Portugal / Constitutional Court / 687/2021

President of the Republic
Policy area
Justice, freedom and security
Deciding body type
National Court/Tribunal
Deciding body
Constitutional Court
Type
Decision
Decision date
30/08/2021
  • Portugal / Constitutional Court / 687/2021

    Key facts of the case: 

    The President of the Republic submitted to the Court, in a process of preventive review of constitutionality, the rules contained in article 5 of Decree No. 167/XIV, which "transposes Directive (EU) 2019/713 of the European Parliament and of the Council of April 17 2019, on combating fraud and counterfeiting of non-cash means of payment, amending the Penal Code, the Code of Criminal Procedure, Law No. 109/2009, of 15 September, which approves the Cybercrime Law, and other legislative acts”, approved by the Assembly of the Republic, on 20 July 2021. According to the President, the amendment made to article 17 of the Cybercrime Law may suffer from the defect of material unconstitutionality, due to violation of the right to the inviolability of the home and correspondence and the right to use digital use, not respecting the requirement of proportionality resulting from the Constitution. 

     

    Key legal question raised by the Court: 

    The Constitutional Court raised the question of whether it is legitimate, with regard to security and determinability in the application of criminal procedural law, the creation of an autonomous legal regime (with more flexible rules) regarding the seizure of emails or documents of a similar nature during a criminal investigation that allowed for a complete seizure of data and documents whose content could reveal personal or intimate data, jeopardizing the privacy of the respective holder or of a third party, and refering the regime for apprehension of correspondence provided for in the Code of Criminal Procedure to the condition of subsidiary legislation. In addition, the court also had to determine whether this amendment to the law respected the fundamental rights and guarantees in criminal proceedings established by law, as well as the norms that enshrine fundamental principles of the rule of law, such as the principle of proportionality. 

     

    Outcome of the case: 

    The Court decided to rule on the unconstitutionality of the amendment made to article 17 of the Cybercrime Law contained in article 5 of Decree No. 167/XIV, for violating several principles of the Constitution of the Portuguese Republic, such as the fundamental rights to inviolability of correspondence and communications (article 34) and the protection of personal data in the context of digital use (article 35), as reflections of the right to privacy (article 26), in conjunction with the principle of proportionality (article 18) and with the constitutional guarantees of defense in criminal proceedings (article 32).Thus, the President of the Republic rejected the Decree and returned it to Parliament for changes to be made.

  • Paragraphs referring to EU Charter

    «At the fundamental level, the matter in question raises the invocation of articles 7, 8 and 52, paragraph 1 of the Charter of Fundamental Rights of the European Union (“CFRUE”) — to which the Treaty attributes value parametric as to the rules emanating from the institutions, pursuant to paragraph 1 of article 6 of the Treaty on European Union (“TEU”) -, which respectively enshrine: (i) the right of all persons to respect their private and family life, by your domicile and your communications; (ii) the right of all persons to the protection of personal data concerning them - which must be treated fairly, for specific purposes and with the consent of the interested person or on another legitimate basis provided for by law, compliance with these rules is subject to inspection by an independent authority; and (iii) the guarantee that any restriction on the exercise of the rights and freedoms recognized by the CFRUE must be provided for by law and respect the essential content of these rights and freedoms, in compliance with the principle of proportionality, which implies that these restrictions can only be introduced if they are necessary and effectively correspond to objectives of general interest recognized by the Union, or to the need to protect the rights and freedoms of third parties. The protection of personal data is furthermore a fundamental right also enshrined in Article 16(1) of the Treaty on the Functioning of the European Union (“TFEU”)».

    (…)

