Acórdão do Tribunal Constitucional n.º 268/2022 — Declara a inconstitucionalidade, com força obrigatória geral, da norma constante do artigo 4.º da Lei n.º 32/2008, de…

Neste quadro, as medidas adotadas pelos Estados-Membros que estabeleçam tais intromissões - sejam elas adotadas em transposição da Diretiva 2006/24/CE, entretanto declarada inválida; ou, ao invés, ao abrigo das exceções à inviolabilidade das comunicações eletrónicas permitidas pelo artigo 15.º da Diretiva 2002/58/CE - situam-se no âmbito de aplicação do direito europeu. O que implica a conclusão de que o Estado está vinculado à norma do artigo 15.º da Diretiva 2002/58/CE e, igualmente, à CDFUE (cf. n.º 1 do artigo 51.º da CDFUE).

8 - Encontrando-se as normas fiscalizadas no âmbito de aplicação do direito da União Europeia, importa determinar a relevância desta ordem jurídica para o pedido de declaração de inconstitucionalidade dirigido a este Tribunal. Desde logo, importa saber de que modo é que a eventual incompatibilidade das normas fiscalizadas com a CDFUE ou com o artigo 15.º da Diretiva 2002/58/CE influi na apreciação da sua conformidade constitucional.

A Constituição determina expressamente que a aplicação do direito da União Europeia na ordem jurídica interna é feita «nos termos definidos pelo Direito da União» (cf. n.º 4 do artigo 8.º da Constituição). Em consequência, sob ressalva da parte final daquela disposição, é o direito da União Europeia que determina o seu modo de relacionamento com a ordem jurídica nacional - incluindo o direito constitucional.

8.1 - Neste quadro, pode perguntar-se se a eventual inconciliabilidade das normas fiscalizadas com regras europeias vinculativas (em concreto, os direitos consagrados nos artigos 7.º e 8.º da CDFUE; e as obrigações impostas ao Estado por força do artigo 15.º da Diretiva 2002/58/CE) gera, nos termos definidos pelo Direito da União, a invalidade das normas em crise. Cabendo a este Tribunal declarar a sua invalidade com fundamento na transgressão de regras e princípios de direito da União Europeia.

Assim não é. Conservando o direito da União Europeia autonomia face à ordem jurídica interna, a ordem jurídica nacional não é afetada, ao nível da validade, pelas normas europeias; nem a ordem jurídica europeia é, em princípio, afetada ao nível da sua validade - mesmo quando as suas normas são aplicadas ao nível interno - por contradizer as Constituições nacionais. O princípio da autonomia do direito da União Europeia concretiza-se na existência, ao nível europeu, de mecanismos próprios de interpretação, controlo e aplicação, repercutidos no sistema jurisdicional de apreciação da validade das suas normas.

Aliás, foi este princípio da autonomia do direito da União Europeia que o Tribunal Constitucional expressamente afirmou no Acórdão n.º 422/2020, ao determinar que não lhe cabe (sob ressalva da parte final do n.º 4 do artigo 8.º) aferir da conformidade constitucional de normas organicamente europeias. Como aí se concluiu, «Uma outra perspetiva menos exigente banalizaria a intervenção do Tribunal Constitucional, num quadro onde a mesma foi constitucionalmente configurada muito restritivamente, e - consequência não menos constitucionalmente indesejada - , em aberto desafio à aceitação da projeção do DUE na ordem interna nos termos pelo próprio definidos, criaria um mecanismo interno, de fácil ativação, onde a constante discussão deste, à margem e em aberto desafio aos seus próprios termos, originaria um sistema nacional espúrio, sem qualquer respaldo no quadro constitucional de interação entre as ordens jurídicas nacional e europeia». Por força do princípio da autonomia, só o Tribunal de Justiça é competente para apreciar a invalidade do direito europeu, por referência aos seus próprios parâmetros (cf. Acórdão do TJUE de 22 de outubro de 1987, Foto-Frost, proc. 314/85, n.º 15). Simetricamente, o direito interno, ainda que adotado em cumprimento de normas europeias, vê a sua validade apreciada apenas pelos tribunais nacionais, não tendo o Tribunal de Justiça poderes de cognição sobre atos de direito nacional (cf. artigo 263.º do TFUE). Assim, porque as normas fiscalizadas são organicamente nacionais - adotadas pela Assembleia da República - dúvidas não restam de que há plena jurisdição do Tribunal Constitucional para as apreciar.

Ora, uma das vertentes do princípio da autonomia é justamente a circunstância de, nas relações entre o direito europeu e o direito nacional, se ter renunciado «ao paradigma da pirâmide», pelo que o conflito normativo não provoca a nulidade ou revogação das normas nacionais, antes «apontando para o paradigma da rede, onde nenhum ponto é privilegiado em relação a outro, e nenhum está inequivocamente subordinado a outro» (NUNO PIÇARRA, "A justiça constitucional da União Europeia", Estudos jurídicos e económicos em homenagem ao Prof. Doutor António de Sousa Franco, vol. III, 2006, p. 479). Deste modo, a antinomia entre normas nacionais e europeias simultaneamente aplicáveis a dado caso concreto é solucionada ao nível da eficácia: são desaplicadas no caso concreto as regras nacionais que contradigam normas europeias simultaneamente mobilizáveis, sem que aquelas percam a sua validade. É este o sentido do princípio do primado ou da prevalência na aplicação do direito da União Europeia, que configura, assim, uma «uma regra de colisão reconduzível à aplicação preferente do direito europeu (pre-emption, Vorrangsanwendung) e não como uma estrita regra de supremacia normativa eventualmente conducente à invalidade do direito interno» (GOMES CANOTILHO e VITAL MOREIRA, Constituição da República Portuguesa Anotada, vol. I, 4.ª Edição, 2007, p. 266).

É por isso que, na terminologia do Tribunal Constitucional Espanhol, o direito da União Europeia goza de primazia mas não de supremacia: trata-se de preferência aplicativa e não de qualquer causa de invalidade ou inexistência de direito nacional (cf. Tribunal Constitucional Espanhol na Declaração n.º 1/2004, de 13 de dezembro de 2004):

"La proclamación de la primacía del Derecho de la Unión por el art. I-6 del Tratado no contradice la supremacía de la Constitución. Primacía y supremacía son categorías que se desenvuelven en órdenes diferenciados. Aquélla, en el de la aplicación de normas válidas; ésta, en el de los procedimientos de normación. La supremacía se sustenta en el carácter jerárquico superior de una norma y, por ello, es fuente de validez de las que le están infraordenadas, con la consecuencia, pues, de la invalidez de éstas si contravienen lo dispuesto imperativamente en aquélla. La primacía, en cambio, no se sustenta necesariamente en la jerarquía, sino en la distinción entre ámbitos de aplicación de diferentes normas, en principio válidas, de las cuales, sin embargo, una o unas de ellas tienen capacidad de desplazar a otras en virtud de su aplicación preferente o prevalente debida a diferentes razones. Toda supremacía implica, en principio, primacía (de ahí su utilización en ocasiones equivalente, así en nuestra Declaración 1/1992, FJ 1), salvo que la misma norma suprema haya previsto, en algún ámbito, su propio desplazamiento o inaplicación. La supremacía de la Constitución es, pues, compatible con regímenes de aplicación que otorguen preferencia aplicativa a normas de otro Ordenamiento diferente del nacional siempre que la propia Constitución lo haya así dispuesto, que es lo que ocurre exactamente con la previsión contenida en su art. 93, mediante el cual es posible la cesión de competencias derivadas de la Constitución a favor de una institución internacional así habilitada constitucionalmente para la disposición normativa de materias hasta entonces reservadas a los poderes internos constituidos y para su aplicación a éstos".

Neste quadro, se «nos termos definidos pelo direito da União Europeia» (n.º 4 do artigo 8.º da Constituição) a antinomia entre normas nacionais e europeias não provoca a invalidade das primeiras (determinando-se, ao invés, a sua desaplicação ao caso), o direito da União Europeia terá necessariamente um efeito distinto para o Tribunal Constitucional, a quem compete atestar a conformidade de normas com a Constituição.

Os tribunais ordinários, perante normas nacionais e europeias simultaneamente mobilizáveis que se revelem incompatíveis, fazem atuar o princípio do primado do direito da União Europeia, desaplicando a norma nacional no caso concreto (salvo se tal puser em causa os princípios fundamentais do Estado de Direito Democrático, nos termos do n.º 4 do artigo 8.º da Constituição). É neste sentido que se diz que o destinatário do princípio do primado é o juiz nacional, porquanto é a ele que cabe a desaplicação da norma nacional em favor da regra europeia. Sendo certo que a desaplicação da norma nacional como efeito do princípio do primado é proclamada pelo Tribunal de Justiça desde os arestos que desvelaram aquele cânone (cf. Acórdão de 15.07.1964, Costa c. ENEL, proc. 6/64; Acórdão do TJ de 9.3.1978, Simmenthal, proc. 106/77, n.º 17) e se mantém em jurisprudência constante (Acórdão de 5.10.2010, Elchinov, proc. C-173/09, n.º 31: «o juiz nacional encarregado de aplicar, no âmbito da sua competência, as disposições do direito da União tem a obrigação de garantir a plena eficácia dessas disposições, não aplicando, se necessário e pela sua própria autoridade, qualquer disposição contrária da legislação nacional»; Acórdão de 19.11.2009, Krzysztof Filipiak, proc. C-314-08, n.º 83 - «o Tribunal de Justiça já declarou que a incompatibilidade com o direito comunitário de uma norma de direito nacional posterior não acarreta a inexistência dessa norma. Face a tal situação, o órgão jurisdicional nacional é obrigado a não aplicar essa norma», gerando um «efeito de exclusão exercido por uma norma de direito da União diretamente aplicável em face do direito nacional a ela contrário» - Acórdão de 8.09.2010, Winner Wetten GmbH, proc. C-409/06, n.º 67).

No fundo, tendo o direito europeu chamado a si o problema do seu relacionamento com as ordens jurídicas nacionais - o que a Constituição recebe no n.º 4 do artigo 8.º - o princípio do primado do direito da União Europeia atua no domínio por si próprio delimitado: a incompatibilidade de normas europeias e nacionais simultaneamente mobilizáveis ao caso concreto. Pelo que a competência para desaplicar, nos casos concertos, normas nacionais contrárias a regras europeias pertence aos tribunais ordinários, estabelecendo-se uma relação direta entre aqueles e o Tribunal de Justiça em sede de reenvio prejudicial.

Em consequência, a eventual contrariedade das normas ora em crise com regras de direito da União Europeia que possam ser invocáveis no plano interno terá como resposta do sistema judicial nacional a desaplicação das normas internas - sem que estas sejam expurgadas do ordenamento jurídico ou que se gere, por esse efeito, a sua invalidade. Foi justamente o que decidiu a Comissão Nacional de Proteção de Dados (CNPD): considerando, na sua deliberação n.º 641/2017, de 9 de maio de 2017, que o regime contido na Lei n.º 32/2008 contraria o Direito da União Europeia - por transgressão desproporcionada dos artigos 7.º e 8.º da CDFUE -, deliberou desaplicar a Lei n.º 32/2008, com fundamento no primado do direito da União Europeia (Deliberação n.º 1008/2017, de 18 de julho de 2017).

