Acórdão do Tribunal Constitucional n.º 800/2023 — Pronuncia-se pela inconstitucionalidade da norma constante do artigo 2.º do Decreto n.º 91/XV, da Assembleia da…

Processo n.º 1130/23

Acordam, em Plenário, no Tribunal Constitucional

I. Relatório

1 - O Presidente da República requereu ao Tribunal Constitucional, ao abrigo do disposto no n.º 1 do artigo 278.º da Constituição da República Portuguesa (doravante, CRP) e dos artigos 51.º, n.º 1 e 57.º, n.º 1, ambos da Lei n.º 28/82, de 15 de novembro (Lei da Organização, Funcionamento e Processo do Tribunal Constitucional, adiante designada por LTC), a «apreciação da conformidade com a mesma Constituição das seguintes normas constantes do Decreto n.º 91/XV da Assembleia da República, recebido e registado na Presidência da República, no dia 2 de novembro, para ser promulgado como lei:

• A norma constante do artigo 2.º, na parte em que altera o artigo 4.º da Lei n.º 32/2008, de 17 de julho;

• A norma constante do artigo 2.º, na parte em que altera o artigo 4.º quando conjugado com o artigo 6.º da Lei n.º 32/2008, de 17 de julho;

• A norma constante do artigo 2.º, na parte em que altera o artigo 9.º da Lei n.º 32/2008, de 17 de julho».

O referido Decreto n.º 91/XV da Assembleia da República, publicado no Diário da Assembleia da República n.º 26, 2.ª série-A, de 26 de outubro de 2023, cujas normas são assim submetidas à apreciação deste Tribunal, em processo de fiscalização preventiva da constitucionalidade, «Regula o acesso a metadados referentes a comunicações eletrónicas para fins de investigação criminal, procedendo à segunda alteração à Lei n.º 32/2008, de 17 de julho, que transpõe para a ordem jurídica interna a Diretiva n.º 2006/24/CE, do Parlamento Europeu e do Conselho, de 15 de março, relativa à conservação de dados gerados ou tratados no contexto da oferta de serviços de comunicações eletrónicas publicamente disponíveis ou de redes públicas de comunicações, conformando-a com o Acórdão do Tribunal Constitucional n.º 268/2022, e à décima segunda alteração à Lei n.º 62/2013, de 26 de agosto, que aprova a Lei da Organização do Sistema Judiciário».

2 - Normas sindicadas

O artigo 2.º do Decreto n.º 91/XV, da Assembleia da República, de onde constam as normas sindicadas, tem o seguinte teor:

«Artigo 2.º

Alteração à Lei n.º 32/2008, de 17 de julho

Os artigos 2.º, 4.º, 6.º, 7.º, 9.º, 15.º, 16.º e 17.º da Lei n.º 32/2008, de 17 de julho, alterada pela Lei n.º 79/2021, de 24 de novembro, passam a ter a seguinte redação:

Artigo 4.º — [...]

1 - Os fornecedores de serviços de comunicações eletrónicas publicamente disponíveis ou de uma rede pública de comunicações devem conservar, nos termos previstos na presente lei, em Portugal ou no território de outro Estado-Membro da União Europeia, as seguintes categorias de dados:

2 - [...]

3 - [...]

4 - [...]

5 - [...]

6 - [...]

7 - [...]

Artigo 6.º — Período e regras de conservação

1 - Para efeitos da finalidade prevista no n.º 1 do artigo 3.º, as entidades referidas no n.º 1 do artigo 4.º devem conservar, pelo período de um ano a contar da data da conclusão da comunicação, os seguintes dados:

2 - Os dados de tráfego e de localização são conservados pelas entidades referidas no n.º 1 do artigo 4.º pelo período de três meses a contar da data da conclusão da comunicação, considerando-se esse período prorrogado até seis meses, salvo se o seu titular se tiver oposto perante as referidas entidades à prorrogação dessa conservação.

3 - Os prazos de conservação previstos no número anterior podem ser prorrogados por períodos de três meses até ao limite máximo de um ano, mediante autorização judicial, requerida pelo Procurador-Geral da República, fundada na sua necessidade para a finalidade prevista no n.º 1 do artigo 3.º

4 - A prorrogação do prazo de conservação referida nos números anteriores deve limitar-se ao estritamente necessário para a prossecução da finalidade prevista no n.º 1 do artigo 3.º, devendo cessar logo que se confirme a desnecessidade da sua conservação.

5 - As entidades referidas no n.º 1 do artigo 4.º não podem aceder aos dados aí elencados salvo nos casos previstos na lei ou definidos contratualmente com o cliente para efeitos emergentes das respetivas relações jurídicas comerciais.

6 - A autorização judicial a que se refere o n.º 3 compete a uma formação das secções criminais do Supremo Tribunal de Justiça, constituída pelos presidentes das secções e por um juiz designado pelo Conselho Superior da Magistratura, de entre os mais antigos destas secções.

Artigo 9.º — [...]

1 - [...]

2 - A autorização prevista no número anterior só pode ser requerida pelo Ministério Público.

3 - [...]

4 - [...]

5 - [...]

6 - [...]

7 - Sem prejuízo do disposto no número seguinte, o despacho que autoriza a transmissão dos dados referentes às categorias previstas no n.º 1 do artigo 4.º é notificado ao titular dos dados no prazo máximo de 10 dias a contar da sua prolação.

8 - Se, em inquérito, o Ministério Público considerar que a notificação referida no número anterior comporta risco de pôr em causa a investigação, dificultar a descoberta da verdade ou criar perigo para a vida, para a integridade física ou psíquica ou para a liberdade dos participantes processuais, das vítimas do crime ou de outras pessoas devidamente identificadas, pode solicitar ao juiz de instrução criminal que protele a notificação, a qual é realizada logo que a razão do protelamento deixar de existir ou, o mais tardar, no prazo máximo de 10 dias a contar da data em que for proferido despacho de encerramento desta fase processual.

9 - A transmissão dos dados referentes às categorias previstas no n.º 1 do artigo 4.º a autoridades de outros Estados só pode ocorrer no âmbito da cooperação judiciária internacional em matéria penal, de acordo com as regras fixadas na respetiva lei e desde que esses Estados garantam o mesmo nível de proteção de dados pessoais vigente no território da União Europeia.».

3 - Parâmetros da constitucionalidade invocados

O requerente invoca no seu pedido, em termos expressos, «a importância de garantir a certeza jurídica em tão delicada e controversa matéria», pretendendo ver confrontadas as normas sindicadas com os números 1 e 4 do artigo 35.º e o n.º 1 do artigo 26.º, em conjugação com o n.º 2 do artigo 18.º; e o disposto no n.º 1 do artigo 35.º e do n.º 1 do artigo 20.º, em conjugação com o n.º 2 do artigo 18.º, todos da Constituição da República Portuguesa.

4 - Fundamento do pedido

Os fundamentos apresentados no pedido para sustentarem as dúvidas quanto à constitucionalidade das normas impugnadas articulam-se, como dito, com o desiderato de garantir a certeza jurídica nesta matéria, convocando expressa e diretamente a jurisprudência afirmada no Acórdão n.º 268/2022 deste Tribunal Constitucional.

É o seguinte o conteúdo do pedido:

«[...]

1.º

Pelo Acórdão n.º 268/2022, o Tribunal Constitucional decidiu pronunciar-se pela inconstitucionalidade das normas constantes do artigo 4.º da Lei n.º 32/2008, de 17 de julho, conjugada com o artigo 6.º da mesma lei, por violação do disposto nos números 1 e 4 do artigo 35.º e do n.º 1 do artigo 26.º, em conjugação com o n.º 2 do artigo 18.º, todos da Constituição, e da norma do artigo 9.º da Lei n.º 32/2008, de 17 de julho, relativa à transmissão de dados armazenados às autoridades competentes para investigação, deteção e repressão de crimes graves, na parte em que não prevê uma notificação ao visado de que os dados conservados foram acedidos pelas autoridades de investigação criminal, a partir do momento em que tal comunicação não seja suscetível de comprometer as investigações, nem a vida ou integridade física de terceiros, por violação do disposto no n.º 1 do artigo 35.º e do n.º 1 do artigo 20.º, em conjugação com o n.º 2 do artigo 18.º, todos da Constituição.

2.º

A Assembleia da República entendeu, através do Decreto em apreciação, alterar a referida Lei n.º 32/2008, de 17 de julho, no sentido de, tal como afirmado no próprio título do Decreto, a "conformar com o Acórdão do Tribunal Constitucional n.º 268/2022".

3.º

Ora, de acordo com o referido acórdão do Tribunal Constitucional, as normas em causa padeciam de inconstitucionalidade, no essencial, e tendo em conta o regime aplicável de Direito Europeu e a sua projeção na Constituição da República Portuguesa, em resultado de: i) permitir uma recolha indiscriminada de dados de tráfego; ii) não prever a notificação ao visado de que os dados conservados foram acedidos pelas autoridades de investigação criminal.

4.º

O legislador vem agora, e nas suas próprias palavras, declaradamente conformar o regime em causa com as conclusões do acórdão do Tribunal Constitucional. Importa, pois, verificar se o Tribunal considera que a Assembleia da República teve sucesso nesta sua deliberação.

5.º

Quanto à primeira questão, o Tribunal distingue, na linha da jurisprudência anterior, dados de base de dados de tráfego aplicando, compreensivelmente, um regime mais exigente aos segundos.

6.º

Com efeito, refere o Tribunal no citado acórdão que "no fundo, se a medida de conservação de dados de tráfego e de localização em si mesma pode ser tida como adequada e necessária para os fins de interesse público que visa salvaguardar, a definição do leque de sujeitos visados só não transgride os limites da proporcionalidade na medida em que se dirija, de forma direta, às situações em que a agressão aos direitos fundamentais em causa possa ter-se por orientada à perseguição dos objetivos da ação penal. Neste quadro, por se ultrapassarem na medida fiscalizada os limites da proporcionalidade no que concerne ao respetivo âmbito subjetivo, viola-se o n.º 2 do artigo 18.º da Constituição na restrição aos direitos fundamentais à reserva da intimidade da vida privada e à autodeterminação informativa (artigos 26.º, n.º 1, e 35.º, n.º 1, da Constituição), perdendo relevância a questão de saber se os demais elementos de que dependeria a proporcionalidade da medida (o ajustamento do prazo de conservação ao estritamente necessário para os fins a alcançar; e a imposição de condições de segurança do respetivo armazenamento) são preenchidos pela regulamentação fiscalizada.