    “The matter object of regulation by the inspected rules is not, directly, object of any judgment of the CJUE and/or the ECHR. Without prejudice to this, European jurisprudence issued in the framework of Directives 2002/58/EC and 2006/24/EC, regarding the conservation and transmission of data from electronic communications, or the interception of mass communications, by reference to the parameters of fundamental tutelage enshrined in articles 7 and 8 of the CDFUE and 8 of the ECHR, offers important clues as to the densification, made by those higher courts, of the respective constitutional standards for the protection of citizens in the domains of privacy and electronic communications - which assume a special interest in the discussion object of the present case. In fact, this body of case law identifies a set of principles and requirements clearly required by the CJEU and the ECtHR that, to a large extent, can be transposed, with the necessary adaptations, to the problem of the seizure of e-mails and other of a similar nature, for the purposes of investigation, detection and prosecution of criminal offences. This jurisprudence is the pivotal point for the densification of concepts in the Union's catalog of rights and an unavoidable reference in the construction of standards for the protection of fundamental rights in a space of interconstitutionality. According to the Court of Justice, in order to assess compliance with the fundamental rights of data retention measures, it is necessary to invoke not only the protection conferred by the rule of Article 7 of the CDFEU, but also that of Article 8. º, whenever such data can be linked to the identification of a person. In other words, the protection standard applicable when data from a communication process between people in their private sphere are at stake (allowing their identification or obtaining other personal information, normally reserved) results from the combined interpretation of the rights to privacy and the protection of personal data. This understanding is based not only on the finding that the two rights are inextricably linked (Judgment of November 9, 2010, Volker, proceedings C-92/09 and C-93/09, no. 47), but also in the express admission, by the CJEU, that the “retention of data is covered by the scope of application of article 8 hereof, since it constitutes a processing of personal data within the meaning of this article and must, therefore, necessarily comply with the data protection requirements resulting from this article” — Judgment of April 8, 2014, Digital Rights Ireland, procs. C-293/12 and C-594/12, no. 29. Furthermore, it is important to remember that article 7 of the CDFUE, on respect for private and family life, the home and communications, reproduces the provisions of article 8 of the ECHR, and should be interpreted with the same meaning and scope. , pursuant to Article 52(3) of the CDFEU. Which implies, therefore, that the regime of its restrictions is similar, as concluded by the Court of Justice in the Judgment of November 15, 2011, Dereci, proc. C-256/11, paragraph 70: “Article 7 of the Charter of Fundamental Rights of the European Union ('the Charter'), on the right to respect for private and family life, enshrines rights corresponding to those who are guaranteed by Article 8(1) of the ECHR and that Article 7 of the Charter must therefore be given the same meaning and scope as the meaning and scope given to Article 8(1). 1 of the ECHR, as interpreted by the jurisprudence of the European Court of Human Rights”. In this context, it was considered mobilized, for the densification of article 7 of the CDFUE, the regime of paragraph 2 of article 8 of the ECHR: “There can be no interference by the public authority in the exercise of this right unless this interference is provided for by law and constitute a measure that, in a democratic society, is necessary for national security, public security, the economic well-being of the country, the defense of order and the prevention of criminal offences, the protection of health or of morals, or the protection of the rights and freedoms of others”. Simply, contrary to what happens in the ECHR, the Charter made the right to the protection of personal data autonomous (in article 8 of the CDFUE), while recognizing an inseparable relationship between them(…).”

    (…)

    “However, this Directive [Directive 2002/58/EC] was declared invalid by the CJEU, precisely because this Court understood that it allowed for a disproportionate restriction of the rights to respect for private and family life and the protection of personal data, enshrined, respectively, in articles 7 and 8 of the CDFUE (Digital Rights Ireland, nos. 26 to 29); and because it is considered that the set of crimes whose investigation or repression may allow access to data was established in an indeterminate way (Nos. 41 to 43). From this jurisprudence (to which is added the Tele2 Judgment of December 21, 2016, proceedings C-203/15 and C-698/15) result two fundamental axes for the present analysis. First, the Luxembourg Court imposed a set of conditions relating to the storage of data, namely, respect for the principles of the necessity of data retention, and the determinability of the rules governing such conservation measures. Second, and with significant relevance to the matter that concerns us here, with regard to access to data by the competent national authorities for detecting, preventing and combating crime, the Court of Justice considered that an adequate interpretation of the provisions of article 15 .º of Directive 2002/58/EC, in conjunction with the fundamental protection conferred by the rules of articles 7 and 8 of the CDFUE, does not allow general access to stored data - implying, on the contrary, the existence of prior control , carried out by a court or an independent administrative body, following a reasoned request from the competent national authority. This understanding was reiterated in the Judgment of October 6, 2020, Case C-623/17 - Privacy International, and the Court of Justice insisted on the idea of respect for the principle of proportionality, recalling that the origin of Directive 2002/58 is, rightly, an intention of the Union legislator to ensure the continuation of a high level of protection of personal data and privacy with regard to all electronic communications services, irrespective of the technology used (...).”