Não é esse o problema que se põe ao Tribunal Constitucional nos presentes autos. O Tribunal Constitucional é chamado a apreciar a validade de normas jurídicas nacionais e não a resolver um problema aplicativo ao caso concreto de normas conflituantes de ordens jurídicas autónomas; nem é chamado, como sucedeu no caso que deu origem ao Acórdão n.º 422/2020, a pronunciar-se sobre a conformidade constitucional de normas organicamente europeias. Nessa medida, o papel do direito da União Europeia nos presentes autos será necessariamente outro, sendo certo que é à ordem jurídica comunitária que cabe definir a sua missão, nos termos reconhecidos pelo n.º 4 do artigo 8.º da Constituição.

É por estas razões que o Tribunal Constitucional desde cedo excluiu a possibilidade de incluir as normas de direito europeu nos parâmetros de inconstitucionalidade. Esclareceu-se não só que «é de rejeitar a "qualificação da incompatibilidade do direito interno com o direito comunitário como uma situação de 'inconstitucionalidade' que ao Tribunal Constitucional caiba apreciar"» (Acórdão n.os 621/98) como que «a ordem jurídica comunitária, globalmente recebida pelo direito português, por via de uma cláusula do próprio texto constitucional - n.º 2 do artigo 8.º - compreende uma instância jurisdicional precipuamente vocacionada para a tutela de direito comunitário, que não funciona apenas no plano das relações interestaduais ou intergovernamentais, concentrando nessa instância a competência para velar pela aplicação uniforme e pela prevalência das respectivas normas, o que tornaria incongruente que, para o mesmo efeito, se fizesse intervir, no plano interno, uma outra instância do mesmo ou semelhante tipo, como seria o Tribunal Constitucional» (Acórdão n.º 93/2001).

Percebe-se que assim seja. Tal solução é a única que assegura a uniformidade de aplicação da ordem jurídica europeia e que conduz à harmonização da competência do Tribunal Constitucional com a do Tribunal de Justiça, salvaguardando a autonomia do direito da União Europeia e a primazia na aplicação ao caso concreto (com eventual intervenção do TJUE em sede de reenvio prejudicial) sem que se impute a tal circunstância uma transgressão da Constituição. Na verdade, não só a própria natureza do princípio do primado se dirige a dirimir conflitos aplicativos ao nível da eficácia - como o Tribunal de Justiça repetidamente tem afirmado - como a recondução de uma contrariedade a normas europeias a uma questão de constitucionalidade poria em causa a uniformidade de aplicação do direito europeu, já que a desaplicação das normas nacionais contrárias a regras europeias ficaria dependente do sistema de controlo de constitucionalidade vigente nesse Estado-Membro.

Deste modo, a incompatibilidade de certa norma nacional com o direito da União Europeia não implica, de forma automática, um juízo de inconstitucionalidade; provoca, ao invés, uma afetação da sua eficácia no plano interno, na medida em que contradiga regras europeias simultaneamente mobilizáveis. E, nos termos como o direito da União Europeia o define, este efeito dá-se independentemente da fonte das normas conflituantes: quer a norma europeia conste de direito originário (como a CDFUE, nos termos do artigo 6.º do TUE) ou derivado (como uma diretiva ou um Regulamento); quer a norma nacional conste de ato regulamentar, de ato legislativo ou mesmo da Constituição.

Pelo que a demonstração da contradição das normas em crise com o direito da União Europeia não permite inferir uma conclusão pela respetiva inconstitucionalidade. O juízo de inconstitucionalidade - e, assim, da invalidade da norma nacional - depende da desconformidade das normas fiscalizadas com o seu parâmetro hierarquicamente superior - maxime, a Constituição.

8.2 - Importa, pois, dilucidar a relevância do direito europeu para o pedido formulado - cabendo ao próprio direito da União Europeia estabelecê-lo, como determina o n.º 4 do artigo 8.º da Constituição. Ora, o direito da União Europeia, em decorrência do princípio da cooperação leal (cf. n.º 3 do artigo 4.º do TUE), consagra uma imposição aos Estados-Membros de garantir o efeito útil das normas europeias; e é de entre as suas várias refrações que se encontra o princípio da interpretação conforme ao Direito da União Europeia.

O princípio da interpretação conforme - nascido na década de 70 do século xx a propósito da obrigação de os tribunais nacionais alcançarem, através da interpretação do direito nacional, o efeito útil de diretivas insuscetíveis de produzir efeito direto (cf., entre muitos outros, Acórdãos do TJUE Mazzalai, de 20.05.1976, proc. 111/75, e Von Colson, de 10.04.1984, proc. 14/83; Marleasing, de 13.11.1990, proc. 106/89) - foi sendo reconduzido a um cânone geral de interpretação do direito nacional (de todo o direito nacional) de modo a atingir a plena eficácia do direito da União Europeia. Determina tal princípio que os tribunais nacionais, ao aplicar o direito interno, são obrigados a interpretá-lo, na medida do possível, à luz do direito europeu: «Esta obrigação de interpretação conforme do direito nacional é inerente ao sistema do Tratado FUE, na medida em que permite aos órgãos jurisdicionais nacionais assegurar, no âmbito das suas competências, a plena eficácia do direito da União quando decidem dos litígios que lhes são submetidos» (Acórdão do TJUE de 24.01.2012, Maribel Dominguez, proc. C-282/10).

Assim, os tribunais dos Estados-Membros, na fixação do sentido das normas de direito nacional, estão vinculados ao efeito útil do direito europeu e devem, dentro da margem permitida pelas regras interpretativas internas, escolher a exegese que melhor se acomode às normas europeias. No fundo, no seio da obrigação de as autoridades nacionais tomarem as medidas que garantam a efetividade do direito da União, «uma dessas medidas consiste precisamente na obrigação de os tribunais, e as restantes autoridades nacionais, interpretarem a lei nacional em conformidade com o direito da União» (cf. SOFIA OLIVEIRA PAIS, "Princípio da interpretação conforme", Princípios Fundamentais de Direito da União Europeia, 3.ª Edição, Almedina, 2016, p. 96). Trata-se, pois, de uma garantia de eficácia do direito europeu plenamente recebida pelo disposto no n.º 4 do artigo 8.º da Constituição.

Ora, pedindo-se ao Tribunal Constitucional a fiscalização de normas organicamente nacionais por referência ao seu parâmetro hierárquico de validade, é na interpretação da Constituição que intervém o Direito da União Europeia (incluindo a Carta dos Direitos Fundamentais da União Europeia [CDFUE]). Vejamos.

No quadro da proteção dos direitos fundamentais, verifica-se uma congruência tendencial entre a ordem jurídica europeia e a ordem jurídica nacional. O que se compreende, atendendo à rede de proteção constitucional gerada pela comunicação constante entre as ordens jurídicas nacional e europeia. O ordenamento jus-europeu alimenta-se dos catálogos nacionais, uma vez que o Tratado recebe, «enquanto princípios gerais, os direitos fundamentais tal como os garante a Convenção Europeia para a Proteção dos Direitos do Homem e das Liberdades Fundamentais e tal como resultam das tradições constitucionais comuns aos Estados-Membros» (n.º 3 do artigo 6.º do TUE) e a União Europeia está vinculada, ela própria, à CDFUE, que contém um catálogo de direitos fundamentais redigido à imagem das constituições nacionais. É esta, segundo FREITAS DO AMARAL e NUNO PIÇARRA, a «contrapartida do princípio do primado: a garantia de congruência material entre a ordem jurídica da União Europeia as ordens jurídicas nacionais quanto aos princípios constitucionais fundamentais» ("O Tratado de Lisboa e o princípio do primado do direito da União Europeia: uma «evolução na continuidade»", Revista de Direito Público, n.º 1, 2009). O que decorre, de forma muito clara, da absorção para o acervo comunitário das «tradições constitucionais comuns aos Estados membros» em matéria de direitos fundamentais enquanto padrão de interpretação da própria Carta (n.º 4 do artigo 52.º CDFUE).

Simplesmente, a articulação multinível não ocorre apenas nesta direção. Na verdade, nos termos definidos pelo direito da União Europeia, a interpretação do direito nacional (em qualquer das suas fontes) tem em conta o direito europeu: «Cabe ao tribunal nacional dar à lei interna, em toda a medida em que uma margem de apreciação lhe seja concedida pelo respectivo direito interno, uma interpretação e uma aplicação em conformidade com as exigências do direito comunitário» (Acórdão do TJUE de 4 de fevereiro de 1988, Murphy, proc. 157/86). É o que sucede no domínio de direitos fundamentais que estejam simultaneamente previstos na Constituição e na CDFUE, sobretudo quando nesta última se preveja um nível de proteção mais elevado (cf. artigo 53.º da CDFUE). Operando-se uma ponderação das fontes internacionais de direitos fundamentais no momento da aplicação das normas e princípios constitucionais internos.

Daqui decorre que, quando o Estado atua no domínio de aplicação do direito da União Europeia (n.º 1 do artigo 51.º da CDFUE), o sentido a dar aos direitos fundamentais que parametrizam a validade das normas internas deve privilegiar uma consonância com as normas europeias a que o Estado se encontra vinculado, estabelecendo-se uma relação interativa, mais do que hierárquica. E, caso ocorram conflitos entre os parâmetros, a solução será procurada "by seeking to interpret the Constitution according to Community law" (RUI MOURA RAMOS, "The adaptation of the Portuguese Constitutional Order to Community Law", Boletim da Faculdade de Direito, vol. 76, 2000, p. 8).

Bem se compreende que assim seja. No quadro da rede comunicante de proteção dos direitos fundamentais, a uniformidade de aplicação do direito da União pelos Estados-Membros estaria em causa se os parâmetros fossem díspares, fixando um nível de proteção inferior àquele que é garantido pela CDFUE (Acórdãos do TJUE de 26 de fevereiro de 2013, Melloni, C-399/11, n.º 60 e Âkerberg Fransson, C-617/10, n.º 29). Por esta razão, «A congruência constitucional implica que, no respeito pelos princípios hermenêuticos pertinentes, se procure sempre obter uma interpretação das normas nacionais que seja conforme com o direito da UE» (MIGUEL GORJÃO-HENRIQUES, "Compreensões e pré-compreensões sobre o primado na aplicação do direito da União: breves notas jurídico-constitucionais relativamente ao Tratado de Lisboa", Estudos em Homenagem ao Prof. Doutor José Joaquim Gomes Canotilho, vol. III, 2012, p. 369).

A atuação do princípio de interpretação conforme alastra às condições de restrição dos direitos fundamentais: o juízo de proporcionalidade na limitação dos direitos fundamentais assegurados pela CDFUE não se desliga daquele que é operado pelo Tribunal de Justiça. No fundo, ainda que o parâmetro de validade das normas de direito interno seja encontrado na Constituição, a reflexão constitucional deixa de ter como horizonte exclusivo de referência o quadro nacional, pelo que a multiplicidade de fontes de proteção dos direitos fundamentais - associada à diversidade de instâncias jurisdicionais de tutela, inseridas em ordenamentos jurídicos distintos e entre os quais não existe uma relação de hierarquia - implica uma concordância prática entre os parâmetros convocados. Que é assegurada, justamente, pelo cânone da interpretação conforme. Aliás, a articulação do texto constitucional com os parâmetros europeus é exercida pelo próprio legislador constituinte, que vai moldando o conteúdo dos preceitos da Lei Fundamental aos padrões de proteção comunitários - o que é especialmente claro nas sucessivas revisões do artigo 35.º da Constituição, relativo à utilização da informática.

