Legal Alert | Alteração da regulação do acesso a metadados referentes a comunicações eletrónicas para fins de investigação criminal

No passado dia 5 de fevereiro, foi publicada, em Diário da República, a Lei n.º 18/2024 (Lei n.º 18/2024), que entrou em vigor no dia seguinte ao da sua publicação, e que serve as seguintes finalidades:

1. Alteração da Lei n.º 32/2008, de 17 de julho (Lei n.º 32/2008), que regula a conservação e a transmissão dos dados de tráfego e de localização relativos a pessoas singulares e a pessoas coletivas, bem como dos dados conexos necessários para identificar o assinante ou o utilizador registado, para fins de investigação, deteção e repressão de crimes graves por parte das autoridades competentes, conformando-a com os Acórdãos do Tribunal Constitucional n.os 268/2022, de 19 de abril e 800/2023, de 4 de dezembro de 2023; e
2. Alteração da Lei da Organização do Sistema Judiciário, aprovada pela Lei n.º 62/2013, de 26 de agosto (Lei n.º 62/2013).

O presente Legal Alert visa enquadrar e assinalar as principais alterações introduzidas nestes dois diplomas legais.

I. Enquadramento e Antecedentes

Através da Lei n.º 18/2024, o legislador procurou dar resposta aos problemas suscitados pelo Tribunal de Justiça da União Europeia (TJUE) e pelo Tribunal Constitucional (TC) sobre a admissibilidade da retenção dos metadados resultantes de comunicações – leia-se, dados de tráfego e de localização – em face do direito à reserva da vida privada e da proteção dos dados pessoais.

O tema da conservação de metadados foi, numa primeira fase, objeto de regulação pelo legislador europeu, através da Diretiva 2006/24/CE do Parlamento Europeu e do Conselho, de 15 de março (Diretiva 2006/24/CE). Esta Diretiva, transposta para a ordem jurídica nacional pela Lei n.º 32/2008, estabelecia a obrigação de os Estados‑Membros tomarem medidas para garantir a conservação de dados para efeitos de investigação, deteção e repressão de crimes graves.

Posteriormente, o TJUE veio declarar a invalidade da Diretiva 2006/24/CE, por Acórdão de 8 de abril de 2014, por considerar que o acesso das autoridades competentes a metadados permitia extrair conclusões sobre a vida privada dos seus titulares, o que se afigurava uma ingerência desproporcional nos seus direitos e liberdades.

Em Portugal, através do Acórdão n.º 268/2022, de 19 de abril, o TC declarou a inconstitucionalidade, com força obrigatória geral, das normas que permitiam uma recolha indiscriminada de dados de tráfego e que não previam a notificação ao visado do acesso aos dados por autoridades de investigação criminal.

Nessa sequência, a Assembleia da República (AR), aprovou o Decreto n.º 91/XV, de 26 de outubro de 2023. Através do Acórdão n.º 800/2023, de 4 de dezembro de 2023, em sede de fiscalização preventiva da constitucionalidade, o TC pronunciou-se novamente no sentido da desconformidade constitucional de normas respeitantes à conservação de dados de tráfego e de localização, já que estas permaneciam gerais e indiferenciadas, atingindo sujeitos relativamente aos quais não existisse suspeita de atividade criminosa.

Consequentemente, a AR enviou nova proposta de alteração legislativa ao Presidente da República, tendo o respetivo diploma resultado nas alterações que em seguida se detalham.

II. Alteração à Lei n.º 32/2008

A Lei n.º 32/2008 foi integralmente republicada, em anexo à Lei n.º 18/2024, tendo sido alterada nos seus artigos 2.º, 4.º, 6.º, 7.º, 9.º, 15.º, 16.º e 17.º.

a) Período e regras de conservação

Na sua redação originária, o artigo 6.º da Lei n.º 32/2008 dispunha que os fornecedores de serviços de comunicações eletrónicas deveriam conservar os dados respeitantes a todas as categorias elencadas no n.º 1 do artigo 4.º da mesma Lei «pelo período de um ano a contar da data da conclusão da comunicação».

Com a entrada em vigor da Lei n.º 18/2024, nos termos do artigo 6.º, n.º 1, da Lei n.º 32/2008, o período de conservação de um ano mantém-se apenas quanto aos seguintes tipos de dados: (i) dados relativos à identificação civil dos assinantes ou utilizadores de serviços de comunicações publicamente disponíveis ou de uma rede pública de comunicações; (ii) demais dados de base; e (iii) endereços de protocolo IP atribuídos à fonte de uma ligação.

