CELEX: 62004CJ0217
Regulamento (CE) n.º 460/2004
Agência Europeia para a Segurança das Redes e da Informação
Escolha da base jurídica

1       Na petição inicial, o Reino Unido da Grã‑Bretanha e da Irlanda do Norte pede a anulação do Regulamento (CE) n.° 460/2004 do
Parlamento Europeu e do Conselho, de 10 de Março de 2004, que cria a Agência Europeia para a Segurança das Redes e da Informação
(JO L 77, p. 1, a seguir «regulamento»).
2       Por despacho do presidente do Tribunal de Justiça de 25 de Novembro de 2004, a República da Finlândia e a Comissão das Comunidades
Europeias foram admitidas a intervir em apoio dos pedidos do Parlamento Europeu e do Conselho da União Europeia.

Quadro jurídico

Regulamentação comunitária geral
3       Nos termos do seu artigo 1.°, n.° 1, a Directiva 2002/21/CE do Parlamento Europeu e do Conselho, de 7 de Março de 2002, relativa
a um quadro regulamentar comum para as redes e serviços de comunicações electrónicas (directiva‑quadro) (JO L 108, p. 33),
visa estabelecer um quadro harmonizado para a regulamentação dos serviços de comunicações electrónicas, das redes de comunicações
electrónicas e dos recursos e serviços conexos. A directiva define nomeadamente as funções das autoridades reguladoras nacionais
e fixa um conjunto de procedimentos para assegurar a aplicação harmonizada do quadro regulamentar em toda a Comunidade.
4       A legislação comunitária relativa às redes e serviços de comunicações electrónicas compreende igualmente as seguintes directivas
(a seguir «directivas específicas»):
–       Directiva 2002/19/CE do Parlamento Europeu e do Conselho, de 7 de Março de 2002, relativa ao acesso e interligação de redes
de comunicações electrónicas e recursos conexos (directiva acesso) (JO L 108, p. 7);
–       Directiva 2002/20/CE do Parlamento Europeu e do Conselho, de 7 de Março de 2002, relativa à autorização de redes e serviços
de comunicações electrónicas (directiva autorização) (JO L 108, p. 21);
–       Directiva 2002/22/CE do Parlamento Europeu e do Conselho, de 7 de Março de 2002, relativa ao serviço universal e aos direitos
dos utilizadores em matéria de redes e serviços de comunicações electrónicas (directiva serviço universal) (JO L 108, p. 51);
–       Directiva 2002/58/CE do Parlamento Europeu e do Conselho, de 12 de Julho de 2002, relativa ao tratamento de dados pessoais
e à protecção da privacidade no sector das comunicações electrónicas (directiva relativa à privacidade e às comunicações electrónicas)
(JO L 201, p. 37);
–       Directiva 1999/93/CE do Parlamento Europeu e do Conselho, de 13 de Dezembro de 1999, relativa a um quadro legal comunitário
para as assinaturas electrónicas (JO 2000, L 13, p. 12, a seguir «directiva assinaturas electrónicas»);
–       Directiva 2000/31/CE do Parlamento Europeu e do Conselho de 8 de Junho de 2000 relativa a certos aspectos legais dos serviços
da sociedade de informação, em especial do comércio electrónico, no mercado interno («Directiva sobre o comércio electrónico»)
(JO L 178, p. 1).
5       Através da Decisão 2002/627/CE, de 29 de Julho de 2002 (JO L 200, p. 38), a Comissão, criou o grupo de reguladores europeus
para as redes e serviços de comunicações electrónicas.

Regulamento
6       O regulamento foi adoptado com base no artigo 95.° CE. O seu artigo 1.°, n.° 1, criou a Agência Europeia para a Segurança
das Redes e da Informação (a seguir «Agência»).
7       Nos termos do artigo 1.°, n.° 2, do regulamento, a missão da Agência consiste em «ajudar a Comissão e os Estados‑Membros e,
por conseguinte, [em] coopera[ção] com a comunidade empresarial, a satisfazer os requisitos de segurança das redes e da informação,
assegurando desse modo o normal funcionamento do mercado interno, incluindo os estabelecidos na legislação comunitária presente
e futura, designadamente na Directiva 2002/21/CE».