Por estas razões, situando-se as normas fiscalizadas no domínio de aplicação do direito da União Europeia, a interpretação dos parâmetros constitucionais a que as regras em crise se submetem tem em conta o sentido das normas europeias, procurando-se estabelecer a interpretação mais próxima do direito europeu. É, aliás, o que a requerente sustenta nos artigos 42.º a 45.º do pedido, solicitando ao Tribunal Constitucional que interprete os parâmetros da Constituição portuguesa à luz da Carta. E foi justamente o que o Tribunal Constitucional concluiu no Acórdão n.º 464/2019: «por força das normas do artigo 8.º da Constituição que estabelecem a relevância do Direito Internacional e do Direito da União na ordem jurídica interna e, também, da cláusula aberta no domínio dos direitos fundamentais consagrada no artigo 16.º da Constituição, este Tribunal não pode deixar de considerar os direitos fundamentais consagrados na CDFUE e na referida Convenção, devendo igualmente ter em conta, numa perspetiva de diálogo interjurisdicional, a interpretação que dos mesmos tem vindo a ser feita pelas instâncias competentes para a sua aplicação, nomeadamente o Tribunal de Justiça da União Europeia ("TJUE") e o Tribunal Europeu dos Direitos Humanos ("TEDH")».

9 - Definidos os termos de influência do direito da União Europeia para o presente pedido, importa agora determinar o conteúdo das normas comunitárias nesta matéria. Sendo certo que a fixação do respetivo sentido (incluindo as disposições da CDFUE, enquanto integrante do direito da União Europeia nos termos do artigo 6.º do TUE), cabe ao Tribunal de Justiça da União Europeia (artigo 267.º do TFUE), pelo que a respetiva jurisprudência é o ponto axial da densificação dos seus conceitos.

No que respeita à CDFUE, assumem relevância, desde logo, as normas contidas nos artigos 7.º e 8.º da Carta, relativos, respetivamente, ao respeito da vida privada e familiar e à proteção de dados pessoais:

Artigo 7.º — Respeito pela vida privada e familiar

Todas as pessoas têm direito ao respeito pela sua vida privada e familiar, pelo seu domicílio e pelas suas comunicações.

Artigo 8.º — Proteção de dados pessoais

1 - Todas as pessoas têm direito à proteção dos dados de carácter pessoal que lhes digam respeito.

2 - Esses dados devem ser objeto de um tratamento leal, para fins específicos e com o consentimento da pessoa interessada ou com outro fundamento legítimo previsto por lei. Todas as pessoas têm o direito de aceder aos dados coligidos que lhes digam respeito e de obter a respetiva retificação.

3 - O cumprimento destas regras fica sujeito a fiscalização por parte de uma autoridade independente.

De acordo com o Tribunal de Justiça, as medidas de conservação de dados de tráfego e de localização pelos fornecedores de serviços de comunicações eletrónicas são abrangidas por ambas as disposições, na medida em que possam ser ligados à identificação de uma pessoa. Não só porque os direitos estão indissociavelmente ligados (Acórdão de 9 de novembro de 2010, Volker, procs. C-92/09 e C-93/09, n.º 47), como também porque a «conservação dos dados está abrangida pelo âmbito de aplicação do artigo 8.º desta, uma vez que constitui um tratamento de dados pessoais na aceção deste artigo e deve, assim, necessariamente, respeitar as exigências de proteção de dados resultantes deste artigo» - Acórdão Digital Rights Ireland, cit., n.º 29.

Com efeito, o artigo 7.º da CDFUE, relativo ao respeito pela vida privada e familiar, ao domicílio e às comunicações, é decalcado no disposto no artigo 8.º da CEDH, devendo ser interpretado com o mesmo sentido e alcance (n.º 3 do artigo 52.º da CDFUE). O que implica que o regime das suas restrições seja idêntico, como concluiu o Tribunal de Justiça no Acórdão de 15 de novembro de 2011, Dereci, proc. C-256/11, n.º 70: «o artigo 7.º da Carta dos Direitos Fundamentais da União Europeia (a seguir «Carta»), relativo ao direito ao respeito da vida privada e familiar, consagra direitos correspondentes aos que são garantidos pelo artigo 8.º, n.º 1, da CEDH e que se deve, portanto, dar ao artigo 7.º da Carta o mesmo sentido e o mesmo alcance que o sentido e o alcance dados ao artigo 8.º, n.º 1, da CEDH, conforme interpretado pela jurisprudência do Tribunal Europeu dos Direitos do Homem». Neste quadro, mobilizou-se, para densificação do artigo 7.º da CDFUE, o regime do n.º 2 do artigo 8.º da CEDH: «Não pode haver ingerência da autoridade pública no exercício deste direito senão quando esta ingerência estiver prevista na lei e constituir uma providência que, numa sociedade democrática, seja necessária para a segurança nacional, para a segurança pública, para o bem-estar económico do país, a defesa da ordem e a prevenção das infrações penais, a proteção da saúde ou da moral, ou a proteção dos direitos e das liberdades de terceiros». Simplesmente, diferentemente do que sucede na CEDH, a Carta autonomizou o direito à proteção de dados pessoais (no artigo 8.º da CDFUE), sem deixar de reconhecer uma relação indissociável entre ambos (Acórdão Volker, cit., n.º 47).

Com estes parâmetros, o sentido dos direitos fundamentais consagrados na Carta foi densificado pelo Juiz comunitário, quer a propósito da confrontação dos atos adotados pela União Europeia com aqueles parâmetros quer, por outro lado, pela análise da sua conciliabilidade com os regimes nacionais adotados em aplicação do direito da União Europeia. E no seu âmbito de proteção abrangeram-se não apenas os dados de identificação de uma pessoa como aqueles que permitam chegar a essa identificação (como número de telefone, os endereços de correio eletrónico e de IP do computador).

9.1 - Desde logo, tendo o legislador comunitário disciplinado diretamente a matéria da conservação de dados no quadro das comunicações eletrónicas, o TJUE teve oportunidade de se pronunciar sobre a validade daqueles atos europeus, por confrontação direta com a CDFUE.

A Diretiva 2002/58/CE, do Parlamento Europeu e do Conselho, de 12 de julho de 2002, relativa ao tratamento de dados pessoais e à proteção da privacidade no sector das comunicações eletrónicas, positiva um direito à confidencialidade, um direito à anonimização ou eliminação dos dados de tráfego e a proteção dos dados de localização (artigos 5.º, 6.º e 9.º). Todavia, aí se previu a viabilidade e as condições de admissibilidade de os Estados-Membros derrogarem aquele nível de proteção: «Os Estados-Membros podem adotar medidas legislativas para restringir o âmbito dos direitos e obrigações previstos nos artigos 5.º e 6.º, nos n.os 1 a 4 do artigo 8.º e no artigo 9.º da presente diretiva sempre que essas restrições constituam uma medida necessária, adequada e proporcionada numa sociedade democrática para salvaguardar a segurança nacional (ou seja, a segurança do Estado), a defesa, a segurança pública, e a prevenção, a investigação, a deteção e a repressão de infrações penais ou a utilização não autorizada do sistema de comunicações eletrónicas, tal como referido no n.º 1 do artigo 13.º da Diretiva 95/46/CE. Para o efeito, os Estados-Membros podem designadamente adotar medidas legislativas prevendo que os dados sejam conservados durante um período limitado, pelas razões enunciadas no presente número» (artigo 15.º). Ora, em 2006 - invocando a disparidade das medidas derrogatórias aprovadas pelos Estados-Membros no uso da faculdade prevista pelo artigo 15.º da Diretiva n.º 2002/58/CE - foi aprovada a Diretiva n.º 2006/24/CE, do Parlamento Europeu e do Conselho, de 15 de março de 2006 (cf. Considerando n.º 6).

A abordagem do legislador europeu de 2006 aparta-se da que havia sido seguida na Diretiva 2002/58/CE: em vez de permitir aos Estados-Membros restringir os direitos inerentes à privacidade das comunicações eletrónicas, impôs aos Estados a obrigação de operar tal restrição (artigo 3.º da Diretiva n.º 2006/24/CE), estabelecendo o dever de conservação de certas categorias de dados (excluindo o conteúdo das comunicações [artigo 5.º], por «períodos não inferiores a seis meses e não superiores a dois anos, no máximo, a contar da data da comunicação» [artigo 6.º]) e determinando que o acesso aos dados pelas autoridades nacionais competentes só deveria ocorrer para efeitos de investigação, deteção e repressão de crimes graves (n.º 1 do artigo 1.º), «de acordo com os requisitos da necessidade e da proporcionalidade devem ser definidos por cada Estado-Membro no respetivo direito nacional, sob reserva das disposições pertinentes do Direito da União Europeia ou do Direito Internacional Público, nomeadamente a CEDH na interpretação que lhe é dada pelo Tribunal Europeu dos Direitos do Homem» (artigo 4.º). Em conformidade, aditou-se um novo número (1-A) ao artigo 15.º da Diretiva n.º 2002/58/CE, nos termos do qual os dados cuja conservação fosse expressamente determinada pela Diretiva n.º 2006/24/CE ficariam subtraídos ao disposto no n.º 1 do artigo 15.º da Diretiva n.º 2002/58/CE.

Ora, chamado a pronunciar-se prejudicialmente, o TJUE concluiu pela invalidade das normas da diretiva de 2006, por implicarem uma restrição desproporcionada aos direitos ao respeito pela vida privada e familiar e à proteção de dados pessoais, consagrados, respetivamente, nos artigos 7.º e 8.º da CDFUE e por estabelecerem de forma indeterminada o leque de crimes cuja investigação ou repressão pode admitir o acesso aos dados conservados (Acórdão Digital Rights Ireland, cit., n.os 26 a 29; e 41 a 43). Sendo o direito derivado da União Europeia parametrizado pelo respetivo direito primário - e que a CDFUE assume justamente esse valor (cf. n.º 1 do artigo 6.º do TUE) -, concluiu o Juiz europeu não estarem preenchidos os pressupostos da sua restrição (n.º 1 do artigo 52.º da CDFUE).

O TJUE considerou violado o princípio da proporcionalidade. Por um lado, face ao excessivo âmbito de aplicação da medida de conservação dos dados, quer quanto ao universo objetivo (ao englobar todos os meios de comunicação eletrónica), quer subjetivo (ao abranger todas as pessoas, todos os meios de comunicação eletrónica e todos os dados de tráfego sem criar qualquer diferenciação, limitação ou exceção em função do objetivo ou do risco e sem exigir qualquer relação entre a conservação dos dados e uma ameaça para a segurança pública) - n.os 56 ss do Acórdão Digital Rights. Por outro lado, pela inexistência de critérios ou requisitos de acesso das autoridades nacionais aos dados conservados - designadamente, controlo jurisdicional prévio -, limitando-se a remeter para as infrações graves tal como definidas no direito nacional de cada Estado-Membro (n.º 60). Em terceiro lugar, pelo facto de a duração de conservação de dados se situar «entre um mínimo de seis meses e um máximo de vinte e quatro meses, sem que se especifique que a determinação do período de conservação se deve basear em critérios objetivos a fim de garantir que se limita ao estritamente necessário» (n.º 64). Por fim, por não se estabelecerem garantias de proteção eficaz contra os riscos de abuso e contra qualquer acesso e sua utilização ilícita ou sequer que os dados fiquem conservados no território da União, de modo a assegurar que a fiscalização da segurança do armazenamento e transmissão dos dados se faça com base no direito da União (n.os 66 a 68).

