Acórdão do Tribunal Constitucional n.º 268/2022 — Declara a inconstitucionalidade, com força obrigatória geral, da norma constante do artigo 4.º da Lei n.º 32/2008, de…

17 - Sucede, no entanto, que não seria suficiente cumprir aquela injunção para que se pudesse concluir pela solvência constitucional de tais normas. Com efeito, mesmo que o legislador tivesse previsto tal obrigação, as normas fiscalizadas sempre envolveriam - pelo menos quanto aos dados de tráfego - uma restrição desproporcionada aos direitos consagrados nos n.os 1 e 4 do artigo 35.º da Constituição, em conjugação com o n.º 1 do artigo 26.º, interpretados em conformidade com o disposto nos artigos 7.º e 8.º da CDFUE. Vejamos.

17.1 - Quanto aos dados de base (cf. supra, ponto 6.1.), o problema não é totalmente inédito para o Tribunal Constitucional. No Acórdão n.º 420/2017, este Tribunal debruçou-se sobre a conformidade constitucional da obrigação de conservação de um dos dados de base pelos fornecedores de serviços de comunicações eletrónicas ou de uma rede pública de comunicações: o nome e endereço do assinante ou do utilizador registado, a quem o endereço do protocolo IP está atribuído [artigo 4.º, n.º 1, alínea a), 2.ª parte, e artigo 4.º, n.º 2, alínea b), subalínea iii), da Lei n.º 32/2008]. Quanto a estes, e só quanto a estes, o Tribunal Constitucional - ponderando as garantias da lei em matéria de acesso e transmissão dos dados conservados às autoridades com competência criminal - concluiu pela conformidade constitucional do regime de conservação:

«Neste juízo é necessário ponderar, de um lado, a natureza relativamente pouco invasiva da privacidade dos dados em questão (dados de base), dizendo respeito à identidade do utilizador, e o período temporal de conservação (um ano) - após o qual os dados são destruídos (artigo 7.º, n.º 1, alínea e), da Lei n.º 32/2008), tendo em conta, por outro lado, a natureza especialmente grave dos crimes em questão e a centralidade destes dados para a condução da investigação criminal. Também é de ter em atenção o regime previsto para o acesso a estes dados, com limitação do universo de titulares de dados sujeitos à transmissão (artigo 9.º, n.º 3, da Lei n.º 32/2008), e impondo a necessidade de autorização prévia, por despacho fundamentado do juiz de instrução, que deve respeitar os princípios da adequação, necessidade e proporcionalidade, a requerimento do Ministério Público ou da autoridade de polícia criminal competente (artigo 9.º, n. 1, 2 e 4, da Lei n.º 32/2008). Por esses motivos, a norma objeto do presente recurso não viola o princípio da proporcionalidade decorrente do artigo 18.º, n.º 2, da Constituição».

Resta saber se os pressupostos de que a Constituição faz depender a restrição ao direito à reserva da intimidade da vida privada e à autodeterminação informativa - sobretudo elencados nos n.os 2 e 3 do artigo 18.º - se verificarão quanto aos demais dados de base elencados no artigo 4.º da Lei n.º 32/2008, de 17 de julho. E, constando a restrição de lei parlamentar, o problema jurídico central radicará na proporcionalidade da medida, importando saber se o juízo de conformidade constitucional que decorre do Acórdão n.º 420/2017 (relativo à identificação do utilizador a que está atribuído um determinado endereço de IP - o endereço numérico do computador, identificável pela sua atribuição a cada momento pelo gestor de rede ou pelo fornecedor de acesso à Internet) pode ser estendido à obrigação de conservação de todos os dados de base elencados no artigo 4.º da Lei n.º 38/2008, pelo período temporal de um ano.

Com relevo para a apreciação deste problema, deve frisar-se que, do ponto de vista estrutural, os dados de base (que são, como se viu, dados pessoais) não têm todos natureza equivalente. Com efeito, a identificação de um utilizador de um número de telefone ou de um endereço de protocolo IP dinâmico é bastante distinta: o primeiro é permanente, esteja ou não em utilização; o segundo envolve informação da sua utilização num determinado momento, revelando por isso não apenas o utilizador como também a utilização da internet num determinado contexto. Razão pela qual o Tribunal Constitucional Federal Alemão (Acórdão de 17 de julho de 2020 [1 BvR 1873/13 - 1 BvR 2618/13], §§ 101 e 102) sustentou dever ser classificado como dado de tráfego.

Não foi esta a orientação fixada por este Tribunal, no Acórdão n.º 420/2017. Aí se concluiu que obrigação de conservar os dados relativos ao «nome e o endereço do assinante ou do utilizador registado, a quem o endereço do protocolo IP» estava atribuído "no momento da comunicação" constitui um dos dados de base: «Atendendo ao enquadramento descrito, a questão de inconstitucionalidade a analisar diz respeito a apenas um dos referidos tipos de "metadados": os dados de base. Assim é, pois trata-se de "os elementos necessários ao acesso à rede, designadamente através da ligação individual e para utilização própria do respetivo serviço: interessa aqui essencialmente o número e os dados através dos quais o utilizador tem acesso ao serviço" (cf. Acórdão n.º 486/2009, ponto 2.2)». Razão pela qual o Tribunal Constitucional mobilizou, quanto a estes dados, a jurisprudência desenvolvida em matéria de dados de base.

Não parece dever mudar-se a orientação de que o regime jurídico-constitucional relevante para a apreciação da medida de conservação dos endereços de protocolo de IP dinâmicos que identificam a fonte da comunicação deve ser o dos dados de base. Na verdade, ainda que seja discutível a respetiva categorização (porquanto o apuramento do endereço de protocolo IP dinâmico pressupõe a análise do momento em que se realizou uma concreta comunicação), a intensidade de agressão aos direitos à reserva da intimidade da vida privada e à autodeterminação informativa é, neste domínio, similar ao dos demais dados de base. Com efeito, o apuramento da identidade do utilizador da fonte da comunicação a quem estava atribuído o protocolo IP em certo momento não revela as circunstâncias da comunicação, a sua duração, a pessoa com quem se comunica ou os sites consultados; limita-se a identificar, tal como nos demais dados de base, o utilizador daquele computador.

Esta conclusão é, de resto, condicente com a orientação seguida pelo Tribunal de Justiça no Acórdão La quadrature du net, cit. n.º 152: «Importa observar que os endereços IP, apesar de fazerem parte dos dados de tráfego, são gerados sem estarem ligados a uma comunicação específica e servem principalmente para identificar, por intermédio dos prestadores de serviços de comunicações eletrónicas, a pessoa singular proprietária de um equipamento terminal a partir do qual é efetuada uma comunicação através da Internet. Assim, em matéria de correio eletrónico e de telefonia através da Internet, desde que apenas sejam conservados os endereços IP da fonte da comunicação e não os do seu destinatário, esses endereços não revelam, enquanto tais, nenhuma informação sobre terceiros que tenham estado em contacto com a pessoa que está na origem da comunicação. Por conseguinte, esta categoria de dados tem um grau de sensibilidade menor que o dos outros dados de tráfego».

17.2 - Resta verificar se a obrigação de conservação dos dados de base (e, independentemente da sua classificação, dos endereços de protocolo IP dinâmicos que identificam a fonte de uma comunicação), enquanto medida restritiva dos direitos à reserva da intimidade da vida privada e à autodeterminação informativa, respeita o princípio da proporcionalidade.

No que toca à adequação às finalidades de interesse geral de prevenção, deteção e repressão de crimes graves, a conservação temporal daqueles dados constitui instrumento adequado à identificação do utilizador. Com efeito, apesar de atingir direitos fundamentais tão iminentes como a privacidade, a intimidade e a autodeterminação informativa (na sua dimensão de confidencialidade de dados pessoais), ela tende à proteção de valores constitucionalmente protegidos - a segurança interna, a legalidade democrática e o exercício da ação penal no combate à criminalidade -, potenciando a eficácia da atividade estadual de investigação e repressão de crimes graves. Ideia que, aliás, é consonante com o juízo do Tribunal de Justiça no Acórdão Digital Rights Ireland relativo à obrigação de conservação destes dados que constava da Diretiva 2006/24/CE: «No que respeita à questão de saber se a conservação dos dados é adequada à realização do objetivo prosseguido pela Diretiva 2006/24, cumpre observar que, tendo em conta a crescente importância dos meios de comunicação eletrónica, os dados que devem ser conservados em aplicação desta diretiva permitem às autoridades nacionais competentes em matéria penal dispor de possibilidades suplementares de elucidação das infrações graves e, portanto, nesta perspetiva, constituem um instrumento útil nas investigações penais. Assim, a conservação desses dados pode ser considerada adequada à realização do objetivo prosseguido pela dita diretiva». E que encontra, aliás, suporte direto na jurisprudência do TEDH, no Acórdão Breyer, cit., §87.

Note-se que, nos termos da jurisprudência consolidada do Tribunal Constitucional, não há que garantir - no que respeita à adequação - se a medida fiscalizada é a mais eficaz na persecução do objetivo a que tende, mas apenas a sua vocação para as finalidades subjacentes. Tem-se entendido que uma medida é considerada idónea desde que se revele apta a atingir o seu objetivo, mesmo que o faça de forma pouco eficiente. Nestes termos, ainda que a providência de conservação dos dados de base possa não lograr o seu objetivo quando os utilizadores utilizem SIMs anónimos ou operadores situados fora da Europa através de roaming - preocupações reveladas pelo Tribunal Constitucional da República Checa, em obiter dictum (Acórdão de 22 de Março de 2001, proc. Pl. ÚS 24/10, §56) -, o subprincípio da adequação não se tem por violado se aquela medida, em abstrato, propender à identificação dos sujeitos envolvidos em crimes graves.

17.3 - Menos evidente é o cumprimento dos demais crivos (da exigibilidade e da proporcionalidade em sentido estrito), no que respeita a saber se a medida ultrapassa o estritamente necessário para as finalidades que visa alcançar e se, ainda que assim não seja, a agressão aos direitos fundamentais protegidos é contrapesada pelos efeitos alcançados. A questão põe-se não só quanto à definição do prazo da sua conservação - que estará, também ele, sujeito à demonstração da sua exigibilidade, limitando-se ao estritamente necessário para os objetivos visados - como no que tange ao universo de dados abrangido pela medida de conservação.

A fixação do período temporal de conservação (um ano) pode questionar-se atendendo à circunstância de ter o legislador fixado um período geral, aplicável a todas as categorias de dados elencadas no artigo 4.º e independentemente da sua diferente natureza (cf. n.º 64 do Acórdão Digital Rights Ireland). Independentemente do mérito da observação, a circunstância de a conservação das diferentes categorias de metadados reclamar um juízo de constitucionalidade independente (por consubstanciarem níveis diferentes de intensidade na agressão aos direitos fundamentais em causa), implica que, nesta sede, se cinja a apreciação à proporcionalidade da medida de conservação de dados de base pelo período de um ano.

