Acórdão do Tribunal Constitucional n.º 268/2022 — Declara a inconstitucionalidade, com força obrigatória geral, da norma constante do artigo 4.º da Lei n.º 32/2008, de…

Processo n.º 828/19

Acordam, em Plenário, no Tribunal Constitucional:

I - Relatório

1 - A Provedora de Justiça requereu, nos termos da alínea d) do n.º 2 do artigo 281.º da Constituição, a apreciação e declaração, com força obrigatória geral, da inconstitucionalidade das normas constantes dos artigos 4.º, 6.º e 9.º da Lei n.º 32/2008, de 17 de julho, por violarem o princípio da proporcionalidade na restrição dos direitos à reserva da intimidade da vida privada e familiar (n.º 1 do artigo 26.º da Constituição), ao sigilo das comunicações (n.º 1 do artigo 34.º da Constituição) e a uma tutela jurisdicional efetiva (n.º 1 do artigo 20.º da Constituição).

2 - O pedido de declaração de inconstitucionalidade encontra-se fundamentado nos seguintes termos:

«A. A relação entre a Lei n.º 32/2008, de 17 de julho, e o direito da União Europeia.

1.º Nos termos do disposto no artigo 6.º da Lei n.º 32/2008, de 17 de julho, os fornecedores de serviços de comunicações electrónicas publicamente disponíveis ou de uma rede pública de comunicações têm o dever de conservar, pelo período de um ano, os dados de tráfego e de localização de todas as comunicações electrónicas, os quais vêm especificados no artigo 4.º do mesmo diploma.

2.º Trata-se dos dados relativos às subscrições e a todas as comunicações electrónicas necessários para encontrar e identificar a fonte e o destino de uma comunicação (artigo 4.º, n.º 1, alíneas a) e b)), para determinar a data, a hora, a duração e o tipo de comunicação (artigo 4.º, n.º 1, alíneas c) e d)), para identificar o equipamento de telecomunicações dos utilizadores (artigo 4.º, n.º 1, alínea e)) e para identificar a localização do equipamento de comunicação móvel (artigo 4.º, n.º 1, alínea f)).

3.º A obrigação de conservação dos dados abrange os dados gerados ou tratados no âmbito de um serviço telefónico na rede fixa, de um serviço telefónico na rede móvel, de um serviço de acesso à Internet, de um serviço de correio electrónico através da Internet bem como de um serviço de comunicações telefónicas através da Internet.

4.º Esta obrigação também inclui os dados relativos às chamadas telefónicas falhadas (artigo 5.º, n.º 1).

5.º Fora da obrigação de conservação dos dados estão os dados relativos ao conteúdo das comunicações, porquanto, nos termos do disposto no n.º 2 do artigo 1.º, a conservação de tais dados é expressamente proibida.

6.º No que diz respeito às comunicações telefónicas na rede fixa devem ser conservados os dados relativos ao número de telefone de origem e aos números marcados, os dados relativos ao nome e endereço dos assinantes ou dos utilizadores registados (artigo 4.º, n.º 2, alínea a) e n.º 3, alínea a)), os dados relativos à data e hora do início e do fim da comunicação (artigo 4.º, n.º 4, alínea a)), os dados relativos ao serviço telefónico utilizado (artigo 4.º, n.º 5, alínea a)) e os números de telefone de origem e de destino (artigo 4.º, n.º 6, alínea a)). Relativamente às comunicações telefónicas na rede móvel, aplicam-se obrigações suplementares, tais como a conservação da Identidade Internacional de Assinante Móvel (IMSI) e da Identidade Internacional de Equipamento Móvel (IMEI) de quem telefona e do destinatário (artigo 4.º, n.º 6, alínea b)), bem como dos dados de localização do início e do fim da comunicação (artigo 4.º, n.º 7).

7.º No que diz respeito aos serviços de acesso à Internet, aos serviços de correio electrónico através da Internet e às comunicações telefónicas através da Internet devem ser conservados os códigos de identificação atribuídos ao utilizador, o código de identificação do utilizador e o número de telefone atribuídos a qualquer comunicação que entre na rede telefónica pública e o nome e endereço do assinante ou do utilizador registado, a quem o endereço do protocolo IP, o código de identificação de utilizador ou o número de telefone estavam atribuídos no momento da comunicação (artigo 4.º, n.º 2, alínea b), bem como as datas e horas do início (log in) e do fim (log off) da ligação ao serviço de acesso à Internet ou da ligação, juntamente com o endereço do protocolo IP, dinâmico ou estático, atribuído pelo fornecedor do serviço de acesso à Internet a uma comunicação, bem como o código de identificação de utilizador do subscritor ou do utilizador registado (artigo 4.º, n.º 4, alínea b), subalínea i) ou da ligação ao serviço de correio electrónico através da Internet (artigo 4.º, n.º 4, alínea b), subalínea ii), o serviço de Internet utilizado (artigo 4.º, n.º 5, alínea b) e ainda os dados relativos ao número de telefone que solicita o acesso por linha, a linha de assinante digital ou qualquer outro identificador terminal do autor da comunicação (artigo 4.º, n.º 6, alínea c)).

8.º Em causa estão, portanto, dados que revelam a todo o momento aspectos da vida privada e familiar dos cidadãos, permitindo rastrear a localização do indivíduo ao longo do dia, todos os dias (desde que transporte o telemóvel ou outro dispositivo electrónico de acesso à Internet), e identificar com quem contacta (chamada - inclusive as tentadas e não concretizadas - por telefone ou telemóvel, envio ou recepção de SMS, MMS, de correio electrónico, ou de comunicações telefónicas através da Internet), bem como a duração e a regularidade dessas comunicações.

9.º A Lei n.º 32/2008, de 17 de julho, transpôs para a ordem jurídica nacional a Directiva 2006/24/CE do Parlamento Europeu e do Conselho, de 15 de março de 2006, relativa à conservação de dados gerados ou tratados no contexto da oferta de serviços de comunicações electrónicas publicamente disponíveis ou de redes públicas de comunicações.

10.º O Tribunal de Justiça da União Europeia (TJUE) declarou a invalidade da referida Directiva no acórdão de 8 de abril de 2014, Digital Rights Ireland Ltd e outros, C-293/12 e C-594/12.

11.º A declaração de invalidade teve por fundamento a violação do princípio da proporcionalidade pela restrição que a Directiva opera dos direitos ao respeito pela vida privada e familiar e à protecção de dados pessoais, consagrados nos artigos 7.º e 8.º da Carta dos Direitos Fundamentais da União Europeia (Carta).

12.º Com efeito, apesar de o TJUE ter reconhecido que as medidas previstas na Directiva - relativas à imposição do dever de conservação de dados de tráfego e de localização gerados no contexto de comunicações electrónicas e ao dever da sua transmissão às autoridades competentes para efeitos de investigação, detecção e repressão de crimes graves - eram, em si mesmas, medidas legítimas e adequadas ao fim visado, nem por isso deixou de concluir que as mesmas violavam o princípio da proporcionalidade, na sua dimensão de [do subprincípio da] necessidade.

13.º Tratando-se de um acto de transposição de uma directiva, a Lei n.º 32/2008, de 17 de julho, consubstancia, para efeitos do disposto no n.º 1 do artigo 51.º da Carta, um acto de aplicação do direito da União Europeia.

14.º Tal significa que, embora tratando-se formalmente de legislação nacional e não de um acto adoptado pelas instituições da União Europeia, a Lei n.º 32/2008, de 17 de julho, está directamente vinculada pela Carta.

15.º Nesta medida, os fundamentos invocados pelo TJUE para sustentar a declaração de invalidade do regime europeu que a Lei n.º 32/2008 pretendeu transpôr não poderão deixar de ser tidos em conta, no momento em que se afira da conformidade ou não conformidade em relação à Carta das normas contidas neste regime nacional.

16.º Além disso, resulta do acórdão do TJUE de 21 de dezembro de 2016, Tele2 Sverige e Watson, C-203/15 e C-698/15, que qualquer legislação nacional que preveja a conservação de dados implica necessariamente a existência de disposições relativas ao acesso, por parte das autoridades nacionais competentes, aos dados que sejam conservados pelos prestadores de serviços de comunicações eletrónicas. Assim, e anda que a Directiva 2006/24 tenha sido declarada inválida pelo TJUE, nem por isso a Lei n.º 32/2008, de 17 de julho, poderá deixar de ser incluída no âmbito de aplicação da Diretiva 2002/58/CE do Parlamento Europeu e do Conselho, de 12 de julho de 2002, relativa ao tratamento de dados pessoais e à protecção da privacidade no sector das comunicações electrónicas (cf. acórdão Tele2, n.os 79-81).

17.º Pelo que não restam dúvidas de que a Lei n.º 32/2008, de 17 de julho, se enquadra no âmbito de aplicação do direito da União, encontrando-se, portanto, a definição pela República Portuguesa do regime legal de conservação de dados de comunicações electrónicas directamente vinculada pela Carta (artigo 51.º, n.º 1 da Carta).

18.º É justamente em virtude da vinculação da legislação nacional à Carta que, no seguimento das decisões do TJUE, a Comissão Nacional de Protecção de Dados (CNPD) emitiu a Deliberação n.º 641/2017, de 9 de Maio, onde expôs a sua perspectiva sobre a Lei n.º 32/2008, considerando que a mesma contém normas que prevêem a restrição ou ingerência nos direitos fundamentais ao respeito pela vida privada e pelas comunicações e à protecção dos dados pessoais com grande amplitude e intensidade, em violação do princípio da proporcionalidade e, portanto, em violação do n.º 1 do artigo 52.º da Carta, bem como uma restrição desproporcionada dos direitos à reserva da intimidade da vida privada, à inviolabilidade das comunicações e à protecção de dados pessoais, em violação do disposto no n.º 2 do artigo 18.º da Constituição da República Portuguesa.

19.º Face a esse seu entendimento, a CNPD, através da Deliberação n.º 1008/2017, de 18 de julho, decidiu desaplicar a Lei n.º 32/2008 nas situações que lhe sejam submetidas para apreciação.