O Acórdão Digital Rights Ireland permite, assim, delimitar o parâmetro comunitário de admissibilidade das medidas de conservação dos dados de tráfego e de localização: à luz da Carta, é possível a sua estatuição (sendo adequadas à proteção de um interesse geral relevante), embora a regulamentação deva restringir a sua aplicação ao indispensável para aquele objetivo, mediante definição seletiva do universo de dados e de titulares afetados (i), o estabelecimento de garantias no acesso das autoridades a essas informações (ii), a estatuição de critérios objetivos de duração da conservação por atenção aos objetivos visados (iii) e a criação de mecanismos de segurança de proteção eficaz desses dados contra abusos, utilização e acesso ilícitos (iv) (Acórdão Digital Rights Ireland, cit., n.os 51 e 56 a 59).

9.2 - A declaração de invalidade da Diretiva n.º 2006/24/CE pelo Tribunal de Justiça - enquanto órgão jurisdicional competente para a apreciação da validade do direito derivado da União Europeia (cf. Acórdão Foto-Frost, cit.; e, igualmente, Acórdão do Tribunal Constitucional n.º 422/2020) não implica, como efeito automático, a invalidade da Lei n.º 32/2008, de 17 de julho. Como se explicou no Acórdão n.º 420/2017, «A declaração de invalidade de uma diretiva não tem uma consequência automática sobre a validade de um ato legislativo português que a transponha. O ato legislativo nacional, embora tendo como objetivo o cumprimento do dever de transposição de uma diretiva, decorrente do Direito da UE (artigo 4.º, n.º 3, do Tratado da UE, artigo 288.º, 3.º parágrafo, do Tratado sobre o Funcionamento da UE e artigo 112.º, n.º 8, da Constituição), tem uma fonte autónoma de validade e legitimidade. O Tribunal de Justiça não tem jurisdição para apreciar a validade dos atos de direito nacional dos Estados-Membros, sendo que a sua análise apenas incidiu sobre o texto da diretiva. A validade da Lei n.º 32/2008, de 17 de julho, não pode ser posta em causa apenas devido ao facto de este ato normativo da União ter sido declarado inválido».

Estas considerações não implicam que seja irrelevante, para os presentes autos, o conteúdo do direito da União Europeia e a sua eventual incompatibilidade com as normas sob fiscalização. Não pode olvidar-se que os padrões constitucionais se submetem, eles próprios, a uma interpretação conforme ao direito da União Europeia. Em consequência, atendendo à comunhão de conteúdos entre a Constituição e a CDFUE, se o ato de transposição se revelar contrário às normas europeias cuja ofensa implicou a invalidade da Diretiva, é plausível que transgrida igualmente a Constituição, interpretada em conformidade com aquelas. Importa, pois, saber em que medida as medidas nacionais sob fiscalização conflituam com as normas europeias em causa.

A primeira decisão do Tribunal de Justiça sobre a compatibilidade com a CDFUE de regimes nacionais adotados em transposição da Diretiva 2006/24/CE (entretanto declarada inválida) foi o Acórdão de 21 de dezembro de 2016, Tele2, proc. C-203/15 e C-698/15. Aí se considerou que o estabelecimento, pelo legislador nacional, de uma obrigação de conservação de todos os dados de tráfego de todos os utilizadores e assinantes padecia da mesma incompatibilidade com a CDFUE que havia sido assacada à diretiva em que se baseou. Em consequência, o Tribunal de Justiça indicou, por via da interpretação do artigo 15.º da Diretiva n.º 2002/58/CE, o figurino da legislação nacional que pode ter-se por compatível com os direitos garantidos pela Carta, cumprindo os requisitos de restrição estabelecidos no seu artigo 52.º: a norma do artigo 15.º da Diretiva n.º 2002/58/CE, conjugada com o disposto nos artigos 7.º, 8.º e 52.º da Carta, «(...) não se opõe a que um Estado-Membro adote uma regulamentação que permita, a título preventivo, a conservação seletiva dos dados de tráfego e dos dados de localização, para efeitos de luta contra a criminalidade grave, desde que a conservação dos dados seja limitada ao estritamente necessário, no que se refere às categorias de dados a conservar, aos equipamentos de comunicação visados, às pessoas em causa e à duração de conservação fixada» (n.º 108). O que impõe, por isso, a previsão de «normas claras e precisas que regulem o âmbito e a aplicação dessa medida de conservação dos dados e que imponham exigências mínimas, de modo a que as pessoas cujos dados foram conservados disponham de garantias suficientes que permitam proteger eficazmente os seus dados pessoais contra os riscos de abuso» (n.º 109), que subordine a conservação de dados «a critérios objetivos, que estabeleçam uma relação entre os dados a conservar e o objetivo prosseguido» (n.º 110) e que opere uma delimitação do universo de pessoas e de situações por ela abrangidas, que «deve basear-se em elementos objetivos que permitam visar um público cujos dados sejam suscetíveis de revelar uma relação, pelo menos indireta, com atos de criminalidade grave, de contribuir de uma maneira ou outra para a luta contra a criminalidade grave ou de prevenir um risco grave para a segurança pública» (n.º 111).

Já no que respeita ao acesso aos dados pelas autoridades nacionais competentes para deteção, prevenção e combate à criminalidade, concluiu-se que o normativo comunitário implica a previsão de controlo prévio efetuado por um órgão jurisdicional ou por uma entidade administrativa independente, na sequência de um pedido formulado pela autoridade nacional competente (i), a definição de critérios e condições de admissão desse acesso (ii), a obrigação de informar as pessoas visadas (a partir do momento em que essa comunicação não seja suscetível de comprometer a investigação), para que possam exercer o direito de recurso a que se refere o n.º 2 do artigo 15.º da Diretiva (iii) e a previsão de obrigação armazenamento dos dados no território da União, bem como a sua destruição no termo do respetivo período de conservação (iv) (Acórdão Tele 2, n.os 119 a 122).

Em outubro de 2020, o Tribunal de Justiça voltou a pronunciar-se sobre a compatibilidade do disposto no artigo 15.º da Diretiva 2002/58/CE, conjugado com os artigos 7.º e 8.º da CDFUE, com regimes jurídicos nacionais que prevejam uma obrigação generalizada da conservação de metadados pelos operadores de telecomunicações com vista a serem transmitidos às autoridades competentes para a ação penal (Acórdão La quadrature du net, cit.). Reiterando a jurisprudência do Acórdão Tele2 quanto aos dados de tráfego e de localização - e considerando, por isso, incompatível com o direito da União Europeia um regime nacional que prescreva a obrigação indiferenciada de dados de tráfego, por restringir desproporcionadamente os direitos consagrados nos artigos 7.º e 8.º da CDFUE (n.os 112 a 133) - , pronunciou-se separadamente sobre a obrigação de conservação generalizada de dados de base e de endereços de protocolo IP dinâmicos que indiquem a fonte de uma comunicação (aqueles que pressupõem uma análise do contexto das comunicações e que, por isso, é duvidosa a sua qualificação como dados de base ou dados de tráfego). Quanto a estes, e independentemente da questão de saber qual a sua categorização correta, admitiu a compatibilidade com a CDFUE da sua conservação geral pelo período de um ano (n.os 154 a 159).

9.3 - Uma interpretação dos parâmetros constitucionais em conformidade com o direito da União Europeia deve ainda ter em conta a disciplina do Regulamento Geral sobre a Proteção de Dados (Regulamento UE 2016/679 - RGPD) quanto à proteção conferida às pessoas singulares a respeito do tratamento de dados pessoais. Com efeito, os dados de base, de tráfego e de localização, na medida em que permitam identificar uma pessoa singular (n.º 1 do artigo 4.º do RGPD), ficam sujeitos à disciplina europeia de tratamento de dados pessoais. Em consequência, tais dados apenas podem ser recolhidos para satisfazer finalidades determinadas, explícitas e legítimas, e não podem ser tratados posteriormente de uma forma incompatível com essas finalidades [alínea b) do n.º 1 do artigo 5.º do RGDP] e a sua conservação de forma a poder identificar os titulares só pode ocorrer durante o período necessário para as finalidades para as quais são tratados [alínea e) do n.º 1 do artigo 5.º do RGDP]. Sendo certo que o RGPD abrange qualquer tratamento de dados feitos por estabelecimentos situados no território da União (artigo 3.º do RGPD), abarcando assim o tratamento de dados pessoais operado pelos fornecedores de comunicações eletrónicas em Portugal.

Ora, decorre das regras do RGPD (que, enquanto Regulamento da União Europeia, vincula todos os sujeitos públicos e privados, em toda a União - artigo 288.º TFUE) que os dados pessoais que venham a ser objeto de tratamento não podem ser transferidos para Estados terceiros, salvo nas condições fixadas nos artigos 44.º a 40.º do RGPD: a existência de uma decisão de adequação pela Comissão Europeia (artigo 45.º) ou, nos demais casos, de uma atuação fiscalizadora pela autoridade nacional de controlo (artigos 46.º e seguintes), quando se garanta um nível de proteção similar àquele que é garantido pelo normativo europeu.

10 - Determinados o conteúdo e a relevância do direito da União Europeia para os presentes autos, importa agora apreciar a conformidade constitucional das normas fiscalizadas. Começar-se-á, assim, por apurar o concreto sentido dos padrões constitucionais mobilizáveis - interpretando-os, como se viu supra, à luz do direito da União Europeia, face ao disposto no n.º 4 do artigo 8.º da Constituição. O que não implica que o direito da União Europeia constitua o único instrumento a influir na interpretação dos parâmetros constitucionais convocados, como se sublinhou no Acórdão n.º 403/2015, por força do disposto no artigo 16.º da Constituição:

«o artigo 12.º da Declaração Universal dos Direitos do Homem declara que "ninguém sofrerá intromissões arbitrárias na sua vida privada, na sua família, no seu domicílio ou na sua correspondência [...]". A mesma redação é retomada pelo artigo 17.º do Pacto Internacional relativo aos Direitos Civis e Políticos. Ambos os textos prescrevem que o indivíduo tem direito à proteção da lei contra tais intervenções ou tais atentados.

O artigo 8.º da Convenção Europeia dos Direitos do Homem (CEDH), por seu turno, estabelece que "qualquer pessoa tem direito ao respeito da sua vida privada e familiar, do seu domicílio e da sua correspondência". Nos termos do n.º 2, "não pode haver ingerência da autoridade pública no exercício deste direito senão quando esta ingerência estiver prevista na lei e constituir uma providência que, numa sociedade democrática, seja necessária para a segurança nacional, para a segurança pública, para o bem-estar económico do país, a defesa da ordem e a prevenção das infrações penais, a proteção da saúde ou da moral, ou a proteção dos direitos e das liberdades de terceiros". O Tribunal Europeu dos Direitos do Homem (TEDH) tem desenvolvido uma ampla jurisprudência sobre a proteção do acesso a dados de comunicações, afirmando expressamente que os mesmos se encontram abrangidos pela proteção de "vida privada e familiar" ínsita no n.º 1 do artigo 8.º da CEDH. Assim, no caso Malone c. Reino Unido, referiu que o acesso e uso de dados respeitantes a tráfego de comunicações constituem matéria que é abrangida pelo âmbito de proteção do n.º 1 do artigo 8.º da CEDH (Acórdão de 02/08/1984, queixa n.º 8691/79)».