    (…)

    "Firstly, it is evident that the CDFUE is not compatible with practices of collection and conservation of data of an undifferentiated and generalized order, without any prior selection, according to objective criteria. Now, this should lead us to question whether, in general, of these cases, it is compatible with Union law to seize all email messages (which may, even in the case of computers for strictly personal use, reach numbers in the large thousands), and the selection of the set of seized messages must be selected. be limited to what is strictly necessary for the investigation and prosecution of crime. Secondly, and with obvious importance in the present case, it is clear from the case-law exposed that access by national authorities to communication data, even for combating crime, should always be subject to judicial or independent administrative control – an idea that was taken up again in the recent judgment of 2 March 2 021, Case C-746/18, Prokuratuur (Conditions d'accès aux données relatives aux communications électroniques), analyzed below, which deals precisely with the question of knowing which entities, for sure, can figure in this control role prior, namely whether the Public Prosecutor's Office can perform such a task."

    (…)

    “In addition to the primary legislation relevant in general to the protection of personal data and privacy in the electronic communications sector - Article 16 of the Treaty on the Functioning of the European Union (TFEU) and Articles 7 and 8 of the Charter of Fundamental Rights of the European Union (CFREU) -, the body of secondary legislation which has fleshed out the right to the protection of personal data and privacy has, until the entry into force of Regulation (EU) No. 2016/679 of 27 April 2016 on the protection of individuals with regard to the processing of personal data and on the free movement of such data and repealing Directive 95/46/EC (General Data Protection Regulation [GDPR], applicable as of 25 May 2018), three main pieces of secondary legislation harmonizing national legislative provisions: (i) Directive 95/46/EC of the European Parliament and of the Council of 24 October 1995 on the protection of individuals with regard to the processing of personal data and on the free movement of such data (amended by Regulation (EC) No. (ii) Directive 2002/58/EC of the European Parliament and of the Council of 12 July 2002 concerning the processing of personal data and the protection of privacy in the electronic communications sector (Directive on privacy and electronic communications) iii) Directive 2006/24/EC of the European Parliament and of the Council of 15 March 2006 on the retention of data generated or processed in connection with the provision of publicly available electronic communications services or of public communications networks and amending Directive 2002/58/EC (data retention), specifically by adding paragraph 1a to Article 15 thereof (Directive on privacy and electronic communications). These were transposed into national law by Law No. 67/98, of 26 October 1998 (Law on Personal Data Protection [LPDP], repealed by Law No. 58/2019, of 8 October 2009), respectively. This was repealed by Law 58/2019, of August 8, which, following the adoption of the GDPR, ensured its implementation in the national legal system); Law 41/2004, of August 18 (Law on Privacy in Electronic Communications [LPCE]), as amended by Law 46/2012, of August 29; and Law 32/2008, of July 17.”

    (…)

    “In the first judgment mentioned above - Digital Rights Ireland - the CJEU considered Directive 2006/24/EC invalid, considering that the EU legislator had exceeded the limits imposed by the respect of the proportionality principle in the light of Articles 7, 8 and 52, paragraph 1, of the CDFUE (see paragraph 69). It follows from the grounds of the judgment, first, that Directive 2006/24 was intended solely to harmonise national provisions concerning the obligations of providers of publicly available electronic communications services or of public communications networks with respect to the retention of certain data which they generate or process - which is not at issue here - and, second, that imposing on those service providers the obligation (provided for in Article 3 thereof) to retain the data listed in Article 5 of that directive (metadata, data relating to the processing of personal data and data relating to the processing of personal data) was not justified by the principle of proportionality. Moreover, the imposition on those service providers of the obligation (laid down in Article 3 thereof) to retain the data listed in Article 5 thereof (metadata, with the Directive not authorizing, as previously emphasized in 2.1, the retention of the content of the communication and the information consulted over an electronic communications network) in order to make them available to the competent national authorities if necessary, raised questions concerning the protection of privacy and communications, the protection of personal data enshrined in Articles 7 and 8 of the CFREU and respect for freedom of expression laid down in Article 11 of the CFREU (...).”

