Acórdão do Tribunal Constitucional n.º 464/2019 — Declara a inconstitucionalidade, com força obrigatória geral, da norma constante do artigo 3.º da Lei Orgânica n.º…

Por seu turno, a norma do artigo 8.º consagra o direito à proteção dos dados de caráter pessoal, ao acesso a esses dados e ao seu tratamento leal e com um fundamento legítimo. O conceito de dados, com interesse no presente processo, inclui "qualquer informação relativa a uma pessoa singular identificada ou identificável, considerando-se identificável todo aquele que possa ser identificado, direta ou indiretamente, nomeadamente por referência a um número de identificação ou a um ou mais elementos específicos da sua identidade física, fisiológica, psíquica, económica, cultural ou social" (cf. Catarina Sarmento e Castro, "Comentário ao art. 8.º", in Carta dos Direitos Fundamentais da União Europeia Comentada, Alessandra Silveira e Mariana Canotilho (ed.), Almedina, Coimbra, 2013; v. também a noção legal de "dados pessoais" do artigo 4.º, 1), do Regulamento Geral sobre a Proteção de Dados, relevante nos termos do corpo do artigo 2.º da Diretiva n.º 2002/58). Quanto à densificação do conceito de tratamento de dados, que também se reveste de relevância para a presente análise, "os dados pessoais são objeto de proteção quando sujeitos a qualquer operação ou conjunto de operações (ou seja, a um «tratamento»), efetuadas com ou sem meios automatizados. São exemplos destes tratamentos de dados pessoais, a recolha de dados, o seu registo, organização, conservação, adaptação ou alteração, recuperação, consulta, utilização, comunicação por transmissão, difusão ou qualquer outra forma de colocação à disposição, com comparação ou interconexão, bem como o bloqueio, apagamento ou destruição de dados)" (cf. igualmente a definição legal de "tratamento" prevista no artigo 4.º, 2), do citado Regulamento).

O Tribunal de Justiça tem densificado o significado das normas constantes dos artigos 7.º e 8.º da CDFUE em linha com a jurisprudência do TEDH, sustentando que "no que respeita ao nível de proteção das liberdades e direitos fundamentais garantido dentro da União, uma regulamentação dessa proteção que implique uma ingerência nos direitos fundamentais garantidos pelos artigos 7.º e 8.º da Carta deve, segundo a jurisprudência constante do Tribunal de Justiça, estabelecer regras claras e precisas que regulem o âmbito e a aplicação de uma medida e imponham exigências mínimas, de modo a que as pessoas cujos dados pessoais estejam em causa disponham de garantias suficientes que permitam proteger eficazmente os seus dados contra os riscos de abuso e contra qualquer acesso e qualquer utilização ilícita desses dados" (Acórdão de 6 de outubro de 2015, Schrems, C-362/14, EU:C:2015:650, n.º 91).

Como referido, a Diretiva n.º 2002/58/CE, relativa à privacidade e às comunicações eletrónicas, segundo o seu artigo 1.º, n.º 1, visa harmonizar as disposições dos Estados-Membros necessárias para garantir um nível equivalente de proteção dos direitos e liberdades fundamentais, nomeadamente o direito à privacidade, no que respeita ao tratamento de dados pessoais no sector das comunicações eletrónicas. Nesta Diretiva visa realizar-se um esforço de compatibilização entre as exigências comunitárias da prevenção da criminalidade grave e os princípios da confidencialidade, do anonimato e da não conservação de dados (cf. artigos 1.º, 5.º, 6.º, n.º 1, 8.º e 9.º).

A Diretiva admitiu a possibilidade de derrogação daqueles princípios, em circunstâncias bem identificadas e definidas em leis claras e precisas. O seu artigo 15.º, n.º 1, perspetiva a abordagem do Direito da União a esta problemática como um conflito entre o interesse público na investigação e prevenção da criminalidade grave e os direitos fundamentais dos cidadãos à liberdade e à privacidade, remetendo a regulação do conflito, através de medidas restritivas, para a margem de determinação dos Estados-membros, mas sem baixar o patamar de proteção dos direitos tal como garantidos na jurisprudência do TJUE e do TEDH.

No considerando n.º 11 da referida Diretiva, afirmou-se, também, que «Assim sendo, a presente diretiva não afeta a capacidade de os Estados-Membros intercetarem legalmente comunicações eletrónicas ou tomarem outras medidas, se necessário, para quaisquer desses objetivos e em conformidade com a Convenção Europeia para a Proteção dos Direitos Humanos e das Liberdades Fundamentais, segundo a interpretação da mesma na jurisprudência do Tribunal Europeu dos Direitos do Homem. Essas medidas devem ser adequadas, rigorosamente proporcionais ao objetivo a alcançar e necessárias numa sociedade democrática e devem estar sujeitas, além disso, a salvaguardas adequadas, em conformidade com a Convenção Europeia para a Proteção dos Direitos Humanos e das Liberdades Fundamentais».

O TJUE, na sua jurisprudência sobre a matéria do acesso a dados pessoais, decidiu no Acórdão Tele2, entre outras questões, que o artigo 15.º, n.º 1, da Diretiva 2002/58, lido à luz dos artigos 7.º, 8.º e 11.º, bem como do artigo 52.º, n.º 1, da CDFUE, deve ser interpretado no sentido de que uma regulamentação nacional que incida sobre o acesso das autoridades nacionais competentes aos dados conservados, deve obedecer aos seguintes requisitos: 1) o acesso, pelas autoridades nacionais competentes, a dados pessoais deve estar limitado aos casos de criminalidade grave; 2) o referido acesso deve estar submetido a um controlo prévio por parte de um órgão jurisdicional ou de uma autoridade administrativa independente; 3) os dados em causa devem ser conservados em território da União.

O TJUE, nesta decisão Tele2, apesar de no seu dispositivo referir apenas os três citados requisitos, na fundamentação, exige ainda que os cidadãos sejam informados, a posteriori, desse acesso, e tenham ao seu dispor meios de reação ou remédios que lhes permitam controlar e impugnar o acesso aos seus dados, quando ilícito (n.º 121).

Por último, uma palavra para a Diretiva n.º 2006/24/CE do Parlamento Europeu e do Conselho, relativa à conservação de dados gerados ou tratados no contexto da oferta de serviços de comunicações eletrónicas publicamente disponíveis ou de redes públicas de comunicações com vista a garantir a disponibilidade desses dados para efeitos de investigação, deteção e de repressão de crimes graves, assim subtraindo tais dados ao âmbito de aplicação do artigo 15.º da Diretiva n.º 2002/58. Tal Diretiva foi declarada inválida, pelo TJUE, no Acórdão de 8 de abril de 2014, Digital Rights Ireland e o., C-293/12 e C-594/12, EU:C:2014:238 (a seguir, "Acórdão Digital Rights). Considerou o TJUE, no mencionado processo, que "a Diretiva 2006/24 não estabelece regras claras e precisas que regulem o alcance da ingerência nos direitos fundamentais consagrados nos artigos 7.º e 8.º da Carta" (n.º 65). Consequentemente, entendeu que era inevitável "concluir que esta diretiva comporta uma ingerência nestes direitos fundamentais, de grande amplitude e particular gravidade na ordem jurídica da União, sem que essa ingerência seja enquadrada com precisão por disposições que permitam garantir que se limita efetivamente ao estritamente necessário" (ibidem).

A diretiva invalidada pelo TJUE foi transposta para a ordem jurídica interna pela Lei n.º 32/2008, de 17 de julho, a qual, todavia, não foi imediatamente afetada pela declaração de invalidade da Diretiva n.º 2006/24/CE (isto sem prejuízo de se considerar "imperativo avaliar a conformidade desta com o direito da União Europeia, em especial com a Carta dos Direitos Fundamentais da UE"; nesse sentido, v. C. Guerra e F. Calvão, "Anotação ao Acórdão do Tribunal de Justiça da União Europeia (Grande Secção)", in Fórum da Proteção de Dados, n.º 1, julho 2015 e, ainda a Recomendação n.º 1/B/2019 da Provedora de Justiça sobre a Lei n.º 32/2008, de 17 de julho).

