Acórdão do Tribunal Constitucional n.º 268/2022 — Declara a inconstitucionalidade, com força obrigatória geral, da norma constante do artigo 4.º da Lei n.º 32/2008, de…

O legislador previu um dever de conservação com a mesma segurança e proteção que os dados na rede [alínea b) do n.º 1 do artigo 7.º da Lei n.º 32/2008, de 17 de julho] e disciplinou que a sua transmissão eletrónica às autoridades ocorresse «nos termos das condições técnicas e de segurança fixadas em portaria conjunta dos membros do Governo responsáveis pelas áreas da administração interna, da justiça e das comunicações, que devem observar um grau de codificação e proteção o mais elevado possível, de acordo com o estado da técnica ao momento da transmissão, incluindo métodos de codificação, encriptação ou outros adequados» (n.º 3 do artigo 7.º), subordinando o controlo dessas regras à Comissão Nacional de Proteção de Dados [CNPD], nos termos do n.º 5 do artigo 7.º Em conformidade, a Portaria n.º 469/2009, de 6 de maio, alterada pelas Portarias n.os 915/2009, de 18 de agosto, e 694/2010, de 16 de agosto, estabeleceu medidas relativas às condições técnicas e de segurança dos dados conservados. O ato regulamentar incide essencialmente sobre a segurança da transmissão dos dados às autoridades públicas, instituindo uma aplicação informática específica e prevendo regras para todo o procedimento de transmissão. Não versa, porém, sobre os requisitos de segurança da conservação de dados pelos operadores - aludindo-se apenas à obrigação de os sujeitar «à mesma segurança e proteção que os dados na rede» [alínea b) do n.º 1 do artigo 7.º da Lei n.º 32/2008, de 17 de julho].

Por outro lado, as disposições relativas à conservação de dados (essencialmente contidas no artigo 7.º da Lei n.º 32/2008, de 17 de julho) não impõem que o seu armazenamento ocorra em Portugal (ou em outro Estado-Membro da União Europeia).

Os dados referidos no artigo 4.º não abrangem o conteúdo das comunicações, dizendo respeito somente às suas circunstâncias - razão pela qual são usualmente designados por metadados (ou dados sobre dados) - cf. Acórdãos n.os 403/2015 e 420/2017:

«Numa concreta comunicação é possível separar do núcleo duro da informação fornecida ou transmitida um conjunto de marcos ou pontos de referência que lhe dão o respetivo suporte e que permitem circunscrever a informação sob todas as formas. Tais dados são 'informações' que acrescem aos dados e que têm como objetivo informar sobre eles, em princípio, para tornar mais fácil a sua organização. Sendo dados sobre dados ('informação sobre informação'), acabam por fornecer informação sobre a localização, tempo, tipo de conteúdo, origem e destino, entre outras, dos atos comunicacionais efetuados através de telecomunicações ou por outros meios de comunicação.

Como categoria que tem por fim um efeito jurídico é de usar a designação 'dados de tráfego' (...) porque no nosso ordenamento jurídico já há uma definição legal desse enunciado. Com efeito, o artigo 2.º, n.º 1, alínea d), da Lei n.º 41/2004, de 18 de agosto, sobre Segurança nas Telecomunicações, define 'dados de tráfego' como 'quaisquer dados tratados para efeitos do envio de uma comunicação através de uma rede de comunicações eletrónicas ou para efeitos da faturação da mesma'.

A este propósito, o Tribunal Constitucional acolheu, desde o Acórdão n.º 241/2002, de 29/05/2002, uma classificação tripartida (louvando-se, então, nos Pareceres do Conselho Consultivo da Procuradoria-Geral da República n.º 16/94, votado em 24/06/94, na base de dados da DGSI, n.º 16/94 - complementar, votado em 2/05/1996, in Pareceres, vol. VI, págs. 535 a 573, e n.º 21/2000, de 16/06/2000, no Diário da República - 2.ª série, de 28/08/2000) dos dados resultantes do serviço de telecomunicações. Ali se distinguiram: '(...) os dados relativos à conexão à rede, ditos dados de base; os dados funcionais necessários ao estabelecimento de uma ligação ou comunicação e os dados gerados pela utilização da rede (por exemplo, localização do utilizador, localização do destinatário, duração da utilização, data e hora, frequência), dados de tráfego; dados relativos ao conteúdo da comunicação ou da mensagem, dados de conteúdo'».

O conjunto de metadados elencado no artigo 4.º abrange dados de diferente natureza, categorizados na jurisprudência constitucional como dados de base e dados de tráfego. A distinção é relevante, pois a tutela constitucional não é modelada nos mesmos termos para as duas espécies.

Os dados de base referem-se à conexão à rede, independentemente de qualquer comunicação, permitindo a identificação do utilizador de certo equipamento - nome, morada, número de telefone (Acórdãos n.os 241/2002, 486/2009, 403/2015, 420/2017 e 464/2019); como se disse no Acórdão n.º 486/2009, reproduzindo os Pareceres n.os 16/94 e 21/2000 do Conselho Consultivo da PGR, «Os dados de base constituem, na perspetiva dos utilizadores, os elementos necessários ao acesso à rede, designadamente através da ligação individual e para utilização própria do respetivo serviço: interessa aqui essencialmente o número e os dados através dos quais o utilizador tem acesso ao serviço». Já os dados de tráfego são definidos como «os dados funcionais necessários ao estabelecimento de uma ligação ou comunicação e os dados gerados pela utilização da rede (por exemplo, localização do utilizador, localização do destinatário, duração da utilização, data e hora, frequência)» (Acórdão n.º 403/2015); «Constituem, pois, elementos já inerentes à própria comunicação, na medida em que permitem identificar, em tempo real ou a posteriori, os utilizadores, o relacionamento direto entre uns e outros através da rede, a localização, a frequência, a data, hora e a duração da comunicação, devem participar das garantias a que está submetida a utilização do serviço, especialmente tudo quanto respeite ao sigilo das comunicações» (Acórdão n.º 486/2009, reproduzindo os Pareceres n.os 16/94 e 21/2000 do Conselho Consultivo da PGR)

A norma abrange ambas as categorias de metadados: ao determinar a conservação de dados relativos a «nome do assinante ou do utilizador registado», «códigos de identificação atribuídos ao utilizador», «O código de identificação do utilizador e o número de telefone atribuídos a qualquer comunicação que entre na rede telefónica pública» e «nome e o endereço do assinante ou do utilizador registado, a quem o endereço do protocolo IP estava atribuído», alcançam-se os designados dados de base, que não pressupõem qualquer comunicação (abrangendo até uma fase prévia à comunicação), visando a identificação do utilizador do aparelho que se conexiona à rede. Por outro lado, ao estabelecer a conservação de dados gerados a propósito de uma certa comunicação (dados relativos à data, hora e duração de comunicações, protocolos IP estáticos e dinâmicos, hora e data de início [log in] e fim [log off] de ligação à internet), compreendem -se os dados de tráfego, aqueles que são produzidos pelo estabelecimento de uma certa comunicação ou sua tentativa.

Importa traçar dois sublinhados no que respeita à subsunção dos dados mencionados no artigo 4.º da Lei n.º 32/2008 na categorização seguida pelo Tribunal Constitucional (dados de base e dados de tráfego).

A primeira nota refere-se aos endereços de protocolo IP. Estes são habitualmente inseridos na categoria de dados de base, por não revelarem quaisquer circunstâncias da comunicação - mas apenas a identificação do computador que se conectou à rede. Todavia, se se contrapuser a identificação de um utilizador de um número de telefone com a do protocolo IP, subjazem diferenças importantes, que o Tribunal Constitucional Federal Alemão assinalou no Acórdão do 1. Senat, de 2 março de 2010 - 1 BvR 256/08; 1 BvR 263/08; 1 BvR 586/08, §259: os números de telefone são, em princípio, caracteres permanentes, pelo que a identificação do sujeito a que pertencem pode ser obtida independentemente de qualquer comunicação. Pelo contrário, os protocolos IP podem ser estáticos (identificando permanentemente um ponto de acesso à rede) ou dinâmicos (sendo atribuídos a certo computador apenas no momento em que se conexiona à rede e durante a sua ligação). Quer isto dizer que a identificação de um protocolo IP dinâmico envolve informação da sua utilização num determinado momento, revelando não apenas o utilizador como também o uso da Internet em certo contexto.

