Acórdão do Tribunal Constitucional n.º 800/2023 — Pronuncia-se pela inconstitucionalidade da norma constante do artigo 2.º do Decreto n.º 91/XV, da Assembleia da…

Também não me convence o argumento do consentimento que agora se convoca neste aresto. Com efeito, além de tudo o mais que já foi aduzido, se se tratar apenas dos dados necessários para a faturação e nessa estrita medida, em face da legitimidade do fim prosseguido (combate à criminalidade grave), não se vê que colha. Desde logo, porque em tudo o que seja indispensável para efeitos de faturação (nalguns casos envolvendo outras redes de comunicações que não a do subscritor do serviço e os custos interoperadoras) esses dados não podem deixar de ser recolhidos, sendo necessários à relação contratual assente no consentimento das partes (outra é a questão depois da faturação). Além disso, a teoria da diferenciação de finalidades prosseguidas - faturação, no quadro da relação entre o fornecedor de serviço e os consumidores; investigação e repressão criminais noutro - aparece aqui mobilizada para sustentar a ilegitimidade, pelo seu caráter heterónomo (isto é, não resultante do consentimento dos afetados) do referido armazenamento separado dos dados. Contudo, a conservação multipolar dos dados, reitero, não traz risco adicional, pois os dados já existem nas mesmas entidades e até com salvaguardas acrescidas. Durante o período de retenção (em regra, até seis meses, com um prazo inicial de três meses, prorrogável se não houver oposição do titular), os dados encontram-se em estado de «latência», só podendo ser acedidos em termos muito estritos. Esse acesso, tal como acontece atualmente para fins de investigação criminal, não está dependente de consentimento dos visados. Ou seja, para esse escopo, não se aplica aqui o princípio segundo o qual os dados só poderão ser tratados para a finalidade específica para que foram inicialmente recolhidos. O artigo 6.º, n.º 1, do Regulamento Geral sobre a Proteção de Dados (doravante, RGPD)([17]) conta entre as bases de licitude do tratamento a situação em que este «e) [...] for necessário ao exercício de funções de interesse público ou ao exercício da autoridade pública de que está investido o responsável pelo tratamento»([18]).

Quanto ao argumento da utilidade de uma base desta natureza, trata-se de uma opção político-legislativa que não cabe a este Tribunal avaliar. Contudo, sempre se dirá que este armazenamento multipolar previsto na Lei n.º 32/2008, de 17 de julho, resultante da separação de ficheiros estabelecida no n.º 3 do artigo 3.º, prossegue várias funções adicionais ou diferenciais, a saber:

II - (IN)ADEQUAÇÃO DA LEITURA DO TRIBUNAL DE JUSTIÇA DA UNIÃO EUROPEIA

Mesmo que o Tribunal Constitucional acolhesse os argumentos apresentados na secção anterior, o que limitaria o objeto da pronúncia pela inconstitucionalidade às normas que permitem a conservação de dados não necessários para a faturação, ainda assim defenderia a não inconstitucionalidade de todas as normas sujeitas a controlo. Se em relação ao primeiro juízo se poderia discutir se o modelo passaria o teste de conformidade com o direito da União Europeia, é indubitável que esta solução é desconforme com o quadro de interpretação tal como foi desenvolvido pelo Tribunal de Justiça.

Neste percurso de fundamentação, recortam-se as seguintes etapas:

A) Parametricidade(s) e competências do Tribunal Constitucional

No âmbito de uma normatividade em rede, o legislador nacional está sujeito a um quadro de vinculações multiparamétrico: a) Constituição; b) direito internacional; c) direito da União Europeia. Ao Tribunal Constitucional compete a defesa da CRP, mas fá-lo, na linha de uma tradição nacional de consideração de outros ordenamentos (também estrangeiros - na formulação häberliana, a comparação é um elemento interpretativo([20]) e tendo presente a «amizade jus-internacional» e a opção pela integração europeia que conforma a nossa lei fundamental, através de um diálogo que toma a sério os diferentes parâmetros relevantes e as contribuições jurisprudenciais, nomeadamente do TJUE e do TEDH (Tribunal Europeu dos Direitos do Homem, agora rebatizado dos Direitos Humanos) e de outros tribunais constitucionais, sobretudo os daqueles países que, há muito, contribuem para o enriquecimento da nossa cultura jurídica.

Tendo presente o papel da CDFUE e da CEDH (Convenção Europeia dos Direitos do Homem, agora designada dos Direitos Humanos) neste caso, sempre se recorda que, apesar da sua importância, não são, enquanto tais, parte do «bloco de constitucionalidade». A CRP não consagra, por exemplo, uma via como a acolhida na Lei fundamental (Grondwet) dos Países Baixos, país onde, no que toca ao controlo dos atos legislativos([21]), o parâmetro constitucional nacional deu lugar ao referente internacional([22]). Também não se procedeu a um alargamento paramétrico por via da constitucionalização da CEDH, como ocorreu na Áustria([23]).

Em Portugal, abraçou-se um modelo que se poderá designar como de parâmetro constitucional interpretado em registo dialogante. A jurisprudência do Tribunal Constitucional([24]) de há muito acentua que estamos perante elementos convocados no processo hermenêutico-normativo, operando como «auxiliar[es] de interpretação»([25]).

No Acórdão n.º 268/2022, triunfou tangencialmente a tese - que mereceu forte discordância dos restantes seis juízes - da convocação, na «medida do possível»([26]) (8.2.), de uma interpretação conforme da constituição ao direito europeu, que não acompanho.

Também não acompanho a tese segundo a qual, se na sequência de um diálogo internormativo, nomeadamente interconstitucional (neste caso, interjusfundamental([27]), se não se conseguir chegar a um resultado interpretativo que, por si, não é inconstitucional, a sua eventual desconformidade com o Direito da União Europeia levaria à sua inconstitucionalidade([28]). Na jurisprudência do Tribunal, essa posição de uma eventual dissonância de uma norma nacional com o parâmetro supranacional não seria reconduzível a uma inconstitucionalidade([29]). A este propósito, lê-se no Acórdão n.º 621/98:

«Assim, e seguindo a exposição de José Manuel Cardoso da Costa (O Tribunal Constitucional português e o Tribunal de Justiça das Comunidades europeias, in Ab Uno Ad Omnes, 75 anos da Coimbra Editora, 1920-1995, Coimbra, 1998, p. 1363 ss, 1371), é de rejeitar a qualificação da incompatibilidade do direito interno com o direito comunitário como uma situação de «inconstitucionalidade» que ao Tribunal Constitucional caiba apreciar.

Isto porque, segundo o autor citado, diferentemente (ou para além) do que sucede na receção interna do direito internacional convencional em geral, a receção do direito comunitário envolve (ou envolveu) também a dos mecanismos institucionais que visam especificamente garantir a sua aplicação. Ora, compreendendo a ordem jurídica comunitária recebida nesses termos «compreensivos» e globais pelo direito português, logo por via de uma cláusula da própria Constituição, uma instância jurisdicional precipuamente vocacionada para a sua mesma tutela (e não só no plano das relações interestaduais ou intergovernamentais), e concentrando ela nessa instância a competência para velar pela aplicação uniforme e pela prevalência das suas normas, seria algo incongruente que se fizesse intervir para o mesmo efeito, e no plano interno, uma outra instância do mesmo ou semelhante tipo (como seria o Tribunal Constitucional)»([30]).

Não tendo razões, como se explicitará, para acompanhar a jurisprudência reiterada do TJUE no que toca ao juízo de proporcionalidade, não adoto também a posição dos seis Conselheiros que, convocando a primeira parte do n.º 4 do artigo 8.º da CRP, mobilizam o «standard europeu do controlo da proporcionalidade»([31]). Analisando esta via, Patrícia Fragoso Martins realça que importa evitar que

«o controlo que o Tribunal Constitucional venha a fazer não seja, na prática, em tudo semelhante a garantir a Constituição interpretada à luz do direito europeu. [...] Se assim for [...] então estar-se-á novamente a 'deixar entrar pela janela o que não se deixou entrar pela porta'»([32]).

De qualquer modo, a solução que subscrevo reveste autonomia: trata-se de, a partir da CRP, proceder a uma avaliação da constitucionalidade dialogicamente aberta, mas que assume como referente a ser defendido pelo Tribunal a nossa lei fundamental. Como se verá, o próprio TJUE não considera que se esteja perante uma violação do conteúdo essencial dos direitos em causa, mas sustenta que a admissibilidade de uma «conservação generalizada e indiferenciada» dos dados soçobra no juízo de proporcionalidade (mais exatamente, ao nível da necessidade ou exigibilidade).

No Acórdão n.º 687/2021, encontramos expressamente realçado esse diálogo como método:

«19 - Ainda que, como expressamente reconhece o legislador na Exposição de Motivos acima transcrita, a nova redação do artigo 17.º da Lei do Cibercrime não resulte diretamente de exigências decorrentes da transposição de diretivas da União Europeia, não pode olvidar-se que a Lei n.º 109/2009 tem que ser interpretada à luz do contexto de internormatividade e interconstitucionalidade que esteve na sua génese e que define o seu horizonte aplicativo (uma vez que transpôs para a ordem jurídica interna a Decisão Quadro n.º 2005/222/JAI, relativa a ataques contra sistemas de informação, e adaptou o direito interno à Convenção sobre Cibercrime do Conselho da Europa).

Deste modo, afigura-se incontornável o enquadramento da discussão da matéria dos presentes autos no domínio do direito do espaço europeu - quer da União Europeia, quer do Conselho da Europa -, importando conhecer e atender aos standards de proteção que deles resulta para os direitos fundamentais aqui em causa, designadamente, a privacidade, entendida em sentido lato, e com particular relevância no domínio da proteção de dados e utilização da informática. A jurisprudência do Tribunal de Justiça da União Europeia ("TJUE") e do Tribunal Europeu dos Direitos do Homem ("TEDH") oferece, neste domínio, um relevante conjunto de informações e orientações que o Tribunal Constitucional, animado pela necessidade de proceder a uma interpretação do texto constitucional articulada com os parâmetros europeus, não pode deixar de considerar na análise que lhe é solicitada nos presentes autos».

Contudo, a procura de articulação entre o referente constitucional e o quadro supranacional não significa que não haja limites a este procedimento hermenêutico-normativo. No caso, não consigo, tal como outros académicos e juízes de tribunais constitucionais, rever-me no juízo de proporcionalidade do TJUE e sustento, pelo contrário, a não inconstitucionalidade.

Se se concluir no sentido de a solução sub iudice não ser desconforme com a Constituição, nem por isso, no referido horizonte multiparamétrico, acaba a questão. Cabe ao legislador nacional, ciente dos problemas de conformidade com o direito da União Europeia, na leitura feita pelo TJUE, tomar as decisões político-legislativas e aos tribunais não ignorar essa rede de vinculações normativas.

