Article 7 - Respect for private and family life
Article 8 - Protection of personal data
Article 51 - Field of application
Key facts of the case:
The Ombudsman requested an assessment and declaration, with general binding force, of the unconstitutionality of the norms contained in articles 4, 6 and 9 of Law 32/2008, which transposed into national law Directive 2006/24/EC, of the European Parliament and of the Council, of 15 March 2006, on the retention of data generated or processed in connection with the provision of publicly available electronic communications services or of public communications networks. According to the Ombudsman, these articles violate the principle of proportionality in restricting the rights to privacy (Article 26 of the Constitution), to secrecy of communications (Article 34 of the Constitution) and to effective judicial protection (Article 20 of the Constitution). Furthermore, the Ombudsman also understands that Law 32/2008, by predicting that these service providers have the duty to keep traffic and location data of all electronic communications for a period of one year, and that the list of data to be kept are data that reveal aspects of the private and family life of citizens at all times, allowing the location of the individual to be tracked throughout the day, every day (provided that the individual carries a mobile phone or other electronic device for accessing the Internet), and identifying with whom they are in contact, as well as the duration and regularity of these communications, also violated Articles 7 and 8 of the Charter (respect for private and family life and the protection of personal data). Moreover, the Ombudsman also stated that as Law 32/2008 was an act of transposition of a directive, it constituted, for the purposes of Article 51(1) of the Charter, an act of implementation of the law of the European Union, so that this law, even if it was not an act adopted by the institutions of the European Union, was directly bound by the Charter, thus, violating articles 7 and 8 of the Charter.
Key legal question raised by the Court:
The Court was asked to consider and declare, with general binding force, the unconstitutionality, on the grounds of violation of the principle of proportionality in the restriction of the rights to privacy and the secrecy of communications and on the grounds of violation of the right to effective judicial protection of the provisions of articles 4 and 6 of Law 32/2008, as well as to declare the unconstitutionality, on the grounds of violation of the right to effective judicial protection of the provisions of article 9 of the same law. This taking into account that article 4 identifies the categories of data to be stored by providers of publicly available electronic communications services or of a public communications network; article 6 determines the obligation of their conservation for a period of one year, as from the date of conclusion of the communication; and article 9 establishes the conditions for transmission of stored data to the Public Prosecutor's Office or the competent criminal police authority.
Outcome of the case:
The Court began by considering that the problem in question was related to the validity of national legal rules and not to the incompatibility of certain national rules with European Union law, since this question did not automatically imply a judgment of unconstitutionality but rather an affectation of its effectiveness at a domestic level, given that a judgment of unconstitutionality of a national rule depends on the non-compliance of the rules under review with its hierarchically superior parameter, in this case the Constitution. In this way, the Court began by explaining that some of the data explained in article 4 of Law 32/2008 are protected by the provisions of paragraphs (1) and (4) of article 34 of the Constitution, with traffic data being covered when they presuppose a communication between persons, but not data which, regardless of any communication, pertains to the connection of certain equipment to a communications network or the mere identification of a user to whom a certain telephone number or static IP protocol address has been assigned; nor traffic data generated by communication between a subject and a machine (for example, consultation of Internet sites). However, the conservation of and access to all metadata referred to in the audited rules (basic data, traffic data that do not presuppose an interpersonal communication and traffic data regarding interpersonal communications) are apt to reveal relevant aspects of the private and family life of citizens, thus being subject to other constitutional guarantees, namely the rights to privacy and free development of personality (Article 26 of the Constitution) and the right to informative self-determination (Article 35 of the Constitution). However, the Court understood that the Constitution did not only affirm subjective legal positions, but also added guarantees of control, based on the right of the person concerned to control the processing of data and the duty of the State to protect the right granted. Thus, the Court considered that the data subject has the right to know not only what personal data are being collected and kept but also how they are used, communicated, for what purpose and to whom (whether in the public or private sector). Only in this way can the exercise the right to demand the deletion of data processed in violation of constitutional rules or principles; and to react against arbitrary processings. At the same time, a control of data protection and processing is also established by an independent administrative authority, whose intervention is constitutionally determined with functions guaranteeing individuals, and a rule prohibiting the transfer of data to third States is established. Thus, the Court considered that the retention and storage of personal data listed in Article 4 of Law 32/2008 for a period of one year, constrained, at least, the rights to privacy, free development of personality and informational self-determination. It would therefore be necessary to assess whether the constraint on these rights was proportionate, applying the principle of proportionality under Article 18 of the Constitution (adequacy, necessity and proportionality in the strict sense). In the Court's view, the most problematic issue would lie in the fact that Article 6 of Law 32/2008 establishes the generalised retention of the data of all users and subscribers. It is therefore considered that the retention of location data, even if they are not generated as a result of a personal communication, constitutes a more intense invasion of the privacy of private individuals than the retention of basic data, since they make it possible to identify, at all times, the position and movements of users. However, the restriction on fundamental rights infringed by that legislation does not meet the requirements of proportionality, primarily because of the broad scope of the measure. According to the Court, retaining all the location and traffic data of all the subscribers covers the electronic communications of almost the entire population, without any differentiation, exception or weighing against the objective pursued. Thus, in the Court's opinion, the legislator adopted a much wider scope, covering the infringement of fundamental rights in situations which, in a weighting judgment, are not counterbalanced by the positive effects in the fight against criminality, violating article 18 of the Constitution, in the restriction to the fundamental rights to the privacy and information self-determination. As regards the rule of article 9 of Law 32/2008, concerning the regime of access to data by the competent authorities in criminal investigation matters, the Court considered that because the law does not provide for a mechanism to notify the subjects that the data concerning their communications have been transmitted to the public authorities, it prevents them from exercising a judicial control over the legality of that transmission, thus constituting a violation of the right of access to an effective judicial remedy, since it prevents, in practice, the exercise of judicial action against any arbitrariness or abuse of that access, violating article 20 of the Constitution. Therefore, the Constitutional Court decided to declare the unconstitutionality, with general mandatory force, of the rule set out in article 4 of Law 32/2008 combined with article 6 of the same law, due to the violation of articles 18, 26 and 35 of the Constitution and declaring unconstitutional, with general binding effect, Article 9 of Law 32/2008, concerning the transmission of stored data to the competent authorities for the investigation, detection and prosecution of serious crimes, insofar as it does not provide for notification to the person concerned that the data stored were accessed by the criminal investigation authorities, provided that such notification is not likely to jeopardise investigations or the life or physical integrity of third parties, on the grounds of infringement of the provisions of Articles 35 and 20, in conjunction with Article 18, all of the Constitution
“The Charter of Fundamental Rights of the European Union (CFREU) constitutes a catalogue of fundamental rights which binds, first and foremost, the European Union itself (Article 6(1) of the Treaty on European Union [TEU]; Article 51(1) of the CFREU). It thus ensures that the convention on the joint exercise, in cooperation or by the institutions of the Union, of State powers does not entail a reduction in the protection of citizens, since the European Union itself is bound by a catalogue of fundamental rights drafted in the image of national constitutional texts.