Razão pela qual deve ter-se por inconstitucional, por violação dos n.os 1 e 4 do artigo 35.º e do n.º 1 do artigo 26.º, em conjugação com o artigo 18.º, n.º 2, da Constituição, a medida de conservação por um ano dos dados de tráfego e dos dados de localização, decorrente da conjugação do disposto do artigo 4.º com o artigo 6.º da Lei n.º 32/2008, de 17 de julho".

7.º

Resulta da leitura das normas sindicadas que, não obstante ter sido reduzido o prazo para a conservação dos dados de tráfego, pode interpretar-se que se pode continuar a permitir a sua recolha indiscriminada, o que pode não se conformar com o decidido pelo Tribunal no acórdão citado. O Tribunal afirmou então que a recolha indiscriminada destes dados violaria, só por si, o princípio da proporcionalidade, perdendo relevância a apreciação dos demais elementos, entre os quais o prazo.

8.º

De igual modo, importa verificar se a notificação ao visado, nos termos em que é prevista na nova redação do artigo 9.º, satisfaz as exigências constantes do referido acórdão do Tribunal Constitucional, designadamente no que respeita ao princípio da proporcionalidade.

Ante o exposto, e dada a importância de garantir a certeza jurídica em tão delicada e controversa matéria, requer-se, nos termos do n.º 1 do artigo 278.º da Constituição, bem como do n.º 1 do artigo 51.º e n.º 1 do artigo 57.º da Lei n.º 28/82, de 15 de novembro, a fiscalização preventiva da constitucionalidade das normas constantes do artigo 2.º, na parte em que altera o artigo 4.º da Lei n.º 32/2008, de 17 de julho; do artigo 2.º, na parte em que altera o artigo 4.º quando conjugado com o artigo 6.º da Lei n.º 32/2008, de 17 de julho; e do artigo 2.º, na parte em que altera o artigo 9.º da Lei n.º 32/2008, de 17 de julho, do Decreto n.º 91/XV da Assembleia da República, por violação do disposto nos n.os 1 e 4 do artigo 35.º e do n.º 1 do artigo 26.º, em conjugação com o n.º 2 do artigo n.º 18.º, e disposto no n.º 1 do artigo 35.º e no n.º 1 do artigo 20.º, em conjugação com o n.º 2 do artigo 18.º, todos da Constituição da República Portuguesa».

Em síntese, o requerente questiona se o artigo 2.º do Decreto n.º 91/XV, da Assembleia da República, na parte em que altera o artigo 4.º da Lei n.º 32/2008, de 17 de julho, e quando conjugado com o artigo 6.º da mesma Lei, viola o disposto nos n.os 1 e 4 do artigo 35.º e no n.º 1 do artigo 26.º, em conjugação com o n.º 2 do artigo 18.º, todos da Constituição, por continuar a permitir uma conservação indiscriminada dos dados de tráfego; e sustenta, simultaneamente, ser também necessário verificar se o mesmo artigo 2.º do Decreto, na parte em que altera o artigo 9.º da Lei n.º 32/2008, de 17 de julho - em particular o regime de notificação ao visado aí previsto -, está, ou não, conforme às exigências que decorrem do n.º 1 do artigo 20.º, em conjugação com o n.º 2 do artigo 18.º, todos da Constituição.

5 - Resposta do autor das normas

Notificada a Assembleia da República, enquanto órgão autor das normas sindicadas, na pessoa do seu Presidente, ao abrigo do disposto nos artigos 54.º e 55.º, n.º 3, e 56.º, n.os 1, 2 e 4, da LTC, para, querendo, se pronunciar sobre o pedido, o mesmo apresentou resposta, oferecendo o merecimento dos autos. Mais esclareceu que o Decreto em causa tramitou na Comissão de Assuntos Constitucionais, Direitos, Liberdades e Garantias, pelo que enviou em anexo uma nota técnica sobre os respetivos trabalhos preparatórios, elaborada pelos serviços de apoio à referida Comissão Parlamentar, informando ainda que os trabalhos preparatórios que conduziram à aprovação da referida lei estão disponíveis no sítio do Parlamento na Internet.

II. Fundamentação

A. Conhecimento do pedido

6 - Considerando a legitimidade do requerente, fundada no artigo 278.º, n.º 1, da CRP, bem como a circunstância de o pedido conter todas as indicações a que se refere o artigo 51.º, n.º 1, da LTC e a observância dos prazos aplicáveis (artigo 278.º, n.º 3, da Constituição e artigos 54.º, 56.º, n.º 4, 57.º, n.os 1 e 2, e 58.º da LTC), nada obsta ao conhecimento da questão de constitucionalidade formulada nos presentes autos, nem à consideração da resposta apresentada pelo órgão autor da norma impugnada.

B. Enquadramento normativo

7 - As normas sindicadas procedem a alterações à Lei n.º 32/2008, de 17 de julho, que havia transposto para a ordem jurídica interna a Diretiva n.º 2006/24/CE, do Parlamento Europeu e do Conselho, de 15 de março, relativa à conservação de dados gerados ou tratados no contexto da oferta de serviços de comunicações eletrónicas publicamente disponíveis ou de redes públicas de comunicações.

Como ficou registado no Acórdão n.º 268/2022 (6.), «[a] Lei n.º 32/2008, de 17 de julho [...] regula a conservação e a transmissão dos dados de identificação, tráfego e de localização relativos a pessoas singulares e a pessoas coletivas, bem como dos dados conexos necessários para identificar o assinante ou o utilizador registado, para fins de investigação, deteção e repressão de crimes graves por parte das autoridades competentes. [...]

O artigo 4.º identifica as categorias de dados a armazenar pelos fornecedores de serviços de comunicações eletrónicas publicamente disponíveis ou de uma rede pública de comunicações; o artigo 6.º determina a obrigação da sua conservação pelo período de um ano, a contar da data da conclusão da comunicação; e o artigo 9.º estabelece as condições de transmissão de dados armazenados ao Ministério Público ou à autoridade de polícia criminal competente.

[...]

Na Lei n.º 32/2008, de 17 de julho, são identificáveis dois regimes jurídicos em torno dos dados identificados no artigo 4.º: um relativo à obrigação de conservação pelos fornecedores de serviços de comunicações eletrónicas ou de uma rede pública de comunicações, essencialmente contido nos artigos 4.º a 8.º; e outro atinente ao seu acesso pelas autoridades competentes para a investigação e repressão criminal, estatuído nos artigos 9.º a 11.º».

8 - Precisamente estas normas, contidas nos artigos 4.º, 6.º e 9.º deste ato legislativo, foram declaradas inconstitucionais, pelo Tribunal Constitucional, através do citado Acórdão n.º 268/2022 - no qual se levou a cabo, além do mais, um estreito diálogo com a jurisprudência do Tribunal de Justiça da União Europeia (doravante, TJUE) e, consequentemente, com a Carta dos Direitos Fundamentais da União Europeia (a seguir «Carta» ou «CDFUE»). Nesse aresto, e em síntese, o Tribunal declarou a inconstitucionalidade, com força obrigatória geral, da norma constante do artigo 4.º da Lei n.º 32/2008, de 17 de julho, conjugada com o artigo 6.º da mesma lei, por violação do disposto nos n.os 1 e 4 do artigo 35.º e do n.º 1 do artigo 26.º, em conjugação com o n.º 2 do artigo 18.º, todos da Constituição, bem como da norma do artigo 9.º da Lei n.º 32/2008, de 17 de julho, relativa à transmissão de dados armazenados às autoridades competentes para investigação, deteção e repressão de crimes graves, na parte em que não prevê uma notificação ao visado de que os dados conservados foram acedidos pelas autoridades de investigação criminal, a partir do momento em que tal comunicação não seja suscetível de comprometer as investigações nem a vida ou integridade física de terceiros, por violação do disposto no n.º 1 do artigo 35.º e do n.º 1 do artigo 20.º, em conjugação com o n.º 2 do artigo 18.º, todos da Constituição.

O presente ato legislativo, cujas normas se pretende ver sindicadas, procede a um conjunto de alterações com o objetivo último - que será analisado infra com maior pormenor - de o conformar ao referido Acórdão n.º 268/2022, do Tribunal Constitucional.

C. O direito da União Europeia e o objeto do presente processo

C.1. O regime do Direito da União Europeia pertinente

9 - No que respeita ao regime de direito europeu correlacionado com a questão que ora nos ocupa - tendo sempre presente que o Decreto questionado pretende alterar a Lei n.º 32/2008, de 17 de julho, que havia transposto para a ordem jurídica interna a Diretiva n.º 2006/24/CE, do Parlamento Europeu e do Conselho, de 15 de março de 2006, relativa à conservação de dados gerados ou tratados no contexto da oferta de serviços de comunicações eletrónicas publicamente disponíveis ou de redes públicas de comunicações - cumpre relembrar que o tema foi discutido com grande desenvolvimento no Acórdão n.º 268/2022. Como tal, não vamos voltar a esta temática, o que não invalida a necessidade incontornável, aí fixada e que naturalmente se mantém, de interpretar as normas sindicadas, bem como os parâmetros constitucionais aplicáveis, em conformidade com o Direito da União Europeia (doravante, DUE), onde pontificam as diretivas pertinentes, os preceitos da CDFUE convocáveis e os diversos arestos do Tribunal de Justiça. Assim, mostra-se relevante relembrar algumas das notas que, a este propósito, foram indicadas por este Tribunal no referido Acórdão de 2022:

• As normas sindicadas colocam-se, sem qualquer dúvida, no domínio de aplicação do Direito da União Europeia e, por isso, estão (também) abrangidas pela Carta dos Direitos Fundamentais da União Europeia;

• Em virtude do princípio da administração indireta, a CDFUE vincula os Estados-membros quando estes apliquem DUE (artigo 51.º da Carta), isto é, quando as autoridades nacionais legiferam em aplicação do DUE ficam os Estados-membros vinculados ao parâmetro europeu de proteção dos direitos fundamentais;

• As normas cuja fiscalização de constitucionalidade foi (e é agora) pedida estão indiscutivelmente no âmbito de aplicação do DUE e, assim, da CDFUE;