B) Em torno da jurisprudência do Tribunal de Justiça relativa à conservação de dados: (contra)posição

No Acórdão Digital Rights Ireland, de 8 abril de 2014, o TJUE considerou inválida a Diretiva 2006/24/CE, entre nós transposta pela Lei n.º 32/2008, de 17 de julho. Daqui não decorreu a invalidade desse diploma de transposição.

Há dois pontos que se devem realçar:

B.1. Jurisprudência(s): diálogos e monólogos

Respeitando o papel essencial do TJUE na interpretação da Carta, sempre se começará por dizer que, no caso em apreço, a leitura do Tribunal mereceu e merece forte dissenso numa Europa marcada também pela diversidade. Discordância não apenas no plano da doutrina, mas espelhada em diferentes decisões de tribunais constitucionais que, sem prejuízo do reconhecimento das ingerências em relação a vários direitos (desde a liberdade de comunicação à autodeterminação informacional ou informativa, entre outros), nem sempre chegaram a resultados semelhantes no que toca à existência de bases desta natureza. Também aqui o retrato é plural e diversificado, como já se ilustrará.

A dimensão dialógica pressupõe uma verdadeira interação argumentativa entre tribunais, que não deve ser limitada apenas aos tribunais constitucionais nacionais. No campo da conservação de dados, o registo afigura-se problemático, merecendo a jurisprudência do TJUE reservas, em termos que já foram considerados como revelando «tensões sérias»([33]) entre os tribunais nacionais e o referido Tribunal de Justiça. No caso francês([34]), registe-se a intervenção do Conseil d'Etat([35]), por via do seu aresto de 21 de abril de 2021, que procedeu a uma reconstrução discursiva([36]) fazendo a ponte entre os casos de criminalidade grave e as ameaças à segurança nacional. O quebra-cabeças para a luta contra a criminalidade decorrente de uma malha cada vez mais apertada por via supranacional levou a que, na sequência de La Quadrature du Net, se pergunte se não teremos antes uma «quadratura do círculo»([37]).

Assinale-se que, numa primeira etapa, diferentes tribunais constitucionais([38]) confrontaram-se com problemas, no que toca à transposição da Diretiva, na maioria dos casos tendo como parâmetro os textos constitucionais nacionais, mas também a CEDH. Na decisão alemã de 2010, no entanto, não se punha em causa a legitimidade de uma base (quase) universal, desde que observado um conjunto de requisitos. É preciso sublinhar que, em vários casos, havia problemas diferentes: por exemplo, na decisão do Tribunal Constitucional da Bulgária([39]) não se limitava à criminalidade grave e, além disso, o quadro normativo sucumbiu em termos de violação do princípio da proibição do excesso por causa do longo período permitido para a conservação dos dados.

Trata-se de assegurar um «standard unitário mínimo» (a não confundir com minimalista) e é o próprio Tribunal de Justiça a reconhecer, na análise da questão da conservação ou retenção (diferente de preservação: cf. infra) dos dados, que não é tocado o conteúdo essencial dos diferentes direitos fundamentais convocados([40]) e que há um interesse legítimo (geral) que alicerça a sua restrição([41]).

B.2. Juízo de proporcionalidade

Também não me revejo no juízo de (des)proporcionalidade feito pelo TJUE, apresentado, como vimos, como «standard europeu de controlo de proporcionalidade». Em termos sistemáticos, atente-se nos seguintes subpontos: a) considerações introdutórias sobre o princípio da proibição do excesso; b) vinculação teleológica da conservação de dados; c) âmbito pessoal (subjetivo) e material das bases admissíveis, na ótica do TJUE; d) adequação ou não dos meios; e) exigibilidade ou necessidade.

B.2.1. Princípio da proibição do excesso: introdução

Uma análise em sede de princípio da proibição do excesso ou da proporcionalidade em sentido amplo convoca os três testes já clássicos de análise. Por outras palavras: trata-se de verificar se as medidas adotadas (meios) são adequadas ou apropriadas para a realização dos escopos propostos; se cumprem o requisito da exigibilidade ou da necessidade; por fim, se é observado o princípio da proporcionalidade em sentido restrito, ou seja, procede-se a um juízo de ponderação das desvantagens dos meios e das vantagens dos fim ou fins prosseguidos.

Contrariamente à jurisprudência do TJUE na matéria, discordo da interpretação dos artigos da Carta que consideraram pertinentes (nomeadamente os artigos 7.º e 8.º da CDFUE([42]). Entendo que não é violada qualquer uma das referidas dimensões do princípio da proibição do excesso: nem a adequação (como, aliás, reconhece expressamente o Tribunal); nem a necessidade (divergindo aqui do referido lastro jurisprudencial); nem a proporcionalidade em sentido restrito. Posição que se tornará ainda mais clara por via da recompreensão dos direitos fundamentais em causa e da defesa, inclusivamente, de uma conservação (quase) universal («generalizada») dos dados.

Este juízo tem presentes os direitos e os artigos que neste Acórdão são mobilizados para alicerçar o resultado: inconstitucionalidade, por violação do princípio da proibição do excesso (artigo 18.º, n.º 2, da Constituição) na restrição aos direitos fundamentais à autodeterminação informativa (artigo 35.º, n.º 1, da Constituição) e à reserva da intimidade da vida privada (artigo 26.º, n.º 1, da Constituição). No seu n.º 39, afirma-se que

«os testes do princípio da proporcionalidade - seja o da necessidade seja o da proporcionalidade em sentido estrito - não foram superados pelo legislador; para que tal tivesse acontecido, não se revela suficiente a limitação temporal levada a cabo, impondo-se inelutavelmente que tivesse sido realizada uma limitação do âmbito subjetivo das normas».

Centrarei a minha análise no teste da exigibilidade, mas, mutatis mutandis, também não descortino problemas em sede de proporcionalidade em sentido estrito.

B.2.2. Vinculação teleológica: o combate à criminalidade grave

Não se discute a legitimidade constitucional do fim prosseguido - o combate à criminalidade grave. Na ótica do Tribunal de Justiça, este é um aspeto essencial na avaliação da proporcionalidade, tendo sido descartada a conservação de dados com outros escopos, no plano penal ou mesmo contraordenacional. Lê-se no Acórdão do TJUE (Grande Secção), de 6 de outubro de 2020([43]) (Privacy International):

«No que diz respeito ao objetivo de prevenção, de investigação, de deteção e de repressão de infrações penais, em conformidade com o princípio da proporcionalidade, só a luta contra a criminalidade grave e a prevenção das ameaças graves contra a segurança pública são suscetíveis de justificar ingerências graves nos direitos fundamentais consagrados nos artigos 7.º e 8.º da Carta, tais como as que implicam a conservação de dados de tráfego e de dados de localização. Por conseguinte, só as ingerências sem caráter grave nos referidos direitos fundamentais podem ser justificadas pelo objetivo de prevenção, de investigação, de deteção e de repressão de infrações penais em geral [v., neste sentido, Acórdãos de 21 de dezembro de 2016, Tele2, C-203/15 e C-698/15, EU:C:2016:970, n.º 102, e de 2 de outubro de 2018, Ministerio Fiscal, C-207/16, EU:C:2018:788, n.os 56 e 57; Parecer 1/15 (Acordo PNR UE-Canadá), de 26 de julho de 2017, EU:C:2017:592, n.º 149]».

Em relação ao fim prosseguido - «luta contra a criminalidade grave, com o objetivo de garantir a segurança pública»([44]) -, importa não olvidar que este visa, em última análise, a defesa de um conjunto de bens fundamentais, como sejam a vida, a integridade pessoal, a reserva da intimidade da vida privada e família e a autodeterminação informacional, entre outros, quer nos movamos no quadro da CDFUE quer nos situemos no plano constitucional nacional. Este é o lado que tende a ficar em segundo plano. É verdade que em Digital Rights Ireland, o TUJE menciona, mas «apenas de passagem», o direito à segurança([45]), entre nós convocado expressamente pelo Conselheiro Lino de Carvalho para chegar a um resultado nos antípodas da posição do Tribunal de Justiça([46]). Apela-se para o princípio da proporcionalidade - na Carta, previsto no artigo 52.º, n.º 1 - e aí mobiliza-se o segmento relativo «a objetivos de interesse geral reconhecidos pela União». Neste ponto, a abordagem foi criticada, na medida em que descuraria o papel dos deveres de proteção de bens jurídicos em conflito([47]). Na verdade, Sebastian Leuschner([48]), tratando precisamente do caso da conservação de dados, defende a consideração, no processo de ponderação, dos deveres de proteção dos bens subjacentes aos direitos previstos nos artigos 2.º (direito à vida) e 3.º (direito à integridade) da CDFUE. Isto traduz-se em enfatizar o segmento final do n.º 1 do artigo 52.º da Carta, ou seja, a «necessidade de proteção dos direitos e liberdades de terceiros».

A já referida menção fugidia ao direito à segurança não altera o facto de este juízo de proporcionalidade se centrar no objetivo de interesse geral («luta contra a criminalidade grave, com o objetivo de garantir a segurança pública») reconhecido pela União Europeia. Entre nós, o Tribunal Constitucional convoca o artigo 18.º, n.º 2, no segmento «interesses constitucionalmente protegidos», no caso, tendo por finalidade «então [Acórdão n.º 268/2022([49])] como agora, a investigação, prevenção e repressão de crimes graves, determinada no artigo 1.º da Lei n.º 32/2008, de 17 de julho».

B.2.3. Âmbito pessoal e material

Em relação aos metadados, proíbe-se, como se disse, a sua conservação «generalizada» e «indiferenciada». Da leitura das decisões do TJUE, resulta que, no caso, a proibição desse tipo de conservação conhece algumas exceções, a saber:

«a conservação generalizada dos endereços IP atribuídos à fonte da ligação constitui uma ingerência grave nos direitos fundamentais consagrados nos artigos 7.º e 8.º da Carta, uma vez que esses endereços IP podem permitir tirar conclusões precisas sobre a vida privada do utilizador do meio de comunicação eletrónica em causa e ter efeitos dissuasivos no exercício da liberdade de expressão garantida no artigo 11.º da mesma. Todavia, no que respeita a essa conservação, o Tribunal de Justiça declarou que, para efeitos da necessária conciliação dos direitos e dos interesses em causa exigida pela jurisprudência referida nos n.os 65 a 68 do presente acórdão, há que ter em conta o facto de, no caso de uma infração cometida em linha e, em especial, no caso da aquisição, da difusão, da transmissão ou da colocação à disposição em linha de pornografia infantil, na aceção do artigo 2.º, alínea c), da Diretiva 2011/93/UE do Parlamento Europeu e do Conselho, de 13 de dezembro de 2011, relativa à luta contra o abuso sexual e a exploração sexual de crianças e a pornografia infantil, e que substitui a Decisão-Quadro 2004/68/JAI do Conselho (JO 2011, L 335, p. 1, e retificação JO 2012, L 18, p. 7), o endereço IP poder constituir o único meio de investigação que permite a identificação da pessoa à qual esse endereço estava atribuído no momento da prática dessa infração (Acórdão de 5 de abril de 2022, Commissioner of An Garda Síochána e o., C-140/20, EU:C:2022:258, n.º 73)».