Simply, by virtue of the principle of indirect administration, it is - as a rule - not the European Union that implements and applies its own acts, but national authorities (cf. Article 291 of the Treaty on the Functioning of the European Union [TFEU]). For that reason, the CFREU is also binding on Member States when they implement EU law (Article 51 CFREU). In those circumstances - i.e. where national authorities legislate in implementation of EU law - Member States are bound by the European yardstick for the protection of fundamental rights.
The case-law of the Court of Justice of the European Union (CJEU) allows the identification of three situations that correspond to the assumption of application of the Charter to Member States "when implementing EU law" (Article 51 CDFUE). These situations are: the action of States as agents of the Union, implementing its rules - namely by transposing directives (i); the action of States in areas where the Community rules confer discretion to national authorities, e.g. by admitting derogations to rules of European origin (ii); national legislative activity in areas that are already subject to Community regulation (iii).
To this extent, the rules for which a declaration of unconstitutionality is being sought are indisputably within the scope of European Union law and thus of the CFREU.
(…)
In this framework, the measures adopted by Member States establishing such intrusions - whether they are adopted in transposition of Directive 2006/24/EC, declared invalid in the meantime; or, on the contrary, under the exceptions to the inviolability of electronic communications allowed by Article 15 of Directive 2002/58/EC - fall within the scope of application of European law. This implies the conclusion that the State is bound by the rule of Article 15 of Directive 2002/58/EC and also by the CFREU (…)”
“In this context, it may be asked whether the possible incompatibility of the rules under review with binding European rules (specifically, the rights enshrined in Articles 7 and 8 of the CDFUE; and the obligations imposed on the State by virtue of Article 15 of Directive 2002/58/EC) generates, in the terms defined by EU law, the invalidity of the rules in crisis. It is for this Court to declare their invalidity on the grounds of infringement of rules and principles of European Union law.
That is not the case. Since European Union law is autonomous in relation to the domestic legal order, the validity of the national legal order is not affected by European norms; nor is the validity of the European legal order affected in principle - even when its norms are applied at domestic level - by contradicting national constitutions. The principle of the autonomy of European Union law takes concrete form in the existence at European level of its own mechanisms of interpretation, control and implementation, which are reflected in the judicial system for assessing the validity of its rules.”
“As a result, if the rules at issue conflict with rules of European Union law which may be invoked at national level, the response of the national judicial system will be to disapply the national rules without removing them from the legal system or invalidating them as a result. This is precisely what the National Commission for Data Protection (CNPD) decided: considering, in its deliberation No 641/2017, of 9 May 2017, that the regime contained in Law No 32/2008 is contrary to European Union Law - by disproportionate transgression of Articles 7 and 8 of the CDFUE -, it decided to disapply Law No 32/2008, based on the primacy of European Union law (Deliberation No 1008/2017, of 18 July 2017).
That is not the issue before the Constitutional Court in the present proceedings. The Constitutional Court is called upon to assess the validity of national legal rules and not to solve a problem applicable to the concrete case of conflicting rules of autonomous legal orders; nor is it called, as happened in the case that gave rise to Judgment No. 422/2020, to rule on the constitutional conformity of organically European rules. To that extent, the role of European Union law in the present case will necessarily be different, since it is for the Community legal order to define its mission, as recognised by Article 8(4) of the Constitution.”
“Thus, the incompatibility of a certain national rule with EU law does not automatically lead to a judgement of unconstitutionality; on the contrary, it affects its effectiveness at an internal level, insofar as it contradicts European rules that can be mobilised at the same time. Under the terms in which EU law defines it, this effect occurs regardless of the source of the conflicting rules: whether the European rule is contained in original law (such as the CFREU, under the terms of Article 6 of the TEU) or in secondary law (such as a directive or a regulation), or whether the national rule is contained in a regulatory act, a legislative act or even in the Constitution.”
“This is the case in the field of fundamental rights that are simultaneously foreseen in the Constitution and in the CFREU, especially when the latter provides for a higher level of protection (cf. Article 53 of the CFREU). The international sources of fundamental rights are weighted when applying the internal constitutional rules and principles.
It follows that when the State acts in the field of application of European Union law (Article 51(1) of the CFREU), the meaning to be given to the fundamental rights that parameter the validity of the internal rules should privilege a consonance with the European rules to which the State is bound, establishing an interactive rather than hierarchical relationship. And, should conflicts occur between the parameters, the solution will be sought "by seeking to interpret the Constitution according to Community law" (...) It is understandable that this should be the case. In the framework of the communicating network of protection of fundamental rights, the uniformity of application of Union law by the Member States would be at stake if the parameters were disparate, fixing a level of protection lower than that guaranteed by the CFREU.”
“The application of the principle of conforming interpretation extends to the conditions of restriction of fundamental rights: the assessment of proportionality in the limitation of the fundamental rights guaranteed by the CFREU is not dissociated from the assessment made by the Court of Justice. In essence, even if the parameter of validity of the norms of domestic law is found in the Constitution, the constitutional reflection no longer has as its exclusive horizon of reference the national framework, so that the multiplicity of sources of protection of fundamental rights - associated with the diversity of jurisdictional instances of protection, inserted in distinct legal systems and between which there is no relation of hierarchy - implies a practical concordance between the parameters called upon. This is precisely ensured by the canon of conform interpretation. Moreover, the articulation of the constitutional text with the European parameters is exercised by the constituent legislator himself, who moulds the content of the precepts of the Fundamental Law to the community protection standards - which is especially clear in the successive revisions of Article 35 of the Constitution, concerning the use of information technology.”
“For these reasons, as the norms under scrutiny are located in the field of application of European Union law, the interpretation of the constitutional parameters to which the rules in crisis are subject to takes into account the meaning of European norms, seeking to establish the interpretation that is closest to European law. This is in fact what the applicant sustains in articles 42 to 45 of the request, asking the Constitutional Court to interpret the parameters of the Portuguese Constitution in the light of the Charter.”