Ora, no que concerne aos dados de base, o período de conservação de um ano não é desrazoável, não se demonstrando que a previsão de um prazo de conservação mais curto pudesse garantir similar eficácia. É crível que a investigação criminal possa necessitar de dados de identificação dos utilizadores do ano imediatamente anterior ao momento em que a informação é tida por essencial. Sobretudo, tendo em conta que a investigação dos crimes graves em cujo âmbito o acesso pode ser pedido é previsivelmente complexa e demorada, sendo pouco provável que imediatamente após a prática da infração criminal estejam identificados os dados cujo acesso é imprescindível à descoberta da verdade. Não se vislumbrando, de resto, qualquer meio menos lesivo que permita equivalente eficácia na realização dos objetivos a que a medida se destina. A isto acresce que o grau de agressão ao direito à intimidade da vida privada pela conservação dos dados de base é menos gravoso do que os demais metadados elencados no artigo 4.º da Lei n.º 32/2008, de 17 de julho (pois apenas identificam o utilizador do meio de comunicação em causa), o que é balanceado pelos efeitos positivos em matéria de ação penal.

A questão mais problemática reside no universo de sujeitos e dados abrangidos, tendo em consideração que a norma fiscalizada postula uma conservação generalizada dos dados de todos os utilizadores e assinantes. Ainda que não sejam conjeturáveis medidas menos intrusivas que apresentem similar eficácia, pode questionar-se se a delimitação do universo pessoal e material da obrigação de retenção (todos os dados de todos os utilizadores e assinantes) não constituirá uma solução desproporcionada por referência àquelas finalidades. Com efeito, sendo certo que a restrição da obrigação de conservação a um âmbito limitado de visados reduziria a eficácia da investigação criminal - porquanto ficariam por preservar dados que, a final, se viriam a considerar relevantes - há que saber se se verifica um equilíbrio razoável entre a eficiência acrescida decorrente da obrigação generalizada de conservação de todos os metadados de todas as pessoas e a afetação dos direitos à reserva da intimidade da vida privada e à autodeterminação informativa.

O legislador nacional, quanto à conservação de outros dados relevantes para a investigação criminal (que são dados pessoais na aceção do artigo 35.º da Constituição) tomou opções distintas, não havendo estabelecido um universo indiferenciado de visados. Pense-se, por exemplo, na base de dados de perfis de ADN, em que se não determinou a conservação de todos os dados de todos os cidadãos - mas apenas de um leque circunscrito de sujeitos (voluntários, pessoas condenadas em processo criminal; arguidos em processo criminal; etc. - artigo 15.º da Lei n.º 5/2008, de 12 de fevereiro, na versão que lhe foi conferida pela Lei n.º 90/2017, de 22 de agosto). Ou, ainda, no regime estatuído pelo artigo 12.º da Lei do Cibercrime (Lei n.º 109/2009, de 15 de setembro), que plasma uma possibilidade de quick-freeze, admitindo que a autoridade judiciária (ou o órgão de polícia criminal, nos casos do n.º 2) requeira ao fornecedor do serviço a preservação e conservação dos dados determinados como necessários à produção da prova, a partir do momento em que é feito o pedido. Em contraste, nas normas fiscalizadas, consagrou-se uma solução que indiscutivelmente apresenta maior eficácia, abrangendo todos os dados de todos os utilizadores.

O juízo quanto à proporcionalidade da medida restritiva não é, neste domínio, desligado do Direito da União Europeia: como se viu, está-se no seu âmbito - em concreto, o disposto no n.º 1 do artigo 15.º da Diretiva 2002/58/CE - pelo que a proteção conferida pela CDFUE, tal como interpretada pelo TJUE, influirá na apreciação levada a cabo pelo Tribunal Constitucional. Ora, a resposta à questão de saber se o regime da conservação destes dados, considerados isoladamente, contraria a CDFUE foi dada pelo Tribunal de Justiça no dia 6 de outubro de 2020, no citado Acórdão La quadrature du net. Neste aresto, a compatibilidade com a CDFUE das medidas nacionais (francesas) de conservação de metadados pelos fornecedores de comunicações eletrónicas foram analisadas de modo distinto quanto à medida de conservação dos endereços de protocolo IP que identificam a fonte da comunicação e à medida de conservação dos demais dados de tráfego e localização. Com efeito, como supra se viu, independentemente da categorização dos endereços de protocolo IP dinâmicos que identificam a fonte de uma comunicação, concluiu o TJUE que as medidas nacionais que estabeleçam a sua conservação generalizada, mesmo restringindo os direitos consagrados nos artigos 7.º e 8.º da CDFUE (respeito pela vida privada e familiar; proteção de dados pessoais), deve ter-se por compatível com o direito da União Europeia, por cumprir o crivo da proporcionalidade (Acórdão La quadrature du net, cit., n.º 152). Tendo em conta a mais baixa intensidade da agressão aos direitos fundamentais, e subordinando a medida da conservação ao princípio da proporcionalidade, o Tribunal de Justiça concluiu pela viabilidade, à luz do quadro jusfundamental da União Europeia, da imposição generalizada de conservação daqueles dados (endereços de protocolos de IP e demais dados de base - identidade civil dos titulares de números de telefone e de endereços de correio eletrónico) pelo período de um ano:

«154 - Ora, para efeitos da necessária ponderação dos direitos e dos interesses em causa exigida pela jurisprudência referida no n.º 130 do presente acórdão, há que ter em conta o facto de, no caso de uma infração cometida em linha, o endereço IP poder constituir o único meio de investigação que permite a identificação da pessoa à qual esse endereço estava atribuído no momento da prática dessa infração. A isto acresce o facto de a conservação dos endereços IP pelos prestadores de serviços de comunicações eletrónicas para lá do período de atribuição destes dados não se afigurar, em princípio, necessária para efeitos da faturação dos serviços em causa, pelo que a deteção das infrações cometidas em linha pode, por esse motivo, como referiram vários Governos nas suas observações apresentadas ao Tribunal de Justiça, revelar-se impossível sem recurso a uma medida legislativa nos termos do artigo 15.º, n.º 1, da Diretiva 2002/58. Isto pode ocorrer, como alegaram esses Governos, com infrações particularmente graves em matéria de pornografia infantil, como a aquisição, a difusão, a transmissão ou a colocação à disposição em linha de pornografia infantil, na aceção do artigo 2.º, alínea c), da Diretiva 2011/93/UE do Parlamento Europeu e do Conselho, de 13 de dezembro de 2011, relativa à luta contra o abuso sexual e a exploração sexual de crianças e a pornografia infantil, e que substitui a Decisão-Quadro 2004/68/JAI do Conselho (JO 2011, L 335, p. 1).

155 - Nestas condições, embora seja verdade que uma medida legislativa que prevê a conservação dos endereços IP de todas as pessoas singulares proprietárias de um equipamento terminal a partir do qual pode ser efetuado um acesso à Internet visa pessoas que, à primeira vista, não têm uma relação, na aceção da jurisprudência referida no n.º 133 do presente acórdão, com os objetivos prosseguidos e que os internautas são titulares, conforme referido no n.º 109 do presente acórdão, do direito de esperar, por força dos artigos 7.º e 8.º da Carta, que a sua identidade não seja, em princípio, revelada, uma medida legislativa que prevê a conservação generalizada e indiferenciada apenas dos endereços IP atribuídos à fonte de uma ligação não se afigura, em princípio, contrária ao artigo 15.º, n.º 1, da Diretiva 2002/58, lido à luz dos artigos 7.º, 8.º, 11.º e 52.º, n.º 1, da Carta, desde que essa possibilidade esteja sujeita ao estrito respeito das condições materiais e processuais que devem reger a utilização desses dados.

156 - Tendo em conta o caráter grave da ingerência nos direitos fundamentais consagrados nos artigos 7.º e 8.º da Carta que esta conservação comporta, só a luta contra a criminalidade grave e a prevenção das ameaças graves contra a segurança pública são suscetíveis, à semelhança da salvaguarda da segurança nacional, de justificar essa ingerência. Além disso, o período de conservação não pode exceder o estritamente necessário à luz do objetivo prosseguido. Por último, uma medida desta natureza deve prever requisitos e garantias estritas quanto à exploração desses dados, nomeadamente através de um rastreio das comunicações e atividades efetuadas em linha pelas pessoas em causa.

157 - No que diz respeito, por último, aos dados relativos à identidade civil dos utilizadores dos meios de comunicações eletrónicos, estes dados não permitem, por si só, conhecer a data, a hora, a duração e os destinatários das comunicações efetuadas, nem os locais onde estas comunicações decorreram ou a frequência das mesmas com determinadas pessoas durante um determinado período, de modo que não fornecem, com exceção das coordenadas destes, tais como os seus endereços, nenhuma informação sobre as comunicações efetuadas nem, consequentemente, sobre a sua vida privada. Assim, a ingerência que comporta uma conservação destes dados não pode, em princípio, ser qualificada de grave (v., neste sentido, Acórdão de 2 de outubro de 2018, Ministerio Fiscal, C-207/16, EU:C:2018:788, n.os 59 e 60).

158 - Daqui decorre que, em conformidade com o que foi referido no n.º 140 do presente acórdão, as medidas legislativas que visam o tratamento desses dados enquanto tais, nomeadamente a sua conservação e o acesso a estes apenas para efeitos da identificação do utilizador em causa, e sem que os referidos dados possam ser associados a informações relativas às comunicações efetuadas, podem ser justificadas pelo objetivo de prevenção, de investigação, de deteção e de repressão de infrações penais em geral, a que se refere o artigo 15.º, n.º 1, primeiro período, da Diretiva 2002/58 (v., neste sentido, Acórdão de 2 de outubro de 2018, Ministerio Fiscal, C-207/16, EU:C:2018:788, n.º 62).

159 - Nestas condições, tendo em conta a necessária ponderação dos direitos e interesses em causa e pelas razões que figuram nos n.os 131 e 158 do presente acórdão, há que considerar que, mesmo na falta de ligação entre todos os utilizadores dos meios de comunicações eletrónicos e os objetivos prosseguidos, o artigo 15.º, n.º 1, da Diretiva 2002/58, lido à luz dos artigos 7.º, 8.º, 11.º e 52.º, n.º 1, da Carta, não se opõe a uma medida legislativa que impõe, sem prazo específico, aos prestadores de serviços de comunicações eletrónicas a conservação de dados relativos à identidade civil de todos os utilizadores de meios de comunicações eletrónicos para efeitos de prevenção, investigação, deteção e repressão de infrações penais, assim como da salvaguarda da segurança pública, não sendo necessário que as infrações penais ou que as ameaças ou as ofensas à segurança pública sejam graves».

Quer isto dizer que, no que respeita aos dados de base (e aos endereços de protocolo IP que identificam a fonte da comunicação, independentemente da sua classificação), o direito da União Europeia não põe em causa a ponderação de proporcionalidade feita pelo Tribunal Constitucional no Acórdão n.º 420/2017, sendo esta conforme ao parâmetro europeu, cujo sentido foi já clarificado pela jurisprudência do Tribunal de Justiça. Em consequência, concluindo-se pela bondade constitucional da conservação dos endereços do protocolo IP da fonte da comunicação - enquanto dado que pode espelhar uma agressão mais intensa no direito à intimidade da vida privada, por pressupor um tratamento do momento do acesso à internet, no caso dos endereços dinâmicos - por maioria de razão será igualmente conforme aos requisitos do n.º 2 do artigo 18.º a conservação de dados de base que não pressupõem a análise de quaisquer comunicações (números de telefone, endereços de correio eletrónico, etc.).

