Acórdão do Tribunal Constitucional n.º 687/2021 — Decide, com referência ao Decreto n.º 167/XIV, da Assembleia da República, publicado no Diário da Assembleia da…

Ora, esta última dimensão implica que tais limitações sejam (sempre) referenciadas à intervenção dos prestadores de serviços de telecomunicações eletrónicas aos quais os Estados, para os fins previstos pelo DUE, podem impor obrigações de conservação e de tratamento que se traduzem em medidas legislativas restritivas dos direitos e obrigações previstos naquele. E é sobre esta específica dimensão que versa a jurisprudência do TJUE nos referidos acórdãos Tele2/Watson e subsequentes.

Ao invés - e é esta a exata situação versada pela norma aqui sindicada - quando se trata de atuações do próprio Estado que, através dos seus órgãos e agentes competentes no domínio do exercício da ação penal (Ministério Público e órgãos de polícia criminal), adota medidas que se projetam diretamente sobre a pessoa objeto dessa ação penal e sobre os seus dados pessoais e privacidade (incluindo os dados pessoais decorrentes de mensagens de correio eletrónico ou de natureza semelhante cuja apreensão é consentida pela norma ora sindicada), sem qualquer intervenção ou mediação dos prestadores de serviços de comunicações eletrónicas no mercado interno, o paradigma e referente de DUE é outro, bem diverso. Tratando-se, in casu, de tratamento de dados (lato sensu) efetuado pelas autoridades nacionais competentes para efeitos de prevenção, investigação, deteção e repressão de infrações penais (especificamente no domínio do cibercrime mas que podem extravasar o mesmo - cf. alíneas a), b) e c) do n.º 1 do artigo 11.º) tal referente é o da exclusão de tais medidas do respetivo âmbito de aplicação - seja do âmbito de aplicação do RGPD, seja do âmbito de aplicação da Diretiva 2002/58/CE [ou da referida Proposta de Regulamento relativo à privacidade e às comunicações eletrónicas, que visa substituir a Diretiva 2006/24/CE julgada inválida pelo TJUE em Digital Rights].

Aplicam-se, por isso, neste domínio da atuação estadual direta, contra o que parece resultar do texto do Acórdão (sendo que nesta parte dele divergimos), não os parâmetros e a proteção decorrentes da Diretiva 2002/58/CE ou do RGPD e sua interpretação pelo TJUE, mas sim os parâmetros pertinentes do direito (no que releva) constitucional nacional, interpretados à luz do DUE de harmonização aprovado nesse particular domínio em matéria de proteção de dados.

Esta diferença é aliás, bem assinalada pela jurisprudência do TJUE primeiro, no caso Privacy International (cf. ponto 48) e, depois, no caso La Quadrature du Net e o. (cf. ponto 103), quando aí se afirma:

"[...]

103 - Em contrapartida, quando os Estados-Membros aplicam diretamente medidas que derrogam a confidencialidade das comunicações eletrónicas, sem imporem obrigações de tratamento aos prestadores de serviços de tais comunicações, a proteção dos dados das pessoas em causa não está abrangida pela Diretiva 2002/58, mas apenas pelo direito nacional, sem prejuízo da aplicação da Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, e à livre circulação desses dados, e que revoga a Decisão-Quadro 2008/977/JAI do Conselho (JO 2016, L 119, p. 89), de tal modo que as medidas em causa devem respeitar, nomeadamente, o direito constitucional nacional e os requisitos da CEDH.

[...]."

3.4 - Do enquadramento que acabámos de enunciar, decorrem três conclusões principais, as quais, alternativamente ao Acórdão, aqui apresentamos.

Em primeiro lugar, a Diretiva 2002/58/CE e o seu artigo 15.º - e a sua interpretação pelo TJUE nos termos referidos - não constituem o referencial adequado para o enquadramento de DUE da questão objeto dos presentes autos, já que se referem ao tratamento de dados pelos prestadores de serviços de telecomunicações eletrónicas e por estes obtidos no quadro de tais serviços, e não ao tratamento de dados obtidos, diretamente, por autoridades estatais, in casu, o tratamento (apreensão e atos posteriores) pelas autoridades públicas competentes no quadro do exercício da ação penal pelo Estado (Ministério Público e Órgãos de polícia criminal).