Tal só aconteceu na sequência de outras decisões do TJUE, que não ressalvaram os IPs dinâmicos, já assinalados numa decisão do Tribunal Constitucional Federal alemão([52]), em 2012, como convocando problemas em matéria de liberdade de comunicação (artigo 10.º da Grundgesetz)([53]). Ou seja, excetuada a primeira possibilidade, que não é aplicável ao combate à criminalidade grave, a segunda é permitida por se entender que se trata de uma ingerência baixa e a terceira por necessidade de «conciliação dos direitos e interesses em causa», como se explicita na passagem transcrita.

B.2.4. Teste de adequação

Quanto à adequação, a orientação do Tribunal de Justiça não é problemática. Lê-se no referido Acórdão (Digital Rights Ireland), de 8 de abril de 2014:

«49 - No que respeita à questão de saber se a conservação dos dados é adequada à realização do objetivo prosseguido pela Diretiva 2006/24, cumpre observar que, tendo em conta a crescente importância dos meios de comunicação eletrónica, os dados que devem ser conservados em aplicação desta diretiva permitem às autoridades nacionais competentes em matéria penal dispor de possibilidades suplementares de elucidação das infrações graves e, portanto, nesta perspetiva, constituem um instrumento útil nas investigações penais. Assim, a conservação desses dados pode ser considerada adequada à realização do objetivo prosseguido pela dita diretiva.

50 - Esta apreciação não pode ser posta em causa pela circunstância, invocada designadamente por C. Tschohl e M. Seitlinger, bem como pelo Governo português nas observações escritas que apresentou ao Tribunal de Justiça, de haver várias modalidades de comunicações eletrónicas que não estão abrangidas pelo âmbito de aplicação da Diretiva 2006/24 ou que permitem uma comunicação anónima. Embora, é certo, esta circunstância seja suscetível de limitar a adequação da medida de conservação dos dados à realização do objetivo prosseguido, não é, todavia, suscetível de a tornar inapta, como salientou o advogado-geral no n.º 137 das suas conclusões».

À face da Constituição da República Portuguesa, a solução também não soçobra, cumprindo a exigência de adequação.

B.2.5. Necessidade ou exigibilidade

B.2.5.1. Considerações introdutórias

As divergências centram-se no juízo de necessidade ou de exigibilidade da solução de conservação dos dados. Descontada a censura a alguns aspetos relativos ao nível das «condições materiais e processuais» de acesso (Digital Rights Ireland, n.º 61) e que, no caso deste Decreto, foram observados pelo legislador nacional, o argumento chave parte da ideia, já tratada, de que a simples criação de uma base deste tipo seria uma grave ingerência em matéria de direitos fundamentais, desnecessária na medida em que existem meios menos onerosos, que não poriam em causa a eficácia da finalidade prosseguida.

Cabe-me, pois, um ónus acrescido de fundamentação, ao afastar-me da jurisprudência quer do TJUE quer da larga maioria que teve vencimento em sede de Tribunal Constitucional (no Acórdão n.º 268/2022, apenas o Conselheiro Lino de Carvalho, com quem convirjo nalguns argumentos, votou em sentido contrário).

Recorda-se que, numa ótica de exigibilidade ou necessidade, estaremos perante uma violação do princípio da proibição do excesso se houver meios menos onerosos, ou seja, menos ingerentes, e que se apresentem como «alternativas equivalentes» (gleichwertige Alternativen). Como se escreveu no Acórdão n.º 578/2023:

«Na doutrina, encontramos expressões como «meio igualmente efetivo» (gleich effektiven Mittels), «igualmente eficaz» (gleich wirksam Mittel) ou com «igual aptidão» (gleiche Eignung). Importa precisar que equivalência no que toca às alternativas não significa nem pode significar a mesma e exata medida, o que levantaria especiais problemas e, no limite, conduziria a um esvaziamento do princípio. [...] Equivalência não significa [pois] que a medida tenha exatamente o mesmo nível de eficácia (Niels Petersen, Verhältnismä(beta)igkeit als Rationalitätskontrolle: eine rechtsempirische Studie verfassungsrechtlicher Rechtsprechung zu den Freiheitsgrundrechten, Tübingen: Mohr Siebeck, 2015, pp. 150-153)».

B.2.5.2. A questão do risco da existência de uma rede de bases de conservação de dados

Em relação à natureza desta rede de conservação de dados, discordo da tese de que, no caso, haja risco agravado pela sua constituição (os dados já existem, em boa parte, nos mesmos operadores e aí, presentemente, com menos garantias: cf. supra, I) e de que a rejeição se possa fundar na sua aplicação «mesmo a pessoas em relação às quais não haja indícios que levem a acreditar que o seu comportamento possa ter um nexo, ainda que indireto ou longínquo, com infrações grave» (Digital Rights Ireland, n.º 58). Quanto a este segundo ponto, já nos movemos noutro plano e a questão será aprofundada infra.

B.2.5.3. Alternativas: (re)lendo a jurisprudência do TJUE

Contra o modelo (quase) universal de conservação, apresentam-se como medidas menos onerosas, que seriam capazes de assegurar a luta contra a criminalidade grave, soluções de «conservação dirigida» ou «condicionada», limitadas em termos temporais, territoriais e pessoais([54]), ou seja, seletivas, não deixando de se considerar o «congelamento rápido» de dados.

Centremo-nos nas alternativas avançadas na jurisprudência do TJUE e que têm sido discutidas. Recentemente, vários Estados nacionais, tendo sido forçados a descartar o quadro normativo anterior neste campo, procuraram encontrar caminhos que permitam minorar os danos.

B.2.5.3.1. Preservação de dados como alternativa à conservação

Em sentido estrito, a preservação de dados distingue-se da conservação de dados, embora a preservação expedita apareça designada também como «conservação rápida»([55]). No artigo 12.º da Lei do Cibercrime([56]), é admitida a preservação de dados, por um período de três meses, mas extensível a um ano. Lê-se no n.º 1:

«Se no decurso do processo for necessário à produção de prova, tendo em vista a descoberta da verdade, obter dados informáticos específicos armazenados num sistema informático, incluindo dados de tráfego, em relação aos quais haja receio de que possam perder-se, alterar-se ou deixar de estar disponíveis, a autoridade judiciária competente ordena a quem tenha disponibilidade ou controlo desses dados, designadamente a fornecedor de serviço, que preserve os dados em causa».

É um caminho previsto no Título 2 («Conservação expedita de dados informáticos armazenados») da Convenção sobre a Cibercriminalidade do Conselho da Europa, de 23 de novembro de 2001 (Série de Tratados Europeus - n.º 185)([57]), conhecida como Convenção de Budapeste. Trata-se de uma via expressamente prevista na jurisprudência do TJUE, como se comprova consultando, por exemplo, os acórdãos La Quadrature du Net e Commissioner of An Garda Síochána([58]).

Neste último, lê-se:

«89 [...] uma medida legislativa pode autorizar que se imponha aos prestadores de serviços de comunicações eletrónicas a conservação rápida dos dados de tráfego e dos dados de localização, nomeadamente, das pessoas com as quais, antes da ocorrência de uma ameaça grave para a segurança pública ou da prática de um ato de criminalidade grave, uma vítima tenha estado em contacto utilizando os seus meios de comunicações eletrónicas.

90 Tal conservação rápida pode, segundo a jurisprudência do Tribunal de Justiça recordada no n.º 88 do presente acórdão e nas mesmas condições visadas nesse número, igualmente ser alargada a zonas geográficas determinadas, como os locais da prática e da preparação da infração ou da ofensa à segurança nacional em causa. Importa precisar que podem ainda ser objeto dessa medida os dados de tráfego e os dados de localização relativos ao local onde uma pessoa, potencialmente vítima de um ato de criminalidade grave, desapareceu, desde que essa medida e o acesso aos dados assim conservados respeitem os limites do estritamente necessário para efeitos da luta contra a criminalidade grave ou a salvaguarda da segurança nacional, conforme enunciados nos n.os 164 a 167 do Acórdão de 6 de outubro de 2020, La Quadrature du Net e o. (C-511/18, C-512/18 e C-520/18, EU:C:2020:791).

91 Por outro lado, importa precisar que o artigo 15.º, n.º 1, da Diretiva 2002/58 não se opõe a que as autoridades nacionais competentes ordenem uma medida de conservação rápida desde a primeira fase do inquérito sobre uma ameaça grave para a segurança pública ou sobre um eventual ato de criminalidade grave, a saber, a partir do momento em que, segundo as disposições pertinentes do direito nacional, essas autoridades podem dar início a esse inquérito.

92 No que respeita à variedade das medidas de conservação dos dados de tráfego e dos dados de localização referidos no n.º 67 do presente acórdão, importa precisar que estas diferentes medidas podem, consoante a escolha do legislador nacional e respeitando os limites do estritamente necessário, ser aplicadas conjuntamente. Nestas condições, o artigo 15.º, n.º 1, da Diretiva 2002/58, lido à luz dos artigos 7.º, 8.º, 11.º e 52.º, n.º 1, da Carta, conforme interpretado pela jurisprudência decorrente do Acórdão de 6 de outubro de 2020, La Quadrature du Net e o. (C-511/18, C-512/18 e C-520/18, EU:C:2020:791), não se opõe a uma combinação destas medidas».

Esta possibilidade de «congelamento» de dados corresponde a uma solução que, na sequência do Acórdão SpaceNet, integra proposta de quadro legislativo em matéria de conservação de dados, na Alemanha([59]).

B.2.5.3.2. Territorialidade: cruzando geografia e criminalidade

Na jurisprudência do TJUE, apresenta-se como alternativa legítima para combater a criminalidade grave a chamada «conservação dirigida», que se socorre de critérios assentes na seletividade territorial ou pessoal. Como se viu no trecho jurisprudencial acabado de citar, embora se possa cruzar com a preservação expedita, reveste autonomia. Especial interesse assume a questão da territorialidade, que passa por uma identificação de espaços que são reconhecidos como tendo associado um risco acrescido (os aeroportos, por exemplo) e ainda pelo recorte de áreas com uma criminalidade grave acima da média. Antes da avaliação crítica das alternativas, nomeadamente, mas de modo algum exclusivamente, na perspetiva da eficácia, proceda-se a uma breve apresentação, olhando-se para algumas concretizações normativas e discussões em curso, neste caso, limitando-me a breves referências à Suécia.