Neste quadro, a identificação do sujeito a que estava atribuído determinado protocolo IP dinâmico não permite, de forma tão clara, obedecer à divisão entre dados de base e dados de tráfego, pois certas circunstâncias da comunicação (a data e a hora) são inerentes à identificação do protocolo de IP dinâmico. Foi essa a razão pela qual o Tribunal Constitucional Federal Alemão, no Acórdão de 17 de julho de 2020 (1 BvR 1873/13 - 1 BvR 2618/13), entendeu que a identificação do titular de um protocolo IP dinâmico, ao pressupor uma consulta do tráfego para identificar o utilizador em dado momento, se enquadra nos dados de tráfego, eventualmente submetidos no âmbito do direito à inviolabilidade das comunicações (§§ 101 e 102 do Acórdão).

A segunda nota liga-se à natureza dos designados "dados de localização", definidos pela alínea c) do artigo 2.º da Diretiva 2002/58/CE como «quaisquer dados tratados numa rede de comunicações eletrónicas que indiquem a posição geográfica do equipamento terminal de um utilizador de um serviço de comunicações eletrónicas publicamente disponível». Reconduzindo aquele conceito às categorias de metadados reconhecidas pelo Tribunal Constitucional, a informação relativa à localização do equipamento pode enquadrar-se nos dados de base (quando identifica a posição geográfica do aparelho, independentemente de qualquer comunicação) ou nos dados de tráfego (quando esta identificação está associada a uma comunicação ou tentativa de comunicação - onde estava o sujeito A quando comunicou com o sujeito B). Sucede que a primeira espécie dos dados de localização (a que não pressupõe comunicações) é residual, como notou o Tribunal Constitucional no Acórdão n.º 464/2019: «segundo o parecer da CNPD n.º 38/2017, nos dias de hoje ocorrem comunicações mesmo quando o utilizador do equipamento de comunicação não o aciona direta e intencionalmente. É, por exemplo, o caso das atualizações efetuadas pelas aplicações de correio eletrónico ou outro tipo de mensagens, o que significa que a geração e troca de dados são praticamente constantes, mesmo quando os cidadãos utilizadores dos equipamentos nada fazem». Por essa razão, «tem-se considerado que os mesmos estão também incluídos no conceito mais amplo de "dados de tráfego"» (Acórdão n.º 403/2015), ideia que aqui se reafirma.

6.2 - No que respeita ao acesso aos dados pelas autoridades competentes para investigação, deteção e repressão criminal, exige-se a autorização do juiz de instrução, requerida pelo Ministério Público ou pela autoridade de polícia criminal competente, ficando subordinada à existência de «razões para crer que a obtenção desses dados é indispensável para a descoberta da verdade ou que a prova seria, de outra forma, impossível ou muito difícil de obter no âmbito da investigação, deteção e repressão de crimes graves» (n.os 1 e 2 do artigo 9.º da Lei n.º 32/2008, de 17 de julho).

Por outro lado, estabelece-se um catálogo taxativo de crimes cuja investigação ou repressão pode consentir o acesso: os «crimes graves» - «crimes de terrorismo, criminalidade violenta, criminalidade altamente organizada, sequestro, rapto e tomada de reféns, crimes contra a identidade cultural e integridade pessoal, contra a segurança do Estado, falsificação de moeda ou títulos equiparados a moeda e crimes abrangidos por convenção sobre segurança da navegação aérea ou marítima» [alínea g) do n.º 1 do artigo 2.º], sendo certo que os conceitos de «criminalidade violenta» e de «criminalidade altamente organizada» são densificados no artigo 1.º do Código de Processo Penal (CPP). Trata-se, assim, de um leque de infrações mais restrito do que aquele que admite a interceção e gravação de conversações ou comunicações telefónicas, determinada pelo juiz num processo penal em curso (cf. artigo 187.º do Código de Processo Penal). Ademais, circunscreve-se o universo subjetivo de potenciais visados ao suspeito ou arguido, à pessoa que sirva de intermediário (relativamente à qual haja fundadas razões para crer que recebe ou transmite mensagens destinadas ou provenientes de suspeito ou arguido) ou à vítima de crime, mediante o respetivo consentimento (n.º 3 do artigo 9.º).

O legislador incidiu ainda sobre as condições da transmissão dos dados às autoridades de investigação criminal, não apenas determinando a sua comunicação eletrónica (artigo 10.º) como estabelecendo a observância de condições técnicas e de segurança determinadas por ato regulamentar. Ora, na Portaria n.º 469/2009, de 6 de maio, alterada pelas Portarias n.os 915/2009, de 18 de agosto, e 694/2010, de 16 de agosto, previu-se (artigo 2.º) uma aplicação informática específica ("sistema de acesso ou pedido de dados às operadoras de comunicações" [SAPDOC]) através da qual «o processo de transmissão e acesso aos dados decorre, através de ligação segura, encriptada mediante nome de utilizador e palavra passe, através de obrigação de registo eletrónico dos pedidos de dados enviados, incluindo a indicação de quem procedeu ao envio e da data e hora em que o mesmo ocorreu, bem como dos acessos a ficheiros de resposta, igualmente com indicação de quem os efetuou e da data e hora de cada acesso» (DAVID SILVA RAMALHO e JOSÉ DUARTE COIMBRA, "A declaração de invalidade da Diretiva 2006/24/CE: presente e futuro da regulação sobre conservação de dados de tráfego para fins de investigação, deteção e repressão de crimes graves", O Direito, Ano 147, 2015, p. 1037). Ademais, cabe aos operadores de telecomunicações «elaborar registos da extração dos dados transmitidos às autoridades competentes e enviá-los trimestralmente à CNPD» (n.º 6 do artigo 9.º), comunicando assim à entidade responsável pela fiscalização quais os dados transmitidos às autoridades de investigação criminal.

Depois da transmissão dos dados, o legislador disciplinou a sua destruição, prevendo a sua determinação pelo juiz, oficiosamente ou a requerimento de qualquer interessado, logo que deixem de ser estritamente necessários para os fins a que se destinam - o que sucederá nos casos de arquivamento definitivo do processo penal; absolvição ou condenação transitadas em julgado; prescrição do procedimento penal; e amnistia (artigo 11.º).

Em suma, as normas fiscalizadas consagram um catálogo taxativo de infrações penais que podem dar lugar à transmissão de dados, condicionando-a ainda aos casos em que esta seja indispensável para a descoberta da verdade ou quando a prova seria, de outra forma, impossível ou muito difícil. O que significa que se circunscreveu decisivamente essa transmissão ao processo penal e apenas para investigação, deteção e investigação de certos crimes, regulando-se ainda as condições de segurança dessa transmissão e a destruição dos dados comunicados às autoridades públicas. Neste quadro, o legislador nacional combinou uma obrigação generalizada de os operadores de telecomunicações conservarem todos os dados de base, tráfego e localização (sem delimitar as categorias de dados ou os sujeitos afetados) com um regime vinculado quanto ao respetivo acesso pelas autoridades de investigação criminal.

7 - Não restam dúvidas que as normas fiscalizadas se colocam no domínio de aplicação do Direito da União Europeia e, por isso, estão abrangidas pela Carta dos Direitos Fundamentais da União Europeia (CDFUE). Vejamos.

A Carta dos Direitos Fundamentais da União Europeia (CDFUE) constitui um catálogo de direitos fundamentais que vincula, acima de tudo, a própria União Europeia (n.º 1 do artigo 6.º do Tratado da União Europeia [TUE]; n.º 1 do artigo 51.º da CDFUE). Garante, assim, que a convenção do exercício em comum, em cooperação ou pelas instituições da União, de poderes estaduais não implica uma redução da tutela dos cidadãos, porquanto a União Europeia está, ela própria, vinculada por um catálogo de direitos fundamentais redigido à imagem dos textos constitucionais nacionais.

Simplesmente, em virtude do princípio da administração indireta, não é - em regra - a União Europeia a executar e a aplicar os seus próprios atos, cabendo tal missão às autoridades nacionais (cf. artigo 291.º do Tratado sobre o Funcionamento da União Europeia [TFUE]). Por essa razão, a CDFUE vincula também os Estados-Membros quando estes apliquem direito da União Europeia (artigo 51.º CDFUE). Nessas circunstâncias - isto é, quando autoridades nacionais legiferam em aplicação direito da União Europeia - , ficam os Estados-Membros vinculados ao parâmetro europeu de proteção dos direitos fundamentais.

