Acórdão do Tribunal Constitucional n.º 687/2021 — Decide, com referência ao Decreto n.º 167/XIV, da Assembleia da República, publicado no Diário da Assembleia da…

3.1 - Além do direito originário pertinente, em geral, em matéria de proteção de dados pessoais e da privacidade no setor das telecomunicações eletrónicas - artigo 16.º do Tratado sobre o Funcionamento da União Europeia (TFUE) e artigos 7.º e 8.º da Carta dos Direitos Fundamentais da União Europeia (CDFUE) -, o acervo de direito derivado que densificou o direito à proteção de dados pessoais e privacidade integrou, até à entrada em vigor do Regulamento (UE) n.º 2016/679 de 27 de abril de 2016 relativo à proteção das pessoas singulares no que diz respeito ao tratamento dos dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral de Proteção de Dados [RGPD], aplicável a partir de 25 de maio de 2018), três atos de direito derivado principais de harmonização das disposições legislativas nacionais: i) a Diretiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de outubro de 1995, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (modificada pelo Regulamento (CE) n.º 1882/2003 do Parlamento Europeu e do Conselho de 29 de setembro de 2003); ii) a Diretiva 2002/58/CE do Parlamento Europeu e do Conselho, de 12 de julho de 2002, relativa ao tratamento de dados pessoais e à proteção da privacidade no setor das comunicações eletrónicas (Diretiva relativa à privacidade e às comunicações eletrónicas); iii) a Diretiva 2006/24/CE do Parlamento Europeu e do Conselho, de 15 de março de 2006, relativa à conservação de dados gerados ou tratados no contexto da oferta de serviços de telecomunicações eletrónicas publicamente disponíveis ou de redes públicas de comunicações e que altera a Diretiva 2002/58/CE (data retention), em concreto aditando o n.º 1-A ao seu artigo 15.º - transpostas para ordem jurídica nacional, respetivamente, pela Lei n.º 67/98, de 26 de outubro (Lei de Proteção de Dados Pessoais [LPDP], revogada pela Lei n.º 58/2019, de 8 de agosto que, na sequência da adoção do RGPD, assegurou a execução deste na ordem jurídica nacional); pela Lei n.º 41/2004, de 18 de agosto (Lei da Privacidade nas Comunicações Eletrónicas [LPCE]), alterada pela Lei n.º 46/2012, de 29 de agosto; e pela Lei n.º 32/2008, de 17 de julho.

A terceira das diretivas indicadas - Diretiva 2006/24/CE (transposta pela Lei n.º 32/2008, de 17 de julho, ainda em vigor) - foi considerada inválida pelo TJUE no Acórdão, acima referido, Digital Rights Ireland; a primeira - Diretiva n.º 95/46/CE (transposta à data, como se referiu, pela Lei n.º 67/98, de 26 de outubro) e que a referida Diretiva n.º 2002/58/CE visou especificar e complementar - foi revogada pelo RGPD (cf. art. 94.º e 95.º do RGPD) - pelo que hoje - e estamos a procurar sistematizar os dados de uma situação algo confusa -, das três diretivas enunciadas apenas se encontra em vigor a Diretiva 2002/58/CE, vigorando ainda o posterior RGPD.

3.2 - A temática da proteção de dados pessoais e da privacidade no setor das telecomunicações eletrónicas foi objeto recorrente da jurisprudência do TJUE na vigência do referido quadro de direito originário e derivado, sucessivamente - no que releva em especial para os presentes autos - no mencionado acórdão Digital Rights Ireland e, ainda, nos acórdãos Tele2/Watson (acórdão de 21/12/2016, C203/15 e C698/15, ECLI:EU:C:2016:970); Ministerio Fiscal (acórdão de 2/10/2018, C207/16, ECLI:EU:C:2018:788); Privacy International (acórdão de 6/10/2020, C623/17, ECLI:EU:C:2020:790); La Quadrature du Net e o. (acórdão de 6/10/2020,, C511/18, C-512/18 e C520/18, ECLI:EU:C:2020:791); e, ainda, H. K./Prokuratuur (acórdão de 2/3/2021), já antes referido.

É importante referir o contexto "histórico" - chamemos-lhe assim - do aparecimento destas decisões, a partir de 2014 com Digital Rights Ireland. Com efeito, subsequentemente aos acontecimentos de 11 de setembro de 2001, iniciou-se em alguns países - desde logo nos Estados Unidos, mas também no Reino Unido - um processo que poderemos definir genericamente como de captação generalizada e massificada, por agências governamentais na área dos serviços de informações, de dados (metadados) relativos a comunicações pretéritas, com o subsequente armazenamento destes como instrumentos prospetivos de luta contra a ameaça do terrorismo. É esse o sentido das primeiras palavras de Edward Snowden no seu livro autobiográfico: "[a] minha carreira na comunidade de informações (CI) americana durou sete curtos anos [...]. Durante esses sete anos, no entanto, tive a oportunidade de participar na mais significativa mudança na história da espionagem americana - a mudança da vigilância de alvos individualizados [targeted surveillance] para a vigilância em massa de toda a população [...]" (10). Esta asserção é confirmada por diversos outros elementos publicados nos últimos anos (11).

