CONCLUSÕES DO ADVOGADO‑GERAL

GIOVANNI PITRUZZELLA

apresentadas em 27 de janeiro de 2022 ( 1 ) ( i )

Processo C‑817/19

Ligue des droits humains

contra

Conseil des ministres

[pedido de decisão prejudicial apresentado pela Cour constitutionnelle (Tribunal Constitucional, Bélgica)]

«Reenvio prejudicial — Proteção dos dados pessoais — Tratamento dos dados dos registos de identificação dos passageiros (PNR) — Regulamento (UE) 2016/679 — Âmbito de aplicação — Diretiva (UE) 2016/681 — Validade — Carta dos Direitos Fundamentais da União Europeia — Artigos 7.o, 8.o e 52.o, n.o 1»

Índice

I. Introdução II. Quadro jurídico A. Direito da União 1. Carta 2. RGPD 3. Diretiva PNR 4. Outros atos de direito da União pertinentes B. Direito belga C. Litígio no processo principal, questões prejudiciais e tramitação do processo no Tribunal de Justiça III. Análise A. Quanto à primeira questão prejudicial B. Quanto às segunda, terceira, quarta, sexta e oitava questões prejudiciais 1. Quanto aos direitos fundamentais enunciados nos artigos 7.o e 8.o da Carta 2. Quanto à ingerência nos direitos fundamentais enunciados nos artigos 7.o e 8.o da Carta 3. Quanto à justificação da ingerência resultante da Diretiva PNR a) Quanto ao cumprimento do requisito segundo o qual qualquer restrição ao exercício de um direito fundamental previsto na Carta deve ser previsto por lei b) Quanto ao respeito pelo conteúdo essencial dos direitos enunciados nos artigos 7.o e 8.o da Carta c) Quanto ao respeito do requisito segundo o qual a ingerência deve corresponder a um objetivo de interesse geral d) Quanto ao respeito do princípio da proporcionalidade 1) Quanto à aptidão dos tratamentos dos dados PNR previstos na Diretiva PNR à luz do objetivo prosseguido 2) Quanto ao caráter estritamente necessário da ingerência i) Quanto à delimitação das finalidades do tratamento dos dados PNR ii) Quanto às categorias de dados PNR previstas na Diretiva PNR (segunda e terceira questões prejudiciais) – Quanto ao caráter suficientemente claro e preciso dos pontos 12 e 18 do anexo I (terceira questão prejudicial) – Quanto à extensão dos dados enumerados no anexo I (segunda questão prejudicial) – Quanto aos dados sensíveis iii) Quanto ao conceito de «passageiro» (quarta questão prejudicial) iv) Quanto ao caráter suficientemente claro, preciso e limitado ao estritamente necessário da avaliação prévia dos passageiros (sexta questão prejudicial) – Quanto à comparação com bases de dados na aceção do artigo 6.o, n.o 3, alínea a), da Diretiva PNR – Quanto ao tratamento dos dados PNR à luz de critérios preestabelecidos – Quanto às garantias que rodeiam o tratamento automatizado dos dados PNR – Conclusão quanto à sexta questão prejudicial v) Quanto à conservação dos dados PNR (oitava questão prejudicial) 2. Conclusões sobre as segunda, terceira, quarta, sexta e oitava questões prejudiciais C. Quanto à quinta questão prejudicial D. Quanto à sétima questão prejudicial E. Quanto à nona questão prejudicial F. Quanto à décima questão prejudicial IV. Conclusão