"Article 7 of the CFREU, which concerns respect for private and family life, home and communications, is modelled on Article 8 of the ECHR and must be interpreted in the same sense and with the same scope (Article 52(3) of the CFREU). This implies that the regime of its restrictions is identical, as the Court of Justice concluded in its judgment of 15 November 2011, Dereci, Case C-256/11, paragraph 70: 'Article 7 of the Charter of Fundamental Rights of the European Union ("the Charter"), concerning the right to respect for private and family life, enshrines rights corresponding to those guaranteed by Article 8(1) of the ECHR. Article 7 of the Charter must therefore be given the same meaning and the same scope as that given to Article 8(1) of the ECHR, as interpreted by the case-law of the European Court of Human Rights. In this framework, the regime of Article 8(2) of the ECHR was mobilised, in order to densify Article 7 of the CFREU: "There shall be no interference by a public authority with the exercise of this right except such as is in accordance with the law and is necessary in a democratic society in the interests of national security, public safety, the economic well-being of the country, the prevention of disorder or crime, the protection of health or morals, or the protection of the rights and freedoms of others". Simply put, unlike in the ECHR, the Charter has autonomised the right to the protection of personal data (in Article 8 of the CFREU), while recognising an inseparable link between the two (Volker judgment, cit., paragraph 47).
With these parameters, the meaning of the fundamental rights enshrined in the Charter was densified by the Community judge, both with regard to the confrontation of the acts adopted by the European Union with those parameters and, on the other hand, by the analysis of their compatibility with the national regimes adopted in application of European Union law. And its scope of protection covered not only data identifying a person but also data enabling that identification to be established (such as telephone numbers, e-mail addresses and computer IP addresses)".
“When asked for a preliminary ruling, the CJEU concluded that the provisions of the 2006 directive were invalid because they entailed a disproportionate restriction on the rights to respect for private and family life and the protection of personal data, enshrined, respectively, in Articles 7 and 8 of the CDFUE and because they established in an indeterminate manner the range of crimes whose investigation or prosecution may admit access to retained data (Digital Rights Ireland judgment, paragraphs 26 to 29; and 41 to 43). As the European Union's secondary law is parameterised by its primary law - and the CFREU has precisely this value (cf. Article 6(1) TEU) - the European judge concluded that the conditions for its restriction were not met (Article 52(1) of the CFREU). (...) The Digital Rights Ireland judgment thus makes it possible to delimit the Community parameter for the admissibility of measures to retain traffic and location data: In the light of the Charter, they may be laid down (if they are appropriate for the protection of a relevant general interest), but the rules must restrict their application to what is essential for that purpose, through a selective definition of the range of data and of the data subjects affected (i), the establishment of guarantees for the authorities' access to that information (ii), the establishment of objective criteria for the duration of storage in the light of the objectives pursued (iii) and the creation of security mechanisms for the effective protection of those data against misuse, unlawful use and unlawful access (iv) (Digital Rights Ireland judgment, cit. , paragraphs 51 and 56-59).”
“The first decision of the Court of Justice on the compatibility with the CDFUE of national schemes adopted in transposition of Directive 2006/24/EC (which has since been declared invalid) was the judgment of 21 December 2016, Tele2, Joined Cases C-203/15 and C-698/15. That judgment held that the establishment, by the national legislature, of an obligation to retain all traffic data of all users and subscribers suffered from the same incompatibility with the CDFUE as the directive on which it was based. Consequently, the Court indicated, by interpreting Article 15 of Directive 2002/58/EC, the form of national legislation which could be regarded as compatible with the rights guaranteed by the Charter, in compliance with the conditions for restriction laid down in Article 52 thereof: the rule in Article 15 of Directive 2002/58/EC, read in conjunction with the provisions of Articles 7, 8 and 52 of the Charter, "(...) the obligation to retain traffic data for all users and subscribers is incompatible with the Charter". Article 15 of the Charter '(...) does not preclude a Member State from adopting rules permitting, on a preventive basis, the selective retention of traffic and location data for the purpose of combating serious crime, provided that the retention of the data is limited to what is strictly necessary as regards the categories of data to be retained, the communications equipment concerned, the persons concerned and the duration of retention' (paragraph 108). This therefore requires providing 'clear and precise rules governing the scope and application of such a data retention measure and imposing minimum requirements in order to provide those whose data are retained with sufficient safeguards to protect their personal data effectively against the risks of abuse' (Paragraph 109), making data retention 'subject to objective criteria that establish a relationship between the data to be retained and the aim pursued' (Paragraph 110) and providing for an effective judicial remedy (Paragraph 111). It "must be based on objective factors making it possible to target members of the public whose data might reveal a relationship, at least indirect, with serious crime, contribute in one way or another to the fight against serious crime or to the prevention of a serious risk to public security" (paragraph 111).”
“In October 2020, the Court of Justice again ruled on the compatibility of Article 15 of Directive 2002/58/EC, in conjunction with Articles 7 and 8 of the CDFUE, with national legal regimes providing for a generalised obligation for metadata to be retained by telecommunications operators with a view to being transmitted to the competent prosecution authorities (La quadrature du net judgment, cit.) Reiterating the case-law of the Tele2 judgment as regards traffic and location data - and considering, therefore, that a national regime which prescribes an undifferentiated obligation of traffic data is incompatible with EU law, as it restricts disproportionately the rights enshrined in Articles 7 and 8 of the CDFUE (paragraphs 112 to 133) -, the Court of Justice held that the obligation to retain metadata is a general obligation on telecommunication operators to transmit them to the competent authorities for the purposes of criminal prosecution (La quadrature du net, cit. The Court of Justice, in a separate opinion (paragraphs 112 to 133), ruled separately on the generalised obligation to retain basic data and dynamic IP protocol addresses indicating the source of a communication (data which presuppose an analysis of the context of the communications and whose classification as basic data or traffic data is therefore questionable).”