3.2.1 - No primeiro Acórdão que referimos - Digital Rights Ireland - o TJUE considerou inválida a Diretiva 2006/24/CE, entendendo que o legislador da União excedeu os limites impostos pelo respeito do princípio da proporcionalidade à luz dos artigos 7.º, 8.º e 52.º, n.º 1, da CDFUE (cf. n.º 69).

Da fundamentação do acórdão decorre, por um lado, que a Diretiva 2006/24 visava, tão só, harmonizar as disposições nacionais relativas às obrigações dos fornecedores de serviços de comunicações eletrónicas publicamente disponíveis ou das redes públicas de comunicações em matéria de conservação de determinados dados por eles gerados ou tratados - que ora não está em causa; e, por outro lado, que a imposição, a tais fornecedores de serviços, da obrigação (prevista no seu artigo 3.º), de conservarem os dados enumerados no artigo 5.º da mesma (metadados, não autorizando a Diretiva, como antes já antes se sublinhou em 2.1, a conservação do conteúdo da comunicação e das informações consultadas através de uma rede de comunicações eletrónicas), para, se necessário, os disponibilizarem às autoridades nacionais competentes, suscitava questões relativas à proteção da vida privada e das comunicações, à proteção de dados pessoais consagradas nos artigos 7.º e 8.º da CDFUE, assim como ao respeito da liberdade de expressão prevista no artigo 11.º da CDFUE (cf. pontos 25, 26, 28).

Todavia, embora o TJUE tenha admitido que tal obrigação de conservação constitui uma ingerência particularmente grave naqueles direitos, considerou não ser esta suscetível de afetar o conteúdo dos dois primeiros (proteção da vida privada e das comunicações), "[...] tendo em conta que, como resulta do seu artigo 1.º, n.º 2, esta diretiva não permite tomar conhecimento do conteúdo das comunicações eletrónicas, enquanto tal." (cf. n.º 39); nem o conteúdo essencial do direito fundamental à proteção dos dados pessoais, uma vez que a Diretiva 2006/24 previa, "[...] no seu artigo 7.º, uma regra relativa à proteção e à segurança dos dados [...]" (cf. ponto 40) (12); e, ainda, que essa ingerência "[...] responde a um objetivo de interesse geral [...]", já que o objetivo material da Diretiva "[...] tem em vista garantir a disponibilidade desses dados para efeitos de investigação, de deteção e de repressão de infrações graves, tal como definidas no direito interno de cada Estado-Membro", isto é, "[...] contribuir para a luta contra a criminalidade grave e, assim, em última análise, para a segurança pública. (cf. ponto 41.)

Não resulta, pois, do teor do aresto, o afastamento ou a desconformidade com o DUE da obrigação de conservação de dados - metadados e não dados de conteúdo - impostas aos fornecedores de serviços de comunicações eletrónicas passíveis de constituir uma ingerência em direitos fundamentais protegidos pela ordem jurídica da União - mas tão só de ingerências desproporcionadas - como desde logo o são quaisquer transferências em massa desses dados para autoridades públicas - face aos fins, legítimos, consagrados, como a final concluiu - mas em domínio que, por respeitar a obrigações impostas a tais operadores, se afasta do tratamento de dados para os fins em causa neste processo (perseguição criminal).

3.2.2 - Nos demais acórdãos, o TJUE versou, em especial, sobre a interpretação do artigo 15.º da Diretiva 2002/58/CE (isolada ou conjugadamente com outros preceitos de DUE, em especial os artigos 7.º e 8.º da CDFUE), que versa as sobre a "[a]plicação de determinadas disposições da Diretiva 95/46/CE" e cujo n.º 1 prevê que "[o]s Estados-Membros podem adotar medidas legislativas para restringir o âmbito dos direitos e obrigações previstos nos artigos 5.º e 6.º, nos n.os 1 a 4 do artigo 8.º e no artigo 9.º da presente diretiva sempre que essas restrições constituam uma medida necessária, adequada e proporcionada numa sociedade democrática para salvaguardar a segurança nacional (ou seja, a segurança do Estado), a defesa, a segurança pública, e a prevenção, a investigação, a deteção e a repressão de infrações penais ou a utilização não autorizada do sistema de comunicações eletrónicas, tal como referido no n.º 1 do artigo 13.º da Diretiva 95/46/CE. Para o efeito, os Estados-Membros podem designadamente adotar medidas legislativas prevendo que os dados sejam conservados durante um período limitado, pelas razões enunciadas no presente número. Todas as medidas referidas no presente número deverão ser conformes com os princípios gerais do direito comunitário, incluindo os mencionados nos n.os 1 e 2 do artigo 6.º do Tratado da União Europeia".