20.º Tendo em conta todos estes dados, poder-se-ia concluir estar-se perante legislação nacional «inteiramente determinada» - na acepção do acórdão do TJUE de 26 de fevereiro de 2013, Âkerberg Fransson, C-617/10, n.º 29 - , pelo direito da União Europeia, o que geraria dúvidas quanto à questão de saber se caberia ainda à jurisdição constitucional nacional - e não à jurisdição própria da União Europeia - efectuar a ponderação entre as razões de interesse público que poderiam determinar a conservação e armazenamento de dados por parte das operadoras de telecomunicações e a tutela de direitos fundamentais.

21.º Parece no entanto legítimo sustentar-se que, neste domínio, o legislador nacional definiu com certa margem de liberdade o regime instituído pela Lei n.º 32/2008, pelo que a normação nela contida não deverá ser qualificada como «acção estadual inteiramente determinada pelo Direito da União» na acepção que da expressão faz o acórdão atrás citado. Assim sendo, não estará em causa a competência da jurisdição constitucional nacional para levar a cabo o controlo de compatibilidade entre as medidas aquela legislação prevista e os direitos fundamentais em causa, nomeadamente o direito à reserva da intimidade da vida privada e à protecção dos dados pessoais.

22.º Todavia, sendo embora a legislação nacional em questão «não inteiramente determinada» pelo direito da União Europeia - , e podendo, nessa medida, os órgãos jurisdicionais nacionais aplicar os padrões nacionais de proteção dos direitos fundamentais - em caso algum poderá dessa aplicação resultar um nível de protecção menos elevado do que aquele garantido pela Carta (acórdãos do TJUE de 26 de fevereiro de 2013, Melloni, C-399/11, n.º 60 e Âkerberg Fransson, C-617/10, n.º 29).

23.º Assim é, pelo facto de a Lei n.º 32/2008, atendendo ao que dispõe a Directiva 2002/58/CE do Parlamento e do Conselho, relativa ao tratamento de dados pessoais e à protecção da privacidade no sector das comunicações electrónicas, ser ainda - não obstante a declaração de invalidade da Directiva 2006/24/CE - um acto de aplicação do Direito da União, encontrando-se por isso, e como já se disse, directamente vinculada pela Carta dos Direitos Fundamentais da União Europeia (artigo 51.º, n.º 1, da Carta).

24.º Ora, embora seja claro que a Lei n.º 32/2008 não padece de alguns dos vícios apontados pelo TJUE à Directiva 2006/24/CE, por outro lado, é também inequívoco que, em aspectos fundamentais do regime nele instituído, esse acto legislativo se não conforma com as exigências decorrentes do direito da União, tal como interpretado pelo TJUE.

25.º O argumento principal em que se baseou o Tribunal Constitucional no Acórdão n.º 420/2017, de 13 de Julho, seguindo de perto a Nota Prática n.º 7/2015 do Gabinete do Cibercrime do Ministério Público, é o de que a legislação nacional estabelece já muitas das exigências que não estavam garantidas na Directiva invalidada pelo TJUE, designadamente no que respeita aos requisitos de acesso aos dados conservados bem como no que se refere à imposição da destruição dos dados após o período de conservação.

26.º No entanto, e ao contrário do que é sugerido pela interpretação feita neste aresto, resulta claramente dos acórdãos do TJUE que a circunstância de, no que respeita ao regime de acesso aos dados conservados, a lei nacional poder ir ao encontro das exigências da Carta, em nada releva para efeitos da questão da conformidade à Carta da medida de imposição legal de conservação dos dados em si mesma considerada.

27.º Com efeito, o TJUE, que é o órgão jurisdicional com competência para determinar a correcta interpretação da Carta dos Direitos Fundamentais da União Europeia, nos acórdãos Digital Rights Ireland e Tele2, a que já se fez referência, parte da premissa básica segundo a qual existirão, neste domínio, dois momentos distintos e autónomos de agressão aos direitos fundamentais.

28.º Num primeiro momento, logo com a imposição legal aos operadores de telecomunicações da obrigação de conservação de dados, ocorre já uma agressão - e uma agressão que, só por si, é grave (cf. acórdão Tele2, n.os 99 e segs.) - aos direitos fundamentais.

29.º Ou seja, mesmo que a esses dados nenhuma entidade pública viesse, posteriormente, alguma vez a aceder, já se dera uma agressão grave aos direitos individuais pela mera existência e armazenamento dos dados por parte dos operadores de telecomunicações.

30.º Por sua vez, num segundo momento, que é incerto, o acesso e utilização por parte das entidades públicas competentes consubstancia um nível diferente de agressão aos direitos fundamentais, que vem, por assim dizer, acrescer à agressão - que só por si já é grave - implicada pela mera existência e armazenamento desses dados, agressão essa que, por definição, já terá ocorrido «a montante», e que tem que satisfazer, também ela, exigências decorrentes do princípio da proporcionalidade.

31.º Ora, tratando-se de dois níveis diferentes de agressão aos direitos, não é possível argumentar que o facto de a Lei n.º 32/2008 satisfazer, no que respeita ao regime de acesso aos dados conservados, as exigências decorrentes da Carta, serve para salvar ou compensar a afectação dos direitos implicada na própria imposição legal de conservação de dados. Perante a existência de dois momentos autónomos de agressão aos direitos, não é de todo legítimo confundi-los de acordo com uma «lógica de compensação».

32.º Pelo contrário, uma dogmática correcta de direitos fundamentais exigirá que se analise, autonomamente, a conformidade constitucional de cada uma das agressões aos direitos, em nada podendo o regime de acesso e de utilização dos dados interferir na análise da conformidade constitucional, designadamente e no que respeita às exigências decorrentes do princípio da proporcionalidade, da agressão aos direitos implicada na própria imposição legal de conservação de dados.

33.º No que respeita ao primeiro nível de agressão dos direitos, que se dá com a imposição legal de conservação de dados aos operadores de telecomunicações, e que consubstancia por si só uma agressão grave de liberdades fundamentais (acórdão Tele2, n.º 99 e segs.), o TJUE, nos acórdãos Digital Rights lreland e Tele2, já referidos, estabeleceu exigências claras, desde logo quanto ao âmbito da obrigação de conservação e dados, que a Lei n.º 32/2008, pura e simplesmente, não cumpre.

34.º Na verdade, e quanto ao âmbito da obrigação de conservação de dados impendente sobre os operadores de telecomunicações, o legislador português acolhe a solução que o TJUE expressamente censurou: prevê uma conservação generalizada e indiferenciada de todos os dados de tráfego e dos dados de localização de todos os assinantes e utilizadores registados em relação a todos os meios de comunicação electrónica, sem limitar tal obrigação em função dos critérios indicados pelo TJUE nos termos do parágrafo 106 e seguintes do acórdão Tele2.

35.º Recorde-se que, tendo sido chamado a interpretar legislação nacional de Estados-Membros da União Europeia (Suécia e Reino Unido) que transpunha a Directiva 2006/24/CE, implicando a recolha massiva, indiscriminada de dados das comunicações e obrigando à sua conservação por um período compreendido entre seis meses e dois anos, o TJUE concluiu que «[u]ma regulamentação deste tipo não exige nenhuma relação entre os dados cuja conservação se encontra prevista e uma ameaça para a segurança pública. Nomeadamente, não está limitada a uma conservação que tenha por objeto dados relativos a um período temporal e/ou uma zona geográfica e/ou a um círculo de pessoas que possam estar envolvidas de uma maneira ou de outra numa infração grave, nem a pessoas que, por outros motivos, mediante a conservação dos seus dados, podiam contribuir para a luta contra a criminalidade [...]» (acórdão Tele2, n.º 106).

36.º Tal significa que o TJUE considera ser contrária ao direito da União Europeia qualquer legislação nacional que preveja, para efeitos de luta contra a criminalidade, uma conservação generalizada e indiferenciada de todos os dados de tráfego e de todos os dados de localização de todos os assinantes e utilizadores registados em relação a todos os meios de comunicação electrónica, ou - dizendo o mesmo por outras palavras -, qualquer legislação nacional que obrigue os prestadores de serviços de comunicações eletrónicas a conservarem esses dados de forma sistemática, contínua e sem nenhuma exceção.

37.º Entende o TJUE que tal sistema regulatório excede os limites do estritamente necessário e não pode ser considerado justificado, numa sociedade democrática, como exige o artigo 15.º, n.º 1, da Diretiva 2002/58, lido à luz dos artigos 7.º, 8.º e 11.º, bem como do artigo 52.º, n.º 1, da Carta (cf. acórdão Tele2, n.º 97-112).

38.º Ora, na medida em que o sistema estabelecido pela Lei n.º 32/2008, de 17 de julho, pressupõe justamente, em lugar de uma conservação selectiva (cf. acórdão Tele2, n.º 108), uma conservação generalizada e indiferenciada de todos os dados de tráfego e de todos os dados de localização de todos os assinantes e utilizadores registados em relação a todos os meios de comunicação electrónica, não há qualquer dúvida de que o regime estabelecido na lei nacional viola a Carta.

39.º Além dessa desconformidade fundamental, relacionada com o próprio âmbito da obrigação de conservação de dados, a lei nacional é desconforme com as exigências decorrentes da jurisprudência do TJUE em matéria de segurança e protecção dos dados conservados.

40.º Com efeito, a Lei n.º 32/2008, de 17 de julho, em nenhuma das alíneas do n.º 1 do artigo 7.º, estabelece especificamente o dever de os dados relativos às comunicações electrónicas serem conservados pelas operadoras de telecomunicações no território da União Europeia de modo a assegurar a efectividade da fiscalização (cf. acórdão Digital Rights Ireland, n.º 68 e acórdão Tele2, n.º 122 e 125).

41.º Por último, ao não estabelecer expressamente o dever de as autoridades competentes às quais tenha sido concedido o acesso aos dados desse facto informarem as pessoas em causa, no âmbito dos processos nacionais aplicáveis, a partir do momento em que essa comunicação não seja suscetível de comprometer as investigações levadas a cabo por essas autoridades, a Lei n.º 32/2008, de 17 de julho, viola o direito da União Europeia (cf. acórdão Tele2, n.º 121).