A jurisprudência do Tribunal de Justiça da União Europeia (TJUE) permite identificar três situações que correspondem ao pressuposto de aplicação da Carta aos Estados-Membros «quando apliquem o direito da União» (artigo 51.º CDFUE): a atuação dos Estados como agentes da União, efetivando as suas normas - designadamente, transpondo diretivas (i); a ação dos Estados em domínios em que as regras comunitárias conferem às autoridades nacionais margem de apreciação, v. g. admitindo derrogações às normas de fonte europeia (ii); atividade legiferante nacional em domínios que são já objeto de regulação comunitária (iii).

Nessa medida, as normas cuja declaração de inconstitucionalidade é pedida estão indiscutivelmente no âmbito de aplicação do direito da União Europeia e, assim, da CDFUE.

Desde logo, tais regras foram emanadas em transposição da Diretiva 2006/24/CE, do Parlamento Europeu e do Conselho, de 15 de março de 2006, relativa à conservação de dados gerados ou tratados no contexto da oferta de serviços de comunicações eletrónicas publicamente disponíveis ou de redes públicas de comunicações, ato jurídico que procurava uniformizar as medidas nacionais de conservação de dados sobre as comunicações e sua transmissão às autoridades com competências criminais - adotadas no uso da faculdade conferida pelo artigo 15.º da Diretiva 2002/58/CE.

Em segundo lugar, a Diretiva 2002/58/CE, do Parlamento Europeu e do Conselho, de 12 de julho de 2002, que disciplina o direito à privacidade no setor das telecomunicações, regula as condições em que podem os Estados-Membros adotar medidas de intrusão nos dados cuja confidencialidade é prescrita: quando «constituam uma medida necessária, adequada e proporcionada numa sociedade democrática para salvaguardar a segurança nacional (ou seja, a segurança do Estado), a defesa, a segurança pública, e a prevenção, a investigação, a deteção e a repressão de infrações penais ou a utilização não autorizada do sistema de comunicações eletrónicas» (artigo 15.º da Diretiva 2002/58/CE). Deste modo, concluiu o Tribunal de Justiça que as medidas nacionais de conservação de metadados relativos a comunicações eletrónicas se encontram sob o âmbito de aplicação do direito da União Europeia (Acórdão de 21 de dezembro de 2016, Tele 2, proc. C-203/15 e C-698/15, n.º 78), bem como as medidas de transmissão desses dados às autoridades públicas, para fins de investigação e repressão da criminalidade (Acórdão de 6 de outubro de 2020, La quadrature du net, procs. C-511/18, C-512/18 e C-520/18, n.º 58).

No fundo, tendo o TJUE declarado a invalidade da Diretiva 2006/24/CE (Acórdão de 8 de abril de 2014, Digital Rights Ireland, proc. C-293/12 e C-594/12) - que harmonizava as medidas de conservação de dados relativos a comunicações e sua transmissão às autoridades com competência criminal -, nem por isso se excluíram tais medidas do âmbito de aplicação do direito europeu. Simplesmente, não mais os Estados-Membros se encontram obrigados a adotar as providências que aquela impunha; embora as medidas nacionais que permitam ou visem uma intromissão nas comunicações eletrónicas fiquem sujeitas às obrigações decorrentes do disposto no artigo 15.º da Diretiva 2002/58/CE, só sendo conformes ao direito europeu quando «constituam uma medida necessária, adequada e proporcionada numa sociedade democrática para salvaguardar a segurança nacional (ou seja, a segurança do Estado), a defesa, a segurança pública, e a prevenção, a investigação, a deteção e a repressão de infrações penais ou a utilização não autorizada do sistema de comunicações eletrónicas"» (artigo 15.º da Diretiva 2002/58/CE). Tais normas traduzem «justamente uma concretização da exceção facultativa ao regime-regra da privacidade em matéria de comunicações eletrónicas admitida no artigo 15.º, n.º 1, da Diretiva n.º 2002/58», razão pela qual «nenhuma dúvida existe de que também as medidas nacionais que concedam o acesso aos dados previamente conservados se enquadram no âmbito de aplicação daquele preceito» (Acórdão do Tribunal Constitucional n.º 464/2019).

Neste quadro, as medidas adotadas pelos Estados-Membros que estabeleçam tais intromissões - sejam elas adotadas em transposição da Diretiva 2006/24/CE, entretanto declarada inválida; ou, ao invés, ao abrigo das exceções à inviolabilidade das comunicações eletrónicas permitidas pelo artigo 15.º da Diretiva 2002/58/CE - situam-se no âmbito de aplicação do direito europeu. O que implica a conclusão de que o Estado está vinculado à norma do artigo 15.º da Diretiva 2002/58/CE e, igualmente, à CDFUE (cf. n.º 1 do artigo 51.º da CDFUE).

8 - Encontrando-se as normas fiscalizadas no âmbito de aplicação do direito da União Europeia, importa determinar a relevância desta ordem jurídica para o pedido de declaração de inconstitucionalidade dirigido a este Tribunal. Desde logo, importa saber de que modo é que a eventual incompatibilidade das normas fiscalizadas com a CDFUE ou com o artigo 15.º da Diretiva 2002/58/CE influi na apreciação da sua conformidade constitucional.

A Constituição determina expressamente que a aplicação do direito da União Europeia na ordem jurídica interna é feita «nos termos definidos pelo Direito da União» (cf. n.º 4 do artigo 8.º da Constituição). Em consequência, sob ressalva da parte final daquela disposição, é o direito da União Europeia que determina o seu modo de relacionamento com a ordem jurídica nacional - incluindo o direito constitucional.

8.1 - Neste quadro, pode perguntar-se se a eventual inconciliabilidade das normas fiscalizadas com regras europeias vinculativas (em concreto, os direitos consagrados nos artigos 7.º e 8.º da CDFUE; e as obrigações impostas ao Estado por força do artigo 15.º da Diretiva 2002/58/CE) gera, nos termos definidos pelo Direito da União, a invalidade das normas em crise. Cabendo a este Tribunal declarar a sua invalidade com fundamento na transgressão de regras e princípios de direito da União Europeia.

Assim não é. Conservando o direito da União Europeia autonomia face à ordem jurídica interna, a ordem jurídica nacional não é afetada, ao nível da validade, pelas normas europeias; nem a ordem jurídica europeia é, em princípio, afetada ao nível da sua validade - mesmo quando as suas normas são aplicadas ao nível interno - por contradizer as Constituições nacionais. O princípio da autonomia do direito da União Europeia concretiza-se na existência, ao nível europeu, de mecanismos próprios de interpretação, controlo e aplicação, repercutidos no sistema jurisdicional de apreciação da validade das suas normas.

Aliás, foi este princípio da autonomia do direito da União Europeia que o Tribunal Constitucional expressamente afirmou no Acórdão n.º 422/2020, ao determinar que não lhe cabe (sob ressalva da parte final do n.º 4 do artigo 8.º) aferir da conformidade constitucional de normas organicamente europeias. Como aí se concluiu, «Uma outra perspetiva menos exigente banalizaria a intervenção do Tribunal Constitucional, num quadro onde a mesma foi constitucionalmente configurada muito restritivamente, e - consequência não menos constitucionalmente indesejada - , em aberto desafio à aceitação da projeção do DUE na ordem interna nos termos pelo próprio definidos, criaria um mecanismo interno, de fácil ativação, onde a constante discussão deste, à margem e em aberto desafio aos seus próprios termos, originaria um sistema nacional espúrio, sem qualquer respaldo no quadro constitucional de interação entre as ordens jurídicas nacional e europeia». Por força do princípio da autonomia, só o Tribunal de Justiça é competente para apreciar a invalidade do direito europeu, por referência aos seus próprios parâmetros (cf. Acórdão do TJUE de 22 de outubro de 1987, Foto-Frost, proc. 314/85, n.º 15). Simetricamente, o direito interno, ainda que adotado em cumprimento de normas europeias, vê a sua validade apreciada apenas pelos tribunais nacionais, não tendo o Tribunal de Justiça poderes de cognição sobre atos de direito nacional (cf. artigo 263.º do TFUE). Assim, porque as normas fiscalizadas são organicamente nacionais - adotadas pela Assembleia da República - dúvidas não restam de que há plena jurisdição do Tribunal Constitucional para as apreciar.