Na jurisprudência decorrente desses arestos, o TJUE interpretou o DUE por referência a medidas restritivas nacionais - cuja adoção aquele preceito consente para os fins aí previstos - da mesma decorrendo, por um lado, a desconformidade com o mesmo de medidas restritivas nacionais de conservação e retenção de dados (desde logo, de localização e de tráfego) em massa (a chamada bulk retention ["conservação generalizada e indiferenciada", na expressão do Acórdão La Quadrature du Net e o., ponto 168,]) e, por outro, a admissibilidade face ao DUE, verificadas certas condições fixadas nesse acervo jurisprudencial, de medidas restritivas de conservação, retenção e acesso especificamente direcionadas (target retention) - seja para efeitos de salvaguarda da segurança nacional (ou seja, a segurança do Estado), da defesa, da segurança pública (em especial, os acórdãos Tele2/Watson, Privacy International e La Quadrature du Net e o.), seja para efeitos de prevenção, investigação, detecção e repressão de infrações penais (em especial os acórdãos Ministerio Fiscal e H. K./Prokuratuur) ou da utilização não autorizada do sistema de comunicações eletrónicas, tal como referido no n.º 1 do artigo 13.º da Diretiva 95/46/CE - que previa que "[o]s Estados membros podem tomar medidas legislativas destinadas a restringir o alcance de obrigações e direitos nela previstas sempre que tal restrição constitua uma medida necessária à proteção, entre outros fins aí previstos: a) da segurança do Estado; b) da defesa; c) da segurança pública; d) da prevenção, investigação, deteção e repressão de infrações penais e de violações da deontologia das profissões regulamentadas".

Todavia - e deve sublinhar-se - a jurisprudência assim prolatada é referenciada a medidas restritivas de conservação, retenção e acesso a dados por via de obrigações impostas aos prestadores de serviços de comunicações eletrónicas. E assim é, também, no caso H. K./Prokuratuur, no qual - e é este o exato contexto do supra mencionado (cf. 2.1) desvalor assinalado pelo TJUE (a que o Acórdão confere relevância acrescida) - a questão da qualificação do Ministério Público estónio como autoridade administrativa independente (na aceção do ponto 120 do acórdão Tele2/Watson) se colocava relativamente à autorização do acesso da autoridade encarregada do inquérito a dados relativos às comunicações eletrónicas como os previstos no artigo 111.º, n.º 2, da Lei Relativa às Comunicações Eletrónicas - que justamente impõe aos prestadores de serviços de telefonia fixa e de telefonia móvel e da rede de telefonia fixa e de telefonia móvel devem conservar os [meta]dados [de tráfego e de localização] previstos em tal preceito (cf. os pontos 23 e 9 do Acordão H.K./Prokuratuur - e a pronúncia do Tribunal nos pontos 46 a 59].

3.3 - Ademais, à semelhança do disposto no referido artigo 13.º, n.º 1, da Diretiva 95/46/CE, também o artigo 23.º, n.º 1, alíneas a) a j), do RGPD (que a revogou), continua a prever a possibilidade de os Estados membros adotarem medidas legislativas que limitem o alcance das obrigações e dos direitos nele previstos, entre outros, para fins de "[...] prevenção, investigação, deteção ou repressão de infrações penais, ou a execução de sanções penais, incluindo a salvaguarda e a prevenção de ameaças à segurança pública" (cf. alínea d) do n.º 1 do artigo 23.º).

