por referência aos parâmetros de tutela fundamentais consagrados nos artigos 7.º e 8.º da CDFUE e 8.º da CEDH, oferece importantes pistas quanto à densificação, feita por aqueles tribunais superiores, dos respetivos standards jusconstitucionais de proteção dos cidadãos nos domínios da privacidade e das comunicações eletrónicas - os quais assumem especial interesse na discussão objeto dos presentes autos. Com efeito, identifica-se, nesse acervo jurisprudencial, um conjunto de princípios e requisitos claramente exigidos pelo TJUE e pelo TEDH que, em larga medida, são transponíveis, com as devidas adaptações, para a problemática da apreensão de mensagens de correio eletrónico e outras de natureza similar, para fins de investigação, deteção e repressão de infrações penais. Essa jurisprudência é o ponto axial da densificação dos conceitos do catálogo de direitos da União e referência incontornável na construção de standards de proteção de direitos fundamentais num espaço de interconstitucionalidade.

Ora, de acordo com o Tribunal de Justiça, para avaliação da conformidade com os direitos fundamentais das medidas de conservação de dados, há que convocar não apenas a proteção conferida pela norma do artigo 7.º da CDFUE, mas também a do artigo 8.º, sempre que tais dados possam ser ligados à identificação de uma pessoa. Ou seja, o standard de proteção aplicável quando estão em causa dados de um processo de comunicação entre pessoas que se situem na sua esfera privada (permitindo a sua identificação ou a obtenção de outras informações pessoais, normalmente reservadas) resulta da interpretação combinada dos direitos à privacidade e à proteção de dados pessoais. Este entendimento funda-se não apenas na constatação de que os dois direitos estão indissociavelmente ligados (Acórdão de 9 de novembro de 2010, Volker, procs. C-92/09 e C-93/09, n.º 47), como também na admissão expressa, por parte do TJUE, de que a "conservação dos dados está abrangida pelo âmbito de aplicação do artigo 8.º desta, uma vez que constitui um tratamento de dados pessoais na aceção deste artigo e deve, assim, necessariamente, respeitar as exigências de proteção de dados resultantes deste artigo" - Acórdão de 8 de abril de 2014, Digital Rights Ireland, procs. C-293/12 e C-594/12, n.º 29.

Além disso, é importante recordar que o artigo 7.º da CDFUE, relativo ao respeito pela vida privada e familiar, ao domicílio e às comunicações, reproduz o disposto no artigo 8.º da CEDH, devendo ser interpretado com o mesmo sentido e alcance, nos termos do n.º 3 do artigo 52.º da CDFUE. O que implica, pois, que o regime das suas restrições seja semelhante, como de resto concluiu o Tribunal de Justiça no Acórdão de 15 de novembro de 2011, Dereci, proc. C-256/11, n.º 70: "o artigo 7.º da Carta dos Direitos Fundamentais da União Europeia (a seguir «Carta»), relativo ao direito ao respeito da vida privada e familiar, consagra direitos correspondentes aos que são garantidos pelo artigo 8.º, n.º 1, da CEDH e que se deve, portanto, dar ao artigo 7.º da Carta o mesmo sentido e o mesmo alcance que o sentido e o alcance dados ao artigo 8.º, n.º 1, da CEDH, conforme interpretado pela jurisprudência do Tribunal Europeu dos Direitos do Homem". Neste quadro, entendeu-se mobilizável, para densificação do artigo 7.º da CDFUE, o regime do n.º 2 do artigo 8.º da CEDH: "Não pode haver ingerência da autoridade pública no exercício deste direito senão quando esta ingerência estiver prevista na lei e constituir uma providência que, numa sociedade democrática, seja necessária para a segurança nacional, para a segurança pública, para o bem - estar económico do país, a defesa da ordem e a prevenção das infrações penais, a proteção da saúde ou da moral, ou a proteção dos direitos e das liberdades de terceiros". Simplesmente, ao contrário do que sucede na CEDH, a Carta autonomizou o direito à proteção de dados pessoais (no artigo 8.º da CDFUE), sem deixar de lhe reconhecer uma relação indissociável entre ambos (Acórdão de 9 de novembro de 2010, Volker, procs. C-92/09 e C-93/09, n.º 47; C. Sarmento e Castro, "Anotação ao artigo 8.º", in Carta dos Direitos Fundamentais da União Europeia Comentada, coord. A. Silveira e M. Canotilho, Almedina, 2013, p. 121; S. Perez Fernandes, "Anotação ao artigo 7.º", in Carta dos Direitos Fundamentais da União Europeia Comentada, coord. A. Silveira e M. Canotilho, Almedina, 2013, p. 105).

