62021CJ0548_RES
Processo C‑548/21
CG
contra
Bezirkshauptmannschaft Landeck
(pedido de decisão prejudicial apresentado pelo Landesverwaltungsgericht Tirol)
Acórdão do Tribunal de Justiça (Grande Secção) de 4 de outubro de 2024
«Reenvio prejudicial – Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção ou repressão na matéria – Diretiva 2016/680/UE – Artigo 3.o, ponto 2 – Conceito de “tratamento” – Artigo 4.o – Princípios relativos ao tratamento de dados pessoais – Artigo 4.o, n.o 1, alínea c) – Princípio da “minimização dos dados”. – Artigos 7.°, 8.°, 47.° e 52.°, n.o 1, da Carta dos Direitos Fundamentais da União Europeia – Necessidade de uma restrição ao exercício de um direito fundamental ser “prevista por lei” – Proporcionalidade – Apreciação da proporcionalidade à luz de todos os elementos relevantes – Controlo prévio por um órgão jurisdicional ou uma autoridade administrativa independente – Artigo 13.o – Informações a facultar ou a fornecer ao titular dos dados – Limites – Artigo 54.o – Direito de intentar uma ação judicial contra um responsável pelo tratamento de dados ou um subcontratante – Investigação policial em matéria de tráfico de estupefacientes – Tentativa de desbloqueamento de um telemóvel pelas autoridades policiais com vista a aceder, para efeitos desse inquérito, aos dados contidos nesse telefone»
Aproximação das legislações – Setor das telecomunicações – Tratamento de dados pessoais e proteção da privacidade no setor das comunicações eletrónicas – Diretiva 2002/58 – Âmbito de aplicação – Tentativa das autoridades policiais de acederem aos dados pessoais contidos num telemóvel para efeitos de uma investigação criminal – Inexistência de intervenção dos fornecedores de serviços de comunicações eletrónicas – Exclusão
(Diretiva 2002/58 do Parlamento Europeu e do Conselho, conforme alterada pela Diretiva 2009/136, artigos 1.°, n.o 1, e 3.°, n.o 3)
(cf. n.os 57‑59)
Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais em matéria penal – Diretiva 2016/680 – Âmbito de aplicação – Tentativa das autoridades policiais de acederem aos dados pessoais contidos num telemóvel para efeitos de uma investigação criminal – Inclusão
(Diretiva 2016/680 do Parlamento Europeu e do Conselho, artigos 2.°, n.o 1, e 3.°, ponto 2)
(cf. n.os 71‑77)
Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais em matéria penal – Diretiva 2016/680 – Princípios relativos ao tratamento de dados pessoais – Princípios da minimização dos dados e da proporcionalidade – Investigação policial em matéria de tráfico de estupefacientes – Regulamentação nacional que concede às autoridades competentes a possibilidade de acederem aos dados contidos num telemóvel para efeitos de prevenção, investigação, deteção e repressão de infrações penais em geral – Admissibilidade – Requisitos
[Carta dos Direitos Fundamentais da União Europeia, artigos 7.°, 8.° e 52.°, n.o 1; Diretiva 2016/680 do Parlamento Europeu e do Conselho, artigo 4.o, n.o 1, alínea c)]
(cf. n.os 84‑86, 89‑93, 95‑106, 109, 110, disp. 1)
Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais em matéria penal – Diretiva 2016/680 – Informação do titular dos dados – Direito a um recurso jurisdicional efetivo – Investigação policial em matéria de tráfico de estupefacientes – Legislação nacional que autoriza as autoridades competentes a tentarem aceder aos dados contidos num telemóvel sem informarem o titular dos dados dos motivos dessa autorização – Inadmissibilidade – Obrigação de as autoridades competentes informarem o titular dos dados desses fundamentos – Alcance
(Carta dos Direitos Fundamentais da União Europeia, artigos 47.° e 52.°, n.o 1; Diretiva 2016/680 do Parlamento Europeu e do Conselho, artigos 13.° e 54.°)
(cf. n.os 115‑123, disp. 2)
Resumo
Em processo de decisão prejudicial submetido pelo Landesverwaltungsgericht Tirol (tribunal administrativo regional do Tirol, Áustria), a Grande Secção do Tribunal de Justiça esclarece, por um lado, em que condições podem as autoridades nacionais competentes aceder aos dados contidos num telemóvel para efeitos de prevenção, investigação, deteção e repressão de infrações penais em geral, à luz da Diretiva 2016/680 (
1
). Por outro lado, reconhece o direito de o titular dos dados ser informado dos fundamentos da autorização de acesso a esses dados, a partir do momento em que a comunicação dessa informação já não seja suscetível de comprometer as missões dessas autoridades.