Além disso, a Diretiva 95/46/CE previa, no seu artigo 3.º, n.º 2, primeiro e segundo travessões, que "[a] presente diretiva não se aplica ao tratamento de dados pessoais: - efetuado no exercício de atividades não sujeitas à aplicação do direito comunitário, tais como as previstas nos títulos V e VI do Tratado da União Europeia, e, em qualquer caso, ao tratamento de dados que tenha como objeto a segurança pública, a defesa, a segurança do Estado (incluindo o bem-estar económico do Estado quando esse tratamento disser respeito a questões de segurança do Estado), e as atividades do Estado no domínio do direito penal, - efetuado por uma pessoa singular no exercício de atividades exclusivamente pessoais ou domésticas." (sublinhado acrescentado) e idêntico preceito consta hoje do artigo 2.º, n.º 2, do RGPD (Âmbito de aplicação material), o qual dispõe que o mesmo não se aplica ao tratamento de dados pessoais: "[...] a) Efetuado no exercício de atividades não sujeitas à aplicação do Direito da União; b) Efetuado pelos Estados membros no exercício de atividades abrangidas pelo âmbito de aplicação do Título V, capítulo 2, do TUE [ou seja, depois da entrada em vigor do Tratado de Lisboa, as Disposições específicas relativas à Política Externa e de Segurança Comum (Secção 1 - Disposições Comuns, arts. 23.º-41.º e Secção 2, Disposições relativas à Política Comum de Segurança e Defesa, arts. 42.º-46.º, todos do TUE)]; [...] d) Efetuado pelas autoridades competentes para efeitos de prevenção, investigação, deteção e repressão de infrações penais ou da execução de sanções penais, incluindo a salvaguarda e a prevenção de ameaças à segurança pública [...]" (sublinhados acrescentados). Note-se que idêntico âmbito negativo de aplicação consta do n.º 3 do artigo 1.º (Âmbito e objetivos) da Diretiva 2002/58/CE [sendo a delimitação negativa do âmbito de aplicação do RGPD retomada no artigo 2.º, n.º 2, alíneas a), b) e d) da Proposta de Regulamento relativo à privacidade e às comunicações eletrónicas - COM (2017) 10 final de 10/1/2017, cujo processo legislativo ordinário se encontra ainda em curso, em fase de primeira leitura].

De tais preceitos de direito derivado decorre a distinção entre, por um lado, o âmbito negativo de aplicação da Diretiva 95/46/CE e do posterior RGPD que a revogou (artigos 3.º, n.º 2, primeiro travessão, e artigo 2.º, n.º 2, do RGPD, respetivamente) e, por outro lado, a credencial de DUE para a adoção, pelos Estados membros, de medidas legislativas nacionais que constituam limitações aos direitos e obrigações impostos pelas Diretivas e pelo RGPD (artigos 13.º, n.º 1, alíneas a) a g), da Diretiva 95/46/CE - e 15.º, n.º 1, da Diretiva 2002/58/CE que ao mesmo se refere - e artigo 23.º, n.º 1, alíneas a) a j), do RGPD).

Ora, esta última dimensão implica que tais limitações sejam (sempre) referenciadas à intervenção dos prestadores de serviços de telecomunicações eletrónicas aos quais os Estados, para os fins previstos pelo DUE, podem impor obrigações de conservação e de tratamento que se traduzem em medidas legislativas restritivas dos direitos e obrigações previstos naquele. E é sobre esta específica dimensão que versa a jurisprudência do TJUE nos referidos acórdãos Tele2/Watson e subsequentes.

Ao invés - e é esta a exata situação versada pela norma aqui sindicada - quando se trata de atuações do próprio Estado que, através dos seus órgãos e agentes competentes no domínio do exercício da ação penal (Ministério Público e órgãos de polícia criminal), adota medidas que se projetam diretamente sobre a pessoa objeto dessa ação penal e sobre os seus dados pessoais e privacidade (incluindo os dados pessoais decorrentes de mensagens de correio eletrónico ou de natureza semelhante cuja apreensão é consentida pela norma ora sindicada), sem qualquer intervenção ou mediação dos prestadores de serviços de comunicações eletrónicas no mercado interno, o paradigma e referente de DUE é outro, bem diverso. Tratando-se, in casu, de tratamento de dados (lato sensu) efetuado pelas autoridades nacionais competentes para efeitos de prevenção, investigação, deteção e repressão de infrações penais (especificamente no domínio do cibercrime mas que podem extravasar o mesmo - cf. alíneas a), b) e c) do n.º 1 do artigo 11.º) tal referente é o da exclusão de tais medidas do respetivo âmbito de aplicação - seja do âmbito de aplicação do RGPD, seja do âmbito de aplicação da Diretiva 2002/58/CE [ou da referida Proposta de Regulamento relativo à privacidade e às comunicações eletrónicas, que visa substituir a Diretiva 2006/24/CE julgada inválida pelo TJUE em Digital Rights].

Aplicam-se, por isso, neste domínio da atuação estadual direta, contra o que parece resultar do texto do Acórdão (sendo que nesta parte dele divergimos), não os parâmetros e a proteção decorrentes da Diretiva 2002/58/CE ou do RGPD e sua interpretação pelo TJUE, mas sim os parâmetros pertinentes do direito (no que releva) constitucional nacional, interpretados à luz do DUE de harmonização aprovado nesse particular domínio em matéria de proteção de dados.

Esta diferença é aliás, bem assinalada pela jurisprudência do TJUE primeiro, no caso Privacy International (cf. ponto 48) e, depois, no caso La Quadrature du Net e o. (cf. ponto 103), quando aí se afirma:

"[...]