    (…)

    “In the other judgments, the CJEU dealt in particular with the interpretation of Article 15 of Directive 2002/58/EC (alone or in conjunction with other provisions of the TEU, in particular Articles 7 and 8 of the CFREU). Article 15 of Directive 2002/58/EC (alone or in conjunction with other provisions of the EUSD, in particular Articles 7 and 8 of the CFREU), which deals with the "[a]pplication of certain provisions of Directive 95/46/EC" and whose paragraph 1 provides that "Member States may adopt legislative measures to restrict the scope of the rights and obligations provided for in Article 5, Article 6, Article 8(1) to (4) and Article 9 of Directive 2002/58/EC". Member States may adopt legislative measures to restrict the scope of the rights and obligations provided for in Article 5, Article 6, Article 8(1) to (4), and Article 9 of this Directive when such restriction constitutes a necessary, appropriate and proportionate measure within a democratic society to safeguard national security (i.e. State security), defence, public security, and the prevention, investigation, detection and prosecution of criminal offences or of unauthorised use of the electronic communication system, as referred to in Article 13(1) of Directive 95/46/EC. To this end, Member States may, inter alia, adopt legislative measures providing for the retention of data for a limited period justified on the grounds laid down in this paragraph. All the measures referred to in this paragraph shall be in accordance with the general principles of Community law, including those referred to in Article 6(1) and (2) of the Treaty on European Union.”

    (…)

    “In fact, Directive (EU) 2016/680 establishes a specific harmonization regime in the matter in question (in parallel with the GDPR, but with some specificities), which it considers to be in line with the TEU and necessary in light of Article 52(1) of the CDFUE (see recital 104) - having already been transposed into Portuguese law by Law no. 59/2019 of 8 August (which approves the rules on the processing of personal data for the purpose of prevention, detection, investigation or prosecution of criminal offences or the execution of criminal penalties). No. 59/2019, of 8 August (which approves the rules on the processing of personal data for the purpose of prevention, detection, investigation or prosecution of criminal offences or the execution of criminal penalties, transposing Directive (EU) 2016/680 of the European Parliament and of the Council, of 27 April 2016 - cf. the respective article 1)”
     

  • Paragraphs referring to EU Charter (original language)

    «No plano jusfundamental, a matéria em causa suscita a invocação dos artigos 7.º, 8.º e 52.º, n.º 1 da Carta dos Direitos Fundamentais da União Europeia (“CDFUE”) — a que o Tratado atribui valor paramétrico quanto às normas emanadas pelas instituições, nos termos do n.º 1 do artigo 6.º do Tratado da União Europeia (“TUE”) —, que consagram, respetivamente: (i) o direito de todas as pessoas ao respeito pela sua vida privada e familiar, pelo seu domicílio e pelas suas comunicações; (ii) o direito de todas as pessoas à proteção dos dados de caráter pessoal que lhes digam respeito – os quais devem ser objeto de um tratamento leal, para fins específicos e com o consentimento da pessoa interessada ou com outro fundamento legítimo previsto por lei, ficando o cumprimento destas regras sujeito a fiscalização por parte de uma autoridade independente; e (iii) a garantia de que qualquer restrição ao exercício dos direitos e liberdades reconhecidos pela CDFUE deve ser prevista por lei e respeitar o conteúdo essencial desses direitos e liberdades, na observância do princípio da proporcionalidade, o que implica que essas restrições só possam ser introduzidas se forem necessárias e corresponderem efetivamente a objetivos de interesse geral reconhecidos pela União, ou à necessidade de proteção dos direitos e liberdades de terceiros. A proteção dos dados pessoais é, além disso, um direito fundamental igualmente consagrado no artigo 16.º, n.º 1, do Tratado sobre o Funcionamento da União Europeia (“TFUE”)». 

    (…)

