Language of document : ECLI:EU:C:2016:970

Processos apensos C‑203/15 e C‑698/15

Tele2 Sverige AB
contra
Post‑ och telestyrelsen

e

Secretary of State for the Home Department
contra
Tom Watson e o.

[pedidos de decisão prejudicial apresentados pelo Kammarrätten i Stockholm e pela Court of Appeal (England & Wales) (Civil Division)]

«Reenvio prejudicial — Comunicações eletrónicas — Tratamento de dados pessoais — Confidencialidade das comunicações eletrónicas — Proteção — Diretiva 2002/58/CE — Artigos 5.o, 6.o e 9.o bem como artigo 15.o, n.o 1 — Carta dos Direitos Fundamentais da União Europeia — Artigos 7.o, 8.o e 11.o bem como artigo 52.o, n.o 1 — Legislação nacional — Prestadores de serviços de comunicações eletrónicas — Obrigação que incide sobre a conservação generalizada e indiferenciada dos dados de tráfego e dos dados de localização — Autoridades nacionais — Acesso aos dados — Inexistência de um controlo prévio por parte de um órgão jurisdicional ou uma autoridade administrativa independente — Compatibilidade com o direito da União»

Sumário — Acórdão do Tribunal de Justiça (Grande Secção) de 21 de dezembro de 2016

1.        Aproximação das legislações — Setor das telecomunicações — Tratamento dos pessoais e proteção da privacidade no setor das comunicações eletrónicas — Diretiva 2002/58 — Faculdade de os Estados‑Membros limitarem o âmbito de certos direitos e obrigações — Âmbito de aplicação — Medida legislativa que impõe aos fornecedores de serviços de comunicações eletrónicas que conservem dados de tráfego e os dados de localização dos utilizadores — Inclusão

(Diretiva 2002/58 do Parlamento Europeu e do Conselho, conforme alterada pela Diretiva 2009/136, artigos 5.o, n.o 1, e 15.o, n.o 1)

2.        Aproximação das legislações — Setor das telecomunicações — Tratamento dos dados pessoais e proteção da privacidade no setor das comunicações eletrónicas — Diretiva 2002/58 — Faculdade de os Estados‑Membros limitarem o âmbito de certos direitos e obrigações — Interpretação estrita — Motivos que podem justificar a adoção de uma limitação — Caráter exaustivo

(Diretiva 2002/58 do Parlamento Europeu e do Conselho, conforme alterada pela Diretiva 2009/136, artigos 5.o, n.o 1, e 15.o, n.o 1)

3.        Aproximação das legislações — Setor das telecomunicações — Tratamento dos dados pessoais e proteção da privacidade no setor das comunicações eletrónicas — Diretiva 2002/58 — Faculdade de os Estados‑Membros limitarem o âmbito de certos direitos e obrigações — Regulamentação nacional que prevê uma conservação generalizada e indiferenciada dos dados de tráfego e dos dados de localização dos utilizadores para efeitos de luta contra a criminalidade — Inadmissibilidade — Ingerência grave nos direitos ao respeito pela privacidade, da proteção dos dados pessoais e da liberdade de expressão

(Carta dos Direitos Fundamentais da União Europeia, artigos 7.o, 8.o, 11.o e 52.o, n.o 1; Diretiva 2005/58 do Parlamento Europeu e do Conselho, conforme alterada pela Diretiva n.o 2009/136, artigo 15.o, n.o 1)

4.        Aproximação das legislações — Setor das telecomunicações — Tratamento dos dados pessoais e proteção da privacidade no setor das comunicações eletrónicas — Diretiva 2002/58 — Faculdade de os Estados‑Membros limitarem o âmbito de certos direitos e obrigações — Regulamentação nacional que permite a conservaçãoseletiva dos dados de tráfego e dos dados de localização dos utilizadores, para efeitos de luta contra a criminalidade grave — Admissibilidade — Requisitos

(Carta dos Direitos Fundamentais da União Europeia, artigos 7.o, 8.o, 11.o e 52.o, n.o 1; Diretiva 2005/58 do Parlamento Europeu e do Conselho, conforme alterada pela Diretiva n.o 2009/136, artigo 15.o, n.o 1)