A escolha de uma determinada zona geográfica para uma retenção orientada pressupõe critérios objetivos, como a verificação de probabilidade de uma criminalidade grave significativamente maior do que noutras áreas. A legislação dinamarquesa ou na Bélgica ilustram soluções desta natureza, que tratarei de forma necessariamente breve.

A Dinamarca procedeu a um conjunto de alterações normativas neste campo, realçando-se a Lei n.º 291, de 8 de março de 2022 (LOV nr 291 af 08/03/2022 - Lov om ændring af retsplejeloven og lov om elektroniske kommunikationsnet og -tjenester/ Lei que altera a Lei da Administração da Justiça e a Lei das Redes e Serviços de Comunicações Eletrónicas).

Consultando o documento que, a par das alterações, procede a uma exposição dos motivos([60]), vê-se que se tratou de consagrar um sistema de conservação direcionada, que, lê-se, é o remédio para continuar a utilizar dados de comunicação na investigação criminal, sem prejuízo da sua redução.

Para além da cobertura de pessoas condenadas por crimes graves, adotou-se como critério uma conservação ou retenção geograficamente orientada, tomando como indicadores a média de crimes graves, a saber:

Acresce que, entre outras medidas, pode haver um armazenamento geograficamente orientado em áreas particularmente sensíveis, tais como aeroportos, embaixadas, palácio real, etc.

Na sua análise do processo, o Instituto para os Direitos Humanos (Institut for Menneskerettigheder([61]) considera que, com os critérios propostos, há o risco de consagração de um tratamento próximo da generalização e indiferenciação vedadas pela leitura da Carta feita pelo TJUE. Prevê-se, na verdade, o corte do território em zonas de três por três quilómetros([62]). A possibilidade de, deste modo, continuar a não ser conforme com o Direito da União, nomeadamente com a proteção jusfundamental, é bastante significativa([63]). Lê-se que a conservação de dados pode, segundo estimativas oficiais, abranger mais de 2/3 (avança-se com 67 %) da população([64]).

Na Bélgica, a Loi du 20 juillet 2022 relative à la collecte et à la conservation des données d'identification et des métadonnées dans le secteur des communications électroniques et à la fourniture de ces données aux autorités([65]) entrou em vigor a 18 de agosto desse mesmo ano. Cruzam-se dois critérios geográficos([66]):

«Os dados referidos no artigo 126/2, § 2, são conservados na área geográfica constituída por:

• Circunscrições judiciárias nas quais tenham sido registadas, em média, nos três anos civis anteriores ao ano em curso, pelo menos três infrações referidas nos §§ 2 a 4 do artigo 90ter do Código de Processo Penal por ano e por 1000 habitantes;

• As áreas policiais nas quais tenham sido registados em média, por ano e por 1000 habitantes, pelo menos três crimes referidos no artigo 90ter, §§ 2.º a 4.º, do Código de Processo Penal, nos três anos civis anteriores ao corrente, e situadas em circunscrições judiciais nas quais, durante o ano civil anterior ao corrente, tenham sido registados, em média, nos três anos civis anteriores ao corrente, menos de três crimes referidos no artigo 90.º-ter, §§ 2.º a 4.º, do Código de Processo Penal por ano e por 1000 habitantes»([67]).

O diploma belga ilustra também alguns dos problemas decorrentes da repartição do território no quadro de uma «conservação dirigida». Veja-se, a título meramente ilustrativo, a redação do § 3.º do artigo 126.º, n.º 1:

«Se o utilizador final se deslocar durante uma comunicação eletrónica, o operador conservará os dados de tráfego na medida em que o utilizador final se encontre, em qualquer momento da comunicação, numa das zonas referidas no artigo 126/3.

Os operadores conservarão os dados relativos à ligação do equipamento terminal à rede e ao serviço e à localização desse equipamento, incluindo o ponto terminal da rede, enumerados no n.º 2 do artigo 126.º/2, § 2, caso esse equipamento se encontre numa das zonas referidas no artigo 126/3.

Para determinar se o equipamento terminal está localizado numa zona geográfica referida no artigo 126.º/3, os operadores utilizam os dados mais fiáveis e precisos possíveis. Utilizam, quando disponíveis para o efeito, a localização por satélite de um equipamento terminal.

Sempre que a tecnologia utilizada pelo operador não permita limitar a conservação dos dados a uma zona referida no artigo 126.º/3, o operador conserva os dados necessários para cobrir a totalidade da zona em causa, limitando a conservação dos dados fora dessa zona ao estritamente necessário, tendo em conta as suas possibilidades técnicas.

Se o ponto de agregação de um operador, como uma antena, abranger várias zonas geográficas referidas no artigo 126.º/3 que estejam sujeitas a diferentes períodos de conservação, o operador conserva os dados relativos a esse ponto de agregação durante o período de conservação mais curto.

Quando, nos termos do presente artigo e do artigo 126.º/3, forem aplicáveis períodos de conservação diferentes aos mesmos dados, os operadores conservarão os dados pelo período mais curto»([69]).

B.2.5.4. Avaliação: em especial, a questão da eficácia

Quanto ao critério geográfico como fundamento para o «armazenamento direcionado», são vários os argumentos convocados e que estão sintetizados no relatório sueco de 2023([70]), a saber:

Lembre-se também que este modelo geograficamente direcionado pode de alguma forma promover uma deslocação de grupos criminosos para áreas com baixa criminalidade.

Quanto à eficácia, a não ser que, sob a capa de intervenções direcionadas, se adotassem medidas tão extensas que, na prática, se aproximariam do modelo rejeitado pelo TJUE (numa situação, no limite, de manifesta fraude), não se vê como seja possível defender uma equivalência do ponto de vista de medidas, mas apenas encontrar remédios que atenuem essa redução. Considerem-se dois pontos:

B.2.5.4.1. Retrato empírico: práticas, números e estudos

Sem prejuízo de oscilações, assistiu-se na última década a um crescimento dos números do crime praticado no ciberespaço quer sejam situações de crime estritamente informáticos quer atos em que a «constelação digital»([74]) é instrumental([75]). Ou seja, estamos num território virtual onde têm vindo a aumentar significativamente os incidentes informáticos([76]).

Esta tendência não é apenas nacional. Na verdade, se se considerar o panorama global em todo o espaço da União, também se assinala um acréscimo de atividade ilícita, como se espelha num relatório recente da Agência da União Europeia para a Cibersegurança (ENISA)([77]):

«um crescimento significativo quer na variedade quer na quantidade de ataques cibernéticos e suas consequências. A guerra em curso contra a Ucrânia continua a influenciar este quadro. O "hacktivismo" expandiu-se com o surgimento de novos grupos, enquanto os incidentes de ransomware [software de extorsão] aumentaram no primeiro semestre de 2023 e não mostraram sinais de desaceleração»([78]).

No catálogo das ameaças para a existência digital, para a «identidade digital» de cada um (com projeções na nossa «identidade 'híbrida'», conjugação de várias dimensões da vida, que não se esgota na «conetividade digital»)([79]), contam-se riscos externos e internos. Entre os primeiros, registam-se vários modos de pirataria informática [engenharia social, falsificação ou mistificação de interface (phishing), ataques DDoS] e de «software malicioso» (malware), ilustrado nos vírus, vermes, cavalos de Troia, «software espião» (spyware), software de extorsão (ransomware), por exemplo([80]). Quanto aos segundos - riscos internos -, são fundamentais as garantias para evitar acessos indevidos, o que se traduz, nomeadamente, em medidas organizacionais e técnicas([81]).

Um Parecer do então denominado Max-Planck-Instituts für ausländisches und internationales Strafrecht([82]) (agora Max-Planck-Institut zur Erforschung von Kriminalität, Sicherheit und Recht) sobre os efeitos da não conservação dos dados na investigação criminal e na proteção jurídica mostrou-se inconclusivo (realçou-se a insuficiência de dados empíricos), não permitindo alicerçar de forma clara nenhuma das posições.

Do ponto de vista da Comissão Europeia, numa informação datada de abril de 2014, lê-se o seguinte([83]):

«Qual é o valor da conservação de dados para os sistemas de justiça criminal e para a aplicação da lei?

A conservação de dados é feita na maioria dos Estados-Membros. Os Estados-Membros têm, em geral, relatado, que os dados conservados são muito valiosos e, em alguns casos, indispensáveis, para prevenir e combater a criminalidade, para proteger as vítimas e para a absolvição de inocentes em processos penais.

A evidência, sob a forma de estatística e exemplos fornecidos pelos Estados-Membros, é limitada quanto a alguns aspetos, no entanto, atesta o papel muito importante dos dados conservados para a investigação criminal. Estes dados fornecem pistas e provas valiosas na prevenção e repressão do crime e na garantia da justiça penal. A sua utilização resultou em condenações por infrações penais que, sem a retenção de dados, poderiam nunca ter sido obtidas.

A conservação de dados permite fornecer pistas para a investigação de uma infração. Também ajuda a discernir ou confirmar outro tipo de provas sobre as atividades e ligações entre suspeitos e vítimas. Na ausência de provas forenses ou testemunhas presenciais, a retenção de dados é muitas vezes a única forma de iniciar uma investigação criminal. Em geral, a conservação de dados parece desempenhar um papel central na investigação criminal, mesmo que nem sempre seja possível isolar e quantificar o impacto de uma determinada prova num determinado caso»([84]).

No retrato traçado, encontramos referências a vários Estados europeus, sendo em regra diferentes os períodos temporais de conservação. Na Irlanda, as entidades policiais têm uma tradição de recurso frequente a estes dados([85]).

Em 2020, foi publicado um Relatório da Comissão Europeia([86]), baseado na análise de dez países (entre os quais Portugal), onde se lê que, relativamente às alternativas, as autoridades (no caso, as LEA - law enforcement authorities) «sublinharam que nenhum destes mecanismos pode ser visto como uma verdadeira alternativa à conservação de dados obrigatória e generalizada»([87]). Por exemplo, no que toca à vigilância pressupõe-se a existência de suspeito(s) identificado(s) e para o procedimento identificador haver dados conservados pode fazer toda a diferença. O mesmo vale para o acesso a dispositivos que venham a ser apreendidos no decurso da investigação.