103 - Em contrapartida, quando os Estados-Membros aplicam diretamente medidas que derrogam a confidencialidade das comunicações eletrónicas, sem imporem obrigações de tratamento aos prestadores de serviços de tais comunicações, a proteção dos dados das pessoas em causa não está abrangida pela Diretiva 2002/58, mas apenas pelo direito nacional, sem prejuízo da aplicação da Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, e à livre circulação desses dados, e que revoga a Decisão-Quadro 2008/977/JAI do Conselho (JO 2016, L 119, p. 89), de tal modo que as medidas em causa devem respeitar, nomeadamente, o direito constitucional nacional e os requisitos da CEDH.

[...]."

3.4 - Do enquadramento que acabámos de enunciar, decorrem três conclusões principais, as quais, alternativamente ao Acórdão, aqui apresentamos.

Em primeiro lugar, a Diretiva 2002/58/CE e o seu artigo 15.º - e a sua interpretação pelo TJUE nos termos referidos - não constituem o referencial adequado para o enquadramento de DUE da questão objeto dos presentes autos, já que se referem ao tratamento de dados pelos prestadores de serviços de telecomunicações eletrónicas e por estes obtidos no quadro de tais serviços, e não ao tratamento de dados obtidos, diretamente, por autoridades estatais, in casu, o tratamento (apreensão e atos posteriores) pelas autoridades públicas competentes no quadro do exercício da ação penal pelo Estado (Ministério Público e Órgãos de polícia criminal).

Em segundo lugar, o RGPD também não constitui o referencial adequado para o enquadramento de DUE da questão objeto dos presentes autos, já que aquele instrumento expressamente dispõe que o mesmo não se aplica ao tratamento de dados pessoais efetuado pelas autoridades competentes para efeitos de prevenção, investigação, deteção e repressão de infrações penais ou da execução de sanções penais, incluindo a salvaguarda e a prevenção de ameaças à segurança pública (cf. artigo 2.º, n.º 2, alínea d), do RGPD) - neste sentido dispondo igualmente a Diretiva 2002/58/CE (cf. artigo 1.º, n.º 3, in fine, da mesma).

Em terceiro lugar, por força de tal exclusão - e inexistindo imposição de obrigações de tratamento aos prestadores de serviços de comunicações eletrónicas que convoquem a aplicação da Diretiva 2002/58/CE - a proteção dos dados das pessoas objeto da ação penal exercida pelo Estado decorre apenas do direito, maxime constitucional, nacional (e das fontes de direito internacional a que o Estados se tenham vinculado, como a CEDH ou, neste caso, também a Convenção de Budapeste), sem prejuízo da observância do DUE especificamente aplicável nesse domínio. Ora, a par do RGPD foi adotada igualmente, a Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho, de 27 de abril de 2016 (a mesma data de adoção do RGPD), relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, e à livre circulação desses dados, e que revoga a Decisão-Quadro 2008/977/JAI do Conselho - e que constitui, a par do direito nacional, o referente de direito derivado da União adequado ao enquadramento, nessa perspetiva, de questões como a suscitada nos presentes autos (13).

3.4.1 - Com efeito, a Diretiva (UE) 2016/680 estabelece um específico regime de harmonização na matéria em causa (em paralelo com o RGPD, mas com algumas especificidades), o qual a mesma considera conforme ao DUE e necessário à luz do artigo 52.º, 1 da CDFUE (cf. considerando 104) - tendo a mesma sido já transposta para a ordem jurídica portuguesa pela Lei n.º 59/2019, de 8 de Agosto (que aprova as regras relativas ao tratamento de dados pessoais para efeitos de prevenção, deteção, investigação ou repressão de infração penais ou de execução de sanção penais, transpondo a Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho, de 27 de abril de 2016 - cf. o respetivo artigo 1.º).

É este o regime harmonizado de DUE - e já transposto para a ordem jurídica interna, pela Lei n.º 59/2019, de 8 de agosto - que constitui o referente a levar em conta quando se trata de enquadrar o tratamento de dados (apreensão incluída) diretamente pelas autoridades nacionais competentes (autoridades públicas) em matéria de exercício da ação penal, por um lado; e que incida sobre dados pessoais que se encontram na própria esfera do visado por aquela ação (e fora da esfera dos prestadores de serviços de comunicações eletrónicas e do quadro de imposição de obrigações a estes) - i. e., a apreensão (autorizada, ordenada ou validada, consoante o caso, pela autoridade judiciária competente), no âmbito da "[...] pesquisa informática ou de outro acesso legítimo a um sistema informático, de mensagens de correio eletrónico ou de natureza semelhante [...]", que "[...] forem encontradas, armazenadas nesse sistema informático ou noutro a que seja permitido o acesso legítimo a partir do primeiro [...] que sejam necessárias à produção de prova, tendo em vista a descoberta da verdade" (n.º 1 do artigo 17.º da disposição ora em causa).