Apesar de a Lei n.º 32/2008 se reportar ao tratamento de dados (recolha, registo ou conservação), que serão, num momento posterior, transmitidos aos serviços de informação e segurança, encontrando-se, portanto, as suas disposições numa relação de complementaridade com as normas agora em apreciação, relativas ao acesso a dados previamente conservados - embora, como resulta das disposições da Diretiva n.º 2002/58 anteriormente referidas, os prestadores de serviços de comunicações eletrónicas possam ou devam proceder ao armazenamento de dados também por razões técnicas ou ligadas à faturação de serviços -, o problema da sua validade, à luz da Constituição, não foi, contudo, colocado ao Tribunal Constitucional no presente processo, pelo que não será proferida qualquer pronúncia a este respeito.

Com efeito, tal questão não foi integrada no objeto do processo, tal como delimitado pelo princípio do pedido, nem pode afirmar-se existir uma relação de dependência funcional ou de incindibilidade entre normas, suscetível de justificar um alargamento do pedido. Eventuais problemas de constitucionalidade, por violação de normas e princípios constitucionais, terão que ser colocados em processo de fiscalização abstrata sucessiva pelas entidades legitimadas para o efeito, ou em processos de fiscalização concreta, verificados os seus pressupostos específicos de admissibilidade.

ii. A Convenção Europeia dos Direitos Humanos

O standard mínimo de proteção dos direitos fundamentais é o consagrado nas normas da Convenção Europeia dos Direitos Humanos, interpretadas de acordo com a jurisprudência do TEDH. A jurisprudência do TEDH deve ser considerada pelo Tribunal Constitucional nas suas decisões como critério coadjuvante na interpretação das normas constitucionais, atendendo, nomeadamente, aos juízos de ponderação no contexto da aplicação do princípio da proporcionalidade e à densificação do conteúdo dos direitos fundamentais, sobretudo quando estão em causa novos direitos ou novas dimensões de direitos preexistentes. Por força da cláusula aberta no domínio dos direitos fundamentais consagrada no artigo 16.º da Constituição, este Tribunal não pode, na verdade, deixar de considerar os direitos fundamentais consagrados na referida Convenção, devendo igualmente ter em conta a interpretação que dos mesmos tem vindo a ser feita pelo Tribunal Europeu dos Direitos Humanos (TEDH).

A pedra de toque deste standard europeu de proteção e garantia dos direitos fundamentais à reserva da intimidade da vida privada, ao sigilo das comunicações e à proteção de dados, aqui em causa é, naturalmente, o artigo 8.º da CEDH. Dispõem as normas deste artigo que: 1) qualquer pessoa tem direito ao respeito da sua vida privada e familiar, do seu domicílio e da sua correspondência e 2) não pode haver ingerência da autoridade pública no exercício deste direito senão quando esta ingerência estiver prevista na lei e constituir uma providência que, numa sociedade democrática, seja necessária para a segurança nacional, para a segurança pública, para o bem-estar económico do país, a defesa da ordem e a prevenção das infrações penais, a proteção da saúde ou da moral, ou a proteção dos direitos e das liberdades de terceiros.

O TEDH tem conhecida jurisprudência sobre a matéria, sendo habitual submeter os regimes jurídicos nacionais que possibilitam intervenções estaduais neste campo a um teste de proporcionalidade bastante estrito. Assim, pese embora o facto de o TEDH reconhecer a importância do dever estadual de proteção da sociedade contra todas as formas de terrorismo e de ameaça aos valores democráticos, e de admitir restrições aos direitos consagrados no artigo 8.º da CEDH por esse motivo, exige, contudo, um escrutínio intenso e atento às circunstâncias de cada caso concreto. Em várias decisões, já citadas no Acórdão n.º 403/2015, deste Tribunal, esclareceram-se uma série de pressupostos de validade das intervenções restritivas no âmbito das comunicações e da recolha de dados pessoais.

Como o Tribunal Constitucional já deu nota nesse Acórdão, o TEDH afirmou:

«[...] que um processo de acesso a dados, porque não sujeito ao escrutínio dos indivíduos visados, tem de ser compensado por uma lei suficientemente tuteladora dos direitos fundamentais (Acórdão de 06/06/2006, Segerstedt-Wiberg e outros c. Suécia, queixa n.º 62332/2000); que essa lei deve empregar termos suficientemente claros para possibilitar a todos os cidadãos terem conhecimento das circunstâncias e dos requisitos que permitem ao poder público fazer uso de uma medida secreta que lesa o direito à vida privada pessoal e familiar e à correspondência (Acórdão de 02/08/1984, Malone c. Reino Unido, queixa n.º 8691/79); que seria contrária às exigências do artigo 8.º, n.º 2, da CEDH se a ingerência nas telecomunicações fosse conferida aos poderes públicos através de um poder amplo e discricionário, e que são necessárias regras claras e detalhadas, especialmente devido ao facto de a tecnologia disponível se tornar cada vez mais sofisticada, a fim de garantir uma proteção adequada contra ingerências arbitrárias (Acórdão de 16/02/2000, Amann c. Suíça, queixa n.º 27798/95); e nos casos Valenzuela c. Espanha (Acórdão de 30/07/1998, queixa n.º 27671/95) e Prado Bugallo c. Espanha (Acórdão de 18/02/2003, queixa n.º 58496/00), chegou à mesma conclusão, afirmando que a lei que permitia a ingerência nas comunicações não era suficientemente clara e precisa, não mencionando a natureza das infrações que podem dar lugar às mesmas, a fixação de um limite de duração da medida, as condições de acesso aos dados e a eliminação dos mesmos».

Tem entendido o TEDH, a este propósito, que a interferência nestes direitos tem de estar de acordo com a lei, e que, por razões de segurança jurídica, a lei deve ser suficientemente clara nos seus termos para fornecer aos indivíduos uma indicação adequada sobre quais são as circunstâncias e as condições que permitem às autoridades recorrer a essas medidas.

A decisão mais recente do TEDH, de 13 de setembro de 2018 (Big Brother Watch and Others v. the United Kingdom, queixas n.os 58170/13, 62322/14 e 24960/15), sobre a proteção do direito à privacidade em face de ingerências nas comunicações e dados de tráfego, incidiu sobre queixas de jornalistas e organizações de direitos humanos em relação a três distintos regimes de vigilância: (1) a interceção em massa de comunicações; (2) a partilha de informações com governos estrangeiros; e (3) a aquisição de dados de comunicação previamente armazenados pelas empresas fornecedoras de serviços de comunicações.

Embora o TEDH já se tenha pronunciado noutros processos (p. ex. Centrum För Rättvisa c. Sweden, Weber and Saravia c. Germany; Liberty c. the United Kingdom), o caso Big Brother Watch é o primeiro em que o TEDH especificamente considera a interceção e o acesso a dados de tráfego (distintos dos dados de conteúdo) como uma interferência na vida privada das pessoas.

Relativamente à aquisição de dados previamente armazenados, o TEDH, no caso Big Brother Watch, estabelece os seguintes critérios de conformidade destas medidas ao artigo 8.º da CEDH (§§464 a 467): (1) o regime deve estar de acordo com a lei, no sentido de esta ser clara, acessível e de efeitos previsíveis para os cidadãos; (2) deve prosseguir um objetivo legítimo, (3) e ser necessário numa sociedade democrática, restringindo-se ao combate à criminalidade grave; (4) o acesso deve estar sujeito a uma autorização prévia decidida por um tribunal ou por uma entidade administrativa independente; (5) a lei deve providenciar garantias adequadas contra a arbitrariedade.

Embora referindo-se à recolha em massa de dados e à interceção das comunicações, questões não em causa no presente processo, afirma o TEDH que a lei tem de prever meios de notificação das medidas de vigilância aos visados, que possibilitem que estes possam usar os recursos previstos para questionar a legalidade das medidas retrospetivamente, ou, em alternativa, que qualquer pessoa que suspeite ter sido monitorizada possa questionar os serviços de informação e recorrer aos tribunais em caso de ilicitude na recolha dos seus dados pessoais (Big Brother Watch, § 310, seguindo orientação do Acórdão Roman Zakharov v. Russia, decisão de 4, de dezembro de 2015, queixa n.º 47143/06), o que exigiu ao Reino Unido previsão, pela legislação nacional, de providências para a supervisão das medidas secretas de vigilância, mecanismos de notificação das pessoas visadas e vias de recurso.