“A similar conclusion was, moreover, drawn by the Court of Justice of the European Union, in determining that the security guarantees referred to in Article 8(3) of the CDFUE depend on the place of storage of the data. In declaring Directive 2006/24/EC invalid, the Community judicature held that "the Directive does not require that the data concerned be retained within the territory of the Union, so that the review by an independent body, expressly required by Article 8(3) of the Charter, of compliance with the requirements of protection and security, as referred to in the two preceding paragraphs, cannot be regarded as fully guaranteed. Such a review, carried out on the basis of EU law, constitutes an essential element of respect for the protection of individuals with regard to the processing of personal data' (Digital Rights Judgment, paragraph 68). This was reiterated in the Tele 2 judgment (cit:)
'122 (...) Given the amount of data retained, the sensitive nature of those data and the risk of unlawful access to them, the providers of electronic communications services must, in order to ensure full integrity and confidentiality of those data, guarantee a particularly high level of protection and security by means of appropriate technical and organisational measures. In particular, national legislation must provide for the storage within the territory of the Union and the definitive destruction of the data at the end of their storage period (see, by analogy, as regards Directive 2006/24, the Digital Rights judgment, paragraphs 66 to 68).
123 In any event, the Member States must ensure that an independent authority supervises compliance with the level of protection guaranteed by EU law as regards the protection of natural persons with regard to the processing of personal data, such supervision being explicitly required by Article 8(3) of the Charter and constituting, according to the settled case-law of the Court of Justice, an essential element of compliance with the protection of individuals with regard to the processing of personal data. If that were not the case, individuals whose personal data were retained would be deprived of the right, guaranteed by Article 8(1) and (3) of the Charter, to submit requests to the national supervisory authorities for the purposes of the protection of their data (see, to that effect, Digital Rights, paragraph 68, and of 6 October 2015, Schrems, C-362/14, EU:C:2015:650, paragraphs 41 and 58).”
“Bearing in mind that European Union law, as received by Article 8(4) of the Constitution, prescribes an interpretation of constitutional parameters in accordance with European standards, in order to achieve their full useful effect (see point 8 above), a change in the methodology already followed by the Constitutional Court would only be necessary if it resulted in legal protection that was incompatible with the parameters that can be extracted from the CFREU. Basically, only if this would lead to a finding of unconstitutionality, and if the rules under review were deemed incompatible with European Union law, would it be necessary to determine whether a separate consideration of the rules under review would lead to a different conclusion, which might therefore be considered more appropriate to the full effectiveness of European Union law.”
“«155. In those circumstances, although it is true that a legislative measure which provides for the retention of the IP addresses of all natural persons who are the owners of terminal equipment from which access to the internet can be gained is directed at persons who, prima facie, have no connection, within the meaning of the case-law referred to in paragraph 133 of this judgment, with the objectives pursued and that internet users have, as stated in paragraph 109 of this judgment, the right to expect, under Articles 7 and 8 of the Charter, that their identity will not, as a rule, be disclosed, it is not appropriate to lay down a general and undifferentiated obligation to retain only the IP addresses allocated to the source of an internet connection. In the light of Articles 7 and 8 of the Charter, a legislative measure providing for the generalised and undifferentiated storage of only the IP addresses attributed to the source of a connection does not appear, in principle, to be contrary to Article 15(1) of Directive 2002/58, read in the light of Articles 7, 8, 11 and 52(1) of the Charter, provided that that possibility is subject to strict compliance with the substantive and procedural conditions which must govern the use of that data
156. In view of the serious nature of the interference with the fundamental rights referred to in Articles 7 and 8 of the Charter which that retention entails, only the fight against serious crime and the prevention of serious threats to public security are capable, like the safeguarding of national security, of justifying that interference. Furthermore, the period of retention may not exceed what is strictly necessary in the light of the objective pursued. Finally, such a measure must provide for strict requirements and guarantees as to the exploitation of those data, in particular by tracing the communications and activities carried out online by the persons concerned.
157. As regards, finally, data relating to the civil identity of users of electronic communications media, those data do not, in themselves, make it possible to know the date, time, duration and recipients of communications made or the places where those communications took place or the frequency of those communications with certain persons during a given period, so that they do not provide, with the exception of details such as their addresses, any information on the communications made or, consequently, on their private lives. Accordingly, the interference entailed by the retention of those data cannot, in principle, be classified as serious (see, to that effect, Judgment of 2 October 2018, Ministerio Fiscal, C-207/16, EU:C:2018:788, paragraphs 59 and 60).
158. It follows that, in accordance with what has been said in paragraph 140 of this judgment, the legislative measures aimed at processing those data as such, namely their storage and access to them for the sole purpose of identifying the user concerned, and without those data being linked to information relating to the communications made, may be justified by the objective of prevention, investigation, detection and prosecution of criminal offences in general, referred to in the first sentence of Article 15(1) of Directive 2002/58 (see, in this sense, Judgment of 2 October 2018, Ministerio Fiscal, C-207/16, EU:C:2018:788, paragraph 62).
159. In those circumstances, having regard to the necessary weighing up of the rights and interests at issue and for the reasons set out in paragraphs 131 and 158 of this judgment, it must be held that, even in the absence of a link between all users of electronic communications media and the objectives pursued, Article 15(1) of Directive 2002/58, read in the light of Articles 7, 8, 11 and 52(1) of the Charter, does not fall within the scope of the Charter. Article 15(1) of the Charter does not preclude a legislative measure which imposes, without a specific time-limit, on providers of electronic communications services the retention of data concerning the civil identity of all users of electronic communications media for the purposes of the prevention, investigation, detection and prosecution of criminal offences, and the safeguarding of public security, without the need for the criminal offences or threats or offences to public security to be serious.(…)»”
“The restriction of fundamental rights attacked by this regulation does not meet the requirements of proportionality, primarily because of the broad scope of the measure. This coincides, moreover, with the conclusion of the Court of Justice - which deals only with data which, in Portugal, are classified as traffic data and location data - on the manifestly excessive nature of the generalised storage of these data with regard to all users and subscribers, in the La quadrature du net Ruling, paragraphs 141 to 144:
"141. National legislation providing for the generalised and undifferentiated storage of traffic and location data with a view to combating serious crime exceeds the limits of what is strictly necessary and cannot be regarded as justified in a democratic society, as required by Article 15(1) of Directive 2002/58, read in the light of Articles 7, 8, 11 and 52(1) of the Charter (see, to that effect, the judgment of 21 November 2002 in La quadrature du net, cit, in this sense, Judgment of 21 December 2016, Tele2, C-203/15 and C-698/15, EU:C:2016:970, paragraph 107).