5.        Aproximação das legislações — Setor das telecomunicações — Tratamento dos dados pessoais e proteção da privacidade no setor das comunicações eletrónicas — Diretiva 2002/58 — Faculdade de os Estados‑Membros limitarem o âmbito de certos direitos e obrigações — Regulamentação nacional que regula a proteção e a segurança dos dados de tráfego e dos dados de localização dos utilizadores — Possibilidade de as autoridades nacionais acederem aos referidos dados sem fiscalização jurisdicional ou controlo administrativo prévio — Inadmissibilidade — Inexistência de obrigação, para os fornecedores de serviços de comunicações eletrónicas, de conservarem estes dados no território da União — Inadmissibilidade

(Carta dos Direitos Fundamentais da União Europeia, artigos 7.o, 8.o, 11.o e 52.o, n.o 1; Diretiva 2003/88 do Parlamento Europeu e do Conselho, artigo 7.o, n.o 1; Diretiva 95/46 do Conselho, artigo 22.o e Diretiva 2002/56, conforme alterada pela Diretiva 2009/136, artigo 15.o, n.os 1 e 2)

6.        Direitos fundamentais — Convenção Europeia dos Direitos do Homem — Instrumento que não está formalmente integrado na ordem jurídica da União

(Artigo 6.o, n.o 3, TUE; Carta dos Direitos Fundamentais da União Europeia, artigo 52.o, n.o 3)

7.        Questões prejudiciais — Competência do Tribunal de Justiça — Limites — Questões gerais ou hipotéticas — Questão que apresenta um caráter abstrato e puramente hipotético tendo em conta o objeto do litígio no processo principal — Inadmissibilidade

(Artigo 267.o TFUE)

1.      O artigo 15.o, n.o 1, da Diretiva 2002/58, relativa ao tratamento de dados pessoais e à proteção da privacidade no setor das comunicações eletrónicas (Diretiva relativa à privacidade e às comunicações eletrónicas), conforme alterada pela Diretiva 2009/136, autoriza os Estados‑Membros a adotarem, desde que respeitadas as condições nele previstas, medidas legislativas para restringir o âmbito dos direitos e obrigações previstos nos artigos 5.o e 6.o, nos n.os 1 a 4 do artigo 8.o e no artigo 9.o desta diretiva.

Em particular, enquadra‑se no âmbito de aplicação desta disposição uma medida legislativa que impõe aos prestadores de serviços de comunicações eletrónicas a conservação dos dados de tráfego e dos dados de localização, uma vez que tal atividade implica necessariamente, da parte destes, o tratamento de dados pessoais. Também se enquadra no referido âmbito de aplicação uma medida legislativa que tenha por objeto o acesso das autoridades nacionais aos dados conservados pelos prestadores de serviços de comunicações eletrónicas. Com efeito, a proteção da confidencialidade das comunicações eletrónicas e dos respetivos dados de tráfego, garantida pelo artigo 5.o, n.o 1, da Diretiva 2002/58, aplica‑se às medidas adotadas por todas as pessoas que não sejam os utilizadores, independentemente de se tratarem de entidades privadas ou de entidades estatais.

(cf. n.os 71, 75 a 77)

2.      O artigo 15.o, n.o 1, da Diretiva 2002/58, relativa ao tratamento de dados pessoais e à proteção da privacidade no setor das comunicações eletrónicas (Diretiva relativa à privacidade e às comunicações eletrónicas), conforme alterada pela Diretiva 2009/136, permite que os Estados‑Membros introduzam exceções à obrigação de princípio, enunciada no artigo 5.o, n.o 1, desta diretiva, de garantir a confidencialidade dos dados pessoais e das obrigações correspondentes, mencionadas, nomeadamente, nos artigos 6.o e 9.o da referida diretiva. Contudo, na medida em que permite que os Estados‑Membros limitem o alcance da referida obrigação de princípio, o artigo 15.o, n.o 1, da Diretiva 2002/58 deve ser interpretado em sentido estrito, em conformidade com jurisprudência constante do Tribunal de Justiça. Por conseguinte, tal disposição não pode justificar que a exceção a essa obrigação de princípio e, em especial, a proibição de armazenar esses dados, prevista no artigo 5.o desta diretiva, se converta na regra, sob pena de esvaziar em grande medida esta última disposição do seu alcance.