7 - Os dados pessoais a transmitir ao SIRP nos termos dos artigos 3.º e 4.º da Lei Orgânica n.º 4/2017

A Lei Orgânica n.º 4/2017 atribui aos oficiais de informação do SIRP o poder funcional de aceder a dados de comunicação que permitam identificar, entre outros dados, o assinante ou utilizador do meio de comunicação, a fonte, o destino, a data, a hora, a duração e o tipo de comunicação, bem como identificar o equipamento de telecomunicações utilizado ou a sua localização.

Ora, a atividade destes oficiais de informações já foi amplamente caraterizada por este Tribunal, no mencionado Acórdão n.º 403/2015, onde se entendeu que a recolha de "informações" para efeitos de "prevenção" - que é a definição legal do âmbito da atividade dos serviços de informação - a dissocia, naturalmente, da atividade de investigação criminal. De facto, nos termos da Lei n.º 30/84 (Lei Quadro do Sistema de Informações da República Portuguesa), "aos serviços de informações incumbe assegurar, no respeito da Constituição e da lei, a produção de informações necessárias à preservação da segurança interna e externa, bem como à independência e interesses nacionais e à unidade e integridade do Estado" (n.º 2 do artigo 2.º).

Também nos termos do n.º 2 do artigo 3.º da Lei n.º 9/2007 (que estabelece a orgânica do Secretário-Geral do Sistema de Informações da República Portuguesa, do Serviço de Informações Estratégicas de Defesa e do Serviço de Informações de Segurança), "o SIED é o único organismo incumbido da produção de informações que contribuam para a salvaguarda da independência nacional, dos interesses nacionais e da segurança externa do Estado Português"; e nos termos do n.º 3 do mesmo artigo "o SIS é o único organismo incumbido da produção de informações destinadas a garantir a segurança interna e necessárias a prevenir a sabotagem, o terrorismo, a espionagem e a prática de atos que, pela sua natureza, possam alterar ou destruir o Estado de direito constitucionalmente estabelecido".

É certo que a existência de serviços de informações se afigura como um dos instrumentos ao dispor do Estado para garantir a segurança nacional, objetivo plasmado em diversos preceitos constitucionais, demonstrativos tanto da sua importância, quanto do seu lugar no quadro da Constituição. A garantia da segurança enquanto tarefa fundamental do Estado estabelece-se, desde logo, nas alíneas a) e b) do artigo 9.º, nos termos das quais lhe cabe: a) Garantir a independência nacional e criar as condições políticas, económicas, sociais e culturais que a promovam; e b) Garantir os direitos e liberdades fundamentais e o respeito pelos princípios do Estado de direito democrático; tem ainda eco, na forma de direito fundamental, no n.º 1 do artigo 27.º, e no plano organizacional, nos artigos 272.º e 273.º do texto constitucional.

O enunciado do artigo 9.º da Constituição investe, assim, o Estado de um conjunto de obrigações no domínio da segurança e tem implícito o dever de empreender os esforços necessários à sua prossecução. Tal dever resulta, ao longo da Constituição, da definição dos atributos para as distintas instituições para tal criadas, e constitucionalmente consagradas, como a polícia, as forças armadas ou o sistema de informações da República (previsto na alínea q) do artigo 164.º da Constituição, que integra nas matérias de reserva absoluta de competência parlamentar a aprovação do seu regime jurídico).

Todavia, o próprio enquadramento legal da atividade do SIRP impõe limites claros à sua atuação, consagrando, designadamente, (i) o princípio da constitucionalidade e da legalidade, nos termos do qual a atividade dos serviços de informações está sujeita ao escrupuloso respeito pela Constituição e pela lei, designadamente em matéria de proteção dos direitos fundamentais das pessoas, especialmente frente à utilização de dados informatizados; (ii) o princípio da exclusividade, nos termos do qual a atividade dos serviços está rigorosamente limitada às suas atribuições, estando-lhes vedada a produção de informações em domínio que lhe não tenha sido concedido; (iii) e o princípio da especialidade, segundo o qual atividade dos serviços de informações se reduz ao seu estrito âmbito, não podendo confundir-se com a atividade própria de outros organismos, entre os quais os tribunais e as forças policiais (Acórdão n.º 403/2015 - ponto 7).

A questão de constitucionalidade ora em análise reduz-se, verdadeiramente, à averiguação da conformidade constitucional da possibilidade de acesso, pelos oficiais de informações do SIS e do SIED, a dados de base e de localização de equipamento (artigo 3.º) e a dados de tráfego (artigo 4.º). No primeiro caso, o legislador restringe esse acesso aos casos em que seja indispensável a produção de informações necessárias à salvaguarda da defesa nacional, da segurança interna e da prevenção de atos de sabotagem, espionagem, terrorismo, proliferação de armas de destruição maciça e criminalidade altamente organizada e no seu exclusivo âmbito; no segundo, e de forma ainda mais restritiva, prevê-se que o acesso a dados de tráfego deve limitar-se à produção de informações necessárias à prevenção de atos de espionagem e do terrorismo.

A Lei Orgânica n.º 4/2017 adota, no artigo 2.º, n.º 1, uma distinção entre dois grupos de dados - os «dados de telecomunicações» e os «dados de Internet» - definidos, respetivamente, nas alíneas a) e b) do n.º 1:

"a) «Dados de telecomunicações», os registos ou informação constantes de bancos de dados previamente armazenados pelos prestadores de serviços de comunicações eletrónicas relativos à prestação de serviços telefónicos acessíveis ao público e à rede de suporte à transferência, entre pontos terminais da rede, de comunicações vocais, serviços de mensagens e multimédia e de outras formas de comunicação;

Dentro desta designação genérica de «Dados de telecomunicações e Internet», o n.º 2 do mesmo artigo 2.º adere a uma classificação tripartida - dados de base, dados de localização de equipamento e dados de tráfego - que define nas suas alíneas a), b) e c), nos seguintes termos:

"a) «Dados de base», os dados para acesso à rede pelos utilizadores, compreendendo a identificação e morada destes, e o contrato de ligação à rede;

Estes conceitos são distintos dos utilizados habitualmente pela jurisprudência constitucional. Com efeito, é isso que resulta do Acórdão n.º 241/2002, em que o Tribunal acolheu a classificação tripartida que distingue dados de base, dados de tráfego e dados de conteúdo, classificação que foi reiterada pelos Acórdãos n.º 486/2009 e n.º 420/2017 (este, seguindo a jurisprudência do já mencionado Acórdão n.º 403/2015).

Reconhece-se, contudo, que as categorias de dados e a sua designação mudam consoante a evolução tecnológica e consoante a fonte normativa utilizada: por exemplo, enquanto a Lei n.º 32/2008, no artigo 2.º, n.º 1, al a), usa um conceito amplo de «dados», que inclui os dados de tráfego, os dados de localização e os dados conexos para identificar o assinante ou o utilizador, a Lei n.º 41/2004, de 18 de agosto, usa uma categoria bipartida de dados de localização e dados de tráfego, definindo-os, respetivamente, nas alíneas e) e d) do artigo 2.º

Por outro lado, alguns dos dados de localização podem ser reconduzidos a um conceito mais amplo de dados de tráfego, tal como é expressamente assumido no Acórdão n.º 403/15 e sustentado pela doutrina (cf. Catarina Sarmento e Castro, Direito da Informática, Privacidade e Dados Pessoais, Almedina, 2005, p. 181), enquanto outros dados de localização surgem dissociados de qualquer ato de comunicação. Esta última categoria é, porém, meramente residual, pois, segundo o parecer da CNPD n.º 38/2017, nos dias de hoje ocorrem comunicações mesmo quando o utilizador do equipamento de comunicação não o aciona direta e intencionalmente. É, por exemplo, o caso das atualizações efetuadas pelas aplicações de correio eletrónico ou outro tipo de mensagens, o que significa que a geração e troca de dados são praticamente constantes, mesmo quando os cidadãos utilizadores dos equipamentos nada fazem.