Em 23 de fevereiro de 2021, no âmbito de um controlo de estupefacientes, os agentes aduaneiros apreenderam uma encomenda dirigida a C. G. que continha 85 gramas de canábis. A encomenda foi enviada, para exame, às autoridades policiais austríacas. Em 6 de março de 2021, no âmbito de um inquérito policial em matéria de tráfico de estupefacientes, dois agentes da polícia efetuaram buscas no domicílio de CG e interrogaram‑no a respeito do remetente da embalagem. Na sequência da recusa de CG de conceder acesso aos agentes da polícia aos dados de ligação do seu telemóvel, esses agentes apreenderam o telefone.
Em seguida, o telemóvel de CG foi objeto de várias tentativas de desbloqueamento efetuadas por diferentes agentes da polícia. No caso, tanto a apreensão do telefone como as posteriores tentativas de exploração do mesmo foram efetuadas pelos agentes da polícia sem autorização do Ministério Público ou de um juiz.
Em 31 de março de 2021, CG interpôs recurso para o órgão jurisdicional de reenvio a fim de impugnar a legalidade da apreensão do seu telemóvel, que lhe foi restituído em 20 de abril de 2021. CG não foi imediatamente informado das tentativas de exploração do seu telefone e tomou conhecimento dela no âmbito do processo pendente no órgão jurisdicional de reenvio.
Neste contexto, o órgão jurisdicional de reenvio pretende saber se, à luz da diretiva «relativa à privacidade e às comunicações eletrónicas» (
2
), um acesso completo e não controlado a todos os dados contidos num telemóvel constitui uma ingerência tão grave nos direitos fundamentais (
3
) que deve ser limitado ao combate às infrações graves. Interroga‑se igualmente sobre o facto de saber, por um lado, se essa diretiva (
4
) se opõe a uma regulamentação nacional por força da qual a Polícia Judiciária pode, no decurso de um processo de investigação penal, obter um acesso completo e não controlado a todos os dados contidos num telemóvel, sem a autorização de um juiz ou de uma entidade administrativa independente, e, por outro, se essa mesma regulamentação nacional é compatível com o direito a um recurso jurisdicional efetivo, na medida em que não obriga as autoridades policiais a informar o dono de um telemóvel das medidas de exploração digital desse telefone.
Apreciação do Tribunal de Justiça
A título preliminar, o Tribunal de Justiça refere que uma tentativa de acesso aos dados pessoais contidos num telemóvel diretamente pelas autoridades policiais sem qualquer intervenção de um prestador de serviços de comunicações eletrónicas, como a relativa a CG, não pertence ao âmbito de aplicação da diretiva «vida privada e comunicações eletrónicas».
Em primeiro lugar, o Tribunal de Justiça observa que tal tentativa de acesso faz parte do âmbito de aplicação da Diretiva 2016/680. A este respeito, esclarece que, tendo em conta o alcance amplo que o legislador da União Europeia quis dar ao conceito de «tratamento» (
5
), quando as autoridades policiais apreendem um telefone e o manipulam para fins de extração e de consulta dos dados pessoais aí contidos, essas autoridades iniciam um «tratamento», mesmo que não consigam, por razões técnicas, aceder a esses dados. Com efeito, a efetividade do princípio da limitação das finalidades (
6
) exige necessariamente que a finalidade da recolha seja determinada logo na fase em que as autoridades competentes tentem aceder a dados pessoais, uma vez que tal tentativa, se for frutuosa, é suscetível de lhes permitir, nomeadamente, recolher, extrair ou consultar imediatamente os dados em causa. Se essa tentativa não pudesse ser qualificada de «tratamento» de dados, o elevado nível de proteção dos dados pessoais das pessoas singulares seria posto em causa. Do mesmo modo, se a aplicabilidade da Diretiva 2016/680 dependesse do sucesso da tentativa de acesso a dados pessoais contidos num telemóvel, isso criaria tanto para as autoridades nacionais competentes como para os particulares uma incerteza incompatível com o princípio da segurança jurídica.