    A matéria objeto de regulação pelas normas fiscalizadas não é, diretamente, objeto de qualquer acórdão do TJUE e/ou do TEDH. Sem prejuízo disso, a jurisprudência europeia emitida no quadro das Diretivas 2002/58/CE e 2006/24/CE, a propósito da conservação e transmissão de dados provenientes de comunicações eletrónicas, ou da interceção de comunicações em massa, por referência aos parâmetros de tutela fundamentais consagrados nos artigos 7.º e 8.º da CDFUE e 8.º da CEDH, oferece importantes pistas quanto à densificação, feita por aqueles tribunais superiores, dos respetivos standards jusconstitucionais de proteção dos cidadãos nos domínios da privacidade e das comunicações eletrónicas – os quais assumem especial interesse na discussão objeto dos presentes autos. Com efeito, identifica-se, nesse acervo jurisprudencial, um conjunto de princípios e requisitos claramente exigidos pelo TJUE e pelo TEDH que, em larga medida, são transponíveis, com as devidas adaptações, para a problemática da apreensão de mensagens de correio eletrónico e outras de natureza similar, para fins de investigação, deteção e repressão de infrações penais. Essa jurisprudência é o ponto axial da densificação dos conceitos do catálogo de direitos da União e referência incontornável na construção de standards de proteção de direitos fundamentais num espaço de interconstitucionalidade. Ora, de acordo com o Tribunal de Justiça, para avaliação da conformidade com os direitos fundamentais das medidas de conservação de dados, há que convocar não apenas a proteção conferida pela norma do artigo 7.º da CDFUE, mas também a do artigo 8.º, sempre que tais dados possam ser ligados à identificação de uma pessoa. Ou seja, o standard de proteção aplicável quando estão em causa dados de um processo de comunicação entre pessoas que se situem na sua esfera privada (permitindo a sua identificação ou a obtenção de outras informações pessoais, normalmente reservadas) resulta da interpretação combinada dos direitos à privacidade e à proteção de dados pessoais. Este entendimento funda-se não apenas na constatação de que os dois direitos estão indissociavelmente ligados (Acórdão de 9 de novembro de 2010, Volker, procs. C-92/09 e C-93/09, n.º 47), como também na admissão expressa, por parte do TJUE, de que a “conservação dos dados está abrangida pelo âmbito de aplicação do artigo 8.º desta, uma vez que constitui um tratamento de dados pessoais na aceção deste artigo e deve, assim, necessariamente, respeitar as exigências de proteção de dados resultantes deste artigo” —  Acórdão de 8 de abril de 2014, Digital Rights Ireland, procs. C-293/12 e C-594/12, n.º 29. Além disso, é importante recordar que o artigo 7.º da CDFUE, relativo ao respeito pela vida privada e familiar, ao domicílio e às comunicações, reproduz o disposto no artigo 8.º da CEDH, devendo ser interpretado com o mesmo sentido e alcance, nos termos do n.º 3 do artigo 52.º da CDFUE. O que implica, pois, que o regime das suas restrições seja semelhante, como de resto concluiu o Tribunal de Justiça no Acórdão de 15 de novembro de 2011, Dereci, proc. C-256/11, n.º 70: “o artigo 7.° da Carta dos Direitos Fundamentais da União Europeia (a seguir «Carta»), relativo ao direito ao respeito da vida privada e familiar, consagra direitos correspondentes aos que são garantidos pelo artigo 8.°, n.º 1, da CEDH e que se deve, portanto, dar ao artigo 7.° da Carta o mesmo sentido e o mesmo alcance que o sentido e o alcance dados ao artigo 8.°, n.º 1, da CEDH, conforme interpretado pela jurisprudência do Tribunal Europeu dos Direitos do Homem”. Neste quadro, entendeu-se mobilizável, para densificação do artigo 7.º da CDFUE, o regime do n.º 2 do artigo 8.º da CEDH: “Não pode haver ingerência da autoridade pública no exercício deste direito senão quando esta ingerência estiver prevista na lei e constituir uma providência que, numa sociedade democrática, seja necessária para a segurança nacional, para a segurança pública, para o bem - estar económico do país, a defesa da ordem e a prevenção das infrações penais, a proteção da saúde ou da moral, ou a proteção dos direitos e das liberdades de terceiros”. Simplesmente, ao contrário do que sucede na CEDH, a Carta autonomizou o direito à proteção de dados pessoais (no artigo 8.º da CDFUE), sem deixar de lhe reconhecer uma relação indissociável entre ambos(…).

    (…)