23 - A aplicação da Diretiva 2002/58/CE (sobre tratamento de dados pessoais e proteção da privacidade no setor das comunicações eletrónicas) suscitou um conjunto de questões pertinentes sobre a possibilidade de restrições ou limitações aos direitos nela consagrados e às correspetivas obrigações estaduais, que podem ser úteis para a ponderação a levar a cabo no presente processo. Questionou-se, desde logo, o alcance da proibição de formas de interceção ou vigilância de comunicações, sem o consentimento dos utilizadores. Naturalmente, a própria ordem jurídica europeia prevê condições segundo as quais será possível derrogar o nível de proteção consagrado como regra. Contudo, a diversidade e amplitude das medidas derrogatórias adotadas pelos Estados-Membros ao abrigo desta norma revelaram-se muito problemáticas, em particular no campo da prevenção, investigação, deteção e repressão de infrações penais, no qual foram aprovados, pelos vários países, regimes bastante distintos de acesso à informação. Por esse motivo, o legislador europeu aprovou, em 2006, a Diretiva n.º 2006/24/CE, que visava, precisamente, concretizar o âmbito das restrições autorizadas aos direitos fixados na Diretiva 2002/58/CE e especificar o nível mínimo de proteção garantido, em qualquer caso, em relação aos direitos fundamentais em questão. Porém, esta Diretiva veio a ser declarada inválida pelo TJUE, precisamente por este Tribunal ter entendido que aquela permitia uma restrição desproporcionada dos direitos ao respeito pela vida privada e familiar e à proteção de dados pessoais, consagrados, respetivamente, nos artigos 7.º e 8.º da CDFUE (Acórdão Digital Rights Ireland, n.os 26 a 29); e por se considerar que o conjunto de crimes cuja investigação ou repressão pode admitir o acesso aos dados se estabelecia de forma indeterminada (n.os 41 a 43).

Dessa jurisprudência (a que se soma o Acórdão Tele2, de 21 de dezembro de 2016, proc. C-203/15 e C-698/15) resultam dois eixos fundamentais para a presente análise. Em primeiro lugar, o Tribunal do Luxemburgo impôs um conjunto de condições relativas ao armazenamento de dados, designadamente, o respeito pelos princípios da necessidade da conservação dos dados, e da determinabilidade das normas que regulam tais medidas de conservação. Em segundo lugar, e com significativa relevância para a matéria que aqui nos ocupa, no que respeita ao acesso aos dados pelas autoridades nacionais competentes para deteção, prevenção e combate à criminalidade, o Tribunal de Justiça entendeu que uma interpretação adequada do disposto no artigo 15.º da Diretiva 2002/58/CE, em conjugação com a proteção jusfundamental conferida pelas normas dos artigos 7.º e 8.º da CDFUE, não admite o acesso generalizado aos dados conservados - implicando, pelo contrário a existência de um controlo prévio, levado a cabo por um órgão jurisdicional ou por uma entidade administrativa independente, na sequência de um pedido fundamentado da autoridade nacional competente. Este entendimento foi reiterado no Acórdão de 6 de outubro de 2020, Processo C-623/17 - Privacy International, tendo o Tribunal de Justiça insistido na ideia de respeito pelo princípio da proporcionalidade, recordando que na origem da Diretiva 2002/58, está, justamente, uma intenção do legislador da União de assegurar a continuação de um elevado nível de proteção dos dados pessoais e da privacidade no que diz respeito a todos os serviços de comunicações eletrónicas, independentemente da tecnologia utilizada (n.º 55, CFR. exposição de motivos da proposta de diretiva do Parlamento Europeu e do Conselho relativa ao tratamento de dados pessoais e à proteção da privacidade no setor das comunicações eletrónicas [COM(2000) 385 final]). 60).

24 - Ou seja, tendo em conta tudo o que até agora se narrou, ressaltam da jurisprudência do TJUE acima descrita várias linhas argumentativas que, não obstante as já assinaladas diferenças quanto ao âmbito de aplicação da legislação em causa, não poderão ser ignoradas na ponderação a levar a cabo no presente processo, importando discutir em que medida podem ou devem as mesmas regras de princípio ser mobilizadas em matéria de apreensão do correio eletrónico ou similar.