Para esta conclusão concorre, ainda, o facto de a transmissão destes dados às autoridades competentes para a investigação criminal ser particularmente estrita, prevendo o legislador um leque de garantias que asseguram que apenas serão acedidos em situações de estrita necessidade para a ação penal em crimes graves. Como se disse no Acórdão n.º 420/2017:

«O princípio da proporcionalidade em sentido estrito veda a adoção de medidas que se apresentem como excessivas (desproporcionadas) para atingir os fins visados. Neste juízo é necessário ponderar, de um lado, a natureza relativamente pouco invasiva da privacidade dos dados em questão (dados de base), dizendo respeito à identidade do utilizador, e o período temporal de conservação (um ano) - após o qual os dados são destruídos (artigo 7.º, n.º 1, alínea e), da Lei n.º 32/2008), tendo em conta, por outro lado, a natureza especialmente grave dos crimes em questão e a centralidade destes dados para a condução da investigação criminal. Também é de ter em atenção o regime previsto para o acesso a estes dados, com limitação do universo de titulares de dados sujeitos à transmissão (artigo 9.º, n.º 3, da Lei n.º 32/2008), e impondo a necessidade de autorização prévia, por despacho fundamentado do juiz de instrução, que deve respeitar os princípios da adequação, necessidade e proporcionalidade, a requerimento do Ministério Público ou da autoridade de polícia criminal competente (artigo 9.º, n.os 1, 2 e 4, da Lei n.º 32/2008). Por esses motivos, a norma objeto do presente recurso não viola o princípio da proporcionalidade decorrente do artigo 18.º, n.º 2, da Constituição».

17.4 - Este juízo de conformidade constitucional é igualmente válido quanto aos dados de base que conduzam à identificação de pessoas coletivas - que estão excluídos do âmbito de aplicação do RGPD (n.º 1 do artigo 1.º) e da Lei n.º 59/2019, de 8 de agosto (artigo 1.º), mas expressamente abrangidos pelas normas fiscalizadas (artigo 4.º, em conjugação com o artigo 1.º da Lei n.º 32/2008, de 17 de julho).

Desde logo, é controvertida a atribuição às pessoas coletivas dos direitos fundamentais restringidos pelas normas fiscalizadas, tendo em conta que a Constituição apenas lhes outorga os direitos compatíveis com a sua natureza (n.º 2 do artigo 12.º). A norma do n.º 2 do artigo 12.º da Constituição implica, como se afirmou no Acórdão do Tribunal Constitucional n.º 279/2009, que «as pessoas coletivas não são equiparadas às pessoas singulares. Na verdade, "as pessoas coletivas só têm os direitos compatíveis com a sua natureza, ao passo que as pessoas singulares têm todos os direitos, salvo os especificamente concedidos apenas a pessoas coletivas (v.g., o direito de antena). E tem de reconhecer-se que, ainda quando certo direito fundamental seja compatível com essa natureza e, portanto, suscetível de titularidade 'coletiva' (hoc sensu), daí não se segue que a sua aplicabilidade nesse domínio vá operar exatamente nos mesmos termos e com a mesma amplitude com que decorre relativamente às pessoas singulares"». Em consequência, a titularidade de direitos fundamentais pelas pessoas coletivas depende de um fator circunscritivo - a compatibilidade com a sua natureza - , critério que obriga a uma aferição em cada uma das posições jusfundamentais. O que implica apurar se os direitos à reserva da intimidade da vida privada e à autodeterminação informativa são compatíveis com a natureza coletiva da pessoa moral, de modo a determinar se tais entidades jurídicas deles são titulares e, nesse caso, se têm o mesmo conteúdo e amplitude que revestem no quadro das pessoas singulares.

No que respeita aos direitos à reserva da vida privada e ao livre desenvolvimento da personalidade (consagrados no artigo 26.º da Constituição), embora a sua raiz na dignidade humana pareça conduzir à conclusão da respetiva incompatibilidade com a natureza das pessoas coletivas, não se exclui que alguns dos direitos aí consagrados possam receber tutela constitucional (e, no domínio de aplicação do direito da União Europeia, proteção pela CDFUE), na medida em que não sejam inseparáveis da personalidade singular.

Simplesmente, o seu sentido tutelador não é já o da tutela da dignidade da pessoa humana, mas a prevenção de danos patrimoniais indiretos, uma vez que a razão do seu amparo se liga à sua atuação, restrita às respetivas atribuições. A esfera de sigilo das pessoas coletivas (compreendendo o sigilo de correspondência, o desenho de organização, funcionamento e know-how, e o «segredo de negócio») implicará uma amplitude necessariamente distinta, como o Tribunal Constitucional vem confirmando: «a "aplicação" dos direitos fundamentais às pessoas colectivas não pode deixar de levar em conta a particular natureza destas - e de tal modo que seguramente tem de reconhecer-se que ainda quando certo direito fundamental seja compatível com essa natureza, e portanto suscetível de titularidade "coletiva" (hoc sensu), daí não se segue que a sua aplicabilidade nesse domínio se vá operar exactamente nos mesmos termos e com a mesma amplitude com que decorre relativamente às pessoas singulares» (Acórdão n.º 198/85). Ora, este raciocínio, desenvolvido pelo Tribunal Constitucional quanto à inviolabilidade da correspondência das pessoas coletivas, pode estender-se às demais dimensões do direito à reserva da vida privada - sendo certo que não estará aqui a "vida familiar" mas a "vida privada da pessoa coletiva", abrangendo o segredo de negócio. Aliás, no quadro europeu, ainda em momento anterior à CDFUE, o Acórdão do Tribunal de Justiça de 22 de outubro de 2002, Roquette Frères, proc. C-94/00, declarava a existência de um «princípio geral de direito comunitário que consagra a proteção contra as intervenções arbitrárias e desproporcionadas do poder público na esfera da atividade privada de uma pessoa singular ou coletiva», aceitando por isso, pelo menos do ponto de vista abstrato, a titularidade desses direitos por parte de pessoas coletivas.

Também no quadro do direito à autodeterminação informativa, essencialmente contido no artigo 35.º da Constituição, se tradicionalmente se entendia que a natureza pessoal dos dados indica uma tutela restrita às pessoas singulares, a verdade é que Constituição não veda a atribuição do direito a pessoas coletivas, pelo menos quanto às dimensões que sejam compatíveis com a sua natureza. É esta, de resto, a posição da CNPD, que sustenta ser «cada vez mais duvidoso que possa continuar a considerar-se como exclusivo destinatário das medidas de protecção em matéria de dados pessoais as pessoas singulares, esquecendo as pessoas colectivas» (Parecer n.º 18/2000). Simplesmente, ainda que se admita a atribuição do direito à autodeterminação informativa a pessoas coletivas, o seu escopo é necessariamente distinto: sendo esta construída como direito-garantia de outros direitos fundamentais, a sua relevância no domínio das pessoas coletivas funcionará como tutela de não divulgação e tratamento automatizado dos seus elementos individualizadores (designadamente, modelo organizacional, o segredo de negócio e informações comerciais e industriais).

Deste modo, ainda que os direitos pessoais consagrados nos artigos 26.º e 35.º da Constituição sejam encabeçados por pessoas coletivas, eles podem ser restringidos de modo mais amplo como, no plano da tutela conferida pela CDFUE, é expressamente reconhecido pelo Tribunal de Justiça (Acórdão de 9 de novembro de 2010, Volker e Markus Schecke, procs. C-92/09 e C-93/09, n.º 87: «a gravidade da violação do direito à proteção dos dados pessoais difere consoante estejam em causa pessoas singulares ou coletivas»), pois o seu âmbito de proteção é menor. Ora, o leque de dados ora analisado (os dados de base) não é apto a revelar qualquer segredo de negócio, de laboração ou qualquer informação comercial ou industrial. Apenas está em causa a informação de que dado número de telefone, endereço de correio eletrónico ou endereço de protocolo IP está atribuído a certa pessoa coletiva quando fonte de uma comunicação. Razão pela qual, no domínio dos dados de base, não custa admitir que se esteja fora do domínio de aplicação do direito à autodeterminação informativa às pessoas coletivas, por não estarem em causa os direitos ao segredo do negócio que são indiretamente tutelados por este direito.

Esta conclusão é, aliás, conforme ao direito da União Europeia, pois o TJUE, no Acórdão Tele2, cit., n.º 123, concluiu que a exigência de armazenamento de dados no território da União apenas se liga à proteção de dados pessoais relativos a pessoa singulares, excluindo expressamente os dados relativos a pessoas coletivas: «os Estados-Membros devem garantir o controlo, por parte de uma autoridade independente, do respeito do nível de proteção garantido pelo direito da União em matéria de proteção das pessoas singulares relativamente ao tratamento dos dados pessoais» (sublinhado aditado).

Razão pela qual a obrigação de conservação de dados de base (e de endereços de protocolo IP dinâmicos relativos à fonte de uma comunicação, independentemente da respetiva categorização) pelo período de um ano, constante da conjugação das normas dos artigos 4.º e 6.º da Lei n.º 32/2008, de 17 de julho, não seria em si mesma inconstitucional, se o legislador houvesse cumprido a injunção de prever o seu armazenamento no território da União Europeia.

18 - O mesmo não pode concluir-se quanto à obrigação de conservação dos dados de tráfego, gerados a propósito de uma específica comunicação, com especial relevância para os dados de localização.

A conservação dos dados de localização, ainda que não sejam gerados em virtude de uma comunicação pessoal, materializam uma agressão mais intensa à intimidade da vida privada dos sujeitos privados do que a preservação dos dados de base, ao permitirem identificar, a todo o tempo, a posição e os movimentos dos utilizadores. O mesmo se diga quanto aos dados de tráfego, mesmo quando não pressupõem uma comunicação (ou sua tentativa) interpessoal, como os sítios da internet consultados, por quanto tempo, em que momento e a quantidade de tráfego gerado. Estes dados permitem traçar um perfil do utilizador, identificar os seus interesses e mesmo reconhecer, em certos casos, o tipo de conteúdos consultados. Como se disse no Acórdão n.º 464/2019, «Esta segunda categoria de dados de tráfego de internet, embora não envolva comunicação intersubjetiva, exprime vários aspetos da personalidade e do comportamento dos utilizadores, pertencendo a cada pessoa o direito de escolha quanto à partilha, ou não, destas informações com terceiros, bem como o poder de vedar o acesso de terceiros a estes dados e de controlar quem tem acesso a eles e em que momento. Por isso mesmo, estes dados de tráfego encontram-se incluídos no âmbito objetivo de proteção das normas constitucionais atinentes à reserva de intimidade da vida privada e à autodeterminação informativa, protegidas pelos artigos 26.º, n.º 1, e 35.º da CRP».