Por último, os meros dados de identificação do utilizador (designados por dados de base), isoladamente considerados, segundo a jurisprudência do Tribunal Constitucional (Acórdãos n.º 241/02, 486/2009, 403/2015 e 421/2017), não estão cobertos pelo segredo das comunicações, mas pelo direito à vida privada (artigo 26.º, n.º 1, da CRP) e à autodeterminação informativa (artigo 35.º, n.º 1, da CRP).

Seja como for, o aspeto relevante para apreciar a questão da constitucionalidade agora colocada não é o plano categorial ou conceitual, mas sim o plano material e teleológico, e por isso normativo, para efeitos de determinação do parâmetro que pode servir de referência à apreciação da constitucionalidade.

Por isso, apesar de a letra da lei estabelecer uma distinção entre dados de base, dados de localização de equipamento (artigo 3.º da Lei Orgânica n.º 4/2017) e dados de tráfego (artigo 4.º da Lei Orgânica n.º 4/2017), na apreciação da constitucionalidade das normas questionadas ter-se-á sobretudo em conta a subdivisão entre duas grandes categorias com as quais se cruza esta classificação legal tripartida: (i) os dados associados a um ato de comunicação (consumado ou tentado) entre duas pessoas e que são os dados de telecomunicações e os dados de tráfego de internet ligados às circunstâncias da comunicação interpessoal; (ii) e os dados que não estão associados a uma comunicação efetiva ou tentada entre dois sujeitos, mas que se traduzem nos dados de identificação do sujeito (nome, morada, número de telemóvel), nos dados de localização do equipamento, quando não deem suporte a uma concreta comunicação, e nos dados de tráfego que apenas envolvem comunicação entre um sujeito e uma máquina, como por exemplo, a consulta de sítios na internet.

Assim, quer os dados de base, quer os dados de localização de equipamento, a que se refere o artigo 3.º da Lei Orgânica, n.º 4/2017, não devem ser considerados como dados atinentes a uma comunicação, já que tanto nuns quanto noutros inexiste qualquer dimensão subjetiva inerente à comunicação. Os primeiros são, nos termos da alínea a) do n.º 2 do artigo 2.º da mesma Lei, dados escritos atinentes a uma relação contratual entre uma pessoa e uma empresa operadora de telecomunicações, referindo-se à identificação e morada do titular e ao próprio contrato de ligação à rede; os segundos abrangem a deteção de dados de localização a partir de um telefone ligado, mas em stand by, e/ou através do sistema de satélite GPS ou outro (ver, neste sentido, Manuel da Costa Andrade, "Comentário ao artigo 194.º do Código Penal", in J. Figueiredo Dias (direção), Comentário Conimbricense do Código Penal - Tomo I, 2.ª Edição, Coimbra Editora, 2012, pág. 1104). Contudo, ainda que incluam, como dispõe a alínea b) do n.º 2 do artigo 2.º da mesma Lei, "os dados tratados numa rede de comunicações eletrónicas ou no âmbito de um serviço de telecomunicações que indiquem a posição geográfica do equipamento terminal de um serviço de telecomunicações acessível ao público", não podem incluir dados que "deem suporte a uma concreta comunicação".

Já no que se refere aos dados de internet, a ressalva que é feita no último segmento da alínea b) do n.º 1 do artigo 2.º da Lei Orgânica n.º 4/2017 - «quando não deem suporte a uma concreta comunicação» - impõe que se distinga dados de internet que traduzem comunicações intersubjetivas, envolvendo um número finito de interlocutores, por regra determinado pelo emissor da comunicação, por via de email ou outro tipo de mensagem (v.g. whatsapp, skype, etc), e dados de internet que exprimem comunicações de massa, dirigidas a um número potencialmente infinito de utilizadores, como a simples "navegação" em rede, saltando "link to link", visitando e lendo informação em websites. Qualquer um destes tipos de interatividade - interpessoal e bidirecional ou massiva e unidirecional - gera dados que permitem a identificação da comunicação, como a fonte, direção, percurso, destinatário, hora, duração, intensidade/frequência e equipamento utilizado. Correspondem a elementos funcionais da comunicação, na medida em que constituem elementos necessários ao estabelecimento da comunicação e, quando conservados e tratados, permitem identificar os utilizadores da rede.

Estes dados pessoais são de vários tipos: códigos de identificação atribuídos ao utilizador e ao destinatário, número de telefone da comunicação telefónica através da internet, nome e endereço do assinante e utilizador registado, endereço IP - Internet Protocol -, data e hora do início (log in) e do fim (log off) da ligação ao serviço de acesso à internet ou ao serviço de correio eletrónico, serviço de internet utilizado, número que solicita o acesso por linha telefónica, linha do assinante digital ou qualquer outro identificador terminal do autor da comunicação.

Qualquer um destes dados integra o conceito de dados de tráfego constante da alínea c) do n.º 2 do referido artigo 2.º: dados que permitem a ligação à rede e que são gerados automaticamente pela própria utilização ou transmissão em rede, sendo facultados para identificar ou permitir identificar o acesso à internet, o correio eletrónico ou outra troca de mensagens através da internet e as comunicações telefónicas sobre IP. De modo que os dados de internet compreendem dados de tráfego que servem de suporte a comunicações intersubjetivas e dados de tráfego que suportam e produzem comunicações eletrónicas de massa.

E por isso, o conteúdo da previsão normativa do artigo 4.º da mesma Lei Orgânica n.º 4/2017 - uma das normas questionadas no presente processo - integra todas as categorias de dados de tráfego: as que respeitam a comunicações telefónicas através de rede fixa, móvel ou internet, e as relativas ao próprio acesso à rede assim como ao correio eletrónico e outras formas de comunicação on line.

8 - Os parâmetros do controlo de constitucionalidade

O parâmetro constitucional invocado pelos requerentes, que corresponde, como veremos, ao mobilizado pelo Tribunal Constitucional em casos análogos, é o do direito fundamental à inviolabilidade do domicílio e da correspondência, concretizado, nos termos do n.º 4 do artigo 34.º da CRP, numa proibição de "ingerência das autoridades públicas na correspondência, nas telecomunicações e nos demais meios de comunicação, salvos os casos previstos na lei em matéria de processo criminal".

Contudo, a alegação dos requerentes não obsta a que, nos termos do artigo 51.º, n.º 5 da LTC, o Tribunal Constitucional possa e deva conhecer a questão de constitucionalidade com fundamento «na violação de normas ou princípios constitucionais diversos daqueles cuja violação foi invocada».

É o que se passa com a norma do artigo 3.º da Lei Orgânica n.º 4/2017, que está fora do perímetro do n.º 4 do artigo 34.º da Constituição, na medida em que os «dados de base e de localização de equipamento» não respeitam, segundo as definições desses conceitos dadas no n.º 2 do artigo 2.º da Lei n.º 4/2017, a uma «concreta comunicação». Foi o que se entendeu no Acórdão n.º 403/2015: a proibição de ingerência das autoridades públicas nas telecomunicações, constante do artigo 34.º da CRP, abrange os chamados «metadados», mas pressupõe uma «concreta comunicação» entre pessoas (ponto 15). Sendo assim, os dados de base (v.g. número de telefone, endereço eletrónico, contrato de ligação à rede) e os dados de localização de equipamento, quando não dão suporte a uma concreta comunicação, ainda que protegidos pela reserva da vida privada, não estão abrangidos pela tutela do sigilo das comunicações.