8       O artigo 2.° do regulamento, sob a epígrafe «Objectivos», tem a seguinte redacção:
«1.      A Agência deve reforçar a capacidade da Comunidade, dos Estados‑Membros e, por conseguinte, da comunidade empresarial em matéria
de prevenção, tratamento e resposta no que se refere aos problemas de segurança das redes e da informação.
2.      A Agência deve prestar assistência e aconselhamento à Comissão e aos Estados‑Membros em matéria de segurança das redes e da
informação que seja da sua competência, tal como estabelecida no presente regulamento.
3.      A Agência deve desenvolver, a partir dos esforços nacionais e comunitários, um elevado nível de capacidade especializada.
A Agência deve utilizar tal capacidade para incentivar uma vasta colaboração entre os intervenientes dos sectores público
e privado.
4.      Sempre que tal lhe seja solicitado, a Agência deve prestar apoio à Comissão nos trabalhos técnicos de preparação da actualização
e elaboração de legislação comunitária referente à segurança das redes e da informação.»
9       O artigo 3.° do regulamento define as atribuições que a Agência deve cumprir «[p]ara garantir a observância do âmbito de aplicação
e o cumprimento dos objectivos referidos, respectivamente, nos artigos 1.° e 2.°». Essas atribuições são as seguintes:
«a)      Recolher informações adequadas a fim de analisar os riscos actuais e emergentes e, em particular a nível europeu, os que possam
interferir com a solidez e a disponibilidade das redes de comunicações electrónicas e com a autenticidade, integridade e confidencialidade
das informações acessíveis e transmitidas através delas, bem como fornecer os resultados das análises aos Estados‑Membros
e à Comissão;
b)      Dar parecer ao Parlamento Europeu, à Comissão, aos organismos europeus ou aos organismos nacionais competentes designados
pelos Estados‑Membros e, sempre que tal lhe seja solicitado, prestar‑lhes assistência no âmbito dos seus objectivos;
c)      Reforçar a cooperação entre os diversos intervenientes no domínio da segurança das redes e da informação, através nomeadamente
da organização regular de consultas com a indústria, as universidades, e outros sectores envolvidos, e estabelecendo redes
de contacto para organismos comunitários, organismos do sector público designados pelos Estados‑Membros e organismos do sector
privado e dos consumidores;
d)      Facilitar a cooperação entre a Comissão e os Estados‑Membros para o desenvolvimento de metodologias comuns de prevenção, tratamento
e resposta relativamente a questões de segurança das redes e da informação;
e)      Contribuir para a sensibilização de todos os utilizadores e a disponibilidade de informações atempadas, objectivas e completas
sobre as questões de segurança das redes e da informação, através, nomeadamente, da promoção do intercâmbio das melhores práticas
correntes, designadamente sobre os métodos de alertar os utilizadores, e procurar sinergias entre as iniciativas dos sectores
público e privado;
f)      Prestar apoio à Comissão e aos Estados‑Membros no seu diálogo com a indústria com vista à resolução dos problemas de segurança
dos produtos de hardware e software;
g)      Acompanhar o desenvolvimento de normas para produtos e serviços de segurança das redes e da informação;
h)      Aconselhar a Comissão em matéria de segurança das redes e da informação, bem como da utilização eficaz de tecnologias de prevenção
dos riscos;
i)      Promover actividades de avaliação de riscos, soluções interoperáveis de gestão de riscos e estudos sobre soluções de gestão
da prevenção nos organismos dos sectores público e privado;
j)      Contribuir para os esforços comunitários de cooperação com países terceiros e, sempre que adequado, com os organismos internacionais
a fim de promover uma abordagem global comum da segurança das redes e da informação, contribuindo assim para o desenvolvimento
de uma cultura da segurança das redes e da informação;
k)      Formular com independência as suas conclusões, orientações e pareceres sobre questões que se situem no quadro do seu âmbito
de aplicação e dos seus objectivos.»
10     As secções 2 e 3 do regulamento tratam respectivamente da organização e do funcionamento da Agência.

Quanto ao recurso

Argumentos das partes
11     Como fundamento do seu pedido de anulação do regulamento, o Reino Unido alega que o artigo 95.° CE não proporciona uma base
jurídica adequada para a adopção desse regulamento. Segundo afirma, o poder conferido ao legislador comunitário pelo artigo
95.° CE consiste no poder de harmonizar as legislações nacionais e não de criar organismos comunitários e de lhes atribuir
missões.