Note-se que, se as normas em crise parecem apenas determinar a conservação de dados relativos a comunicações, no que respeita aos dados de tráfego «necessários para identificar a data, a hora e a duração de uma comunicação» [alínea c) do n.º 1 do artigo 4.º], determina-se a conservação de dados que são gerados pela simples utilização da internet, independentemente de qualquer comunicação intersubjetiva [alínea b) do n.º 4 do artigo 4.º]: «A data e a hora do início (log in) e do fim (log off) da ligação ao serviço de acesso à Internet com base em determinado fuso horário, juntamente com o endereço do protocolo IP, dinâmico ou estático, atribuído pelo fornecedor do serviço de acesso à Internet a uma comunicação». Ora, a conservação destes dados de navegação, mesmo que não abranja os conteúdos consultados, afeta a privacidade e a proteção dos dados pessoais de modo particularmente intenso. Como se concluiu no Acórdão n.º 464/2019, «o tratamento não consentido dos respetivos dados de tráfego põe em causa valores e interesses do utilizador, tais como (i) a confiança que tem na segurança e reserva dos sistemas informáticos do fornecedor do serviço de acesso à internet; (ii) o interesse em decidir, ele mesmo, acerca da utilização que poderá ser efetuada das suas informações pessoais; (iii) o interesse em não ser sujeito a decisões exclusivamente automatizadas dos seus dados; (iv) o interesse em conhecer, dispor, controlar, atualizar, corrigir ou apagar os dados pessoais que lhe digam respeito; (v) o interesse em conhecer a finalidade do tratamento dos seus dados (vi) o interesse na não divulgação de dados objeto de tratamento».

O facto de a conservação destes dados materializar uma agressão mais intensa dos direitos fundamentais à intimidade da vida privada tem reflexos na proporcionalidade da restrição. Como sublinhou o Tribunal de Justiça no Acórdão La quadrature du net (cit.), n.º 131, «decorre da jurisprudência do Tribunal de Justiça que a possibilidade de os Estados-Membros justificarem uma limitação aos direitos e às obrigações previstos, nomeadamente, nos artigos 5.º, 6.º e 9.º da Diretiva 2002/58 deve ser apreciada através da medição da gravidade da ingerência que tal limitação implica e da verificação de que a importância do objetivo de interesse geral prosseguido por esta limitação está relacionada com essa gravidade».

Ora, a restrição aos direitos fundamentais agredidos com esta regulamentação não obedece às exigências de proporcionalidade, desde logo por atenção ao âmbito alargado da medida. O que, de resto, coincide com a conclusão do Tribunal de Justiça - versando apenas sobre os dados que, entre nós, são classificados como dados de tráfego e dados de localização - sobre o carácter manifestamente excessivo da conservação generalizada destes dados quanto a todos os utilizadores e assinantes, no Acórdão La quadrature du net, cit., n.os 141 a 144:

«141 - Uma regulamentação nacional que prevê a conservação generalizada e indiferenciada de dados de tráfego e de dados de localização, com vista a lutar contra a criminalidade grave, excede os limites do estritamente necessário e não pode ser considerada justificada, numa sociedade democrática, como exige o artigo 15.º, n.º 1, da Diretiva 2002/58, lido à luz dos artigos 7.º, 8.º, 11.º e 52.º, n.º 1, da Carta (v., neste sentido, Acórdão de 21 de dezembro de 2016, Tele2, C-203/15 e C-698/15, EU:C:2016:970, n.º 107).

142 - Com efeito, tendo em conta o caráter sensível das informações que os dados de tráfego e os dados de localização podem fornecer, a sua confidencialidade é essencial para o direito ao respeito da vida privada. Assim, e tendo em conta, por um lado, os efeitos dissuasivos no exercício dos direitos fundamentais consagrados nos artigos 7.º e 11.º da Carta, referidos no n.º 118 do presente acórdão, que a conservação desses dados pode produzir e, por outro, a gravidade da ingerência que tal conservação implica, é necessário, numa sociedade democrática, que esta seja a exceção e não a regra, como prevê o sistema instituído pela Diretiva 2002/58, e que esses dados não possam ser objeto de uma conservação sistemática e contínua. Esta conclusão impõe-se mesmo em relação aos objetivos de luta contra a criminalidade grave e de prevenção das ameaças graves contra a segurança pública, bem como à importância que lhes deve ser reconhecida.

143 - Além disso, o Tribunal de Justiça sublinhou que uma regulamentação que prevê a conservação generalizada e indiferenciada de dados de tráfego e de dados de localização abrange as comunicações eletrónicas de quase toda a população sem que seja estabelecida nenhuma diferenciação, limitação ou exceção em função do objetivo prosseguido. Tal regulamentação, contrariamente à exigência recordada no n.º 133 do presente acórdão, afeta globalmente todas as pessoas que utilizam serviços de comunicações eletrónicas, sem que essas pessoas se encontrem, mesmo indiretamente, numa situação suscetível de justificar um procedimento penal. Por conseguinte, aplica-se inclusivamente a pessoas em relação às quais não haja indícios que levem a acreditar que o seu comportamento possa ter um nexo, ainda que indireto ou longínquo, com este objetivo de luta contra os atos de criminalidade grave e, em particular, sem que se estabeleça uma relação entre os dados cuja conservação se encontra prevista e uma ameaça para a segurança pública (v., neste sentido, Acórdãos de 8 de abril de 2014, Digital Rights, C-293/12 e C-594/12, EU:C:2014:238, n.os 57 e 58, e de 21 de dezembro de 2016, Tele2, C-203/15 e C-698/15, EU:C:2016:970, n.º 105).

144 - Em particular, como já declarou o Tribunal de Justiça, tal regulamentação não está limitada a uma conservação que tenha por objeto dados relativos a um período temporal e/ou uma zona geográfica e/ou a um círculo de pessoas que possam estar envolvidas de alguma forma numa infração grave, nem a pessoas que, por outros motivos, mediante a conservação dos seus dados, podiam contribuir para a luta contra a criminalidade grave (v., neste sentido, Acórdãos de 8 de abril de 2014, Digital Rights, C-293/12 e C-594/12, EU:C:2014:238, n.º 59, e de 21 de dezembro de 2016, Tele2, C-203/15 e C-698/15, EU:C:2016:970, n.º 106)»

Interpretando os direitos à reserva da intimidade da vida privada e à autodeterminação informativa à luz dos parâmetros europeus aqui convocáveis, há que reafirmar este juízo no plano constitucional. Com efeito, ainda que não se configurem medidas com a mesma eficácia do que a conservação de todos os dados de todas as pessoas, a ponderação de uma agressão tão grave com os efeitos positivos que se alcançam conduz à conclusão de que se trata de uma solução legislativa desequilibrada, por atingir sujeitos relativamente aos quais não há qualquer suspeita de atividade criminosa. Ao conservar todos os dados de localização e de tráfego de todos os assinantes, abrangem-se as comunicações eletrónicas da quase totalidade da população, sem qualquer diferenciação, exceção ou ponderação face ao objetivo perseguido. O legislador adota aqui um âmbito muito mais alargado (seja quanto às categorias de dados, seja quanto ao âmbito subjetivo) do que o crivo que foi seguido em outros ambientes normativos - cf. a opção legislativa em matéria de base de dados de ADN, de criminalidade informática (quick-freeze), a que supra se aludiu - abrangendo a agressão daqueles direitos fundamentais em situações que, num juízo de ponderação, não são contrapesadas pelos efeitos positivos no combate à criminalidade.

No fundo, se a medida de conservação de dados de tráfego e de localização em si mesma pode ser tida como adequada e necessária para os fins de interesse público que visa salvaguardar, a definição do leque de sujeitos visados só não transgride os limites da proporcionalidade na medida em que se dirija, de forma direta, às situações em que a agressão aos direitos fundamentais em causa possa ter-se por orientada à perseguição dos objetivos da ação penal. Neste quadro, por se ultrapassarem na medida fiscalizada os limites da proporcionalidade no que concerne ao respetivo âmbito subjetivo, viola-se o n.º 2 do artigo 18.º da Constituição na restrição aos direitos fundamentais à reserva da intimidade da vida privada e à autodeterminação informativa (artigos 26.º, n.º 1, e 35.º, n.º 1, da Constituição), perdendo relevância a questão de saber se os demais elementos de que dependeria a proporcionalidade da medida (o ajustamento do prazo de conservação ao estritamente necessário para os fins a alcançar; e a imposição de condições de segurança do respetivo armazenamento) são preenchidos pela regulamentação fiscalizada.

Razão pela qual deve ter-se por inconstitucional, por violação dos n.os 1 e 4 do artigo 35.º e do n.º 1 do artigo 26.º, em conjugação com o artigo n.º 18.º, n.º 2, da Constituição, a medida de conservação por um ano dos dados de tráfego e dos dados de localização, decorrente da conjugação do disposto do artigo 4.º com o artigo 6.º da Lei n.º 32/2008, de 17 de julho.

19 - Resta, por fim, apreciar a conformidade constitucional da norma do artigo 9.º da Lei n.º 32/2008, de 17 de julho, relativa ao regime de acesso aos dados pelas autoridades competentes em matéria de investigação criminal.

Também neste domínio, o regime nacional de transmissão dos dados conservados às autoridades nacionais está no âmbito de aplicação do direito da União Europeia, como de resto foi expressamente determinado pelo Tribunal de Justiça no Acórdão Tele2:

«76 - Também se enquadra no referido âmbito de aplicação uma medida legislativa que tem por objeto [...] o acesso das autoridades nacionais aos dados conservados pelos prestadores de serviços de comunicações eletrónicas.

77 - Com efeito, a proteção da confidencialidade das comunicações eletrónicas e dos dados de tráfego com elas relacionados, garantida no artigo 5.º, n.º 1, da Diretiva 2002/58, aplica-se às medidas tomadas por todas as pessoas que não sejam os utilizadores, independentemente de se tratar de pessoas singulares ou de entidades privadas ou públicas. Como confirma o considerando 21 desta diretiva, esta tem como objetivo impedir «o acesso» não autorizado às comunicações, incluindo a «quaisquer dados com elas relacionados», para proteger a confidencialidade das comunicações eletrónicas.

78 - Nestas condições, uma medida legislativa através da qual um Estado-Membro impõe, com fundamento no artigo 15.º, n.º 1, da Diretiva 2002/58, aos prestadores de serviços de comunicações eletrónicas, para os efeitos mencionados nesta disposição, a obrigação de conceder às autoridades nacionais, nas condições previstas nessa medida, o acesso aos dados conservados pelos referidos prestadores tem por objeto o tratamento de dados pessoais por parte destes últimos, tratamento que se enquadra no âmbito de aplicação desta diretiva».