Ora, uma das vertentes do princípio da autonomia é justamente a circunstância de, nas relações entre o direito europeu e o direito nacional, se ter renunciado «ao paradigma da pirâmide», pelo que o conflito normativo não provoca a nulidade ou revogação das normas nacionais, antes «apontando para o paradigma da rede, onde nenhum ponto é privilegiado em relação a outro, e nenhum está inequivocamente subordinado a outro» (NUNO PIÇARRA, "A justiça constitucional da União Europeia", Estudos jurídicos e económicos em homenagem ao Prof. Doutor António de Sousa Franco, vol. III, 2006, p. 479). Deste modo, a antinomia entre normas nacionais e europeias simultaneamente aplicáveis a dado caso concreto é solucionada ao nível da eficácia: são desaplicadas no caso concreto as regras nacionais que contradigam normas europeias simultaneamente mobilizáveis, sem que aquelas percam a sua validade. É este o sentido do princípio do primado ou da prevalência na aplicação do direito da União Europeia, que configura, assim, uma «uma regra de colisão reconduzível à aplicação preferente do direito europeu (pre-emption, Vorrangsanwendung) e não como uma estrita regra de supremacia normativa eventualmente conducente à invalidade do direito interno» (GOMES CANOTILHO e VITAL MOREIRA, Constituição da República Portuguesa Anotada, vol. I, 4.ª Edição, 2007, p. 266).

É por isso que, na terminologia do Tribunal Constitucional Espanhol, o direito da União Europeia goza de primazia mas não de supremacia: trata-se de preferência aplicativa e não de qualquer causa de invalidade ou inexistência de direito nacional (cf. Tribunal Constitucional Espanhol na Declaração n.º 1/2004, de 13 de dezembro de 2004):

"La proclamación de la primacía del Derecho de la Unión por el art. I-6 del Tratado no contradice la supremacía de la Constitución. Primacía y supremacía son categorías que se desenvuelven en órdenes diferenciados. Aquélla, en el de la aplicación de normas válidas; ésta, en el de los procedimientos de normación. La supremacía se sustenta en el carácter jerárquico superior de una norma y, por ello, es fuente de validez de las que le están infraordenadas, con la consecuencia, pues, de la invalidez de éstas si contravienen lo dispuesto imperativamente en aquélla. La primacía, en cambio, no se sustenta necesariamente en la jerarquía, sino en la distinción entre ámbitos de aplicación de diferentes normas, en principio válidas, de las cuales, sin embargo, una o unas de ellas tienen capacidad de desplazar a otras en virtud de su aplicación preferente o prevalente debida a diferentes razones. Toda supremacía implica, en principio, primacía (de ahí su utilización en ocasiones equivalente, así en nuestra Declaración 1/1992, FJ 1), salvo que la misma norma suprema haya previsto, en algún ámbito, su propio desplazamiento o inaplicación. La supremacía de la Constitución es, pues, compatible con regímenes de aplicación que otorguen preferencia aplicativa a normas de otro Ordenamiento diferente del nacional siempre que la propia Constitución lo haya así dispuesto, que es lo que ocurre exactamente con la previsión contenida en su art. 93, mediante el cual es posible la cesión de competencias derivadas de la Constitución a favor de una institución internacional así habilitada constitucionalmente para la disposición normativa de materias hasta entonces reservadas a los poderes internos constituidos y para su aplicación a éstos".

Neste quadro, se «nos termos definidos pelo direito da União Europeia» (n.º 4 do artigo 8.º da Constituição) a antinomia entre normas nacionais e europeias não provoca a invalidade das primeiras (determinando-se, ao invés, a sua desaplicação ao caso), o direito da União Europeia terá necessariamente um efeito distinto para o Tribunal Constitucional, a quem compete atestar a conformidade de normas com a Constituição.

Os tribunais ordinários, perante normas nacionais e europeias simultaneamente mobilizáveis que se revelem incompatíveis, fazem atuar o princípio do primado do direito da União Europeia, desaplicando a norma nacional no caso concreto (salvo se tal puser em causa os princípios fundamentais do Estado de Direito Democrático, nos termos do n.º 4 do artigo 8.º da Constituição). É neste sentido que se diz que o destinatário do princípio do primado é o juiz nacional, porquanto é a ele que cabe a desaplicação da norma nacional em favor da regra europeia. Sendo certo que a desaplicação da norma nacional como efeito do princípio do primado é proclamada pelo Tribunal de Justiça desde os arestos que desvelaram aquele cânone (cf. Acórdão de 15.07.1964, Costa c. ENEL, proc. 6/64; Acórdão do TJ de 9.3.1978, Simmenthal, proc. 106/77, n.º 17) e se mantém em jurisprudência constante (Acórdão de 5.10.2010, Elchinov, proc. C-173/09, n.º 31: «o juiz nacional encarregado de aplicar, no âmbito da sua competência, as disposições do direito da União tem a obrigação de garantir a plena eficácia dessas disposições, não aplicando, se necessário e pela sua própria autoridade, qualquer disposição contrária da legislação nacional»; Acórdão de 19.11.2009, Krzysztof Filipiak, proc. C-314-08, n.º 83 - «o Tribunal de Justiça já declarou que a incompatibilidade com o direito comunitário de uma norma de direito nacional posterior não acarreta a inexistência dessa norma. Face a tal situação, o órgão jurisdicional nacional é obrigado a não aplicar essa norma», gerando um «efeito de exclusão exercido por uma norma de direito da União diretamente aplicável em face do direito nacional a ela contrário» - Acórdão de 8.09.2010, Winner Wetten GmbH, proc. C-409/06, n.º 67).

No fundo, tendo o direito europeu chamado a si o problema do seu relacionamento com as ordens jurídicas nacionais - o que a Constituição recebe no n.º 4 do artigo 8.º - o princípio do primado do direito da União Europeia atua no domínio por si próprio delimitado: a incompatibilidade de normas europeias e nacionais simultaneamente mobilizáveis ao caso concreto. Pelo que a competência para desaplicar, nos casos concertos, normas nacionais contrárias a regras europeias pertence aos tribunais ordinários, estabelecendo-se uma relação direta entre aqueles e o Tribunal de Justiça em sede de reenvio prejudicial.

Em consequência, a eventual contrariedade das normas ora em crise com regras de direito da União Europeia que possam ser invocáveis no plano interno terá como resposta do sistema judicial nacional a desaplicação das normas internas - sem que estas sejam expurgadas do ordenamento jurídico ou que se gere, por esse efeito, a sua invalidade. Foi justamente o que decidiu a Comissão Nacional de Proteção de Dados (CNPD): considerando, na sua deliberação n.º 641/2017, de 9 de maio de 2017, que o regime contido na Lei n.º 32/2008 contraria o Direito da União Europeia - por transgressão desproporcionada dos artigos 7.º e 8.º da CDFUE -, deliberou desaplicar a Lei n.º 32/2008, com fundamento no primado do direito da União Europeia (Deliberação n.º 1008/2017, de 18 de julho de 2017).

Não é esse o problema que se põe ao Tribunal Constitucional nos presentes autos. O Tribunal Constitucional é chamado a apreciar a validade de normas jurídicas nacionais e não a resolver um problema aplicativo ao caso concreto de normas conflituantes de ordens jurídicas autónomas; nem é chamado, como sucedeu no caso que deu origem ao Acórdão n.º 422/2020, a pronunciar-se sobre a conformidade constitucional de normas organicamente europeias. Nessa medida, o papel do direito da União Europeia nos presentes autos será necessariamente outro, sendo certo que é à ordem jurídica comunitária que cabe definir a sua missão, nos termos reconhecidos pelo n.º 4 do artigo 8.º da Constituição.

É por estas razões que o Tribunal Constitucional desde cedo excluiu a possibilidade de incluir as normas de direito europeu nos parâmetros de inconstitucionalidade. Esclareceu-se não só que «é de rejeitar a "qualificação da incompatibilidade do direito interno com o direito comunitário como uma situação de 'inconstitucionalidade' que ao Tribunal Constitucional caiba apreciar"» (Acórdão n.os 621/98) como que «a ordem jurídica comunitária, globalmente recebida pelo direito português, por via de uma cláusula do próprio texto constitucional - n.º 2 do artigo 8.º - compreende uma instância jurisdicional precipuamente vocacionada para a tutela de direito comunitário, que não funciona apenas no plano das relações interestaduais ou intergovernamentais, concentrando nessa instância a competência para velar pela aplicação uniforme e pela prevalência das respectivas normas, o que tornaria incongruente que, para o mesmo efeito, se fizesse intervir, no plano interno, uma outra instância do mesmo ou semelhante tipo, como seria o Tribunal Constitucional» (Acórdão n.º 93/2001).

