Implicações da declaração de invalidade da Diretiva 2006/24 na conservação de dados (“metadados”) nos Estados - Membros da UE: uma leitura jusfundamental

Implicações da declaração de invalidade da Diretiva 2006/24 na conservação... (p. 47-68) 47 SILVEIRA, A; FREITAS, P. M. Implicações da declaração de invalidade da Diretiva 2006/24 na conservação de dados (“metadados”) nos Estados-Membros da UE: uma leitura jusfundamental . Revista de Direito, Estado e Telecomunicações , Brasília, v. 9, n. 1, p. 47-68, maio de 2017. DOI: https://doi.org/10.26512/lstr.v9i1.21513 Implicações da declaração de invalidade da Diretiva 2006/24 na conservação de dados (“metadados”) nos Estados-Membros da UE: uma leitura jusfundamental The Directive 2006/24 declaration of invalidity and the consequences of metadata retention in the EU Member States: A Fundamental Rights Standards Approach Submitted : 15/01/2017 Alessandra Silveira* Pedro Miguel Freitas** Revised : 12/02/2017 Accepted : 07/03/2017 Resumo Propósito: O texto se ocupa da recente jurisprudência do Tribunal de Justiça da União Europeia (TJUE) sobre a conservação de dados (“metadados”) por fornecedores de serviços de comunicações eletrónicas para efeitos de investigação, deteção e repressão de infrações graves. Os autores procuram deslindar as implicações, para as autoridades dos Estados-Membros da União Europeia (UE), da declaração de invalidade da diretiva que regulava a matéria, por forma a afastar uma diferenciação ilegítima de tratamento entre os cidadãos europeus. Metodologia: O texto foi elaborado enquanto se aguardava a resposta do TJUE relativamente às questões prejudiciais formuladas por dois tribunais nacionais (um sueco e outro britânico) quanto aos efeitos da declaração de invalidade da Diretiva 2006/24 na legislação interna que a transpôs. Assim, os autores procuraram antecipar a decisão do TJUE a partir da análise da sua jurisprudência assente, bem como da reação das autoridades dos Estados-Membros na sequência da declaração de invalidade da referida diretiva. Resultados: Os autores julgam ter traçado, à luz das particularidades da proteção dos direitos fundamentais na UE e do modelo jurídico da integração, linhas orientadoras quanto ao procedimento a adotar em casos futuros, por forma a salvaguardar a efetividade do direito da União assim como a igualdade jurídica dos cidadãos europeus. Palavras-chave: conservação de dados, comunicações eletrónicas, direitos fundamentais, direito da União Europeia. * Diretora do Centro de Estudos em Direito da União Europeia (CEDU) da Universidade do Minho. Titular da Cátedra Jean Monnet em Direito da União Europeia. Email: [email protected]. ** Professor na Escola de Direito da Universidade do Minho. Email: [email protected]. 48 Implicações práticas da declaração de invalidade da Diretiva 2006/24/CE na... (p. 47-68) SILVEIRA, A; FREITAS, P. M. Implicações da declaração de invalidade da Diretiva 2006/24 na conservação de dados (“metadados”) nos Estados-Membros da UE: uma leitura jusfundamental . Revista de Direito, Estado e Telecomunicações , Brasília, v. 9, n. 1, p. 47-68, maio de 2017. DOI: https://doi.org/10.26512/lstr.v9i1.21513 Abstract Purpose – The text deals with the recent case law of the European Court of Justice (ECJ) on the directive on the retention of data (metadata) by providers of electronic communications services for the purposes of investigation, detection and prosecution of serious crimes. The authors seek to clarify the implications of the declaration of invalidity of this European directive for the EU Member States, towards the protection of legal equality of European citizens. Methodology/approach/design – The text was drafted while there was a pending ECJ’s response to the questions referred by two national courts (one Swedish and one British) on the effects of that invalidity decision on the domestic legislation that transposed it. Thus, the authors sought to anticipate the Court's decision in the light of its settled case law and the reaction of the Member States’ authorities’ after the declaration of invalidity of the referred directive. Findings – In the light of the particularities of the protection of fundamental rights in the EU and the legal model of integration, the authors draw some guidelines as to the procedure to be followed in future cases in order to safeguard the effectiveness of the Union law, namely when it comes to the legal equality of European citizens. Keywords: conservation of data, electronic communications, fundamental rights, European Union law. Introdução No acórdão Digital Rights Ireland de 2014 1 , o Tribunal de Justiça da União Europeia (TJUE) declarou a invalidade da Diretiva 2006/24 (relativa à conservação de dados gerados ou tratados no contexto da oferta de serviços de comunicações eletrónicas publicamente disponíveis ou de redes públicas de comunicações). Esta diretiva não regulava o tratamento de dados pelas autoridades públicas ou policiais dos Estados-Membros, mas sim a conservação de dados por fornecedores de serviços no exercício de atividades económicas para efeitos de investigação, de deteção e de repressão de infrações graves, independentemente de qualquer pedido prévio de acesso por parte das 1 Acórdão Digital Rights Ireland, de 8 de abril de 2014, processos apensos C-293/12 e C594/12 (disponível em www.curia.europa.eu). Implicações da declaração de invalidade da Diretiva 2006/24 na conservação... (p. 47-68) 49 SILVEIRA, A; FREITAS, P. M. Implicações da declaração de invalidade da Diretiva 2006/24 na conservação de dados (“metadados”) nos Estados-Membros da UE: uma leitura jusfundamental . Revista de Direito, Estado e Telecomunicações , Brasília, v. 9, n. 1, p. 47-68, maio de 2017. DOI: https://doi.org/10.26512/lstr.v9i1.21513 autoridades policiais ou judiciárias dos Estados-Membros. 