42.º Estando a Lei n.º 32/2008 directamente vinculada pela Carta (artigo 51.º, n.º 1, da Carta), não pode o Tribunal Constitucional aplicar padrões nacionais de proteção dos direitos fundamentais que sejam susceptíveis de comprometer o nível de proteção previsto pela Carta, e, assim, o primado, a unidade e a efetividade do direito da União (acórdãos de 26 de fevereiro de 2013, Melloni, C-399/11, n.º 60 e Âkerberg Fransson, C-617/10, n.º 29).

43.º De outra maneira, verificar-se-ia a situação anómala de, em virtude da interpretação dos direitos fundamentais à luz da Constituição da República Portuguesa, se permitir que na ordem jurídica nacional vigorem normas jurídicas contrárias à Carta dos Direitos Fundamentais da União Europeia.

44.º Pelo que ainda que, no plano jurídico-constitucional, a declaração pelo TJUE da invalidade da Directiva 2006/24/CE não tenha como efeito automático a invalidade da Lei n.º 32/2008, a deliberação do Tribunal Constitucional quanto à conformidade das normas constantes desse acto legislativo com a Constituição da República Portuguesa deve adoptar uma fundamentação que, tanto quanto possível, seja consistente com a do TJUE nos acórdãos Digital Rights Ireland e Tele2.

45.º Em virtude da directa vinculação à Carta da Lei n.º 32/2008, tal «dever de consistência na fundamentação» retira-se do princípio da cooperação leal a que a República Portuguesa - e, portanto, todos os órgãos do Estado, inclusive de índole jurisdicional - se encontra vinculada (artigo 4.º, n.º 3, do Tratado da União Europeia).

46.º Em nosso entender, tanto bastaria para que o Tribunal Constitucional declarasse com força obrigatória geral, a inconstitucionalidade dos artigos 4.º, 6.º e 9.º da Lei n.º 32/2008, por violação do princípio da proporcionalidade na restrição dos direitos à reserva da intimidade da vida privada e familiar (artigo 26.º, n.º 1) e por violação do direito a uma tutela jurisdicional efectiva (artigo 20.º, n.º 1).

47.º Todavia, e independentemente da articulação entre a ordem jurídica nacional e a ordem jurídica europeia, os artigos 4.º, 6.º e 9.º da Lei n.º 32/2008 sempre se hão de considerar inconstitucionais à luz de parâmetros exclusivamente decorrentes do texto da Constituição da República.

B. Da violação do direito à reserva da intimidade da vida privada e familiar (artigo 26.º, n.º 1)

1 - Da imposição legal de conservação de dados como agressão - e agressão grave - aos direitos fundamentais.

48.º No Acórdão n.º 403/2015, de 27 de Agosto, o Tribunal Constitucional, analisando a pertinente jurisprudência constitucional, reconhece que as circunstâncias em que as comunicações são realizadas integram o âmbito de protecção do direito à reserva da intimidade da vida privada e familiar, consagrado no artigo 26.º, n.º 1, da Constituição Ac. n.º 403/2015, AcTC, 93.º vol., 2015, pp. 45-101, pp. 60 e segs.).

49.º Embora tal argumentação se dirija às questões de constitucionalidade relacionadas com o acesso pelas autoridades competentes a dados de tráfego e de localização, daí não deve retirar-se que a mesma não seja aplicável à própria imposição legal de conservação de dados. O Tribunal Constitucional apenas se não terá expressamente pronunciado sobre esta última dimensão do problema na exacta medida em que, atendendo ao objecto do pedido, tal como delimitado pelo requerente naquele processo, apenas se ocupou especificamente do regime de acesso aos dados, deixando de fora da sua análise o regime legal relativo à própria obrigação de conservação desses dados por parte das operadoras de telecomunicações.

50.º O que é certo é que, argumentar-se que «[...] a manipulação ilegal ou ilegítima do conteúdo e das circunstâncias da comunicação pode violar a privacidade dos interlocutores intervenientes, atentando ou pondo em risco esferas nucleares das pessoas, das suas vidas, ou dimensões do seu modo de ser e estar [...] de sorte que a possibilidade de se aceder aos dados das comunicações colide com um conjunto de valores associados à vida privada que fundamentam e legitimam a proteção jurídico-constitucional» (Ac. n.º 403/2015, AcTC, cit., p. 60), implica reconhecer que, independentemente do eventual acesso aos dados existentes, a mera imposição legal de conservação de dados integra o âmbito de protecção do direito à reserva da intimidade da vida privada e familiar (artigo 26.º, n.º 1).

51.º É isso que, em articulação com o Acórdão n.º 128/92, conclui o Tribunal Constitucional: «De modo que, na jurisprudência constitucional, as comunicações privadas, englobando o conteúdo e circunstancialismos em que as mesmas têm lugar, são reconhecidas como um meio através do qual se manifestam aspetos da vida privada da pessoa e que, por isso, caem no âmbito da proteção constitucional da respetiva reserva (Ac. n.º 403/2015, AcTC, cit., p. 61).

52.º Tal significa que, desde logo, a imposição às operadoras de comunicações electrónicas de conservação de dados de tráfego e de localização de todas as comunicações electrónicas consubstancia uma restrição - e uma restrição intensa ou grave - do direito à reserva da intimidade da vida privada e familiar, consagrado no artigo 26.º, n.º 1, da Constituição.

53.º Na verdade, a mera existência de dados, agregados e guardados, por um período de um ano, em centros de conservação [em princípio] detidos e geridos pelas próprias empresas operadoras de telecomunicações, contendo informação extremamente sensível sobre a vida privada e familiar de milhões de cidadãos (supra, ponto 8), é um facto que gera por si só um permanente risco de violação da privacidade, ainda que tais dados nunca venham a ser acedidos, nos termos e para os efeitos legais, pelas autoridades para tal legitimadas.

54.º Com efeito, por muito que se procure assegurar a sua inviolabilidade através da tecnologia a cada momento disponível, não é possível garantir em termos absolutos que não haja falhas de segurança, e que não ocorra o acesso ilegítimo, por parte de terceiros, a todo o manancial de informação que por este meio é conservado.

55.º O problema assumirá ainda maior gravidade se se tiver em linha de conta que a autoridade pública competente para o controlo da aplicação das regras relativas à segurança e proteção de dados, a Comissão Nacional de Protecção de Dados (artigo 7.º, n.º 3, da Lei n.º 32/2008) - autoridade à qual a lei, no seu artigo 14.º, conferiu a competência para a instrução dos processos de contraordenação e para a aplicação das correspondentes coimas -, decidiu, através da Deliberação n.º 1008/2017, de 18 de julho, «desaplicar [a Lei n.º 32/2008] nas situações que lhe sejam submetidas para apreciação», por entender que, sendo as normas nela inscritas lesivas, de acordo com o seu juízo, da Carta dos Direitos Fundamentais da União e da Constituição da República Portuguesa, deveria agir «em cumprimento do primado do Direito da União e da prevalência da Constituição» (supra, pontos 18 e 19). Assim, e face à ausência de fiscalização por parte da autoridade administrativa competente, podem agora os operadores de serviços de telecomunicações não dispor de qualquer desincentivo para incumprir as obrigações que sobre eles impendem, as quais deveriam corresponder às exigências de garantia de um «nível particularmente elevado de protecção e segurança».

56.º O momento de agressão - e de agressão grave - aos direitos dá-se, portanto, logo com a obrigação, imposta às operadoras de telecomunicações, de conservação de todos estes dados. Não fora a previsão legal desta obrigação e jamais seria possível vir a verificar-se o acesso ilegítimo aos dados conservados por parte de terceiros, porquanto tais dados, pura e simplesmente, não existiriam.

57.º A recondução da imposição legal de conservação de dados ao âmbito de protecção do artigo 26.º, n.º 1, é determinante no que respeita aos dados de localização fora do contexto de uma comunicação, se se partir do pressuposto segundo o qual não estarão tais dados cobertos pela garantia constitucional de sigilo das telecomunicações, consagrada no artigo 34.º, n.º 1 da CRP.

58.º Ainda que se parta desse pressuposto - e se considere, como no caso do Acórdão n.º 486/2009, que relativamente a tal tipo de dados se estará sempre fora do âmbito de um acto comunicacional concreto - não poderá jamais esquecer-se a quantidade e qualidade da informação que por seu intermédio se poderá vir a obter: desde que a pessoa transporte consigo o seu telemóvel ou outro dispositivo electrónico de acesso à Internet, sempre será possível reconstituir aqueles que foram, ao longo do período de um ano, todos os lugares em que esteve, quanto tempo esteve em cada um desses lugares e, cruzando esta informação com dados respeitantes a outras pessoas, com quem esteve, onde e quando.

59.º Embora seja predominante e generalizada a percepção segundo a qual a informação contida em dados de tráfego e de localização será menos invasiva da privacidade do que o conhecimento do próprio conteúdo das comunicações, o que é certo é que se invoca a sua indispensabilidade para efeitos de investigação criminal.

60.º Ora, se tais dados fossem inocentes e nada revelassem sobre a vida do indivíduo em causa, então seguramente que nenhum interesse haveria em recorrer a esses dados para efeitos de investigação criminal.

61.º É precisamente por serem extremamente precisos na reconstituição da vida da pessoa em causa - de uma certa perspectiva, mais até do que o próprio conteúdo das comunicações efectuadas - que tais dados se revelam preciosos para as autoridades competentes na área da investigação criminal.

62.º Assim, a imposição legal de conservação, por um período de um ano, de todos os «metadados», incluindo os dados de localização fora do contexto de uma comunicação, constitui, só por si, uma agressão séria e grave do direito à reserva da intimidade da vida privada e familiar, consagrado no artigo 26.º, n.º 1, da Constituição.

63.º A questão que se põe é então a de saber se tal agressão, que, só por si, é séria e grave, se encontrará constitucionalmente justificada, o que implica que se analise a medida à luz das exigências decorrentes do princípio da proporcionalidade (artigo 18.º, n.º 2).