Em vários países, e pondo de parte outras necessidades de conservação de informação, a paleta de razões em defesa de salvaguarda dos dados é variada. Por exemplo, em relação às empresas de comunicações eletrónicas alemãs, um Projeto de Lei conjunto dos Grupos Parlamentares da CDU/CSU e do SPD([88]), de 2 de junho de 2015, sobre esta questão, realçava a necessidade de um quadro comum dado que os períodos de armazenamento dos dados eram muitos distintos (no limite, apenas alguns dias), o que se traduzia numa álea([89]) que se poderia repercutir no sucesso da investigação, comprometendo a eficácia da prossecução penal([90]).

B.2.5.4.2. Avaliação das alternativas

A jurisprudência do TJUE considera que é possível uma armazenagem seletiva ou direcionada, apresentando diferentes critérios. Este ponto é importante para o juízo de necessidade ou exigibilidade, pois estas medidas que pretendem ser menos onerosas, devem ter uma eficácia equivalente (o que, como se disse, não tem de significar idêntica). Testemos, pois, os critérios propostos e os modos.

No referido relatório final do estudo promovido pela Comissão Europeia - Study on the retention of electronic communications non-content data for law enforcement purposes -, lê-se a propósito deste meio que «A maioria das LEA consultadas não considera que a preservação de dados seja uma medida alternativa adequada à conservação obrigatória de dados»([91]). E acrescenta-se:

«Em geral, porque os ESP [Electronic communications service Provider /Fornecedores de serviços de comunicações eletrónicas] não necessitam de dados de localização ou de endereços IP de uma ligação à Internet durante mais do que alguns dias, não podem preservar esses dados se já tiverem sido apagados. As LEA enfrentam, portanto, dificuldades semelhantes às que existem quando dependem do acesso aos dados armazenados pelos ESP para fins comerciais. As LEA podem recorrer à preservação de dados apenas quando os factos que constituem crime são relativamente recentes, ou quando o crime está em curso no momento em que é detetado pela investigação. Embora a conservação de dados garanta a disponibilidade de dados históricos ligados ao caso sob investigação, a preservação de dados só pode ser aplicada a partir do momento em que surge uma suspeita e é emitida uma ordem de preservação. Não permite fornecer pistas para a investigação antes da ordem de preservação([92]).

Ou seja, para ser efetiva a preservação pressupõe-se a disponibilidade desses dados, o que levanta a questão da sua conservação ou retenção em sentido estrito. Por outras palavras: a efetividade do congelamento rápido depende de ainda existirem esses dados, sendo a função do armazenamento a sua conservação.

Desta forma, o chamado método de preservação rápida não resolve o problema, pois se já não houver dados, total ou parcialmente, não se consegue efetivar([93]). Falou-se já de um «placebo»([94]). Em relação à justiça constitucional, foi referido na paleta de medidas menos onerosas pelo Tribunal Constitucional português([95]) e já antes apontado como via pelo Tribunal Constitucional eslovaco([96]), mas recusado, em 2010, pelo Tribunal Constitucional Federal alemão([97]).

O modelo belga tem sido criticado, entre outras coisas, por se aproximar, em termos de cobertura, da situação censurada pela jurisprudência do Tribunal de Justiça([98]). O Eurodeputado Patrick Breyer MEP (Verdes/Aliança Livre Europeia) mostrou([99]), com o auxílio de um mapa digital, que, de facto, mais de 2/3 da população residente cairá no âmbito territorial. Num artigo publicado já em 2023, lê-se mesmo que «as implementações nacionais de tais alternativas na prática perpetuam os mesmos problemas»([100]).

Embora seja uma forma de redução de danos por via do impacto da jurisprudência do TJUE, nem sempre é claro que não haverá problemas de discriminação([101]). Tal preocupação é sublinhada quer ao nível da doutrina quer em termos de posições de instituições. Na Suécia, há um Provedor que especificamente considera as questões da discriminação [Diskrimineringsombudsmannen (DO)] e que, face à alteração proposta na esteira da jurisprudência do TJUE, manifestou preocupações do ponto de vista da utilização do recorte geográfico - identificação de determinadas zonas - em função do critério de uma prática de crimes acima da média.

Assim, não havendo medidas alternativas com uma eficácia equivalente à solução de um armazenamento multipolar quase universal não podemos acompanhar a conclusão da jurisprudência do TJUE que sustenta, no referido Acórdão SpaceNet:

«113 - Em todo o caso, como salientou o advogado-geral no n.º 50 das suas conclusões, a eventual existência de dificuldades para definir precisamente as hipóteses e as condições em que pode ser efetuada uma conservação seletiva não pode justificar que os Estados-Membros, fazendo da exceção uma regra, prevejam uma conservação generalizada e indiferenciada dos dados de tráfego e dos dados de localização (Acórdão de 5 de abril de 2022, Commissioner of An Garda Síochána e o., C-140/20, EU:C:2022:258, n.º 84)».

Mais: trata-se de uma jurisprudência que, contra quadros jurídicos nacionais que conformavam países tão distintos como a Alemanha, a Dinamarca, a Suécia e Portugal, impôs uma leitura rigidificante e, em minha opinião, desproporcionada em termos da ponderação, que tem levado, após uma longa resistência de alguns Estados nacionais, a mudanças legislativas, já concluídas ou em curso. Contudo, insisto, a CDFUE não deve ser lida nos moldes em que o tem sido pelo TJUE([102]); além disso, discute-se a ingerência na área de decisões onde outro deveria ser o peso dos legisladores nacionais. Em termos de acesa crítica, fala-se de «Estados confusos», de «União desestabilizada»([103]). Na verdade, a dificuldade de desenvolver um modelo eficaz para combater a criminalidade grave comprova-se em países que tiveram de se resignar perante uma jurisprudência europeia crescentemente intransigente. Em França, estuda-se o desenvolvimento de um novo quadro normativo. Num relatório de novembro de 2023([104]), da autoria dos senadores Philippe Bonnecarrère e de Agnès Canayer, dá-se conta, de forma muito crítica, do impacto das decisões do TJUE no ordenamento jurídico francês e afirma-se como desígnio «assumir na Europa uma posição forte, fazendo da matéria dos dados de conexão uma prioridade para a França»([105]). No quadro da Presidência espanhola da União([106]), discutiu-se a questão de encontrar legislação equilibrada no que toca ao acesso aos metadados para efeitos de investigação criminal, na sequência de um encontro dos Chefes das Polícias Europeias em Lisboa([107]). Ressaltando-se a importância da cooperação europeia no combate à criminalidade organizada, assinala-se a importância de um novo quadro jurídico da União sobre conservação de dados, pois a Diretiva de 2006 foi há muito invalidada pelo TJUE. Isto num tempo em que se discute a substituição da Diretiva 2002/58/CE([108]).

Sabe-se que ainda antes da digitalização, algumas polícias já recortavam áreas territoriais de maior relevância criminal. Atualmente, utilizam sistemas de inteligência artificial de prognose a partir da chamada cartografia do crime (crime mapping; Verbrechenskartierung)([109]). Programas como o Comp Stat, que está na base do Predpol, transformam os dados digitais em mapas digitais, utilizando algoritmos para a partir dos dados passados preverem, em geral, a ocorrência de maior ou menor criminalidade, seja grave ou não. Há diferentes soluções no mercado (como o PreCobs - Pre Crime Observation System), que se comparam com a definição de políticas de risco.

Acontece que estes sistemas geram preocupação por, à semelhança dos sistemas de prognose referidos não ao território, mas a pessoas, conduzirem a controlos desproporcionais de certas zonas e à geração de efeitos de estigmatização e discriminação([110]).

Esta política criminal tem vindo a aprofundar o fosso da desigualdade no que toca à prossecução penal (ponto que consideraremos infra, em defesa de uma quase universalidade de carregamento de dados). Ou seja, para afirmar uma tutela hiperindividualista dos direitos de alguns acaba por se aumentar as ingerências em direitos de outros que habitam em áreas suspeitas.

As pistas de resolução do problema apresentadas na jurisprudência do TJUE são menos eficazes e de difícil concretização, sendo aptas a gerar discriminações. A necessidade dos dados das telecomunicações é manifesta e, não por acaso, na União Europeia foi criado o DAPIX (Data Retention) Working Party. O Conselho da União Europeia adotou as conclusões deste grupo de trabalho([111]). Aborda-se a possível (in)suficiência dos dados recolhidos para fins comerciais, bem como, em casos de retenção, uma diferença significativa quanto aos prazos de conservação([112]). Problemas que se projetam na cooperação internacional na luta contra a criminalidade grave([113]).

Em resumo: face à Constituição da República Portuguesa não temos dúvidas da compatibilidade, em geral, da rede de bases de conservação de dados. Aliás, outra não seria a nossa ponderação também perante a Carta.

Ainda a este propósito, importa não olvidar que a justiça penal como forma de realização do Estado de Direito permite a prossecução do combate à criminalidade, tomando a sério o princípio fundante da dignidade humana e os princípios que densificam uma constituição processual e penal justa. Justiça penal que é, pois, instrumento essencial para a garantia dos bens fundamentais de todas as pessoas envolvidas. Na verdade, o emprego de metadados também possibilitou e possibilita - e isto não é de menor importância - a absolvição de pessoas inocentes.

É verdade que a jurisprudência do TJUE não questiona a bondade deste fim, mas, na sua interpretação da Carta, acaba por limitar significativamente a segurança e a liberdade pessoais. Como referimos supra, a intervenção do Estado estabelecendo a obrigação de conservação de dados é instrumental para a proteção de bens fundamentais. Ou seja, em última análise, temos titulares de posições jurídicas em ambos os lados da colisão.

No Estado de direito, assiste-se ao desenvolvimento de zonas onde parece imperar o não-direito, onde vivem populações mais pobres desprotegidas e esquecidas, com uma probabilidade mais elevada de serem mortas em tiroteios entre bandos rivais. Com o desenvolvimento do ciberespaço expandiu-se o campo de atuação criminosa - o terreno do cibercrime - que exige uma tutela em sede de digitalização. No quadro de uma globalização da criminalidade e da hipercomplexificação das sociedades, e de uma visão intrinsecamente relacional dos direitos, tendo presente um controlo de acesso com reserva de juiz, impõe-se realisticamente assegurar elementos necessários à investigação criminal, de forma a garantir direitos das vítimas, mas também dos arguidos, num contexto de crescentes desafios tecnológicos (5G, por exemplo)([114]).

C) Releitura dos direitos: defesa de uma conservação temporalmente limitada assente na (quase) universalidade

O modelo sufragado pelo TJUE, que mereceu acolhimento no Acórdão do Tribunal Constitucional n.º 268/2022, assenta numa leitura dos direitos convocados (autodeterminação informacional ou informativa e reserva da intimidade da vida privada e familiar) que me parece inadequada num tempo (4.0) marcado por uma digitalização que não é mera passagem para suporte informático de elementos em papel, antes se carateriza por uma mudança profundíssima expressa em novos desenvolvimentos da inteligência artificial [algoritmos aprendentes, Internet das Coisas, megadados (Big data), entre outros].