Percebe-se que assim seja. Tal solução é a única que assegura a uniformidade de aplicação da ordem jurídica europeia e que conduz à harmonização da competência do Tribunal Constitucional com a do Tribunal de Justiça, salvaguardando a autonomia do direito da União Europeia e a primazia na aplicação ao caso concreto (com eventual intervenção do TJUE em sede de reenvio prejudicial) sem que se impute a tal circunstância uma transgressão da Constituição. Na verdade, não só a própria natureza do princípio do primado se dirige a dirimir conflitos aplicativos ao nível da eficácia - como o Tribunal de Justiça repetidamente tem afirmado - como a recondução de uma contrariedade a normas europeias a uma questão de constitucionalidade poria em causa a uniformidade de aplicação do direito europeu, já que a desaplicação das normas nacionais contrárias a regras europeias ficaria dependente do sistema de controlo de constitucionalidade vigente nesse Estado-Membro.

Deste modo, a incompatibilidade de certa norma nacional com o direito da União Europeia não implica, de forma automática, um juízo de inconstitucionalidade; provoca, ao invés, uma afetação da sua eficácia no plano interno, na medida em que contradiga regras europeias simultaneamente mobilizáveis. E, nos termos como o direito da União Europeia o define, este efeito dá-se independentemente da fonte das normas conflituantes: quer a norma europeia conste de direito originário (como a CDFUE, nos termos do artigo 6.º do TUE) ou derivado (como uma diretiva ou um Regulamento); quer a norma nacional conste de ato regulamentar, de ato legislativo ou mesmo da Constituição.

Pelo que a demonstração da contradição das normas em crise com o direito da União Europeia não permite inferir uma conclusão pela respetiva inconstitucionalidade. O juízo de inconstitucionalidade - e, assim, da invalidade da norma nacional - depende da desconformidade das normas fiscalizadas com o seu parâmetro hierarquicamente superior - maxime, a Constituição.

8.2 - Importa, pois, dilucidar a relevância do direito europeu para o pedido formulado - cabendo ao próprio direito da União Europeia estabelecê-lo, como determina o n.º 4 do artigo 8.º da Constituição. Ora, o direito da União Europeia, em decorrência do princípio da cooperação leal (cf. n.º 3 do artigo 4.º do TUE), consagra uma imposição aos Estados-Membros de garantir o efeito útil das normas europeias; e é de entre as suas várias refrações que se encontra o princípio da interpretação conforme ao Direito da União Europeia.

O princípio da interpretação conforme - nascido na década de 70 do século xx a propósito da obrigação de os tribunais nacionais alcançarem, através da interpretação do direito nacional, o efeito útil de diretivas insuscetíveis de produzir efeito direto (cf., entre muitos outros, Acórdãos do TJUE Mazzalai, de 20.05.1976, proc. 111/75, e Von Colson, de 10.04.1984, proc. 14/83; Marleasing, de 13.11.1990, proc. 106/89) - foi sendo reconduzido a um cânone geral de interpretação do direito nacional (de todo o direito nacional) de modo a atingir a plena eficácia do direito da União Europeia. Determina tal princípio que os tribunais nacionais, ao aplicar o direito interno, são obrigados a interpretá-lo, na medida do possível, à luz do direito europeu: «Esta obrigação de interpretação conforme do direito nacional é inerente ao sistema do Tratado FUE, na medida em que permite aos órgãos jurisdicionais nacionais assegurar, no âmbito das suas competências, a plena eficácia do direito da União quando decidem dos litígios que lhes são submetidos» (Acórdão do TJUE de 24.01.2012, Maribel Dominguez, proc. C-282/10).

Assim, os tribunais dos Estados-Membros, na fixação do sentido das normas de direito nacional, estão vinculados ao efeito útil do direito europeu e devem, dentro da margem permitida pelas regras interpretativas internas, escolher a exegese que melhor se acomode às normas europeias. No fundo, no seio da obrigação de as autoridades nacionais tomarem as medidas que garantam a efetividade do direito da União, «uma dessas medidas consiste precisamente na obrigação de os tribunais, e as restantes autoridades nacionais, interpretarem a lei nacional em conformidade com o direito da União» (cf. SOFIA OLIVEIRA PAIS, "Princípio da interpretação conforme", Princípios Fundamentais de Direito da União Europeia, 3.ª Edição, Almedina, 2016, p. 96). Trata-se, pois, de uma garantia de eficácia do direito europeu plenamente recebida pelo disposto no n.º 4 do artigo 8.º da Constituição.

Ora, pedindo-se ao Tribunal Constitucional a fiscalização de normas organicamente nacionais por referência ao seu parâmetro hierárquico de validade, é na interpretação da Constituição que intervém o Direito da União Europeia (incluindo a Carta dos Direitos Fundamentais da União Europeia [CDFUE]). Vejamos.

No quadro da proteção dos direitos fundamentais, verifica-se uma congruência tendencial entre a ordem jurídica europeia e a ordem jurídica nacional. O que se compreende, atendendo à rede de proteção constitucional gerada pela comunicação constante entre as ordens jurídicas nacional e europeia. O ordenamento jus-europeu alimenta-se dos catálogos nacionais, uma vez que o Tratado recebe, «enquanto princípios gerais, os direitos fundamentais tal como os garante a Convenção Europeia para a Proteção dos Direitos do Homem e das Liberdades Fundamentais e tal como resultam das tradições constitucionais comuns aos Estados-Membros» (n.º 3 do artigo 6.º do TUE) e a União Europeia está vinculada, ela própria, à CDFUE, que contém um catálogo de direitos fundamentais redigido à imagem das constituições nacionais. É esta, segundo FREITAS DO AMARAL e NUNO PIÇARRA, a «contrapartida do princípio do primado: a garantia de congruência material entre a ordem jurídica da União Europeia as ordens jurídicas nacionais quanto aos princípios constitucionais fundamentais» ("O Tratado de Lisboa e o princípio do primado do direito da União Europeia: uma «evolução na continuidade»", Revista de Direito Público, n.º 1, 2009). O que decorre, de forma muito clara, da absorção para o acervo comunitário das «tradições constitucionais comuns aos Estados membros» em matéria de direitos fundamentais enquanto padrão de interpretação da própria Carta (n.º 4 do artigo 52.º CDFUE).

Simplesmente, a articulação multinível não ocorre apenas nesta direção. Na verdade, nos termos definidos pelo direito da União Europeia, a interpretação do direito nacional (em qualquer das suas fontes) tem em conta o direito europeu: «Cabe ao tribunal nacional dar à lei interna, em toda a medida em que uma margem de apreciação lhe seja concedida pelo respectivo direito interno, uma interpretação e uma aplicação em conformidade com as exigências do direito comunitário» (Acórdão do TJUE de 4 de fevereiro de 1988, Murphy, proc. 157/86). É o que sucede no domínio de direitos fundamentais que estejam simultaneamente previstos na Constituição e na CDFUE, sobretudo quando nesta última se preveja um nível de proteção mais elevado (cf. artigo 53.º da CDFUE). Operando-se uma ponderação das fontes internacionais de direitos fundamentais no momento da aplicação das normas e princípios constitucionais internos.

Daqui decorre que, quando o Estado atua no domínio de aplicação do direito da União Europeia (n.º 1 do artigo 51.º da CDFUE), o sentido a dar aos direitos fundamentais que parametrizam a validade das normas internas deve privilegiar uma consonância com as normas europeias a que o Estado se encontra vinculado, estabelecendo-se uma relação interativa, mais do que hierárquica. E, caso ocorram conflitos entre os parâmetros, a solução será procurada "by seeking to interpret the Constitution according to Community law" (RUI MOURA RAMOS, "The adaptation of the Portuguese Constitutional Order to Community Law", Boletim da Faculdade de Direito, vol. 76, 2000, p. 8).