Sustenta a requerente que as normas dos artigos 4.º e 6.º da Lei n.º 32/2008, de 17 de julho - atinentes ao regime da conservação dos dados - restringem de modo desproporcionado os direitos à reserva da intimidade da vida familiar (n.º 1 do artigo 26.º da Constituição) e à inviolabilidade das comunicações (n.º 1 do artigo 34.º da Constituição), interpretados à luz da Carta dos Direitos Fundamentais da União Europeia, enfermando por isso de inconstitucionalidade material. Já quanto à norma contida no artigo 9.º da Lei n.º 32/2008, de 17 de julho, que consagra o regime da transmissão e acesso dos dados às autoridades competentes para a investigação, deteção e repressão dos crimes graves, a requerente imputa a desconformidade constitucional ao facto de, nos termos da regra fiscalizada, o visado não ser informado de que os dados que é titular foram transmitidos e tratados pelas autoridades de polícia criminal, postergando-lhe a discussão judicial da legalidade da medida e atentando, assim, contra o direito a uma tutela jurisdicional efetiva, consagrado no artigo 20.º da Constituição.

Ora, de acordo com a jurisprudência deste Tribunal, a tutela constitucional dos metadados das comunicações (dados que não abrangem o conteúdo das comunicações, mas dizem respeito somente às suas circunstâncias) não é uniforme: a distinção entre dados de base, relativos à identificação dos sujeitos que se conectam à rede, e dados de tráfego - «os dados funcionais necessários ao estabelecimento de uma ligação ou comunicação e os dados gerados pela utilização da rede (por exemplo, localização do utilizador, localização do destinatário, duração da utilização, data e hora, frequência)» - tem refração nos parâmetros convocáveis. Deste modo, o padrão invocado pela requerente (o direito à inviolabilidade das comunicações, consagrado no artigo 34.º da Constituição) não protege os dados de base, como se concluiu nos Acórdãos n.os 486/2009 e 403/2015, e se reiterou no Acórdão n.º 463/2019:

«Assim, quer os dados de base, quer os dados de localização de equipamento, a que se refere o artigo 3.º da Lei Orgânica, n.º 4/2017, não devem ser considerados como dados atinentes a uma comunicação, já que tanto nuns quanto noutros inexiste qualquer dimensão subjetiva inerente à comunicação. Os primeiros são, nos termos da alínea a) do n.º 2 do artigo 2.º da mesma Lei, dados escritos atinentes a uma relação contratual entre uma pessoa e uma empresa operadora de telecomunicações, referindo-se à identificação e morada do titular e ao próprio contrato de ligação à rede; os segundos abrangem a deteção de dados de localização a partir de um telefone ligado, mas em stand by, e/ou através do sistema de satélite GPS ou outro (ver, neste sentido, Manuel da Costa Andrade, "Comentário ao artigo 194.º do Código Penal", in J. Figueiredo Dias (direção), Comentário Conimbricense do Código Penal - Tomo I, 2.ª Edição, Coimbra Editora, 2012, pág. 1104)».

Neste contexto, nem todos os dados a que se refere o artigo 4.º da Lei n.º 32/2008, de 17 de julho, estão protegidos pelo disposto nos números 1 e 4 do artigo 34.º da Constituição. De acordo com a jurisprudência reiterada deste Tribunal, aquele parâmetro abrange os dados de tráfego quando pressuponham uma comunicação entre pessoas, mas já não os dados que, independentemente de qualquer comunicação, sejam atinentes à conexão de certo equipamento a uma rede de comunicações ou à mera identificação de um utilizador a quem estava atribuído um determinado número de telefone ou um endereço de protocolo IP estático (dados de base - cf. Acórdão n.º 420/2017); nem os dados de tráfego gerados pela comunicação entre um sujeito e uma máquina - v. g., a consulta de sítios da internet.

Simplesmente, o princípio do pedido não obsta a que o Tribunal Constitucional possa declarar a inconstitucionalidade das normas cuja apreciação foi requerida com fundamento diverso daqueles cuja violação foi invocada (n.º 5 do artigo 51.º da LTC). O que implica a consideração da proteção constitucional da conservação de todos os metadados identificados nas normas fiscalizadas - independentemente da categoria em que se insiram (dados de base/dados de tráfego) e de darem ou não suporte a comunicações intersubjetivas.

Ora, a conservação e acesso a todos os metadados a que se referem as normas fiscalizadas - dados de base, dados de tráfego que não pressupõem uma comunicação interpessoal e dados de tráfego relativos a comunicações interpessoais - , porque são aptos a revelar aspetos relevantes da vida privada e familiar dos cidadãos, submete-se a outras garantias constitucionais - designadamente, os direitos à reserva da intimidade da vida privada e ao livre desenvolvimento da personalidade (n.º 1 do artigo 26.º da Constituição) e o direito à autodeterminação informativa (n.os 1 e 4 do artigo 35.º da Constituição). O tratamento de todos estes dados, ao manter o rastreio dos passos dos utilizadores, seja quanto à sua localização, seja quanto à utilização que faz da internet, seja quanto às pessoas com quem contacta ou tenta contactar, por telefone, correio eletrónico, mensagens escritas ou através da internet, é suscetível de comprimir os direitos à reserva da intimidade da vida privada, ao livre desenvolvimento da personalidade e à autodeterminação informativa. Como sublinha a requerente no artigo 8.º do pedido, permitem rastrear a sua localização «ao longo do dia, todos os dias (desde que transporte o telemóvel ou outro dispositivo eletrónico de acesso a Internet), e identificar com quem contacta (chamada - inclusive as tentadas e não concretizadas - por telefone ou telemóvel, envio ou receção de SMS, MMS, de correio eletrónico, ou de comunicações telefónicas através da Internet), bem como a duração e a regularidade dessas comunicações». Razão pela qual se concluiu no Acórdão n.º 403/2015:

«a manipulação ilegal ou ilegítima do conteúdo e das circunstâncias da comunicação pode violar a privacidade dos interlocutores intervenientes, atentando ou pondo em risco esferas nucleares das pessoas, das suas vidas, ou dimensões do seu modo de ser e estar. De sorte que a possibilidade de se aceder aos dados das comunicações colide com um conjunto de valores associados à vida privada que fundamentam e legitimam a proteção jurídico-constitucional.

Desde logo, a liberdade de ação, enquanto vertente do direito ao desenvolvimento da personalidade, de acordo com a qual, na interação com os outros, a condução da vida de cada um é autoconformada pela sua atuação, o que pressupõe, como referem Gomes Canotilho e Vital Moreira "a exigência de proibição de ingerências dos poderes públicos (...) como, por exemplo, (...) 'o direito a não ser espiado'" (Constituição da República Portuguesa Anotada, 2. ed., Vol. I, pág. 465).

Depois, com a esfera íntima e a esfera privada da pessoa humana, seja enquanto pretensão de isolamento, tranquilidade e exclusão do acesso dos outros a si próprio (direito à solidão), seja, enquanto impedimento à ingerência dos outros (direito ao anonimato), seja ainda, mais modernamente, e perante a insuficiência protetora das referidas dimensões, enquanto controlo das informações que lhe dizem respeito e de subtração ao conhecimento dos outros os factos reveladores do modo de ser do sujeito na condução da sua vida privada (autodeterminação informacional). Como refere Joaquim Sousa Ribeiro, esta última dimensão, hoje a de maior relevo, «impede que o "eu" seja objeto de apropriação pelos outros, como matéria de comunicação na esfera pública. Nela conjuga-se o direito ao segredo (à intromissão dos outros na esfera privada, com tomada de conhecimento de aspetos a ela referentes) e um direito à reserva (proibição de revelação)» - cf. A Tutela de bens da personalidade na Constituição e na Jurisprudência constitucional portuguesas, in Estudos de Homenagem ao Prof. Doutor José Joaquim Gomes Canotilho, Vol. III, Coimbra Editora, pág. 853).

Estes direitos encontram-se hoje expressamente consagrados no artigo 26.º da CRP e são intimamente interligados, constituindo a reserva da intimidade da vida privada uma dimensão do direito, mais amplo, referente ao desenvolvimento da personalidade».

Deste modo, nos termos do n.º 5 do artigo 51.º da LTC, a ponderação da conformidade constitucional das normas dos artigos 4.º e 6.º da Lei n.º 32/2008, de 17 de julho, far-se-á, em primeira linha, à luz dos direitos fundamentais que parametrizam todas as categorias de dados identificadas nas normas indicadas pela requerente - concretamente os direitos ao livre de desenvolvimento da personalidade e à autodeterminação informativa.

11 - É reconhecido que o direito ao livre desenvolvimento da personalidade abrange a faculdade de comunicar com segurança, enquanto parte da sua liberdade de ação e de realização pessoal. Com efeito, aquele constitui um direito de muito largo espectro, expressando a tutela geral de uma esfera de liberdade pessoal. Em consonância, no Acórdão n.º 464/2019, concluiu-se que «uma das dimensões da liberdade de ação inerente ao desenvolvimento da personalidade consiste na liberdade de comunicar, tuteladora da comunicação interpessoal: "a comunicação que se destina a um recetor individual ou a um círculo de destinatários previamente determinado" (Acórdão n.º 403/2015, ponto 13). Tal liberdade abrange, deste modo, "a faculdade de comunicar com segurança e confiança e o domínio e autocontrole sobre a comunicação, enquanto expressão e exteriorização da própria pessoa" (v. ibidem)». É neste contexto de que se pode falar «de um "direito à autodeterminação comunicativa" que serve para defender vários bens jurídico-constitucionais, entre eles: o direito ao desenvolvimento da personalidade e o direito à reserva da intimidade da vida privada» (Acórdão n.º 403/2015). Como se disse neste aresto:

«Na vertente de defesa da reserva da intimidade da vida privada, o direito à autodeterminação comunicativa protege a esfera pessoal perante as ingerências públicas ou privadas, ou seja, o interesse das pessoas que comunicam em impedir ou em controlar a tomada de conhecimento, a divulgação e circulação do conteúdo e circunstâncias da comunicação. Neste sentido, os interlocutores intervenientes têm direito a um ato negativo: à não intervenção de terceiros na comunicação e nas circunstâncias que a acompanham. Trata-se de uma garantia de que devem beneficiar, prima facie, todas as comunicações privadas, independentemente de as mesmas dizerem ou não respeito à intimidade dos intervenientes (cf. Lucrecio Rebollo Delgado, El Secreto de las Comunicaciones: Problemas Actuales, Revista de Derecho Político, n.º 48-49, 2000, pág. 363).