2 Os dados em causa permitem saber com quem um utilizador comunicou, através de que meio, o tempo da comunicação, o local a partir do qual a comunicação se efetuou, e com que frequência um utilizador comunica com certas pessoas durante um determinado período – informações conhecidas por “metadados” (GUILD; CARRERA, 2014, p. 1). A diretiva era aplicável aos dados de tráfego e aos dados de localização relativos quer a pessoas singulares quer a pessoas coletivas (no Brasil, pessoas jurídicas), incluindo as informações consultadas utilizando uma rede de comunicações eletrónicas, não sendo, todavia, aplicável ao conteúdo das comunicações. De qualquer forma, os Estados-Membros deviam assegurar que os dados fossem conservados por períodos não inferiores a seis meses e não superiores a dois anos, a contar da data da comunicação, de modo que tais dados pudessem ser transmitidos imediatamente, mediante pedido, às autoridades competentes. O cerne da questão residia no fato de que a diretiva abrangia todos aqueles que utilizassem serviços de comunicações eletrónicas na Europa – sem que as pessoas cujos dados eram conservados se encontrassem numa situação suscetível de dar lugar a ações penais. Além disso, a diretiva não previa qualquer diferenciação, limitação ou exceção em função do objetivo de luta contra as infrações graves, pelo que era aplicável mesmo a pessoas cujas comunicações estivessem sujeitas ao segredo profissional. A esta ausência geral de limites acresce que a Diretiva 2006/24 não estabelecia um critério objetivo que permitisse delimitar o acesso das autoridades nacionais competentes aos dados e a sua utilização posterior. Ademais, a diretiva não impunha que os dados em causa fossem conservados no território da União, pelo que não se podia considerar que estivesse plenamente garantida a fiscalização por uma entidade independente. Em última análise, a diretiva obrigava os fornecedores dos serviços de comunicações eletrónicas a conservarem dados cuja exploração torna possível “a cobertura cartográfica fiel e exaustiva dos comportamentos de uma pessoa abrangidos estritamente pela sua vida privada, ou até um retrato completo e preciso da sua identidade privada”. 3 Ora, uma obrigação geral de conservação de dados nestes termos permite ingerências individuais graves por via de uma vigilância direcionada mas 2 As disposições da Diretiva 2006/24 visavam à aproximação das legislações nacionais relativas à obrigação de conservação de dados (artigo 3.°), às categorias de dados a conservar (artigo 5.°), ao período de conservação dos dados (artigo 6.°), à proteção e à segurança dos dados (artigo 7.°), bem como aos requisitos para a sua armazenagem (artigo 8.°). 3 Cfr. conclusões (Advogado-Geral Cruz Villalón) Digital Rights Ireland, de 12 de dezembro de 2013, proc. C-293/12, considerandos 72 a 74. 50 Implicações práticas da declaração de invalidade da Diretiva 2006/24/CE na... (p. 47-68) SILVEIRA, A; FREITAS, P. M. Implicações da declaração de invalidade da Diretiva 2006/24 na conservação de dados (“metadados”) nos Estados-Membros da UE: uma leitura jusfundamental . Revista de Direito, Estado e Telecomunicações , Brasília, v. 9, n. 1, p. 47-68, maio de 2017. DOI: https://doi.org/10.26512/lstr.v9i1.21513 também ingerências em massa porventura ainda mais preocupantes. Isto é, aquelas que afetam uma parte substancial ou mesmo toda a população relevante de um Estado-Membro, como a identificação de todos os indivíduos que sofrem de distúrbios psicológicos ou de todos os indivíduos que se opõem à política do governo. Basta que se identifique instantaneamente todos os indivíduos que contataram um psicólogo durante o período de conservação dos dados ou todos os indivíduos inscritos em listas de distribuição de mensagens de correio eletrónico que criticam a política do governo. 4 O TJUE foi então chamado a apreciar a validade da Diretiva 2006/24 à luz dos artigos 7.° (proteção da vida privada) e 8.° (proteção de dados pessoais) da Carta dos Direitos Fundamentais da União Europeia (CDFUE) e entendeu que a obrigação imposta pela Diretiva 2006/24 aos fornecedores de serviços de comunicações eletrónicas constituía uma ingerência nos referidos direitos fundamentais 5 – e para tanto, pouco importava que se tratasse (ou não) de dados sensíveis ou que os interessados tivessem (ou não) sofrido inconvenientes em razão dessa ingerência. 6 O TJUE entendeu que, se é certo que a luta contra a criminalidade grave assume primordial importância para garantir a segurança pública – e que a sua eficácia pode depender da utilização das técnicas modernas de investigação –, tal objetivo de interesse geral, por muito fundamental que seja, não pode por si só justificar que uma medida de conservação como a que foi instituída pela Diretiva 2006/24 seja considerada necessária para os efeitos daquele combate. 7 Nesta medida, o TJUE concluiu que a Diretiva 2006/24 não previa garantias suficientes, como exige o artigo 8.° da CDFUE, que permitissem assegurar uma proteção eficaz dos dados conservados contra os riscos de abuso e contra qualquer acesso e utilização ilícita dos mesmos. Com efeito, a Diretiva 2006/24 não estabelecia regras que regulassem o alcance da ingerência nos direitos fundamentais dos titulares dos dados de modo a limitá-la ao estritamente necessário. Ao adotar a Diretiva 2006/24 o legislador da União teria excedido os limites impostos pelo princípio da proporcionalidade à luz dos artigos 7.°, 8.° e 52.°, n.° 1 da CDFUE – razão pela qual o TJUE declarou a invalidade da diretiva na sua totalidade, sem reservas quanto aos efeitos temporais da sua decisão (eficácia ex tunc). 4 Cfr. conclusões Tele2 (Advogado-Geral Henrik Saugmandsgaard Øe), de 19 de julho de 2016, processos apensos C-203/15 e C-698/15, considerandos 252 a 258. 5 Cfr. acórdão Digital Rights Ireland, cit., considerando 34. 6 Cfr. acórdão Digital Rights Ireland, cit., considerando 33. 