Por sua vez, nos termos dos novos n.os. 2 e 3 do mesmo artigo 6.º, os dados de tráfego e de localização apenas podem ser objeto de conservação mediante autorização judicial, a qual tem caráter urgente e deve ser emitida no prazo máximo de 72 horas, após pedido para o efeito. Para salvaguarda da utilidade deste pedido de autorização judicial, a sua submissão deve ser comunicada de imediato pelo Ministério Público aos fornecedores de serviços de comunicações, os quais não deverão eliminar os dados em causa até decisão final sobre a sua conservação, nos termos do artigo 6.º, n.º 4, da Lei n.º 32/2008.

A decisão judicial de conservação de dados de tráfego e de localização deve fundar-se na sua necessidade para a investigação, deteção e repressão de crimes graves. Em conformidade, a fixação e prorrogação do prazo de conservação deve ser limitada ao estritamente necessário para a prossecução destas finalidades, cessando assim que se confirme a desnecessidade de conservação (cf. n.º 5 do artigo 6.º da Lei n.º 32/2008).

b) Proteção e segurança dos dados

Quanto à proteção e segurança dos dados conservados e em conformidade com o disposto no Regulamento (UE) n.º 679/2016 do Parlamento e do Conselho, de 27 de abril de 2016 (RGPD), a nova redação do n.º 4 do artigo 7.º da Lei n.º 32/2008 concretiza que as medidas técnicas e organizativas adequadas para garantir um nível de segurança dos dados devem ser aplicadas por referência a um conjunto amplo de fatores: «as técnicas mais avançadas, os custos de aplicação e a natureza, o âmbito, o contexto e as finalidades do tratamento [e] os riscos, de probabilidade e gravidade variável, para os direitos e liberdades das pessoas singulares». Adicionalmente, no novo n.º 5 do mesmo artigo, a Lei n.º 32/2008 passa a prever um conjunto de critérios que devem ser considerados na avaliação do nível de segurança adequado.

c) Transmissão de dados

Em matéria de transmissão de dados, necessariamente autorizada por juiz de instrução, a nova redação do n.º 2 do artigo 9.º da Lei n.º 32/2008 passa a prever que a autorização judicial apenas pode ser requerida pelo Ministério Público e já não, igualmente, pela autoridade de polícia criminal competente.

No n.º 7 do mesmo artigo 9.º prevê-se agora que o titular dos dados transmitidos é notificado da decisão que autoriza a sua transmissão, no prazo de 10 dias. Não obstante, durante a fase de inquérito, o juiz de instrução pode protelar essa notificação, a pedido do Ministério Público, caso esta comporte riscos para a investigação, dificulte a descoberta da verdade ou crie perigo para a vida, integridade física ou psíquica ou liberdade de pessoas devidamente identificadas. De todo o modo, a notificação do titular dos dados deve ter lugar logo que a razão do protelamento deixe de existir ou, no limite, no prazo máximo de 10 dias a contar da data em que for proferido o despacho de encerramento do inquérito (cf. n.º 8 do mesmo artigo 9.º da Lei n.º 32/2008).

Prevê-se ainda, no novo n.º 9 do mesmo artigo 9.º da Lei n.º 32/2008, que a transmissão de dados a autoridades de outros Estados apenas pode ocorrer no âmbito da cooperação judiciária internacional em matéria penal se esses Estados assegurarem o mesmo nível de proteção de dados pessoais vigente no território da União Europeia.

III. Alteração à Lei n.º 62/2013

Com a entrada em vigor da Lei n.º 18/2024, a Lei n.º 62/2013 sofreu alterações nos artigos 47.º, n.º 4, e 54.º, n.º 4, sob as epígrafes “Organização” e “Competência”, ambos originalmente introduzidos pela Lei Orgânica n.º 4/2017, de 25 de agosto, respetivamente.

Estas alterações respeitam à atribuição de competência para a concessão de autorizações judiciais de conservação de dados de tráfego e localização a uma formação específica das secções criminais do Supremo Tribunal de Justiça, em conformidade com o disposto no novo n.º 7 do artigo 6.º da Lei n.º 32/2008, introduzido pela Lei n.º 18/2024.