Ora, na interpretação do disposto no artigo 15.º da Diretiva 2002/58/CE, à luz do estatuído nos artigos 7.º, 8.º e 52.º da CDFUE, o Tribunal de Justiça, no Acórdão Tele2, concluiu que a conformidade do regime de acesso aos dados pelas autoridades públicas com os direitos garantidos pela CDFUE depende, essencialmente, de três condições: estar limitado ao estritamente necessário para a prevenção, investigação, deteção e repressão de criminalidade grave (n.os 115 a 119); depender de um controlo judicial ou de entidade administrativa independente (n.º 120); ser comunicado o acesso às pessoas abrangidas, a partir do momento em que essa comunicação não seja suscetível de comprometer as investigações criminais (n.º 121). Requisitos que, aliás, condizem com a jurisprudência do Tribunal Europeu dos Direitos do Homem (TEDH), como se deu conta no Acórdão n.º 403/2015:

«um processo de acesso a dados, porque não sujeito ao escrutínio dos indivíduos visados, tem de ser compensado por uma lei suficientemente tuteladora dos direitos fundamentais (Acórdão de 06/06/2006, Segerstedt-Wiberg e outros c. Suécia, queixa n.º 62332/2000); que essa lei deve empregar termos suficientemente claros para possibilitar a todos os cidadãos terem conhecimento das circunstâncias e dos requisitos que permitem ao poder público fazer uso de uma medida secreta que lesa o direito à vida privada pessoal e familiar e à correspondência (Acórdão de 02/08/1984, Malone c. Reino Unido, queixa n.º 8691/79); que seria contrária às exigências do artigo 8.º, n.º 2, da CEDH se a ingerência nas telecomunicações fosse conferida aos poderes públicos através de um poder amplo e discricionário, e que são necessárias regras claras e detalhadas, especialmente devido ao facto de a tecnologia disponível se tornar cada vez mais sofisticada, a fim de garantir uma proteção adequada contra ingerências arbitrárias (Acórdão de 16/02/2000, Amann c. Suíça, queixa n.º 27798/95); e nos casos Valenzuela c. Espanha (Acórdão de 30/07/1998, queixa n.º 27671/95) e Prado Bugallo c. Espanha (Acórdão de 18/02/2003, queixa n.º 58496/00), chegou à mesma conclusão, afirmando que a lei que permitia a ingerência nas comunicações não era suficientemente clara e precisa, não mencionando a natureza das infrações que podem dar lugar às mesmas, a fixação de um limite de duração da medida, as condições de acesso aos dados e a eliminação dos mesmos».

Aliás, o TEDH pronunciou-se especificamente sobre o regime de interceção e acesso a dados de tráfego no Acórdão Big Brother Watch, cit., considerando tais medidas como uma interferência na vida privada das pessoas e, por isso, fixando pressupostos para a respetiva compatibilidade com o artigo 8.º da CEDH, como este Tribunal deu nota no Acórdão 464/2019:

«Relativamente à aquisição de dados previamente armazenados, o TEDH, no caso Big Brother Watch, estabelece os seguintes critérios de conformidade destas medidas ao artigo 8.º da CEDH (§§464 a 467): (1) o regime deve estar de acordo com a lei, no sentido de esta ser clara, acessível e de efeitos previsíveis para os cidadãos; (2) deve prosseguir um objetivo legítimo, (3) e ser necessário numa sociedade democrática, restringindo-se ao combate à criminalidade grave; (4) o acesso deve estar sujeito a uma autorização prévia decidida por um tribunal ou por uma entidade administrativa independente; (5) a lei deve providenciar garantias adequadas contra a arbitrariedade».

Ora, de acordo com a requerente (artigo 31.º do pedido), o regime de acesso aos dados armazenados pelas autoridades de investigação criminal obedece aos parâmetros desvelados pelo Tribunal de Justiça da CDFUE em sede de definição subjetiva e objetiva das circunstâncias em que pode a medida ser decretada. Todavia, não se prevê na Lei n.º 32/2008 a notificação aos sujeitos visados de que os dados relativos às suas comunicações foram transmitidos às autoridades públicas; condição expressamente enunciada como necessária para que se conclua pela compatibilidade com o artigo 15.º da Diretiva n.º 2002/52/CE, de acordo com o n.º 121 do citado Acórdão Tele2: «importa que as autoridades nacionais competentes às quais foi concedido o acesso aos dados conservados informem desse facto as pessoas em causa, no âmbito dos processos nacionais aplicáveis, a partir do momento em que essa comunicação não seja suscetível comprometer as investigações levadas a cabo por essas autoridades. Com efeito, essa informação é, de facto, necessária para permitir que essas pessoas exerçam, nomeadamente, o direito de recurso, explicitamente previsto no artigo 15.º, n.º 2, da Diretiva 2002/58, lido em conjugação com o artigo 22.º da Diretiva 95/46, em caso de violação dos seus direitos (v., por analogia, acórdãos de 7 de maio de 2009, Rijkeboer, C-553/07, EU:C:2009:293, n.º 52, e de 6 de outubro de 2015, Schrems, C-362/14, EU:C:2015:650, n.º 95)».

A inexistência da notificação aos visados de que os seus dados foram acedidos pelos órgãos competentes pela investigação criminal (uma vez terminado o processo em que tal tenha ocorrido) impedirá que estes possam exercer um controlo jurisdicional da legalidade daquela transmissão. O que é configurado como uma violação do direito de acesso à via judiciária efetiva, uma vez que se impede, na prática, o exercício de ação judicial contra eventuais arbitrariedades ou abusos naquele acesso: servindo a tutela jurisdicional efetiva para a salvaguarda dos direitos fundamentais, a impossibilidade da sua defesa materializará uma violação do direito à tutela jurisdicional efetiva.

19.1 - Ainda que assim seja, duas notas prévias devem sublinhar-se.

Em primeiro lugar, a eventual lesão do direito à tutela jurisdicional efetiva depende do reconhecimento de um direito ou interesse legalmente protegido (o direito de os sujeitos visados controlarem a transmissão dos dados às autoridades de investigação criminal) para cuja proteção a via judiciária deve dar resposta. E se tal direito for atribuído pela Constituição, os parâmetros constitucionais relevantes serão não apenas o feixe de posições jurídicas consagradas no artigo 20.º, mas também a pretensão substantiva constitucionalmente outorgada. A tal não obsta o princípio do pedido, que não vincula o Tribunal Constitucional quanto ao fundamento da inconstitucionalidade (n.º 5 do artigo 51.º da LTC) - nada impedindo que a norma do artigo 9.º da Lei n.º 32/2008, de 17 de julho, na medida em que não prevê «em momento algum desse procedimento, a necessidade de informar o interessado (a pessoa a que se referem os dados que foram transmitidos) quanto à existência mesma do procedimento», possa ver a constitucionalidade declarada à luz de normas ou princípios constitucionais diferentes daqueles que a requerente indicou.

Ora, como supra se viu, o direito à autodeterminação informativa, consagrado no artigo 35.º da Constituição, abrange a faculdade de controlo efetivo, pelo titular, dos dados pessoais tratados. Assim, a eventual inoperância de mecanismos de fiscalização da utilização conferida aos dados conservados - a dificultando o controlo pelo titular - materializará também uma compressão do direito à autodeterminação informativa.

Em segundo lugar, olhando o ordenamento jurídico no seu todo, não pode concluir-se pela inexistência de mecanismos que permitam ao visado conhecer os termos do acesso das autoridades de investigação criminal aos seus dados e, se necessário, reagir judicialmente.

Desde logo, o RGPD expressamente prevê o direito de o titular obter dos fornecedores de comunicações eletrónicas a informação de que os seus dados foram objeto de tratamento, no n.º 1 do artigo 15.º: «o titular dos dados tem o direito de obter do responsável pelo tratamento a confirmação de que os dados pessoais que lhe digam respeito são ou não objeto de tratamento e, se for esse o caso, o direito de aceder aos seus dados pessoais e às seguintes informações: (...) Os destinatários ou categorias de destinatários a quem os dados pessoais foram ou serão divulgados, nomeadamente os destinatários estabelecidos em países terceiros ou pertencentes a organizações internacionais».

A isto acresce que o legislador pátrio, em transposição da Diretiva (UE) 2016/680, previu expedientes que permitem aos visados conhecer as medidas de transmissão, podendo desse modo exercer o controlo da respetiva legalidade. Com efeito, a Lei n.º 59/2019, de 8 de agosto, determina que o responsável pelo armazenamento dos dados é obrigado a facultar ao titular dos dados pessoais retidos, a seu pedido, informações sobre a sua transmissão [artigo 13.º e alínea c) do n.º 2 do artigo 15.º], bem como a apresentar queixa à autoridade de controlo de eventuais violações do regime jurídico [alínea f) do n.º 2 do artigo 15.º da Lei n.º 59/2019, de 8 de agosto]. O que explica, aliás, a obrigação de os fornecedores de serviços de comunicações eletrónicas elaborarem «registos da extração dos dados transmitidos às autoridades competentes e enviá-los trimestralmente à CNPD» (n.º 5 do artigo 9.º da Lei n.º 32/2008, de 17 de julho). Em conformidade, a informação de que os dados foram transmitidos só pode ser recusada para evitar prejuízos para investigações criminais, execução de sanções penais, proteção da segurança pública ou proteção de direitos, liberdades e garantias de terceiros (n.º 1 do artigo 16.º da Lei n.º 59/2019, de 8 de agosto), caso em que a rejeição da prestação dessa informação é judicialmente controlável, mediante ação judicial especialmente prevista e de cuja existência é o visado informado (n.º 2 do artigo 16.º e artigo 18.º, todos da Lei n.º 59/2019, de 8 de agosto).

Nessa medida, o ordenamento vigente atribui ao titular dos dados o direito a conhecer que estes foram transmitidos às autoridades de investigação criminal quando essa informação não seja já necessária às investigações criminais em curso. Prevendo-se mecanismos judiciais (artigo 18.º, n.º 3 da Lei n.º 59/2019, de 8 de agosto) e administrativos (artigo 18.º, n.º 2 da Lei n.º 59/2019, de 8 de agosto) de controlo de eventuais recusas dessa transmissão.

19.2 - É neste contexto que deve analisar-se se a ausência de uma notificação ao visado de que os seus dados foram acedidos comprime, de forma desproporcionada, os direitos à autodeterminação informativa (nas suas dimensões de faculdade de conhecer que os seus dados foram tratados e difundidos a terceiros; e de exercer um controlo efetivo sobre os dados pessoais) e a uma tutela jurisdicional efetiva. Sendo certo que, por se estar no âmbito de aplicação do direito da União Europeia, o juízo de proporcionalidade da restrição não pode desligar-se daquele que, no domínio comunitário, parametriza as restrições aos direitos garantidos pelos artigos 7.º e 8.º da CDFUE.

O sistema vigente permite ao titular dos dados indagar se houve acessos pelas autoridades competentes para a ação penal, passando para o interessado a responsabilidade de pesquisar - de motu proprio e independentemente de qualquer notícia de que tenha sido investigado pela prática de crimes graves - a informação sobre a transmissão dos metadados. Dito de outro modo, o controlo efetivo do indivíduo sobre a transmissão dos dados ocorrerá apenas quando o sujeito visado tiver uma intuição ou pressentimento de que possa ter sido investigado, cabendo-lhe então solicitar aos fornecedores de comunicações um esclarecimento sobre a ocorrência de um acesso das autoridades de investigação criminal aos dados pessoais.

Ora, ainda que se permita uma possibilidade de conhecimento, certo é que, do ponto de vista pragmático, este figurino é menos eficaz do que se o visado fosse notificado que as entidades competentes para a ação penal conheceram os dados armazenados - criando-lhe, desse modo, condições efetivas para não só saber da difusão dos seus dados como de exercer um controlo sobre a licitude e regularidade daquele acesso. Assim não sendo, o escrutínio efetivo da transmissão de dados dependerá de um ónus de, periodicamente, o indivíduo se interessar pela questão de saber se tais informações foram acedidas.