Bem se compreende que assim seja. No quadro da rede comunicante de proteção dos direitos fundamentais, a uniformidade de aplicação do direito da União pelos Estados-Membros estaria em causa se os parâmetros fossem díspares, fixando um nível de proteção inferior àquele que é garantido pela CDFUE (Acórdãos do TJUE de 26 de fevereiro de 2013, Melloni, C-399/11, n.º 60 e Âkerberg Fransson, C-617/10, n.º 29). Por esta razão, «A congruência constitucional implica que, no respeito pelos princípios hermenêuticos pertinentes, se procure sempre obter uma interpretação das normas nacionais que seja conforme com o direito da UE» (MIGUEL GORJÃO-HENRIQUES, "Compreensões e pré-compreensões sobre o primado na aplicação do direito da União: breves notas jurídico-constitucionais relativamente ao Tratado de Lisboa", Estudos em Homenagem ao Prof. Doutor José Joaquim Gomes Canotilho, vol. III, 2012, p. 369).

A atuação do princípio de interpretação conforme alastra às condições de restrição dos direitos fundamentais: o juízo de proporcionalidade na limitação dos direitos fundamentais assegurados pela CDFUE não se desliga daquele que é operado pelo Tribunal de Justiça. No fundo, ainda que o parâmetro de validade das normas de direito interno seja encontrado na Constituição, a reflexão constitucional deixa de ter como horizonte exclusivo de referência o quadro nacional, pelo que a multiplicidade de fontes de proteção dos direitos fundamentais - associada à diversidade de instâncias jurisdicionais de tutela, inseridas em ordenamentos jurídicos distintos e entre os quais não existe uma relação de hierarquia - implica uma concordância prática entre os parâmetros convocados. Que é assegurada, justamente, pelo cânone da interpretação conforme. Aliás, a articulação do texto constitucional com os parâmetros europeus é exercida pelo próprio legislador constituinte, que vai moldando o conteúdo dos preceitos da Lei Fundamental aos padrões de proteção comunitários - o que é especialmente claro nas sucessivas revisões do artigo 35.º da Constituição, relativo à utilização da informática.

Por estas razões, situando-se as normas fiscalizadas no domínio de aplicação do direito da União Europeia, a interpretação dos parâmetros constitucionais a que as regras em crise se submetem tem em conta o sentido das normas europeias, procurando-se estabelecer a interpretação mais próxima do direito europeu. É, aliás, o que a requerente sustenta nos artigos 42.º a 45.º do pedido, solicitando ao Tribunal Constitucional que interprete os parâmetros da Constituição portuguesa à luz da Carta. E foi justamente o que o Tribunal Constitucional concluiu no Acórdão n.º 464/2019: «por força das normas do artigo 8.º da Constituição que estabelecem a relevância do Direito Internacional e do Direito da União na ordem jurídica interna e, também, da cláusula aberta no domínio dos direitos fundamentais consagrada no artigo 16.º da Constituição, este Tribunal não pode deixar de considerar os direitos fundamentais consagrados na CDFUE e na referida Convenção, devendo igualmente ter em conta, numa perspetiva de diálogo interjurisdicional, a interpretação que dos mesmos tem vindo a ser feita pelas instâncias competentes para a sua aplicação, nomeadamente o Tribunal de Justiça da União Europeia ("TJUE") e o Tribunal Europeu dos Direitos Humanos ("TEDH")».

9 - Definidos os termos de influência do direito da União Europeia para o presente pedido, importa agora determinar o conteúdo das normas comunitárias nesta matéria. Sendo certo que a fixação do respetivo sentido (incluindo as disposições da CDFUE, enquanto integrante do direito da União Europeia nos termos do artigo 6.º do TUE), cabe ao Tribunal de Justiça da União Europeia (artigo 267.º do TFUE), pelo que a respetiva jurisprudência é o ponto axial da densificação dos seus conceitos.

No que respeita à CDFUE, assumem relevância, desde logo, as normas contidas nos artigos 7.º e 8.º da Carta, relativos, respetivamente, ao respeito da vida privada e familiar e à proteção de dados pessoais:

Artigo 7.º — Respeito pela vida privada e familiar

Todas as pessoas têm direito ao respeito pela sua vida privada e familiar, pelo seu domicílio e pelas suas comunicações.

Artigo 8.º — Proteção de dados pessoais

1 - Todas as pessoas têm direito à proteção dos dados de carácter pessoal que lhes digam respeito.

2 - Esses dados devem ser objeto de um tratamento leal, para fins específicos e com o consentimento da pessoa interessada ou com outro fundamento legítimo previsto por lei. Todas as pessoas têm o direito de aceder aos dados coligidos que lhes digam respeito e de obter a respetiva retificação.

3 - O cumprimento destas regras fica sujeito a fiscalização por parte de uma autoridade independente.

De acordo com o Tribunal de Justiça, as medidas de conservação de dados de tráfego e de localização pelos fornecedores de serviços de comunicações eletrónicas são abrangidas por ambas as disposições, na medida em que possam ser ligados à identificação de uma pessoa. Não só porque os direitos estão indissociavelmente ligados (Acórdão de 9 de novembro de 2010, Volker, procs. C-92/09 e C-93/09, n.º 47), como também porque a «conservação dos dados está abrangida pelo âmbito de aplicação do artigo 8.º desta, uma vez que constitui um tratamento de dados pessoais na aceção deste artigo e deve, assim, necessariamente, respeitar as exigências de proteção de dados resultantes deste artigo» - Acórdão Digital Rights Ireland, cit., n.º 29.

Com efeito, o artigo 7.º da CDFUE, relativo ao respeito pela vida privada e familiar, ao domicílio e às comunicações, é decalcado no disposto no artigo 8.º da CEDH, devendo ser interpretado com o mesmo sentido e alcance (n.º 3 do artigo 52.º da CDFUE). O que implica que o regime das suas restrições seja idêntico, como concluiu o Tribunal de Justiça no Acórdão de 15 de novembro de 2011, Dereci, proc. C-256/11, n.º 70: «o artigo 7.º da Carta dos Direitos Fundamentais da União Europeia (a seguir «Carta»), relativo ao direito ao respeito da vida privada e familiar, consagra direitos correspondentes aos que são garantidos pelo artigo 8.º, n.º 1, da CEDH e que se deve, portanto, dar ao artigo 7.º da Carta o mesmo sentido e o mesmo alcance que o sentido e o alcance dados ao artigo 8.º, n.º 1, da CEDH, conforme interpretado pela jurisprudência do Tribunal Europeu dos Direitos do Homem». Neste quadro, mobilizou-se, para densificação do artigo 7.º da CDFUE, o regime do n.º 2 do artigo 8.º da CEDH: «Não pode haver ingerência da autoridade pública no exercício deste direito senão quando esta ingerência estiver prevista na lei e constituir uma providência que, numa sociedade democrática, seja necessária para a segurança nacional, para a segurança pública, para o bem-estar económico do país, a defesa da ordem e a prevenção das infrações penais, a proteção da saúde ou da moral, ou a proteção dos direitos e das liberdades de terceiros». Simplesmente, diferentemente do que sucede na CEDH, a Carta autonomizou o direito à proteção de dados pessoais (no artigo 8.º da CDFUE), sem deixar de reconhecer uma relação indissociável entre ambos (Acórdão Volker, cit., n.º 47).

Com estes parâmetros, o sentido dos direitos fundamentais consagrados na Carta foi densificado pelo Juiz comunitário, quer a propósito da confrontação dos atos adotados pela União Europeia com aqueles parâmetros quer, por outro lado, pela análise da sua conciliabilidade com os regimes nacionais adotados em aplicação do direito da União Europeia. E no seu âmbito de proteção abrangeram-se não apenas os dados de identificação de uma pessoa como aqueles que permitam chegar a essa identificação (como número de telefone, os endereços de correio eletrónico e de IP do computador).

9.1 - Desde logo, tendo o legislador comunitário disciplinado diretamente a matéria da conservação de dados no quadro das comunicações eletrónicas, o TJUE teve oportunidade de se pronunciar sobre a validade daqueles atos europeus, por confrontação direta com a CDFUE.