A este respeito, o artigo 15.o, n.o 1, primeiro período, da Diretiva 2002/58 prevê que as medidas legislativas que refere e que derrogam o princípio da confidencialidade das comunicações e dos correspondentes dados de tráfego devem ter por objetivo salvaguardar a segurança nacional — ou seja, a segurança do Estado —, a defesa e a segurança pública, bem como a prevenção, a investigação, a deteção e a repressão de infrações penais ou a utilização não autorizada do sistema de comunicações eletrónicas, ou devem prosseguir um dos outros objetivos referidos no artigo 13.o, n.o 1, da Diretiva 95/46, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados. Tal enumeração de objetivos reveste um caráter exaustivo conforme resulta do artigo 15.o, n.o 1, segundo período, desta última diretiva, nos termos do qual as medidas legislativas devem ser justificadas pelas razões enunciadas no artigo 15.o, n.o 1, primeiro período, da referida diretiva. Por conseguinte, os Estados‑Membros não podem adotar essas medidas para fins diferentes dos enumerados nesta última disposição.

(cf. n.os 88 a 90)

3.      O artigo 15.o, n.o 1, da Diretiva 2002/58, relativa ao tratamento de dados pessoais e à proteção da privacidade no setor das comunicações eletrónicas (Diretiva relativa à privacidade e às comunicações eletrónicas), conforme alterada pela Diretiva 2009/136, lido à luz dos artigos 7.o, 8.o e 11.o, bem como do artigo 52.o, n.o 1, da Carta dos Direitos Fundamentais da União Europeia, deve ser interpretado no sentido de que se opõe a uma regulamentação nacional que prevê, para efeitos de luta contra a criminalidade, uma conservação generalizada e indiferenciada de todos os dados de tráfego e dados de localização de todos os assinantes e utilizadores registados em relação a todos os meios de comunicação eletrónica

Com efeito, considerados no seu todo, estes dados são suscetíveis de permitir tirar conclusões muito precisas sobre a vida privada das pessoas cujos dados foram conservados, como os hábitos da vida quotidiana, os lugares onde se encontram de forma permanente ou temporária, as deslocações diárias ou outras, as atividades exercidas, as relações sociais dessas pessoas e os meios sociais que frequentam. Em especial, estes dados fornecem os meios para determinar o perfil das pessoas em causa, informação tão sensível, à luz do direito ao respeito da privacidade, como o conteúdo das próprias comunicações. A ingerência que tal regulamentação comporta nos direitos fundamentais consagrados nos artigos 7.o e 8.o da Carta é muito ampla e deve ser considerada particularmente grave. O facto de a conservação dos dados ser efetuada sem que os utilizadores dos serviços de comunicações eletrónicas disso sejam informados é suscetível de gerar no espírito das pessoas em causa a sensação de que a sua vida privada é objeto de constante vigilância. Ainda que tal regulamentação não autorize a conservação do conteúdo de uma comunicação e, por conseguinte, não seja suscetível de violar o conteúdo essencial dos referidos direitos, a conservação dos dados de tráfego e dos dados de localização pode, todavia, ter um impacto na utilização dos meios de comunicação eletrónica e, consequentemente, no exercício, pelos utilizadores desses meios, da sua liberdade de expressão, garantida pelo artigo 11.o da Carta.