142. Indeed, in view of the sensitive nature of the information that traffic data and location data may provide, their confidentiality is essential to the right to respect for private life. Therefore, having regard, first, to the deterrent effects on the exercise of the fundamental rights laid down in Articles 7 and 11 of the Charter, referred to in paragraph 118 of this judgment, which the retention of those data may produce and, second, to the seriousness of the interference which such retention entails, it is necessary, in a democratic society, that it should be the exception rather than the rule, as provided for by the system set up by Directive 2002/58, and that those data may not be systematically and continuously retained. That conclusion is also necessary in relation to the objectives of combating serious crime and preventing serious threats to public security and the importance which must be attached to them.(…)»”
“A Carta dos Direitos Fundamentais da União Europeia (CDFUE) constitui um catálogo de direitos fundamentais que vincula, acima de tudo, a própria União Europeia (n.º 1 do artigo 6.º do Tratado da União Europeia [TUE]; n.º 1 do artigo 51.º da CDFUE). Garante, assim, que a convenção do exercício em comum, em cooperação ou pelas instituições da União, de poderes estaduais não implica uma redução da tutela dos cidadãos, porquanto a União Europeia está, ela própria, vinculada por um catálogo de direitos fundamentais redigido à imagem dos textos constitucionais nacionais.
Simplesmente, em virtude do princípio da administração indireta, não é — em regra — a União Europeia a executar e a aplicar os seus próprios atos, cabendo tal missão às autoridades nacionais (cfr. artigo 291.º do Tratado sobre o Funcionamento da União Europeia [TFUE]). Por essa razão, a CDFUE vincula também os Estados-Membros quando estes apliquem direito da União Europeia (artigo 51.º CDFUE). Nessas circunstâncias — isto é, quando autoridades nacionais legiferam em aplicação direito da União Europeia —, ficam os Estados-Membros vinculados ao parâmetro europeu de proteção dos direitos fundamentais.
A jurisprudência do Tribunal de Justiça da União Europeia (TJUE) permite identificar três situações que correspondem ao pressuposto de aplicação da Carta aos Estados-Membros «quando apliquem o direito da União» (artigo 51.º CDFUE): a atuação dos Estados como agentes da União, efetivando as suas normas — designadamente, transpondo diretivas (i); a ação dos Estados em domínios em que as regras comunitárias conferem às autoridades nacionais margem de apreciação, v. g. admitindo derrogações às normas de fonte europeia (ii); atividade legiferante nacional em domínios que são já objeto de regulação comunitária (iii).
Nessa medida, as normas cuja declaração de inconstitucionalidade é pedida estão indiscutivelmente no âmbito de aplicação do direito da União Europeia e, assim, da CDFUE.”
Neste quadro, as medidas adotadas pelos Estados-Membros que estabeleçam tais intromissões — sejam elas adotadas em transposição da Diretiva 2006/24/CE, entretanto declarada inválida; ou, ao invés, ao abrigo das exceções à inviolabilidade das comunicações eletrónicas permitidas pelo artigo 15.º da Diretiva 2002/58/CE — situam-se no âmbito de aplicação do direito europeu. O que implica a conclusão de que o Estado está vinculado à norma do artigo 15.º da Diretiva 2002/58/CE e, igualmente, à CDFUE (…)”
“Neste quadro, pode perguntar-se se a eventual inconciliabilidade das normas fiscalizadas com regras europeias vinculativas (em concreto, os direitos consagrados nos artigos 7.º e 8.º da CDFUE; e as obrigações impostas ao Estado por força do artigo 15.º da Diretiva 2002/58/CE) gera, nos termos definidos pelo Direito da União, a invalidade das normas em crise. Cabendo a este Tribunal declarar a sua invalidade com fundamento na transgressão de regras e princípios de direito da União Europeia.
Assim não é. Conservando o direito da União Europeia autonomia face à ordem jurídica interna, a ordem jurídica nacional não é afetada, ao nível da validade, pelas normas europeias; nem a ordem jurídica europeia é, em princípio, afetada ao nível da sua validade — mesmo quando as suas normas são aplicadas ao nível interno — por contradizer as Constituições nacionais. O princípio da autonomia do direito da União Europeia concretiza-se na existência, ao nível europeu, de mecanismos próprios de interpretação, controlo e aplicação, repercutidos no sistema jurisdicional de apreciação da validade das suas normas.”
“Em consequência, a eventual contrariedade das normas ora em crise com regras de direito da União Europeia que possam ser invocáveis no plano interno terá como resposta do sistema judicial nacional a desaplicação das normas internas — sem que estas sejam expurgadas do ordenamento jurídico ou que se gere, por esse efeito, a sua invalidade. Foi justamente o que decidiu a Comissão Nacional de Proteção de Dados (CNPD): considerando, na sua deliberação n.º 641/2017, de 9 de maio de 2017, que o regime contido na Lei n.º 32/2008 contraria o Direito da União Europeia — por transgressão desproporcionada dos artigos 7.º e 8.º da CDFUE —, deliberou desaplicar a Lei n.º 32/2008, com fundamento no primado do direito da União Europeia (Deliberação n.º 1008/2017, de 18 de julho de 2017).
Não é esse o problema que se põe ao Tribunal Constitucional nos presentes autos. O Tribunal Constitucional é chamado a apreciar a validade de normas jurídicas nacionais e não a resolver um problema aplicativo ao caso concreto de normas conflituantes de ordens jurídicas autónomas; nem é chamado, como sucedeu no caso que deu origem ao Acórdão n.º 422/2020, a pronunciar-se sobre a conformidade constitucional de normas organicamente europeias. Nessa medida, o papel do direito da União Europeia nos presentes autos será necessariamente outro, sendo certo que é à ordem jurídica comunitária que cabe definir a sua missão, nos termos reconhecidos pelo n.º 4 do artigo 8.º da Constituição.”
“Deste modo, a incompatibilidade de certa norma nacional com o direito da União Europeia não implica, de forma automática, um juízo de inconstitucionalidade; provoca, ao invés, uma afetação da sua eficácia no plano interno, na medida em que contradiga regras europeias simultaneamente mobilizáveis. E, nos termos como o direito da União Europeia o define, este efeito dá-se independentemente da fonte das normas conflituantes: quer a norma europeia conste de direito originário (como a CDFUE, nos termos do artigo 6.º do TUE) ou derivado (como uma diretiva ou um Regulamento); quer a norma nacional conste de ato regulamentar, de ato legislativo ou mesmo da Constituição.”
“É o que sucede no domínio de direitos fundamentais que estejam simultaneamente previstos na Constituição e na CDFUE, sobretudo quando nesta última se preveja um nível de proteção mais elevado (cfr. artigo 53.º da CDFUE). Operando-se uma ponderação das fontes internacionais de direitos fundamentais no momento da aplicação das normas e princípios constitucionais internos.