Em segundo lugar, o RGPD também não constitui o referencial adequado para o enquadramento de DUE da questão objeto dos presentes autos, já que aquele instrumento expressamente dispõe que o mesmo não se aplica ao tratamento de dados pessoais efetuado pelas autoridades competentes para efeitos de prevenção, investigação, deteção e repressão de infrações penais ou da execução de sanções penais, incluindo a salvaguarda e a prevenção de ameaças à segurança pública (cf. artigo 2.º, n.º 2, alínea d), do RGPD) - neste sentido dispondo igualmente a Diretiva 2002/58/CE (cf. artigo 1.º, n.º 3, in fine, da mesma).

Em terceiro lugar, por força de tal exclusão - e inexistindo imposição de obrigações de tratamento aos prestadores de serviços de comunicações eletrónicas que convoquem a aplicação da Diretiva 2002/58/CE - a proteção dos dados das pessoas objeto da ação penal exercida pelo Estado decorre apenas do direito, maxime constitucional, nacional (e das fontes de direito internacional a que o Estados se tenham vinculado, como a CEDH ou, neste caso, também a Convenção de Budapeste), sem prejuízo da observância do DUE especificamente aplicável nesse domínio. Ora, a par do RGPD foi adotada igualmente, a Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho, de 27 de abril de 2016 (a mesma data de adoção do RGPD), relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, e à livre circulação desses dados, e que revoga a Decisão-Quadro 2008/977/JAI do Conselho - e que constitui, a par do direito nacional, o referente de direito derivado da União adequado ao enquadramento, nessa perspetiva, de questões como a suscitada nos presentes autos (13).

3.4.1 - Com efeito, a Diretiva (UE) 2016/680 estabelece um específico regime de harmonização na matéria em causa (em paralelo com o RGPD, mas com algumas especificidades), o qual a mesma considera conforme ao DUE e necessário à luz do artigo 52.º, 1 da CDFUE (cf. considerando 104) - tendo a mesma sido já transposta para a ordem jurídica portuguesa pela Lei n.º 59/2019, de 8 de Agosto (que aprova as regras relativas ao tratamento de dados pessoais para efeitos de prevenção, deteção, investigação ou repressão de infração penais ou de execução de sanção penais, transpondo a Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho, de 27 de abril de 2016 - cf. o respetivo artigo 1.º).

É este o regime harmonizado de DUE - e já transposto para a ordem jurídica interna, pela Lei n.º 59/2019, de 8 de agosto - que constitui o referente a levar em conta quando se trata de enquadrar o tratamento de dados (apreensão incluída) diretamente pelas autoridades nacionais competentes (autoridades públicas) em matéria de exercício da ação penal, por um lado; e que incida sobre dados pessoais que se encontram na própria esfera do visado por aquela ação (e fora da esfera dos prestadores de serviços de comunicações eletrónicas e do quadro de imposição de obrigações a estes) - i. e., a apreensão (autorizada, ordenada ou validada, consoante o caso, pela autoridade judiciária competente), no âmbito da "[...] pesquisa informática ou de outro acesso legítimo a um sistema informático, de mensagens de correio eletrónico ou de natureza semelhante [...]", que "[...] forem encontradas, armazenadas nesse sistema informático ou noutro a que seja permitido o acesso legítimo a partir do primeiro [...] que sejam necessárias à produção de prova, tendo em vista a descoberta da verdade" (n.º 1 do artigo 17.º da disposição ora em causa).

Com efeito, nos termos do artigo 3.º, n.º 7, da Diretiva (UE) 2016/680, transposta pela já referida Lei n.º 59/2019 (cf. alínea i) do n.º 1 do seu artigo 3.º), deve entender-se por "Autoridade competente": "[...] a) [u]ma autoridade pública competente para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, incluindo a salvaguarda e a prevenção de ameaças à segurança pública; ou b) [q]ualquer outro organismo ou entidade designados pelo direito de um Estado-Membro para exercer a autoridade pública e os poderes públicos para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, incluindo a salvaguarda e a prevenção de ameaças à segurança pública.".

O regime de DUE derivado contém, em especial: princípios aplicáveis ao tratamento de dados (artigo 3.º) e licitude de tratamento (artigo 8.º, tendo em conta os fins do artigo 1.º, n.º 1); tratamento de categorias especiais de dados (artigo 10.º); limitações aos direitos dos titulares de dados (artigo 13.º, n.º 3, alínea b)); e limitações ao direito de acesso aos dados (artigo 15.º, n.º 1, alínea b)) - todos replicados na Lei n.º 59/2019 (cf. os respetivos artigos 4.º, 5.º, 6.º 16.º, n.º 1, alínea b) - e se os dados recolhidos forem tratados para fins diversos dos previstos no artigo 1.º, n.º 1, da Diretiva aplica-se, então, o RGPD (artigo 9.º, n.º 1, da Diretiva e artigo 8.º, n.º 1, da Lei n.º 59/2019).