C.1. (Re)leitura de direitos: autodeterminação e digitalização

Esta alteração do contexto espelha-se numa recompreensão dos direitos, falando-se da «dimensão digital dos direitos fundamentais»([115]) (digitale Dimension der Grundrechte). O ciberespaço é, crescentemente, um campo onde se pratica o crime. Por via do chamado cibercrime intercetam-se comunicações (em tempo real), entra-se nos computadores e nas redes internas de empresas e famílias. Neste quadro, a segurança informática impõe-se como um elemento chave de uma sociedade de comunicação global, onde os riscos são potenciados. Com a utilização de algoritmos aprendentes, uma das marcas deste tempo 4.0 (à semelhança da revolução industrial 4.0), não são necessárias bases (sempre forçosamente limitadas) constituídas no exercício de funções públicas para possibilitar a acumulação de dados e os riscos de ingerências ilegítimas, assentes na apropriação e violação da confidencialidade dos dados. Neste sentido, as polícias - cuja atividade num Estado constitucional é, em princípio, crescentemente disciplinada e vigiada, até como forma de garantia dos direitos dos cidadãos - assumem um relevante papel na defesa dos cidadãos também nestes novos espaços.

A garantia do direito à autodeterminação informacional, para a segurança dos próprios cidadãos e tendo presente um referente comunitário([116]), abre as portas para a constituição, de forma proporcionada, mas tendencialmente universal, de um sistema de conservação de dados de base e de tráfego. Ou seja, é em nome da tutela de um conjunto de bens fundamentais de cada pessoa que habitar no ciberespaço exige medidas mais universalizantes de conservação de dados, com proteções acrescidas, nomeadamente em termos de acesso. Uma recompreensão da autodeterminação informativa ou informacional([117]) enquanto «direito fundamental global» aponta para a importância do Estado, não reduzido a uma ameaça à liberdade, mas como pressuposto da realização do direito. Na verdade, a ingerência na autodeterminação informacional não se limita ao Estado, mas é, crescentemente, resultado das atividades de uma pluralidade de atores sociais, de verdadeiros poderes fácticos([118]), agora em «sociedades em rede». Tal exige que o Estado seja visto não apenas no registo tradicional de fautor de ameaças ao direito, mas pressuposto da sua defesa e da possibilidade de uma existência no ciberespaço tanto quanto possível segura, em Estados constitucionais e com as limitações decorrentes do caráter transfronteiriço dos riscos, que exigem cooperação supranacional e internacional. Dados empíricos comprovam esta perceção de que hoje a maior fonte de riscos na infoesfera decorre da atividade de grandes atores privados. Assim, estudos realizados na Suíça junto de utilizadores da Internet revelam que o receio de violações da privacidade praticadas por grandes empresas é, em média, 14,5 % maior do que o de ingerências ilegítimas do Estado([119]). Não por acaso, nas discussões em torno de uma nova Diretiva para substituir a 2002/58/CE, defende-se a aplicação aos chamados serviços OTT (over-the-top), tais como WhatsApp, Facebook (agora Meta) e Skype,

«que recolhem muito mais dados para fins comerciais do que os operadores de telecomunicações tradicionais. Esta seria uma diferença significativa em relação à maioria das leis nacionais de conservação de dados, que abrangem apenas os fornecedores de serviços de telecomunicações»([120]).

No caso Digital Rights Ireland (processos apensos C-293/12 e C-594/12), lê-se no Acórdão do Tribunal de Justiça (Grande Secção), de 8 de abril de 2014:

«Quanto à questão de saber se a ingerência que a Diretiva 2006/24 comporta se limita ao estritamente necessário, importa salientar que esta diretiva impõe, nos termos do seu artigo 3.º, conjugado com o seu artigo 5.º, n.º 1, a conservação de todos os dados relativos ao tráfego respeitante à rede telefónica fixa, à rede telefónica móvel, ao acesso à Internet, ao correio eletrónico através da Internet e às comunicações telefónicas através da Internet. Assim, visa todos os meios de comunicação eletrónica cuja utilização está muito divulgada e é de crescente importância na vida quotidiana de todos. Além disso, em conformidade com o seu artigo 3.º, a referida diretiva abrange todos os assinantes e utilizadores registados. Comporta, portanto, uma ingerência nos direitos fundamentais de quase toda a população europeia» (n.º 56, sublinhado nosso).

Em primeiro lugar, os dados que resultam de comunicações eletrónicas, também elas suscetíveis de serem intercetadas ilicitamente (ou seja, acedendo-se ao próprio conteúdo, uma ilegítima e grave ingerência), são conservados, em prazos diferentes, num cenário que, na Europa, resulta de quadros jurídicos distintos de faturação e prazos de reclamação dos consumidores e até, nalguns países, da maior ou menor celeridade dos fornecedores de serviços no apagamento dos dados. Dados que são temporariamente armazenados pelas operadoras e não concentrados numa única base. Ou seja, trata-se de uma conservação multipolar e descentralizada de dados já existentes, pelo que o risco é pressuposto dos próprios atos de comunicação. Não se vê que colha o argumento do acréscimo de riscos resultante da duplicação das diferentes bases que, no caso português, estão também nas várias operadoras.

Assim, nas democracias com alguma robustez e não se descurando as ingerências estatais, o risco para o direito à autodeterminação informacional decorre essencialmente da atividade de uma série de empresas, especialmente grandes multinacionais([121]). Entidades privadas, que, nomeadamente com o recurso a novas ferramentas algorítmicas, recolhem um manancial de informação sobre os consumidores([122]), estabelecendo perfis, que têm valor de e no mercado. Isto projeta-se numa visão do próprio direito à autodeterminação informacional: na República e também para os habitantes do espaço da União Europeia, uma comunidade de direito.

Em geral, a conservação de dados, tal como está prevista no diploma que agora nos convoca, é uma forma proporcional de realização dos deveres de proteção de bens fundamentais, nomeadamente da própria autodeterminação informacional ou informativa([123]), tendo já sido questionado se, na sua ausência, não há mesmo uma violação do princípio da proibição do défice de proteção([124]). Na verdade, a liberdade em segurança é um aspeto fundamental do Estado Constitucional, com profundas raízes no constitucionalismo moderno. Recordam-se aqui as Bases da Constituição, de 1821:

«A segurança pessoal consiste na proteção que o Governo deve dar a todos para poderem conservar os seus direitos pessoais» (artigo 3.º).

Sem prejuízo de dimensões institucionais que fazem com o que Estado não se reduza a uma mera soma de pessoas, importa não esquecer que o interesse público na segurança se revela em rostos.

Ou seja, em face das múltiplas possibilidades de recolha de dados para quem ameaça a nossa existência no mundo digital e no mundo real, a constituição de uma rede de bases autónomas, com acessos mais garantidos, nomeadamente com mediação judicial, temporalmente limitada, é um aspeto de garantia de direitos, que não acresce em matéria de riscos em relação a terceiros. E não se branda, libertariamente, a ameaça do Estado, pois, em sociedades democráticas e integradas no tipo Estado Constitucional de direito, embora existam violações, há mecanismos de resposta. Infelizmente, em países marcados pela ditadura rapidamente se descobre que a hipervigilância pelo Estado se transforma em norma, que o poder judicial não consegue travar.

Dito de outro modo: num quadro de direitos constitutivamente relacionais, a realização do direito à autodeterminação informacional e a tutela da reserva da intimidade pessoal e familiar abrem a porta a limitações (fortemente controladas) para a defesa desses mesmos direitos, que são crescentemente postos em risco por existências online.

Assim, num tempo 3.0, assistimos essencialmente, num primeiro momento, à constituição de bases de dados que traziam o espetro do acesso e de utilizações indevidas, nomeadamente pelo próprio Estado. É neste quadro que nasce o artigo 35.º, inserindo a Constituição da República Portuguesa na linha da frente. José António Barreiros espelha esse modelo de bancos centralizados([125]), referindo que, no caso português, foi desenvolvido um modelo a partir de 1973 no Ministério da Justiça, «cuja concepção é de molde a suscitar preocupações legítimas no que concerne à sua repercussão no âmbito das liberdades públicas dos cidadãos»([126]). Havia já um problema de interconexão de ficheiros, que se veio a potenciar.

Com a difusão da Internet, especialmente a partir da década de 90, aumentaram significativamente as ameaças à autodeterminação informacional([127]). No entanto, é com a emergência do tempo 4.0 e novos desenvolvimentos na inteligência artificial, desde logo algoritmos aprendentes, que se desenvolvem novos riscos que vão muito para lá do quadro tradicional. Afirma-se um modelo de descentralização que permite recolher uma série de dados que permitem estabelecer, de forma muito mais completa, perfis, num leque que vai desde empresas a, naturalmente, piratas informáticos. É perante esta assimetria que bases sujeitas a fortíssimas garantias de acesso se configuram como um elemento importante no cumprimento do dever de proteção da autodeterminação informacional e a reserva de intimidade da vida privada e familiar.

Como referi, estamos perante uma mudança de paradigma que se expressa no próprio recorte das ameaças. Este ponto não pode deixar de ter consequências dogmáticas:

«Isto aplica-se tanto mais que as ameaças - contrariamente ao que o BVerfG tinha imaginado no acórdão sobre o Censo - não provêm apenas do lado do Estado, mas cada vez mais de privados. Aqui se incluem motores de busca, redes sociais e outras empresas comerciais («sistemas de tecnologia da informação», para cuja utilização o BVerfG não considerou suficiente o tradicional direito à autodeterminação informativa[...]), mas também utilizadores (User) normais, bem como piratas informáticos (hackers) e falsificadores de interface (phishers) criminosos»([128]).

Revisitando a jurisprudência do Tribunal Constitucional, o que se acentua é a dimensão ativa do Estado, já antes reconhecida([129]), mas que, na leitura proposta e num contexto de maior ameaça vinda de outros, é aprofundada em sede dogmática, com projeção na defesa da conservação multipolar também como forma de realização do direito e, como se densificará, da (quase) universalidade (se preferirmos, a generalidade) como modo de realizar a igualdade, subtraindo-se à discriminação que algumas das medidas alternativas acabam por transportar, sendo elas possíveis fautoras de estigmatização.

As dimensões organizacionais e procedimentais (due process) são um dos elementos importantes para assegurar este direito. No domínio da digitalização e da sociedade em rede tem-se considerado o papel da confidencialidade (Vertraulichkeit) e da integridade dos sistemas técnico-informacionais([130]) (em termos globais e não centrado nas comunicações individuais e nos dados armazenados, como acontece com o direito à autodeterminação informacional)([131]).