Daqui decorre que, quando o Estado atua no domínio de aplicação do direito da União Europeia (n.º 1 do artigo 51.º da CDFUE), o sentido a dar aos direitos fundamentais que parametrizam a validade das normas internas deve privilegiar uma consonância com as normas europeias a que o Estado se encontra vinculado, estabelecendo-se uma relação interativa, mais do que hierárquica. E, caso ocorram conflitos entre os parâmetros, a solução será procurada “by seeking to interpret the Constitution according to Community law” (...)Bem se compreende que assim seja. No quadro da rede comunicante de proteção dos direitos fundamentais, a uniformidade de aplicação do direito da União pelos Estados-Membros estaria em causa se os parâmetros fossem díspares, fixando um nível de proteção inferior àquele que é garantido pela CDFUE.”
“A atuação do princípio de interpretação conforme alastra às condições de restrição dos direitos fundamentais: o juízo de proporcionalidade na limitação dos direitos fundamentais assegurados pela CDFUE não se desliga daquele que é operado pelo Tribunal de Justiça. No fundo, ainda que o parâmetro de validade das normas de direito interno seja encontrado na Constituição, a reflexão constitucional deixa de ter como horizonte exclusivo de referência o quadro nacional, pelo que a multiplicidade de fontes de proteção dos direitos fundamentais — associada à diversidade de instâncias jurisdicionais de tutela, inseridas em ordenamentos jurídicos distintos e entre os quais não existe uma relação de hierarquia — implica uma concordância prática entre os parâmetros convocados. Que é assegurada, justamente, pelo cânone da interpretação conforme. Aliás, a articulação do texto constitucional com os parâmetros europeus é exercida pelo próprio legislador constituinte, que vai moldando o conteúdo dos preceitos da Lei Fundamental aos padrões de proteção comunitários — o que é especialmente claro nas sucessivas revisões do artigo 35.º da Constituição, relativo à utilização da informática.”
“Por estas razões, situando-se as normas fiscalizadas no domínio de aplicação do direito da União Europeia, a interpretação dos parâmetros constitucionais a que as regras em crise se submetem tem em conta o sentido das normas europeias, procurando-se estabelecer a interpretação mais próxima do direito europeu. É, aliás, o que a requerente sustenta nos artigos 42.º a 45.º do pedido, solicitando ao Tribunal Constitucional que interprete os parâmetros da Constituição portuguesa à luz da Carta.”
"Com efeito, o artigo 7.º da CDFUE, relativo ao respeito pela vida privada e familiar, ao domicílio e às comunicações, é decalcado no disposto no artigo 8.º da CEDH, devendo ser interpretado com o mesmo sentido e alcance (n.º 3 do artigo 52.º da CDFUE). O que implica que o regime das suas restrições seja idêntico, como concluiu o Tribunal de Justiça no Acórdão de 15 de novembro de 2011, Dereci, proc. C-256/11, n.º 70: «o artigo 7.° da Carta dos Direitos Fundamentais da União Europeia (a seguir «Carta»), relativo ao direito ao respeito da vida privada e familiar, consagra direitos correspondentes aos que são garantidos pelo artigo 8.°, n.º 1, da CEDH e que se deve, portanto, dar ao artigo 7.° da Carta o mesmo sentido e o mesmo alcance que o sentido e o alcance dados ao artigo 8.°, n.º 1, da CEDH, conforme interpretado pela jurisprudência do Tribunal Europeu dos Direitos do Homem». Neste quadro, mobilizou-se, para densificação do artigo 7.º da CDFUE, o regime do n.º 2 do artigo 8.º da CEDH: «Não pode haver ingerência da autoridade pública no exercício deste direito senão quando esta ingerência estiver prevista na lei e constituir uma providência que, numa sociedade democrática, seja necessária para a segurança nacional, para a segurança pública, para o bem-estar económico do país, a defesa da ordem e a prevenção das infrações penais, a proteção da saúde ou da moral, ou a proteção dos direitos e das liberdades de terceiros». Simplesmente, diferentemente do que sucede na CEDH, a Carta autonomizou o direito à proteção de dados pessoais (no artigo 8.º da CDFUE), sem deixar de reconhecer uma relação indissociável entre ambos (Acórdão Volker, cit., n.º 47).
Com estes parâmetros, o sentido dos direitos fundamentais consagrados na Carta foi densificado pelo Juiz comunitário, quer a propósito da confrontação dos atos adotados pela União Europeia com aqueles parâmetros quer, por outro lado, pela análise da sua conciliabilidade com os regimes nacionais adotados em aplicação do direito da União Europeia. E no seu âmbito de proteção abrangeram-se não apenas os dados de identificação de uma pessoa como aqueles que permitam chegar a essa identificação (como número de telefone, os endereços de correio eletrónico e de IP do computador)."
“Ora, chamado a pronunciar-se prejudicialmente, o TJUE concluiu pela invalidade das normas da diretiva de 2006, por implicarem uma restrição desproporcionada aos direitos ao respeito pela vida privada e familiar e à proteção de dados pessoais, consagrados, respetivamente, nos artigos 7.º e 8.º da CDFUE e por estabelecerem de forma indeterminada o leque de crimes cuja investigação ou repressão pode admitir o acesso aos dados conservados (Acórdão Digital Rights Ireland, cit., n.ºs 26 a 29; e 41 a 43). Sendo o direito derivado da União Europeia parametrizado pelo respetivo direito primário — e que a CDFUE assume justamente esse valor (cfr. n.º 1 do artigo 6.º do TUE) —, concluiu o Juiz europeu não estarem preenchidos os pressupostos da sua restrição (n.º 1 do artigo 52.º da CDFUE). (...) O Acórdão Digital Rights Ireland permite, assim, delimitar o parâmetro comunitário de admissibilidade das medidas de conservação dos dados de tráfego e de localização: à luz da Carta, é possível a sua estatuição (sendo adequadas à proteção de um interesse geral relevante), embora a regulamentação deva restringir a sua aplicação ao indispensável para aquele objetivo, mediante definição seletiva do universo de dados e de titulares afetados (i), o estabelecimento de garantias no acesso das autoridades a essas informações (ii), a estatuição de critérios objetivos de duração da conservação por atenção aos objetivos visados (iii) e a criação de mecanismos de segurança de proteção eficaz desses dados contra abusos, utilização e acesso ilícitos (iv) (Acórdão Digital Rights Ireland, cit., n.ºs 51 e 56 a 59).”