E é também o que acontece com o segmento ideal do artigo 4.º da Lei Orgânica n.º 4/2017 que tem por objeto dados de tráfego que não envolvem comunicações intersubjetivas. De facto, a distinção que se faz no artigo 2.º dessa Lei, tendo por referência o conjunto de "dados previamente armazenados" pelos prestadores de serviços de comunicações eletrónicas, entre «dados de telecomunicações» e «dados de Internet», e dentro desta categoria, entre dados que dão suporte a uma comunicação e dados que não dão suporte a uma comunicação, acaba por refletir-se na determinação do parâmetro constitucional que protege o acesso a tais dados. Ainda que efetuada exclusivamente para efeitos dessa Lei, cujos preceitos não preveem um regime jurídico diferenciado para cada uma das referidas categorias, a distinção pode implicar que a legitimidade constitucional das normas de acesso seja aferida por diferentes parâmetros constitucionais, tendo por referência o âmbito de proteção definido para o artigo 34.º da Constituição, restringido à comunicação intersubjetiva e às suas circunstâncias ou elementos funcionais (por meio de telecomunicações ou internet). A inclusão dos dados de internet, que não deem suporte a uma concreta comunicação intersubjetiva, no conceito de dados de tráfego pode convocar parâmetro constitucional distinto daquele com o qual se procede ao controlo da conformidade constitucional do acesso aos dados de tráfego das comunicações interpessoais efetuadas através de telecomunicações ou por outros meios de comunicação, se se considerar a jurisprudência do Acórdão n.º 403/2015 quanto ao sentido e alcance do citado preceito constitucional.

Como se referiu, o objeto de proteção do sigilo de comunicações, consagrado no n.º 4 do artigo 34.º da Constituição, reporta-se exclusivamente à interatividade entre utilizadores, possibilitada por meios como o correio eletrónico, o chat ou a videoconferência (utilizador-utilizador). Já os dados de internet tratados para outro tipo de interatividade, nomeadamente a do utilizador com o computador e os respetivos programas (de organização, pesquisa e seleção de informação) e a navegação intra e inter documentos publicados nas páginas web, estão fora do âmbito de proteção daquele preceito constitucional.

Todavia, como o tratamento informático dessa categoria de dados permite identificar o nome, morada e outros dados de identificação do utilizador, os mesmos são considerados "dados pessoais" protegidos pelo artigo 35.º da Constituição. O n.º 2 deste artigo atribui à lei a definição do conceito de dados pessoais, o que foi feito na alínea a) do artigo 3.º da Lei n.º 67/98, de 26 de outubro: «qualquer informação, de qualquer natureza e independentemente do respetivo suporte, incluindo som e imagem relativa a uma pessoa singular identificada ou identificável ("titular dos dados"); é considerada identificável a pessoa que possa ser identificada direta ou indiretamente, designadamente por referência a um número de identificação ou a um ou mais elementos específicos da sua identidade física, fisiológica, psíquica, económica, cultural ou social». Portanto, a informação constante dos dados de tráfego, mesmo que separada de um processo de comunicação intersubjetiva, é considerada de caráter pessoal, pois permite identificar o respetivo titular.

Subsiste assim, em relação a essa categoria específica de dados de tráfego, a pertinência na verificação da conformidade constitucional da norma à luz do direito fundamental à autodeterminação informativa, consagrado no artigo 35.º, n.os 1 e 4, da Constituição.

Em consequência do exposto, a constitucionalidade das normas do artigo 3.º e de um segmento ideal do artigo 4.º - que regulam o acesso a dados pessoais que não envolvem comunicação intersubjetiva (dados de base, dados de localização e dados de tráfego, dissociados de um ato de comunicação, consumado ou tentado, entre duas pessoas) - terá de ser aferida à luz dos direitos fundamentais consagrados nos artigos 26.º, n.º 1, e 35.º, n.os 1, 3 e 4, da Constituição; enquanto o acesso àqueles dados de tráfego que envolvem comunicação entre pessoas (mensagens de correio eletrónico, chamadas de telemóvel, conversas por Voip, designadamente, Skype ou Whatsapp) estará, na referida perspetiva, abrangido, desde logo (e sem prejuízo de também se tratar de dados pessoais tutelados nos termos dos citados artigos 26.º, n.º 1, e 35.º, n.os 1, 3 e 4), pelo âmbito de proteção do artigo 34.º, n.º 4, da Constituição.

Dada a especialidade da tutela dispensada por este último preceito, cumpre começar por fixar o respetivo sentido e alcance, tendo presente o decidido no Acórdão n.º 403/2015.

9 - A tutela constitucional das comunicações intersubjetivas

No seu pedido de fiscalização abstrata sucessiva das normas dos artigos 3.º e 4.º da Lei Orgânica n.º 4/2017, os requerentes invocam a violação do artigo 34.º, n.º 4, da Constituição:

«É proibida toda a ingerência das autoridades públicas na correspondência, nas telecomunicações e nos demais meios de comunicação, salvo os casos previstos na lei em matéria de processo criminal».

Recorde-se que foi com base em tal parâmetro que este Tribunal, no Acórdão n.º 403/2015, se pronunciou pela inconstitucionalidade do n.º 2 do artigo 78.º do Decreto n.º 426/XII da Assembleia da República, que versava justamente sobre o acesso a dados e informações por parte de oficiais do SIS e do SIED, designadamente a «dados de tráfego, de localização ou outros dados conexos das comunicações, necessários para identificar o assinante ou utilizador ou para encontrar e identificar a fonte, o destino, a data, a hora, a duração e o tipo de comunicação, bem como para identificar o equipamento de telecomunicações ou a sua localização».

Na ocasião, o Tribunal, atentos os termos do pedido, limitou a sua apreciação aos dados de tráfego, tal como definidos na Diretiva n.º 2002/58 e na Lei n.º 41/2004 (cf. os respetivos pontos 6 e 9 e supra o ponto 7): dados «que identificam ou permitem identificar a comunicação e, uma vez conservados, possibilitam a identificação das comunicações entre emitente e destinatário, a data, o tempo e a frequência das ligações efetuadas». E foi justamente o acesso não consentido a estes dados - dados das comunicações efetivamente realizadas ou tentadas - fora do âmbito do processo penal que o Tribunal considerou lesivo de direitos fundamentais das pessoas envolvidas no ato comunicacional.

Com efeito, reconheceu o Tribunal, «mesmo que não haja acesso ao conteúdo, a interconexão entre dados de tráfego pode fornecer um perfil complexo e completo da pessoa em questão - com quem mais conversa, que lugares frequenta, quais os seus horários, etc.», já que, «como refere Costa Andrade, "no seu conjunto, os dados segregados pela comunicação e pelo sistema de telecomunicações se revelam, muitas vezes, mais significativos que o próprio conteúdo da comunicação em si. O que, de resto, bem espelha o interesse com que, reconhecidamente, a investigação criminal procura maximizar a recolha de dados ou circunstâncias da comunicação, também referenciados como dados de tráfego" (cf. "Bruscamente no verão passado - A Reforma do Código de Processo Penal", Revista de Legislação e Jurisprudência, Ano 137.º, julho-agosto 2008, pág. 338)» e o ponto 12 do Acórdão n.º 403/2015). É, por conseguinte, claro «que a manipulação ilegal ou ilegítima do conteúdo e das circunstâncias da comunicação pode violar a privacidade dos interlocutores intervenientes, atentando ou pondo em risco esferas nucleares das pessoas, das suas vidas, ou dimensões do seu modo de ser e estar. De sorte que a possibilidade de se aceder aos dados das comunicações colide com um conjunto de valores associados à vida privada que fundamentam e legitimam a proteção jurídico-constitucional» (v. ibidem).

9.1 - É nesse contexto que o Tribunal analisa a liberdade de ação e uma série de direitos relacionados com a esfera íntima e a esfera privada (direito à solidão, direito ao anonimato e direito à autodeterminação informacional) como reserva da intimidade da esfera privada e, mais amplamente, do direito ao desenvolvimento da personalidade consagrados no artigo 26.º da Constituição.

Ora, uma das dimensões da liberdade de ação inerente ao desenvolvimento da personalidade consiste na liberdade de comunicar, tuteladora da comunicação interpessoal: «a comunicação que se destina a um recetor individual ou a um círculo de destinatários previamente determinado» (Acórdão n.º 403/2015, ponto 13). Tal liberdade abrange, deste modo, «a faculdade de comunicar com segurança e confiança e o domínio e autocontrole sobre a comunicação, enquanto expressão e exteriorização da própria pessoa» (v. ibidem). E é essa mesma liberdade, enquanto refração do direito ao desenvolvimento da personalidade e da tutela da privacidade, que mereceu no texto constitucional um recorte material específico, através da autonomização, no artigo 34.º, do sigilo dos meios de comunicação privada (v. ibidem).