12     Para o Reino Unido, a análise a efectuar consiste em determinar se o diploma adoptado ao abrigo do artigo 95.° CE prossegue
um objectivo que poderia ser alcançado através da adopção simultânea de legislação idêntica em cada Estado‑Membro. Se for
esse o caso, o regulamento harmoniza os direitos nacionais. Se, em contrapartida, o regulamento «faz algo» que não poderia
ter sido concretizado através da adopção simultânea de legislação idêntica ao nível dos Estados‑Membros, isto é, se legisla
em domínios que se encontram fora da capacidade individual de cada um destes, não se trata de uma medida de harmonização.
13     O Reino Unido admite que uma medida de harmonização adoptada em aplicação do artigo 95.° CE pode conter disposições que, por
si só, não constituam uma harmonização das legislações nacionais, quando essas disposições sejam simplesmente acessórias ou
correspondam à execução de disposições que, por seu lado, harmonizam os direitos nacionais.
14     O referido Estado‑Membro entende que nenhuma das disposições do regulamento aproxima, nem mesmo indirectamente e de forma
muito limitada, as normas nacionais. Pelo contrário, é expressamente vedado à Agência interferir nas competências dos organismos
nacionais, visto que se deve limitar a dar pareceres não vinculativos no domínio em causa.
15     O Reino Unido observa que o regulamento responde aos riscos que a complexidade da matéria representa para o bom funcionamento
do mercado interno não com a harmonização das normas nacionais, mas sim com a criação de um organismo comunitário dotado de
um papel consultivo. Ora, o facto de uma medida comunitária poder ser benéfica para o funcionamento do mercado interno não
significa que se trate de uma medida de harmonização na acepção do artigo 95.° CE.
16     O Reino Unido esclarece que a emissão de pareceres não vinculativos não pode equivaler a uma «aproximação das disposições
legislativas, regulamentares e administrativas dos Estados‑Membros» na acepção do artigo 95.° CE. Além disso, a disseminação
desses pareceres poderia, na prática, aumentar as disparidades existentes entre as legislações nacionais. Segundo afirma,
é totalmente especulativa a questão de saber se, na prática, os pareceres emitidos pela Agência levam os Estados‑Membros a
exercer de forma semelhante o poder discricionário de que dispõem ao abrigo da directiva‑quadro e das directivas específicas.
17     O referido Estado‑Membro sublinha que as funções da Agência se limitam ao desenvolvimento de conhecimentos especializados
e à emissão de pareceres a um amplo leque de destinatários potenciais e que o único nexo que pode existir entre as atribuições
que realiza e a harmonização do direito é o que resulta do facto de a mesma prestar assistência à Comissão. Ora, este papel,
que parece ser uma função de investigação técnica, tem um nexo demasiado distante com a regulamentação comunitária relativa
à harmonização das normas nacionais.
18     O Reino Unido considera que a existência da directiva‑quadro e das directivas específicas não pode alterar esta análise. Com
efeito, as actividades da Agência vão muito além do âmbito de aplicação das referidas directivas. Além disso, a emissão de
pareceres não vinculativos, tal como está prevista pelo regulamento, não facilita a execução dessas directivas, visto que
esta função está reservada exclusivamente a organismos competentes dos Estados‑Membros distintos da Agência.
19     O mesmo Estado‑Membro observa que o papel atribuído a esta última é mais amplo que o determinado pelo âmbito de aplicação
das directivas específicas, pois o regulamento diz respeito não só à segurança das redes de comunicações, mas também à dos
sistemas de informação, como as bases de dados.
20     O Reino Unido alega igualmente que a fundamentação do regulamento é insuficiente no que respeita à questão da provável emergência
de obstáculos às trocas, resultante da existência de requisitos nacionais divergentes quanto à segurança da informação. Ora,
a simples possibilidade da aplicação heterogénea dos requisitos de segurança das redes e o facto de esses requisitos poderem
levar a soluções ineficazes e a obstáculos ao mercado interno não podem constituir uma fundamentação suficiente a esse respeito.