7 Cfr. acórdão Digital Rights Ireland, cit., considerando 61. Implicações da declaração de invalidade da Diretiva 2006/24 na conservação... (p. 47-68) 51 SILVEIRA, A; FREITAS, P. M. Implicações da declaração de invalidade da Diretiva 2006/24 na conservação de dados (“metadados”) nos Estados-Membros da UE: uma leitura jusfundamental . Revista de Direito, Estado e Telecomunicações , Brasília, v. 9, n. 1, p. 47-68, maio de 2017. DOI: https://doi.org/10.26512/lstr.v9i1.21513 A decisão do TJUE suscitou o problema dos efeitos daquela invalidade relativamente às disposições nacionais que transpuseram a diretiva entretanto declarada integralmente inválida. Alguns doutrinadores sugeriram que o impacto da decisão do TJUE sobre as medidas nacionais não era claro – pois o Tribunal não havia dado indicações neste específico caso –, contudo impunha-se o princípio do primado e a consequente conformidade das normas nacionais com o direito da União (BOEHM; COLE, 2014, p. 28). Outros doutrinadores afinaram pelo diapasão tradicional segundo o qual a declaração de invalidade da diretiva não implicaria diretamente a invalidade da lei nacional que a transpôs – na medida em que as normas em causa seriam oriundas de distintas fontes ou ordenamentos jurídicos separados –, sendo todavia imperativo avaliar a conformidade das normas nacionais com o direito da União na sequência da decisão do TJUE (GUERRA; CALVÃO, 2015, p. 79). Diante da dificuldade do problema, não admira que, na sequência do acórdão Digital Rights Ireland, dois tribunais nacionais (um sueco e outro britânico) tenham colocado questões prejudiciais ao TJUE a fim de, em última análise, testar a conformidade de regimes nacionais que continuam a impor uma obrigação geral de conservação de dados a prestadores de serviços de comunicações eletrónicas acessíveis ao público – cujo acórdão foi recentemente publicado. 8 Ou seja, através das referidas questões prejudiciais, o TJUE foi instado a precisar as consequências da invalidade declarada no acórdão Digital Rights Ireland para as autoridades nacionais, assim como deslindar se uma obrigação geral de conservação de dados seria compatível com o artigo 15.°, n.° 1, da Diretiva 2002/58 (relativa ao tratamento de dados pessoais e à proteção da privacidade no setor das comunicações eletrónicas), à luz dos artigos 7.°, 8.° e 52.°, n.° 1, da CDFUE. O referido artigo 15.°, n.° 1, da Diretiva 2002/58 autoriza os Estados-Membros a adotar medidas legislativas de conservação de dados durante um período limitado, desde que respeitados os princípios gerais do direito da União e os direitos fundamentais por ela protegidos. Diante do exposto, no presente texto pretendemos equacionar os efeitos da decisão de invalidade da Diretiva 2006/24 para as autoridades nacionais a partir da evolução da teoria dos direitos fundamentais na União Europeia 9 – e da 8 Acórdão Tele2, de 21 de dezembro de 2016, processos apensos C-203/15 e C-698/15. 9 Sobre o papel dos direitos fundamentais na ordem jurídica da União Europeia para os efeitos da decisão Digital Rights Ireland cfr. Elspeth Guild and Sergio Carrera, The political and judicial life of metadata: Digital Rights Ireland and the trail of the data retention directive, CEPS Papers in Liberty and Security in Europe, 2014 (http://www.ceps.eu); Niklas Vainio and Samuli Miettinen, Telecommunications data retention after Digital Rights Ireland: legislative and judicial reactions in the Member States, in International Journal of Law and Information Technology, 23, 2015. 52 Implicações práticas da declaração de invalidade da Diretiva 2006/24/CE na... (p. 47-68) SILVEIRA, A; FREITAS, P. M. Implicações da declaração de invalidade da Diretiva 2006/24 na conservação de dados (“metadados”) nos Estados-Membros da UE: uma leitura jusfundamental . Revista de Direito, Estado e Telecomunicações , Brasília, v. 9, n. 1, p. 47-68, maio de 2017. DOI: https://doi.org/10.26512/lstr.v9i1.21513 igualdade de posições jurídicas dos cidadãos europeus em que ela assenta – e, nesta medida, demonstrar por que razão defendemos i) que a declaração de invalidade das disposições normativas constantes de uma diretiva europeia afeta inelutavelmente o ato legal de transposição da mesma para o ordenamento jurídico interno e ii) que um Estado-Membro não pode utilizar a faculdade conferida pelo artigo 15.°, n.° 1 da Diretiva 2002/58 para impor a manutenção de uma obrigação geral de conservação de dados na sequência da declaração de invalidade da Diretiva 2006/24. Dos efeitos da declaração de invalidade de uma diretiva na ordem jurídica nacional A declaração de invalidade de uma disposição europeia pelo TJUE em sede de reenvio prejudicial [artigo 267.º do Tratado sobre o Funcionamento da União Europeia (TFUE)] obriga não apenas o juiz nacional que suscitou a questão prejudicial (que não pode aplicar uma disposição europeia considerada inválida pelo TJUE sob pena de criar graves incertezas sobre o direito da União aplicável), 10 mas também todo e qualquer tribunal nacional dos EstadosMembros da União Europeia (pois a declaração de invalidade de uma disposição europeia pelo TJUE constitui razão suficiente para que qualquer outro órgão jurisdicional considere a disposição inválida para os efeitos da decisão que deva proferir). 11 Assim, resulta da jurisprudência assente do TJUE que as autoridades nacionais i) não devem aplicar, sob pena de incumprimento do direito da União, uma disposição normativa europeia considerada inválida pelo TJUE e ii) devem deduzir em seu ordenamento interno as consequências de uma declaração de invalidade de uma disposição europeia pelo TJUE, 12 podendo, justificadamente, submeter novas questões prejudiciais de validade caso subsistam dúvidas relativas aos motivos, ao alcance ou às consequências da invalidade declarada. 13 Da jurisprudência do TJUE também deriva que a declaração de invalidade produz efeitos retroativos – ou seja, remonta à data da entrada em vigor da norma e surte efeitos desde então (ex tunc), salvo se o TJUE entender que ponderosas razões de segurança jurídica justificam a limitação temporal dos 10 Cfr. acórdão International Chemical Corporation, de 13 de maio de 1981, proc. 66/80, considerando 12. 11 Cfr. acórdão International Chemical Corporation, cit., considerando 13. 12 Cfr. acórdão Rey Soda, de 30 de outubro de 1975, proc. 23/75, considerando 51. 