Com efeito, nos termos do artigo 3.º, n.º 7, da Diretiva (UE) 2016/680, transposta pela já referida Lei n.º 59/2019 (cf. alínea i) do n.º 1 do seu artigo 3.º), deve entender-se por "Autoridade competente": "[...] a) [u]ma autoridade pública competente para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, incluindo a salvaguarda e a prevenção de ameaças à segurança pública; ou b) [q]ualquer outro organismo ou entidade designados pelo direito de um Estado-Membro para exercer a autoridade pública e os poderes públicos para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, incluindo a salvaguarda e a prevenção de ameaças à segurança pública.".

O regime de DUE derivado contém, em especial: princípios aplicáveis ao tratamento de dados (artigo 3.º) e licitude de tratamento (artigo 8.º, tendo em conta os fins do artigo 1.º, n.º 1); tratamento de categorias especiais de dados (artigo 10.º); limitações aos direitos dos titulares de dados (artigo 13.º, n.º 3, alínea b)); e limitações ao direito de acesso aos dados (artigo 15.º, n.º 1, alínea b)) - todos replicados na Lei n.º 59/2019 (cf. os respetivos artigos 4.º, 5.º, 6.º 16.º, n.º 1, alínea b) - e se os dados recolhidos forem tratados para fins diversos dos previstos no artigo 1.º, n.º 1, da Diretiva aplica-se, então, o RGPD (artigo 9.º, n.º 1, da Diretiva e artigo 8.º, n.º 1, da Lei n.º 59/2019).

Em suma, o paradigma europeu aplicável à questão em causa nos presentes autos - apreensão de dados pessoais diretamente por autoridade pública no exercício da ação penal junto do equipamento informático do visado - é outro, que não o decorrente da Diretiva 2002/58/CE e do RGPD: é o da licitude e da necessidade de tratamento dos dados em causa pelas autoridades públicas nacionais (diretamente) e o da consagração e admissibilidade de limites aos direitos dos titulares dos dados, incluindo quanto ao acesso aos mesmos e sua apreensão, para os específicos fins em causa.

Por assim ser, e diversamente do afirmado no final do ponto 20 do acórdão (e também no início do seu ponto 24), não pode relevar diretamente para o caso dos autos a consideração dos aí referidos "[...] acervo legal e jurisprudencial da União Europeia acerca de temáticas paralelas" e "[...] 'standards' de tutela jusfundamental no que respeita ao tratamento de dados pessoais e de dados relativos às comunicações, no âmbito da utilização da informática [...]" (acervo jurisprudencial do Tribunal de Justiça que o Acórdão explicita, em particular, no seus pontos 23 e 25).

3.5 - Este enquadramento específico de DUE implica, por um lado: i) a relevância acrescida do Direito nacional, especialmente, neste caso, do Direito constitucional nacional, desde logo quando este preveja níveis protetivos mais densos (14), sem prejuízo dos fins impostos pela harmonização decorrente da Diretiva (UE) 2016/680; ii) a convocação dos específicos parâmetros de constitucionalidade pertinentes para a análise da norma, que se situam, primeiramente, no quadro próprio do exercício da ação penal e, em concreto, das garantias do processo penal especialmente consagradas pela CRP no seu artigo 32.º, concretamente no seu n.º 4 em matéria de reserva do juiz. É pois, este, o parâmetro constitucional de referência com o qual deve ser fundamentalmente confrontada a norma sindicada.

4 - É esta, enfim, a visão particular dos subscritores do presente voto, quanto a alguns pontos tratados no Acórdão. Não obstante as divergências antes explicitadas, estamos fundamentalmente perante argumentos que concorrem, na centralidade dos parâmetros constitucionais convocados, com o decidido pelo Tribunal na apreciação da redação do artigo 17.º da Lei n.º 109/2009, de 15 de setembro pretendida introduzir através do artigo 5.º do Decreto n.º 167/XIV.

(1) Por posição (opinião) concorrente pretendem os subscritores desta declaração significar o entendimento corrente da expressão voto concorrente, na dinâmica decisória de um tribunal de recurso: uma concordância na decisão e mesmo na fundamentação que apresenta, todavia, certos pontos argumentativos separados da posição expressa pela maioria, que se podem somar (em alguns trechos poderiam mesmo substituir-se) a essa posição, mas que não deixam de a reafirmar embora com certo grau de autonomia argumentativa (cf. as entradas "concur" e "concurring opinion", in Black's Law Dictionary, 6.ª ed., West Publishing Co., St Paul Minnesota, 1990, p. 291).

(2) "O direito processual penal faz parte integrante da denominada 'ciência total do direito penal', onde se integra o direito penal em sentido amplo, a criminologia e a política criminal. É no direito penal em sentido amplo que, a par do direito penal (substantivo) e do direito da execução de penas e de medidas de segurança (direito penal executivo), se localiza o direito processual penal (direito adjetivo)." (Maria João Antunes, Direito Processual Penal, Coimbra, 2017, p. 7).