Em consequência, um regime jurídico como aquele que é fiscalizado é menos infalível na prevenção de abusos ou acessos indevidos aos dados armazenados, por comparação com um sistema que informasse o visado de que aquela intromissão existiu. E, sobretudo, limita de forma bastante maior o conhecimento efetivo da difusão de dados pessoais a terceiros: a generalidade dos cidadãos não utilizará a faculdade de pedir ao fornecedor de comunicações eletrónicas a informação sobre a transmissão dos dados (artigo 15.º da Lei n.º 59/2019, de 8 de agosto), pelo que a grande maioria dos acessos aos dados pelos órgãos de investigação criminal ocorrerá sem que o visado possa alguma vez dela aperceber-se. Como sustenta a requerente no artigo 94.º do pedido, «o facto de se não prever, em momento algum desse procedimento, a necessidade de informar o interessado (a pessoa a que se referem os dados que foram transmitidos) quanto à existência mesma do procedimento, faz com que tal existência se tome imperceptível aos olhos de quem por ela é afectado. Nestas circunstâncias, comprometidas ficam, não apenas a possibilidade de se vir a conhecer a informação que, a respeito de cada um, obteve a autoridade pública, mas ainda a faculdade de reacção e defesa contra eventuais acessos ilegítimos a essa mesma informação».

Neste quadro, o direito à autodeterminação informativa - na sua dimensão de garantia de controlo efetivo dos dados pessoais - está a ser objeto, pela norma em crise, de uma limitação. Restando saber se obedece aos requisitos de proporcionalidade que decorrem do artigo 18.º da Constituição.

Assim não é. Desde logo, porque ainda que o visado não esteja desprotegido (estando ao seu alcance o poder de questionar, de motu proprio, se ocorreu o acesso aos seus dados por terceiros, no âmbito da deteção, investigação ou repressão de crimes graves) não se descobre qualquer motivo constitucionalmente relevante que legitime a inexistência de uma notificação ao titular dos dados, uma vez concluindo-se pela sua desnecessidade para o processo penal, de que eles foram transmitidos às autoridades de investigação criminal.

Mas ainda que a medida se revelasse adequada à proteção de outro valor constitucionalmente relevante, certo é que a restrição ao direito de controlo dos dados pessoais não é necessária, por existirem alternativas mais tuteladoras do direito à autodeterminação informativa que deixariam intocadas os eventuais efeitos positivos da medida. Com efeito, a notificação ao visado de que tal transmissão ocorreu - a partir do momento em que tal comunicação não seja já suscetível de comprometer as investigações ou de constituir risco para a integridade física ou vida de terceiros - constituiria opção menos restritiva, sem que se vislumbre qualquer redução de eficácia face aos expedientes vigentes. Ora, a viabilidade de alternativas menos limitativas e similarmente eficazes ao direito de controlo sobre os dados pessoais conduz, inelutavelmente, à conclusão pela desnecessidade ou inexigibilidade da restrição.

Note-se que não parece ser determinante que o procedimento de transmissão de dados dependa de um controlo do juiz de instrução (n.º 1 do artigo 9.º da Lei n.º 32/2008) - artigo 95.º do pedido. Essa garantia reduz, é certo, os riscos de arbitrariedade no acesso de terceiros a dados pessoais; mas nada acrescenta no exercício do direito fundamental que aqui se restringe: o direito de ser o titular dos dados a conhecer o tratamento que lhes é dado e a poder controlar a respetiva utilização.

Esta conclusão é ainda suportada pelo facto de, estando-se no domínio de aplicação do direito da União Europeia, o juízo de proporcionalidade na restrição não se desligar daquele que decorre do parâmetro europeu, sendo a jurisprudência do Tribunal de Justiça particularmente inequívoca (Acórdão Tele2, cit., n.º 121): «importa que as autoridades nacionais competentes às quais foi concedido o acesso aos dados conservados informem desse facto as pessoas em causa, no âmbito dos processos nacionais aplicáveis, a partir do momento em que essa comunicação não seja suscetível comprometer as investigações levadas a cabo por essas autoridades. Com efeito, essa informação é, de facto, necessária para permitir que essas pessoas exerçam, nomeadamente, o direito de recurso, explicitamente previsto no artigo 15.º, n.º 2, da Diretiva 2002/58, lido em conjugação com o artigo 22.º da Diretiva 95/46, em caso de violação dos seus direitos» (sublinhado aditado).

Ao não se prever tal notificação restringe-se de modo desproporcionado o direito à autodeterminação informativa, consagrado no artigo 35.º, n.º 1, da Constituição (na dimensão de controlo do acesso de terceiros a dados pessoais) afetando, igualmente, o direito a uma tutela jurisdicional efetiva (artigo 20.º, n.º 1, da Constituição), por prejudicar a viabilidade prática de exercício de controlo judicial de acessos abusivos ou ilícitos aos dados conservados.

III - Decisão

Pelos fundamentos expostos, o Tribunal Constitucional decide:

Atesto o voto de conformidade da Senhora Conselheira Mariana Canotilho (que subscreve declaração de voto conjunta) e do Senhor Conselheiro António Ascensão Ramos, que participaram na sessão por videoconferência.

Lisboa, 19 de abril de 2022. - Afonso Patrão (subscrevendo declaração de voto conjunta) - José João Abrantes (subscrevo declaração de voto conjunta) - José Teles Pereira (subscrevo declaração de voto conjunta) - José Eduardo Figueiredo Dias - Pedro Machete [subscrevo declaração de voto conjunta. Quanto à alínea a) do dispositivo, penso que na lógica argumentativa do presente acórdão - da qual todavia me afasto nos termos e pelos fundamentos da citada declaração -, continuando a seguir a jurisprudência dos Acórdãos n.os 403/2015 e 463/2019, os n.os 1 e 4 do artigo 34 da Constituição também deveria ser mobilizado como parâmetro do juízo de inconstitucionalidade] - Assunção Raimundo (subscrevo a declaração de voto conjunta) - Joana Fernandes Costa (subscrevo declaração de voto conjunta) - Gonçalo de Almeida Ribeiro (subscrevo declaração de voto conjunta) - Lino Rodrigues Ribeiro (vencido, de acordo com declaração junta) - João Pedro Caupers (subscrevo a declaração de voto conjunta).

Declaração de voto conjunta

Subscrevemos integralmente a decisão. No entanto, e tal como sustentou a requerente, consideramos que as normas dos artigos 4.º e 6.º da Lei n.º 32/2008, 17 de julho, materializam também uma restrição desproporcionada do direito à inviolabilidade das comunicações, consagrado nos n.os 1 e 4 do artigo 34.º da Constituição, ao determinarem a conservação generalizada dos dados de tráfego gerados pelas comunicações entre pessoas (ou sua tentativa).

A garantia de inviolabilidade das comunicações, que vincula as entidades privadas (cf. Acórdão n.º 464/2019), dirige-se à proteção de uma esfera de privacidade e de sigilo no específico domínio das comunicações interpessoais. A Constituição consagra uma garantia constitucional autónoma face àquela que já decorreria do n.º 1 do artigo 26.º da Constituição; uma defesa constitucional independente quanto à proteção das comunicações, com um regime de inviolabilidade mais intenso e cujas exceções são constitucionalmente determinadas. E que abrange não apenas o conteúdo da comunicação como os dados de tráfego gerados a seu propósito (Acórdão n.º 403/2015).

Nessa medida, ainda que se considerasse que a agressão ao direito à inviolabilidade das comunicações pudesse ser incluída no âmbito da «matéria de processo criminal», tendo especialmente em conta que se procede a uma ingerência nas comunicações entre pessoas que não estão, sequer remotamente, ligadas a qualquer processo criminal, consideramos que deveria ter sido mobilizado como parâmetro do juízo positivo de inconstitucionalidade o direito consagrado nos n.os 1 e 4 do artigo 34.º da Constituição. - Afonso Patrão, atestando também a subscrição da Declaração pela Senhora Conselheira Mariana Canotilho. José João Abrantes. Assunção Raimundo.

Declaração de voto

(apresentada conjuntamente pelos Conselheiros José António Teles Pereira, Maria Benedita Urbano, Pedro Machete, Joana Fernandes Costa, Gonçalo de Almeida Ribeiro e João Pedro Caupers)

1 - Concordando com a declaração de inconstitucionalidade com força obrigatória geral das normas indicadas no pedido - os artigos 4.º, 6.º e 9.º da Lei n.º 32/2008, de 17 de julho - , entendemos que nos parâmetros constitucionais desse juízo teria de constar - adicionalmente aos artigos 35.º, n.os 1 e 4, 26.º, n.º 1, e 20.º, n.º 1, em conjugação com o artigo 18.º, n.º 2, da CRP - o artigo 8.º, n.º 4 da CRP, referido ao seu segmento inicial. A inclusão deste parâmetro, dando conteúdo à necessária projeção do Direito da União Europeia (DUE) na apreciação da questão colocada, assinala que a aplicação deste - nos termos por ele próprio definidos - é neste caso determinante do percurso conducente à decisão. Aliás, na fundamentação do pedido, foi esse o caminho que a Requerente, a título principal, indicou (pontos 44 a 46 do requerimento (1)), sendo de natureza assumidamente subsidiária a referência subsequente a um controlo "[...] à luz de parâmetros exclusivamente decorrentes do texto da Constituição da República" (ponto 47 do requerimento).

Por outro lado, a definição dos termos em que o DUE condiciona o juízo de inconstitucionalidade, corresponde a um outro ponto de afastamento dos subscritores da presente declaração da fundamentação do Acórdão. Referimo-nos concretamente ao recurso, no processo de construção da decisão, ao princípio da interpretação conforme ao Direito da União.

São estas divergências que explicitaremos nos subsequentes pontos da presente declaração.

1.1 - Desde logo o Acórdão parte de um equívoco, qual seja, o de que os tribunais ordinários e o Tribunal Constitucional são chamados a apreciar e decidir questões distintas: os tribunais ordinários a apreciar uma questão de desaplicação do direito nacional que contraria regras de DUE; o Tribunal Constitucional uma questão de validade - e não de mera desaplicação - de normas nacionais que, de igual modo, contrariam regras de DUE.

Na realidade, o problema é o mesmo - qual seja, o da necessidade de dar solução a situações de contrariedade de regras de DUE por parte de normas de Direito nacional. A forma de o decidir é que é distinta, devendo ter-se em consideração as diferentes competências atribuídas pela Constituição aos tribunais ordinários e ao Tribunal Constitucional.