I. Introdução

1. Com o presente pedido de decisão prejudicial, a Cour constitutionnelle (Tribunal Constitucional, Bélgica) submete ao Tribunal de Justiça uma série de dez questões prejudiciais respeitantes à interpretação do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (a seguir «RGPD») ( 2 ), bem como à validade e à interpretação da Diretiva (UE) 2016/681 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativa à utilização dos dados dos registos de identificação dos passageiros (PNR) para efeitos de prevenção, deteção, investigação e repressão das infrações terroristas e da criminalidade grave (a seguir «Diretiva PNR») ( 3 ) e da Diretiva 2004/82/CE do Conselho, de 29 de abril de 2004, relativa à obrigação de comunicação de dados dos passageiros pelas transportadoras (a seguir «Diretiva API») ( 4 ). Estas questões foram suscitadas no âmbito de um recurso interposto pela associação sem fins lucrativos Ligue des droits humains (LDH), em que é pedida a anulação total ou parcial da loi du 25 décembre 2016 relative au traitement des données des passagers (Lei de 25 de dezembro de 2016, relativa ao tratamento dos dados dos passageiros) (a seguir «Lei PNR») ( 5 ), que transpõe para o direito belga a Diretiva PNR bem como a Diretiva API.

2. As questões que o Tribunal de Justiça deverá decidir no presente processo inscrevem‑se no âmbito de um dos principais dilemas do constitucionalismo liberal democrático contemporâneo: como deve ser definido o equilíbrio entre o indivíduo e a coletividade na era dos dados, quando as tecnologias digitais permitiram a recolha, a conservação, o tratamento e a análise de enormes massas de dados pessoais para fins preditivos? Os algoritmos, a análise dos big data e a inteligência artificial utilizados pelas autoridades públicas podem servir para promover e proteger os interesses fundamentais da sociedade com uma eficácia anteriormente inimaginável: da proteção da saúde pública à sustentabilidade ambiental, da luta contra o terrorismo à prevenção da criminalidade, em especial a criminalidade grave. Simultaneamente, a recolha indiferenciada de dados pessoais e a utilização das tecnologias digitais pelos poderes públicos podem dar origem a um pan‑ótico digital, ou seja, um poder público que vê tudo sem ser visto. Um poder omnisciente que pode controlar e prever os comportamentos de qualquer pessoa e tomar as medidas que se impõem, até ao resultado paradoxal, imaginado por Steven Spielberg no filme Minority Report, de retirar a liberdade, a título preventivo, ao autor de um crime que ainda não foi cometido. Como é sabido, em certos países, a sociedade prevalece sobre o indivíduo e a utilização dos dados pessoais permite legitimamente realizar uma vigilância de massas eficaz destinada a proteger interesses públicos considerados fundamentais. Inversamente, o constitucionalismo europeu — nacional e supranacional — atribuindo o lugar central ao indivíduo e às suas liberdades, coloca uma importante barreira ao aparecimento de uma sociedade de vigilância de massas, sobretudo após o reconhecimento dos direitos fundamentais à proteção da vida privada e à proteção dos dados pessoais. Contudo, em que medida pode esta barreira ser erigida sem lesar gravemente certos interesses fundamentais da sociedade — como os acima mencionados a título de exemplo — que podem, todavia, ter nexos constitucionais? Encontramo‑nos no cerne da questão da relação entre indivíduo e coletividade na sociedade digital. Uma questão que necessita, por um lado, da procura e da aplicação de equilíbrios delicados entre os interesses da coletividade e os direitos dos indivíduos, partindo da importância absoluta que estes últimos têm no património constitucional europeu, e, por outro, do estabelecimento de garantias contra os abusos. Também aqui nos encontramos no âmbito da versão contemporânea de um tema clássico do constitucionalismo, pois, como afirmava de modo lapidar O Federalista, os homens não são anjos e é por isso que são necessários mecanismos jurídicos para limitar e controlar o poder público.

3. São estas as questões de ordem geral que se inscrevem no contexto das presentes conclusões, as quais só podem limitar‑se a interpretar o direito da União, à luz da jurisprudência anterior do Tribunal de Justiça, utilizando técnicas bem assentes, entre as quais figura a interpretação conforme. É uma técnica a que se recorrerá frequentemente nas presentes conclusões, quando tal se afigure juridicamente possível, com o objetivo de encontrar o equilíbrio necessário, do ponto de vista constitucional, entre as finalidades públicas subjacentes ao sistema de transferência, de recolha e de tratamento dos dados dos registos de identificação dos passageiros (a seguir «dados PNR») e os direitos consagrados nos artigos 7.o e 8.o da Carta dos Direitos Fundamentais da União Europeia (a seguir «Carta»).