(3) Isso mesmo consta do ponto 15 do Acórdão n.º 403/2015 (Metadados I):

"[...]

Já quanto aos dados de base (v. g. número de telefone, endereço eletrónico, contrato de ligação à rede) e aos dados de localização de equipamento, quando não dão suporte a uma concreta comunicação, não são objeto de proteção do direito ao sigilo das comunicações (cf. Acórdão n.º 486/2009). De facto, se o objeto de proteção é uma comunicação individual, então os dados que não pressuponham uma concreta comunicação, que não façam parte do processo de comunicação, ainda que protegidos pela reserva da vida privada - artigo 26.º da CRP - não estão cobertos pela tutela do sigilo das comunicações.

[...]."

E, mais expressivamente, no Acórdão n.º 464/2019 (Metadados II), o Tribunal, na alínea b) do dispositivo, não declarou "[...] a inconstitucionalidade da norma constante do artigo 3.º, da Lei Orgânica n.º 4/2017, de 25 de agosto, na parte em que admite o acesso dos oficiais de informações [do SIS e do SIED], no âmbito das respetivas atribuições, relativamente a dados de base e de localização de equipamento, quando não dão suporte a uma concreta comunicação, para efeitos de produção de informações necessárias à prevenção de atos de sabotagem, espionagem, terrorismo, proliferação de armas de destruição maciça e criminalidade altamente organizada [...]".

(4) João de Castro Mendes, Limites Objetivos do Caso Julgado em Processo Civil, Lisboa, 1968, p. 203.

(5) "O artigo 17.º da Lei n.º 109/2009 [...] aplica-se à apreensão de mensagens de correio eletrónico ou registos de comunicações de natureza semelhante (como SMS, SEM, MMS, conversações no Messenger, mensagens de voz relativas a comunicações via Whatsapp, Viber, Skype, Facebook, etc.) que se encontrem armazenados no sistema informático que tenha sido acedido pelas autoridades e não à sua interceção em tempo real [...]" (Duarte Rodrigues Nunes, Os Meios de Obtenção de Prova Previstos na Lei do Cibercrime, Coimbra, 2018, p. 140).

(6) "[...]

50 - Assim, e uma vez que um acesso geral a todos os dados conservados, independentemente de qualquer ligação, no mínimo indireta, com o objetivo prosseguido, não pode ser considerado limitado ao estritamente necessário, a regulamentação nacional em causa deve basear-se em critérios objetivos para definir as circunstâncias e as condições em que o acesso aos dados em causa deve ser concedido às autoridades nacionais competentes. A este respeito, tal acesso só poderá, em princípio, ser concedido, em relação com o objetivo de luta contra a criminalidade, aos dados de pessoas que se suspeita estarem a planear, irem cometer ou terem cometido uma infração grave ou, ainda, estarem envolvidas de uma maneira ou de outra nessa infração. Todavia, em situações especiais, como aquelas em que os interesses vitais da segurança nacional, da defesa ou da segurança pública sejam ameaçados por atividades terroristas, o acesso aos dados de outras pessoas poderia igualmente ser concedido quando existam elementos objetivos que permitam considerar que esses dados poderiam, num caso concreto, contribuir efetivamente para a luta contra essas atividades (v., neste sentido, Acórdãos de 21 de dezembro de 2016, Tele2, C203/15 e C698/15, EU:C:2016:970, n.º 119, e de 6 de outubro de 2020, La Quadrature du Net e o., C511/18, C512/18 e C520/18, EU:C:2020:791, n.º 188).

51 - A fim de garantir, na prática, o pleno respeito destes requisitos, é essencial que o acesso das autoridades nacionais competentes aos dados conservados esteja, em princípio, sujeito a uma fiscalização prévia efetuada por um órgão jurisdicional ou por uma entidade administrativa independente e que a decisão desse órgão jurisdicional ou dessa entidade seja tomada na sequência de um pedido fundamentado dessas autoridades apresentado, nomeadamente, no âmbito de processos de prevenção, de deteção ou de perseguição penal. [...]" (sublinhado acrescentado).

(7) "No que respeita ao conteúdo essencial do direito fundamental ao respeito da vida privada e dos outros direitos consagrados no artigo 7.º da Carta, deve observar-se que, embora a conservação dos dados imposta pela Diretiva 2006/24 [invalidada pelo Acórdão Digital Rights] constitua uma ingerência particularmente grave nesses direitos, não é suscetível de afetar o referido conteúdo, tendo em conta que, como resulta do seu artigo 1.º, n.º 2, esta diretiva não permite tomar conhecimento do conteúdo das comunicações eletrónicas, enquanto tal." (quanto à definição dos dados conservados pelos operadores, no quadro da Diretiva 2006/24, cf. o ponto 26 do mesmo Acórdão - "[...] designadamente, os dados necessários para encontrar e identificar a fonte e o destino de uma comunicação, para determinar a data, a hora, a duração e o tipo de uma comunicação, o equipamento de comunicação dos utilizadores, bem como para localizar o equipamento de comunicação móvel, dados entre os quais figuram, designadamente, o nome e o endereço do assinante ou do utilizador registado, o número de telefone de origem e o número do destinatário e também um endereço IP para os serviços Internet").