É com referência a este último que se pode autonomizar o direito à autodeterminação comunicativa, que é simultaneamente um direito negativo (ou de defesa, nomeadamente da reserva da intimidade da vida privada) e um direito a ações positivas (v. ibidem, pontos 13 e 14):

«Na vertente de defesa da reserva da intimidade da vida privada, o direito à autodeterminação comunicativa protege a esfera pessoal perante as ingerências públicas ou privadas, ou seja, o interesse das pessoas que comunicam em impedir ou em controlar a tomada de conhecimento, a divulgação e circulação do conteúdo e circunstâncias da comunicação. Neste sentido, os interlocutores intervenientes têm direito a um ato negativo: à não intervenção de terceiros na comunicação e nas circunstâncias que a acompanham. Trata-se de uma garantia de que devem beneficiar, prima facie, todas as comunicações privadas, independentemente de as mesmas dizerem ou não respeito à intimidade dos intervenientes [...].

No entanto, o direito à autodeterminação comunicativa abrange ainda esferas de proteção mais amplas que a da simples reserva da vida privada. É que o progresso tecnológico, ao facilitar a acumulação, conservação, circulação e interconexão de dados referentes às comunicações, aumentou as possibilidades de devassa. Agora é o próprio domínio de atuação do indivíduo que é posto em causa, pois já não tem meios para assegurar a confidencialidade da comunicação. A liberdade de, à distância, trocar com os destinatários livremente escolhidos por cada um, informações, notícias, pensamentos e opiniões está comprometida com as inimagináveis possibilidades da sua afronta pelos avanços tecnológicos. Por isso, é necessário assegurar que a comunicação à distância entre privados se processe como se os mesmos se encontrassem presentes, i.e., que as comunicações entre emissor e recetor, bem como o seu circunstancialismo, se tenham como uma comunicação fechada, em que os sujeitos se autodeterminam quanto à realização da mesma e esperam, legitimamente, que a comunidade proteja o circunstancialismo daquela pretendida comunicação. Ora, como a interação entre pessoas que se encontram à distância tem de ser feita através da mediação necessária de um terceiro, de um fornecedor de serviços de comunicação, exige-se que esse operador e o Estado regulador também garantam a integridade e confidencialidade dos sistemas de comunicação.

Neste contexto, o direito à autodeterminação comunicativa assume-se como um direito de liberdade, de liberdade para comunicar, sem receio ou constrangimentos de que a comunicação ou as circunstâncias em que a mesma é realizada possam ser investigadas ou divulgadas. Sem essa confiança, o indivíduo sentir-se-á coartado na liberdade de poder comunicar com quem quiser, quando quiser, pelo tempo que quiser e quantas vezes quiser. Trata-se, pois, de permitir um livre desenvolvimento das relações interpessoais e, ao mesmo tempo, de proteger a confiança que os indivíduos depositam nas suas comunicações privadas e no prestador de serviços das mesmas. Como refere Costa Andrade, «a tutela da inviolabilidade das telecomunicações radica assim na "específica situação de perigo" decorrente do domínio que o terceiro detém - e enquanto detém - sobre a comunicação (conteúdo e dados). Domínio que lhe assegura a possibilidade fáctica de intromissão arbitrária subtraída ao controlo do(s) comunicador(es). Por ser assim, o regime jurídico do sigilo na segurança e reserva dos sistemas apenas visa proteger a confiança na segurança e reserva dos sistemas (empresas) de telecomunicações» (cf. Costa Andrade, ob. cit., pág. 339). Neste sentido, os comunicadores têm direito a ações positivas dos operadores e do Estado que não só assegurem a confidencialidade das comunicações e das circunstâncias em que elas se realizam como também lhes permitam controlar os dados produzidos, guardados e transmitidos que respeitem a comunicações já efetuadas.

[...]

14 - A autodeterminação comunicativa é protegida no artigo 34.º da CRP através da inviolabilidade das comunicações. A "inviolabilidade de princípio" justifica-se, como referem Gomes Canotilho e Vital Moreira, para «limitar na maior medida possível a possibilidade de restrições, sujeitando-se estas a pressupostos bastante vinculados» (cf. ob. cit, Vol. I, pág. 540). Nessa inviolabilidade inclui-se, no n.º 4 daquele preceito constitucional, a proibição de ingerência das autoridades públicas nos meios de comunicação, não só as que estão investidas de poderes públicos de autoridade como, mas por maioria de razão, as demais entidades públicas e entidades privadas (n.º 1 do artigo 18.º da CRP).

A garantia de não ingerência tem, porém, um sentido mais vasto que o sigilo de comunicações, podendo assumir um duplo relevo.

Desde logo, ela configura-se como uma garantia de sentido negativo, de inviolabilidade, que protege o indivíduo de ingerências do Estado ou de terceiros. Neste contexto assume-se como um direito que garante ao respetivo titular posições jurídicas perante o Estado para defesa de abusos relativos à utilização dos dados em causa. Como correspondência desta garantia, cabe ao Estado um dever de não ingerência, de não agressão. Deste direito deriva, como já se referiu, não só a obrigação de princípio de não divulgar o conteúdo das comunicações privadas, mas também não aceder às circunstâncias em que as mesmas foram efetuadas.

Por outro lado, a garantia de não ingerência pode, ainda, reclamar um correspondente dever a ações positivas por parte do Estado. Desde logo, a obrigação de o Estado adotar os instrumentos jurídicos necessários para manter a comunicação e seu circunstancialismo como "fechados" (nomeadamente, através da aprovação de leis destinadas à proteção dos dados de comunicação). Nesse sentido, o n.º 2 do artigo 26.º da CRP estabelece, precisamente, uma obrigação legiferante, obrigando o legislador a estabelecer garantias contra a obtenção e utilização abusivas, ou contrárias à dignidade humana, de informações. Depois, através da efetivação do referido "direito ao apagamento" ou ao "bloqueio" dos dados de tráfego, que vai ínsito no direito à autodeterminação comunicativa, e no correspondente "direito ao esquecimento". De facto, o direito à autodeterminação comunicativa tem, nos dias de hoje, e face à tendencial perenidade dos registos de dados, de passar pela imposição de limites temporais à conservação dos dados.»

Em suma, o artigo 34.º da Constituição tem por propósito consagrar e proteger o direito fundamental à inviolabilidade do domicílio e da correspondência, ou seja, e prima facie, a liberdade de manter uma esfera de privacidade e sigilo, livre de interferência e ingerência estadual, quer no que respeita ao domicílio, quer - sendo esta a dimensão relevante para o caso sub iudice - quanto à comunicação. É, aliás, entendimento doutrinal sedimentado que o âmbito de proteção da norma constitucional abrange todos os meios de comunicação individual e privada, e toda a espécie de correspondência entre pessoas, em suporte físico ou eletrónico, incluindo não apenas o conteúdo da correspondência, mas o tráfego como tal (espécie, hora, duração, intensidade de utilização), excluindo-se apenas a categoria residual de dados pessoais, isolados de qualquer processo de comunicação, efetivo ou tentado.

Partindo deste entendimento, cumpre delimitar negativamente o âmbito da regra consagrada no n.º 4 do artigo 34.º da Constituição, no sentido de excluir da proteção conferida pela norma todos os dados e todas as ações que não possam, verdadeiramente, qualificar-se como telecomunicação ou meio de comunicação pessoal. Por isso, o sigilo das telecomunicações «só vale para os autênticos dados de comunicação, isto é, aqueles que se reportam a ações de telecomunicação e são, como tais, protegidos contra a intromissão arbitrária» (Manuel da Costa Andrade, "Comentário ao artigo 194.º do Código Penal", ob. cit. 2012, pág. 1103). Nestes termos, a área de tutela constitucional das telecomunicações comporta, ao lado de uma dimensão objetiva, uma indispensável dimensão subjetiva, na medida em que o ato comunicativo pressupõe sempre a existência de uma relação intersubjetiva, um contacto ou, pelo menos, uma tentativa de contacto entre pessoas.