Partindo de uma dicotomia desaplicação/invalidação das normas, chega-se, no Acórdão, à seguinte conclusão. No caso dos tribunais ordinários, os mesmos deverão desaplicar as normas internas com base no princípio do primado das regras de DUE - tal como são por eles desaplicadas as normas julgadas inconstitucionais em sede de controlo concreto. No caso do Tribunal Constitucional, o problema da contrariedade surge no âmbito de um controlo abstrato de constitucionalidade, sendo de assinalar que a referida dicotomia deixa por explicar todo o vasto domínio da fiscalização concreta - em que se aprecia a validade constitucional de uma norma, mas o efeito do juízo positivo de inconstitucionalidade é a sua desaplicação no caso concreto. Ora, no controlo de tipo abstrato, a contrariedade de uma norma com a Constituição gera a invalidade da norma, e a mesma invalidade deve ser mobilizada para os casos de contrariedade da norma interna com o DUE. Sucede que isto cria alguns escolhos em termos do controlo a efetuar, designadamente, por se entender que as normas de Direito Europeu não podem constituir ou servir de parâmetro de inconstitucionalidade, o qual será sempre e unicamente a própria Constituição ("O juízo de inconstitucionalidade - e, assim, de invalidade da norma nacional - depende da desconformidade das normas fiscalizadas com o seu parâmetro hierarquicamente superior - maxime, a Constituição"). Ao invés, porém, de defender a invalidade das normas internas por força da violação da primeira parte do n.º 4 do artigo 8.º da CRP, mais concretamente, das obrigações às quais Portugal ficou adstrito por conta da sua adesão às, então, Comunidades Europeias, na fundamentação do Acórdão optou-se por sustentar a invalidade das normas internas recorrendo ao princípio da interpretação conforme (com o DUE). Especificando, aí se afirma que as normas internas são inválidas por violação de direitos fundamentais consagrados na Constituição da República, designadamente por serem os mesmos restringidos de forma desproporcionada pelas normas impugnadas, direitos e princípio da proporcionalidade interpretados em conformidade com o DUE.

Este tipo de raciocínio seguido no Acórdão - os tribunais ordinários desaplicam a norma interna convocando o princípio do primado do Direito Europeu e o Tribunal Constitucional invalida a norma interna recorrendo ao princípio da interpretação conforme - suscita-nos as maiores dúvidas. Dúvidas essas que têm que ver essencialmente, como adiante melhor se explicitará, com a utilização da figura da interpretação conforme com um sentido que não corresponde à lógica que lhe é própria. Na verdade, a aplicação da interpretação conforme consubstancia uma forma de suprir a falta de um efeito direto de certas normas de Direito Europeu através da produção de um efeito útil.

Num outro plano, pode afirmar-se que a interpretação conforme com o Direito Europeu constitui um poder-dever do juiz ordinário. Sinteticamente, a interpretação conforme é uma prática conciliatória que impõe ao juiz nacional a resolução, in casu, de uma contradição entre normas internas e normas de Direito Europeu pela via hermenêutica. O que encontra justificação na primazia do Direito Europeu, nos seguintes termos: se não for possível tornar operativa a interpretação conforme de uma norma interna - porque nenhum dos seus sentidos possíveis está conforme com o DUE -, essa norma deve ser desaplicada ou invalidada. Com o recurso à interpretação conforme, na medida em que se mostre operativa, não se chega a conhecer o problema da desconformidade das normas internas com o DUE. Admitindo-se a utilização da interpretação conforme pelo Tribunal Constitucional, a mesma, tendo em consideração a sua lógica própria, servirá necessariamente para salvar uma norma interna da sua inconstitucionalidade e não, como se faz no presente acórdão, para a fundar.

1.2 - Discordamos, assim, da construção através da qual o Tribunal caracteriza a incidência do DUE, como condicionante do juízo de inconstitucionalidade, lançando mão do princípio da interpretação conforme ao Direito da União Europeia. Com efeito, diversamente da lógica que presidiu à redação do Acórdão, entendemos resultar da conjugação dos artigos 7.º, n.º 6 e 8.º, n.º 4 da CRP, no quadro do DUE (por força do princípio da cooperação leal, na sua vertente negativa, decorrente do artigo 4.º, n.º 3, 3.º parágrafo, do TUE) e da jurisprudência do Tribunal Constitucional sobre a interação das duas ordens jurídicas (designadamente do Acórdão n.º 422/2020), que este Tribunal deveria ter assumido (integrando como condicionante), no iter conducente ao juízo de inconstitucionalidade, o que qualificamos como o standard europeu de controlo de proporcionalidade (referido às situações nacionais, designadamente as decorrentes da Diretiva 2006/24/CE (2), indutoras de uma situação de conservação generalizada e indiferenciada dos dados de tráfego e dos dados de localização relativos às comunicações eletrónicas). Tal standard foi fixado pelo Tribunal de Justiça da União Europeia (TJ), em 8 de abril de 2014, no Acórdão Digital Rights (processos C-293/12 e C-594/12) (3), que declarou inválida a Diretiva 2006/24/CE - tenha-se presente que essa invalidação, suprimindo a fonte de DUE transposta pela Lei n.º 32/2008, fez desaparecer as disposições determinantes, no seio do DUE, do exato conteúdo das normas nacionais que o Tribunal considerou inconstitucionais. É esta a solução que resulta da primeira parte do n.º 4 do artigo 8.º da CRP ("[a]s disposições dos Tratados que regem a União Europeia e as normas emanadas das suas instituições, no exercício das respetivas competências, são aplicáveis na ordem interna, nos termos definidos pelo Direito da União [...]"), no sentido em que tem de valer para normas de Direito nacional tão estreitamente conexionadas com normas de DUE - porque diretamente determinadas por estas, como obrigação de resultado (artigo 288.º, terceiro parágrafo, do TFUE) - o controlo, funcionalmente equivalente ao nacional, efetuado pelo TJ relativamente a essas normas de DUE, com base em valores paramétricos materialmente equivalentes aos que estão em causa na Constituição da República.

Entendemos que esta asserção é a que descreve adequadamente a teleologia do trecho inicial do referido n.º 4 do artigo 8.º, que aqui se aplica, e sublinhamos que a mesma está implícita no Acórdão n.º 422/2020. A circunstância de na presente situação estar em causa o exercício do controlo da constitucionalidade do Direito nacional, e não do DUE (como sucedia no Acórdão n.º 422/2020), não torna imprestável, neste contexto, a fundamentação constante desse aresto. Este, com efeito, interpretou e definiu o n.º 4 do artigo 8.º da CRP, nos dois espaços de alcance da jurisdição constitucional que nele coexistem, sendo que aqui releva, decididamente, o sentido que o Tribunal Constitucional fixou ao segmento inicial da norma, que nos permite deduzir, integrando os termos específicos do Direito da União, o caminho para a adequada abordagem do pedido, com base no princípio da cooperação leal - aliás, coisa diversa não resulta da fundamentação do presente Acórdão, ao recorrer, como pressuposto decisório, a um instituto próprio do DUE.

2 - A questão do parâmetro (a ausência no dispositivo da referência ao artigo 8.º, n.º 4, da CRP) reflete, pois, uma discordância de fundo quanto ao percurso argumentativo seguido nos itens 8.2. a 9.2. do Acórdão, onde a "relevância do direito europeu para o pedido formulado" é reconduzida a uma muito particular leitura do princípio da interpretação conforme ao Direito da União Europeia, arvorando-o, como antes dissemos, à categoria de chave de interpretação dos parâmetros constitucionais nacionais - numa leitura particularmente radical da projeção paramétrica do DUE na ordem constitucional nacional - conferindo ao princípio da interpretação conforme uma aptidão geral, ampla ao ponto de gerar juízos de invalidade total de normas - como aqui sucedeu - e não, como seria apropriado ao sentido de uma interpretação conforme, juízos de validação de determinadas dimensões interpretativas por referência a valores paramétricos pretendidos projetar nessas normas.

De facto, contrariamente ao que se depreende de diversos passos da fundamentação do Acórdão, a aplicação neste caso do princípio da interpretação conforme ao DUE, como justificativo dessa invalidade (total) das normas nacionais, desvirtua a própria ideia de interpretação conforme - de qualquer operação de interpretação conforme - , que se dirige à conservação de uma norma "problemática", posicionando-se como meio de evitar um juízo de invalidade desta. É paradoxal, pois, que o Tribunal, na fundamentação adotada, recorra a esse "mecanismo" destinado ao aproveitamento de algo (uma norma em determinada interpretação) para, na realidade, nada aproveitar. Veja-se que toda e qualquer dimensão interpretativa, passível de ser configurada quanto às normas objeto do pedido, é inviabilizada pela supressão pura e simples destas, através da declaração de inconstitucionalidade com força obrigatória geral, à qual não foi acrescentada - admitindo, apenas pro argumento, que o pudesse ser - qualquer condicionante interpretativa.

Assistimos, pois, a um uso desviado do princípio da interpretação conforme ao DUE na sua finalidade precípua: a "[...] procura de um sentido que resgate a norma interna do destino da desaplicação [...]", através da incorporação nesta do valor que o DUE expresse, por via de uma construção interpretativa que a norma - desde logo a sua letra -, seja apta a suportar. É que, esbarrando a interpretação conforme "[...] no limite da contradição literal ou da oposição entre regimes jurídicos", cessa o seu fundamento (4). Ademais, o recurso à interpretação conforme, que está teleologicamente direcionada à garantia de uma plena efetividade do DUE, justifica-se - mas só se justifica - , no quadro da tipologia dos atos jurídicos da União, em situações de ausência de efeito direto, decorrente da particular natureza da concreta fonte de DUE.

Todas estas asserções estão consolidadas na jurisprudência do TJ. Com efeito, para referir o exemplo mais recente que encontrámos, contendo uma caracterização geral do princípio da interpretação conforme, transcrevemos as seguintes passagens do Acórdão ZX, de 21 de outubro de 2021 (processo C-282/20):

"[...]

39 - Tendo em conta as interrogações suscitadas pelo tribunal de reenvio relativas à questão de saber se o direito da União impõe ou a interpretação conforme do direito nacional ou que fique inaplicada a disposição [deste] [...], importa recordar que, a fim de garantir a efetividade de todas as disposições do direito da União, o princípio do primado deste direito impõe, nomeadamente, aos órgãos jurisdicionais nacionais que, tanto quanto possível, interpretem o seu direito interno em conformidade com o direito da União (v., neste sentido, Acórdão de 24 de junho de 2019, ([ver documento original](https://files.diariodarepublica.pt/1s/2022/06/10800/0001800081.pdf)), C-573/17, EU:C:2019:530, n.º 57).

40 - Só quando é impossível proceder a uma interpretação da regulamentação nacional conforme com as exigências do direito da União é que o juiz nacional encarregado de aplicar as disposições do direito da União tem a obrigação de assegurar o seu pleno efeito deixando inaplicada se necessário, pela sua própria autoridade, toda e qualquer disposição contrária da legislação nacional, mesmo posterior, sem ter de requerer ou esperar pela sua eliminação prévia pela via legislativa ou por qualquer outro procedimento constitucional (v., neste sentido, Acórdão de 24 de junho de 2019, ([ver documento original](https://files.diariodarepublica.pt/1s/2022/06/10800/0001800081.pdf)), C-573/17, EU:C:2019:530, n.º 58 e jurisprudência referida).