13 Cfr. acórdão International Chemical Corporation, cit., considerando 14. Implicações da declaração de invalidade da Diretiva 2006/24 na conservação... (p. 47-68) 53 SILVEIRA, A; FREITAS, P. M. Implicações da declaração de invalidade da Diretiva 2006/24 na conservação de dados (“metadados”) nos Estados-Membros da UE: uma leitura jusfundamental . Revista de Direito, Estado e Telecomunicações , Brasília, v. 9, n. 1, p. 47-68, maio de 2017. DOI: https://doi.org/10.26512/lstr.v9i1.21513 efeitos do acórdão (artigo 264.º do TFUE, relativo ao recurso de anulação, aplicado por analogia em sede de reenvio de validade) 14 . Diante do exposto, não é propriamente árduo perceber que a declaração de invalidade das disposições constantes de uma diretiva afeta inelutavelmente o ato legal de transposição da mesma para o ordenamento jurídico interno. Assim o é por força do princípio da lealdade europeia [artigo 4.º, n.º 3 do Tratado da União Europeia (TUE)], 15 do princípio da igualdade e não discriminação em razão da nacionalidade (artigo 18.º do TFUE) 16 , assim como da força juridicamente vinculativa das decisões do TJUE – que é a instituição competente para garantir o respeito do direito na interpretação e aplicação dos Tratados (artigo 19.º, n.º 1 do TUE). Isto significa que um juiz nacional, confrontado com a aplicação de um diploma legislativo interno que transpõe uma diretiva declarada inválida pelo TJUE, terá de o considerar desconforme com o direito da União e declará-lo inaplicável por força do princípio do primado daquele direito (que deriva do princípio da lealdade europeia). Para tal conclusão ainda relevam i) os princípios que presidem a repartição de competências entre União e Estados-Membros, máxime o princípio da preclusão (artigo 2.º, n.º 2 do TFUE), 17 mas também e sobretudo ii) a ausência de autonomização do direito interno no momento da transposição, pois o diploma legal que transpõe uma diretiva será sempre direito da União Europeia transposto, e não direito de fonte originariamente nacional. Assim, os critérios de interpretação e aplicação das disposições internas que transpõem uma diretiva europeia são definidos pelo direito da União – e vão continuar a sê-lo na sequência da declaração de invalidade de um ato jurídico emitido no exercício das suas competências –, 18 sob pena de comprometer-se a uniformidade/homogeneidade da aplicação do 14 Cfr. acórdão Roquette Frères, de 15 de outubro de 1980, proc. 145/79, considerandos 50-53. 15 Segundo o qual os Estados-Membros tomam todas as medidas gerais ou específicas adequadas para garantir a execução das obrigações decorrentes dos Tratados ou resultantes dos atos das instituições da União. 16 Segundo o qual, no âmbito de aplicação dos Tratados, é proibida toda e qualquer discriminação em razão da nacionalidade, o que proíbe as diferenciações de tratamento entre cidadãos europeus sem justificação razoável. 17 Segundo o qual, no domínio das competências partilhadas entre União e EstadosMembros, estes exercem a sua competência na medida em que a União não tenha exercido a sua, e apenas voltam a exercê-la na medida em que a União tenha decidido deixar de exercer a sua. 18 Neste sentido, cfr. conclusões Tele 2, cit., considerando 191, no qual o Advogado-Geral explica que é impossível interpretar as disposições da CDFUE de modo distinto consoante o regime em causa tenha sido estabelecido a nível da União ou a nível nacional, razão pela qual os critérios desenvolvidos pelo TJUE no acórdão Digital Rights Ireland são relevantes para efeitos da apreciação dos regimes nacionais sobre conservação de dados. 54 Implicações práticas da declaração de invalidade da Diretiva 2006/24/CE na... (p. 47-68) SILVEIRA, A; FREITAS, P. M. Implicações da declaração de invalidade da Diretiva 2006/24 na conservação de dados (“metadados”) nos Estados-Membros da UE: uma leitura jusfundamental . Revista de Direito, Estado e Telecomunicações , Brasília, v. 9, n. 1, p. 47-68, maio de 2017. DOI: https://doi.org/10.26512/lstr.v9i1.21513 direito da União nos distintos Estados-Membros e, em última análise, a própria igualdade jurídica dos cidadãos europeus. Ademais, quando a declaração da invalidade de um ato jurídico da União se baseia numa violação de direitos fundamentais, a ponderação dos diferentes interesses em presença deve ser objeto de uma avaliação muitíssimo atenta – impondo-se, sobretudo, a urgência da cessação da restrição aos direitos fundamentais em causa. Aqui relevam as obrigações que impendem sobre o juiz nacional relativas à apreciação da compatibilidade das medidas nacionais de transposição de uma diretiva com as garantias previstas na CDFUE 19 . De resto, o TJUE já esclareceu que quando um órgão jurisdicional de um Estado-Membro é chamado a fiscalizar a conformidade jusfundamental de uma medida nacional que aplica o direito da União na aceção do artigo 51.°, n.° 1 da CDFUE, 20 mas a ação dos Estados-Membros não é inteiramente determinada pelo direito da União, as autoridades e os órgãos jurisdicionais nacionais podem aplicar os padrões nacionais de proteção dos direitos fundamentais, desde que essa aplicação não comprometa o nível de proteção previsto pela Carta conforme interpretado pelo TJUE, nem o primado, a unidade e a efetividade do direito da União. 21 Ora, diante da declaração de invalidade de uma diretiva com fundamento na violação de direitos fundamentais protegidos pela União, as normas nacionais que a transpõem não conseguem passar pelo teste de conformidade com o padrão de jusfundamentalidade resultante da CDFUE nos termos referidos supra. 22 Não foi por outra razão que o TJUE não acolheu a sugestão do AdvogadoGeral Cruz Villalón relativa à suspensão dos efeitos da declaração de invalidade da Diretiva 2006/24 até que o legislador da União tomasse as medidas necessárias para sanar a invalidade declarada. 23 No entendimento do AdvogadoGeral, a Diretiva 2006/24 devia ser considerada inválida devido à inexistência de um enquadramento suficiente das garantias que regulam o acesso aos dados recolhidos e conservados e a sua exploração – mas tal vício poderia, porventura, 19 Cfr. conclusões Digital Rights Ireland, cit., considerando 153. 