21     Além disso, o referido Estado‑Membro reconhece que a criação da Agência responde a um objectivo desejável, nomeadamente o
estabelecimento, pela Comunidade, do seu próprio centro especializado no domínio da segurança das redes e da informação. Esclarece
igualmente que não se opõe ao conteúdo das disposições do regulamento. Porém, conclui de todos os argumentos invocados que
o regulamento deveria ter tido por base o artigo 308.° CE.
22     O Parlamento alega que o artigo 95.° CE não define o grau a que o acto comunitário previsto deve aproximar as ordens jurídicas
dos Estados‑Membros. O Tratado CE não exige que as medidas que têm esta disposição por base jurídica aproximem as disposições
materiais das legislações nacionais quando um grau de actuação menor seja mais adequado. Com efeito, basta que uma medida
baseada na referida disposição diga respeito à aproximação das disposições nacionais, mesmo que não efectue, ela própria,
essa aproximação.
23     O Parlamento observa que o regulamento procura aproximar determinadas disposições que os Estados‑Membros adoptaram ou se preparam
para adoptar no domínio da segurança das redes e da informação, de modo a facilitar a execução eficaz da regulamentação comunitária
existente nessa matéria. Neste âmbito, o recurso a uma base jurídica diferente e mais restritiva seria incoerente, visto que
o regulamento deve ser apreciado enquanto complemento de um conjunto de directivas respeitantes ao mercado interno das redes
e dos serviços de comunicações electrónicas.
24     O Parlamento sustenta que o legislador entendeu ser adequado adoptar uma abordagem comum dos problemas actuais e previsíveis,
relativos à segurança das redes e da informação, mediante a criação de um organismo encarregue de aconselhar os poderes públicos
a nível comunitário e nacional, no âmbito de uma estreita concertação com o sector privado. As três áreas de actividade da
Agência, nomeadamente a recolha e difusão de informação, as funções consultivas e a missão de cooperação, contribuem para
a adopção de uma abordagem comum dos diferentes aspectos da segurança das redes e da informação.
25     O Parlamento sublinha que, embora, teoricamente, a Comunidade pudesse, ter adoptado normas de harmonização das disposições
dos Estados‑Membros relativas a todas ou parte das matérias de que trata o regulamento, o legislador comunitário, atendendo
à complexidade técnica do domínio em questão e à sua rápida evolução, elaborou o regulamento para impedir o aparecimento de
obstáculos às trocas e a perda de eficácia que decorreriam da adopção descoordenada de aplicações técnicas e organizacionais
pelos Estados‑Membros. O referido legislador procurou preveni‑las por meio de uma «aproximação de baixa intensidade», graças
à qual os Estados‑Membros podem adoptar actos homogéneos que permitam aplicar os diferentes instrumentos comunitários relativos
às comunicações electrónicas, criando um centro especializado encarregue de fornecer orientações, pareceres e assistência
na matéria.
26     O Parlamento acrescenta que o facto de as disposições de harmonização materiais terem sido definidas na directiva‑quadro e
nas directivas específicas não altera a natureza de medida complementar do regulamento, concebido para facilitar a execução
das referidas directivas.
27     Segundo o Parlamento, as funções da Agência são relativamente modestas na medida em que não abrangem o poder de adoptar «padrões».
Com efeito, a emissão de pareceres provenientes de uma fonte especializada única, válidos a nível europeu, contribui para
a adopção de posições comuns em situações em que a Comunidade e os intervenientes nacionais se arriscariam a receber conselhos
técnicos díspares. As diversas formas de cooperação estimuladas pela Agência facilitam, também elas, a aproximação das condições
de mercado e a adopção, pelos Estados‑Membros, de medidas que respondam aos problemas da segurança da informação.
28     O Parlamento alega, por último, que, mesmo que o Tribunal de Justiça conclua que o regulamento não pode assentar no artigo
95.° CE, em todo o caso pode ter por base os poderes implícitos conferidos ao legislador por essa mesma disposição. À luz
desses poderes implícitos, a criação da Agência pode ser considerada indispensável para garantir que os objectivos prosseguidos
pelas directivas específicas sejam alcançados.