Atendendo à gravidade da ingerência nos direitos fundamentais em causa que constitui uma regulamentação nacional, só a luta contra a criminalidade grave pode justificar uma medida deste tipo. No entanto, embora a eficácia da luta contra a criminalidade grave, nomeadamente contra a criminalidade organizada e o terrorismo, possa depender em larga medida da utilização de técnicas modernas de investigação, tal objetivo de interesse geral, por muito fundamental que seja, não pode por si só justificar que uma regulamentação nacional que prevê a conservação generalizada e indiferenciada de todos os dados de tráfego e dos dados de localização seja considerada necessária para efeitos da referida luta. Por um lado, uma regulamentação deste tipo tem por efeito que a conservação dos dados de tráfego e dos dados de localização constitui a regra, ao passo que o sistema implementado pela Diretiva 2002/58 exige que essa conservação dos dados seja a exceção. Por outro lado, tal regulamentação nacional, que abrange de forma generalizada todos os assinantes e utilizadores registados e que visa todos os meios de comunicação eletrónica, bem como todos os dados de tráfego, não prevê nenhuma diferenciação, limitação ou exceção em função do objetivo prosseguido. Aplica‑se inclusivamente a pessoas em relação às quais não haja indícios que levem a acreditar que o seu comportamento possa ter um nexo, ainda que indireto ou longínquo, com infrações penais graves. Por conseguinte, tal regulamentação excede assim os limites do estritamente necessário e não pode ser considerada justificada, numa sociedade democrática, como exige o artigo 15.o, n.o 1, da Diretiva 2002/58, lido à luz dos artigos 7.o, 8.o e 11.o, bem como do artigo 52.o, n.o 1, da Carta.

(cf. n.os 99 a 105, 107, 112 e disp. 1)

4.      O artigo 15.o, n.o 1, da Diretiva 2002/58, relativa ao tratamento de dados pessoais e à proteção da privacidade no setor das comunicações eletrónicas (Diretiva relativa à privacidade e às comunicações eletrónicas), conforme alterada pela Diretiva 2009/136, lido à luz dos artigos 7.o, 8.o e 11.o, bem como do artigo 52.o, n.o 1, da Carta dos Direitos fundamentais da União Europeia, não se opõe a que um Estado‑Membro adote uma regulamentação que permita, a título preventivo, a conservação seletiva dos dados de tráfego e dos dados de localização, para efeitos de luta contra a criminalidade grave, desde que a conservação dos dados seja limitada ao estritamente necessário, no que se refere às categorias de dados a conservar, aos equipamentos de comunicação visados, às pessoas em causa e à duração de conservação fixada.

Para cumprir os requisitos enunciados, esta regulamentação nacional deve, em primeiro lugar, prever normas claras e precisas que regulem o âmbito e a aplicação dessa medida de conservação dos dados e que imponham exigências mínimas, de modo a que as pessoas cujos dados foram conservados disponham de garantias suficientes que permitam proteger eficazmente os seus dados pessoais contra os riscos de abuso. Deve, em especial, indicar em que circunstâncias e em que condições se pode adotar uma medida de conservação dos dados, a título preventivo, garantindo assim que essa medida se limita ao estritamente necessário.

Em segundo lugar, relativamente às condições materiais que tal regulamentação nacional deve satisfazer para garantir que se limita ao estritamente necessário, embora essas condições possam variar em função das medidas adotadas para efeitos da prevenção, da investigação, da deteção e da repressão da criminalidade grave, a conservação dos dados deve sempre responder, em todo o caso, a critérios objetivos, que estabeleçam uma relação entre os dados a conservar e o objetivo prosseguido. Em especial, tais condições devem revelar‑se, na prática, suscetíveis de limitar efetivamente o alcance da medida e, consequentemente, o público afetado. No que se refere a esta delimitação, a regulamentação nacional deve basear‑se em elementos objetivos que permitam visar um público cujos dados sejam suscetíveis de revelar uma relação, pelo menos indireta, com atos de criminalidade grave, de contribuir de uma maneira ou outra para a luta contra a criminalidade grave ou de prevenir um risco grave para a segurança pública. Tal delimitação pode ser assegurada através de um critério geográfico quando as autoridades nacionais competentes considerem, com base em elementos objetivos, que existe um risco elevado de preparação ou de execução desses atos, numa ou em mais zonas geográficas.