“A primeira decisão do Tribunal de Justiça sobre a compatibilidade com a CDFUE de regimes nacionais adotados em transposição da Diretiva 2006/24/CE (entretanto declarada inválida) foi o Acórdão de 21 de dezembro de 2016, Tele2, proc. C-203/15 e C-698/15. Aí se considerou que o estabelecimento, pelo legislador nacional, de uma obrigação de conservação de todos os dados de tráfego de todos os utilizadores e assinantes padecia da mesma incompatibilidade com a CDFUE que havia sido assacada à diretiva em que se baseou. Em consequência, o Tribunal de Justiça indicou, por via da interpretação do artigo 15.º da Diretiva n.º 2002/58/CE, o figurino da legislação nacional que pode ter-se por compatível com os direitos garantidos pela Carta, cumprindo os requisitos de restrição estabelecidos no seu artigo 52.º: a norma do artigo 15.º da Diretiva n.º 2002/58/CE, conjugada com o disposto nos artigos 7.º, 8.º e 52.º da Carta, «(…) não se opõe a que um Estado‑Membro adote uma regulamentação que permita, a título preventivo, a conservação seletiva dos dados de tráfego e dos dados de localização, para efeitos de luta contra a criminalidade grave, desde que a conservação dos dados seja limitada ao estritamente necessário, no que se refere às categorias de dados a conservar, aos equipamentos de comunicação visados, às pessoas em causa e à duração de conservação fixada» (n.º 108). O que impõe, por isso, a previsão de «normas claras e precisas que regulem o âmbito e a aplicação dessa medida de conservação dos dados e que imponham exigências mínimas, de modo a que as pessoas cujos dados foram conservados disponham de garantias suficientes que permitam proteger eficazmente os seus dados pessoais contra os riscos de abuso» (n.º 109), que subordine a conservação de dados «a critérios objetivos, que estabeleçam uma relação entre os dados a conservar e o objetivo prosseguido» (n.º 110) e que opere uma delimitação do universo de pessoas e de situações por ela abrangidas, que «deve basear-se em elementos objetivos que permitam visar um público cujos dados sejam suscetíveis de revelar uma relação, pelo menos indireta, com atos de criminalidade grave, de contribuir de uma maneira ou outra para a luta contra a criminalidade grave ou de prevenir um risco grave para a segurança pública» (n.º 111).”
“Em outubro de 2020, o Tribunal de Justiça voltou a pronunciar-se sobre a compatibilidade do disposto no artigo 15.º da Diretiva 2002/58/CE, conjugado com os artigos 7.º e 8.º da CDFUE, com regimes jurídicos nacionais que prevejam uma obrigação generalizada da conservação de metadados pelos operadores de telecomunicações com vista a serem transmitidos às autoridades competentes para a ação penal (Acórdão La quadrature du net, cit.). Reiterando a jurisprudência do Acórdão Tele2 quanto aos dados de tráfego e de localização — e considerando, por isso, incompatível com o direito da União Europeia um regime nacional que prescreva a obrigação indiferenciada de dados de tráfego, por restringir desproporcionadamente os direitos consagrados nos artigos 7.º e 8.º da CDFUE (n.ºs 112 a 133) —, pronunciou-se separadamente sobre a obrigação de conservação generalizada de dados de base e de endereços de protocolo IP dinâmicos que indiquem a fonte de uma comunicação (aqueles que pressupõem uma análise do contexto das comunicações e que, por isso, é duvidosa a sua qualificação como dados de base ou dados de tráfego).”
"Similar conclusão foi, de resto, extraída pelo Tribunal de Justiça da União Europeia, ao determinar que as garantias de segurança a que se refere o n.º 3 do artigo 8.º da CDFUE dependem do local de conservação dos dados. Ao declarar a invalidade da Diretiva n.º 2006/24/CE, considerou o Juiz comunitário que «a referida diretiva não impõe que os dados em causa sejam conservados no território da União, pelo que não se pode considerar que esteja plenamente garantida a fiscalização, por uma entidade independente, expressamente exigida pelo artigo 8.º, n.º 3, da Carta, do respeito das exigências de proteção e de segurança, tal como referidas nos dois números anteriores. Ora, semelhante fiscalização, efetuada com base no direito da União, constitui um elemento essencial do respeito da proteção das pessoas relativamente ao tratamento dos dados pessoais» (Acórdão Digital Rights, n.º 68). O que se reiterou no Acórdão Tele 2 (cit.):
«122 (…) Tendo em conta a quantidade de dados conservados, o caráter sensível desses dados bem como o risco de acesso ilícito aos mesmos, os prestadores de serviços de comunicações eletrónicas devem, para assegurar a plena integridade e a confidencialidade dos referidos dados, garantir um nível particularmente elevado de proteção e de segurança através de medidas técnicas e de organização adequadas. Em especial, a regulamentação nacional deve prever a conservação no território da União bem como a destruição definitiva dos dados no termo do respetivo período de conservação (v., por analogia, no que se refere à Diretiva 2006/24, acórdão Digital Rights, n.ºs 66 a 68).
123 Seja como for, os Estados-Membros devem garantir o controlo, por parte de uma autoridade independente, do respeito do nível de proteção garantido pelo direito da União em matéria de proteção das pessoas singulares relativamente ao tratamento dos dados pessoais, sendo esse controlo explicitamente exigido pelo artigo 8.º, n.º 3, da Carta e constituindo, em conformidade com jurisprudência constante do Tribunal de Justiça, um elemento essencial do respeito da proteção das pessoas relativamente ao tratamento dos dados pessoais. Se assim não fosse, as pessoas cujos dados pessoais estivessem conservados ficariam privadas do direito, garantido pelo artigo 8.º, n.ºs 1 e 3, da Carta, de apresentar pedidos às autoridades nacionais de controlo para efeitos da proteção dos seus dados (v., neste sentido, acórdão Digital Rights, n.º 68, e de 6 de outubro de 2015, Schrems, C-362/14, EU:C:2015:650, n.ºs 41 e 58)»"
“Ora, tendo em conta que o direito da União Europeia, tal como recebido pelo n.º 4 do artigo 8.º da Constituição, prescreve uma interpretação dos parâmetros constitucionais em conformidade com as normas europeias, de modo a alcançar o seu pleno efeito útil (cfr. supra, ponto 8.), a modificação da metodologia já seguida pelo Tribunal Constitucional apenas se imporia caso redundasse em proteção jusfundamental incompatível com os parâmetros extraíveis da CDFUE. No fundo, só se dessa forma se concluísse por um juízo de não inconstitucionalidade e se as normas fiscalizadas fossem tidas por incompatíveis com o direito da União Europeia seria necessário apurar se a ponderação isolada das normas fiscalizadas implicaria conclusão diversa que, assim, pudesse ter-se como mais adequada à plena eficácia do direito da União Europeia.”