No entanto, o direito à autodeterminação comunicativa abrange ainda esferas de proteção mais amplas que a da simples reserva da vida privada. É que o progresso tecnológico, ao facilitar a acumulação, conservação, circulação e interconexão de dados referentes às comunicações, aumentou as possibilidades de devassa. Agora é o próprio domínio de atuação do individuo que é posto em causa, pois já não tem meios para assegurar a confidencialidade da comunicação. A liberdade de, à distância, trocar com os destinatários livremente escolhidos por cada um, informações, notícias, pensamentos e opiniões está comprometida com as inimagináveis possibilidades da sua afronta pelos avanços tecnológicos. Por isso, é necessário assegurar que a comunicação à distância entre privados se processe como se os mesmos se encontrassem presentes, i.e., que as comunicações entre emissor e recetor, bem como o seu circunstancialismo, se tenham como uma comunicação fechada, em que os sujeitos se autodeterminam quanto à realização da mesma e esperam, legitimamente, que a comunidade proteja o circunstancialismo daquela pretendida comunicação. Ora, como a interação entre pessoas que se encontram à distância tem de ser feita através da mediação necessária de um terceiro, de um fornecedor de serviços de comunicação, exige-se que esse operador e o Estado regulador também garantam a integridade e confidencialidade dos sistemas de comunicação.

Neste contexto, o direito à autodeterminação comunicativa assume-se como um direito de liberdade, de liberdade para comunicar, sem receio ou constrangimentos de que a comunicação ou as circunstâncias em que a mesma é realizada possam ser investigadas ou divulgadas. Sem essa confiança, o indivíduo sentir-se-á coartado na liberdade de poder comunicar com quem quiser, quando quiser, pelo tempo que quiser e quantas vezes quiser. Trata-se, pois, de permitir um livre desenvolvimento das relações interpessoais e, ao mesmo tempo, de proteger a confiança que os indivíduos depositam nas suas comunicações privadas e no prestador de serviços das mesmas».

Ademais, mesmo fora do domínio das comunicações, o direito ao livre desenvolvimento da personalidade abrange o direito ao sigilo dos dados pessoais - que, como se viu, não compreende somente aqueles que diretamente identificam uma pessoa, mas também aqueles que, sem esforço excessivo, permitam chegar a essa identificação - como se concluiu no Acórdão n.º 464/2019:

«Pode, na verdade, afirmar-se que o segredo dos dados pessoais e o poder de controlo do sujeito sobre os mesmos constituem uma garantia do direito ao livre desenvolvimento da personalidade enquanto possibilidade de «interiorização autónoma» da pessoa ou o direito a «autoafirmação» em relação a si mesmo, contra quaisquer imposições heterónomas (de terceiros ou dos poderes públicos). Este direito à "autoafirmação" dá guarida a vários «direitos de personalidade inominados mesmo que não especificamente positivados na Constituição, como por exemplo, o direito aos documentos pessoais e o direito à autodeterminação informativa quanto a dados pessoais constantes de ficheiros manuais ou informáticos, o direito à confidencialidade de dados pessoais constantes de atos ou decisões públicas respeitantes ao estado civil, o direito de não ser espiado no desenvolvimento de atividades lícitas (cf. Gomes Canotilho/Vital Moreira, Vol. I, ob. cit., pp. 464-465».

Ora, a proibição de ingerência de terceiros na esfera de autonomia pessoal é indispensável à autoconformação da identidade. Garantindo a liberdade de cada sujeito, já que privacidade e liberdade se relacionam intimamente: a vida privada tutelada decorre da liberdade de condução da vida do titular. O que justifica a previsão autónoma (n.º 1 do artigo 26.º), no seio do direito ao livre desenvolvimento da personalidade (como uma das suas dimensões, mas sem nele se esgotar), do direito à reserva da intimidade da vida privada; e cuja proteção alastra aos dados relativos às comunicações, como se concluiu no Acórdão n.º 403/2015:

«O Tribunal Constitucional formulou, pela primeira vez, uma definição do conteúdo do direito à reserva da vida privada no Acórdão n.º 128/92, como constituindo o direito de cada um a ver protegido o espaço interior ou familiar da pessoa ou do seu lar contra intromissões alheias, i.e., como um direito a uma esfera privada onde ninguém pode penetrar sem autorização do respetivo titular. No entender do Tribunal, esse direito compreende, por um lado, a autonomia, ou seja, o direito a ser o próprio a regular, livre de ingerências estatais e sociais, essa esfera de intimidade e, por outro, o direito a não ver difundido o que é próprio dessa esfera de intimidade, a não ser mediante autorização do interessado ("direito ao segredo do ser"). E no que toca aos lugares da vida onde a vida privada pode ser manifestada, o Tribunal afirmou ainda que ela abrange «a vida pessoal, a vida familiar, a relação com outras esferas de privacidade (...) o lugar próprio da vida pessoal ou familiar (...) e, bem assim, os meios de expressão e de comunicações privados (a correspondência, o telefone, as conversas orais, etc.». De modo que, na jurisprudência constitucional, as comunicações privadas, englobando o conteúdo e circunstancialismos em que as mesmas têm lugar, são reconhecidas como um meio através do qual se manifestam aspetos da vida privada da pessoa e que, por isso, caem no âmbito da proteção constitucional da respetiva reserva».

Dito de outro modo: o direito à reserva da intimidade da vida tutela os indivíduos contra o acesso a um conjunto de informações que dizem respeito apenas aos próprios (por onde circulam, em que momento, em que contextos), envolvendo a proteção constitucional dos dados que permitem retirar conclusões sobre essas circunstâncias, como se concluiu no Acórdão n.º 464/2019:

«Na forma específica de proibição de acesso por terceiros, o direito à proteção de dados apresenta-se como um direito de garantia de um conjunto de valores fundamentais individuais - a liberdade e a privacidade - bens jurídicos englobados na autodeterminação individual, abrangendo duas dimensões: a dimensão negativa ou de abstenção do Estado de ingerência na esfera jurídica dos cidadãos e a dimensão positiva enquanto função ativa do Estado para prevenir tal ingerência por parte de terceiros. Na vertente da proibição de tratamento de dados pessoais suscetíveis de gerar discriminação, este direito fundamental está ainda diretamente ligado à garantia da igualdade entre os cidadãos, «[...] demonstrando que a proteção de dados pessoais não tem em si mesmo apenas um objetivo de tutela da privacidade, mas também uma importante função social de garantia da igualdade» (cf. Filipa Urbano Calvão, ob. cit., pág. 90)».

É neste quadro que se reconhece «um direito fundamental à autodeterminação informativa, traduzido num conjunto de direitos relacionados com o tratamento automático das informações pessoais dos cidadãos, que visam, simultaneamente, protegê-las perante ameaças de recolha e de divulgação, assim como de outras utilizações possibilitadas pelas novas tecnologias, e, também, assegurar aos respetivos titulares um conjunto de poderes de escolha nesse âmbito» (CATARINA SARMENTO E CASTRO, "40 Anos de «Utilização da Informática» - O artigo 35.º da Constituição da República Portuguesa", e-Pública, vol. 3, n.º 3, 2016, p. 44). A sua consagração expressa, no artigo 35.º da Constituição, assegura ao titular o poder de decidir sobre o uso e divulgação dos seus dados pessoais; o poder de controlar a informação disponível a seu respeito.

Este direito, ainda que possa ser modelado como direito-garantia do direito à reserva da intimidade da vida privada - estabelecendo uma defesa do cidadão contra intromissões não autorizadas de terceiros e do Estado quanto às informações que lhe respeitem - tem um âmbito mais amplo do que aquele: visa impedir que o indivíduo se torne um objeto de informação, garantindo-lhe o domínio sobre os seus próprios dados. É por isso que o direito à autodeterminação informativa é densificado num feixe de posições jurídicas subjetivas estatuídas no artigo 35.º da Constituição: «(a) direito de acesso das pessoas aos registos informáticos para conhecimento dos seus dados pessoais deles constantes (n.º 1), bem como a retificação e complementação dos mesmos; (b) direito ao sigilo em relação aos responsáveis de ficheiros automatizados e a terceiros dos dados pessoais informatizados e direito à sua não interconexão (n.º 4); (c) direito ao não tratamento informático de certos tipos de dados pessoais (n.º 3)». (GOMES CANOTILHO e VITAL MOREIRA, cit., p. 551).

E, note-se, o direito à autodeterminação informativa não depende de qualquer processo comunicacional, como se afirmou no Acórdão n.º 403/2015:

«E nisto se distingue do direito à autodeterminação informativa consagrado no artigo 35.º da CRP, com vista à proteção das pessoas perante o tratamento de dados pessoais informatizados. O objeto de proteção do direito à autodeterminação comunicativa reporta-se a comunicações individuais efetivamente realizadas ou tentadas e só essas é que estão cobertas pelo sigilo de comunicações. Naquele outro direito protege-se as informações pessoais recolhidas e tratadas por entidades públicas e privadas, cuja forma de tratamento e divulgação pode propiciar ofensas à privacidade das pessoas a que digam respeito. Como refere Maria Eduarda Gonçalves, neste caso, o problema não está na existência ou na quantidade de dados, mas na qualidade, "entendida esta, em termos amplos, como o conjunto das condições da recolha dos dados, seu tratamento e comunicação, bem como as características desses dados, isto é, a sua exatidão, a sua adequação aos fins prosseguidos" (cf. Direito Da Informação, Almedina, pág. 84). Neste caso, pretende-se impedir que as informações prestadas a um particular ou a uma entidade possam por estes ser divulgadas a outras pessoas ou entidades, ou seja, que a pessoa se torne "simples objeto de informações", face a todos os registos informáticos que vai deixando no seu dia a dia. A proibição de ingerência ou devassa neste domínio implica não apenas a proibição de acesso a terceiros aos dados pessoais, mas ainda a proibição de divulgação ou mesmo de interconexão de ficheiros com dados da mesma natureza (cf. Gomes Canotilho e Vital Moreira, ob. cit., pág. 554)»

12 - A Constituição não ficou, todavia, pela afirmação destas posições jurídicas subjetivas. Fez-lhes acrescer garantias de controlo, assentes no direito de o visado controlar o tratamento dos dados e no dever de o Estado proteger o direito atribuído. Em conformidade, cometeu ao legislador a previsão de garantias de segurança, impondo a adoção de medidas de proteção dos dados contra perda, destruição e acesso de terceiros. Como se afirmou no Acórdão n.º 464/2019, «as pessoas têm não apenas o direito de saber o que a seu respeito consta dos registos informáticos, mas também o direito de que esses dados sejam salvaguardados contra a devassa ou difusão. Por sua vez, este último direito engloba vários direitos específicos: (a) a proibição de acesso de terceiros a dados pessoais (artigo 35.º, n.º 4, da Constituição); (b) proibição da interconexão de ficheiros de bases e bancos de dados pessoais (artigo 35.º, n.º 2, da Constituição)». Onde se inclui, aliás, um direito ao esquecimento, garantindo-se ao titular dos dados que a sua conservação e tratamento apenas pode ocorrer por um período de tempo, devendo ser destruídos ou cancelados uma vez obtida a finalidade a que tendiam.

As garantias de efetividade - que cabe ao legislador prever - assentam em duas dimensões.

Em primeiro lugar, no seio do direito à autodeterminação informativa, encontra-se o poder de supervisionar essa informação, prevenindo e corrigindo lesões da liberdade individual. O titular goza do direito a conhecer não só que dados pessoais estão a ser recolhidos e conservados como também como são utilizados, comunicados, para que finalidade e para quem (seja ele do setor público ou privado). Só dessa forma pode o sujeito exercer a faculdade de, designadamente, exigir a eliminação de dados tratados em violação de regras ou princípios constitucionais; e de reagir contra arbitrariedades no seu tratamento: uma vez que a Constituição impede «que a pessoa se transforme em "simples objeto de informações"» (Acórdão n.º 355/97), goza o titular do direito de reação em caso de violação dos seus direitos em matéria de tratamento de dados pessoais.