    “Porém, esta Diretiva [Diretiva 2002/58/CE] veio a ser declarada inválida pelo TJUE, precisamente por este Tribunal ter entendido que aquela permitia uma restrição desproporcionada dos direitos ao respeito pela vida privada e familiar e à proteção de dados pessoais, consagrados, respetivamente, nos artigos 7.º e 8.º da CDFUE (Acórdão Digital Rights Ireland, n.ºs 26 a 29); e por se considerar que o conjunto de crimes cuja investigação ou repressão pode admitir o acesso aos dados se estabelecia de forma indeterminada (n.ºs 41 a 43). Dessa jurisprudência (a que se soma o Acórdão Tele2, de 21 de dezembro de 2016, proc. C-203/15 e C-698/15) resultam dois eixos fundamentais para a presente análise. Em primeiro lugar, o Tribunal do Luxemburgo impôs um conjunto de condições relativas ao armazenamento de dados, designadamente, o respeito pelos princípios da necessidade da conservação dos dados, e da determinabilidade das normas que regulam tais medidas de conservação. Em segundo lugar, e com significativa relevância para a matéria que aqui nos ocupa, no que respeita ao acesso aos dados pelas autoridades nacionais competentes para deteção, prevenção e combate à criminalidade, o Tribunal de Justiça entendeu que uma interpretação adequada do disposto no artigo 15.º da Diretiva 2002/58/CE, em conjugação com a proteção jusfundamental conferida pelas normas dos artigos 7.º e 8.º da CDFUE, não admite o acesso generalizado aos dados conservados – implicando, pelo contrário a existência de um controlo prévio, levado a cabo por um órgão jurisdicional ou por uma entidade administrativa independente, na sequência de um pedido fundamentado da autoridade nacional competente. Este entendimento foi reiterado no Acórdão de 6 de outubro de 2020, Processo C-623/17 - Privacy International, tendo o Tribunal de Justiça insistido na ideia de respeito pelo princípio da proporcionalidade, recordando que na origem da Diretiva 2002/58, está, justamente, uma intenção do legislador da União de assegurar a continuação de um elevado nível de proteção dos dados pessoais e da privacidade no que diz respeito a todos os serviços de comunicações eletrónicas, independentemente da tecnologia utilizada (...).”

    (...)

    “Em primeiro lugar, resulta evidente que a CDFUE não é compatível com práticas de recolha e conservação de dados de ordem indiferenciada e generalizada, sem uma qualquer seleção prévia, segundo critérios objetivos. Ora, isto deve levar-nos a questionar se, na generalidade dos casos, é compatível com o direito da União a apreensão de todas as mensagens de correio eletrónico (que poderão, mesmo no caso de computadores de uso estritamente pessoal, atingir números na casa dos largos milhares), devendo a seleção do conjunto de mensagens apreendidas limitar-se ao estritamente necessário para investigação e repressão da criminalidade. Em segundo lugar, e com evidente importância no presente processo, resulta da jurisprudência exposta que o acesso pelas autoridades nacionais a dados de comunicação, ainda que para combate à criminalidade, deverá ser sempre sujeito a controlo judicial ou de entidade administrativa independente – ideia que veio a ser retomada no recente acórdão de 2 de março de 2021, Processo C-746/18, Prokuratuur (Conditions d’accès aux données relatives aux communications électroniques), adiante analisado, o qual se debruça, justamente, sobre a questão de saber que entidades, ao certo, podem figurar neste papel de controlo prévio, designadamente saber se o Ministério Público pode desempenhar tal tarefa.”

    (...)

    “Além do direito originário pertinente, em geral, em matéria de proteção de dados pessoais e da privacidade no setor das telecomunicações eletrónicas – artigo 16.º do Tratado sobre o Funcionamento da União Europeia (TFUE) e artigos 7.º e 8.º da Carta dos Direitos Fundamentais da União Europeia (CDFUE) –, o acervo de direito derivado que densificou o direito à proteção de dados pessoais e privacidade integrou, até à entrada em vigor do Regulamento (UE) n.º 2016/679 de 27 de abril de 2016 relativo à proteção das pessoas singulares no que diz respeito ao tratamento dos dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral de Proteção de Dados [RGPD], aplicável a partir de 25 de maio de 2018), três atos de direito derivado principais de harmonização das disposições legislativas nacionais: i) a Diretiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de outubro de 1995, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (modificada pelo Regulamento (CE) n.º 1882/2003 do Parlamento Europeu e do Conselho de 29 de setembro de 2003); ii) a Diretiva 2002/58/CE  do Parlamento Europeu e do Conselho, de 12 de julho de 2002, relativa ao tratamento de dados pessoais e à proteção da privacidade no sector das comunicações eletrónicas (Diretiva relativa à privacidade e às comunicações eletrónicas); iii) a Diretiva 2006/24/CE do Parlamento Europeu e do Conselho,  de 15 de março de 2006, relativa à conservação de dados gerados ou tratados no contexto da oferta de serviços de telecomunicações eletrónicas publicamente disponíveis ou de redes públicas de comunicações e que altera a Diretiva 2002/58/CE (data retention), em concreto aditando o n.º 1-A ao seu artigo 15.º – transpostas para ordem jurídica nacional, respetivamente, pela Lei n.º 67/98, de 26 de outubro (Lei de Proteção de Dados Pessoais [LPDP], revogada pela Lei n.º 58/2019, de 8 de agosto que, na sequência da adoção do RGPD, assegurou a execução deste na ordem jurídica nacional); pela Lei n.º 41/2004, de 18 de agosto (Lei da Privacidade nas Comunicações Eletrónicas [LPCE]), alterada pela Lei n.º 46/2012, de 29 de agosto; e pela Lei n.º 32/2008, de 17 de julho.”