Em segundo lugar, o Tribunal de Justiça analisa se o princípio da «minimização dos dados» (
7
), enquanto expressão do princípio da proporcionalidade, se opõe a uma regulamentação nacional que concede às autoridades competentes a possibilidade de acederem aos dados contidos num telemóvel, para efeitos de prevenção, de investigação, de deteção e de repressão de infrações penais em geral, sem submeter o exercício dessa possibilidade a uma fiscalização prévia por um juiz ou por uma entidade administrativa independente. Assim, o Tribunal de Justiça recorda que as restrições aos direitos fundamentais em matéria de vida privada e familiar e de proteção dos dados pessoais (
8
) têm que respeitar o princípio da proporcionalidade e só podem ser introduzidas se forem necessárias e corresponderem efetivamente a objetivos de interesse geral reconhecidos pela União. Neste sentido, por um lado, o Tribunal de Justiça observa que se deve considerar que um tratamento de dados pessoais, como uma tentativa de acesso aos dados contidos num telemóvel, no âmbito de uma investigação policial destinada à repressão de uma infração penal responde efetivamente, em princípio, a um objetivo de interesse geral reconhecido pela União. Por outro lado, observa que o caráter proporcionado das limitações ao exercício dos direitos fundamentais em matéria de respeito da vida privada e de proteção dos dados pessoais, que decorrem desse tratamento, implica uma ponderação de todos os elementos relevantes do caso.
Assim, primeiro, no que respeita à gravidade de uma limitação desses direitos fundamentais resultante de uma regulamentação que permite às autoridades policiais competentes acederem, sem autorização prévia, aos dados contidos num telemóvel, o Tribunal de Justiça precisa que esse acesso é suscetível de incidir, em função do conteúdo do telemóvel em causa e das escolhas feitas por essas autoridades, sobre uma ampla variedade de dados, e poderá assim permitir extrair conclusões muito precisas sobre a vida privada do titular dos dados. Por conseguinte, tal ingerência nos direitos fundamentais em matéria de respeito da vida privada e de proteção dos dados pessoais deve ser considerada grave, ou mesmo particularmente grave.
Segundo, o Tribunal de Justiça indica que a gravidade da infração objeto da investigação é um elemento central na análise da proporcionalidade da ingerência grave que constitui o acesso aos dados pessoais contidos num telemóvel. Todavia, considerar que só a luta contra a criminalidade grave é suscetível de justificar o acesso a esses dados limitaria os poderes de inquérito das autoridades competentes relativamente às infrações penais em geral, violaria a natureza específica das missões realizadas por essas autoridades e prejudicaria o objetivo de realização de um espaço de liberdade, de segurança e de justiça na União. No entanto, para cumprir o requisito de qualquer restrição ao exercício de um direito fundamental ser «prevista por lei» (
9
), cabe ao legislador nacional definir de forma suficientemente precisa os elementos, nomeadamente a natureza ou as categorias das infrações em causa, que devem ser tidos em conta.
Terceiro, o Tribunal de Justiça observa que, para assegurar o respeito do princípio da proporcionalidade, quando o acesso das autoridades nacionais competentes aos dados pessoais gera o risco de uma ingerência grave, ou mesmo particularmente grave, nos direitos fundamentais do titular dos dados, esse acesso deve estar sujeito a controlo prévio efetuado por um tribunal ou por uma entidade administrativa independente. Esse controlo deve ser efetuado antes de qualquer tentativa de acesso aos dados em causa, exceto em casos de urgência devidamente justificados, devendo, nesse caso, o controlo ser efetuado em prazos curtos. No âmbito dessa fiscalização, o tribunal ou a entidade administrativa independente deve poder recusar ou restringir um pedido de acesso abrangido pela Diretiva 2016/680 quando verifique que a ingerência nos direitos fundamentais que esse acesso constituiria seria desproporcionada. No caso, deve‑se aplicar uma recusa ou uma restrição de acesso das autoridades policiais competentes aos dados contidos num telemóvel se, tendo em conta a gravidade da infração e as necessidades da investigação, não se justificar um acesso ao conteúdo das comunicações ou a dados sensíveis.