I. Quadro jurídico

A. Direito da União

1. Carta

4. Nos termos do artigo 7.o da Carta, «[t]odas as pessoas têm direito ao respeito pela sua vida privada e familiar, pelo seu domicílio e pelas suas comunicações».

5. Nos termos do artigo 8.o da Carta: «1. Todas as pessoas têm direito à proteção dos dados de caráter pessoal que lhes digam respeito. 2. Esses dados devem ser objeto de um tratamento leal, para fins específicos e com o consentimento da pessoa interessada ou com outro fundamento legítimo previsto por lei. Todas as pessoas têm o direito de aceder aos dados coligidos que lhes digam respeito e de obter a respetiva retificação. 3. O cumprimento destas regras fica sujeito a fiscalização por parte de uma autoridade independente.»

6. Em conformidade com o artigo 52.o, n.o 1, da Carta, «[q]ualquer restrição ao exercício dos direitos e liberdades reconhecidos pela presente Carta deve ser prevista por lei e respeitar o conteúdo essencial desses direitos e liberdades. Na observância do princípio da proporcionalidade, essas restrições só podem ser introduzidas se forem necessárias e corresponderem efetivamente a objetivos de interesse geral reconhecidos pela União, ou à necessidade de proteção dos direitos e liberdades de terceiros».

2. RGPD

7. O artigo 2.o, n.o 2, alínea d), do RGPD exclui do âmbito de aplicação deste regulamento o tratamento de dados pessoais efetuado «pelas autoridades competentes para efeitos de prevenção, investigação, deteção e repressão de infrações penais ou da execução de sanções penais, incluindo a salvaguarda e a prevenção de ameaças à segurança pública».

8. Nos termos do artigo 23.o, n.o 1, alínea d), do RGPD: «O direito da União ou dos Estados‑Membros a que estejam sujeitos o responsável pelo tratamento ou o seu subcontratante pode limitar por medida legislativa o alcance das obrigações e dos direitos previstos nos artigos 12.o a 22.o e no artigo 34.o, bem como no artigo 5.o, na medida em que tais disposições correspondam aos direitos e obrigações previstos nos artigos 12.o a 22.o, desde que tal limitação respeite a essência dos direitos e liberdades fundamentais e constitua uma medida necessária e proporcionada numa sociedade democrática para assegurar, designadamente: […] d) A prevenção, investigação, deteção ou repressão de infrações penais, ou a execução de sanções penais, incluindo a salvaguarda e a prevenção de ameaças à segurança pública.»

3. Diretiva PNR

9. Apresentarei a seguir apenas uma panorâmica sucinta do funcionamento do sistema instituído pela Diretiva PNR. No decurso da análise jurídica, serão apresentados mais pormenores sobre o conteúdo das disposições da Diretiva PNR pertinente para efeitos da resposta a dar às questões prejudiciais.

10. Em conformidade com o seu artigo 1.o, a Diretiva PNR, adotada com base no artigo 82.o, n.o 1, alínea d), TFUE e no artigo 87.o, n.o 2, alínea a), TFUE, organiza, ao nível da União Europeia, um sistema de transferência, pelas transportadoras aéreas, dos dados PNR de voos extra‑UE ( 6 ), bem como de recolha, de tratamento e de conservação destes dados pelas autoridades competentes dos Estados‑Membros para fins de luta contra o terrorismo e a criminalidade grave.

11. Nos termos do artigo 3.o, ponto 5, desta diretiva, o «[r]egisto de identificação dos passageiros» ou «PNR» é um «registo das formalidades de viagem impostas a cada passageiro que contém as informações necessárias para permitir o tratamento e o controlo das reservas feitas pelas transportadoras aéreas participantes relativamente a cada viagem reservada por uma pessoa ou em seu nome, quer o registo conste dos sistemas de reserva, dos sistemas de controlo das partidas utilizado para efetuar o controlo dos passageiros embarcados nos voos, ou de sistemas equivalentes que ofereçam as mesmas funcionalidades».