Em suma, o paradigma europeu aplicável à questão em causa nos presentes autos - apreensão de dados pessoais diretamente por autoridade pública no exercício da ação penal junto do equipamento informático do visado - é outro, que não o decorrente da Diretiva 2002/58/CE e do RGPD: é o da licitude e da necessidade de tratamento dos dados em causa pelas autoridades públicas nacionais (diretamente) e o da consagração e admissibilidade de limites aos direitos dos titulares dos dados, incluindo quanto ao acesso aos mesmos e sua apreensão, para os específicos fins em causa.

Por assim ser, e diversamente do afirmado no final do ponto 20 do acórdão (e também no início do seu ponto 24), não pode relevar diretamente para o caso dos autos a consideração dos aí referidos "[...] acervo legal e jurisprudencial da União Europeia acerca de temáticas paralelas" e "[...] 'standards' de tutela jusfundamental no que respeita ao tratamento de dados pessoais e de dados relativos às comunicações, no âmbito da utilização da informática [...]" (acervo jurisprudencial do Tribunal de Justiça que o Acórdão explicita, em particular, no seus pontos 23 e 25).

3.5 - Este enquadramento específico de DUE implica, por um lado: i) a relevância acrescida do Direito nacional, especialmente, neste caso, do Direito constitucional nacional, desde logo quando este preveja níveis protetivos mais densos (14), sem prejuízo dos fins impostos pela harmonização decorrente da Diretiva (UE) 2016/680; ii) a convocação dos específicos parâmetros de constitucionalidade pertinentes para a análise da norma, que se situam, primeiramente, no quadro próprio do exercício da ação penal e, em concreto, das garantias do processo penal especialmente consagradas pela CRP no seu artigo 32.º, concretamente no seu n.º 4 em matéria de reserva do juiz. É pois, este, o parâmetro constitucional de referência com o qual deve ser fundamentalmente confrontada a norma sindicada.

4 - É esta, enfim, a visão particular dos subscritores do presente voto, quanto a alguns pontos tratados no Acórdão. Não obstante as divergências antes explicitadas, estamos fundamentalmente perante argumentos que concorrem, na centralidade dos parâmetros constitucionais convocados, com o decidido pelo Tribunal na apreciação da redação do artigo 17.º da Lei n.º 109/2009, de 15 de setembro pretendida introduzir através do artigo 5.º do Decreto n.º 167/XIV.

(1) Por posição (opinião) concorrente pretendem os subscritores desta declaração significar o entendimento corrente da expressão voto concorrente, na dinâmica decisória de um tribunal de recurso: uma concordância na decisão e mesmo na fundamentação que apresenta, todavia, certos pontos argumentativos separados da posição expressa pela maioria, que se podem somar (em alguns trechos poderiam mesmo substituir-se) a essa posição, mas que não deixam de a reafirmar embora com certo grau de autonomia argumentativa (cf. as entradas "concur" e "concurring opinion", in Black's Law Dictionary, 6.ª ed., West Publishing Co., St Paul Minnesota, 1990, p. 291).

(2) "O direito processual penal faz parte integrante da denominada 'ciência total do direito penal', onde se integra o direito penal em sentido amplo, a criminologia e a política criminal. É no direito penal em sentido amplo que, a par do direito penal (substantivo) e do direito da execução de penas e de medidas de segurança (direito penal executivo), se localiza o direito processual penal (direito adjetivo)." (Maria João Antunes, Direito Processual Penal, Coimbra, 2017, p. 7).

(3) Isso mesmo consta do ponto 15 do Acórdão n.º 403/2015 (Metadados I):

"[...]

Já quanto aos dados de base (v. g. número de telefone, endereço eletrónico, contrato de ligação à rede) e aos dados de localização de equipamento, quando não dão suporte a uma concreta comunicação, não são objeto de proteção do direito ao sigilo das comunicações (cf. Acórdão n.º 486/2009). De facto, se o objeto de proteção é uma comunicação individual, então os dados que não pressuponham uma concreta comunicação, que não façam parte do processo de comunicação, ainda que protegidos pela reserva da vida privada - artigo 26.º da CRP - não estão cobertos pela tutela do sigilo das comunicações.