2 - Da violação do princípio da proporcionalidade

64.º Nos termos do disposto no artigo 3.º, n.º 1, da Lei n.º 32/2008, de 17 de julho, «a conservação e a transmissão dos dados têm por finalidade exclusiva a investigação, detecção e repressão de crimes graves por parte das autoridades competentes». Nenhuma outra finalidade de interesse público é invocada pelo legislador como justificação para a medida que estabelece uma obrigação geral de conservação de dados.

65.º Embora não haja qualquer informação de ordem quantitativa que nos dê a conhecer a dimensão exacta da realidade que, através da obrigação geral de conservação de dados, o legislador procurou combater, não restam dúvidas de que a [necessidade da] luta contra a criminalidade grave é, em si mesma, razão legítima de restrição de direitos fundamentais. Não apenas por ser tarefa fundamental do Estado a garantia da paz e da segurança, esteio do exercício dos demais direitos e liberdades individuais e do respeito pelo Estado de direito democrático (artigos 9.º e 25.º); mas ainda por se mostrar especialmente adequado que os poderes públicos façam uso dos meios proporcionados pelo progresso tecnológico para levar a cabo a realização de tal tarefa estadual. Os dados de tráfego e de localização constituem pontos de referência em relação ao momento do crime, à localização de suspeitos na zona do crime ou nas suas proximidades, a comportamentos de suspeitos antes e depois do crime, às relações existentes entre os suspeitos, ao itinerário de fuga ou mesmo à indiciação de outros suspeitos. Que o acesso, por parte das autoridades públicas, a todo o acervo de informação que estes dados contêm seja uma medida adequada à prossecução das finalidades enunciadas na lei é pois algo que, em abstracto, não pode ser contestado.

66.º Certo é, no entanto, que já existem na ordem jurídica medidas menos restritivas do que aquelas de que vimos falando - a conservação generalizada e indiferenciada durante todo um ano de todos os «metadados» respeitantes a todos os cidadãos - e que se mostram também elas adequadas à prossecução da finalidade que o n.º 1 do artigo 3.º da Lei n.º 32/2008 enuncia. É o que se verifica com o regime de preservação de dados (quickfreeze), tal como previsto e regulado pelo artigo 12.º da Lei n.º 109/2009, de 15 de setembro (Lei do Cibercrime, que transpõe para a ordem jurídica interna a Decisão Quadro n.º 2005/222/JAI, do Conselho, de 24 de fevereiro, relativa a ataques contra sistemas de informação, e adapta o direito interno à Convenção sobre Cibercrime do Conselho da Europa).

67.º Argumentar-se-á porventura, contra o que vimos dizendo, que a eficácia revelada pelo sistema do quick freeze no combate à criminalidade grave não é em si mesma equiparável àquela que é dispensada pelo sistema de conservação generalizada e indiferenciada de todos os «metadados». Nos seus próprios termos, o quick freeze é válido apenas para o caso concreto; e só é ordenado tendo como fundamento [concreto] a verificação de uma determinada suspeita. Em contrapartida, a obrigação geral de conservação de dados, ao permitir às autoridades públicas «a leitura do passado» de quem quer que seja, mostra-se operativa para além de qualquer suspeita que já se tenha, em certo caso concreto, formado. Dizendo de outro modo: enquanto a medida de «preservação de dados» [quickfreeze] só é útil a partir do momento em que se tenha previamente identificado o suspeito da prática de um crime, obrigação geral de conservação de dados será útil bem para além desse momento, na exacta medida em que ela própria facilita a identificação [dos suspeitos]. No combate à «criminalidade grave» não pode pois equiparar-se a eficácia revelada por um e outro sistema conservação generalizada e indiferenciada de dados é bem mais eficaz do que a mera «preservação» dos mesmos (Carlos Pinho, «Lei de retenção de dados de comunicações eletrónicas: aposentar ou reformar?», Revista do Ministério Público 154,2018, pp. 167-192, 179-185).

68.º No entanto, o facto de certa medida legislativa se mostrar bem mais eficaz do que qualquer outra na realização de bens constitucionalmente protegidos não transforma tal medida em acção legítima, no quadro das restrições admissíveis a direitos e liberdades essenciais. Sendo este um postulado firme da dogmática dos direitos fundamentais, válido para qualquer acção do Estado, a sua aplicabilidade aos domínios da política criminal adquire reverberação especial: nem tudo o que se mostrar especialmente eficaz no combate à criminalidade grave será assim, e só em razão de tal eficácia, constitucionalmente justificado. Nesta medida, carecerá de reavaliação o argumento segundo o qual um sistema de conservação generalizada e indiferenciada de dados seria susceptível de superar o teste da necessidade (em que se analisa o princípio da proporcionalidade) por ser relativamente mais eficaz na luta contra a criminalidade do que um regime de preservação de dados (quick freeze).

69.º Em uma ordem constitucional de liberdade, jamais pode todo e qualquer indivíduo que utilize um meio de comunicação ser tratado como um potencial criminoso em termos de ver sacrificado - e gravemente sacrificado - o seu direito fundamental à reserva da intimidade da vida privada e familiar.

70.º É, no entanto, a necessidade desse mesmo sacrifício que o regime instituído pela Lei n.º 32/2008 assume, ao impor uma conservação generalizada e indiferenciada de todos os dados de tráfego e de localização de todos os assinantes e utilizadores registados em relação a todos os meios de comunicação electrónica. Uma obrigação geral de conservação de dados, ao não prever nenhuma diferenciação, limitação ou excepção em função do objectivo prosseguido - sendo inclusivamente aplicável a pessoas cujas comunicações estejam sujeitas a segredo profissional - afecta globalmente todas as pessoas que utilizem serviços de comunicações electrónicas, sem que essas pessoas se encontrem, ainda que indirectamente, em situação susceptível de justificar um procedimento criminal.

71.º Assim, ao pressupor que todo e qualquer indivíduo deve ser, a título preventivo e de modo contínuo, intensamente vigiado, o regime instituído pela Lei n.º 32/2008 tem por efeito transformar em regra a conservação dos dados de tráfego e de localização. Todavia, de uma adequada aplicação do princípio da proporcionalidade não poderá deixar de retirar-se a ilação contrária. Sendo a intimidade da vida privada uma liberdade essencial, as restrições que os poderes públicos imponham a tal liberdade deverão ocorrer não por regra mas por excepção.

72.º Tal natureza excepcional das restrições sempre poderia vir a ser garantida se o regime legal deixasse de ser absolutamente indeterminado quanto às circunstâncias e às condições em que é legítimo proceder à conservação dos dados - limitando, por hipótese, tal conservação a um período temporal e/ou uma zona geográfica e/ou a um círculo de pessoas que pudessem estar envolvidas de uma maneira ou de outra na prática de infrações graves - e definisse um período mais curto (não de um ano) para a manutenção da obrigação.

73.º A este propósito, importa observar que o Tribunal Constitucional Federal alemão, na decisão de 2 de Março de 2010, que declarou a inconstitucionalidade das alterações introduzidas à Telekommunikationsgesetz e à Strafprozessordnung pela lei que transpusera a Directiva 2006/24/CE, embora tenha considerado que o prazo nela previsto para a conservação de dados, seis meses, não violava os direitos fundamentais, não deixou de observar que se estava já muito próximo daquilo que, de acordo com as exigências decorrentes do princípio da proporcionalidade, seria o limite máximo constitucionalmente admissível.

74.º Elucidativo é ainda o facto de, na sequência dessa decisão, o legislador alemão ter, em 2015, voltado a aprovar uma lei a impor às operadoras de telecomunicações a conservação de dados - até então e desde 2010, com a declaração de inconstitucionalidade das alterações introduzidas à Telekommunikationsgesetz e à Strafprozessordnung pela lei que transpusera a Directiva 2006/24/CE. não havia enquadramento legal nesta matéria - , reduzindo substancialmente os limites máximos da duração da conservação de dados. Agora, na República Federal da Alemanha, e em virtude da aprovação da Gesetz zur Einführung einer Speicherpflicht und einer Höchstspeicherfrist für Verkehrsdaten, de 10 de Dezembro de 2015, (BGBl. I S. 2218 ff.), foram introduzidas alterações à Telekommunikationsgesetz, de 22 de Junho de 2004, (BGBl. I S. 1190), prevendo-se no § 113b desta última um prazo máximo de conservação de 10 semanas no que respeita a dados de tráfego e um prazo máximo conservação de 4 semanas no que se refere a dados de localização".

75.º De acordo com as motivações expressas pelo legislador, este regime procuraria responder à necessidade de dispersar, ou de pelo menos evitar uma excessiva concentração, [d]os dados conservados. Ao limitar a quatro semanas o período de conservação dos dados de localização, a lei alemã não só se mostra particularmente sensível à qualidade e delicadeza da informação que este tipo de dados transmite, como procura ainda impedir que, para além desse período, se possa concentrar toda essa informação através do «cruzamento» dos dados de tráfego com os dados de localização, com a consequente largueza de conhecimentos - e, logo, de possibilidade de reconstituição do passado de cada um - que tal «cruzamento» faculta.

76.º Em Portugal, a imposição legal de conservação de dados, com a amplitude, duração e indiferenciação que decorre dos artigos 4.º e 6.º, da Lei n.º 32/2008, de 17 de julho, ao aplicar a mesma disciplina jurídica a qualquer que seja a categoria de dados em causa e ao impor a conservação dos dados por um período indevidamente longo, traduz uma restrição excessiva do direito individual à privacidade. Mas comporta, do mesmo passo, o risco de lesão efectiva de outros direitos e liberdades, constitucionalmente consagrados.