29     O Conselho sustenta que a aproximação prevista no artigo 95.° CE diz respeito não só às legislações nacionais, mas também
às disposições regulamentares e administrativas dos Estados‑Membros. Por outro lado, os actos que tenham essa base jurídica
podem incluir disposições que, em si mesmas, não constituam normas de harmonização mas facilitem a aproximação das legislações
nacionais. Em particular, a letra do referido artigo não impede, de modo algum, o legislador de criar um organismo comunitário
encarregue de proporcionar conhecimentos especializados num domínio que já é objecto de instrumentos de harmonização.
30     O Conselho esclarece, a este respeito, que o artigo 95.° CE não priva o legislador da possibilidade de tomar medidas destinadas
a prevenir o aparecimento de obstáculos futuros às trocas, resultantes da evolução heterogénea das legislações nacionais.
Com efeito, o referido legislador está habilitado a praticar actos que, ainda que não constituam, em si mesmos, normas de
harmonização, se reportam directamente à aproximação das normas nacionais, nomeadamente para prevenir a emergência de soluções
ineficazes e de evoluções heterogéneas das legislações dos Estados‑Membros.
31     O Conselho observa que, ao ajudar a Comissão a proceder aos trabalhos técnicos preparatórios para a elaboração da regulamentação
comunitária, a Agência proporcionará, ainda que por meio de pareceres não vinculativos, uma contribuição decisiva para a harmonização
das legislações e práticas nacionais no domínio da segurança das redes e da informação e para a actualização, o desenvolvimento
e a execução da referida legislação.
32     Segundo o Conselho, o parecer de uma autoridade independente, que presta conselhos técnicos a pedido da Comissão e dos Estados‑Membros,
facilita a transposição, para o direito interno dos Estados‑Membros, das directivas adoptadas na matéria. O regulamento não
tem portanto um efeito acessório ou subsidiário em termos de harmonização das condições do mercado no interior da Comunidade,
mas contribui directamente para a aproximação das legislações nacionais.
33     Por último, o Conselho sustenta que o artigo 308.° CE só confere ao legislador comunitário uma competência legislativa residual
nos domínios em que o poder legislativo material para concretizar certos objectivos não foi atribuído à Comunidade. Com efeito,
quando existe uma base jurídica específica para a adopção de um acto comunitário, está excluído o recurso ao artigo 308.° CE,
uma vez que este constitui apenas uma base jurídica «supletiva».
34     A República da Finlândia alega que os objectivos e o conteúdo do regulamento estão estreitamente ligados à criação e ao bom
funcionamento do mercado interno. Com efeito, a tarefa fundamental da Agência consiste em garantir um nível elevado e eficaz
de segurança das redes e da informação e reduzir os obstáculos ao funcionamento do mercado interno constituídos pelas diferenças
existentes entre as regulamentações dos Estados‑Membros na matéria.
35     O referido Estado‑Membro considera que a Agência facilita a aplicação uniforme das disposições comunitárias em matéria de
redes e de serviços de comunicações electrónicas. A Agência visa nomeadamente prevenir o aparecimento de obstáculos futuros
ao comércio, susceptíveis de surgir devido ao carácter complexo e técnico das redes electrónicas bem como às divergências
ao nível da prática dos Estados‑Membros.
36     A República da Finlândia entende que, quando se procura a base legal para disposições que criam uma entidade comunitária,
há que ter em conta o grau de aproximação da regulamentação comunitária relativa ao domínio em questão. Uma vez que a uniformização
efectuada pelas disposições comunitárias relativas às redes e aos serviços de comunicações electrónicas já está muito avançada,
a regulamentação implementada ao nível da Comunidade pode exigir, para garantir uma prática uniforme na aplicação dessas disposições,
medidas que vão muito mais longe que as habitualmente adoptadas nessa matéria.
37     A Comissão considera que, pelo seu objectivo e conteúdo, o regulamento constitui uma medida que facilita directamente a transposição
e a aplicação harmonizadas de determinadas directivas baseadas no artigo 95.° CE. Com efeito, uma das principais características
da regulamentação existente consiste no facto de uma grande parte da aplicação detalhada desta ser descentralizada e confiada
às autoridades reguladoras nacionais.
38     A referida instituição sustenta que a criação da Agência se insere num conceito mais amplo de harmonização, nomeadamente ao
facilitar a aplicação harmonizada de directivas comunitárias pelas autoridades reguladoras nacionais. Com efeito, o objectivo
do regulamento excede a simples criação da Agência, visto que esta deve dar pareceres e assistência à Comissão e às referidas
autoridades. Por isso, há um nexo entre a criação dessa Agência e o quadro legislativo comunitário relativo às comunicações
electrónicas.