• A Diretiva n.º 2002/58/CE, do Parlamento Europeu e do Conselho, de 12 de julho de 2002, regula as condições em que os Estados-membros podem adotar medidas de intrusão nos dados cuja confidencialidade é prescrita, tendo o Tribunal de Justiça concluído no Acórdão de 6 de outubro de 2020, La Quadrature du Net, nomeadamente em função do artigo 15.º desta Diretiva, que tanto as medidas nacionais de conservação de metadados relativos a comunicações eletrónicas, como as medidas de transmissão desses dados às autoridades públicas, para fins de investigação e repressão de criminalidade, se encontram sob o âmbito de aplicação do DUE - o que comprova a necessidade de determinar a relevância da ordem jurídica comunitária para o(s) pedido(s) de declaração de constitucionalidade, o que conduziu ao Acórdão de 2022 e o que agora está sob apreciação;

• O DUE, em decorrência do princípio da cooperação leal acolhido no n.º 3 do artigo 4.º do TUE, consagra uma imposição de os Estados-membros garantirem o efeito útil das normas europeias e de não adotarem medidas que ponham em causa os objetivos das mesmas, sendo isso que sucede no domínio dos direitos fundamentais simultaneamente acolhidos na Constituição e na CDFUE;

• Esta orientação está em boa parte plasmada em jurisprudência anterior deste Tribunal, nomeadamente no Acórdão n.º 464/2019, onde se pode ler que «[...] este Tribunal não pode deixar de considerar os direitos fundamentais consagrados na CDFUE e na referida Convenção, devendo igualmente ter em conta, numa perspetiva de diálogo interjurisdicional, a interpretação que dos mesmos tem vindo a ser feita pelas instâncias competentes para a sua aplicação, nomeadamente o Tribunal de Justiça da União Europeia ("TJUE") e o Tribunal Europeu dos Direitos Humanos ("TEDH")»;

• No que diz respeito à CDFUE, assumem relevância neste âmbito, em particular, as normas contidas no artigo 7.º («[r]espeito pela vida privada e familiar») e 8.º ([p]roteção de dados pessoais») da CDFUE;

• O TJUE, chamado a pronunciar-se prejudicialmente sobre a citada Diretiva n.º 2006/24/CE, concluiu pela invalidade das suas normas, por implicarem uma restrição desproporcionada aos direitos ao respeito pela vida privada e familiar e à proteção de dados pessoais, consagrados, como vimos, nos artigos 7.º e 8.º da CDFUE e por estabelecerem de forma indeterminada o leque de crimes cuja investigação ou repressão pode admitir o acesso aos dados conservados - considerando violado o princípio da proporcionalidade, face ao excessivo âmbito de aplicação da medida de conservação dos dados, quer quanto ao universo objetivo (ao englobar todos os meios de comunicação eletrónica), quer subjetivo (ao abranger todas as pessoas, sem criar qualquer diferenciação, limitação ou exceção em função do objetivo ou do risco) e sem exigir qualquer relação entre a conservação dos dados e uma ameaça para a segurança pública; e também por não estabelecer garantias de proteção eficaz contra os riscos de abuso e contra qualquer acesso e sua utilização ilícita;

• O Acórdão Digital Rights Ireland permitiu a delimitação do parâmetro comunitário de admissibilidade das medidas de conservação dos dados de tráfego e de localização: tais medidas são possíveis se houver uma definição seletiva do universo dos dados e dos titulares afetados; se forem estabelecidas garantias no acesso das autoridades a essas informações; bem como de critérios objetivos de duração da conservação; e, por último, se forem criados mecanismos de segurança de proteção eficaz desses dados contra abusos, utilização e acesso ilícitos - sendo de destacar, em particular, a exigência de delimitação do universo de pessoas e situações abrangidas pelas normas, com base em elementos objetivos;

• O TJUE teve oportunidade de reiterar, em relação aos dados de tráfego e de localização, a incompatibilidade com o DUE de um regime nacional que prescreva a obrigação de conservação indiferenciada de dados de tráfego, por restringir desproporcionadamente os direitos consagrados nos artigos 7.º e 8.º da CDFUE.

10 - Foram estes, em termos sintéticos, os principais elementos do regime do direito e da jurisprudência da União Europeia carreados para os autos, no Acórdão n.º 268/2022, que consideramos dever ser agora relembrados, em face da sua relevância para a resposta a dar ao presente pedido de fiscalização preventiva da constitucionalidade.

C.2. Desenvolvimentos recentes da jurisprudência do TJUE: o Acórdão SpaceNet

11 - Cinco meses apenas após a prolação do Acórdão n.º 268/2022, foi exarado pela Grande Secção do Tribunal de Justiça, em 20 de setembro de 2022, o Acórdão SpaceNet e Telekom Deutschland (doravante, Acórdão SpaceNet) resultante de dois processos apensos, da República Federal da Alemanha contra SpaceNet AG (C-793/19) e contra Telekom Deutschland GmbH (C-794/19) - o qual se apoia, em larga medida, em diversos dos arestos citados no Acórdão do Tribunal Constitucional e, sobretudo, no Acórdão Commissioner of An Garda Síochána, de 5 de abril de 2022 (C-140/20), prolatado 14 dias antes do Acórdão n.º 268/2022.

O juízo contido no Acórdão SpaceNet e a fundamentação respetiva não trazem novidades significativas à jurisprudência do TJUE, tal como extensamente examinada no Acórdão n.º 268/2022, do Tribunal Constitucional, reafirmando as suas linhas fundamentais. O confronto do dispositivo do Acórdão ora sob o nosso escrutínio com o Acórdão La Quadrature du Net, examinado no Acórdão deste Tribunal de 2022, permite confirmar a essencial proximidade entre eles, assinalando essa linha de continuidade na jurisprudência do Tribunal de Justiça que é aqui pressuposta.

12 - Neste aresto, tendo por base dois pedidos de reenvio prejudicial efetuados pelo Bundesverwaltungsgericht alemão, respeitantes à interpretação do artigo 15.º, n.º 1, da Diretiva 2002/58/CE, do Parlamento Europeu e do Conselho, de 12 de julho de 2002, «lido à luz dos artigos 6.º a 8.º e 11.º, bem como do artigo 52.º, n.º 1, da Carta e do artigo 4.º, n.º 2, TUE». Os pedidos em questão foram apresentados no âmbito de litígios que opunham a República Federal Alemã à SpaceNet AG (processo C-793/19) e à Telekom Deutschland GmbH (processo C-794/19), a respeito da obrigação imposta a estas últimas de conservação dos dados de tráfego e dos dados de localização relativos às telecomunicações dos seus clientes - uma vez que se trata de empresas que prestam, na Alemanha, serviços de Internet publicamente disponíveis.

13 - As questões prejudiciais colocadas ao TJUE visavam averiguar se tal artigo da Diretiva deve «ser interpretado no sentido de que se opõe a uma regulamentação nacional que obriga os prestadores de serviços de comunicações publicamente disponíveis a conservarem os dados de tráfego e de localização dos utilizadores finais destes serviços» em condições determinadas. Depois de uma cuidada e desenvolvida análise da Diretiva n.º 2002/58/CE e dos preceitos de direito alemão pertinentes, concluiu o TJUE declarando que tal artigo 15.º deve ser interpretado no sentido de que «se opõe a medidas legislativas nacionais que preveem, a título preventivo, para efeitos da luta contra a criminalidade grave e da prevenção de ameaças graves contra a segurança pública, uma conservação generalizada e indiferenciada dos dados de tráfego e dos dados de localização». Pelo contrário, não se opõe a medidas legislativas nacionais que, designadamente, «permitem, para efeitos da salvaguarda da segurança nacional, impor aos prestadores de serviços de comunicações eletrónicas que procedam a uma conservação generalizada e indiferenciada de dados de tráfego e de dados de localização, em situações em que o Estado-Membro em causa enfrenta uma ameaça grave para a segurança nacional que se revela real e atual ou previsível, desde que a decisão que prevê tal imposição possa ser objeto de fiscalização efetiva quer por um órgão jurisdicional quer por uma entidade administrativa independente, cuja decisão produza efeitos vinculativos, destinada a verificar a existência de uma dessas situações e o respeito pelos requisitos e pelas garantias que devem estar previstos, e a referida imposição apenas possa ser aplicada por um período temporalmente limitado ao estritamente necessário» (itálicos nossos); bem como que prevejam, «para efeitos da salvaguarda da segurança nacional, da luta contra a criminalidade grave e da prevenção de ameaças graves contra a segurança pública, uma conservação seletiva dos dados de tráfego e dos dados de localização que seja delimitada, com base em elementos objetivos e não discriminatórios [...] por um período temporalmente limitado ao estritamente necessário» mas renovável (itálicos nossos). Havendo ainda outras aberturas, mas concluindo o TJUE, para todas elas, que só serão legítimas «desde que essas medidas assegurem, através de regras claras e precisas, que a conservação dos dados em causa está sujeita ao respeito das respetivas condições materiais e processuais e que as pessoas em causa dispõem de garantias efetivas contra os riscos de abuso» (itálicos nossos).