[...]."

E, mais expressivamente, no Acórdão n.º 464/2019 (Metadados II), o Tribunal, na alínea b) do dispositivo, não declarou "[...] a inconstitucionalidade da norma constante do artigo 3.º, da Lei Orgânica n.º 4/2017, de 25 de agosto, na parte em que admite o acesso dos oficiais de informações [do SIS e do SIED], no âmbito das respetivas atribuições, relativamente a dados de base e de localização de equipamento, quando não dão suporte a uma concreta comunicação, para efeitos de produção de informações necessárias à prevenção de atos de sabotagem, espionagem, terrorismo, proliferação de armas de destruição maciça e criminalidade altamente organizada [...]".

(4) João de Castro Mendes, Limites Objetivos do Caso Julgado em Processo Civil, Lisboa, 1968, p. 203.

(5) "O artigo 17.º da Lei n.º 109/2009 [...] aplica-se à apreensão de mensagens de correio eletrónico ou registos de comunicações de natureza semelhante (como SMS, SEM, MMS, conversações no Messenger, mensagens de voz relativas a comunicações via Whatsapp, Viber, Skype, Facebook, etc.) que se encontrem armazenados no sistema informático que tenha sido acedido pelas autoridades e não à sua interceção em tempo real [...]" (Duarte Rodrigues Nunes, Os Meios de Obtenção de Prova Previstos na Lei do Cibercrime, Coimbra, 2018, p. 140).

(6) "[...]

50 - Assim, e uma vez que um acesso geral a todos os dados conservados, independentemente de qualquer ligação, no mínimo indireta, com o objetivo prosseguido, não pode ser considerado limitado ao estritamente necessário, a regulamentação nacional em causa deve basear-se em critérios objetivos para definir as circunstâncias e as condições em que o acesso aos dados em causa deve ser concedido às autoridades nacionais competentes. A este respeito, tal acesso só poderá, em princípio, ser concedido, em relação com o objetivo de luta contra a criminalidade, aos dados de pessoas que se suspeita estarem a planear, irem cometer ou terem cometido uma infração grave ou, ainda, estarem envolvidas de uma maneira ou de outra nessa infração. Todavia, em situações especiais, como aquelas em que os interesses vitais da segurança nacional, da defesa ou da segurança pública sejam ameaçados por atividades terroristas, o acesso aos dados de outras pessoas poderia igualmente ser concedido quando existam elementos objetivos que permitam considerar que esses dados poderiam, num caso concreto, contribuir efetivamente para a luta contra essas atividades (v., neste sentido, Acórdãos de 21 de dezembro de 2016, Tele2, C203/15 e C698/15, EU:C:2016:970, n.º 119, e de 6 de outubro de 2020, La Quadrature du Net e o., C511/18, C512/18 e C520/18, EU:C:2020:791, n.º 188).

51 - A fim de garantir, na prática, o pleno respeito destes requisitos, é essencial que o acesso das autoridades nacionais competentes aos dados conservados esteja, em princípio, sujeito a uma fiscalização prévia efetuada por um órgão jurisdicional ou por uma entidade administrativa independente e que a decisão desse órgão jurisdicional ou dessa entidade seja tomada na sequência de um pedido fundamentado dessas autoridades apresentado, nomeadamente, no âmbito de processos de prevenção, de deteção ou de perseguição penal. [...]" (sublinhado acrescentado).

(7) "No que respeita ao conteúdo essencial do direito fundamental ao respeito da vida privada e dos outros direitos consagrados no artigo 7.º da Carta, deve observar-se que, embora a conservação dos dados imposta pela Diretiva 2006/24 [invalidada pelo Acórdão Digital Rights] constitua uma ingerência particularmente grave nesses direitos, não é suscetível de afetar o referido conteúdo, tendo em conta que, como resulta do seu artigo 1.º, n.º 2, esta diretiva não permite tomar conhecimento do conteúdo das comunicações eletrónicas, enquanto tal." (quanto à definição dos dados conservados pelos operadores, no quadro da Diretiva 2006/24, cf. o ponto 26 do mesmo Acórdão - "[...] designadamente, os dados necessários para encontrar e identificar a fonte e o destino de uma comunicação, para determinar a data, a hora, a duração e o tipo de uma comunicação, o equipamento de comunicação dos utilizadores, bem como para localizar o equipamento de comunicação móvel, dados entre os quais figuram, designadamente, o nome e o endereço do assinante ou do utilizador registado, o número de telefone de origem e o número do destinatário e também um endereço IP para os serviços Internet").