A Diretiva 2002/58/CE, do Parlamento Europeu e do Conselho, de 12 de julho de 2002, relativa ao tratamento de dados pessoais e à proteção da privacidade no sector das comunicações eletrónicas, positiva um direito à confidencialidade, um direito à anonimização ou eliminação dos dados de tráfego e a proteção dos dados de localização (artigos 5.º, 6.º e 9.º). Todavia, aí se previu a viabilidade e as condições de admissibilidade de os Estados-Membros derrogarem aquele nível de proteção: «Os Estados-Membros podem adotar medidas legislativas para restringir o âmbito dos direitos e obrigações previstos nos artigos 5.º e 6.º, nos n.os 1 a 4 do artigo 8.º e no artigo 9.º da presente diretiva sempre que essas restrições constituam uma medida necessária, adequada e proporcionada numa sociedade democrática para salvaguardar a segurança nacional (ou seja, a segurança do Estado), a defesa, a segurança pública, e a prevenção, a investigação, a deteção e a repressão de infrações penais ou a utilização não autorizada do sistema de comunicações eletrónicas, tal como referido no n.º 1 do artigo 13.º da Diretiva 95/46/CE. Para o efeito, os Estados-Membros podem designadamente adotar medidas legislativas prevendo que os dados sejam conservados durante um período limitado, pelas razões enunciadas no presente número» (artigo 15.º). Ora, em 2006 - invocando a disparidade das medidas derrogatórias aprovadas pelos Estados-Membros no uso da faculdade prevista pelo artigo 15.º da Diretiva n.º 2002/58/CE - foi aprovada a Diretiva n.º 2006/24/CE, do Parlamento Europeu e do Conselho, de 15 de março de 2006 (cf. Considerando n.º 6).

A abordagem do legislador europeu de 2006 aparta-se da que havia sido seguida na Diretiva 2002/58/CE: em vez de permitir aos Estados-Membros restringir os direitos inerentes à privacidade das comunicações eletrónicas, impôs aos Estados a obrigação de operar tal restrição (artigo 3.º da Diretiva n.º 2006/24/CE), estabelecendo o dever de conservação de certas categorias de dados (excluindo o conteúdo das comunicações [artigo 5.º], por «períodos não inferiores a seis meses e não superiores a dois anos, no máximo, a contar da data da comunicação» [artigo 6.º]) e determinando que o acesso aos dados pelas autoridades nacionais competentes só deveria ocorrer para efeitos de investigação, deteção e repressão de crimes graves (n.º 1 do artigo 1.º), «de acordo com os requisitos da necessidade e da proporcionalidade devem ser definidos por cada Estado-Membro no respetivo direito nacional, sob reserva das disposições pertinentes do Direito da União Europeia ou do Direito Internacional Público, nomeadamente a CEDH na interpretação que lhe é dada pelo Tribunal Europeu dos Direitos do Homem» (artigo 4.º). Em conformidade, aditou-se um novo número (1-A) ao artigo 15.º da Diretiva n.º 2002/58/CE, nos termos do qual os dados cuja conservação fosse expressamente determinada pela Diretiva n.º 2006/24/CE ficariam subtraídos ao disposto no n.º 1 do artigo 15.º da Diretiva n.º 2002/58/CE.

Ora, chamado a pronunciar-se prejudicialmente, o TJUE concluiu pela invalidade das normas da diretiva de 2006, por implicarem uma restrição desproporcionada aos direitos ao respeito pela vida privada e familiar e à proteção de dados pessoais, consagrados, respetivamente, nos artigos 7.º e 8.º da CDFUE e por estabelecerem de forma indeterminada o leque de crimes cuja investigação ou repressão pode admitir o acesso aos dados conservados (Acórdão Digital Rights Ireland, cit., n.os 26 a 29; e 41 a 43). Sendo o direito derivado da União Europeia parametrizado pelo respetivo direito primário - e que a CDFUE assume justamente esse valor (cf. n.º 1 do artigo 6.º do TUE) -, concluiu o Juiz europeu não estarem preenchidos os pressupostos da sua restrição (n.º 1 do artigo 52.º da CDFUE).

O TJUE considerou violado o princípio da proporcionalidade. Por um lado, face ao excessivo âmbito de aplicação da medida de conservação dos dados, quer quanto ao universo objetivo (ao englobar todos os meios de comunicação eletrónica), quer subjetivo (ao abranger todas as pessoas, todos os meios de comunicação eletrónica e todos os dados de tráfego sem criar qualquer diferenciação, limitação ou exceção em função do objetivo ou do risco e sem exigir qualquer relação entre a conservação dos dados e uma ameaça para a segurança pública) - n.os 56 ss do Acórdão Digital Rights. Por outro lado, pela inexistência de critérios ou requisitos de acesso das autoridades nacionais aos dados conservados - designadamente, controlo jurisdicional prévio -, limitando-se a remeter para as infrações graves tal como definidas no direito nacional de cada Estado-Membro (n.º 60). Em terceiro lugar, pelo facto de a duração de conservação de dados se situar «entre um mínimo de seis meses e um máximo de vinte e quatro meses, sem que se especifique que a determinação do período de conservação se deve basear em critérios objetivos a fim de garantir que se limita ao estritamente necessário» (n.º 64). Por fim, por não se estabelecerem garantias de proteção eficaz contra os riscos de abuso e contra qualquer acesso e sua utilização ilícita ou sequer que os dados fiquem conservados no território da União, de modo a assegurar que a fiscalização da segurança do armazenamento e transmissão dos dados se faça com base no direito da União (n.os 66 a 68).

O Acórdão Digital Rights Ireland permite, assim, delimitar o parâmetro comunitário de admissibilidade das medidas de conservação dos dados de tráfego e de localização: à luz da Carta, é possível a sua estatuição (sendo adequadas à proteção de um interesse geral relevante), embora a regulamentação deva restringir a sua aplicação ao indispensável para aquele objetivo, mediante definição seletiva do universo de dados e de titulares afetados (i), o estabelecimento de garantias no acesso das autoridades a essas informações (ii), a estatuição de critérios objetivos de duração da conservação por atenção aos objetivos visados (iii) e a criação de mecanismos de segurança de proteção eficaz desses dados contra abusos, utilização e acesso ilícitos (iv) (Acórdão Digital Rights Ireland, cit., n.os 51 e 56 a 59).

9.2 - A declaração de invalidade da Diretiva n.º 2006/24/CE pelo Tribunal de Justiça - enquanto órgão jurisdicional competente para a apreciação da validade do direito derivado da União Europeia (cf. Acórdão Foto-Frost, cit.; e, igualmente, Acórdão do Tribunal Constitucional n.º 422/2020) não implica, como efeito automático, a invalidade da Lei n.º 32/2008, de 17 de julho. Como se explicou no Acórdão n.º 420/2017, «A declaração de invalidade de uma diretiva não tem uma consequência automática sobre a validade de um ato legislativo português que a transponha. O ato legislativo nacional, embora tendo como objetivo o cumprimento do dever de transposição de uma diretiva, decorrente do Direito da UE (artigo 4.º, n.º 3, do Tratado da UE, artigo 288.º, 3.º parágrafo, do Tratado sobre o Funcionamento da UE e artigo 112.º, n.º 8, da Constituição), tem uma fonte autónoma de validade e legitimidade. O Tribunal de Justiça não tem jurisdição para apreciar a validade dos atos de direito nacional dos Estados-Membros, sendo que a sua análise apenas incidiu sobre o texto da diretiva. A validade da Lei n.º 32/2008, de 17 de julho, não pode ser posta em causa apenas devido ao facto de este ato normativo da União ter sido declarado inválido».

Estas considerações não implicam que seja irrelevante, para os presentes autos, o conteúdo do direito da União Europeia e a sua eventual incompatibilidade com as normas sob fiscalização. Não pode olvidar-se que os padrões constitucionais se submetem, eles próprios, a uma interpretação conforme ao direito da União Europeia. Em consequência, atendendo à comunhão de conteúdos entre a Constituição e a CDFUE, se o ato de transposição se revelar contrário às normas europeias cuja ofensa implicou a invalidade da Diretiva, é plausível que transgrida igualmente a Constituição, interpretada em conformidade com aquelas. Importa, pois, saber em que medida as medidas nacionais sob fiscalização conflituam com as normas europeias em causa.