41 - Assim, em caso de impossibilidade de interpretação conforme, qualquer juiz nacional, chamado a pronunciar-se no quadro da sua competência, tem, como órgão de um Estado-Membro, a obrigação de deixar inaplicada qualquer disposição nacional contrária a uma disposição do direito da União que tenha efeito direto no litígio que tem de decidir (v., neste sentido, Acórdão de 24 de junho de 2019, ([ver documento original](https://files.diariodarepublica.pt/1s/2022/06/10800/0001800081.pdf)), C-573/17, EU:C:2019:530, n.º 61 e jurisprudência referida). A este respeito, o Tribunal de Justiça já declarou que o artigo 6.º, n.º 3, da Diretiva 2012/13 [a disposição de DUE em causa no processo] deve ser considerado como tendo esse efeito direto (v., neste sentido, Acórdão de 14 de maio de 2020, Staatsanwaltschaft Offenburg, C-615/18, EU:C:2020:376, n.º 72).

[...]" (sublinhado acrescentado).

Este último aspeto - a ausência de efeito direto da disposição de DUE (circunstância que é particularizada no ponto 41 do Acórdão ZX) - carece, para uma correta compreensão do sentido e do âmbito de aplicação do princípio da interpretação conforme ao DUE, de algum enquadramento adicional.

2.1 - Importa ter presente, com efeito, que a construção do princípio pela jurisprudência do TJ - tomando como pontos de referência iniciais os Acórdãos Colson Kamann, de 10 de abril de 1984 (processo 14/83) e Marleasing, de 13 de novembro de 1990 (processo C-106/89) (5) e considerando as decisões posteriores sobre o princípio da interpretação conforme - assentou fundamentalmente na consideração de fontes de DUE desprovidas de efeito direto, ou portadoras de alguma ambiguidade quanto a essa característica. Ou seja, o TJ só considerou aptas à convocação do referido princípio, dentro da tipologia de fontes de Direito da União: (i) diretivas não transpostas ou deficientemente transpostas; (ii) disposições de uma Diretiva não contendo uma obrigação incondicional e suficientemente precisa (suscetível de induzir um efeito direto vertical); (iii) decisões-quadro (6). Daí que, a alternativa à interpretação conforme, quando esta não é (interpretativamente) possível, consistente na desaplicação da norma nacional em contradição com o DUE, dependa invariavelmente da circunstância de este ter efeito direto (7).

3 - A situação apresentada ao Tribunal pela Requerente (o destino das normas da Lei n.º 32/2008, face à invalidação pelo TJ da Diretiva que essas normas transpuseram) conduz-nos a um outro plano de incidência do DUE, distinto do da atuação do princípio da interpretação conforme, ao qual a questão do efeito direto é estranha. Coloca-nos, como já antes dissemos, no quadro de atuação do princípio da cooperação leal.

Com efeito, qualquer das normas indicadas pela Requerente (artigos 4.º, 6.º e 9.º da Lei n.º 32/2008) era redundante relativamente a normas da Diretiva 2006/24/CE invalidada, ou preen-chia espaços de regulação por esta abertos (8), tratando-se aqui, enquanto incidência relevante supervenientemente induzida pela dinâmica própria do DUE, de projetar o sentido de uma decisão do TJ de invalidação da "causa" (de DUE) que determinou as normas nacionais.

Ora, a obrigação de transposição de uma Diretiva - e a vinculação dos Estados-membros quanto ao resultado a alcançar (como estabelece o artigo 288.º, terceiro parágrafo, do TFUE: "[a] diretiva vincula o Estado-Membro destinatário quanto ao resultado a alcançar, deixando, no entanto, às instâncias nacionais a competência quanto à forma e aos meios") - dá expressão à vertente positiva do princípio da cooperação leal (artigo 4.º, n.º 3, 2.º parágrafo, parte final, do TUE), segundo o qual os Estados-membros tomam todas as medidas adequadas para garantir a execução das obrigações decorrentes (neste caso) dos atos das instituições da União.

Do mesmo modo, no caso de invalidade da Diretiva que fixa a obrigação de resultado, ou fim, aos Estados-Membros, cabe igualmente a estes, por força do princípio da cooperação leal - nas suas vertentes positiva e negativa (esta prevista no artigo, 4.º, n.º 3, 3.º parágrafo, do TUE: "[o]s Estados-membros facilitam à União o cumprimento da sua missão e abstêm-se de qualquer medida suscetível de pôr em perigo a realização dos objetivos da União") - não só não aplicar as normas adotadas em transposição da Diretiva, e que concretizam a sua obrigação de resultado, como de as eliminar do ordenamento jurídico nacional, assim pondo fim à contradição (aqui supervenientemente induzida pelo Acórdão Digital Rights) do Direito nacional com o Direito da União (9) - e/ou de as modificar (no quadro do princípio da subsidiariedade e no respeito por outras vinculações que possam advir do DUE).

É neste sentido, como manifestação atuante do princípio da cooperação leal, que, por força do artigo 8.º, n.º 4, primeira parte (10), da CRP, a projeção do controlo de proporcionalidade já efetuado pelo TJ no Acórdão Digital Rights aqui se impõe, enquanto manifestação do DUE (correspondente aos termos por ele definidos) e, consequentemente, como dado prévio que deve ser integrado na apreciação de constitucionalidade protagonizada pelo Tribunal Constitucional, não realizando este um controlo redundante daquele - que sempre envolverá a possibilidade, mesmo que eventual, de chegar a resultados diferentes dos correspondentes ao standard europeu fixado pelo TJ, que aqui deve ser projetado.

4 - Os subscritores do presente voto concordam com o resultado que o dispositivo expressa (exceção feita à omissão do parâmetro do artigo 8.º, n.º 4, da CRP), não se revendo, todavia - e corresponde a uma divergência significativa -, na parte da fundamentação do Acórdão que, na decisiva tarefa de procurar esclarecer a relação entre normas de direito interno agora, depois do Acórdão Digital Rights, suscetíveis de serem reconduzidas ao (ou lidas no quadro do) exercício da faculdade condicionada, prevista no artigo 15.º, n.º 1, da Diretiva 2002/58/CE, e a interpretação que dele faz o TJ à luz dos direitos consagrados nos artigos 7.º, 8.º e 11.º da CDFUE, não apenas desconsidera o sentido que o artigo 8.º, n.º 4, da CRP, atribui a este controlo, como convoca, em sua substituição, o princípio da interpretação conforme ao Direito da União Europeia. Nessa medida, e porque daquele controlo, funcionalmente equivalente àquele que seria autonomamente realizável pelo Tribunal Constitucional, decorre já que o nível de proteção dos direitos ao respeito pela vida privada, à proteção dos dados pessoais e à liberdade de expressão assegurado pela CDFUE é incompatível com regimes de direito interno como aquele que resulta das normas sob fiscalização, afastam-se do controlo de natureza sucedânea que a maioria considerou imperativo.

(1) "[...]

44.º Pelo que ainda que, no plano jurídico-constitucional, a declaração pelo TJUE da invalidade da Diretiva 2006/24/CE não tenha como efeito automático a invalidade da Lei n.º 32/2008, a deliberação do Tribunal Constitucional quanto à conformidade das normas constantes desse ato legislativo com a Constituição da República Portuguesa deve adotar uma fundamentação que, tanto quanto possível, seja consistente com a do TJUE nos acórdãos Digital Rights Ireland e Tele2.

45.º Em virtude da direta vinculação à Carta da Lei n.º 32/2008, tal «dever de consistência na fundamentação» retira-se do princípio da cooperação leal a que a República Portuguesa - e, portanto, todos os órgãos do Estado, inclusive de índole jurisdicional - se encontra vinculada (artigo 4.º, n.º 3, do Tratado da União Europeia).

46.º Em nosso entender, tanto bastaria para que o Tribunal Constitucional declarasse com força obrigatória geral, a inconstitucionalidade dos artigos 4.º, 6.º e 9.º da Lei n.º 32/2008, por violação do princípio da proporcionalidade na restrição dos direitos à reserva da intimidade da vida privada e familiar (artigo 26.º, n.º 1) e por violação do direito a uma tutela jurisdicional efetiva (artigo 20.º, n.º 1).

[...]".

(2) ...do Parlamento Europeu e do Conselho, de 15 de março, relativa à conservação de dados gerados ou tratados no contexto da oferta de serviços de comunicações eletrónicas publicamente disponíveis ou de redes públicas de comunicações, e que altera a Diretiva 2002/58/CE.

(3) E esse mesmo standard tem sido invariavelmente reafirmado pelo TJ, nos pronunciamentos subsequentes ao Acórdão Digital Rights em que uma conservação generalizada desses dados, não parametrizada por "filtros" (temáticos, geográficos, situacionais) previamente estabelecidos, confrontou o Tribunal - Acórdãos, Tele2 Watson (de 21/12/2016; procs. C-203/15 e C-698/15), Privacy International (06/10/2020; proc. C-623/17), La Quadrature du Net (de 06/10/2020; procs. C-511/18 e C-512/18); H. K. Prokuratur (de 02/03/2021; proc. C-746/18), e, como exemplo mais recente, no Acórdão Commissioner of the Garda Síochána (de 05/04/2022; proc. C-140/20):

"[...]

O artigo 15.º, n.º 1, da Diretiva 2002/58/CE do Parlamento Europeu e do Conselho, de 12 de julho de 2002, relativa ao tratamento de dados pessoais e à proteção da privacidade no setor das comunicações eletrónicas (Diretiva relativa à privacidade e às comunicações eletrónicas), conforme alterada pela Diretiva 2009/136/CE do Parlamento Europeu e do Conselho, de 25 de novembro de 2009, lido à luz dos artigos 7.º, 8.º, 11.º e 52.º, n.º 1, da Carta dos Direitos Fundamentais da União Europeia, deve ser interpretado no sentido de que se opõe a medidas legislativas que preveem, a título preventivo, para efeitos da luta contra a criminalidade grave e da prevenção de ameaças graves contra a segurança pública, uma conservação generalizada e indiferenciada dos dados de tráfego e dos dados de localização. Em contrapartida, o referido artigo 15.º, n.º 1, lido à luz dos artigos 7.º, 8.º, 11.º e 52.º, n.º 1, da Carta, não se opõe a medidas legislativas que prevejam, para efeitos da luta contra a criminalidade grave e da prevenção de ameaças graves contra a segurança pública:

• uma conservação seletiva dos dados de tráfego e dos dados de localização que seja delimitada, com base em elementos objetivos e não discriminatórios, em função das categorias de pessoas em causa ou através de um critério geográfico, por um período temporalmente limitado ao estritamente necessário, mas que pode ser renovado;

• uma conservação generalizada e indiferenciada dos endereços IP atribuídos à fonte de uma ligação, por um período temporalmente limitado ao estritamente necessário;

• uma conservação generalizada e indiferenciada de dados relativos à identidade civil dos utilizadores de meios de comunicações eletrónicos, e

• uma imposição aos prestadores de serviços de comunicações eletrónicas, através de uma decisão da autoridade competente sujeita a fiscalização jurisdicional efetiva, do dever de procederem, por um determinado período, à conservação rápida dos dados de tráfego e dos dados de localização de que esses prestadores de serviços dispõem, desde que essas medidas assegurem, mediante regras claras e precisas, que a conservação dos dados em causa está sujeita ao respeito das respetivas condições materiais e processuais e que as pessoas em causa disponham de garantias efetivas contra os riscos de abuso.

[...]".

(4) Citando e parafraseando, Maria Luísa Duarte, Direito da União Europeia. Lições Desenvolvidas, Lisboa, 2021, p. 350.