Em primeiro lugar, resulta evidente que a CDFUE não é compatível com práticas de recolha e conservação de dados de ordem indiferenciada e generalizada, sem uma qualquer seleção prévia, segundo critérios objetivos. Ora, isto deve levar-nos a questionar se, na generalidade dos casos, é compatível com o direito da União a apreensão de todas as mensagens de correio eletrónico (que poderão, mesmo no caso de computadores de uso estritamente pessoal, atingir números na casa dos largos milhares), devendo a seleção do conjunto de mensagens apreendidas limitar-se ao estritamente necessário para investigação e repressão da criminalidade. Em segundo lugar, e com evidente importância no presente processo, resulta da jurisprudência exposta que o acesso pelas autoridades nacionais a dados de comunicação, ainda que para combate à criminalidade, deverá ser sempre sujeito a controlo judicial ou de entidade administrativa independente - ideia que veio a ser retomada no recente acórdão de 2 de março de 2021, Processo C-746/18, Prokuratuur (Conditions d'accès aux données relatives aux communications électroniques), adiante analisado, o qual se debruça, justamente, sobre a questão de saber que entidades, ao certo, podem figurar neste papel de controlo prévio, designadamente saber se o Ministério Público pode desempenhar tal tarefa.

25 - Finalmente, destaca-se, na análise em curso, com especial relevo no debate que subjaz às questões de constitucionalidade colocadas em sede da presente fiscalização preventiva, o recente Acórdão do Tribunal de Justiça, de 2 de março de 2021, Processo C-746/18, Prokuratuur (Conditions d'accès aux données relatives aux communications électroniques), atrás já referenciado. Prolatado, igualmente, quanto ao tratamento dos dados pessoais no setor das comunicações eletrónicas e da Diretiva 2002/58/CE, em concreto no que respeita ao acesso de uma autoridade pública aos dados de tráfego e aos dados de localização para fins de instrução penal, a sua importância prende-se especificamente com a terceira questão prejudicial nele colocada, por via da qual o órgão jurisdicional de reenvio convida o Tribunal de Justiça a precisar os critérios que uma autoridade administrativa deve satisfazer para poder ser considerada independente, na aceção do Acórdão Tele2. Ou seja, no caso Prokuratuur, o órgão jurisdicional de reenvio perguntou, concretamente, se o artigo 15.º, n.º 1, da Diretiva 2002/58, lido à luz dos artigos 7.º, 8.º, 11.º e 52.º, n.º 1, da Carta, deve ser interpretado no sentido de que se opõe a uma regulamentação nacional que atribui competência ao Ministério Público - cuja missão é dirigir a instrução penal e exercer, sendo caso disso, a ação pública num processo posterior - para autorizar o acesso de uma autoridade pública aos dados de tráfego e aos dados de localização para fins de instrução penal.

Perante esta interrogação, o Tribunal começa por esclarecer que essa fiscalização prévia exige que o órgão jurisdicional ou a entidade encarregada de efetuar a referida fiscalização "disponha de todas as atribuições e apresente todas as garantias necessárias com vista a assegurar uma conciliação dos diferentes interesses e direitos em causa" (n.º 52). Esta exigência será acentuada pelo facto de se tratar, no processo C-746/18, de um inquérito penal, o que, no entender do Tribunal implica que "tal fiscalização exige que esse órgão jurisdicional ou essa entidade possa assegurar um justo equilíbrio entre, por um lado, os interesses ligados às necessidades do inquérito no âmbito da luta contra a criminalidade e, por outro, os direitos fundamentais ao respeito da vida privada e à proteção dos dados pessoais das pessoas às quais o acesso diz respeito" (n.º 52, destaque acrescentado).

Ou seja, conforme esclarece o TJUE, a exigência de independência que a autoridade encarregada de exercer a fiscalização prévia deve satisfazer impõe que essa autoridade tenha a "qualidade de terceiro em relação à autoridade que pede o acesso aos dados" (n.º 54, destaque acrescentado), circunstância indispensável para que esteja em condições de exercer essa fiscalização de maneira "objetiva e imparcial", ao abrigo de qualquer influência externa. Isto significa, no domínio penal, como salientou o Tribunal, "que a autoridade encarregada dessa fiscalização prévia, por um lado, não esteja envolvida na condução do inquérito penal em causa e, por outro, tenha uma posição de neutralidade relativamente às partes no processo penal" (n.º 54, destaque acrescentado). Neste exato sentido se pronunciou o Advogado-Geral Giovanni Pitruzzella, nas suas conclusões (cf. n.º 105 e 126).