Ora, para que o controlo se torne efetivo, é imperioso que os cidadãos conheçam que os seus dados foram acedidos; que possam eficazmente controlar o modo como são alcançados, controlados e tratados; e que possam recorrer aos tribunais para reagir contra a sua utilização indevida. O que, de resto, o TEDH enfatizou no Acórdão Big Brother Watch, cit., §310: «after the surveillance has been terminated, the question of subsequent notification of surveillance measures is inextricably linked to the effectiveness of remedies before the courts and hence to the existence of effective safeguards against the abuse of monitoring powers». É isso, de resto, que se consagra na legislação processual penal de alguns países, informando-se o visado de medidas de interceção das comunicações (veja-se o §101 da legislação processual penal alemã [Strafproze(beta)ordnung] que determina a comunicação ao visado de quaisquer meios ocultos de investigação de que tenha sido alvo, a partir do momento em que tal notificação não ponha em causa o sucesso da investigação). Pelo que a autodeterminação informativa implica o direito de o próprio titular dos dados conhecer a quem foram transmitidos, por que razões e qual o tratamento desenvolvido; sendo certo que a sua inclusão no catálogo dos direitos, liberdades e garantias envolve a submissão das restrições ao regime dos n.os 2 e 3 do artigo 18.º da Constituição.

Em segundo lugar, decorre do n.º 2 do artigo 35.º um controlo da proteção e tratamento dos dados por uma autoridade administrativa independente, cuja intervenção é constitucionalmente determinada com funções garantísticas dos particulares. Trata-se de uma dimensão da autodeterminação informativa que o legislador tem de concretizar; e de que encontramos reflexos, na lei ora fiscalizada, na obrigação de os operadores de comunicações que transmitam dados às autoridades de investigação criminal elaborarem registos dessas operações, enviando-os trimestralmente à CNPD (n.º 6 do artigo 9.º da Lei n.º 32/2008, de 17 de julho). No fundo, ao remeter para lei a definição do regime jurídico de proteção dos particulares em matéria de «tratamento automatizado, conexão, transmissão e utilização» (n.º 2 do artigo 35.º da Constituição), a Constituição contém uma imposição legiferante segundo a qual deve o legislador a assegurar não só o controlo pelo próprio visado (o que implica o conhecimento de que os seus dados foram acedidos) como também a atuação de uma autoridade administrativa independente que assevere a efetividade dos direitos constitucionalmente garantidos em matéria de conservação e tratamento dos dados pessoais. À semelhança, de resto, do que prevê o n.º 3 do artigo 8.º da CDFUE.

Estas duas dimensões têm óbvio reflexo quanto ao local de armazenamento dos dados. Com efeito, a intervenção da autoridade administrativa independente a que se refere a Constituição não é compatível com a conservação dos dados em jurisdições subtraídas à respetiva atuação; e o exercício dos poderes de auditoria pelos próprios sujeitos visados não é viável se os dados forem armazenados em países cujos ordenamentos não ofereçam similares garantias. Nessa medida, a efetividade dos direitos conferidos pelos n.os 1 e 2 do artigo 35.º - incluindo a garantia de fiscalização por autoridade administrativa independente - depende do local da sua conservação, assacando-se ao legislador a obrigação de previsão do seu armazenamento em local compatível com o exercício das garantias constitucionais de proteção e com a intervenção da autoridade administrativa independente (n.º 2 do artigo 35.º da Constituição).

Similar conclusão foi, de resto, extraída pelo Tribunal de Justiça da União Europeia, ao determinar que as garantias de segurança a que se refere o n.º 3 do artigo 8.º da CDFUE dependem do local de conservação dos dados. Ao declarar a invalidade da Diretiva n.º 2006/24/CE, considerou o Juiz comunitário que «a referida diretiva não impõe que os dados em causa sejam conservados no território da União, pelo que não se pode considerar que esteja plenamente garantida a fiscalização, por uma entidade independente, expressamente exigida pelo artigo 8.º, n.º 3, da Carta, do respeito das exigências de proteção e de segurança, tal como referidas nos dois números anteriores. Ora, semelhante fiscalização, efetuada com base no direito da União, constitui um elemento essencial do respeito da proteção das pessoas relativamente ao tratamento dos dados pessoais» (Acórdão Digital Rights, n.º 68). O que se reiterou no Acórdão Tele 2 (cit.):

«122 (...) Tendo em conta a quantidade de dados conservados, o caráter sensível desses dados bem como o risco de acesso ilícito aos mesmos, os prestadores de serviços de comunicações eletrónicas devem, para assegurar a plena integridade e a confidencialidade dos referidos dados, garantir um nível particularmente elevado de proteção e de segurança através de medidas técnicas e de organização adequadas. Em especial, a regulamentação nacional deve prever a conservação no território da União bem como a destruição definitiva dos dados no termo do respetivo período de conservação (v., por analogia, no que se refere à Diretiva 2006/24, acórdão Digital Rights, n.os 66 a 68).

123 Seja como for, os Estados-Membros devem garantir o controlo, por parte de uma autoridade independente, do respeito do nível de proteção garantido pelo direito da União em matéria de proteção das pessoas singulares relativamente ao tratamento dos dados pessoais, sendo esse controlo explicitamente exigido pelo artigo 8.º, n.º 3, da Carta e constituindo, em conformidade com jurisprudência constante do Tribunal de Justiça, um elemento essencial do respeito da proteção das pessoas relativamente ao tratamento dos dados pessoais. Se assim não fosse, as pessoas cujos dados pessoais estivessem conservados ficariam privadas do direito, garantido pelo artigo 8.º, n.os 1 e 3, da Carta, de apresentar pedidos às autoridades nacionais de controlo para efeitos da proteção dos seus dados (v., neste sentido, acórdão Digital Rights, n.º 68, e de 6 de outubro de 2015, Schrems, C-362/14, EU:C:2015:650, n.os 41 e 58)».

Daqui decorre a conclusão de que as garantias contidas no direito à autodeterminação informativa dependem da estatuição legal de armazenamento dos dados pessoais num Estado-Membro da União Europeia: é nessas jurisdições que vigoram os padrões de proteção constitucionalmente impostos - plasmados quer nas Constituições nacionais, quer na CDFUE, quer nas normas de direito europeu derivado (designadamente, o RGPD) - e se assegura a atuação da autoridade administrativa independente (mesmo transfronteiriça), por atenção à rede de autoridades de controlo prevista no sistema de proteção europeu de dados pessoais (que remonta, de resto, à Diretiva n.º 95/46/CE; e que se encontra atualmente consagrada nos artigos 52.º e seguintes do RGPD; e no artigo 2.º da Lei n.º 43/2004, de 18 de agosto, na redação que lhe foi dada pela Lei n.º 58/2019, de 9 de agosto).

Aliás, é esta mesma injunção que estará subjacente à opção do legislador relativa à transferência para Estados terceiros de dados pessoais para efeitos de prevenção, deteção, investigação ou repressão de infrações penais ou de execução de sanções penais (artigos 37.º e seguintes da Lei n.º 59/2019, de 8 de agosto; e artigos 35.º e seguintes da Diretiva UE 2016/680, de 27 de abril de 2016); e ao regime geral de proteção de dados pessoais de pessoas singulares, (artigos 44.º e seguintes do RGPD). Em todos estes diplomas se estabelece uma regra de proibição de transferência de dados para Estados terceiros, salvo se não puser em causa a vigência das garantias jusfundamentais associadas ao direito à autodeterminação informativa.

Nessa medida, o disposto no artigo 35.º da Constituição, interpretado em conformidade com os artigos 7.º e 8.º da CDFUE, impõe ao legislador, como condição de efetividade das garantias nele consagradas, a previsão da obrigatoriedade de armazenamento dos dados pessoais num Estado-Membro da União Europeia.

13 - No que respeita à norma contida no artigo 9.º da Lei n.º 32/2008, de 17 de julho, invoca a requerente a violação do direito à tutela jurisdicional efetiva consagrado no n.º 1 do artigo 20.º da Constituição: porque se não prevê um qualquer mecanismo que permita que os sujeitos conheçam que os seus dados foram transmitidos às autoridades públicas - designadamente não se estabelecendo um dever de notificação aos visados das medidas de transmissão - impossibilita-se, na prática, reação e defesa judiciais contra acessos ilegítimos aos dados transmitidos. Isto é, o facto de se não disciplinar na lei a notificação aos sujeitos cujos dados retidos foram efetivamente acedidos coartará os interessados de mecanismos jurisdicionais de defesa sobre essa interceção.

No fundo, porque no conteúdo do direito à tutela jurisdicional efetiva se encontra o acesso a juízo para sustentar as pretensões subjetivas de que o interessado é titular, impõe a Constituição que os interesses jurídicos dignos de tutela possam ser defendidos em tribunal. Ora, se o legislador não tiver previsto mecanismos que tornem exequível o controlo judicial de certo direito (legal ou constitucionalmente atribuído), ocorre a violação reflexa do direito que o interessado visava proteger pela via judiciária. O que sucederá não apenas no caso de ausência de mecanismos processuais, como também quando o legislador estabeleça limitações substanciais ao seu exercício. Nessa medida, a inexistência de notificação ao visado de que os seus dados foram acedidos depois de terminada a sua utilidade para o processo penal implicará, segundo a requerente, a preclusão do seu direito à justiça e aos tribunais. A questão foi posta justamente deste modo pelo TEDH no Acórdão Big Brother Watch, cit., §310: «after the surveillance has been terminated, the question of subsequent notification of surveillance measures is inextricably linked to the effectiveness of remedies before the courts and hence to the existence of effective safeguards against the abuse of monitoring powers».

O direito de acesso aos tribunais, revestindo uma dimensão prestacional (cometendo ao Estado a criação de um aparelho judiciário e a definição das condições para o respetivo acesso), inclui simultaneamente uma vertente garantística, ao assegurar que ninguém pode ser privado de aceder à justiça. É por isso que o Tribunal Constitucional, nos Acórdãos n.os 364/2004 e 301/2009, concluiu ser-lhe aplicável o regime específico dos direitos, liberdades e garantias, por ter natureza análoga aos enunciados no título ii da Constituição (artigo 17.º da Constituição): «Na verdade, o Estado encontra-se constitucionalmente vinculado a uma actividade prestativa que satisfaça o direito dos cidadãos de acesso à justiça (artigo 20.º da CRP). Este direito corresponde a um direito fundamental dotado da força jurídica própria dos direitos, liberdades e garantias, pelo que o princípio da proporcionalidade, sempre vigente, como princípio básico do Estado de direito, em qualquer campo de actuação estadual que contenda com interesses dos particulares, encontra aqui uma qualificada expressão aplicativa (artigo 18.º, n.º 2, da CRP)». Neste contexto, as respetivas restrições submetem-se aos requisitos do artigo 18.º da Constituição.

14 - Apurado o conteúdo dos parâmetros constitucionais que balizam as normas fiscalizadas - que, como se viu, incidem por um lado num regime de conservação generalizada pelos fornecedores de comunicações eletrónicas dos metadados identificados no artigo 4.º e, por outro, na disciplina da sua transmissão às autoridades de investigação criminal (essencialmente contida no artigo 9.º) - importa agora proceder à apreciação da sua conformidade constitucional.