(8) "U. S. Postal Service Logging All Mail for Law Enforcement, disponível, em 25 de agosto de 2021, no sítio do jornal em: https://www.nytimes.com/2013/07/04/us/monitoring-of-snail-mail.html.

(9) Este exemplo concreto é utilizado por Amitai Etzioni (Privacy in a Cyber Age, Palgrave Macmillan, New York, 2015, pp. 132/133) para ilustrar o caráter incomensuravelmente insidioso, na sua potencialidade danosa de usos desviados, do acesso a sistemas que tratam, na sua vertente mais abrangente (a do próprio conteúdo, diversamente das simples circunstâncias envolventes), informação digitalizada: "[...] a digitalização da informação, o uso generalizado da internet e de computadores, e a introdução de sistemas de inteligência artificial para analisar vastas quantidades de dados incrementaram a medida, o volume, o escopo e os tipos de usos secundários em tantos graus de magnitude que é difícil encontrar uma expressão apropriada para capturar a importância desta transformação. A questão essencial não é tanto o facto de a informação poder ser agora processada a uma fração do custo e a velocidades incomparavelmente maiores do que quando era feita a partir do papel, o que é certamente o caso, mas sim o facto de os modos de análise que fazem derivar nova informação pessoal de dados pessoais previamente recolhidos serem hoje comuns, mas eram inconcebíveis quando a maior parte da informação pessoal assentava em suporte de papel. Por outras palavras, prevenir a intrusão excessiva implicava menor recurso à Quinta Emenda quando a maior parte da informação pessoal assentava em papel, porque com frequência era simplesmente impossível armazenar e analisar grandes quantidades de informação pessoal - mas são necessárias proteções acrescidas agora que tais capacidades cresceram significativamente" (ibidem, pp. 1/2).

(10) Permanent Record, Macmillan, Londres, 2019, p. 1. E o texto que estamos a citar segue com a seguinte explicação para esse fenómeno: "[d]epois do 11 de setembro a CI ficou esmagada pela culpa de não ter conseguido defender a América, por ter deixado que o ataque mais devastador e destrutivo [...] desde Pearl Harbor acontecesse no seu tempo [a expressão exata é "on its watch"]" (ibidem, pp. 1/2).

(11) Designadamente, cf. a entrevista, de janeiro de 2014, do General Michael Hayden, Director da NSA em 11 de setembro, ao site Frontline: https://www.pbs.org/wbgh/pages/frontline/government-elections-politics/united-states-of-secrets/the-frontline-interview-michael-hayden.

Remetemos aqui para o que se refere, a propósito da chamada Verizon Order do FISA Court, na nota 43 do voto do primeiro subscritor da presente declaração no Acórdão n.º 464/2019.

(12) "[S]egundo a qual, sem prejuízo das disposições adotadas em aplicação das Diretivas 95/46 e 2002/58, deveriam ser respeitados certos princípios de proteção e de segurança dos dados pelos fornecedores de serviços de comunicações eletrónicas publicamente disponíveis ou de redes públicas de comunicações, princípios de acordo com os quais os Estados-Membros devem assegurar a adoção de medidas técnicas e organizacionais adequadas contra a destruição acidental ou ilícita, a perda ou a alteração acidental dos dados".

(13) Cf. Marcus Klamert, anotação D ao artigo 16.º do TFUE, in Manuel Kellerbauer, Marcus Klamert, Jonathan Tomkin (eds.), The EU Treaties and The Charter of Fundamental Rights, A Commentary, Oxford University Press, Oxford, 2019, pp. 409/410.

(14) "A Diretiva 2016/680 estabelece mínimos de harmonização, permitindo aos Estados membros a adoção de padrões mais elevados (artigo 1(2) da Diretiva [...]. Os Estados membros são instados a estabelecer limites de tempo para o apagamento de dados pessoais ou para uma revisão periódica da necessidade de permanência do armazenamento destes. E são também instados a estabelecer tratamentos diferenciados, e outras partes no processo, como entre os dados pessoais de suspeitos do cometimento de crimes, de condenados, de vítimas ou de possíveis vítimas e terceiros envolvidos, como sucede com testemunhas" (Marcus Klamert, anotação indicada na nota 10, supra, pp. 409/410; cf. artigos 5.º e 6.º da Diretiva 2016/680).

J. A. Teles Pereira. Maria José Rangel de Mesquita.