(cf. n.os 108 a 111)

5.      O artigo 15.o, n.o 1, da Diretiva 2002/58, relativa ao tratamento de dados pessoais e à proteção da privacidade no setor das comunicações eletrónicas (Diretiva relativa à privacidade e às comunicações eletrónicas), conforme alterada pela Diretiva 2009/136, lido à luz dos artigos 7.o, 8.o e 11.o bem como do artigo 52.o, n.o 1, da Carta dos Direitos Fundamentais da União Europeia, deve ser interpretado no sentido de que se opõe a uma regulamentação nacional que regula a proteção e a segurança dos dados de tráfego e dos dados de localização, em especial, o acesso das autoridades nacionais competentes aos dados conservados, sem limitar, no âmbito da luta contra a criminalidade, esse acesso apenas para efeitos de luta contra a criminalidade grave, sem submeter o referido acesso a um controlo prévio por parte de um órgão jurisdicional ou de uma autoridade administrativa independente, e sem exigir que os dados em causa sejam conservados em território da União.

A este respeito, para garantir que o acesso das autoridades nacionais competentes aos dados conservados seja limitado ao estritamente necessário, é certo que compete ao direito nacional determinar as condições em que os fornecedores de serviços de comunicações eletrónicas devem conceder esse acesso. Todavia, a regulamentação nacional em causa não se pode limitar a exigir que o acesso responda a um dos objetivos referidos no artigo 15.o, n.o 1, da Diretiva 2002/58, ainda que esteja em causa a luta contra a criminalidade grave. Com efeito, tal regulamentação nacional deve também prever as condições materiais e processuais que regulam o acesso das autoridades nacionais competentes aos dados conservados. Assim, e uma vez que um acesso generalizado a todos os dados conservados, independentemente de uma qualquer relação, no mínimo indireta, com o objetivo prosseguido, não pode ser considerado limitado ao estritamente necessário, a regulamentação nacional em causa deve basear‑se em critérios objetivos para definir as circunstâncias e as condições nas quais deve ser concedido às autoridades nacionais competentes o acesso aos dados dos assinantes ou dos utilizadores registados. A este respeito, só poderá, em princípio, ser concedido acesso, em relação com o objetivo da luta contra a criminalidade, aos dados de pessoas suspeitas de terem planeado, de estarem a cometer ou de terem cometido uma infração grave ou ainda de estarem envolvidas de uma maneira ou de outra numa infração deste tipo. Todavia, em situações específicas, como aquelas em que os interesses vitais da segurança nacional, da defesa ou da segurança pública estejam ameaçados por atividades terroristas, pode também ser concedido acesso aos dados de outras pessoas quando existam elementos objetivos que permitam considerar que esses dados podem, num caso concreto, trazer uma contribuição efetiva para a luta contra essas atividades.

Para garantir, na prática, o pleno cumprimento destas condições, é essencial que o acesso das autoridades nacionais competentes aos dados conservados seja, em princípio, salvo em casos de urgência devidamente justificados, sujeito a um controlo prévio efetuado por um órgão jurisdicional ou por uma entidade administrativa independente, e que a decisão desse órgão jurisdicional e dessa entidade ocorra na sequência de um pedido fundamentado dessas autoridades apresentado, nomeadamente, no âmbito de processos de prevenção, de deteção ou de ação penal. Do mesmo modo, importa que as autoridades nacionais competentes às quais foi concedido o acesso aos dados conservados informem desse facto as pessoas em causa, no âmbito dos processos nacionais aplicáveis, a partir do momento em que essa comunicação não seja suscetível de comprometer as investigações levadas a cabo por essas autoridades. Com efeito, essa informação é, de facto, necessária para permitir que essas pessoas exerçam, nomeadamente, o direito de recurso, explicitamente previsto no artigo 15.o, n.o 2, da Diretiva 2002/58, lido em conjugação com o artigo 22.o da Diretiva 95/46, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados em caso de violação dos seus direitos.

Além disso, tendo em conta a quantidade de dados conservados, o caráter sensível desses dados bem como o risco de acesso ilícito aos mesmos, os prestadores de serviços de comunicações eletrónicas devem, para assegurar a plena integridade e a confidencialidade dos referidos dados, garantir um nível particularmente elevado de proteção e de segurança através de medidas técnicas e de organização adequadas. Em especial, a regulamentação nacional deve prever a conservação no território da União bem como a destruição definitiva dos dados no termo do respetivo período de conservação.

(cf. n.os 118 a 122, 125 e disp. 2)

6.      V. texto da decisão.

(cf. n.os 127 a 129)

7.      V. texto da decisão.

(cf. n.o 130)