39     A Comissão refere que a directiva‑quadro estabelece um sistema harmonizado para a regulamentação dos serviços e redes de comunicações
electrónicas e dos recursos conexos. Essa directiva estabelece as funções que incumbem às autoridades reguladoras nacionais,
fixando um conjunto de procedimentos para assegurar a aplicação harmonizada do mecanismo em causa em toda a Comunidade.
40     A Comissão observa que, embora os parâmetros relativos à aplicação descentralizada das referidas directivas estejam claramente
definidos, não se pode excluir que as autoridades reguladoras nacionais adoptem posições divergentes no exercício do poder
discricionário que lhes é atribuído. A Agência foi instituída para ajudar essas autoridades a alcançar uma compreensão técnica
comum das questões relativas à segurança das redes e da informação.
41     A Comissão acrescenta que a Agência funciona nos limites dos parâmetros harmonizados do quadro legislativo comunitário das
comunicações electrónicas e que pouco importa que o papel desse organismo não tenha sido definido no momento da adopção desse
quadro geral.

Apreciação do Tribunal de Justiça
Quanto ao alcance do artigo 95.° CE
42     No que respeita à extensão das competências legislativas previstas no artigo 95.° CE, recorde‑se que, como o Tribunal declarou
no n.° 44 do seu acórdão de 6 de Dezembro de 2005, Reino Unido/Parlamento Europeu e Conselho (C‑66/04, Colect., p. I‑10553,
n.° 44), essa disposição só é utilizada como base jurídica quando resulte objectiva e efectivamente de um acto jurídico que
o seu objecto consiste na melhoria das condições de estabelecimento e de funcionamento do mercado interno.
43     O Tribunal observou igualmente, no n.° 45 do acórdão Reino Unido/Parlamento Europeu e Conselho, já referido, que pela expressão
«medidas relativas à aproximação» que figura no artigo 95.° CE, os autores do Tratado quiseram conferir ao legislador comunitário,
em função do contexto geral e das circunstâncias específicas da matéria a harmonizar, margem de apreciação quanto à técnica
de aproximação mais adequada para alcançar o resultado pretendido, designadamente nos domínios que se caracterizam por particularidades
técnicas complexas.
44     Há que acrescentar, a este respeito, que a letra do artigo 95.° CE de modo nenhum permite concluir que as medidas tomadas
pelo legislador comunitário com fundamento nessa disposição se devem limitar, quanto aos seus destinatários, apenas aos Estados‑Membros.
Com efeito, pode revelar‑se necessário prever, segundo uma apreciação efectuada pelo referido legislador, a criação de um
organismo comunitário encarregue de contribuir para a realização de um processo de harmonização em situações nas quais, para
facilitar a transposição e a aplicação uniformes de actos baseados na referida disposição, seja adequado adoptar medidas não
vinculativas de acompanhamento e enquadramento.
45     Sublinhe‑se, no entanto, que as missões confiadas a um organismo dessa natureza devem estar estreitamente ligadas às matérias
objecto dos actos de aproximação das disposições legislativas, regulamentares e administrativas dos Estados‑Membros. É o que
sucede, nomeadamente, quando o organismo comunitário assim criado efectua prestações às autoridades nacionais e aos operadores
que têm influência na execução homogénea dos instrumentos de harmonização e são susceptíveis de facilitar a aplicação destes.
Quanto à conformidade do regulamento com os requisitos do artigo 95.° CE
46     Nestas condições, há que verificar se os objectivos fixados para a Agência pelo artigo 2.° do regulamento e as atribuições
que lhe são conferidas nos termos do artigo 3.° deste último correspondem às prescrições referidas nos n.
os
44 e 45 do presente acórdão.
47     Para este efeito, há que determinar, numa primeira fase, se os referidos objectivos e atribuições estão estreitamente ligados
às matérias objecto dos instrumentos descritos no artigo 1.°, n.° 2, do regulamento como «legislação comunitária presente»
e, em caso afirmativo, numa segunda fase, se se pode considerar que esses objectivos e atribuições acompanham e enquadram
a transposição dessa legislação.