14 - São ainda de destacar as seguintes notas resultantes da fundamentação do Acórdão SpaceNet, no sentido da jurisprudência anterior convocada no Acórdão n.º 268/2022:

ii) O facto de o legislador da União ter pretendido «assegurar a continuação de um elevado nível de proteção dos dados pessoais e da privacidade no que diz respeito a todos os serviços de comunicações eletrónicas»;

iii) A necessidade de proteger os utilizadores dos serviços de comunicações eletrónicas contra os riscos para os seus dados pessoais e a sua vida privada resultantes das novas tecnologias, em particular o pleno respeito pelos direitos consignados nos artigos 7.º e 8.º da Carta, relativos, respetivamente, à proteção da vida privada e à proteção dos dados pessoais;

iv) O facto de a conservação de dados de tráfego e de dados de localização constituir, em si mesma, uma derrogação da proibição, prevista no artigo 5.º, n.º 1, da Diretiva 2002/58/CE, imposta a qualquer pessoa distinta dos utilizadores, de armazenar estes dados e, por outro lado, uma ingerência nos direitos fundamentais do respeito pela vida privada e da proteção dos dados pessoais;

15 - Por outro lado, é natural que o Acórdão SpaceNet não tenha visto a realidade em questão apenas pelo prisma dos direitos fundamentais convocados, mostrando também que o artigo 15.º, n.º 1, da Diretiva 2002/58/CE reflete o facto de os direitos consagrados nos artigos 7.º, 8.º e 11.º da Carta não serem prerrogativas absolutas, já que resulta do artigo 52.º, n.º 1, da mesma Carta que se admitem restrições ao exercício desses direitos, mas desde que tais restrições estejam previstas por lei, respeitem o conteúdo essencial desses direitos e, na observância do princípio da proporcionalidade, sejam necessárias e correspondam efetivamente a objetivos de interesse geral reconhecidos pela União ou à necessidade de proteção dos direitos e liberdades de terceiros. Mas, para cumprir tal exigência de proporcionalidade, a legislação nacional deve prever «normas claras e precisas que regulem o âmbito e a aplicação da medida em causa e impor requisitos mínimos, de modo que as pessoas cujos dados foram conservados disponham de garantias suficientes que permitam proteger eficazmente os seus dados pessoais contra os riscos de abuso». Reforçando a tendência protetora quando salienta, em relação aos objetivos de prevenção, de investigação, de deteção e de repressão de infrações penais, em conformidade com o princípio da proporcionalidade, que «só a luta contra a criminalidade grave e a prevenção das ameaças graves contra a segurança pública são suscetíveis de justificar ingerências graves nos direitos fundamentais consagrados nos artigos 7.º e 8.º da Carta» - apesar de, mesmo neste âmbito da luta contra a criminalidade grave, «uma legislação nacional que prevê, para este efeito, a conservação generalizada e indiferenciada de dados de tráfego e de dados de localização excede os limites do estritamente necessário e não pode ser considerada justificada».

16 - No que se refere ao prazo de conservação dos dados, o Acórdão SpaceNet é também claro: apesar de nos preceitos alemães em questão os prazos de conservação serem curtos (quatro semanas para os dados de localização e dez semanas para os outros dados), o TJUE não deixou de assinalar que «a gravidade da ingerência decorre do risco, nomeadamente tendo em conta o seu número e a sua variedade, de os dados conservados, considerados no seu conjunto, permitirem tirar conclusões muito precisas sobre a vida privada da ou das pessoas cujos dados foram conservados e, em especial, fornecerem os meios para determinar o perfil da ou das pessoas em causa, que é uma informação tão sensível, à luz do direito ao respeito pela privacidade, quanto o próprio conteúdo das comunicações», pelo que a conservação de dados de tráfego ou de dados de localização «apresenta, de qualquer modo, um caráter grave independentemente da duração do período de conservação, da quantidade ou da natureza dos dados conservados, quando o referido conjunto de dados seja suscetível de permitir tirar conclusões precisas sobre a vida privada da pessoa ou das pessoas em causa».

17 - Em conclusão, os dados do DUE e a forma como os preceitos pertinentes para esta decisão são interpretados pelo TJUE não se alteraram, após a prolação do Acórdão n.º 268/2022, confirmando os elementos carreados para este aresto. Razão pela qual nenhum elemento novo resulta desta análise para a resposta ao presente pedido de fiscalização preventiva da constitucionalidade.

D. Enquadramento jurisprudencial: o Acórdão n.º 268/2022

18 - Como é referido no pedido do Senhor Presidente da República e no próprio Decreto cujas normas se encontram sob apreciação, o Acórdão do Tribunal Constitucional n.º 268/2022 é o critério fundamental que o legislador terá procurado seguir e cujo cumprimento é questionado no pedido. Neste último destaca-se a dúvida do requerente no sentido de uma das soluções encontradas «pode[r] não se conformar com o decidido pelo Tribunal no acórdão citado» (7.º) e se uma outra «satisfaz as exigências constantes do referido acórdão do Tribunal Constitucional» (8.º). No Decreto, é no próprio título que se pode ler que se leva a cabo a segunda alteração à Lei n.º 32/2008, de 17 de julho, «conformando-a com o Acórdão do Tribunal Constitucional n.º 268/2022», indicação reiterada na alínea a) do seu artigo 1.º

19 - Nestes termos, revela-se incontornável que seja em torno da referida pronúncia deste Tribunal que deverão ser apreciadas as normas sindicadas, que pretenderam responder de forma direta aos fundamentos de inconstitucionalidade ali assinalados. A forma como o Acórdão n.º 268/2022 interpretou e aplicou as exigências constitucionais nesta sede não poderá deixar de ser o parâmetro fundamental na apreciação do pedido. Circunstância reforçada por serem os preceitos constitucionais indicados no dispositivo dessa decisão [os n.os 1 e 4 do artigo 35.º e o n.º 1 do artigo 26.º, em conjugação com o n.º 2 do artigo 18.º, todos da Constituição, na sua alínea a); e o n.º 1 do artigo 35.º e o n.º 1 do artigo 20.º, em conjugação com o n.º 2 do artigo 18.º, todos da Constituição, na alínea b) do dispositivo] exatamente os mesmos que são convocados pelo Senhor Presidente da República no seu pedido.

Em suma: o Acórdão n.º 268/2022 - ou, melhor, a forma como as normas do regime em causa foram analisadas neste aresto à luz das exigências constitucionais decorrentes dos preceitos citados - terá de ser o crivo fundamental pelo qual deverão passar as normas sindicadas, para se concluir pela sua conformidade constitucional ou, pelo contrário, pela não obediência às determinações constitucionais pertinentes.

20 - Cumpre ainda pôr em evidência que o requerente sintetiza as razões que levaram o Tribunal Constitucional a pronunciar-se no sentido da inconstitucionalidade da seguinte forma: em resultado de o regime resultante de tais normas «i) permitir uma recolha indiscriminada de dados de tráfego; ii) não prever a notificação ao visado de que os dados conservados foram acedidos pelas autoridades de investigação criminal».

21 - De qualquer forma, impõe-se recuperar, de forma condensada, o entendimento perfilhado pelo Tribunal no que respeita à admissibilidade de um regime de conservação, armazenamento e acesso de metadados, com vista à sua eventual futura utilização para prevenção, investigação e repressão de crimes graves, respeitando os direitos fundamentais à reserva da intimidade da vida privada, à autodeterminação informativa e à tutela jurisdicional efetiva (artigos 26.º, n.º 1, 35.º, n.º 1, e 20.º, n.º 1, todos da Constituição, respetivamente):

(i) É constitucionalmente admissível a conservação generalizada de todos os dados de base, pelo período de um ano;

(ii) Quanto aos dados de tráfego e de localização, tal conservação apenas será constitucionalmente admissível, desde logo, se não for indiferenciada - portanto, se houver uma definição do leque de visados que se dirija, de forma direta, às situações em que a agressão aos direitos fundamentais que estejam em causa possa ter-se por orientada ao cumprimento dos objetivos da ação penal, no sentido em que esses visados tenham de ser, no mínimo, suspeitos de uma atividade criminosa;

(iii) Em qualquer caso, o armazenamento dos dados tem de ocorrer em território da União Europeia;

(iv) O acesso aos dados - todos eles, sejam dados de base e/ou dados de tráfego - tem necessariamente de ser acompanhado de uma notificação, aos interessados, de que os seus dados foram acedidos pelos órgãos competentes pela investigação criminal, uma vez terminado o processo em que tal tenha ocorrido, e desde que essa notificação não seja suscetível de comprometer as investigações criminais ou de constituir risco para a integridade física ou vida de terceiros.

E. Da apreciação da conformidade constitucional das normas do Decreto sindicadas

22 - Como já foi referido, são as seguintes as normas do Decreto da Assembleia da República n.º 91/XV sindicadas no pedido sob apreciação:

• A norma constante do artigo 2.º, na parte em que altera o artigo 4.º da Lei n.º 32/2008, de 17 de julho;

• A norma constante do artigo 2.º, na parte em que altera o artigo 4.º quando conjugado com o artigo 6.º da Lei n.º 32/2008, de 17 de julho;

• A norma constante do artigo 2.º, na parte em que altera o artigo 9.º da Lei n.º 32/2008, de 17 de julho.

Procederemos de seguida à sua análise autónoma, confrontando as soluções acolhidas agora pelo legislador parlamentar com as exigências constitucionais pertinentes, tal como foram concretizadas no Acórdão n.º 268/2022. Isto é, analisaremos para cada uma das normas sindicadas (i) o pedido do requerente; em seguida, (ii) a redação da norma sindicada na versão submetida ao Tribunal no pedido que deu origem ao Acórdão n.º 268/2022; examinaremos, então, (iii) a nova solução, da versão sindicada, para (iv) a confrontar com as exigências resultantes desse mesmo aresto; e (v) concluiremos pela observância ou não observância dos ditames constitucionais tal como foram concretizados no dito Acórdão.

23 - Começando, nos termos do pedido, pela norma constante do artigo 2.º, na parte em que altera o artigo 4.º da Lei n.º 32/2008, de 17 de julho - e seguindo a orientação metodológica supra enunciada - a redação submetida à anterior apreciação do Tribunal Constitucional era a seguinte: «1. Os fornecedores de serviços de comunicações electrónicas publicamente disponíveis ou de uma rede pública de comunicações devem conservar as seguintes categorias de dados: [...]». De acordo com a redação do Decreto da Assembleia da República n.º 91/XV tal artigo passa a ter a seguinte redação (alterações em destacado): «1. Os fornecedores de serviços de comunicações eletrónicas publicamente disponíveis ou de uma rede pública de comunicações devem conservar, nos termos previstos na presente lei, em Portugal ou no território de outro Estado-Membro da União Europeia, as seguintes categorias de dados: [...]».

24 - Resulta à evidência que, com este aditamento, pretendeu o legislador ultrapassar o juízo de inconstitucionalidade contido na alínea a) do dispositivo do Acórdão n.º 268/2022, tendo por parâmetro as normas dos n.os 1 e 4 do artigo 35.º da Constituição - lidos e aplicados em conjugação com a jurisprudência do TJUE produzida neste âmbito, com convocação e apoio nos artigos 7.º e 8.º da CDFUE - e que está desenvolvido no Acórdão nos seguintes termos:

«16 - No seguimento das conclusões precedentes, e ainda antes de quaisquer ponderações de proporcionalidade, é desde logo evidente que as normas fiscalizadas não obedecem a uma das condições de que depende a conformidade constitucional das medidas legislativas relativas à conservação de dados pessoais: o legislador não prescreveu a necessidade de o armazenamento dos dados ocorrer no território da União Europeia, pondo em causa a efetividade dos direitos avalizados pelos n.os 1 e 4 do artigo 35.º da Constituição [...].