“«155. Nestas condições, embora seja verdade que uma medida legislativa que prevê a conservação dos endereços IP de todas as pessoas singulares proprietárias de um equipamento terminal a partir do qual pode ser efetuado um acesso à Internet visa pessoas que, à primeira vista, não têm uma relação, na aceção da jurisprudência referida no n.º 133 do presente acórdão, com os objetivos prosseguidos e que os internautas são titulares, conforme referido no n.º 109 do presente acórdão, do direito de esperar, por força dos artigos 7.o e 8.o da Carta, que a sua identidade não seja, em princípio, revelada, uma medida legislativa que prevê a conservação generalizada e indiferenciada apenas dos endereços IP atribuídos à fonte de uma ligação não se afigura, em princípio, contrária ao artigo 15.º, n.º 1, da Diretiva 2002/58, lido à luz dos artigos 7.º, 8.º, 11.º e 52.º, n.º 1, da Carta, desde que essa possibilidade esteja sujeita ao estrito respeito das condições materiais e processuais que devem reger a utilização desses dados.
156. Tendo em conta o caráter grave da ingerência nos direitos fundamentais consagrados nos artigos 7.º e 8.º da Carta que esta conservação comporta, só a luta contra a criminalidade grave e a prevenção das ameaças graves contra a segurança pública são suscetíveis, à semelhança da salvaguarda da segurança nacional, de justificar essa ingerência. Além disso, o período de conservação não pode exceder o estritamente necessário à luz do objetivo prosseguido. Por último, uma medida desta natureza deve prever requisitos e garantias estritas quanto à exploração desses dados, nomeadamente através de um rastreio das comunicações e atividades efetuadas em linha pelas pessoas em causa.
157. No que diz respeito, por último, aos dados relativos à identidade civil dos utilizadores dos meios de comunicações eletrónicos, estes dados não permitem, por si só, conhecer a data, a hora, a duração e os destinatários das comunicações efetuadas, nem os locais onde estas comunicações decorreram ou a frequência das mesmas com determinadas pessoas durante um determinado período, de modo que não fornecem, com exceção das coordenadas destes, tais como os seus endereços, nenhuma informação sobre as comunicações efetuadas nem, consequentemente, sobre a sua vida privada. Assim, a ingerência que comporta uma conservação destes dados não pode, em princípio, ser qualificada de grave (v., neste sentido, Acórdão de 2 de outubro de 2018, Ministerio Fiscal, C-207/16, EU:C:2018:788, n.ºs 59 e 60).
158. Daqui decorre que, em conformidade com o que foi referido no n.º 140 do presente acórdão, as medidas legislativas que visam o tratamento desses dados enquanto tais, nomeadamente a sua conservação e o acesso a estes apenas para efeitos da identificação do utilizador em causa, e sem que os referidos dados possam ser associados a informações relativas às comunicações efetuadas, podem ser justificadas pelo objetivo de prevenção, de investigação, de deteção e de repressão de infrações penais em geral, a que se refere o artigo 15.º, n.º 1, primeiro período, da Diretiva 2002/58 (v., neste sentido, Acórdão de 2 de outubro de 2018, Ministerio Fiscal, C-207/16, EU:C:2018:788, n.º 62).
159. Nestas condições, tendo em conta a necessária ponderação dos direitos e interesses em causa e pelas razões que figuram nos n.ºs 131 e 158 do presente acórdão, há que considerar que, mesmo na falta de ligação entre todos os utilizadores dos meios de comunicações eletrónicos e os objetivos prosseguidos, o artigo 15.º, n.º 1, da Diretiva 2002/58, lido à luz dos artigos 7.º, 8.º, 11.º e 52.º, n.º 1, da Carta, não se opõe a uma medida legislativa que impõe, sem prazo específico, aos prestadores de serviços de comunicações eletrónicas a conservação de dados relativos à identidade civil de todos os utilizadores de meios de comunicações eletrónicos para efeitos de prevenção, investigação, deteção e repressão de infrações penais, assim como da salvaguarda da segurança pública, não sendo necessário que as infrações penais ou que as ameaças ou as ofensas à segurança pública sejam graves» (…)”
“Ora, a restrição aos direitos fundamentais agredidos com esta regulamentação não obedece às exigências de proporcionalidade, desde logo por atenção ao âmbito alargado da medida. O que, de resto, coincide com a conclusão do Tribunal de Justiça — versando apenas sobre os dados que, entre nós, são classificados como dados de tráfego e dados de localização — sobre o carácter manifestamente excessivo da conservação generalizada destes dados quanto a todos os utilizadores e assinantes, no Acórdão La quadrature du net, cit., n.ºs 141 a 144:
«141. Uma regulamentação nacional que prevê a conservação generalizada e indiferenciada de dados de tráfego e de dados de localização, com vista a lutar contra a criminalidade grave, excede os limites do estritamente necessário e não pode ser considerada justificada, numa sociedade democrática, como exige o artigo 15.º, n.º 1, da Diretiva 2002/58, lido à luz dos artigos 7.º, 8.º, 11.º e 52.º, n.º 1, da Carta (v., neste sentido, Acórdão de 21 de dezembro de 2016, Tele2, C-203/15 e C-698/15, EU:C:2016:970, n.o 107).
142. Com efeito, tendo em conta o caráter sensível das informações que os dados de tráfego e os dados de localização podem fornecer, a sua confidencialidade é essencial para o direito ao respeito da vida privada. Assim, e tendo em conta, por um lado, os efeitos dissuasivos no exercício dos direitos fundamentais consagrados nos artigos 7.º e 11.º da Carta, referidos no n.º 118 do presente acórdão, que a conservação desses dados pode produzir e, por outro, a gravidade da ingerência que tal conservação implica, é necessário, numa sociedade democrática, que esta seja a exceção e não a regra, como prevê o sistema instituído pela Diretiva 2002/58, e que esses dados não possam ser objeto de uma conservação sistemática e contínua. Esta conclusão impõe-se mesmo em relação aos objetivos de luta contra a criminalidade grave e de prevenção das ameaças graves contra a segurança pública, bem como à importância que lhes deve ser reconhecida.(…)»”