C.2. Defesa da constitucionalidade de um armazenamento quase universal, assente na descentralização e na limitação de conteúdos

A quase universalidade (no que toca aos sujeitos) assume especial relevância em relação a pessoas pertencentes a certos grupos sociais que, em virtude do seu status, tendem, à partida, a beneficiar de um tratamento seletivo mais favorável, comprovado pelos estudos de criminologia, agravando ainda mais a desigualdade em sede de prossecução penal. Partindo da distinção entre conservação e acesso, verifica-se que o impacto da impossibilidade de, por perda dos dados, se reduzirem provas é especialmente importante no caso dos chamados crimes de «colarinho branco» (white collar)([132]).

A igualdade perante a lei (melhor, perante o direito) é mais assegurada desta forma - ao permitir tocar em grupos sociais que tendem a escapar às malhas do controlo judicial e a viver à boleia de comunidades politicamente organizadas. Numa sociedade outra, Cesare Beccaria([133]) falava de leis que «não são senão privilégios, isto é, tributo de todos para o bem-estar de uns poucos», ainda que hoje sustentadas num discurso jusfundamental; na nossa contemporaneidade, numa crítica a uma compreensão excessivamente individualista dos direitos, Beniamino Caravita di Toritto([134]) propõe-se «superar a conceção subjetiva da tutela da privacy» que remete para um «"to be left alone", típico de uma sociedade burguesa».

É esta igualdade que, em minha opinião, melhor assegura as exigências de uma «ideia de justiça» (Amartya Sen), de um compromisso que tome a sério o bem comum (que inclui, sob pena de perversão, o bem das pessoas([135]) e a nossa intrínseca relacionalidade. Aliás, a garantia da liberdade apresenta-se como um caminho comunitário (que não tem de ser comunitarista). Trata-se de uma dimensão respublicana, que, contrariamente ao que já foi defendido([136]), não põe em causa a presunção de inocência constitucionalmente tutelada.

Acresce que, na produção constante de dados de uma sociedade em rede, a redução significativa da possibilidade de aceder, de forma altamente controlada a certos dados, acentua também a vulnerabilidade de um conjunto de cidadãos. A vulnerabilidade em sentido etimológico aponta para vulnus (a suscetibilidade de ser ferido), e, num mundo em linha, à fragilidade estrutural - própria da condição humana - acresce uma fragilidade epocal e circunstancial em que as novas possibilidades da digitalização e da inteligência artificial são também fator de riscos. Contudo, há uma vulnerabilidade digital, isto é, uma fragilidade acrescida para uma série de pessoas que, num quadro de explosão e democratização do acesso à Internet nos últimos anos (nomeadamente por via dos smartphones - telefones inteligentes), são particularmente afetadas. Fundamentalmente, por duas ordens de razões: a) por já terem uma particular situação de risco (crianças, por exemplo); b) em geral, por, desde logo, não poderem beneficiar de sistemas de cibersegurança mais avançados do que aqueles que são gratuitos. Aliás, esta objeção foi já avançada contra as conservações direcionadas que têm vindo a ser acolhidas na legislação que vários países tiveram de fazer, nomeadamente por força do cartão vermelho exibido pelo TJUE([137]). Chloé Berthélémy([138]) sublinha que a utilização de critérios como

«'áreas com taxas de criminalidade acima da média' podem levar à estigmatização de comunidades inteiras. Estas categorias correm, portanto, o risco de se transformarem em prioridades de vigilância, potencialmente discriminatórias, muitas vezes centradas em torno do comportamento policial associado às áreas mais pobres, racializadas e da classe trabalhadora»([139]).

III. Conclusão

O apertado prazo constitucionalmente fixado para a fiscalização preventiva da constitucionalidade condiciona, naturalmente, a reflexão. Contudo, a estreiteza do horizonte temporal não afeta a convicção essencial: à luz da Constituição da República Portuguesa, entendo que as normas que a posição vencedora neste aresto considerou inconstitucionais não o são. Outra é a questão da sua conformidade com o direito da União Europeia.

([1]) Dispõe-se no n.º 2 do artigo 6.º: «É permitido o tratamento de dados de tráfego necessários à faturação dos assinantes e ao pagamento de interligações, designadamente: a) número ou identificação, endereço e tipo de posto do assinante; b) número total de unidades a cobrar para o período de contagem, bem como o tipo, hora de início e duração das chamadas efetuadas ou o volume de dados transmitidos; c) data da chamada ou serviço e número chamado; d) Outras informações relativas a pagamentos, tais como pagamentos adiantados, pagamentos a prestações, cortes de ligação e avisos». No n.º 3, lê-se: «O tratamento referido no número anterior apenas é lícito até final do período durante o qual a fatura pode ser legalmente contestada ou o pagamento reclamado».

([2]) No quadro da relação comercial entre os fornecedores de serviços e os consumidores, durante o prazo de seis meses, os dados existem numa base em que o tratamento dos dados de tráfego, de acordo com o n.º 6 do artigo 6.º da referida Lei n.º 41/2004, de 18 de agosto «[...] deve ser limitado aos trabalhadores e colaboradores das empresas que oferecem redes e ou serviços de comunicações eletrónicas acessíveis ao público encarregados da faturação ou da gestão do tráfego, das informações a clientes, da deteção de fraudes, da comercialização dos serviços de comunicações eletrónicas acessíveis ao público, ou da prestação de serviços de valor acrescentado, restringindo-se ao necessário para efeitos das referidas atividades». Tal solução contrasta com o regime de segurança acrescida previsto no artigo 7.º do Decreto da Assembleia da República n.º 91/XV, nomeadamente a exigência de «garantir que apenas pessoas especialmente autorizadas tenham acesso aos dados referentes às categorias previstas no artigo 4.º» [artigo 7.º, n.º 1, alínea d)]. Acresce que, para além do bloqueio de dados (artigo 7.º, n.º 2), há ainda um registo dessas pessoas especialmente autorizadas, com um reforço das garantias procedimentais e organizacionais, dada pela intervenção da Comissão Nacional de Proteção de Dados (CNPD).

([3]) Karsten Sohr/Thomas Kemmerich, «Kapitel 2. Technische Grundlagen der Informationssicherheit», in Dennis-Kenji Kipker (Hrsg.), Cybersecurity, München, C.H. Beck, 2020, pp. 23-82, p. 26.

([4]) Acórdão de 8 de abril de 2014, Digital Rights Ireland, proc. C-293/12 e C-594/12.

([5]) Um dos tópicos mobilizados contra a constituição de bases centradas na recolha de dados das telecomunicações prende-se com a possibilidade de traçar perfis. Ninguém duvida que o acesso a determinados dados, desde logo, a ligação para certos números de telefone (imagine-se um cliente ou uma cliente de uma operadora que liga para números facilmente associáveis, por exemplo, através das páginas de contactos de certos jornais), permite descobrir um conjunto de práticas da pessoa. Ora, num tempo 4.0, a possibilidade de constituição de perfis a partir dos dados é crescentemente multipolar, se atendermos às potencialidades abertas pelo tratamento automatizado de dados no quadro de uma revolução algorítmica. Precisemos conceitos: nos termos do artigo 4.º, n.º 4, do RGPD, entende-se por «[d]efinição de perfis qualquer forma de tratamento automatizado de dados pessoais que consista em utilizar esses dados pessoais para avaliar certos aspetos pessoais de uma pessoa singular, nomeadamente para analisar ou prever aspetos relacionados com o seu desempenho profissional, a sua situação económica, saúde, preferências pessoais, interesses, fiabilidade, comportamento, localização ou deslocações». Na nossa qualidade de navegantes, deixamos uma relevante pegada eletrónica que é utilizada por empresas que têm perfis da nossa atividade que, apropriadas por piratas, podem ser utilizadas para a prática de uma série de crimes, nomeadamente para chantagem.

([6]) Este argumento comparece também na decisão do Tribunal Constitucional da Eslováquia: segundo os requerentes, todas as pessoas seriam monitorizadas, independentemente da sua integridade e reputação ou honestidade («The applicants stressed, inter alia, that the introduction of the duty to store data on electronic communications constitutes a major interference with privacy, since it implies the monitoring of all inhabitants of Slovakia, regardless of their integrity and reputation» - Ústavný súd Slovenskej republiky [Constitutional Court of the Slovak Republic], Apr. 29, 2015, No. PL. ÚS 10/2014-29, SVK-2016-2-002 (Slovk.), com o sumário em inglês disponível em https://www.ustavnysud.sk/documents/10182/71853347/PL_10_2014.pdf/55803f09-7020-41a4-a671-819fa297160d e tradução parcial na mesma língua publicada em Marek Zubik/Jan Podkowik/Robin Rybski (eds.), European constitutional courts towards data retention laws, Cham, Springer International Publishing, 2021, pp. 370-377, obra onde também se encontra um capítulo dedicado à conservação de dados na Eslováquia (Matej Gera/ Martin Husovec, «Data Retention in Slovakia», pp. 203-217).

([7]) Em relação aos dados de faturação e num litígio sobre a conservação dos dados de tráfego entre o prestador de serviço e o cliente, que desembocou no Tribunal Constitucional Federal por via de queixa constitucional [BVerfG (1. Kammer des Ersten Senats), Beschlu(beta) vom 27. 10. 2006 - 1 BvR 1811/99], foi convocado o seguinte argumento, ao elencar os riscos do armazenamento de dados: «[t]ambém o risco de utilização abusiva dos dados de tráfego pela empresa de telecomunicações ou por terceiros que tenham acesso não autorizado aos mesmos não pode ser totalmente excluído» («Auch das Risiko eines Missbrauchs der Verkehrsdaten durch das Telekommunikationsunternehmen oder durch Dritte, die sich unbefugt Zugang zu ihnen verschaffen, ist nicht völlig auszuschlie(beta)en», n.º [de margem - Rn.] 17).

([8]) Acórdão de 20 de setembro de 2022, SpaceNet e Telekom Deutschland, resultante de dois processos apensos, SpaceNet AG (C-793/19) e Telekom Deutschland GmbH (C-794/19).

([9]) Entre nós, há uma identidade de prazos, como decorre do disposto no artigo 6.º, n.º 3, da Lei n.º 41/2004, de 18 de agosto, em conjugação com o disposto no artigo 10.º, n.os 1 e 4, da Lei n.º 23/96, de 26 de julho. O primeiro dispõe que «3 - O tratamento referido no número anterior [tratamento de dados de tráfego necessários à faturação dos assinantes e ao pagamento de interligações] apenas é lícito até final do período durante o qual a fatura pode ser legalmente contestada ou o pagamento reclamado»; já o artigo 10.º da Lei dos Serviços Públicos estabelece: «1 - O direito ao recebimento do preço do serviço prestado prescreve no prazo de seis meses após a sua prestação. [...] 4 - O prazo para a propositura da acção ou da injunção pelo prestador de serviços é de seis meses, contados após a prestação do serviço ou do pagamento inicial, consoante os casos».