Pode pôr-se a questão de saber se deve apreciar-se isoladamente a constitucionalidade dos dois regimes ou se a conformidade constitucional das normas fiscalizadas implica a análise do regime global estabelecido pelo legislador. Isto é, se deve o Tribunal Constitucional apreciar o regime da conservação dos dados pelos operadores de telecomunicações sem considerar a disciplina estabelecida para a sua transmissão às autoridades de investigação criminal ou se, pelo contrário, a ponderação desta é relevante para o juízo de constitucionalidade que é pedido.

A favor da apreciação separada da constitucionalidade dos dois regimes pronunciou-se a requerente, nos artigos 31.º e seguintes do pedido: «tratando-se de dois níveis diferentes de agressão aos direitos, não é possível argumentar que o facto de a Lei n.º 32/2008 satisfazer, no que respeita ao regime de acesso aos dados conservados, as exigências decorrentes da Carta, serve para salvar ou compensar a afetação dos direitos implicada na própria imposição legal de conservação de dados. Perante a existência de dois momentos autónomos de agressão aos direitos, não é de todo legítimo confundi-los de acordo com uma "lógica de compensação". Pelo contrário, uma dogmática correcta de direitos fundamentais exigirá que se analise, autonomamente, a conformidade constitucional de cada uma das agressões aos direitos, em nada podendo o regime de acesso e de utilização dos dados interferir na análise da conformidade constitucional, designadamente e no que respeita as exigências decorrentes do princípio da proporcionalidade, da agressão aos direitos implicada na própria imposição legal de conservação de dados». Segundo esta linha de raciocínio, porque a medida legislativa de conservação de dados implica em si mesma uma restrição ao direito fundamental à reserva da intimidade da vida privada - ainda que nunca sejam transmitidos às autoridades de polícia criminal -, o facto de o regime do seu acesso pelas autoridades públicas ser eventualmente conforme aos pressupostos constitucionais de restrição não pode influir no juízo de constitucionalidade relativo à conservação.

A requerente invoca ainda que, no plano europeu, o Tribunal de Justiça rejeitou expressamente, no Acórdão Tele2 (cit.), a tese de apreciação do regime da conservação dos dados à luz das garantias fixadas para o seu acesso - que havia sido proposta pelo Advogado-Geral (Conclusões de 19 de julho de 2016, n.os 192 a 215). Com efeito, o Acórdão Tele 2 (cit.) analisa separadamente a conformidade com a CDFUE dos regimes de conservação de dados (n.os 62 a 112) e do acesso aos dados (n.º 113 e seguintes), ideia que o TJUE reiterou no Acórdão La quadrature du net (cit.), n.º 116: «É igualmente irrelevante que os dados conservados sejam ou não utilizados posteriormente (v., por analogia, no que diz respeito ao artigo 8.º da CEDH, TEDH, 16 de fevereiro de 2000, Amann c. Suíça, CE:ECHR:2000:0216JUD002779895, § 69, e de 13 de fevereiro de 2020, Trjakovski e Chipovski c. Macedónia do Norte, CE:ECHR:2020:0213JUD005320513, § 51), uma vez que o acesso a tais dados constitui, independentemente da utilização que deles seja feita posteriormente, uma ingerência distinta nos direitos fundamentais referidos no número anterior».

Parece, aliás, ter sido esse o caminho seguido pelo Tribunal Constitucional da Roménia no Acórdão 440/2014, de 8 de julho de 2014 (disponível na internet, em língua romena, via https://privacy.apti.ro/decizia-curtii-constitutionale-date-trafic/), quando no §60 separa o juízo de constitucionalidade relativo ao regime da conservação de metadados e ao regime de acesso aos dados armazenados.

Importa tomar posição sobre o problema.

Não é decisivo que o Tribunal de Justiça haja estruturado a apreciação da conformidade com a CDFUE do regime da conservação dos dados sem considerar os termos em que o acesso aos dados era disciplinado. Com efeito, como se concluiu no Acórdão n.º 420/2017, o Tribunal Constitucional faz um juízo autónomo da constitucionalidade das normas nacionais, tendo sempre em conta o efeito útil do direito da União Europeia e a interpretação dos parâmetros nacionais em conformidade com os europeus.

Ora, mesmo sem pôr em causa que a mera conservação dos dados e a sua transmissão às autoridades de polícia criminal constituem restrições distintas aos direitos fundamentais à reserva da intimidade da vida privada e à autodeterminação informativa, o exame dos pressupostos constitucionais da limitação - com especial relevância para o princípio da proporcionalidade - implica a consideração dos seus efeitos na posição subjetiva dos cidadãos. Com efeito, um maior rigor do legislador no acesso e na transmissão dos dados conservados pode, em abstrato, autorizar uma maior amplitude no domínio da sua conservação pelos operadores, contanto se garanta a sua segurança. Isto é, ainda que a medida de conservação constitua em si mesma uma compressão de direitos fundamentais constitucionalmente consagrada - e, assim, passível de um juízo autónomo de censura - do ponto de vista da proporcionalidade da restrição aos direitos à reserva da intimidade da vida privada e à autodeterminação informativa (sobretudo nos cânones da necessidade e da proporcionalidade em sentido estrito), não é indiferente a consideração das condições de análise, tratamento e transmissão às autoridades públicas dos dados conservados. Apesar de a sua simples conservação constituir, por si só, uma limitação daqueles direitos, a intensidade da restrição depende em boa medida das garantias inerentes à transmissão e acesso a esses dados.

Foi esta a opção tomada por este Tribunal no Acórdão n.º 420/2017, quando apreciou a constitucionalidade da obrigação de conservação dos dados de base pelos operadores de telecomunicações, consagrada no artigo 4.º da Lei n.º 32/2008: «Também é de ter em atenção o regime previsto para o acesso a estes dados, com limitação do universo de titulares de dados sujeitos à transmissão (artigo 9.º, n.º 3, da Lei n.º 32/2008), e impondo a necessidade de autorização prévia, por despacho fundamentado do juiz de instrução, que deve respeitar os princípios da adequação, necessidade e proporcionalidade, a requerimento do Ministério Público ou da autoridade de polícia criminal competente (artigo 9.º, n.os 1, 2 e 4, da Lei n.º 32/2008)». Igualmente, foi o iter seguido pelo TEDH no Acórdão Breyer, cit., a propósito da conformidade com o artigo 8.º da CEDH do regime de conservação dos dados de base relativos aos cartões SIM: para concluir que a obrigação de conservação desses dados não viola a CEDH, por obedecer ao princípio da proporcionalidade, o Tribunal de Estrasburgo levou em consideração o regime da transmissão daqueles dados às autoridades públicas (§§100 e 101), bem como as condições de que dispõem os sujeitos visados para controlar o acesso a tais dados pelos órgãos de investigação criminal (§103).

Ora, tendo em conta que o direito da União Europeia, tal como recebido pelo n.º 4 do artigo 8.º da Constituição, prescreve uma interpretação dos parâmetros constitucionais em conformidade com as normas europeias, de modo a alcançar o seu pleno efeito útil (cf. supra, ponto 8.), a modificação da metodologia já seguida pelo Tribunal Constitucional apenas se imporia caso redundasse em proteção jusfundamental incompatível com os parâmetros extraíveis da CDFUE. No fundo, só se dessa forma se concluísse por um juízo de não inconstitucionalidade e se as normas fiscalizadas fossem tidas por incompatíveis com o direito da União Europeia seria necessário apurar se a ponderação isolada das normas fiscalizadas implicaria conclusão diversa que, assim, pudesse ter-se como mais adequada à plena eficácia do direito da União Europeia.

Deste modo, razões não há para que, prima facie, se altere a orientação seguida por este Tribunal no Acórdão n.º 420/2017.

15 - Ao determinar a conservação e o armazenamento dos dados pessoais aí elencados pelo período de um ano, as normas dos artigos 4.º e 6.º da Lei n.º 32/2008, de 17 de julho, constringem, pelo menos, os direitos à reserva da intimidade da vida privada, ao livre desenvolvimento da personalidade e à autodeterminação informativa. Com efeito, o excurso precedido (cf. ponto 12.) demonstra que aquela normação afeta o conteúdo das garantias constitucionais.

Deste modo, o problema que é posto ao Tribunal é o de saber se estão preenchidos os pressupostos para a legitimidade constitucional da compressão. O que depende, atenta a natureza de direitos, liberdades e garantias dos direitos restringidos, da necessidade de salvaguardar outros direitos ou interesses constitucionalmente protegidos e do estrito cumprimento do princípio da proporcionalidade.

Não parecem restar dúvidas que a investigação, prevenção e repressão de crimes graves, definidos como «crimes de terrorismo, criminalidade violenta, criminalidade altamente organizada, sequestro, rapto e tomada de reféns, crimes contra a identidade cultural e integridade pessoal, contra a segurança do Estado, falsificação de moeda ou títulos equiparados a moeda e crimes abrangidos por convenção sobre segurança da navegação aérea ou marítima» [alínea g) do n.º 1 do artigo 2.º da Lei n.º 32/2008] - finalidade elencada no n.º 1 do artigo 1.º da Lei n.º 32/2008 - assume relevo constitucional, por se dirigir à salvaguarda da legalidade democrática e da ação penal. Isso mesmo, aliás, foi reconhecido no Acórdão do Tribunal Constitucional n.º 420/2017 e está em consonância com a conclusão do Tribunal de Justiça, no Acórdão Digital Rights, segundo a qual a luta contra a criminalidade grave e o terrorismo constituem objetivos de interesse geral da União (n.os 41 a 43).

Nestes termos, há que apurar se as medidas em causa, enquanto restrições a direitos, liberdades e garantias, cumprem os demais pressupostos constitucionais a que se sujeitam.

16 - No seguimento das conclusões precedentes, e ainda antes de quaisquer ponderações de proporcionalidade, é desde logo evidente que as normas fiscalizadas não obedecem a uma das condições de que depende a conformidade constitucional das medidas legislativas relativas à conservação de dados pessoais: o legislador não prescreveu a necessidade de o armazenamento dos dados ocorrer no território da União Europeia, pondo em causa a efetividade dos direitos avalizados pelos n.os 1 e 4 do artigo 35.º da Constituição, interpretados em conformidade com o disposto nos artigos 7.º e 8.º da CDFUE.

Ao admitir que tais dados possam ser conservados em países subtraídos à fiscalização por autoridade administrativa independente e aos direitos de auditoria dos visados, o legislador transgride a injunção de previsão do seu armazenamento em local em que sejam efetivas as garantias constitucionais de proteção e a intervenção da autoridade administrativa independente (n.º 2 do artigo 35.º da Constituição), falecendo a garantia de proteção destes dados contra a devassa ou difusão. Com efeito, o ordenamento apenas tutelou a transferência para Estados terceiros de tais dados pessoais e somente no que respeita a pessoas singulares; não tendo determinado, como resultava da injunção constitucional, a obrigação de armazenamento desses dados num Estado-Membro da União Europeia.

É quanto basta para concluir pela inconstitucionalidade, por violação do direito à autodeterminação informativa, consagrado nos n.os 1 e 4 do artigo 35.º da Constituição, interpretado em conformidade com o disposto nos artigos 7.º e 8.º da CDFUE, das normas contidas nos artigos 4.º e 6.º da Lei n.º 38/2008, de 17 de julho.