    (...)

    “No primeiro Acórdão que referimos – Digital Rights Ireland – o TJUE considerou inválida a Directiva 2006/24/CE, entendendo que o legislador da União excedeu os limites impostos pelo respeito do princípio da proporcionalidade à luz dos artigos 7.°, 8.° e 52.°, n.° 1, da CDFUE (cf. n.º 69). Da fundamentação do acórdão decorre, por um lado, que a Diretiva 2006/24 visava, tão só, harmonizar as disposições nacionais relativas às obrigações dos fornecedores de serviços de comunicações eletrónicas publicamente disponíveis ou das redes públicas de comunicações em matéria de conservação de determinados dados por eles gerados ou tratados – que ora não está em causa; e, por outro lado, que a imposição, a tais fornecedores de serviços, da obrigação (prevista no seu artigo 3.º), de conservarem os dados enumerados no artigo 5.° da mesma (metadados, não autorizando a Diretiva, como antes já antes se sublinhou em 2.1, a conservação do conteúdo da comunicação e das informações consultadas através de uma rede de comunicações eletrónicas), para, se necessário, os disponibilizarem às autoridades nacionais competentes, suscitava questões relativas à proteção da vida privada e das comunicações, à proteção de dados pessoais consagradas nos artigos 7.° e 8.º da CDFUE, assim como ao respeito da liberdade de expressão prevista no artigo 11.° da CDFUE (...).”

    (...)

    “Nos demais acórdãos, o TJUE versou, em especial, sobre a interpretação do artigo 15.º da Diretiva 2002/58/CE (isolada ou conjugadamente com outros preceitos de DUE, em especial os artigos 7.º e 8.º da CDFUE), que versa as sobre a “[a]plicação de determinadas disposições da Diretiva 95/46/CE” e cujo número 1 prevê que “[o]s Estados-Membros podem adotar medidas legislativas para restringir o âmbito dos direitos e obrigações previstos nos artigos 5.o e 6.o, nos n.os 1 a 4 do artigo 8.o e no artigo 9.o da presente diretiva sempre que essas restrições constituam uma medida necessária, adequada e proporcionada numa sociedade democrática para salvaguardar a segurança nacional (ou seja, a segurança do Estado), a defesa, a segurança pública, e a prevenção, a investigação, a deteção e a repressão de infrações penais ou a utilização não autorizada do sistema de comunicações eletrónicas, tal como referido no n.o 1 do artigo 13.o da Diretiva 95/46/CE. Para o efeito, os Estados-Membros podem designadamente adotar medidas legislativas prevendo que os dados sejam conservados durante um período limitado, pelas razões enunciadas no presente número. Todas as medidas referidas no presente número deverão ser conformes com os princípios gerais do direito comunitário, incluindo os mencionados nos n.os 1 e 2 do artigo 6.o do Tratado da União Europeia.”

    (...)

    “Com efeito, a Diretiva (UE) 2016/680 estabelece um específico regime de harmonização na matéria em causa (em paralelo com o RGPD, mas com algumas especificidades), o qual a mesma considera conforme ao DUE e necessário à luz do artigo 52.º, 1 da CDFUE (cf. considerando 104) – tendo a mesma sido já transposta para a ordem jurídica portuguesa pela Lei n.º 59/2019, de 8 de Agosto (que aprova as regras relativas ao tratamento de dados pessoais para efeitos de prevenção, deteção, investigação ou repressão de infração penais ou de execução de sanção penais, transpondo a Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho, de 27 de abril de 2016 – cfr. o respetivo artigo 1.º).”