Em face do exposto, o Tribunal de Justiça conclui que o princípio da minimização dos dados, lido à luz dos direitos à proteção dos dados pessoais e ao respeito pela vida privada, não se opõe a uma regulamentação nacional que concede às autoridades competentes a possibilidade de acederem aos dados contidos num telemóvel, para efeitos de prevenção, de investigação, de deteção e de repressão de infrações penais em geral. Todavia, essa admissibilidade está condicionada pelo respeito dos princípios da legalidade e da proporcionalidade, bem como pela existência de um controlo prévio do exercício do direito de acesso a esses dados efetuado por um juiz ou por uma entidade administrativa independente.
Em terceiro lugar, o Tribunal de Justiça pronuncia‑se sobre a questão de saber se CG deveria ter sido informado das tentativas de acesso aos dados contidos no seu telemóvel (
10
). Observa, a esse respeito, que as autoridades nacionais competentes autorizadas por um juiz ou por uma entidade administrativa independente a acederem a dados conservados devem informar os titulares dos dados dos fundamentos dessa autorização, logo a partir do momento em que a comunicação dessa informação já não seja suscetível de comprometer as investigações levadas a cabo por essas autoridades. Essas mesmas autoridades devem disponibilizar aos titulares dos dados todas as informações previstas na Diretiva 2016/680 (
11
), para poderem exercer, nomeadamente, o seu direito a um recurso judicial efetivo (
12
). Assim, uma regulamentação nacional que excluísse de forma geral qualquer direito a obter essas informações não respeitaria o direito da União. No caso, o Tribunal de Justiça declara que CG devia ter sido informado previamente das tentativas de acesso aos dados contidos no seu telemóvel. Com efeito, tendo o telemóvel de CG sido apreendido no momento das tentativas de desbloqueamento das autoridades policiais, não se afigura que informá‑lo dessas tentativas de acesso fosse suscetível de prejudicar o inquérito. Por conseguinte, o Tribunal de Justiça conclui que as disposições da Diretiva 2016/680, lidas à luz da Carta (
13
), se opõem a uma legislação nacional que autorize as autoridades competentes a acederem a dados contidos num telemóvel sem informarem o titular dos dados dos fundamentos da autorização de um juiz ou de uma entidade administrativa independente para acederem a esses dados, a partir do momento em que a comunicação dessa informação já não seja suscetível de comprometer as missões que incumbem a essas autoridades.
(
1
)	Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, e à livre circulação desses dados, e que revoga a Decisão‑Quadro 2008/977/JAI do Conselho (JO 2016, L 119, p. 89).
(
2
)	Mais precisamente, com o artigo 15.o, n.o 1, da Diretiva 2002/58/CE do Parlamento Europeu e do Conselho, de 12 de julho de 2002, relativa ao tratamento de dados pessoais e à proteção da privacidade no setor das comunicações eletrónicas (Diretiva relativa à privacidade e às comunicações eletrónicas) (JO 2002, L 201, p. 37), conforme alterada pela Diretiva 2009/136/CE do Parlamento Europeu e do Conselho, de 25 de novembro de 2009 (JO 2009, L 337, p. 11) (a seguir «diretiva “vida privada e comunicações eletrónicas”»).
(
3
)	Previstos nos artigos 7.° e 8.° da Carta dos Direitos Fundamentais da União Europeia (a seguir: «Carta»).
(
4
)	Mais precisamente, o artigo 15.o, n.o 1, da diretiva “vida privada e comunicações eletrónicas”.
(
5
)	Nos termos do artigo 3.o, ponto 2, da Diretiva 2016/680, o conceito de «tratamento» é definido como «uma operação ou um conjunto de operações efetuadas sobre dados pessoais ou sobre conjuntos de dados pessoais, por meios automatizados ou não automatizados [...]».
(
6
)	Artigo 4.o, n.o 1, alínea b), da Diretiva 2016/680.
(
7
)	Conforme previsto no artigo 4.o, n.o 1, alínea c), da Diretiva 2016/680, nos termos do qual os Estados‑Membros devem prever que os dados pessoais sejam adequados, pertinentes e limitados ao mínimo necessário relativamente às finalidades para as quais são tratados.
(
8
)	Artigos 7.° e 8.° da Carta.
(
9
)	Artigo 52.o, n.o 1, da Carta.
(
10
)	Artigo 47.o da Carta.
(
11
)	Previstos no artigo 13.o, n.o 1, da Diretiva 2016/680.
(
12
)	Artigo 54.o da Diretiva 2016/680.
(
13
)	Mais em particular, os artigos 13.° e 54.° da Diretiva 2016/680, lidos à luz dos artigos 47.° e 52.°, n.o 1, da Carta,