12. O anexo I da Diretiva PNR (a seguir «anexo I») enumera os dados dos registos de identificação dos passageiros recolhidos pelas transportadoras aéreas, que são objeto de transferência na aceção e segundo as modalidades previstas no artigo 8.o desta diretiva.

13. O anexo II da Diretiva PNR (a seguir «anexo II») contém a lista das infrações que constituem «criminalidade grave» na aceção do artigo 3.o, ponto 9, desta diretiva.

14. O artigo 2.o da Diretiva PNR prevê a possibilidade de os Estados‑Membros decidirem aplicar esta diretiva também aos «voos intra‑UE» ( 7 ) ou a alguns deles, considerados «necessários» a fim de prosseguir os objetivos da referida diretiva.

15. Nos termos do artigo 4.o, n.o 1, da Diretiva PNR, «[c]ada Estado‑Membro cria ou designa uma autoridade competente para efeitos de prevenção, deteção, investigação ou repressão das infrações terroristas e da criminalidade grave, ou cria ou designa uma secção de tal autoridade, para agir na qualidade da sua “unidade de informações de passageiros” (UIP)». Em conformidade com o n.o 2, alínea a), deste artigo 4.o, a UIP é responsável, nomeadamente, pela recolha dos dados PNR junto das transportadoras aéreas, pela conservação e pelo tratamento desses dados, bem como pela transferência desses dados ou dos resultados do seu tratamento às autoridades competentes referidas no artigo 7.o da Diretiva PNR. Nos termos do n.o 2 deste artigo 7.o, essas autoridades são «autoridades competentes para fins de prevenção, deteção, investigação ou repressão das infrações terroristas ou da criminalidade grave» ( 8 ).

16. Nos termos do artigo 6.o, n.o 1, segundo período, da Diretiva PNR, «[c]aso os dados PNR transferidos pelas transportadoras aéreas incluam dados distintos dos enumerados no anexo I, a UIP apaga imediata e definitivamente esses dados assim que os receber». O n.o 2 deste artigo tem a seguinte redação: «2. A UIP procede ao tratamento dos dados PNR exclusivamente para os seguintes fins: a) Proceder a uma avaliação dos passageiros antes da sua chegada prevista ao Estado‑Membro ou da sua partida prevista desse Estado‑Membro, a fim de identificar as pessoas que, pelo facto de poderem estar implicadas numa infração terrorista ou numa forma de criminalidade grave, devem ser sujeitas a um controlo mais minucioso pelas autoridades competentes a que se refere o artigo 7.o e, se for caso disso, pela Europol, nos termos do artigo 10.o; b) Responder, caso a caso, aos pedidos devidamente fundamentados, baseados em motivos suficientes, apresentados pelas autoridades competentes, para fornecer e tratar dados PNR, em casos específicos, para efeitos de prevenção, deteção, investigação e repressão de infrações terroristas ou da criminalidade grave, e para disponibilizar às autoridades competentes ou, se for caso disso, à Europol os resultados desse tratamento; e c) Analisar os dados PNR com o objetivo de atualizar ou criar novos critérios a utilizar nas avaliações realizadas nos termos do n.o 3, alínea b), a fim de identificar pessoas que possam estar implicadas em infrações terroristas ou em formas de criminalidade grave.»

17. O artigo 12.o da Diretiva PNR contém as disposições relativas à conservação dos dados PNR.

18. O artigo 5.o da Diretiva PNR prevê que cada UIP nomeia um responsável pela proteção de dados incumbido de controlar o tratamento dos dados PNR e de aplicar as salvaguardas relevantes. Além disso, cada Estado‑Membro é obrigado, em conformidade com o artigo 15.o desta diretiva, a estabelecer que a autoridade nacional de controlo referida no artigo 25.o da Decisão‑Quadro 2008/977/JAI ( 9 ), substituída pela Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, e à livre circulação desses dados, e que revoga a Decisão‑Quadro 2008/977/JAI do Conselho (a seguir «Diretiva Cooperação Policial») ( 10 ), seja responsável por monitorizar a aplicação, no seu território, das disposições adotadas por força da referida diretiva. Esta autoridade, que exerce as suas funções tendo em vista a proteção dos direitos fundamentais no âmbito do tratamento de dados pessoais ( 11 ), é encarregada, nomeadamente, por um lado, de analisar as reclamações apresentadas por qualquer titular de dados, investigar a questão e informar os titulares dos dados sobre os progressos e os resultados da reclamação num prazo razoável e, por outro, de verificar a legalidade do tratamento de dados, proceder a investigações, inspeções e auditorias nos termos do direito nacional, por sua própria iniciativa ou com base numa reclamação ( 12 ).