20 Segundo o qual as disposições da Carta têm como destinatários os Estados-Membros quando apliquem o direito da União. 21 Cfr. acórdão Melloni, de 26 de fevereiro de 2013, proc. C-399/11, considerando 60 e acórdão Fransson, de 26 de fevereiro de 2013, proc. C-617/10, considerando 29. 22 Neste sentido cfr. Franziska Boehm and Mark D. Cole, Data Retention after the Judgement of the Court of Justice of the European Union, cit.: “It is therefore hardly imaginable that a Member State transposing act that follows the structure and content of the core provisions of the DRD can remain unchanged without itself being in violation of the fundamental rights standards set by the Court in its judgement.” 23 Cfr. conclusões Digital Rights Ireland, cit., considerando 158. Implicações da declaração de invalidade da Diretiva 2006/24 na conservação... (p. 47-68) 55 SILVEIRA, A; FREITAS, P. M. Implicações da declaração de invalidade da Diretiva 2006/24 na conservação de dados (“metadados”) nos Estados-Membros da UE: uma leitura jusfundamental . Revista de Direito, Estado e Telecomunicações , Brasília, v. 9, n. 1, p. 47-68, maio de 2017. DOI: https://doi.org/10.26512/lstr.v9i1.21513 ser corrigido no âmbito das medidas de transposição adotadas pelos EstadosMembros até que o legislador da União atuasse em conformidade com o acórdão. 24 Todavia, o TJUE rejeitou tal sugestão e declarou a diretiva inválida na sua totalidade, sem reservas quanto aos efeitos da sua decisão no tempo, seja para ressalvar efeitos já produzidos seja para manter a vigência do ato inválido até a sua substituição. De resto, o TJUE tem procurado esclarecer que o objetivo da proteção dos direitos fundamentais no direito da União é zelar por que tais direitos não sejam violados nos domínios de atividade da União, seja em razão da ação da União ou em razão da aplicação do direito da União pelos EstadosMembros. 25 No entendimento do TJUE, a prossecução deste objetivo justifica-se pela necessidade de evitar que o distinto nível de proteção dos direitos fundamentais, suscetível de variar consoante o direito nacional em causa, prejudique a unidade, o primado e efetividade do direito da União. 26 O TJUE estabelece, portanto, uma nítida conexão entre a proteção dos direitos fundamentais – tal como a CDFUE os contempla – e o imperativo de efetividade do direito da União. Está aqui patente a ideia de que as dissonâncias na proteção dos direitos fundamentais nos distintos Estados-Membros poderiam comprometer a igualdade jurídica dos cidadãos europeus – e, em última análise, a própria sobrevivência de uma União de direito. Por conseguinte, na sequência do acórdão Digital Rights Ireland, cumpre às autoridades nacionais não aplicar as normas internas de transposição da diretiva considerada inválida. Ora, no exercício de competências partilhadas relativas ao mercado interno [artigo 4.º, n.º 2, alínea a) e artigo 114.º do TFUE] tanto a União como os Estados-Membros podem legislar e adotar atos juridicamente vinculativos. Mas decorre do artigo 2.º, n.º 2 do TFUE que a atuação da União preclude/inibe a atuação dos Estados-Membros. Ou seja, os Estados exercem a sua competência na medida em que a União não tenha exercido a sua – e apenas voltam a exercêla na medida em que a União tenha decidido deixar de exercer a sua. Nada disso aconteceu para que os Estados-Membros passem a exercer as suas competências partilhadas no domínio da proteção de dados ignorando as disposições europeias, sobretudo porque a competência da União em matéria de proteção de dados pessoais (artigo 16.º do TFUE) vem sendo exercida/concretizada desde a Diretiva 95/46 (relativa o tratamento de dados e a sua circulação no espaço da União). Na realidade, a Diretiva 2006/24 (declarada inválida) impunha uma obrigação de recolha e de conservação dos dados de tráfego e de localização que se inscrevia no âmbito dos limites ao direito à proteção dos dados pessoais 24 Cfr. conclusões Digital Rights Ireland, cit., considerando 157. 25 Cfr. acórdão Siragusa, de 6 de março de 2014, proc. C-206/13, considerando 31. 26 Idem. 62 Implicações práticas da declaração de invalidade da Diretiva 2006/24/CE na... (p. 47-68) SILVEIRA, A; FREITAS, P. M. Implicações da declaração de invalidade da Diretiva 2006/24 na conservação de dados (“metadados”) nos Estados-Membros da UE: uma leitura jusfundamental . Revista de Direito, Estado e Telecomunicações , Brasília, v. 9, n. 1, p. 47-68, maio de 2017. DOI: https://doi.org/10.26512/lstr.v9i1.21513 Da restrição ao exercício de direitos fundamentais previstos na CDFUE De qualquer forma, e apesar de ser um marco na jurisprudência do TJUE sobre proteção de direitos fundamentais – comparável, segundo Steve Peers (2014), aos clássicos acórdãos sobre direitos civis da Suprema Corte dos EUA 50 –, o acórdão Digital Rights Ireland não pôs termo à retenção de dados no contexto da União (VAINIO; MIETTINEN, 2015, p. 308), sobretudo porque o TJUE entendeu que, embora a conservação dos dados imposta pela Diretiva 2006/24 constituísse uma ingerência particularmente grave nos direitos fundamentais à proteção da vida privada e à proteção de dados pessoais, não era suscetível de afetar o conteúdo essencial de tais direitos. Ora, em conformidade com o artigo 52.°, n.° 1, da CDFUE, qualquer restrição ao exercício dos direitos e liberdades nela previstos deve i) ser prevista por lei, ii) respeitar o conteúdo essencial daqueles direitos, iii) respeitar o princípio da proporcionalidade, e iv) ser necessária à prossecução dos objetivos de interesse geral reconhecidos pela União ou à proteção de direitos e liberdades de terceiros. Todavia, tendo em conta que o artigo 1.°, n.° 2, da Diretiva 2006/24 não permitia que se tomasse conhecimento do conteúdo das comunicações eletrónicas, o TJUE entendeu que não havia comprometimento do núcleo essencial do direito à privacidade. Acresce, no entendimento do TJUE, que o artigo 7.