48     No que respeita à directiva‑quadro, referida no nono considerando do regulamento, resulta do seu artigo 1.°, n.° 1, que a
mesma visa estabelecer um quadro harmonizado para a regulamentação dos serviços de comunicações electrónicas, das redes de
comunicações electrónicas e dos recursos e serviços conexos. A referida directiva define as funções das autoridades reguladoras
nacionais e fixa um conjunto de procedimentos para assegurar a aplicação harmonizada do quadro regulamentar em toda a Comunidade.
49     O décimo sexto considerando da directiva‑quadro refere, a este respeito, que as referidas autoridades devem ter um conjunto
harmonizado de objectivos e princípios que servirão de base às suas acções. Estes últimos estão enunciados no artigo 8.° da
referida directiva e entre eles incluem‑se, nomeadamente, um elevado nível de protecção dos dados pessoais e da privacidade
e a integridade e a segurança das redes de comunicações públicas [v. artigo 8.°, n.° 4, alíneas c) e f), da directiva‑quadro].
50     Cumpre referir igualmente que numerosas disposições das directivas específicas exprimem as preocupações do legislador comunitário
no que respeita à segurança das redes e da informação.
51     Em primeiro lugar, como resulta do sexto considerando do regulamento, a directiva «autorização» menciona, no seu anexo, parte
A, pontos 7 e 16, a protecção dos dados pessoais e da privacidade no sector das comunicações electrónicas e a segurança das
redes públicas contra o acesso não autorizado.
52     Em segundo lugar, como resulta do sétimo considerando do regulamento, a directiva «serviço universal» visa garantir a integridade
e a disponibilidade das redes telefónicas públicas. A este respeito, o artigo 23.° dessa directiva dispõe que os Estados‑Membros
devem tomar todas as medidas necessárias para garantir essas funcionalidades, em particular no caso de colapso catastrófico
da rede ou em caso de força maior.
53     Em terceiro lugar, como esclarece o oitavo considerando do regulamento, a directiva «privacidade e comunicações electrónicas»
exige que os prestadores de serviços de comunicações electrónicas publicamente disponíveis tomem as medidas técnicas e organizativas
adequadas para garantir a segurança dos serviços em causa e a confidencialidade das comunicações e dos dados de tráfego associados.
Estas exigências reflectem‑se, em especial, nos artigos 4.° e 5.° da referida directiva, disposições essas que têm por objecto,
respectivamente, a segurança das redes e a confidencialidade das comunicações.
54     Em quarto lugar, o artigo 17.° da Directiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de Outubro de 1995, relativa
à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (JO
L 281, p. 31), dispõe que os Estados‑Membros devem assegurar‑se de que o responsável pelo tratamento dos dados põe em prática
as medidas técnicas e organizativas adequadas para proteger os dados pessoais contra a destruição acidental ou ilícita, a
perda acidental, a alteração, a difusão ou acesso não autorizados, nomeadamente quando o tratamento implicar a sua transmissão
por rede, e contra qualquer outra forma de tratamento ilícito.
55     Em quinto lugar, recorde‑se que a directiva «assinaturas electrónicas» dispõe, no seu artigo 3.°, n.° 4, que as entidades
competentes, designadas pelos Estados‑Membros, determinarão as regras de conformidade dos dispositivos seguros de criação
de assinaturas.
56     Quanto às atribuições da Agência, refira‑se, por um lado, que as mesmas consistem na recolha de informações adequadas para
proceder à análise dos riscos actuais e emergentes, em particular os que possam interferir com a solidez e a disponibilidade
das redes de comunicações electrónicas e com a autenticidade, integridade e confidencialidade das referidas comunicações.
A Agência é igualmente chamada a desenvolver «metodologias comuns» destinadas a prevenir as questões de segurança, a contribuir
para a sensibilização de todos os utilizadores, bem como a promover o intercâmbio das «melhores práticas correntes» e dos
«métodos de alertar os utilizadores» e as actividades de avaliação e gestão de riscos.
57     Por outro lado, a Agência está encarregue de reforçar a cooperação entre os diversos intervenientes no domínio da segurança
das redes e da informação, de prestar apoio à Comissão e aos Estados‑Membros no seu diálogo com a indústria a fim de resolver
os problemas de segurança dos produtos de hardware e software e de contribuir para os esforços comunitários de cooperação
com estados terceiros e, sempre que adequado, com os organismos internacionais a fim de promover uma abordagem global comum
da segurança das redes e da informação.