([10]) Telekommunikationsgesetz (TKG), de 23/6/2021, § 67 (2).

([11]) Acórdão SpaceNet, n.º 81.

([12]) Acórdão SpaceNet, n.º 83.

([13]) Acórdão SpaceNet, n.os 85-90.

([14]) BVerwG, Urteil vom 14.08.2023 - 6 C 7. 22, ECLI:DE: BVerwG:2023:140823U6C7.22.0.

([15]) BVerwG, Urteil vom 14.08.2023 - 6 C 7. 22, Rn. (número de margem) 43.

([16]) Acórdão SpaceNet, n.º 61.

([17]) Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016 relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados).

([18]) Vd. também o considerando (50) do RGPD.

([19]) Artigo 7.º, n.º 1, c), da Lei n.º 32/2008, de 18 de julho.

([20]) Peter Häberle, «Grundrechtsgeltung und Grundrechtsinterpretation im Verfassungsstaat. Zugleich zur Rechtsvergleichung als "fünfter"Auslegungsmethode», Juristenzeitung (1989), pp. 913-919, p. 916.

([21]) O artigo 120 da Grondwet proíbe expressamente o controlo da constitucionalidade das leis.

([22]) Cf. o artigo 94 da Grondwet.

([23]) Embora tenha entrado em vigor na Áustria em 1958, só em 1964 foi elevada ao estatuto constitucional, tornando-se num elemento essencial de proteção jusfundamental na ordem jurídica desse país: cf. Christoph Grabenwarter, «Verfassungsrecht, Völkerrecht und Unionsrecht als Grundrechtsquellen», in Detlef Merten/ Hans-Jürgen Papier (Hrsg.), Handbuch der Grundrechte in Deutschland und Europa, Bd. 7/ 1, Grundrechte in Österreich, 2.ª ed., Heidelberg, C.F. Müller, 2014, pp. 59-60.

([24]) Vd., para uma síntese, José Manuel Cardoso da Costa, «Constitutional supremacy of human rights treaties», in Venice Commission, The status of international treaties on human rights, Strasbourg, Council of Europe, 2006, pp. 77-85, 83-85.

([25]) Acórdão n.º 54/85.

([26]) Acórdão n.º 268/2022, 8.2., formulação constante da jurisprudência do TJUE: cf., a título meramente ilustrativo, Acórdão do Tribunal de Justiça (Grande Secção) de 19 de novembro de 2019, C-585/18, ECLI:EU:C:2019:982, n.º 159: «[...] importa lembrar, nomeadamente, que o princípio de interpretação conforme do direito interno, nos termos do qual o órgão jurisdicional nacional deve dar ao direito interno, na medida do possível, uma interpretação conforme com as exigências do direito da União, é inerente ao sistema dos Tratados, na medida em que permite ao órgão jurisdicional nacional assegurar, no âmbito das suas competências, a plena eficácia do direito da União quando decide do litígio que lhe é submetido (Acórdão de 24 de junho de 2019, Poplawski, C-573/17, EU:C:2019:530, n.º 55 e jurisprudência referida)».

([27]) Assim, José Joaquim Gomes Canotilho, «Incomensurabilidade dos discursos ou hierarquias entrelaçadas nos sistemas jurídicos multinível», Católica Law Review, vol. I (2017/1), pp. 35-53, p. 37 (sublinhado o «entrelaçamento»), na sequência de outros textos, nomeadamente Competência intercultural e interjusfundamentalidade (com a colaboração de Suzana Tavares da Silva), Coimbra, 2008.

([28]) José Manuel Cardoso da Costa, «O Tribunal Constitucional português e o Tribunal de Justiça das Comunidades Europeias», in AB VNO AD OMNES: 75 anos da Coimbra Editora, pp. 1363-1380, p. 1370, sobre a incompatibilidade de normas de direito interno como direito da União Europeia («direito comunitário») serem tratadas como uma questão de inconstitucionalidade. Cardoso da Costa recusa essa possibilidade de qualificação e a consequente competência do Tribunal Constitucional (p. 1371).

([29]) Na doutrina nacional, para além da reiterada posição de Cardoso da Costa, vd., por todos, a síntese de Afonso Patrão, «A relevância da Carta dos Direitos Fundamentais da União Europeia na fiscalização da constitucionalidade de normas nacionais», in Estudos em Homenagem ao Conselheiro Presidente Manuel da Costa Andrade, vol. I, Coimbra, Almedina, 2023, pp. 9-46, pp. 25-30.

([30]) N.º 11. Em sentido semelhante, vd. também o Tribunal Constitucional no Acórdão n.º 326/98.

([31]) Acórdão do Tribunal Constitucional n.º 268/2022, 1.2 da Declaração de voto apresentada conjuntamente pelos Conselheiros José António Teles Pereira, Maria Benedita Urbano, Pedro Machete, Joana Fernandes Costa, Gonçalo de Almeida Ribeiro e João Pedro Caupers.

([32]) Patrícia Fragoso Martins, «Ao modo do triplo salto: o Direito da União Europeia na jurisprudência recente do Tribunal Constitucional», in Estudos em homenagem à Professora Doutora Maria da Glória Garcia, vol. III, Lisboa, Universidade Católica Editora, 2023, pp. 1929-1979, p. 1970.

([33]) Jan Podkowik/ Robert Rybski/ Marek Zubik, «Judicial dialogue on data retention laws: A breakthrough for European constitutional courts?», International Journal of Constitutional Law 19 (2021), pp. 1597-1631, p. 1600, ilustrando com o caso francês.

([34]) Em relação ao Conseil Constitutionnel, vd. a Décision n.º 2021-976/977 QPC du 25 février 2022 (https://www.conseil-constitutionnel.fr/decision/2022/2021976_977QPC.htm). Anteriormente, Hélène Surrel, «La protection des données à caractère personnel, domaine emblématique des interactions jurisprudentielles entre cours européennes et Conseil constitutionnel», Titre VII [en ligne], n.º 2, De l'intégration des ordres juridiques: droit constitutionnel et droit de l'Union européenne, avril 2019. URL complète: https://www.conseil-constitutionnel.fr/publications/titre-vii/la-protection-des-donnees-a-caractere-personnel-domaine-emblematique-des-interactions.

([35])Conseil d'État N.º 393099 ECLI:FR:CEASS:2021:393099.20210421 (https://www.conseil-etat.fr/fr/arianeweb/CE/decision/2021-04-21/393099). Vd., em síntese, Maximilian Gerhold, «Der Conseil d'Etat zur Vorratsdatenspeicherung: Auf Biegen und Brechen des Unionsrechts für die nationale Sicherheit? Die Öffentliche Verwaltung 75 (3/2022), pp. 93-102.

([36]) No relatório Surveiller pour punir? Pour une réforme de l'accès aux données de connexion dans l'enquête pénale, Rapport d' information n.º 110 (2023-2024), 15/11/2023, fala-se de «construtivismo jurisprudencial» (p. 13), abrindo-se a porta para a utilização dos dados recolhidos para fins de segurança nacional no combate à criminalidade grave (p. 14).

([37]) Maximilian Gerhold, «Der Conseil d'Etat zur Vorratsdatenspeicherung: Auf Biegen und Brechen des Unionsrechts für die nationale Sicherheit?», p. 93.

([38]) Para um panorama dessa jurisprudência, vd., por todos, Marek Zubik/Jan Podkowik/ Robin Rybski (eds.), European constitutional courts towards data retention laws.

([39]) Decision No. 3 of the Constitutional Court of the Republic of Bulgaria of 4.06.2009. Para o diploma búlgaro em versão inglesa, vd. https://www.mtc.government.bg/sites/default/files/documents/2023-07/Electronic_Communications_Act.pdf.

([40]) Digital Rights Ireland, n.os 39 e 40.

([41]) Digital Rights Ireland, n.os 41 a 44.

([42]) O TJUE mobiliza ainda o artigo 52.º, n.º 1, da Carta e a liberdade de expressão (artigo 11.º); cf. Acórdão de 6 de outubro de 2020 do Tribunal de Justiça (Grande Secção), Privacy International, C-623/17, ECLI:EU:C:2020:790, n.º 60: «Além disso, resulta do artigo 15.º, n.º 1, terceiro período, da Diretiva 2002/58 que os Estados-Membros apenas estão autorizados a adotar medidas legislativas para restringir o âmbito dos direitos e obrigações previstos nos artigos 5.º, 6.º e 9.º dessa diretiva no respeito dos princípios gerais do direito da União, entre os quais figura o princípio da proporcionalidade, e os direitos fundamentais garantidos pela Carta. A este respeito, o Tribunal de Justiça já declarou que a obrigação imposta por um Estado-Membro aos prestadores de serviços de comunicações eletrónicas, por uma regulamentação nacional, de conservarem os dados de tráfego para, se for caso disso, os disponibilizarem às autoridades nacionais competentes coloca questões relativas ao respeito não apenas dos artigos 7.º e 8.º da Carta, relativos, respetivamente, à proteção da vida privada e à proteção dos dados pessoais, mas igualmente do artigo 11.º da Carta, relativo à liberdade de expressão (v., neste sentido, Acórdãos de 8 de abril de 2014, Digital Rights Ireland e o., C-293/12 e C-594/12, EU:C:2014:238, n.os 25 e 70, e de 21 de dezembro de 2016, Tele2, C-203/15 e C-698/15, EU:C:2016:970, n.os 91 e 92 e jurisprudência aí referida)».

([43]) Acórdão de 6 de outubro de 2020 do Tribunal de Justiça (Grande Secção), Privacy International, C-623/17, ECLI:EU:C:2020:790.

([44]) Digital Rights Ireland, n.º 42.

([45]) Na CDFUE, o direito à segurança está consagrado no artigo 6.º: para o seu alcance, vd., entre nós, a síntese de Nuno Piçarra, «Artigo 6.º Direito à liberdade e à segurança», in Alessandra Silveira/ Mariana Canotilho (Coord.), Carta dos Direitos Fundamentais da União Europeia comentada, Coimbra, Almedina, 2013, pp. 91-102. No que agora importa, realce-se, com Sebastian Leuschner (Sicherheit als Grundsatz: eine grundrechtsdogmatische Rekonstruktion im Unionsrecht am Beispiel der Cybersicherheit, Tübingen, Mohr Siebeck, 2018), que terá sido mencionado pela primeira vez, no caso Digital Rights Ireland (2014), mas «apenas de passagem» (p. 2) (cf. n.º 42 da decisão: «Além disso, importa salientar, a este respeito, que o artigo 6.º da Carta enuncia o direito das pessoas não só à liberdade mas também à segurança»).