Importa definir o que são metadados: são “dados sobre dados”, correspondendo a marcos ou pontos de referência que permitem circunscrever a informação de todas as formas, nomeadamente identificando, descrevendo ou localizando tal informação, aí se incluindo os dados de tráfego das comunicações eletrónicas. Têm vindo a ser entendidos como estando separados do núcleo duro da informação, ou seja, do seu conteúdo. Quer isto dizer que, muito embora permitam perceber, por exemplo, quem fez determinada chamada, a quem ligou e quanto tempo durou a conversa, não revelam o seu conteúdo. O mesmo se passa, por exemplo, com imagens ou vídeos: sabe-se quando e onde foram captados, mas não o que contêm. São, por isso, uma espécie de rasto digital de todos os dados que enviamos ou comunicações que efetuamos.

A questão que tem vindo a ser colocada, quer a nível nacional, quer a nível europeu, é a da admissibilidade da retenção dos metadados resultantes de comunicações face ao direito à reserva da vida privada e à proteção dos dados pessoais.

No contexto europeu, o cerne da questão está na Diretiva 2006/24/CEE, relativa à conservação de dados gerados ou tratados na oferta de serviços de comunicações eletrónicas publicamente disponíveis ou de redes públicas de comunicações. Com o objetivo de garantir a disponibilidade destes dados para efeitos de investigação, de deteção e de repressão de crimes graves, tal como definidos no direito nacional de cada Estado-Membro, esta diretiva pretendeu “harmonizar as disposições dos Estados-Membros relativas às obrigações dos fornecedores de serviços de comunicações eletrónicas publicamente disponíveis ou de uma rede pública de comunicações em matéria de conservação de determinados dados por eles gerados ou tratados” (n.º 1 do artigo 1.º).

No entanto, a Diretiva foi considerada inválida pelo Tribunal de Justiça da União Europeia (TJUE) ¹, por entender que se verificava uma ingerência inadmissível nos direitos fundamentais consagrados nos artigos 7. ° (proteção da vida privada) e 8. ° (proteção de dados pessoais) da Carta dos Direitos Fundamentais da União Europeia (CDFUE), tendo em conta que não seria possível garantir que a ingerência nos referidos direitos se limitava ao estritamente necessário. Na base desta decisão esteve o facto de o diploma abranger de maneira geral todas as pessoas, todos os meios de comunicação eletrónica e todos os dados relativos ao tráfego, e não ser efetuada nenhuma diferenciação, limitação ou exceção em função do objetivo de luta contra as infrações graves.

A 6 de outubro de 2020 e a 20 de setembro de 2022, o TJUE voltou a pronunciar-se sobre esta matéria, confirmando a sua jurisprudência anterior, no sentido de que os dados das comunicações eletrónicas são confidenciais e, em princípio, os dados de tráfego e de localização não podem ser conservados de forma geral e indiscriminada. O TJUE estabeleceu, contudo, exceções limitadas e bem delimitadas a esta regra, por razões de segurança nacional, da luta contra a criminalidade ou da prevenção de ameaças graves contra a segurança pública.

Por seu lado, em Portugal, foi a Lei n.º 32/2008, de 17 de julho, também designada por “Lei dos Metadados” ², que passou a estabelecer as regras relativas à conservação dos dados gerados ou tratados no contexto da oferta de serviços de comunicações eletrónicas. A redação desta lei seguiu, em grande parte, aquilo que se previa na Diretiva n.º 2006/24/CE, nomeadamente no que se refere à definição de conceitos, às categorias de dados a conservar ou à proteção e segurança dos dados.

A 19 de abril de 2022, a requerimento da Provedora de Justiça, o Tribunal Constitucional (TC) declarou a inconstitucionalidade, com força obrigatória geral, de alguns artigos desta lei ³, em concreto:

- Das normas que determinavam a conservação e o armazenamento dos dados pessoais pelo período de um ano, uma vez que comprimiam, no entender do Tribunal Constitucional, pelo menos, os direitos à reserva da intimidade da vida privada, ao livre desenvolvimento da e à autodeterminação informativa ⁴;

- Da norma que previa a transmissão dos designados metadados armazenados às autoridades competentes para investigação, deteção e repressão de crimes graves, na parte em que não previa uma notificação ao visado de que os dados conservados tinham sido acedidos pelas autoridades de investigação criminal, a partir do momento em que tal comunicação não fosse suscetível de comprometer as investigações nem a vida ou integridade física de terceiros ⁵. De facto, esta norma possibilitava a transmissão dos referidos dados por despacho fundamentado do juiz de instrução, se houvesse razões para crer que a diligência é indispensável para a descoberta da verdade ou que a prova seria, de outra forma, impossível ou muito difícil de obter no âmbito da investigação, deteção e repressão de crimes graves.

Entendeu o Tribunal Constitucional que, ao não se prever a notificação dos visados de que os seus dados foram acedidos pelos órgãos competentes de investigação criminal, restringia-se “de modo desproporcionado o direito à autodeterminação informativa, consagrado no artigo 35.º, n.º 1, da Constituição (na dimensão de controlo do acesso de terceiros a dados pessoais) afetando, igualmente, o direito a uma tutela jurisdicional efetiva (artigo 20.º, n.º 1, da Constituição), por prejudicar a viabilidade prática de exercício de controlo judicial de acessos abusivos ou ilícitos aos dados conservados”.

Na sequência desta declaração de inconstitucionalidade, o Governo apresentou uma proposta de lei, no sentido de regular o acesso a metadados referentes a comunicações eletrónicas para fins de investigação criminal. Foram igualmente apresentados projetos de lei pelo PSD, CH e PCP. A 8 de junho de 2022, foi criado, na Assembleia da República, um grupo de trabalho, com o objetivo de harmonizar as várias iniciativas legislativas e a decisão de inconstitucionalidade proferida, cuja atividade ainda está em curso.

 

Filipa Paixão

 

[1] Proferida a 8 de abril de 2014, relativa aos processos n.^os C-293/12 e C-594/12.

[2] A qual transpôs para a ordem jurídica interna a Diretiva n.º 2006/24/CE, do Parlamento Europeu e do Conselho, de 15 de março.

[3] Acórdão n.º 268/2022.Artigo 4.º, conjugado com o artigo 6.º, da Lei n.º 32/2008, de 17 de julho.

[4] Artigo 4.º, conjugado com o artigo 6.º, da Lei n.º 32/2008, de 17 de julho.

[5] Artigo 9.º da Lei n.º 32/2008, de 17 de julho.