58     Consequentemente, as atribuições confiadas à Agência nos termos do artigo 3.° do regulamento estão estreitamente ligadas aos
objectivos prosseguidos pela directiva‑quadro e pelas directivas específicas no domínio da segurança das redes e da informação.
59     Nestes termos, como se disse no n.° 47 do presente acórdão, há que determinar se se pode considerar que as atribuições da
Agência acompanham e enquadram a execução da legislação comunitária na matéria, isto é, se a criação da Agência e os objectivos
e atribuições que lhe são fixados pelo regulamento podem ser entendidos como «medidas relativas à aproximação», na acepção
do artigo 95.° CE.
60     Atendendo às características da matéria em causa, há que observar que o regulamento não constitui uma medida isolada, mas
que se insere num contexto normativo circunscrito pela directiva‑quadro e pelas directivas específicas, destinado à realização
do mercado interno no domínio das comunicação electrónicas.
61     Resulta igualmente de todos os elementos dos autos que o legislador comunitário se viu confrontado com uma matéria em que
são aplicadas tecnologias não apenas complexas mas também em rápida mutação. Daí o legislador concluiu que era previsível
que a transposição e a aplicação da directiva‑quadro e das directivas específicas dessem lugar a divergências entre os Estados‑Membros.
62     Nestas circunstâncias, o legislador considerou que a criação de um organismo comunitário como a Agência era um meio adequado
de prevenir o aparecimento de disparidades susceptíveis de levantar obstáculos ao bom funcionamento do mercado interno nesta
matéria.
63     Com efeito, recorde‑se que resulta do terceiro e do décimo considerandos do regulamento que, devido à complexidade técnica
das redes e dos sistemas informáticos, à variedade de produtos e serviços interligados e ao elevado número de intervenientes
privados e públicos com responsabilidade própria, o legislador comunitário considerou que o funcionamento normal do mercado
interno pode ser dificultado pela aplicação heterogénea das prescrições técnicas enunciadas na directiva‑quadro e nas directivas
específicas.
64     Neste contexto, o legislador comunitário pôde entender que o parecer de uma autoridade independente que presta conselhos técnicos
a pedido da Comissão e dos Estados‑Membros pode facilitar a transposição das referidas directivas para o direito interno dos
Estados‑Membros e a sua execução a nível nacional.
65     Por último, recorde‑se que, de acordo com o artigo 27.° do regulamento, a Agência é criada em 14 de Março de 2004 por um período
de cinco anos e que, nos termos do artigo 25.°, n.
os
1 e 2, do mesmo regulamento, a Comissão é obrigada a proceder, o mais tardar até 17 de Março de 2007, a uma avaliação do
desempenho da Agência face aos objectivos e atribuições que lhe foram fixados, bem como dos seus métodos de trabalho.
66     Resulta, portanto, da conjugação dessas duas disposições que o legislador comunitário considerou adequado efectuar, antes
de tomar uma decisão sobre o destino da Agência, uma avaliação da eficácia da acção dessa Agência e da contribuição efectiva
por esta prestada para a execução da directiva‑quadro e das directivas específicas.
67     Nestes termos e face aos elementos dos autos, há que concluir que o regulamento se baseia correctamente no artigo 95.° CE
e, portanto, negar provimento ao recurso.

Quanto às despesas
68     Por força do disposto no artigo 69.°, n.° 2, do Regulamento de Processo, a parte vencida é condenada nas despesas se a parte
vencedora o tiver requerido. Tendo o Parlamento e o Conselho pedido a condenação do Reino Unido e tendo este sido vencido,
há que condená‑lo nas despesas. Conforme o disposto no n.° 4 do mesmo artigo, a República da Finlândia e a Comissão devem
suportar as respectivas despesas.
Pelos fundamentos expostos, o Tribunal de Justiça (Grande Secção) decide
1)
É negado provimento ao recurso.
2)
O Reino Unido da Grã‑Bretanha e da Irlanda do Norte é condenado das despesas.
3)
A República da Finlândia e a Comissão das Comunidades Europeias suportarão as respectivas despesas.
Assinaturas
*
Língua do processo: inglês.