77.º Com efeito, a conservação de tamanha amplitude de dados respeitantes às circunstâncias de todas as comunicações efectuadas por todos os cidadãos (destinatários [pertença a determinadas categorias profissionais, instituições, associações ou grupos de representação de interesses], data, hora e localização das chamadas telefónicas), permite, ao combinar e cruzar esses dados, inferir, com precisão, informações detalhadas sobre padrões de vida individuais, círculos sociais de pertença, inclinações político-partidárias, bem como aspectos da vida pessoal, tais como rotinas, hobbies, vulnerabilidades (por exemplo, em matéria de saúde). Além da agressão que tal constitui para cada indivíduo, enquanto titular de um direito básico à reserva da privacidade, do acesso ilegítimo de terceiros a todo este manancial de informação podem resultar constrições graves ao exercício de outros direitos e liberdades, nomeadamente os que se encontram consagrados no Capítulo II do Título II da Parte Primeira da Constituição da República.

C. Da violação do sigilo das comunicações (artigo 34.º, n.º 1)

78.º O artigo 34.º, n.º 1, consagra o sigilo das comunicações, o qual protege contra o conhecimento por parte do poder público a transmissão, com a ajuda dos meios de comunicação disponíveis, de informação a receptores individuais.

79.º O sigilo das comunicações abrange não apenas o conteúdo do que é transmitido entre o emissor e o receptor mas também as circunstâncias da comunicação, designadamente se, quando, com que frequência, através de que meio de comunicação e entre quem é que são estabelecidas comunicações.

80.º O Tribunal Constitucional, chamado a pronunciar-se sobre a questão, não teve qualquer dúvida em considerar que «[...] a proibição de ingerência nas comunicações, constante do artigo 34.º da CRP, abrange os dados de tráfego» (Ac. n.º 403/2015, cit., p. 65).

81.º Uma vez mais, importa aqui observar que, embora tal argumentação seja feita a propósito do acesso pelo Estado a dados de tráfego e de localização, daí se não deve retirar que o mesmo não seja aplicável à própria imposição legal de conservação de dados. O Tribunal Constitucional apenas se não terá expressamente pronunciado sobre essa dimensão do problema na exacta medida em que, atendendo ao objecto do pedido, tal como delimitado pelo requerente nesse processo, apenas se ocupou especificamente do regime de acesso aos dados, deixando de fora da sua análise o regime legal relativo à própria imposição legal de conservação de dados às operadoras de telecomunicações.

82.º Aliás, a construção dogmática elaborada nesse aresto e que serve de suporte à construção do direito à autodeterminação comunicativa, nos termos do qual o mesmo se analisa «[...] em uma dupla vertente, enquanto proteção de uma reserva da vida privada e enquanto liberdade de atuação, ou seja, uma conexão entre "segredo das comunicações" e "liberdade de comunicação"» (Ac. n.º 403/2015, AcTC, cit., p. 63), densifica a protecção constitucional, tomando claro que as questões de constitucionalidade relativas ao acesso, de que especificamente se ocupa o n.º 4 do artigo 34.º, são apenas uma das múltiplas dimensões da protecção constitucional globalmente conferida por esse preceito constitucional.

83.º A protecção que a Constituição confere respeita não apenas ao momento de acesso por parte das autoridades públicas, mas a cada acto do poder público susceptível de afectar o sigilo das telecomunicações.

84.º O acto do legislador consistente em impor às operadoras de telecomunicações, por um período de um ano, uma conservação generalizada e indiferenciada de todos os dados de tráfego e dos dados de localização de todos os assinantes e utilizadores registados em relação a todos os meios de comunicação electrónica, consubstancia, em si mesmo considerado - e independentemente das disposições que visam regular o seu posterior eventual acesso por parte das autoridades -, uma agressão - e uma agressão grave - por parte do Estado ao sigilo das comunicações, constitucionalmente garantido no artigo 34.º, n.º 1.

85.º No mesmo sentido concluiu o Tribunal Constitucional Federal alemão na já referida decisão de 2 de Março de 2010, a respeito da disposição da Lei Fundamental alemã que, em termos equivalentes ao artigo 34.º, n.º 1, da Constituição portuguesa, consagra o sigilo das comunicações.

86.º A questão que se põe é, uma vez mais, a de saber se tal agressão, que, só por si, é séria e grave, será constitucionalmente justificada, o que implica que se analise a medida à luz das exigências decorrentes do princípio da proporcionalidade (artigo 18.º, n.º 2).

87.º Nestes termos, serão também aqui aplicáveis as considerações feitas a propósito da desproporcionalidade da restrição do direito à reserva da intimidade da vida privada (supra, pontos 64-77).

88.º Isto é assim, desde logo, em virtude da dupla vertente do direito à autodeterminação comunicativa, considerando que entre os diferentes bens-jurídico constitucionais através deste direito protegidos se encontra a reserva da intimidade da vida privada (Ac. n.º 40312015, cit., p. 62).

89.º Mas também no que respeita à outra vertente do direito à autodeterminação comunicativa, centrada no domínio de actuação do indivíduo - liberdade para comunicar e liberdade para desenvolvimento das relações interpessoais - não deixam de valer as considerações anteriormente expendidas.

90.º Por muito elevado que seja o peso a atribuir à razão de interesse público que sustenta a medida de conservação de dados - uma maior eficácia na luta contra a criminalidade grave -, tal peso não justifica a intensidade do sacrifício imposto ao direito ao sigilo das comunicações: o indivíduo viver com a sensação de estar a ser permanentemente vigiado e, por causa disso, retrair-se e inibir-se na comunicação com as outras pessoas para não deixar rasto do exercício de liberdades que a Constituição tem como fundamentais.

91.º Pelo que deve entender-se que a imposição legal de conservação de dados, com a amplitude, duração e indiferenciação que decorrem dos artigos 4.º e 6.º, da Lei n.º 32/2008, de 17 de julho, ao aplicar a mesma disciplina jurídica a qualquer que seja a categoria de dados em causa e ao impor a conservação dos dados por um período indevidamente longo, constitui uma restrição desproporcionada do sigilo das telecomunicações, consagrado no artigo 34.º, n.º 1, da Constituição.

D. Da violação do direito a uma tutela jurisdicional efectiva (artigo 20.º, n.º 1)

92.º A Lei n.º 32/2008, de 17 de julho, não prevê que as autoridades nacionais competentes às quais é concedido o acesso aos dados conservados informem desse facto as pessoas em causa, no âmbito dos processos aplicáveis.

93.º Esse dever de comunicação ao interessado não está assegurado em nenhum outro lugar da ordem jurídica (não sendo nomeadamente previsto pelo Código de Processo Penal).

94.º Não se vê, porém, como pode vir a ser cumprido o princípio constitucional da tutela jurisdicional efectiva, constante do artigo 20.º da Constituição da República, sem a consagração legal deste dever de comunicação. O artigo 9.º da Lei n.º 32/2008 define o procedimento que deve ser seguido para que os dados conservados pelas operadoras possam ser transmitidos às autoridades competentes. Todavia, o facto de se não prever, em momento algum desse procedimento, a necessidade de informar o interessado (a pessoa a que se referem os dados que foram transmitidos) quanto à existência mesma do procedimento, faz com que tal existência se tome imperceptível aos olhos de quem por ela é afectado. Nestas circunstâncias, comprometidas ficam, não apenas a possibilidade de se vir a conhecer a informação que, a respeito de cada um, obteve a autoridade pública, mas ainda a faculdade de reacção e defesa contra eventuais acessos ilegítimos a essa mesma informação.

95.º Porque assim é, a circunstância de, nos termos do disposto no artigo 9.º, da Lei n.º 32/2008, de 17 de julho, o eventual acesso aos dados por parte das autoridades competentes ser precedido de autorização judicial por parte do juiz de instrução em nada altera os dados da questão; como em nada os altera a circunstância de a comunicação poder vir a comprometer as investigações levadas a cabo pelas autoridades competentes. Para que o procedimento previsto no artigo 9.º da Lei n.º 32/2008 se mostre inteiramente conforme com o disposto no artigo 20.º da CRP necessário é que a comunicação à pessoa afectada se faça, ainda que tal ocorra apenas a partir do momento em que a mesma [comunicação] não seja já susceptível de comprometer as investigações (supra, ponto 41).

96.º Neste contexto, configurar-se-á ainda admissível a decisão de não-comunicação, naqueles casos em que for manifesto que de qualquer informação prestada ao interessado - independentemente do momento em que ocorra - sempre resultará a frustração da investigação ou perigo para a vida ou integridade física de terceiros. Todavia, em tais circunstâncias, a conformidade do regime legal com as exigências constitucionais que vimos mencionando exigirá que a decisão de não-comunicação, além de fundamentada, seja judicialmente validada.

97.º Todavia, o regime instituído pela Lei n.º 32/2008 é todo ele silente quanto a este dever de comunicação, seja ele cumprido em que momento for e tenha ele as excepções que tiver.

98.º Tal confere, em nosso entender, um argumento adicional para a declaração de inconstitucionalidade do disposto nos artigos 4.º e 6.º da referida lei. A imposição legal de conservação de dados que nestes artigos se prevê, para além de infringir, pela sua amplitude, duração e indiferenciação, as normas constitucionais relativas à reserva de privacidade e ao sigilo das comunicações, não permite que o interessado tenha qualquer controlo sobre o destino dos dados que são conservados, assim se excluindo a possibilidade de defesa perante um eventual acesso ilegítimo. Nestes termos, também por este motivo será inconstitucional o regime decorrente dos artigos 4.º e 6.º da Lei n.º 32/2008.

99.º No entanto, constitui por si só uma violação do disposto no artigo 20.º, n.º 1, da Constituição da República o facto de o artigo 9.º da Lei n.º 32/2008 em momento algum prever a necessária comunicação aos interessados, sempre que os dados conservados sejam, nas condições aí definidas, transmitidos às autoridades competentes. A ausência, do conteúdo prescritivo deste artigo 9.º, de uma qualquer disciplina jurídica que garanta - quiçá através da previsão de um procedimento próprio - que as pessoas possam exercer o seu direito a uma tutela jurisdicional efectiva contra acessos ilegítimos por parte das autoridades aos dados conservados, toma, em nosso entender, todo o regime naquele artigo instituído contrário à ordem constitucional portuguesa.