Assim, importará considerar que o n.º 4 do artigo 34.º da Constituição protege tanto o processo comunicativo quanto o conteúdo da comunicação, sempre que - mas apenas quando - esteja em causa um efetivo processo comunicativo. Ou seja, terá de ter havido, pelo menos por uma das partes, a consciência e a vontade de "participar na transmissão à distância de dados ou notícias", mesmo que a comunicação não se tenha completado, por ausência ou rejeição de resposta pela outra parte.

Posição semelhante encontra-se na doutrina e jurisprudência alemãs, a propósito do âmbito de proteção do artigo 10.º da Lei Fundamental: «Desenha-se aqui, no âmbito do Artigo 10.º, um nível diferenciado de proteção. O círculo mais estreito é constituído pelo núcleo essencial da privacidade, que é garantida não apenas dentro da habitação, mas também na comunicação à distância. De forma menos intensiva, mas também com um nível elevado de proteção, é protegido o conteúdo da comunicação, contra escutas, leituras ou outras formas de intromissão. No que respeita aos dados sobre as circunstâncias do processo comunicativo, designadamente, os dados de conexão, o Tribunal Constitucional federal enfatiza a importância da proteção efetiva dos direitos fundamentais» (Mangoldt/Klein/Starck, GG - Grundgesetz Kommentar, Band 1, 7. Auflage, C. H. Beck, 2018, art. 10, Abs. 2, 75, p. 1084).

Note-se, por fim, que a relevância comunicacional dos dados de tráfego não os descaracteriza enquanto dados pessoais ligados à privacidade dos indivíduos e ao livre desenvolvimento da respetiva personalidade - bens jurídicos tutelados pelo artigo 26.º, n.º 1, da Constituição -, tanto mais que o seu tratamento informático e acesso por terceiros atinge o direito de cada um controlar as informações que lhe dizem respeito, ou seja, o seu direito à autodeterminação informativa, consagrado no artigo 35.º da Constituição (cf. infra o n.º 10).

9.2 - O n.º 4 do artigo 34.º, embora proíba as ingerências na correspondência, nas telecomunicações e nos demais meios de comunicação, admite-as nos «casos previstos na lei em matéria de processo penal», ou seja, «a autorização constitucional expressa para a restrição do direito à inviolabilidade das comunicações é completada com a discriminação dos fins e interesses a prosseguir com a lei restritiva ou com o critério que deve balizar a intervenção do legislador ordinário» (v. Acórdão n.º 403/2015, ponto 16). Tal constitui, ao mesmo tempo, a «garantia de que tais restrições não estão autorizadas noutras matérias e para outras finalidades» (v. ibidem).

Deste modo, o n.º 4 do artigo 34.º da CRP conduz à inevitável conclusão de que o legislador constitucional resolveu explicitamente, no texto da Constituição, o sentido no qual devem ser resolvidas as eventuais colisões entre os valores constitucionalmente protegidos, e os correspetivos direitos fundamentais, à liberdade individual, e à sua específica dimensão de direito à inviolabilidade das telecomunicações, por um lado, e, por outro, à segurança e preservação da ordem constitucional, que se traduz na necessidade de prevenir a ocorrência de atos passíveis de a colocar em perigo. Ao resolver de forma expressa tal tensão axiológica e jusfundamental, o legislador constituinte retirou ao intérprete constitucional o espaço para encontrar, por via interpretativa, solução distinta para a operação de concordância prática em questão.

Nesse sentido, entendeu-se no Acórdão n.º 403/2015:

«17 - Ao definir o campo de incidência da lei restritiva do direito à inviolabilidade das comunicações pela "matéria de processo criminal" a Constituição ponderou e tomou posição (em parte) sobre o conflito entre os bens jurídicos protegidos por aquele direito fundamental e os valores comunitários, especialmente os da segurança, a cuja realização se dirige o processo penal. Não obstante as restrições legais ao direito à inviolabilidade das comunicações que o legislador está autorizado a estabelecer deverem obedecer à ponderação do princípio da proporcionalidade, a preferência abstrata pelo valor da segurança em prejuízo da privacidade das comunicações só pode valer em matéria de processo penal. É que a não inclusão de outras matérias do âmbito da restrição do direito à inviolabilidade das comunicações, não é contrária ao plano ordenador do sistema jurídico-constitucional. Ainda que se pudesse considerar, em abstrato, que há outras matérias em que o valor da segurança sobreleva os valores próprios do direito à inviolabilidade das comunicações, a falta de cobertura normativa da restrição em matérias extraprocessuais não frustra as intenções ordenadoras do atual sistema, porque há razões político-jurídicas que estão na base da abstenção do legislador constitucional.

Que não estamos perante uma "incompletude contrária ao plano normativo" da Constituição é confirmado, de forma implícita, mas clara, pelas opções valorativas tomadas aquando da 4.ª e da 5.ª revisões constitucionais. Nessas revisões foram abertamente tidos em conta imperativos acrescidos de segurança e a necessidade de incrementar medidas contra a criminalidade referida na alínea c) do n.º 2 do artigo 4.º do Decreto n.º 426/XII. Esse objetivo levou a alterações que se traduziram em restrições a direitos fundamentais, nesta área, com a consagração de novos equilíbrios normativos entre os valores aqui em confronto.

Assim, pela 4.ª revisão, o artigo 33.º, n.º 3, passou a prever a extradição de cidadãos portugueses, em condições de reciprocidade estabelecidas em convenção internacional, nos casos de terrorismo e de criminalidade internacional organizada, e desde que a ordem jurídica do Estado requisitante consagre garantias de um processo justo e equitativo. Também o n.º 4 do mesmo artigo passou a admitir a extradição por crimes puníveis com a prisão perpétua (ainda que só mediante a garantia de não aplicação ao caso).

O próprio artigo 34.º foi objeto de reponderação, na 5.ª revisão constitucional, passando a admitir-se, no n.º 3, a entrada durante a noite no domicílio das pessoas, com autorização judicial, "em casos de criminalidade especialmente violenta ou altamente organizada, incluindo o terrorismo e o tráfico de pessoas".

O repensamento desta matéria, nas referidas revisões constitucionais, deixou inalterados os termos da norma permissiva de ingerência nas telecomunicações, estabelecida na 2.ª parte do n.º 4 do artigo 34.º, e o seu alcance restrito a "matéria de processo criminal". Apenas se alargou o âmbito da proibição aos "demais meios de comunicação", na revisão de 1997.

Nada autoriza, pois, a admitir uma eventual extensão do âmbito da ressalva final do n.º 4 do artigo 34.º - para a qual, aliás, o intérprete, neste contexto concreto, não dispõe de instrumentos metodológicos adequados.»

Pode falar-se, por isso, de uma reserva absoluta de processo criminal:

«De facto, a referência ao processo criminal não é apenas uma indicação teleológica, mas também a localização da restrição à proibição de ingerência numa área estruturada normativamente em termos de oferecer garantias bastantes contra intromissões abusivas. Ao autorizar a ingerência das autoridades públicas nos meios de comunicação apenas em matéria de processo penal, e não para quaisquer outros efeitos, a Constituição quis garantir que o acesso a esses meios, para salvaguarda dos valores da "justiça" e da "segurança", fosse efetuado através de um instrumento processual que também proteja os direitos fundamentais das pessoas. Porque a ingerência nas comunicações põe em conflito um direito fundamental com outros direitos ou valores comunitários, considerou-se que a restrição daquele direito só seria autorizada para realização dos valores da justiça, da descoberta da verdade material e restabelecimento da paz jurídica comunitária, os valores que ao processo criminal incumbe realizar. Assim, remeteu para o legislador processual penal a tarefa de "concordância prática" dos valores conflituantes na ingerência nas comunicações privadas: por um lado, a tutela do direito à inviolabilidade das comunicações; por outro, a viabilização da justiça penal. Na verdade, como escreve Figueiredo Dias, «o processo penal é um dos lugares por excelência em que tem de encontrar-se a solução do conflito entre as exigências comunitárias e a liberdade de realização da personalidade individual» (cf. Direito Processual Penal, Coimbra Editora, 1974, pág. 59).