(8) "U. S. Postal Service Logging All Mail for Law Enforcement, disponível, em 25 de agosto de 2021, no sítio do jornal em: https://www.nytimes.com/2013/07/04/us/monitoring-of-snail-mail.html.

(9) Este exemplo concreto é utilizado por Amitai Etzioni (Privacy in a Cyber Age, Palgrave Macmillan, New York, 2015, pp. 132/133) para ilustrar o caráter incomensuravelmente insidioso, na sua potencialidade danosa de usos desviados, do acesso a sistemas que tratam, na sua vertente mais abrangente (a do próprio conteúdo, diversamente das simples circunstâncias envolventes), informação digitalizada: "[...] a digitalização da informação, o uso generalizado da internet e de computadores, e a introdução de sistemas de inteligência artificial para analisar vastas quantidades de dados incrementaram a medida, o volume, o escopo e os tipos de usos secundários em tantos graus de magnitude que é difícil encontrar uma expressão apropriada para capturar a importância desta transformação. A questão essencial não é tanto o facto de a informação poder ser agora processada a uma fração do custo e a velocidades incomparavelmente maiores do que quando era feita a partir do papel, o que é certamente o caso, mas sim o facto de os modos de análise que fazem derivar nova informação pessoal de dados pessoais previamente recolhidos serem hoje comuns, mas eram inconcebíveis quando a maior parte da informação pessoal assentava em suporte de papel. Por outras palavras, prevenir a intrusão excessiva implicava menor recurso à Quinta Emenda quando a maior parte da informação pessoal assentava em papel, porque com frequência era simplesmente impossível armazenar e analisar grandes quantidades de informação pessoal - mas são necessárias proteções acrescidas agora que tais capacidades cresceram significativamente" (ibidem, pp. 1/2).

(10) Permanent Record, Macmillan, Londres, 2019, p. 1. E o texto que estamos a citar segue com a seguinte explicação para esse fenómeno: "[d]epois do 11 de setembro a CI ficou esmagada pela culpa de não ter conseguido defender a América, por ter deixado que o ataque mais devastador e destrutivo [...] desde Pearl Harbor acontecesse no seu tempo [a expressão exata é "on its watch"]" (ibidem, pp. 1/2).

(11) Designadamente, cf. a entrevista, de janeiro de 2014, do General Michael Hayden, Director da NSA em 11 de setembro, ao site Frontline: https://www.pbs.org/wbgh/pages/frontline/government-elections-politics/united-states-of-secrets/the-frontline-interview-michael-hayden.

Remetemos aqui para o que se refere, a propósito da chamada Verizon Order do FISA Court, na nota 43 do voto do primeiro subscritor da presente declaração no Acórdão n.º 464/2019.

(12) "[S]egundo a qual, sem prejuízo das disposições adotadas em aplicação das Diretivas 95/46 e 2002/58, deveriam ser respeitados certos princípios de proteção e de segurança dos dados pelos fornecedores de serviços de comunicações eletrónicas publicamente disponíveis ou de redes públicas de comunicações, princípios de acordo com os quais os Estados-Membros devem assegurar a adoção de medidas técnicas e organizacionais adequadas contra a destruição acidental ou ilícita, a perda ou a alteração acidental dos dados".

(13) Cf. Marcus Klamert, anotação D ao artigo 16.º do TFUE, in Manuel Kellerbauer, Marcus Klamert, Jonathan Tomkin (eds.), The EU Treaties and The Charter of Fundamental Rights, A Commentary, Oxford University Press, Oxford, 2019, pp. 409/410.

(14) "A Diretiva 2016/680 estabelece mínimos de harmonização, permitindo aos Estados membros a adoção de padrões mais elevados (artigo 1(2) da Diretiva [...]. Os Estados membros são instados a estabelecer limites de tempo para o apagamento de dados pessoais ou para uma revisão periódica da necessidade de permanência do armazenamento destes. E são também instados a estabelecer tratamentos diferenciados, e outras partes no processo, como entre os dados pessoais de suspeitos do cometimento de crimes, de condenados, de vítimas ou de possíveis vítimas e terceiros envolvidos, como sucede com testemunhas" (Marcus Klamert, anotação indicada na nota 10, supra, pp. 409/410; cf. artigos 5.º e 6.º da Diretiva 2016/680).

J. A. Teles Pereira. Maria José Rangel de Mesquita.