Nestes termos, requer-se ao Tribunal Constitucional que aprecie e declare, com força obrigatória geral:

ii) A inconstitucionalidade, por violação do direito a uma tutela jurisdicional efectiva (artigo 20.º, n.º 1), do disposto no artigo 9.º da Lei n.º 32/2008, de 17 de julho».

3 - Notificado nos termos conjugados do artigo 54.º e do n.º 3 do artigo 55.º da Lei n.º 28/82, de 15 de novembro (Lei de Organização, Funcionamento e Processo no Tribunal Constitucional [LTC]), o Presidente da Assembleia da República ofereceu o merecimento dos autos. Ademais, remeteu uma nota técnica elaborada pelos serviços de apoio à Comissão de Assuntos Constitucionais, Direitos, Liberdades e Garantias, relativa aos trabalhos preparatórios que conduziram à aprovação da Lei n.º 32/2008, de 17 de julho, e dando conta da jurisprudência entretanto produzida sobre as normas fiscalizadas.

4 - Discutido o memorando elaborado pelo Presidente do Tribunal, nos termos e para os efeitos do disposto no n.º 1 do artigo 63.º da LTC, e fixada a orientação do Tribunal, cumpre agora decidir em conformidade com o que então se estabeleceu.

II - Fundamentação

5 - Assiste legitimidade à requerente para pedir a declaração de inconstitucionalidade de quaisquer normas, com força obrigatória geral, por força do disposto na alínea d) do n.º 2 do artigo 281.º da Constituição.

6 - A Lei n.º 32/2008, de 17 de julho, transpôs para a ordem jurídica interna a Diretiva n.º 2006/24/CE, do Parlamento Europeu e do Conselho, de 15 de março de 2006, relativa à conservação de dados gerados ou tratados no contexto da oferta de serviços de comunicações eletrónicas publicamente disponíveis ou de redes públicas de comunicações. Aquele ato legislativo regula a conservação e a transmissão dos dados de identificação, tráfego e de localização relativos a pessoas singulares e a pessoas coletivas, bem como dos dados conexos necessários para identificar o assinante ou o utilizador registado, para fins de investigação, deteção e repressão de crimes graves por parte das autoridades competentes.

A requerente solicita a fiscalização das normas contidas nos seus artigos 4.º, 6.º e 9.º

O artigo 4.º identifica as categorias de dados a armazenar pelos fornecedores de serviços de comunicações eletrónicas publicamente disponíveis ou de uma rede pública de comunicações; o artigo 6.º determina a obrigação da sua conservação pelo período de um ano, a contar da data da conclusão da comunicação; e o artigo 9.º estabelece as condições de transmissão de dados armazenados ao Ministério Público ou à autoridade de polícia criminal competente:

Artigo 4.º — Categorias de dados a conservar

1 - Os fornecedores de serviços de comunicações eletrónicas publicamente disponíveis ou de uma rede pública de comunicações devem conservar as seguintes categorias de dados:

2 - Para os efeitos do disposto na alínea a) do número anterior, os dados necessários para encontrar e identificar a fonte de uma comunicação são os seguintes:

ii) O nome e endereço do assinante ou do utilizador registado;

ii) O código de identificação do utilizador e o número de telefone atribuídos a qualquer comunicação que entre na rede telefónica pública;

iii) O nome e o endereço do assinante ou do utilizador registado, a quem o endereço do protocolo IP, o código de identificação de utilizador ou o número de telefone estavam atribuídos no momento da comunicação.

3 - Para os efeitos do disposto na alínea b) do n.º 1, os dados necessários para encontrar e identificar o destino de uma comunicação são os seguintes:

ii) O nome e o endereço do assinante, ou do utilizador registado;

ii) Os nomes e os endereços dos subscritores, ou dos utilizadores registados, e o código de identificação de utilizador do destinatário pretendido da comunicação.

4 - Para os efeitos do disposto na alínea c) do n.º 1, os dados necessários para identificar a data, a hora e a duração de uma comunicação são os seguintes:

ii) A data e a hora do início e do fim da ligação ao serviço de correio eletrónico através da Internet ou de comunicações através da Internet, com base em determinado fuso horário.

5 - Para os efeitos do disposto na alínea d) do n.º 1, os dados necessários para identificar o tipo de comunicação são os seguintes:

6 - Para os efeitos do disposto na alínea e) do n.º 1, os dados necessários para identificar o equipamento de telecomunicações dos utilizadores, ou o que se considera ser o seu equipamento, são os seguintes:

ii) A Identidade Internacional de Assinante Móvel (International Mobile Subscriber Identity, ou IMSI) de quem telefona;

iii) A Identidade Internacional do Equipamento Móvel (International Mobile Equipment Identity, ou IMEI) de quem telefona;

iv) A IMSI do destinatário do telefonema;

vi) No caso dos serviços pré-pagos de carácter anónimo, a data e a hora da ativação inicial do serviço e o identificador da célula a partir da qual o serviço foi ativado;

ii) A linha de assinante digital (digital subscriber line, ou DSL), ou qualquer outro identificador terminal do autor da comunicação.

7 - Para os efeitos do disposto na alínea f) do n.º 1, os dados necessários para identificar a localização do equipamento de comunicação móvel são os seguintes:

Artigo 6.º — Período de conservação

As entidades referidas no n.º 1 do artigo 4.º devem conservar os dados previstos no mesmo artigo pelo período de um ano a contar da data da conclusão da comunicação.

Artigo 9.º — Transmissão dos dados

1 - A transmissão dos dados referentes às categorias previstas no artigo 4.º só pode ser autorizada, por despacho fundamentado do juiz de instrução, se houver razões para crer que a diligência é indispensável para a descoberta da verdade ou que a prova seria, de outra forma, impossível ou muito difícil de obter no âmbito da investigação, deteção e repressão de crimes graves.

2 - A autorização prevista no número anterior só pode ser requerida pelo Ministério Público ou pela autoridade de polícia criminal competente.

3 - Só pode ser autorizada a transmissão de dados relativos:

4 - A decisão judicial de transmitir os dados deve respeitar os princípios da adequação, necessidade e proporcionalidade, designadamente no que se refere à definição das categorias de dados a transmitir e das autoridades competentes com acesso aos dados e à proteção do segredo profissional, nos termos legalmente previstos.

5 - O disposto nos números anteriores não prejudica a obtenção de dados sobre a localização celular necessários para afastar perigo para a vida ou de ofensa à integridade física grave, nos termos do artigo 252.º-A do Código de Processo Penal.

6 - As entidades referidas no n.º 1 do artigo 4.º devem elaborar registos da extração dos dados transmitidos às autoridades competentes e enviá-los trimestralmente à CNPD.

Na Lei n.º 32/2008, de 17 de julho, são identificáveis dois regimes jurídicos em torno dos dados identificados no artigo 4.º: um relativo à obrigação de conservação pelos fornecedores de serviços de comunicações eletrónicas ou de uma rede pública de comunicações, essencialmente contido nos artigos 4.º a 8.º; e outro atinente ao seu acesso pelas autoridades competentes para a investigação e repressão criminal, estatuído nos artigos 9.º a 11.º

A requerente solicita a fiscalização da constitucionalidade do regime jurídico da conservação dos dados (quanto ao seu âmbito e duração) e, bem assim, da norma que disciplina a transmissão dos dados às autoridades competentes para a investigação, deteção e repressão de crimes graves.

6.1 - No que tange ao regime de conservação dos dados, prevê-se uma obrigação, para os fornecedores de serviços de comunicações eletrónicas ou de uma rede pública de comunicações, de preservação dos dados elencados no artigo 4.º, relativos a quaisquer utilizadores e assinantes.

O n.º 1 do artigo 4.º prescreve a conservação de dados que permitam identificar o assinante ou utilizador, a fonte, o destino, data, hora, duração e o tipo de comunicação, bem como identificar o equipamento de telecomunicações e a sua localização. A obrigação abrange os dados relativos às subscrições e a todas as comunicações eletrónicas necessários para encontrar e identificar a fonte e o destino de uma comunicação [alíneas a) e b) do n.º 1 do artigo 4.º], para determinar a data, a hora, a duração e o tipo de comunicação [alíneas c) e d) do n.º 1 do artigo 4.º], para identificar o equipamento de telecomunicações dos utilizadores [alínea e) do n.º 1 do artigo 4.º] e para identificar a localização do equipamento de comunicação móvel [alínea f) do n.º 1 do artigo 4.º]. O que compreende os dados gerados ou tratados no âmbito de serviços telefónicos na rede fixa, de serviços telefónicos na rede móvel, de serviços de acesso à Internet, de serviços de correio eletrónico através da Internet e de serviços de comunicações telefónicas através da Internet.

A obrigação legalmente determinada para os fornecedores de serviços de comunicações eletrónicas é a de conservar tais dados por um período de um ano a contar da data da conclusão da comunicação (artigo 6.º), com a finalidade exclusiva de, se necessário, poderem ser utilizados para «investigação, deteção e repressão de crimes graves por parte das autoridades competentes» (n.º 1 do artigo 3.º). Em consequência, não se permite ao titular dos dados que se oponha à conservação (n.º 4 do artigo 3.º) e determina-se que os ficheiros destinados à conservação de dados estejam separados de quaisquer outros (n.º 3 do artigo 3.º). Não se prevê qualquer exceção para as comunicações que possam estar tuteladas por regimes legais de sigilo profissional; todavia, o legislador não ignorou a respetiva proteção, levando-a em consideração no momento em que é solicitada a sua transmissão às autoridades de investigação criminal (n.º 4 do artigo 9.º).