Assim, a referência ao processo criminal, encontrando-se estreitamente associada à Constituição, onde se detetam normas diretamente atinentes a essa matéria e que condensam os respetivos princípios estruturantes (artigo 32.º) - a ponto de se falar numa constituição processual criminal -, tem um sentido hermenêutico inequívoco, não podendo deixar de ser entendido como a "sequência de atos juridicamente preordenados praticados por pessoas legitimamente autorizadas em ordem à decisão sobre a prática de um crime e as suas consequências jurídicas".»

Esta reserva de processo criminal constitucionalmente estabelecida tem, além do mais, relevantíssimas consequências na esfera jurídica da pessoa, em particular quando constituída arguida, como a determinação do regime de nulidade de provas obtidas através de métodos inadmissíveis e a obrigatoriedade de intervenção de um juiz quando esteja em causa a prática de atos potencialmente lesivos de direitos fundamentais:

«[O] artigo 34.º, n.º 4, ao delimitar a restrição à matéria de processo penal tem também outras consequências com reflexo no estatuto constitucional do arguido.

Desde logo, a realização da justiça, não sendo um fim único do processo criminal, apenas pode ser conseguida de modo processualmente válido e admissível e, portanto, com o respeito pelos direitos fundamentais das pessoas que no processo se veem envolvidas. O respeito desses direitos conduz, por exemplo, a considerar inadmissíveis certos métodos de provas e a cominar a nulidade de «todas as provas obtidas mediante tortura, coação, ofensa da integridade física ou moral da pessoa, abusiva intromissão na vida privada, no domicílio, na correspondência ou nas telecomunicações» (cf. artigo 32.º, n.º 8, da CRP). A nulidade das provas, com a consequente impossibilidade da sua valoração no processo, quando sejam obtidas por ingerência abusiva nas comunicações, corresponde assim a uma garantia do processo criminal e resulta de ter havido acesso à informação fora dos casos em que a própria Constituição consente a restrição ao princípio da inviolabilidade dos meios de comunicação privada.

Por outro lado, a referência ao processo criminal implica que a intervenção restritiva careça de prévia autorização judicial. Sendo o processo criminal uma forma heterocompositiva através da qual se realizam as funções de jurisdictio referidas à atuação de pretensões baseadas em normas públicas de direito criminal, exige-se a intervenção de um órgão qualificado para essas funções (cf. artigo 202.º da CRP). Embora se não trate de um caso em que a reserva do juiz ou a reserva de primeira decisão se encontre especialmente individualizada na Constituição [...], não pode deixar de reconhecer-se que a reserva absoluta do juiz tende a afirmar-se quando não existe qualquer razão ou fundamento material para a opção por um procedimento não judicial de resolução de litígio (Gomes Canotilho, ob. cit., pág. 663). O que é particularmente evidente quando se trate de questões que se reportam ao núcleo duro da função jurisdicional, como é o caso das competências exclusivas do juiz de instrução (artigos 268.º e 269.º do Código de Processo Penal), em que releva a prática de atos que afetam direitos, liberdades e garantias das pessoas (cf. Vieira de Andrade, "Reserva do juiz e intervenção ministerial em matéria de fixação da indemnizações por nacionalizações", Scientia ivridica, Tomo XLVII, n.os 274-276, julho/dezembro, 1998, pág. 225). Esse é seguramente o caso quando está em causa a interceção, gravação ou registo de comunicações (artigo 269.º, n.º 1, alínea c), do CPP).»

Daí a conclusão, que agora se reitera:

«Estando excluída a possibilidade, em todo este contexto, de efetuar uma interpretação da norma constitucional que consinta o acesso a dados de tráfego, de localização ou outros dados conexos das comunicações no âmbito das atribuições dos serviços de informações, à revelia de qualquer processo penal ou autorização judicial, ainda que tenha em vista a prevenção penal de bens jurídicos muito relevantes (artigos 4.º, n.º 1, alínea c), e 78.º, n.º 2, do Decreto), dificilmente se poderá encarar a ideia de uma ampliação do âmbito da restrição contida no artigo 34.º, n.º 4, 2.ª parte, a partir do fim da regulação ou da conexão de sentido da norma. Desde logo, porque a finalidade do preceito, como assinalou o Acórdão do Tribunal Constitucional n.º 241/2002, é a de delimitar o âmbito das restrições à garantia da inviolabilidade das comunicações. E, como se deixou exposto, essa delimitação é expressamente assumida pela Constituição como sendo apenas reconduzível às situações enquadradas pelo processo penal. Não há aqui, por isso, uma qualquer lacuna oculta que justifique, contra o seu sentido literal, uma interpretação conforme com a teleologia imanente da norma, já que ela própria tem por objetivo definir o âmbito preciso da restrição, sem que se torne possível estabelecer uma identidade valorativa entre o processo penal e a investigação levada a efeito pelos serviços de informações. Além de que o alargamento do âmbito da norma constitucional, a ser admitida, teria um duplo sentido, implicando não apenas uma ampliação do âmbito aplicativo da restrição ao princípio da não ingerência nas comunicações, mas também uma redução da garantia de reserva de juiz, através da remissão do controlo de atos que afetam direitos fundamentais para uma entidade meramente administrativa.

Pode, então, concluir-se que, no caso da proibição de ingerência das autoridades públicas nas comunicações, que o artigo 34.º, n.º 4, primeira parte, consagra como princípio geral, as exceções a que se refere o segmento final desse preceito estão condicionadas à matéria de processo penal, e sendo a restrição constitucionalmente autorizada apenas nesses termos, não tem cabimento efetuar uma qualquer outra interpretação que permita alargar a restrição a outros efeitos, como se a restrição não estivesse especificada no próprio texto constitucional ou se tratasse aí de uma restrição meramente implícita que permitisse atender a outros valores ou bens constitucionalmente reconhecidos.»

Resulta deste modo, claramente, que no entendimento firmado no Acórdão 403/2015, a limitação da restrição do direito de sigilo das comunicações a matéria de processo penal não se baseia exclusivamente no elemento literal ou gramatical de interpretação (a letra da lei), mas numa combinação de vários elementos - o sistemático, o histórico e o teleológico - que atribuem um especial significado à exigência constitucional de reserva absoluta de processo criminal, de acordo com a nossa tradição sociopolítica baseada na importância do processo penal para a defesa dos direitos, liberdades e garantias dos cidadãos suspeitos de prática de um crime. Mesmo considerando a hermenêutica jurídica particular da interpretação constitucional, que confere ao intérprete uma maior liberdade, em face do argumento literal, do que a normalmente atribuída ao intérprete do direito ordinário, o conceito jurídico-constitucional de processo penal reveste-se de um significado unívoco e determinado, que não consente o grau de flexibilização ou de evolução, por via interpretativa, típico dos conceitos constitucionais abertos e plurissignificativos.

10 - A tutela constitucional da autodeterminação informativa

A autodeterminação comunicativa, estando correlacionada com a autodeterminação informativa e sobrepondo-se parcialmente à mesma, todavia, não deixa de dela se distinguir.

Como se deixou claro no Acórdão n.º 403/2015:

«O objeto de proteção do direito à autodeterminação comunicativa reporta-se a comunicações individuais efetivamente realizadas ou tentadas e só essas é que estão cobertas pelo sigilo de comunicações. Naquele outro direito protege-se as informações pessoais recolhidas e tratadas por entidades públicas e privadas, cuja forma de tratamento e divulgação pode propiciar ofensas à privacidade das pessoas a que digam respeito» (cf. o respetivo ponto 13)

10.1 - Com efeito, o artigo 35.º da Constituição institui "um direito fundamental à autodeterminação informativa, traduzido num conjunto de direitos relacionados com o tratamento automático das informações pessoais dos cidadãos, que visam, simultaneamente, protegê-las perante ameaças de recolha e de divulgação, assim como de outras utilizações possibilitadas pelas novas tecnologias, e, também, assegurar aos respetivos titulares um conjunto de poderes de escolha nesse âmbito" (Catarina Sarmento e Castro, "40 Anos de "Utilização da Informática" - O artigo 35.º da Constituição da República Portuguesa", in e-Pública vol. 3, n.º 3, dezembro 2016, págs. 42-66).