° da Diretiva 2006/24 previa o respeito a princípios de proteção e de segurança dos dados pessoais, de acordo com os quais os Estados-Membros deviam assegurar a adoção de medidas técnicas e organizacionais contra a destruição acidental ou ilícita, a perda ou a alteração acidental dos dados – e por isso o núcleo essencial do direito fundamental à proteção de dados também estaria salvaguardado 51 . Todavia, ainda que o núcleo essencial estivesse salvaguardado, a legislação era desproporcionada – eis o entendimento do TJUE que esteve na base da declaração de invalidade da Diretiva 2006/24. Ocorre que não é adquirido, à luz da jurisprudência do Tribunal Europeu dos Direitos do Homem (TEDH), que o caráter geral e indiferenciado da conservação de dados pessoais pelos fornecedores de serviços de comunicações 50 De acordo com Steve Peers, The data retention judgment: the CJEU prohibits mass surveillance, in EU law analysis, 8 de abril de 2014: “Time will deal whether the Digital Rights judgment is seen as the EU’s equivalent of classic civil rights judgments of the US Supreme Court, on the desegregation of schools (Brown) or criminal suspects’ rights (Miranda). If the Charter ultimately contributes to the development of a ‘constitutional patriotism’ in the European Union, this judgment will be one of its foundations”. 51 Cfr. acórdão Digital Rights Ireland, cit., considerandos 38-40. Implicações da declaração de invalidade da Diretiva 2006/24 na conservação... (p. 47-68) 63 SILVEIRA, A; FREITAS, P. M. Implicações da declaração de invalidade da Diretiva 2006/24 na conservação de dados (“metadados”) nos Estados-Membros da UE: uma leitura jusfundamental . Revista de Direito, Estado e Telecomunicações , Brasília, v. 9, n. 1, p. 47-68, maio de 2017. DOI: https://doi.org/10.26512/lstr.v9i1.21513 eletrónicas (vigilância generalizada) respeite o núcleo essencial dos direitos em causa – sobretudo porque a suspeição não é um elemento necessário para a justificação da retenção dos dados. E tão pouco o é à luz das tradições constitucionais comuns aos Estados-Membros, tendo em conta as decisões de inconstitucionalidade de normas nacionais proferidas por vários tribunais constitucionais dos Estados-Membros na sequência da declaração de invalidade da Diretiva 2006/24 pelo TJUE. No acórdão do TEDH S. e Marper contra Reino Unido, 52 por exemplo, em que estava em causa a conservação de perfis genéticos (ADN) ou de impressões digitais de qualquer pessoa absolvida da prática de um crime ou cujo processo tenha sido arquivado sem condenação, o TEDH entendeu que a retenção em si mesma era contrária à Convenção Europeia dos Direitos do Homem (CEDH), independentemente da consideração das salvaguardas previstas (WHITE, 2016). E no acórdão Roman Zakharov contra Russia, 53 em que estava em causa o sistema russo de intercetação de comunicações telefónicas, o TEDH decidiu que a conservação automática por seis meses de dados claramente irrelevantes não se justificava à luz do artigo 8.º da CEDH (respeito pela vida privada). 54 Este sentido decisório pode porventura contrastar com o entendimento do TJUE no acórdão Digital Rights Ireland sobre a não afetação do núcleo essencial dos direitos fundamentais em causa – e, numa futura apreciação, levar o TEDH a distanciar-se da doutrina da presunção de proteção equivalente que tem sido acolhida desde o acórdão Bosphorus contra Ireland, 55 segundo a qual um Estado signatário respeita as exigências da CEDH sempre que se limita a dar execução às obrigações jurídicas que resultam da sua adesão à União Europeia. Nas suas Conclusões no processo Tele 2,, o Advogado-Geral afinou pelo mesmo diapasão do acórdão Digital Rights Ireland quanto à questão da não afetação do núcleo essencial. 56 Todavia, o Advogado-Geral entra manifestamente em contradição quando ressalta que “os riscos ligados ao acesso aos dados relativos às comunicações (ou «metadados») podem ser equivalentes, 52 Cfr. acórdão S. e Marper contra Reino Unido, de 4 de dezembro de 2008, processos 30562 e 30566/04, considerando 125. 53 Cfr. acórdão Roman Zakharov contra Russia, de 4 de dezembro de 2015, proc. 47143/06, considerando 255. 54 Comentando tal decisão do TEDH, o Advogado-Geral sublinhou, em Tele 2, considerando 243, que os Estados-Membros devem prever a obrigação de destruição definitiva de todos os dados conservados a partir do momento em que já não sejam estritamente necessários na luta contra as infrações graves. Acrescenta que esta obrigação deve ser respeitada não apenas pelos prestadores que conservam os dados, mas também pelas autoridades que tiveram acesso aos dados conservados. 55 Cfr. acórdão Bosphorus contra Irlanda, de 30 de junho de 2005, proc. 45036/98. 56 Cfr. conclusões Tele2, cit., considerandos 156-159. 64 Implicações práticas da declaração de invalidade da Diretiva 2006/24/CE na... (p. 47-68) SILVEIRA, A; FREITAS, P. M. Implicações da declaração de invalidade da Diretiva 2006/24 na conservação de dados (“metadados”) nos Estados-Membros da UE: uma leitura jusfundamental . Revista de Direito, Estado e Telecomunicações , Brasília, v. 9, n. 1, p. 47-68, maio de 2017. DOI: https://doi.org/10.26512/lstr.v9i1.21513 ou inclusivamente superiores, aos que resultam do acesso ao conteúdo destas comunicações, conforme salientaram a Open Rights Group e a Privacy Internacional, a Law Society of England and Wales, bem como um recente relatório do Alto Comissariado das Nações Unidas para os Direitos do Homem.” Em particular, acrescenta o Advogado-Geral, “os «metadados» permitem catalogar quase instantaneamente uma população no seu conjunto, o que o conteúdo das comunicações não permite”. 57 Mas então, se a justificativa para não afetar o núcleo essencial do direito à proteção da vida privada residia sobretudo na salvaguarda do conteúdo das comunicações, em que ficamos? O Advogado-Geral arremata afirmando que os riscos de acesso abusivo ou ilegal aos dados conservados nada têm de teórico, pois o risco de acesso abusivo pelas autoridades competentes deve ser relacionado com os números extremamente elevados de pedidos de acesso evocados nas observações apresentadas ao TJUE. 58 No âmbito do regime sueco, a Tele2 indicou que recebia cerca de 10.000 pedidos de acesso por mês, número que não inclui os pedidos recebidos por outros prestadores ativos no território sueco. No que respeita ao regime do Reino Unido, foram reproduzidos excertos de um relatório oficial que refere 517.236 autorizações e 55.346 autorizações orais urgentes, isto só no ano de 2014. Ademais, reconhece o Advogado-Geral, “o risco de acesso ilegal, por qualquer pessoa, é consubstancial à própria existência de bases de dados conservadas em suportes informáticos”. 