O legislador previu um dever de conservação com a mesma segurança e proteção que os dados na rede [alínea b) do n.º 1 do artigo 7.º da Lei n.º 32/2008, de 17 de julho] e disciplinou que a sua transmissão eletrónica às autoridades ocorresse «nos termos das condições técnicas e de segurança fixadas em portaria conjunta dos membros do Governo responsáveis pelas áreas da administração interna, da justiça e das comunicações, que devem observar um grau de codificação e proteção o mais elevado possível, de acordo com o estado da técnica ao momento da transmissão, incluindo métodos de codificação, encriptação ou outros adequados» (n.º 3 do artigo 7.º), subordinando o controlo dessas regras à Comissão Nacional de Proteção de Dados [CNPD], nos termos do n.º 5 do artigo 7.º Em conformidade, a Portaria n.º 469/2009, de 6 de maio, alterada pelas Portarias n.os 915/2009, de 18 de agosto, e 694/2010, de 16 de agosto, estabeleceu medidas relativas às condições técnicas e de segurança dos dados conservados. O ato regulamentar incide essencialmente sobre a segurança da transmissão dos dados às autoridades públicas, instituindo uma aplicação informática específica e prevendo regras para todo o procedimento de transmissão. Não versa, porém, sobre os requisitos de segurança da conservação de dados pelos operadores - aludindo-se apenas à obrigação de os sujeitar «à mesma segurança e proteção que os dados na rede» [alínea b) do n.º 1 do artigo 7.º da Lei n.º 32/2008, de 17 de julho].

Por outro lado, as disposições relativas à conservação de dados (essencialmente contidas no artigo 7.º da Lei n.º 32/2008, de 17 de julho) não impõem que o seu armazenamento ocorra em Portugal (ou em outro Estado-Membro da União Europeia).

Os dados referidos no artigo 4.º não abrangem o conteúdo das comunicações, dizendo respeito somente às suas circunstâncias - razão pela qual são usualmente designados por metadados (ou dados sobre dados) - cf. Acórdãos n.os 403/2015 e 420/2017:

«Numa concreta comunicação é possível separar do núcleo duro da informação fornecida ou transmitida um conjunto de marcos ou pontos de referência que lhe dão o respetivo suporte e que permitem circunscrever a informação sob todas as formas. Tais dados são 'informações' que acrescem aos dados e que têm como objetivo informar sobre eles, em princípio, para tornar mais fácil a sua organização. Sendo dados sobre dados ('informação sobre informação'), acabam por fornecer informação sobre a localização, tempo, tipo de conteúdo, origem e destino, entre outras, dos atos comunicacionais efetuados através de telecomunicações ou por outros meios de comunicação.

Como categoria que tem por fim um efeito jurídico é de usar a designação 'dados de tráfego' (...) porque no nosso ordenamento jurídico já há uma definição legal desse enunciado. Com efeito, o artigo 2.º, n.º 1, alínea d), da Lei n.º 41/2004, de 18 de agosto, sobre Segurança nas Telecomunicações, define 'dados de tráfego' como 'quaisquer dados tratados para efeitos do envio de uma comunicação através de uma rede de comunicações eletrónicas ou para efeitos da faturação da mesma'.

A este propósito, o Tribunal Constitucional acolheu, desde o Acórdão n.º 241/2002, de 29/05/2002, uma classificação tripartida (louvando-se, então, nos Pareceres do Conselho Consultivo da Procuradoria-Geral da República n.º 16/94, votado em 24/06/94, na base de dados da DGSI, n.º 16/94 - complementar, votado em 2/05/1996, in Pareceres, vol. VI, págs. 535 a 573, e n.º 21/2000, de 16/06/2000, no Diário da República - 2.ª série, de 28/08/2000) dos dados resultantes do serviço de telecomunicações. Ali se distinguiram: '(...) os dados relativos à conexão à rede, ditos dados de base; os dados funcionais necessários ao estabelecimento de uma ligação ou comunicação e os dados gerados pela utilização da rede (por exemplo, localização do utilizador, localização do destinatário, duração da utilização, data e hora, frequência), dados de tráfego; dados relativos ao conteúdo da comunicação ou da mensagem, dados de conteúdo'».

O conjunto de metadados elencado no artigo 4.º abrange dados de diferente natureza, categorizados na jurisprudência constitucional como dados de base e dados de tráfego. A distinção é relevante, pois a tutela constitucional não é modelada nos mesmos termos para as duas espécies.

Os dados de base referem-se à conexão à rede, independentemente de qualquer comunicação, permitindo a identificação do utilizador de certo equipamento - nome, morada, número de telefone (Acórdãos n.os 241/2002, 486/2009, 403/2015, 420/2017 e 464/2019); como se disse no Acórdão n.º 486/2009, reproduzindo os Pareceres n.os 16/94 e 21/2000 do Conselho Consultivo da PGR, «Os dados de base constituem, na perspetiva dos utilizadores, os elementos necessários ao acesso à rede, designadamente através da ligação individual e para utilização própria do respetivo serviço: interessa aqui essencialmente o número e os dados através dos quais o utilizador tem acesso ao serviço». Já os dados de tráfego são definidos como «os dados funcionais necessários ao estabelecimento de uma ligação ou comunicação e os dados gerados pela utilização da rede (por exemplo, localização do utilizador, localização do destinatário, duração da utilização, data e hora, frequência)» (Acórdão n.º 403/2015); «Constituem, pois, elementos já inerentes à própria comunicação, na medida em que permitem identificar, em tempo real ou a posteriori, os utilizadores, o relacionamento direto entre uns e outros através da rede, a localização, a frequência, a data, hora e a duração da comunicação, devem participar das garantias a que está submetida a utilização do serviço, especialmente tudo quanto respeite ao sigilo das comunicações» (Acórdão n.º 486/2009, reproduzindo os Pareceres n.os 16/94 e 21/2000 do Conselho Consultivo da PGR)

A norma abrange ambas as categorias de metadados: ao determinar a conservação de dados relativos a «nome do assinante ou do utilizador registado», «códigos de identificação atribuídos ao utilizador», «O código de identificação do utilizador e o número de telefone atribuídos a qualquer comunicação que entre na rede telefónica pública» e «nome e o endereço do assinante ou do utilizador registado, a quem o endereço do protocolo IP estava atribuído», alcançam-se os designados dados de base, que não pressupõem qualquer comunicação (abrangendo até uma fase prévia à comunicação), visando a identificação do utilizador do aparelho que se conexiona à rede. Por outro lado, ao estabelecer a conservação de dados gerados a propósito de uma certa comunicação (dados relativos à data, hora e duração de comunicações, protocolos IP estáticos e dinâmicos, hora e data de início [log in] e fim [log off] de ligação à internet), compreendem -se os dados de tráfego, aqueles que são produzidos pelo estabelecimento de uma certa comunicação ou sua tentativa.

Importa traçar dois sublinhados no que respeita à subsunção dos dados mencionados no artigo 4.º da Lei n.º 32/2008 na categorização seguida pelo Tribunal Constitucional (dados de base e dados de tráfego).

A primeira nota refere-se aos endereços de protocolo IP. Estes são habitualmente inseridos na categoria de dados de base, por não revelarem quaisquer circunstâncias da comunicação - mas apenas a identificação do computador que se conectou à rede. Todavia, se se contrapuser a identificação de um utilizador de um número de telefone com a do protocolo IP, subjazem diferenças importantes, que o Tribunal Constitucional Federal Alemão assinalou no Acórdão do 1. Senat, de 2 março de 2010 - 1 BvR 256/08; 1 BvR 263/08; 1 BvR 586/08, §259: os números de telefone são, em princípio, caracteres permanentes, pelo que a identificação do sujeito a que pertencem pode ser obtida independentemente de qualquer comunicação. Pelo contrário, os protocolos IP podem ser estáticos (identificando permanentemente um ponto de acesso à rede) ou dinâmicos (sendo atribuídos a certo computador apenas no momento em que se conexiona à rede e durante a sua ligação). Quer isto dizer que a identificação de um protocolo IP dinâmico envolve informação da sua utilização num determinado momento, revelando não apenas o utilizador como também o uso da Internet em certo contexto.

Neste quadro, a identificação do sujeito a que estava atribuído determinado protocolo IP dinâmico não permite, de forma tão clara, obedecer à divisão entre dados de base e dados de tráfego, pois certas circunstâncias da comunicação (a data e a hora) são inerentes à identificação do protocolo de IP dinâmico. Foi essa a razão pela qual o Tribunal Constitucional Federal Alemão, no Acórdão de 17 de julho de 2020 (1 BvR 1873/13 - 1 BvR 2618/13), entendeu que a identificação do titular de um protocolo IP dinâmico, ao pressupor uma consulta do tráfego para identificar o utilizador em dado momento, se enquadra nos dados de tráfego, eventualmente submetidos no âmbito do direito à inviolabilidade das comunicações (§§ 101 e 102 do Acórdão).

A segunda nota liga-se à natureza dos designados "dados de localização", definidos pela alínea c) do artigo 2.º da Diretiva 2002/58/CE como «quaisquer dados tratados numa rede de comunicações eletrónicas que indiquem a posição geográfica do equipamento terminal de um utilizador de um serviço de comunicações eletrónicas publicamente disponível». Reconduzindo aquele conceito às categorias de metadados reconhecidas pelo Tribunal Constitucional, a informação relativa à localização do equipamento pode enquadrar-se nos dados de base (quando identifica a posição geográfica do aparelho, independentemente de qualquer comunicação) ou nos dados de tráfego (quando esta identificação está associada a uma comunicação ou tentativa de comunicação - onde estava o sujeito A quando comunicou com o sujeito B). Sucede que a primeira espécie dos dados de localização (a que não pressupõe comunicações) é residual, como notou o Tribunal Constitucional no Acórdão n.º 464/2019: «segundo o parecer da CNPD n.º 38/2017, nos dias de hoje ocorrem comunicações mesmo quando o utilizador do equipamento de comunicação não o aciona direta e intencionalmente. É, por exemplo, o caso das atualizações efetuadas pelas aplicações de correio eletrónico ou outro tipo de mensagens, o que significa que a geração e troca de dados são praticamente constantes, mesmo quando os cidadãos utilizadores dos equipamentos nada fazem». Por essa razão, «tem-se considerado que os mesmos estão também incluídos no conceito mais amplo de "dados de tráfego"» (Acórdão n.º 403/2015), ideia que aqui se reafirma.