Ao admitir que tais dados possam ser conservados em países subtraídos à fiscalização por autoridade administrativa independente e aos direitos de auditoria dos visados, o legislador transgride a injunção de previsão do seu armazenamento em local em que sejam efetivas as garantias constitucionais de proteção e a intervenção da autoridade administrativa independente (n.º 2 do artigo 35.º da Constituição), falecendo a garantia de proteção destes dados contra a devassa ou difusão. Com efeito, o ordenamento apenas tutelou a transferência para Estados terceiros de tais dados pessoais e somente no que respeita a pessoas singulares; não tendo determinado, como resultava da injunção constitucional, a obrigação de armazenamento desses dados num Estado-Membro da União Europeia.

É quanto basta para concluir pela inconstitucionalidade, por violação do direito à autodeterminação informativa, consagrado nos n.os 1 e 4 do artigo 35.º da Constituição [...], das normas contidas nos artigos 4.º e 6.º da Lei n.º 38/2008, de 17 de julho».

25 - Isto é, na redação anterior o legislador não prescrevia a necessidade de o armazenamento de dados ocorrer no território da União Europeia, pondo em causa a efetividade dos direitos contidos nos preceitos constitucionais citados, admitindo que tais dados pudessem ser conservados em países não sujeitos à fiscalização por autoridade administrativa independente, não dando guarida à necessidade de determinação do seu armazenamento em local onde sejam efetivas as garantias constitucionais de proteção por parte de tal autoridade. Tal consideração foi suficiente para este Tribunal concluir, sem mais, pela inconstitucionalidade de tal norma, por violação do direito à autodeterminação informativa, consagrado nos citados n.os 1 e 4 do artigo 35.º da Constituição, lidos e aplicados em conjugação com os preceitos de DUE pertinentes.

26 - Pelo contrário, o n.º 1 do artigo 4.º do Decreto n.º 91/XV prevê que a conservação dos dados por parte dos fornecedores de serviços de comunicações eletrónicas publicamente disponíveis ou de uma rede pública de comunicações deve ser feito em Portugal ou no território de outro Estado-Membro da União Europeia. Como tal, se a conservação dos dados passa a ser feita em território em cujas jurisdições são assegurados níveis de proteção dos dados materialmente equivalentes àqueles que decorrem da Constituição, em especial do seu artigo 35.º, deixa de haver motivo para se manter o juízo de inconstitucionalidade vertido no Acórdão n.º 268/2022. Que é o mesmo que dizer: a alteração preconizada por esta norma, indo ao encontro das condições de admissibilidade elencadas pelo Tribunal Constitucional, não padece de inconstitucionalidade por violação do artigo 35.º, n.os 1 e 2, da Constituição.

27 - O segundo segmento do pedido do Senhor Presidente da República reporta-se à «norma constante do artigo 2.º, na parte em que altera o artigo 4.º quando conjugado com o artigo 6.º da Lei n.º 32/2008, de 17 de julho». É esta a parte que exige uma análise mais detida e pormenorizada, nomeadamente por o artigo 6.º do Decreto sob escrutínio proceder a uma catalogação bastante detalhada, com a submissão das diferentes categorias de dados, de forma inovatória, por comparação com a redação da Lei n.º 32/2008, de 17 de julho, submetida à apreciação deste Tribunal no pedido que deu origem ao Acórdão n.º 268/2022. Vejamos então a questão nos seus múltiplos contornos.

28 - O artigo 6.º da Lei n.º 32/2008, que regula o período de conservação durante o qual os «fornecedores de serviços de comunicações eletrónicas publicamente disponíveis ou de uma rede pública de comunicações devem conservar» as diversas categorias de dados (artigo 4.º) limitava-se a estabelecer o «período de um ano a contar da data da conclusão da comunicação», sem estabelecer qualquer distinção entre os diversos tipos de dados.

Não obstante, o Tribunal Constitucional sentiu-se na necessidade de fazer tal diferenciação, uma vez que as exigências jurídico-constitucionais - paralelas às exigências do DUE, nomeadamente as resultantes da CDFUE - não são as mesmas para os diversos tipos de dados. Partindo das diversas categorias de dados previstas no artigo 4.º e numa síntese, pelo menos por ora, muito apertada, há que distinguir os dados de base dos dados de tráfego, incluindo nestes últimos, por regra, os dados de localização. Recuperando o que ficou a este propósito plasmado no Acórdão n.º 268/2022:

«6.1 - No que tange ao regime de conservação dos dados, prevê-se uma obrigação, para os fornecedores de serviços de comunicações eletrónicas ou de uma rede pública de comunicações, de preservação dos dados elencados no artigo 4.º, relativos a quaisquer utilizadores e assinantes.

O n.º 1 do artigo 4.º prescreve a conservação de dados que permitam identificar o assinante ou utilizador, a fonte, o destino, data, hora, duração e o tipo de comunicação, bem como identificar o equipamento de telecomunicações e a sua localização. A obrigação abrange os dados relativos às subscrições e a todas as comunicações eletrónicas necessários para encontrar e identificar a fonte e o destino de uma comunicação [alíneas a) e b) do n.º 1 do artigo 4.º], para determinar a data, a hora, a duração e o tipo de comunicação [alíneas c) e d) do n.º 1 do artigo 4.º], para identificar o equipamento de telecomunicações dos utilizadores [alínea e) do n.º 1 do artigo 4.º] e para identificar a localização do equipamento de comunicação móvel [alínea f) do n.º 1 do artigo 4.º]. O que compreende os dados gerados ou tratados no âmbito de serviços telefónicos na rede fixa, de serviços telefónicos na rede móvel, de serviços de acesso à internet, de serviços de correio eletrónico através da internet e de serviços de comunicações telefónicas através da internet.

[...]

Os dados referidos no artigo 4.º não abrangem o conteúdo das comunicações, dizendo respeito somente às suas circunstâncias - razão pela qual são usualmente designados por metadados (ou dados sobre dados) - cf. Acórdãos n.os 403/2015 e 420/2017:

[...]

O conjunto de metadados elencado no artigo 4.º abrange dados de diferente natureza, categorizados na jurisprudência constitucional como dados de base e dados de tráfego. A distinção é relevante, pois a tutela constitucional não é modelada nos mesmos termos para as duas espécies.

Os dados de base referem-se à conexão à rede, independentemente de qualquer comunicação, permitindo a identificação do utilizador de certo equipamento - nome, morada, número de telefone (Acórdãos n.os 241/2002, 486/2009, 403/2015, 420/2017 e 464/2019); como se disse no Acórdão n.º 486/2009, reproduzindo os Pareceres n.os 16/94 e 21/2000 do Conselho Consultivo da PGR, «Os dados de base constituem, na perspetiva dos utilizadores, os elementos necessários ao acesso à rede, designadamente através da ligação individual e para utilização própria do respetivo serviço: interessa aqui essencialmente o número e os dados através dos quais o utilizador tem acesso ao serviço». Já os dados de tráfego são definidos como «os dados funcionais necessários ao estabelecimento de uma ligação ou comunicação e os dados gerados pela utilização da rede (por exemplo, localização do utilizador, localização do destinatário, duração da utilização, data e hora, frequência)» (Acórdão n.º 403/2015); «Constituem, pois, elementos já inerentes à própria comunicação, na medida em que permitem identificar, em tempo real ou a posteriori, os utilizadores, o relacionamento direto entre uns e outros através da rede, a localização, a frequência, a data, hora e a duração da comunicação, devem participar das garantias a que está submetida a utilização do serviço, especialmente tudo quanto respeite ao sigilo das comunicações» (Acórdão n.º 486/2009, reproduzindo os Pareceres n.os 16/94 e 21/2000 do Conselho Consultivo da PGR)

A norma abrange ambas as categorias de metadados: ao determinar a conservação de dados relativos a «nome do assinante ou do utilizador registado», «códigos de identificação atribuídos ao utilizador», «O código de identificação do utilizador e o número de telefone atribuídos a qualquer comunicação que entre na rede telefónica pública» e «nome e o endereço do assinante ou do utilizador registado, a quem o endereço do protocolo IP estava atribuído», alcançam-se os designados dados de base, que não pressupõem qualquer comunicação (abrangendo até uma fase prévia à comunicação), visando a identificação do utilizador do aparelho que se conexiona à rede. Por outro lado, ao estabelecer a conservação de dados gerados a propósito de uma certa comunicação (dados relativos à data, hora e duração de comunicações, protocolos IP estáticos e dinâmicos, hora e data de início [log in] e fim [log off] de ligação à internet), compreendem-se os dados de tráfego, aqueles que são produzidos pelo estabelecimento de uma certa comunicação ou sua tentativa.

Importa traçar dois sublinhados no que respeita à subsunção dos dados mencionados no artigo 4.º da Lei n.º 32/2008 na categorização seguida pelo Tribunal Constitucional (dados de base e dados de tráfego).

A primeira nota refere-se aos endereços de protocolo IP. Estes são habitualmente inseridos na categoria de dados de base, por não revelarem quaisquer circunstâncias da comunicação - mas apenas a identificação do computador que se conectou à rede. Todavia, se se contrapuser a identificação de um utilizador de um número de telefone com a do protocolo IP, subjazem diferenças importantes, que o Tribunal Constitucional Federal Alemão assinalou no Acórdão do 1. Senat, de 2 de março de 2010 - 1 BvR 256/08; 1 BvR 263/08; 1 BvR 586/08, §259: os números de telefone são, em princípio, caracteres permanentes, pelo que a identificação do sujeito a que pertencem pode ser obtida independentemente de qualquer comunicação. Pelo contrário, os protocolos IP podem ser estáticos (identificando permanentemente um ponto de acesso à rede) ou dinâmicos (sendo atribuídos a certo computador apenas no momento em que se conexiona à rede e durante a sua ligação). Quer isto dizer que a identificação de um protocolo IP dinâmico envolve informação da sua utilização num determinado momento, revelando não apenas o utilizador como também o uso da internet em certo contexto.

Neste quadro, a identificação do sujeito a que estava atribuído determinado protocolo IP dinâmico não permite, de forma tão clara, obedecer à divisão entre dados de base e dados de tráfego, pois certas circunstâncias da comunicação (a data e a hora) são inerentes à identificação do protocolo de IP dinâmico. Foi essa a razão pela qual o Tribunal Constitucional Federal Alemão, no Acórdão de 17 de julho de 2020 (1 BvR 1873/13 - 1 BvR 2618/13), entendeu que a identificação do titular de um protocolo IP dinâmico, ao pressupor uma consulta do tráfego para identificar o utilizador em dado momento, se enquadra nos dados de tráfego, eventualmente submetidos no âmbito do direito à inviolabilidade das comunicações (§§ 101 e 102 do Acórdão).