59 Mas então, se a justificativa para não afetar o núcleo essencial do direito à proteção de dados residia sobretudo nas medidas contra a destruição acidental ou ilícita, a perda ou a alteração acidental dos dados, em que ficamos? Não é propriamente árduo perceber que o Advogado-Geral evita admitir que a retenção generalizada e indiferenciada de dados pessoais é per se incompatível com os direitos fundamentais protegidos na CDFUE. Por isso concentra atenções nas garantias que devem enformar uma obrigação geral de conservação de dados a fim de que seja compatível com os direitos fundamentais previstos no direito da União – e não propriamente naquilo que os Estados-Membros estariam proibidos de fazer neste domínio (WHITE, 2016). Lamentavelmente, esta espécie de “fuga para a frente” começa a ser habitual no tratamento da matéria – e também teria orientado, segundo a opinião divergente do Juiz Paulo Pinto Albuquerque, o sentido decisório do TEDH no acórdão Szabó e Vissy contra Hungria, sobre vigilância generalizada por razões de inteligência e 57 Cfr. conclusões Tele2, cit., considerando 259. 58 Cfr. conclusões Tele2, cit., considerando 260. 59 Idem. Implicações da declaração de invalidade da Diretiva 2006/24 na conservação... (p. 47-68) 65 SILVEIRA, A; FREITAS, P. M. Implicações da declaração de invalidade da Diretiva 2006/24 na conservação de dados (“metadados”) nos Estados-Membros da UE: uma leitura jusfundamental . Revista de Direito, Estado e Telecomunicações , Brasília, v. 9, n. 1, p. 47-68, maio de 2017. DOI: https://doi.org/10.26512/lstr.v9i1.21513 segurança nacional. 60 De qualquer forma, de entre as contradições do Advogado-Geral no processo Tele 2, porventura a que nos suscita maior perplexidade seria aquela que se prende com a análise da proporcionalidade em sentido estrito (ou justa medida) de uma obrigação geral de conservação de dados. Esta dimensão não foi apreciada pelo TJUE no acórdão Digital Rights Ireland porque o Tribunal entendeu que o regime estabelecido pela Diretiva 2006/24 excedia o necessário para os efeitos da luta contra as infrações graves. Segundo o Advogado-Geral, a exigência de proporcionalidade stricto sensu decorre simultaneamente do artigo 15.°, n.° 1, da Diretiva 2002/58, do artigo 52.°, n.° 1, da CDFUE e de jurisprudência constante do TJUE – e implica que uma restrição de direitos fundamentais apenas seja considerada proporcionada se os inconvenientes por ela causados não forem desmesurados face aos objetivos prosseguidos. Assim, a exigência de proporcionalidade stricto sensu impõe a ponderação entre as vantagens resultantes da medida à luz do objetivo legítimo prosseguido (por um lado) e os inconvenientes que daí decorrem para os direitos fundamentais consagrados numa sociedade democrática (por outro). Ou seja, impõe a ponderação entre as vantagens e os inconvenientes de uma obrigação geral de conservação de dados aplicada a todos os utilizadores europeus sem que seja exigida qualquer suspeita de infração grave – o que, em última análise, daria origem a um debate sobre os valores prevalecentes e sobre o tipo de sociedade em que desejamos viver. 61 Todavia, sem tirar as devidas ilações da proporcionalidade em sentido estrito que enuncia, o Advogado-Geral lava as mãos – qual Pôncio Pilatos – e propõe a seguinte solução em detrimento da homogeneidade aplicativa do direito da União: que se devolva tal apreciação valorativa ao juiz nacional, à luz das garantias imperativas enunciadas pelo TJUE nos considerandos 60 a 68 do acórdão Digital Rights Ireland 62 – e salve-se quem puder… 60 Cfr. acórdão Szabó e Vissy contra Hungria, de 12 de janeiro de 2016, proc. 37138/14, sobretudo o considerando 20 da opinião divergente, no qual Paulo Pinto Albuquerque denuncia aquilo que considera «an illusory conviction that global surveillance is the deus ex machina capable of combating the scourge of global terrorism. Even worse, such delusory language obliterates the fact that the vitrification of society brings with it the Orwellian nightmare of 1984. In practice, the Chamber is condoning, to use the words of the European Parliament, “the establishment of a fully-fledged preventive state, changing the established paradigm of criminal law in democratic societies whereby any interference with suspects’ fundamental rights has to be authorised by a judge or prosecutor on the basis of a reasonable suspicion and must be regulated by law, promoting instead a mix of law-enforcement and intelligence activities with blurred and weakened legal safeguards, often not in line with democratic checks and balances and fundamental rights, especially the presumption of innocence”». 61 Cfr. conclusões Tele2, cit., considerandos 246-248. 62 Cfr. conclusões Tele2, cit., considerando 262. 66 Implicações práticas da declaração de invalidade da Diretiva 2006/24/CE na... (p. 47-68) SILVEIRA, A; FREITAS, P. M. Implicações da declaração de invalidade da Diretiva 2006/24 na conservação de dados (“metadados”) nos Estados-Membros da UE: uma leitura jusfundamental . Revista de Direito, Estado e Telecomunicações , Brasília, v. 9, n. 1, p. 47-68, maio de 2017. DOI: https://doi.org/10.26512/lstr.v9i1.21513 Contrariando a sugestão do Advogado-Geral, no acórdão Tele 2 o TJUE entendeu basear-se da proporcionalidade em sentido estrito para decidir que a CDFUE se opõe a uma normativa nacional que estabeleça, com a finalidade de lutar contra a delinquência, a conservação generalizada e indiferenciada de todos os dados de tráfego e de localização de todos os utilizadores registados relativamente a todos os meios de comunicação eletrónica. 