6.2 - No que respeita ao acesso aos dados pelas autoridades competentes para investigação, deteção e repressão criminal, exige-se a autorização do juiz de instrução, requerida pelo Ministério Público ou pela autoridade de polícia criminal competente, ficando subordinada à existência de «razões para crer que a obtenção desses dados é indispensável para a descoberta da verdade ou que a prova seria, de outra forma, impossível ou muito difícil de obter no âmbito da investigação, deteção e repressão de crimes graves» (n.os 1 e 2 do artigo 9.º da Lei n.º 32/2008, de 17 de julho).

Por outro lado, estabelece-se um catálogo taxativo de crimes cuja investigação ou repressão pode consentir o acesso: os «crimes graves» - «crimes de terrorismo, criminalidade violenta, criminalidade altamente organizada, sequestro, rapto e tomada de reféns, crimes contra a identidade cultural e integridade pessoal, contra a segurança do Estado, falsificação de moeda ou títulos equiparados a moeda e crimes abrangidos por convenção sobre segurança da navegação aérea ou marítima» [alínea g) do n.º 1 do artigo 2.º], sendo certo que os conceitos de «criminalidade violenta» e de «criminalidade altamente organizada» são densificados no artigo 1.º do Código de Processo Penal (CPP). Trata-se, assim, de um leque de infrações mais restrito do que aquele que admite a interceção e gravação de conversações ou comunicações telefónicas, determinada pelo juiz num processo penal em curso (cf. artigo 187.º do Código de Processo Penal). Ademais, circunscreve-se o universo subjetivo de potenciais visados ao suspeito ou arguido, à pessoa que sirva de intermediário (relativamente à qual haja fundadas razões para crer que recebe ou transmite mensagens destinadas ou provenientes de suspeito ou arguido) ou à vítima de crime, mediante o respetivo consentimento (n.º 3 do artigo 9.º).

O legislador incidiu ainda sobre as condições da transmissão dos dados às autoridades de investigação criminal, não apenas determinando a sua comunicação eletrónica (artigo 10.º) como estabelecendo a observância de condições técnicas e de segurança determinadas por ato regulamentar. Ora, na Portaria n.º 469/2009, de 6 de maio, alterada pelas Portarias n.os 915/2009, de 18 de agosto, e 694/2010, de 16 de agosto, previu-se (artigo 2.º) uma aplicação informática específica ("sistema de acesso ou pedido de dados às operadoras de comunicações" [SAPDOC]) através da qual «o processo de transmissão e acesso aos dados decorre, através de ligação segura, encriptada mediante nome de utilizador e palavra passe, através de obrigação de registo eletrónico dos pedidos de dados enviados, incluindo a indicação de quem procedeu ao envio e da data e hora em que o mesmo ocorreu, bem como dos acessos a ficheiros de resposta, igualmente com indicação de quem os efetuou e da data e hora de cada acesso» (DAVID SILVA RAMALHO e JOSÉ DUARTE COIMBRA, "A declaração de invalidade da Diretiva 2006/24/CE: presente e futuro da regulação sobre conservação de dados de tráfego para fins de investigação, deteção e repressão de crimes graves", O Direito, Ano 147, 2015, p. 1037). Ademais, cabe aos operadores de telecomunicações «elaborar registos da extração dos dados transmitidos às autoridades competentes e enviá-los trimestralmente à CNPD» (n.º 6 do artigo 9.º), comunicando assim à entidade responsável pela fiscalização quais os dados transmitidos às autoridades de investigação criminal.

Depois da transmissão dos dados, o legislador disciplinou a sua destruição, prevendo a sua determinação pelo juiz, oficiosamente ou a requerimento de qualquer interessado, logo que deixem de ser estritamente necessários para os fins a que se destinam - o que sucederá nos casos de arquivamento definitivo do processo penal; absolvição ou condenação transitadas em julgado; prescrição do procedimento penal; e amnistia (artigo 11.º).

Em suma, as normas fiscalizadas consagram um catálogo taxativo de infrações penais que podem dar lugar à transmissão de dados, condicionando-a ainda aos casos em que esta seja indispensável para a descoberta da verdade ou quando a prova seria, de outra forma, impossível ou muito difícil. O que significa que se circunscreveu decisivamente essa transmissão ao processo penal e apenas para investigação, deteção e investigação de certos crimes, regulando-se ainda as condições de segurança dessa transmissão e a destruição dos dados comunicados às autoridades públicas. Neste quadro, o legislador nacional combinou uma obrigação generalizada de os operadores de telecomunicações conservarem todos os dados de base, tráfego e localização (sem delimitar as categorias de dados ou os sujeitos afetados) com um regime vinculado quanto ao respetivo acesso pelas autoridades de investigação criminal.

7 - Não restam dúvidas que as normas fiscalizadas se colocam no domínio de aplicação do Direito da União Europeia e, por isso, estão abrangidas pela Carta dos Direitos Fundamentais da União Europeia (CDFUE). Vejamos.

A Carta dos Direitos Fundamentais da União Europeia (CDFUE) constitui um catálogo de direitos fundamentais que vincula, acima de tudo, a própria União Europeia (n.º 1 do artigo 6.º do Tratado da União Europeia [TUE]; n.º 1 do artigo 51.º da CDFUE). Garante, assim, que a convenção do exercício em comum, em cooperação ou pelas instituições da União, de poderes estaduais não implica uma redução da tutela dos cidadãos, porquanto a União Europeia está, ela própria, vinculada por um catálogo de direitos fundamentais redigido à imagem dos textos constitucionais nacionais.

Simplesmente, em virtude do princípio da administração indireta, não é - em regra - a União Europeia a executar e a aplicar os seus próprios atos, cabendo tal missão às autoridades nacionais (cf. artigo 291.º do Tratado sobre o Funcionamento da União Europeia [TFUE]). Por essa razão, a CDFUE vincula também os Estados-Membros quando estes apliquem direito da União Europeia (artigo 51.º CDFUE). Nessas circunstâncias - isto é, quando autoridades nacionais legiferam em aplicação direito da União Europeia - , ficam os Estados-Membros vinculados ao parâmetro europeu de proteção dos direitos fundamentais.

A jurisprudência do Tribunal de Justiça da União Europeia (TJUE) permite identificar três situações que correspondem ao pressuposto de aplicação da Carta aos Estados-Membros «quando apliquem o direito da União» (artigo 51.º CDFUE): a atuação dos Estados como agentes da União, efetivando as suas normas - designadamente, transpondo diretivas (i); a ação dos Estados em domínios em que as regras comunitárias conferem às autoridades nacionais margem de apreciação, v. g. admitindo derrogações às normas de fonte europeia (ii); atividade legiferante nacional em domínios que são já objeto de regulação comunitária (iii).

Nessa medida, as normas cuja declaração de inconstitucionalidade é pedida estão indiscutivelmente no âmbito de aplicação do direito da União Europeia e, assim, da CDFUE.

Desde logo, tais regras foram emanadas em transposição da Diretiva 2006/24/CE, do Parlamento Europeu e do Conselho, de 15 de março de 2006, relativa à conservação de dados gerados ou tratados no contexto da oferta de serviços de comunicações eletrónicas publicamente disponíveis ou de redes públicas de comunicações, ato jurídico que procurava uniformizar as medidas nacionais de conservação de dados sobre as comunicações e sua transmissão às autoridades com competências criminais - adotadas no uso da faculdade conferida pelo artigo 15.º da Diretiva 2002/58/CE.

Em segundo lugar, a Diretiva 2002/58/CE, do Parlamento Europeu e do Conselho, de 12 de julho de 2002, que disciplina o direito à privacidade no setor das telecomunicações, regula as condições em que podem os Estados-Membros adotar medidas de intrusão nos dados cuja confidencialidade é prescrita: quando «constituam uma medida necessária, adequada e proporcionada numa sociedade democrática para salvaguardar a segurança nacional (ou seja, a segurança do Estado), a defesa, a segurança pública, e a prevenção, a investigação, a deteção e a repressão de infrações penais ou a utilização não autorizada do sistema de comunicações eletrónicas» (artigo 15.º da Diretiva 2002/58/CE). Deste modo, concluiu o Tribunal de Justiça que as medidas nacionais de conservação de metadados relativos a comunicações eletrónicas se encontram sob o âmbito de aplicação do direito da União Europeia (Acórdão de 21 de dezembro de 2016, Tele 2, proc. C-203/15 e C-698/15, n.º 78), bem como as medidas de transmissão desses dados às autoridades públicas, para fins de investigação e repressão da criminalidade (Acórdão de 6 de outubro de 2020, La quadrature du net, procs. C-511/18, C-512/18 e C-520/18, n.º 58).

No fundo, tendo o TJUE declarado a invalidade da Diretiva 2006/24/CE (Acórdão de 8 de abril de 2014, Digital Rights Ireland, proc. C-293/12 e C-594/12) - que harmonizava as medidas de conservação de dados relativos a comunicações e sua transmissão às autoridades com competência criminal -, nem por isso se excluíram tais medidas do âmbito de aplicação do direito europeu. Simplesmente, não mais os Estados-Membros se encontram obrigados a adotar as providências que aquela impunha; embora as medidas nacionais que permitam ou visem uma intromissão nas comunicações eletrónicas fiquem sujeitas às obrigações decorrentes do disposto no artigo 15.º da Diretiva 2002/58/CE, só sendo conformes ao direito europeu quando «constituam uma medida necessária, adequada e proporcionada numa sociedade democrática para salvaguardar a segurança nacional (ou seja, a segurança do Estado), a defesa, a segurança pública, e a prevenção, a investigação, a deteção e a repressão de infrações penais ou a utilização não autorizada do sistema de comunicações eletrónicas"» (artigo 15.º da Diretiva 2002/58/CE). Tais normas traduzem «justamente uma concretização da exceção facultativa ao regime-regra da privacidade em matéria de comunicações eletrónicas admitida no artigo 15.º, n.º 1, da Diretiva n.º 2002/58», razão pela qual «nenhuma dúvida existe de que também as medidas nacionais que concedam o acesso aos dados previamente conservados se enquadram no âmbito de aplicação daquele preceito» (Acórdão do Tribunal Constitucional n.º 464/2019).