A segunda nota liga-se à natureza dos designados "dados de localização", definidos pela alínea c) do artigo 2.º da Diretiva 2002/58/CE como «quaisquer dados tratados numa rede de comunicações eletrónicas que indiquem a posição geográfica do equipamento terminal de um utilizador de um serviço de comunicações eletrónicas publicamente disponível». Reconduzindo aquele conceito às categorias de metadados reconhecidas pelo Tribunal Constitucional, a informação relativa à localização do equipamento pode enquadrar-se nos dados de base (quando identifica a posição geográfica do aparelho, independentemente de qualquer comunicação) ou nos dados de tráfego (quando esta identificação está associada a uma comunicação ou tentativa de comunicação - onde estava o sujeito A quando comunicou com o sujeito B). Sucede que a primeira espécie dos dados de localização (a que não pressupõe comunicações) é residual, como notou o Tribunal Constitucional no Acórdão n.º 464/2019: «segundo o parecer da CNPD n.º 38/2017, nos dias de hoje ocorrem comunicações mesmo quando o utilizador do equipamento de comunicação não o aciona direta e intencionalmente. É, por exemplo, o caso das atualizações efetuadas pelas aplicações de correio eletrónico ou outro tipo de mensagens, o que significa que a geração e troca de dados são praticamente constantes, mesmo quando os cidadãos utilizadores dos equipamentos nada fazem». Por essa razão, «tem-se considerado que os mesmos estão também incluídos no conceito mais amplo de "dados de tráfego"» (Acórdão n.º 403/2015), ideia que aqui se reafirma.

O legislador de 2008, repetimo-lo, não foi sensível à categorização dos diversos tipos de dados, estabelecendo para todos o período de conservação de um ano.

29 - Pelo contrário, no Decreto da Assembleia da República n.º 91/XV procede-se a uma densificação do período de conservação dos dados previsto no artigo 6.º, com o estabelecimento de regras diferenciadas em relação às diferentes categorias. Isto é, de um regime indiferenciado, em que se determinava o prazo de um ano como período de conservação durante o qual os fornecedores de serviços de comunicações eletrónicas publicamente disponíveis ou de uma rede pública de comunicações estavam obrigados a conservar todos os tipos de dados, passamos para uma disciplina com regras diferenciadas em função da natureza dos dados em causa. Assim, na versão proposta, é a seguinte a redação do artigo 6.º:

«Artigo 6.º

Período e regras de conservação

1 - Para efeitos da finalidade prevista no n.º 1 do artigo 3.º, as entidades referidas no n.º 1 do artigo 4.º devem conservar, pelo período de um ano a contar da data da conclusão da comunicação, os seguintes dados:

2 - Os dados de tráfego e de localização são conservados pelas entidades referidas no n.º 1 do artigo 4.º pelo período de três meses a contar da data da conclusão da comunicação, considerando-se esse período prorrogado até seis meses, salvo se o seu titular se tiver oposto perante as referidas entidades à prorrogação dessa conservação.

3 - Os prazos de conservação previstos no número anterior podem ser prorrogados por períodos de três meses até ao limite máximo de um ano, mediante autorização judicial, requerida pelo Procurador-Geral da República, fundada na sua necessidade para a finalidade prevista no n.º 1 do artigo 3.º

4 - A prorrogação do prazo de conservação referida nos números anteriores deve limitar-se ao estritamente necessário para a prossecução da finalidade prevista no n.º 1 do artigo 3.º, devendo cessar logo que se confirme a desnecessidade da sua conservação.

5 - As entidades referidas no n.º 1 do artigo 4.º não podem aceder aos dados aí elencados salvo nos casos previstos na lei ou definidos contratualmente com o cliente para efeitos emergentes das respetivas relações jurídicas comerciais.

6 - A autorização judicial a que se refere o n.º 3 compete a uma formação das secções criminais do Supremo Tribunal de Justiça, constituída pelos presidentes das secções e por um juiz designado pelo Conselho Superior da Magistratura, de entre os mais antigos destas secções.»

30 - Cumpre, agora, averiguar se este regime, com as diferenciações propostas, observa as exigências jurídico-constitucionais tal como ficaram plasmadas no Acórdão n.º 268/2022. Tarefa facilitada por o Tribunal Constitucional, neste seu aresto, ter já procedido a tais diferenciações, no pressuposto de que:

«de acordo com a jurisprudência deste Tribunal, a tutela constitucional dos metadados das comunicações (dados que não abrangem o conteúdo das comunicações, mas dizem respeito somente às suas circunstâncias) não é uniforme: a distinção entre dados de base, relativos à identificação dos sujeitos que se conectam à rede, e dados de tráfego - «os dados funcionais necessários ao estabelecimento de uma ligação ou comunicação e os dados gerados pela utilização da rede (por exemplo, localização do utilizador, localização do destinatário, duração da utilização, data e hora, frequência)» - tem refração nos parâmetros convocáveis» (cf. 10.).

31 - Em termos genéricos, começou o Tribunal Constitucional por observar que,

«Ao determinar a conservação e o armazenamento dos dados pessoais aí elencados pelo período de um ano, as normas dos artigos 4.º e 6.º da Lei n.º 32/2008, de 17 de julho, constringem, pelo menos, os direitos à reserva da intimidade da vida privada, ao livre desenvolvimento da personalidade e à autodeterminação informativa. [...].

Deste modo, o problema que é posto ao Tribunal é o de saber se estão preenchidos os pressupostos para a legitimidade constitucional da compressão. O que depende, atenta a natureza de direitos, liberdades e garantias dos direitos restringidos, da necessidade de salvaguardar outros direitos ou interesses constitucionalmente protegidos e do estrito cumprimento do princípio da proporcionalidade» (Acórdão n.º 268/2022, 15.).

E uma vez que se deu por demonstrada a salvaguarda de tais direitos ou interesses constitucionalmente protegidos - então como agora, a investigação, prevenção e repressão de crimes graves, determinada no artigo 1.º da Lei n.º 32/2008, de 17 de julho, preceito que não foi alterado pelo Decreto sob apreciação - a análise centrou-se em saber se seriam cumpridos os requisitos colocados pelo princípio da proporcionalidade - nos três planos em que o mesmo se desenvolve - à restrição de direitos fundamentais, nos termos decorrentes dos n.os 2 e 3 do artigo 18.º da Constituição da República.

32 - No que se refere, em primeiro lugar, aos dados de base (cf. ponto 17. do Acórdão n.º 268/2022) entendeu o Tribunal que «o período de conservação de um ano não é desrazoável, não se demonstrando que a previsão de um prazo de conservação mais curto pudesse garantir similar eficácia» (cf. 17.3.). Acrescentando, para fundamentar tal compreensão das coisas que, «no que respeita aos dados de base (e aos endereços de protocolo IP que identificam a fonte da comunicação, independentemente da sua classificação), o direito da União Europeia não põe em causa a ponderação de proporcionalidade feita pelo Tribunal Constitucional no Acórdão n.º 420/2017, sendo esta conforme ao parâmetro europeu, cujo sentido foi já clarificado pela jurisprudência do Tribunal de Justiça. Em consequência, concluindo-se pela bondade constitucional da conservação dos endereços do protocolo IP da fonte da comunicação - enquanto dado que pode espelhar uma agressão mais intensa no direito à intimidade da vida privada, por pressupor um tratamento do momento do acesso à internet, no caso dos endereços dinâmicos - por maioria de razão será igualmente conforme aos requisitos do n.º 2 do artigo 18.º a conservação de dados de base que não pressupõem a análise de quaisquer comunicações (números de telefone, endereços de correio eletrónico, etc.)» (17.3.). Juízo de conformidade constitucional que se entendeu também estender aos dados de base que conduzam à identificação de pessoas coletivas, levando à conclusão segundo a qual «a obrigação de conservação de dados de base (e de endereços de protocolo IP dinâmicos relativos à fonte de uma comunicação, independentemente da respetiva categorização) pelo período de um ano, constante da conjugação das normas dos artigos 4.º e 6.º da Lei n.º 32/2008, de 17 de julho, não seria em si mesma inconstitucional, se o legislador houvesse cumprido a injunção de prever o seu armazenamento no território da União Europeia» (17.4.).

33 - Já no que diz respeito aos dados de tráfego, gerados a propósito de uma específica comunicação - com destaque especial para os dados de localização - a decisão do Tribunal foi oposta, concluindo pela inconstitucionalidade do regime da Lei n.º 32/2008 então submetida ao seu juízo. O Tribunal partiu do pressuposto - que se nos continua a afigurar incontornável, também em face da jurisprudência do TJUE - de que a conservação dos dados de localização (mesmo daqueles que não sejam gerados em virtude de uma comunicação pessoal) «materializa uma agressão mais intensa à intimidade da vida privada dos sujeitos privados do que a preservação dos dados de base, ao permitirem identificar, a todo o tempo, a posição e os movimentos dos utilizadores». E a conclusão foi - e é - a mesma em relação aos dados de tráfego, mesmo quando não pressupõem uma comunicação (ou sua tentativa) interpessoal, como os sítios da Internet consultados, por quanto tempo, em que momento e a quantidade de tráfego gerado. Como ficou plasmado no Acórdão em apreço, «[e]stes dados permitem traçar um perfil do utilizador, identificar os seus interesses e mesmo reconhecer, em certos casos, o tipo de conteúdos consultados» (18.).