63 Assim, respondendo mais concretamente às questões formuladas pelos tribunais nacionais em sede de reenvio prejudicial, o TJUE decidiu que o artigo 15.º, n.º1, da Diretiva 2002/58, à luz dos artigos 7.º, 8.º, 11.º e 52.º, n.º1, da CDFUE, deve ser interpretado no sentido de que se opõe a uma normativa nacional que regula a proteção de dados de tráfego e de localização, em particular o acesso das autoridades nacionais aos dados conservados, i) sem limitar tal acesso aos casos de delinquência grave, ii) sem submeter tal acesso ao controlo prévio de um órgão jurisdicional ou uma autoridade administrativa independente, bem como iii) sem exigir que os dados em causa se conservem no território da União. 64 O TJUE não alterou a sua posição quanto à ausência de violação do núcleo essencial dos direitos fundamentais em causa. Não obstante, procedeu a um exercício de ponderação via proporcionalidade em sentido estrito que o levou a admitir, inclusivamente, que a conservação dos dados de tráfego e localização poderia influir no uso dos meios de comunicação eletrónica e, por conseguinte, no exercício da liberdade de expressão por parte dos utilizadores de tais meios, garantida pelo artigo 11.º da CDFUE. 65 De qualquer forma, no entendimento do TJUE a Diretiva 2002/58 não se opõe a que um Estado-Membro adote medidas de conservação seletiva (não generalizada e indiferenciada) de dados de tráfego e de localização para os efeitos da luta contra a delinquência grave, sempre que a conservação esteja limitada ao estritamente necessário quanto i) às categorias de dados a conservarse, ii) aos meios de comunicação a que se referem, iii) às pessoas afetadas, iv) ao período de conservação previsto. 66 Mas então, se a conservação admissível tem de ser seletiva, como é que se delimita uma medida deste tipo quanto ao público e quanto às situações potencialmente afetadas? O TJUE esclarece que a normativa nacional deve basear-se em critérios objetivos que permitam identificar um público cujos dados possam i) apresentar uma relação pelo menos indireta com delitos graves, ii) contribuir de alguma forma com a luta contra a 63 Cfr. acórdão Tele2, cit., considerando 112. 64 Cfr. acórdão Tele2, cit., considerando 125. 65 Cfr. acórdão Tele2, cit., considerando 101. 66 Cfr. acórdão Tele2, cit., considerando 108. Implicações da declaração de invalidade da Diretiva 2006/24 na conservação... (p. 47-68) 67 SILVEIRA, A; FREITAS, P. M. Implicações da declaração de invalidade da Diretiva 2006/24 na conservação de dados (“metadados”) nos Estados-Membros da UE: uma leitura jusfundamental . Revista de Direito, Estado e Telecomunicações , Brasília, v. 9, n. 1, p. 47-68, maio de 2017. DOI: https://doi.org/10.26512/lstr.v9i1.21513 delinquência grave ou iii) prevenir um risco geral para a segurança pública. Tal delimitação pode garantir-se mediante um critério geográfico – isto quando as autoridades nacionais considerem, com base em elementos objetivos, que existe um risco elevado de preparação ou de consecução de tais delitos em uma ou várias zonas geográficas. 67 Assim, do acórdão Tele 2 é possível concluir que i) a declaração de invalidade das disposições constantes de uma diretiva afeta inelutavelmente o ato legal de transposição das mesmas para a ordem jurídica dos EstadosMembros e ii) um Estado-Membro não pode valer-se da Diretiva 2002/58 para impor a manutenção de uma obrigação generalizada e indiferenciada de conservação de dados de tráfego e de localização na sequência da declaração de invalidade da Diretiva 2006/24. Urge, portanto, retirar ilações desta recente decisão do TJUE, tão mais relevante porque, nos Estados-Membros em que a legislação transposta continuou a ser aplicada na sequência da declaração de invalidade da Diretiva 2006/24, muitas condenações penais tiveram por base o acesso a dados conservados de modo potencialmente ilegítimo. Referências BOEHM, F.; COLE, M. Data Retention after the Judgement of the Court of Justice of the European Union, 2014. Disponível em: https://www.janalbrecht.eu/fileadmin/material/Dokumente/Boehm_Cole_ -_Data_Retention_Study_-_June_2014.pdf BOEHM, F.; COLE, M. Data Retention after the Judgement of the Court of Justice of the European Union, 2014. Disponível em: https://www.janalbrecht.eu/fileadmin/material/Dokumente/Boehm_Cole_ -_Data_Retention_Study_-_June_2014.pdf GABINETE CIBERCRIME DO MINISTÉRIO PÚBLICO. Nota Prática n.o 7 sobre retenção de dados de tráfego e Lei n.o 32/2008, 2015. Disponível em: http://cibercrime.ministeriopublico.pt/sites/default/files/documentos/pdf/ nota_pratica_7_retencao_de_dados.pdf GUERRA, C.; CALVÃO, F. Anotação ao Acórdão do Tribunal de Justiça (Grande Secção) de 8 de abril de 2014, Forum de proteção de dados, Comissão Nacional de Proteção de Dados, 1, p. 79–82, jul. 2015. 67 Cfr. acórdão Tele2, cit., considerando 111. 68 Implicações práticas da declaração de invalidade da Diretiva 2006/24/CE na... (p. 47-68) SILVEIRA, A; FREITAS, P. M. Implicações da declaração de invalidade da Diretiva 2006/24 na conservação de dados (“metadados”) nos Estados-Membros da UE: uma leitura jusfundamental . Revista de Direito, Estado e Telecomunicações , Brasília, v. 9, n. 1, p. 47-68, maio de 2017. DOI: https://doi.org/10.26512/lstr.v9i1.21513 GUILD, E.; CARRERA, S. The political and judicial life of metadata: Digital Rights Ireland and the trail of the data retention directive. CEPS Papers in Liberty and Security in Europe, 65, 2014. PEERS, S. The data retention judgment: the CJEU prohibits mass surveillance, 2014. Disponível em: http://eulawanalysis.blogspot.pt/2014/04/the-data-retention-judgmentcjeu.html VAINIO, N.; MIETTINEN, S. Telecommunications data retention after Digital Rights Ireland : legislative and judicial reactions in the Member States. International Journal of Law and Information Technology, v. 23, n. 3, p. 290–309, set. 2015. WHITE, M. The new Opinion on data retention: does it protect the right to privacy?, 2016. Disponível em: http://eulawanalysis.blogspot.pt/2016/07/the-new-opinion-on-dataretention-does.html