A primeira decisão do Tribunal de Justiça sobre a compatibilidade com a CDFUE de regimes nacionais adotados em transposição da Diretiva 2006/24/CE (entretanto declarada inválida) foi o Acórdão de 21 de dezembro de 2016, Tele2, proc. C-203/15 e C-698/15. Aí se considerou que o estabelecimento, pelo legislador nacional, de uma obrigação de conservação de todos os dados de tráfego de todos os utilizadores e assinantes padecia da mesma incompatibilidade com a CDFUE que havia sido assacada à diretiva em que se baseou. Em consequência, o Tribunal de Justiça indicou, por via da interpretação do artigo 15.º da Diretiva n.º 2002/58/CE, o figurino da legislação nacional que pode ter-se por compatível com os direitos garantidos pela Carta, cumprindo os requisitos de restrição estabelecidos no seu artigo 52.º: a norma do artigo 15.º da Diretiva n.º 2002/58/CE, conjugada com o disposto nos artigos 7.º, 8.º e 52.º da Carta, «(...) não se opõe a que um Estado-Membro adote uma regulamentação que permita, a título preventivo, a conservação seletiva dos dados de tráfego e dos dados de localização, para efeitos de luta contra a criminalidade grave, desde que a conservação dos dados seja limitada ao estritamente necessário, no que se refere às categorias de dados a conservar, aos equipamentos de comunicação visados, às pessoas em causa e à duração de conservação fixada» (n.º 108). O que impõe, por isso, a previsão de «normas claras e precisas que regulem o âmbito e a aplicação dessa medida de conservação dos dados e que imponham exigências mínimas, de modo a que as pessoas cujos dados foram conservados disponham de garantias suficientes que permitam proteger eficazmente os seus dados pessoais contra os riscos de abuso» (n.º 109), que subordine a conservação de dados «a critérios objetivos, que estabeleçam uma relação entre os dados a conservar e o objetivo prosseguido» (n.º 110) e que opere uma delimitação do universo de pessoas e de situações por ela abrangidas, que «deve basear-se em elementos objetivos que permitam visar um público cujos dados sejam suscetíveis de revelar uma relação, pelo menos indireta, com atos de criminalidade grave, de contribuir de uma maneira ou outra para a luta contra a criminalidade grave ou de prevenir um risco grave para a segurança pública» (n.º 111).

Já no que respeita ao acesso aos dados pelas autoridades nacionais competentes para deteção, prevenção e combate à criminalidade, concluiu-se que o normativo comunitário implica a previsão de controlo prévio efetuado por um órgão jurisdicional ou por uma entidade administrativa independente, na sequência de um pedido formulado pela autoridade nacional competente (i), a definição de critérios e condições de admissão desse acesso (ii), a obrigação de informar as pessoas visadas (a partir do momento em que essa comunicação não seja suscetível de comprometer a investigação), para que possam exercer o direito de recurso a que se refere o n.º 2 do artigo 15.º da Diretiva (iii) e a previsão de obrigação armazenamento dos dados no território da União, bem como a sua destruição no termo do respetivo período de conservação (iv) (Acórdão Tele 2, n.os 119 a 122).

Em outubro de 2020, o Tribunal de Justiça voltou a pronunciar-se sobre a compatibilidade do disposto no artigo 15.º da Diretiva 2002/58/CE, conjugado com os artigos 7.º e 8.º da CDFUE, com regimes jurídicos nacionais que prevejam uma obrigação generalizada da conservação de metadados pelos operadores de telecomunicações com vista a serem transmitidos às autoridades competentes para a ação penal (Acórdão La quadrature du net, cit.). Reiterando a jurisprudência do Acórdão Tele2 quanto aos dados de tráfego e de localização - e considerando, por isso, incompatível com o direito da União Europeia um regime nacional que prescreva a obrigação indiferenciada de dados de tráfego, por restringir desproporcionadamente os direitos consagrados nos artigos 7.º e 8.º da CDFUE (n.os 112 a 133) - , pronunciou-se separadamente sobre a obrigação de conservação generalizada de dados de base e de endereços de protocolo IP dinâmicos que indiquem a fonte de uma comunicação (aqueles que pressupõem uma análise do contexto das comunicações e que, por isso, é duvidosa a sua qualificação como dados de base ou dados de tráfego). Quanto a estes, e independentemente da questão de saber qual a sua categorização correta, admitiu a compatibilidade com a CDFUE da sua conservação geral pelo período de um ano (n.os 154 a 159).

9.3 - Uma interpretação dos parâmetros constitucionais em conformidade com o direito da União Europeia deve ainda ter em conta a disciplina do Regulamento Geral sobre a Proteção de Dados (Regulamento UE 2016/679 - RGPD) quanto à proteção conferida às pessoas singulares a respeito do tratamento de dados pessoais. Com efeito, os dados de base, de tráfego e de localização, na medida em que permitam identificar uma pessoa singular (n.º 1 do artigo 4.º do RGPD), ficam sujeitos à disciplina europeia de tratamento de dados pessoais. Em consequência, tais dados apenas podem ser recolhidos para satisfazer finalidades determinadas, explícitas e legítimas, e não podem ser tratados posteriormente de uma forma incompatível com essas finalidades [alínea b) do n.º 1 do artigo 5.º do RGDP] e a sua conservação de forma a poder identificar os titulares só pode ocorrer durante o período necessário para as finalidades para as quais são tratados [alínea e) do n.º 1 do artigo 5.º do RGDP]. Sendo certo que o RGPD abrange qualquer tratamento de dados feitos por estabelecimentos situados no território da União (artigo 3.º do RGPD), abarcando assim o tratamento de dados pessoais operado pelos fornecedores de comunicações eletrónicas em Portugal.

Ora, decorre das regras do RGPD (que, enquanto Regulamento da União Europeia, vincula todos os sujeitos públicos e privados, em toda a União - artigo 288.º TFUE) que os dados pessoais que venham a ser objeto de tratamento não podem ser transferidos para Estados terceiros, salvo nas condições fixadas nos artigos 44.º a 40.º do RGPD: a existência de uma decisão de adequação pela Comissão Europeia (artigo 45.º) ou, nos demais casos, de uma atuação fiscalizadora pela autoridade nacional de controlo (artigos 46.º e seguintes), quando se garanta um nível de proteção similar àquele que é garantido pelo normativo europeu.

10 - Determinados o conteúdo e a relevância do direito da União Europeia para os presentes autos, importa agora apreciar a conformidade constitucional das normas fiscalizadas. Começar-se-á, assim, por apurar o concreto sentido dos padrões constitucionais mobilizáveis - interpretando-os, como se viu supra, à luz do direito da União Europeia, face ao disposto no n.º 4 do artigo 8.º da Constituição. O que não implica que o direito da União Europeia constitua o único instrumento a influir na interpretação dos parâmetros constitucionais convocados, como se sublinhou no Acórdão n.º 403/2015, por força do disposto no artigo 16.º da Constituição:

«o artigo 12.º da Declaração Universal dos Direitos do Homem declara que "ninguém sofrerá intromissões arbitrárias na sua vida privada, na sua família, no seu domicílio ou na sua correspondência [...]". A mesma redação é retomada pelo artigo 17.º do Pacto Internacional relativo aos Direitos Civis e Políticos. Ambos os textos prescrevem que o indivíduo tem direito à proteção da lei contra tais intervenções ou tais atentados.

O artigo 8.º da Convenção Europeia dos Direitos do Homem (CEDH), por seu turno, estabelece que "qualquer pessoa tem direito ao respeito da sua vida privada e familiar, do seu domicílio e da sua correspondência". Nos termos do n.º 2, "não pode haver ingerência da autoridade pública no exercício deste direito senão quando esta ingerência estiver prevista na lei e constituir uma providência que, numa sociedade democrática, seja necessária para a segurança nacional, para a segurança pública, para o bem-estar económico do país, a defesa da ordem e a prevenção das infrações penais, a proteção da saúde ou da moral, ou a proteção dos direitos e das liberdades de terceiros". O Tribunal Europeu dos Direitos do Homem (TEDH) tem desenvolvido uma ampla jurisprudência sobre a proteção do acesso a dados de comunicações, afirmando expressamente que os mesmos se encontram abrangidos pela proteção de "vida privada e familiar" ínsita no n.º 1 do artigo 8.º da CEDH. Assim, no caso Malone c. Reino Unido, referiu que o acesso e uso de dados respeitantes a tráfego de comunicações constituem matéria que é abrangida pelo âmbito de proteção do n.º 1 do artigo 8.º da CEDH (Acórdão de 02/08/1984, queixa n.º 8691/79)».