Seguindo ainda esse aresto do Tribunal Constitucional, a privacidade e a proteção dos dados pessoais é afetada de modo particularmente intenso pela conservação destes dados, constituindo uma agressão mais intensa dos direitos fundamentais à intimidade da vida privada, a qual se reflete, naturalmente, na proporcionalidade da restrição: as exigências decorrentes deste princípio eram ultrapassadas pelas normas então sindicadas, juízo que foi tirado com suporte essencial nas pronúncias do Tribunal de Justiça carreadas para o Acórdão n.º 268/2022. A conclusão do Tribunal foi a de que se estava perante «uma solução legislativa desequilibrada, por atingir sujeitos relativamente aos quais não há qualquer suspeita de atividade criminosa», porque a conservação de todos os dados de localização e de tráfego de todos os assinantes implica que fiquem abrangidas as «comunicações eletrónicas da quase totalidade da população, sem qualquer diferenciação, exceção ou ponderação face ao objetivo perseguido». Não podendo surpreender, como tal, a conclusão da ultrapassagem, nas disposições aí fiscalizadas, dos limites da proporcionalidade no que concerne ao respetivo âmbito subjetivo, violando-se o n.º 2 do artigo 18.º da Constituição na restrição aos direitos fundamentais à reserva da intimidade da vida privada e à autodeterminação informativa (artigos 26.º, n.º 1, e 35.º, n.º 1, da Constituição).

34 - É agora tempo de confrontar as soluções do Decreto n.º 91/XV com as exigências constitucionais, tal como foram elucidadas no Acórdão n.º 268/2022.

As novidades mais assinaláveis do artigo 6.º, na versão ora proposta passam, como já foi adiantado (cf. supra. 27. e 29.), pelo estabelecimento de regras diferenciadas em função das diferentes categorias de dados. Assim, o período de conservação para os dados de base, definidos no n.º 1 - uma vez que este se refere, na al. a), aos dados relativos à identificação civil dos assinantes ou utilizadores de comunicações publicamente disponíveis ou de uma rede pública de comunicações; na alínea b) aos demais dados de base; e na alínea c) aos endereços de protocolo IP atribuídos à fonte de uma ligação - continua a ser de um ano a contar da data da conclusão da comunicação. Acrescente-se que, mesmo em relação aos endereços de protocolo IP dinâmicos, o TJUE se pronunciou no sentido de que «as medidas nacionais que estabeleçam a sua conservação generalizada, mesmo restringindo os direitos consagrados nos artigos 7.º e 8.º da CDFUE (respeito pela vida privada e familiar; proteção de dados pessoais), deve ter-se por compatível com o direito da União Europeia, por cumprir o crivo da proporcionalidade (Acórdão La quadrature du net, cit., n.º 152)» (cf. Acórdão n.º 268/2022, 17.3., bem como, ainda, o Acórdão Commissioner of An Garda Síochána, cit., n.os 70/74). Também este Tribunal considerou, no mesmo aresto (17.4.) - como foi já visto - que a obrigação de conservação de dados de base - incluindo de endereços de protocolo IP dinâmicos relativos à fonte de uma comunicação - pelo período de um ano, não é em si mesma inconstitucional.

35 - Já os dados de tráfego e de localização passam a ser conservados (apenas) pelo prazo de três meses a contar da data da conclusão da comunicação, sendo esse período prorrogado até seis meses desde que o seu titular não se tenha oposto à prorrogação da conservação (n.º 2). Em todo o caso, a prorrogação dos prazos de conservação pode ir até ao limite máximo de um ano, mediante autorização judicial, requerida pelo Procurador-Geral da República (n.º 3). Este artigo 6.º passou a ter um regime bastante mais completo e densificado, não sendo, todavia, evidente que os restantes números relevem, pelo menos autonomamente, para a questão de constitucionalidade: o n.º 4 determina que as prorrogações do prazo de conservação se devem limitar «ao estritamente necessário para a prossecução da finalidade prevista no n.º 1 do artigo 3.º, devendo cessar logo que se confirme a desnecessidade da sua conservação»; o n.º 5 dispõe que as entidades fornecedoras de serviços de comunicações eletrónicas não podem aceder aos dados conservados, salvo nos casos previstos na lei ou definidos contratualmente com o cliente; e o n.º 6, por fim, estabelece que a autorização judicial prevista no n.º 3 compete a uma formação das secções criminais do Supremo Tribunal de Justiça, com a composição aí prevista.

36 - Antecipando a nossa conclusão, a alteração do artigo 4.º, quando conjugado com o artigo 6.º da Lei n.º 32/2008, de 17 de julho, levada a cabo pelo artigo 2.º do Decreto da Assembleia da República n.º 91/XV, referente à obrigação de conservação dos dados de tráfego gerados a propósito de uma específica comunicação - onde assumem relevo particular os dados de localização - não ultrapassa o crivo da constitucionalidade, tal como ficou plasmado de forma cristalina no Acórdão n.º 268/2022. Regressando uma vez mais a este aresto, ficou absolutamente claro no seu ponto 18., o seguinte (destacados e sublinhados nossos):

«18 - O mesmo não pode concluir-se quanto à obrigação de conservação dos dados de tráfego, gerados a propósito de uma específica comunicação, com especial relevância para os dados de localização.

A conservação dos dados de localização, ainda que não sejam gerados em virtude de uma comunicação pessoal, materializam uma agressão mais intensa à intimidade da vida privada dos sujeitos privados do que a preservação dos dados de base, ao permitirem identificar, a todo o tempo, a posição e os movimentos dos utilizadores. O mesmo se diga quanto aos dados de tráfego, mesmo quando não pressupõem uma comunicação (ou sua tentativa) interpessoal, como os sítios da internet consultados, por quanto tempo, em que momento e a quantidade de tráfego gerado. Estes dados permitem traçar um perfil do utilizador, identificar os seus interesses e mesmo reconhecer, em certos casos, o tipo de conteúdos consultados. [...]

Note-se que, se as normas em crise parecem apenas determinar a conservação de dados relativos a comunicações, no que respeita aos dados de tráfego «necessários para identificar a data, a hora e a duração de uma comunicação» (alínea c) do n.º 1 do artigo 4.º), determina-se a conservação de dados que são gerados pela simples utilização da internet, independentemente de qualquer comunicação intersubjetiva (alínea b) do n.º 4 do artigo 4.º: «A data e a hora do início (log in) e do fim (log off) da ligação ao serviço de acesso à Internet com base em determinado fuso horário, juntamente com o endereço do protocolo IP, dinâmico ou estático, atribuído pelo fornecedor do serviço de acesso à Internet a uma comunicação». Ora, a conservação destes dados de navegação, mesmo que não abranja os conteúdos consultados, afeta a privacidade e a proteção dos dados pessoais de modo particularmente intenso. Como se concluiu no Acórdão n.º 464/2019, «o tratamento não consentido dos respetivos dados de tráfego põe em causa valores e interesses do utilizador, tais como (i) a confiança que tem na segurança e reserva dos sistemas informáticos do fornecedor do serviço de acesso à internet; (ii) o interesse em decidir, ele mesmo, acerca da utilização que poderá ser efetuada das suas informações pessoais; (iii) o interesse em não ser sujeito a decisões exclusivamente automatizadas dos seus dados; (iv) o interesse em conhecer, dispor, controlar, atualizar, corrigir ou apagar os dados pessoais que lhe digam respeito; (v) o interesse em conhecer a finalidade do tratamento dos seus dados (vi) o interesse na não divulgação de dados objeto de tratamento».

O facto de a conservação destes dados materializar uma agressão mais intensa dos direitos fundamentais à intimidade da vida privada tem reflexos na proporcionalidade da restrição. Como sublinhou o Tribunal de Justiça no Acórdão La quadrature du net (cit.), n.º 131, «decorre da jurisprudência do Tribunal de Justiça que a possibilidade de os Estados-Membros justificarem uma limitação aos direitos e às obrigações previstos, nomeadamente, nos artigos 5.º, 6.º e 9.º da Diretiva 2002/58 deve ser apreciada através da medição da gravidade da ingerência que tal limitação implica e da verificação de que a importância do objetivo de interesse geral prosseguido por esta limitação está relacionada com essa gravidade».

Ora, a restrição aos direitos fundamentais agredidos com esta regulamentação não obedece às exigências de proporcionalidade, desde logo por atenção ao âmbito alargado da medida. O que, de resto, coincide com a conclusão do Tribunal de Justiça - versando apenas sobre os dados que, entre nós, são classificados como dados de tráfego e dados de localização - sobre o carácter manifestamente excessivo da conservação generalizada destes dados quanto a todos os utilizadores e assinantes, no Acórdão La quadrature du net, cit., n.os 141 a 144:

«141 - Uma regulamentação nacional que prevê a conservação generalizada e indiferenciada de dados de tráfego e de dados de localização, com vista a lutar contra a criminalidade grave, excede os limites do estritamente necessário e não pode ser considerada justificada, numa sociedade democrática, como exige o artigo 15.º, n.º 1, da Diretiva 2002/58, lido à luz dos artigos 7.º, 8.º, 11.º e 52.º, n.º 1, da Carta [...].

142 - Com efeito, tendo em conta o caráter sensível das informações que os dados de tráfego e os dados de localização podem fornecer, a sua confidencialidade é essencial para o direito ao respeito da vida privada. Assim, e tendo em conta, por um lado, os efeitos dissuasivos no exercício dos direitos fundamentais consagrados nos artigos 7.º e 11.º da Carta, referidos no n.º 118 do presente acórdão, que a conservação desses dados pode produzir e, por outro, a gravidade da ingerência que tal conservação implica, é necessário, numa sociedade democrática, que esta seja a exceção e não a regra, como prevê o sistema instituído pela Diretiva 2002/58, e que esses dados não possam ser objeto de uma conservação sistemática e contínua. Esta conclusão impõe-se mesmo em relação aos objetivos de luta contra a criminalidade grave e de prevenção das ameaças graves contra a segurança pública, bem como à importância que lhes deve ser reconhecida.

143 - Além disso, o Tribunal de Justiça sublinhou que uma regulamentação que prevê a conservação generalizada e indiferenciada de dados de tráfego e de dados de localização abrange as comunicações eletrónicas de quase toda a população sem que seja estabelecida nenhuma diferenciação, limitação ou exceção em função do objetivo prosseguido. Tal regulamentação, contrariamente à exigência recordada no n.º 133 do presente acórdão, afeta globalmente todas as pessoas que utilizam serviços de comunicações eletrónicas, sem que essas pessoas se encontrem, mesmo indiretamente, numa situação suscetível de justificar um procedimento penal. [...].

144 - Em particular, como já declarou o Tribunal de Justiça, tal regulamentação não está limitada a uma conservação que tenha por objeto dados relativos a um período temporal e/ou uma zona geográfica e/ou a um círculo de pessoas que possam estar envolvidas de alguma forma numa infração grave, nem a pessoas que, por outros motivos, mediante a conservação dos seus dados, podiam contribuir para a luta contra a criminalidade grave [...]»

Interpretando os direitos à reserva da intimidade da vida privada e à autodeterminação informativa à luz dos parâmetros europeus aqui convocáveis, há que reafirmar este juízo no plano constitucional. Com efeito, ainda que não se configurem medidas com a mesma eficácia do que a conservação de todos os dados de todas as pessoas, a ponderação de uma agressão tão grave com os efeitos positivos que se alcançam conduz à conclusão de que se trata de uma solução legislativa desequilibrada, por atingir sujeitos relativamente aos quais não há qualquer suspeita de atividade criminosa. Ao conservar todos os dados de localização e de tráfego de todos os assinantes, abrangem-se as comunicações eletrónicas da quase totalidade da população, sem qualquer diferenciação, exceção ou ponderação face ao objetivo perseguido. O legislador adota aqui um âmbito muito mais alargado (seja quanto às categorias de dados, seja quanto ao âmbito subjetivo) do que o crivo que foi seguido em outros ambientes normativos [...] abrangendo a agressão daqueles direitos fundamentais em situações que, num juízo de ponderação, não são contrapesadas pelos efeitos positivos no combate à criminalidade.

No fundo, se a medida de conservação de dados de tráfego e de localização em si mesma pode ser tida como adequada e necessária para os fins de interesse público que visa salvaguardar, a definição do leque de sujeitos visados só não transgride os limites da proporcionalidade na medida em que se dirija, de forma direta, às situações em que a agressão aos direitos fundamentais em causa possa ter-se por orientada à perseguição dos objetivos da ação penal. Neste quadro, por se ultrapassarem na medida fiscalizada os limites da proporcionalidade no que concerne ao respetivo âmbito subjetivo, viola-se o n.º 2 do artigo 18.º da Constituição na restrição aos direitos fundamentais à reserva da intimidade da vida privada e à autodeterminação informativa (artigos 26.º, n.º 1, e 35.º, n.º 1, da Constituição), perdendo relevância a questão de saber se os demais elementos de que dependeria a proporcionalidade da medida (o ajustamento do prazo de conservação ao estritamente necessário para os fins a alcançar; e a imposição de condições de segurança do respetivo armazenamento) são preenchidos pela regulamentação fiscalizada.

Razão pela qual deve ter-se por inconstitucional, por violação dos n.os 1 e 4 do artigo 35.º e do n.º 1 do artigo 26.º, em conjugação com o artigo n.º 18.º, n.º 2, da Constituição, a medida de conservação por um ano dos dados de tráfego e dos dados de localização, decorrente da conjugação do disposto do artigo 4.º com o artigo 6.º da Lei n.º 32/2008, de 17 de julho.».

37 - Em jeito de síntese: concluímos ser evidente que nada de essencial mudou quanto aos diversos números e alíneas do artigo 4.º (com exceção do n.º 1), pelo que a argumentação se mantém incólume. E a nova regulamentação vertida no Decreto em apreço não obedece, de forma patente, aos condicionalismos plasmados - de forma cristalina, repetimos - neste ponto do Acórdão, que nem sequer menciona o prazo de conservação dos dados de tráfego e de localização como obstáculo à constitucionalidade das normas sindicadas. O legislador limitou-se a restringir, para estas categorias de dados, o prazo de conservação: esse prazo era de um ano, passando agora a ser de três meses, prorrogável para seis meses e, no limite, para um ano, mediante autorização judicial. Todavia, deixou incólume o potencial âmbito subjetivo das normas, sendo precisamente aí que reside a desconformidade constitucional.

38 - Na verdade, e como ficou dito no Acórdão referido, ultrapassavam-se na medida (então) fiscalizada os limites da proporcionalidade no que respeita ao respetivo âmbito subjetivo, restringindo-se os direitos fundamentais à reserva da intimidade da vida privada e à autodeterminação informativa (artigos 26.º, n.º 1, e 35.º, n.º 1, da Constituição) em violação do n.º 2 do artigo 18.º da Constituição. E tal violação considerou-se verificada sem curar de saber ou ponderar os demais elementos de que dependeria a proporcionalidade da medida, nomeadamente o ajustamento do prazo de conservação ao estritamente necessário. Ora, a única modificação foi esta: o ajustamento do prazo de conservação dos dados, pelo que não há como não manter o juízo de inconstitucionalidade então emitido. O "afinamento" do prazo de conservação levado a cabo pelo legislador é insuscetível, nestes termos, de ultrapassar o juízo de inconstitucionalidade da conservação dos dados de tráfego e de localização, por violação dos artigos 26.º, n.º 1, e 35.º, n.º 1, da Constituição da República - uma vez que a conservação destes dados continua a abranger as comunicações eletrónicas da quase totalidade da população, sem que haja uma diferenciação (ou exceção) quanto ao objetivo perseguido. Ou seja, continua a ser geral e indiferenciada, e não seletiva, por não se dirigir, de forma direta, objetiva e não discriminatória, a pessoas que tenham uma relação com os objetivos da ação penal, antes atingindo (ou melhor dizendo, continuando a atingir) sujeitos relativamente aos quais não há qualquer suspeita de atividade criminosa.

39 - Reiterando o que acaba de ficar dito, os testes do princípio da proporcionalidade - seja o da necessidade seja o da proporcionalidade em sentido estrito - não foram superados pelo legislador; para que tal tivesse acontecido, não se revela suficiente a limitação temporal levada a cabo, impondo-se inelutavelmente que tivesse sido realizada uma limitação do âmbito subjetivo das normas. Não o tendo feito, as exigências constitucionais - paralelas às múltiplas indicações do DUE no mesmo sentido - não foram respeitadas, mantendo-se os dados da quase totalidade da população, numa base de generalidade e indiferenciação. O que vale por dizer, como possíveis suspeitos da prática de crimes.

40 - Uma última nota, quanto a este juízo de inconstitucionalidade: poderia objetar-se o facto de o nosso direito contemplar já a existência de uma base de dados, para efeitos de faturação, em que os respetivos dados - que podem compreender diversos dados de tráfego - são conservados por um período de 6 meses.

Com efeito, decorre da Lei n.º 23/96, que criou mecanismos destinados a proteger o utente de serviços públicos essenciais - em concreto, do respetivo artigo 10.º - o prazo de 6 meses como prazo de prescrição e caducidade (do direito do prestador ao recebimento do preço ou do direito de ação), resultando ainda do seu artigo 9.º, n.º 1, o direito do utente a uma fatura que especifique devidamente os valores que apresenta e, do respetivo n.º 3, atinente ao serviço de comunicações eletrónicas, o direito, a pedido do interessado, de que a fatura traduza «com o maior pormenor possível os serviços prestados, sem prejuízo do legalmente estabelecido em matéria de salvaguarda dos direitos à privacidade e ao sigilo das comunicações». Acresce que a Lei n.º 41/2004, de 18 de agosto (tratamento de dados pessoais e proteção da privacidade no setor das comunicações eletrónicas), permite, nos termos do n.º 2 do seu artigo 6.º, o tratamento de uma série de dados de tráfego necessários à faturação dos assinantes e ao pagamento de interligações. Esses dados devem ser «armazenados pelas empresas que oferecem redes e ou serviços de comunicações eletrónicas» (n.º 1 do mesmo preceito) pelo período durante o qual a fatura pode ser legalmente contestada ou o pagamento reclamado, de acordo com o n.º 3 - prazo esse que, como vimos, é de 6 meses.

No entanto, as semelhanças com a base de dados em discussão nos autos ou a possibilidade de estabelecer potenciais critérios comparativos são apenas aparentes: é um facto que, de acordo com este último preceito, alguns dados de tráfego podem ser guardados durante 6 meses. Todavia, para além da finalidade ser outra, completamente distinta - de um lado, está em causa a conservação dos dados para efeitos de faturação e proteção comercial (relação jurídica de natureza cível) e, do outro, a conservação de dados para efeitos de investigação e repressão criminal - destaca-se ainda a circunstância de a conservação dos dados para efeitos de faturação ficar sujeita ao consentimento do titular dos dados, em face do disposto no n.º 4 do citado artigo 6.º da Lei n.º 41/2004, consentimento esse que apenas é dado na medida do necessário e pelo tempo necessário à comercialização de serviços de comunicações eletrónicas, podendo ser revogado a todo o tempo. O que implica, em suma, que esta disciplina não seja mobilizável para efeitos comparativos com o regime em apreço.

41 - Em conclusão quanto a este ponto: o que está em discussão nas normas do Decreto sob sindicância é a criação de uma base de dados autónoma - indiferenciada e generalizada - para efeitos de investigação criminal. A conservação de tais dados, no que se refere aos dados de tráfego e de localização, cria evidentes possibilidades de extrapolação dos mesmos, com riscos claros e um enorme potencial de lesividade - designadamente de lesões aos direitos (fundamentais) à reserva da intimidade da vida privada e à autodeterminação comunicacional -, sendo por esta razão que a desproporcionalidade de tais medidas implica a sua inconstitucionalidade.

Note-se, porém, que atenta a vinculação do Tribunal ao pedido formulado, a apreciação da constitucionalidade levada a cabo nos presentes autos cinge-se única e exclusivamente à base de dados emergente da Lei n.º 32/2008, de 17 de julho - não se pronunciando este Tribunal quanto à viabilidade constitucional de acesso pelas autoridades de investigação criminal a dados conservados pelas operadoras em cumprimento de outras normas legais.

42 - Resta enfrentar o terceiro segmento do pedido do requerente, reportado à norma constante do artigo 2.º, na parte em que altera o artigo 9.º da Lei n.º 32/2008, de 17 de julho, importando «verificar se a notificação ao visado, nos termos em que é prevista na nova redação do artigo 9.º, satisfaz as exigências constantes do referido acórdão do Tribunal Constitucional, designadamente no que respeita ao princípio da proporcionalidade» (8.º).

43 - Na redação da Lei n.º 32/2008, de 17 de julho, declarada inconstitucional por este Tribunal, previa o respetivo artigo 9.º que a autorização do juiz de instrução para a transmissão dos dados conservados pelos fornecedores de serviços de comunicações eletrónicas, nas condições previstas no seu n.º 1, podia ser requerida pelo Ministério Público ou pela autoridade de polícia criminal competente. O mesmo preceito não estabelecia quaisquer regras quanto à notificação do titular dos dados - nada se dizia quanto à notificação propriamente dita e, por maioria de razão, a lei era omissa quanto ao prazo de tal notificação.