4. Outros atos de direito da União pertinentes

19. O quadro jurídico do presente processo é completado pela Diretiva API e pela Diretiva Cooperação Policial. Por razões de legibilidade das presentes conclusões, o conteúdo das disposições pertinentes destes atos será exposto na medida em que tal se revele necessário para o tratamento das questões que lhes dizem respeito ou, mais genericamente, para efeitos da análise jurídica.

B. Direito belga

20. Em conformidade com o artigo 22.o da Constituição belga, «[t]odas as pessoas têm direito ao respeito pela sua vida privada e familiar, exceto nos casos e nas condições estabelecidos por lei».

21. Nos termos do seu artigo 2.o, a Lei PNR transpõe a Diretiva API e a Diretiva PNR, bem como, parcialmente, a Diretiva 2010/65/UE ( 13 ).

22. Em conformidade com o seu artigo 3.o, § 1, a Lei PNR «determina as obrigações das transportadoras e dos operadores de viagens relativas à transmissão de dados dos passageiros com destino, proveniência ou trânsito em território nacional». Nos termos do artigo 4.o, pontos 1 e 2, desta lei, entende‑se por «transportadora»«qualquer pessoa singular ou coletiva que preste, a título profissional, serviços de transporte de pessoas por via aérea, marítima, ferroviária ou terrestre» e por «operador de viagens»«qualquer organizador ou intermediário de viagens na aceção da Lei de 16 de fevereiro de 1994, que regula o contrato de organização de viagens e o contrato de intermediação de viagens».

23. O artigo 8.o da Lei PNR dispõe: «§ 1. Os dados dos passageiros são tratados para efeitos de: 1° Investigação e repressão, incluindo a execução de penas ou de medidas restritivas da liberdade, relativas às infrações previstas no artigo 90.o ter, § 2, […] 7°, […] 8°, […] 11°, […] 14°, […] 17°, 18°, 19° e § 3, do Code d’Instruction criminelle (Código de Processo Penal); 2° Investigação e repressão, incluindo a execução de penas ou de medidas restritivas da liberdade, relativas às infrações previstas nos artigos 196.o, no que respeita às infrações de falsificação de documentos autênticos e públicos, 198.o, 199.o, 199.o bis, 207.o, 213.o, 375.o e 505.o do Code pénal (Código Penal); 3° Prevenção das perturbações graves da segurança pública no contexto da radicalização violenta, através do acompanhamento dos fenómenos e grupos, em conformidade com o artigo 44/5.o, § 1, 2.o e 3.o, e § 2, da loi du 5 août 1992 sur la fonction de police (Lei relativa à função de polícia, de 5 de agosto de 1992); 4° Acompanhamento das atividades referidas no artigo 7.o, 1° e 3°/l, e no artigo 11.o, § 1, 1° a 3° e 5°, da loi du 30 novembre 1998 organique des services de renseignement et de sécurité (Lei Orgânica dos Serviços de Informações e de Segurança, de 30 de novembro de 1998) ( 14 ); 5° Investigação e repressão das infrações previstas no artigo 220.o, § 2, da loi générale sur les douanes et accises du 18 juillet 1977 (Lei geral em matéria aduaneira e de impostos especiais de consumo, de 18 de julho de 1977) e no artigo 45.o, n.o 3, da loi du 22 décembre 2009 relative au régime général d’accise (Lei relativa ao regime geral dos impostos especiais de consumo, de 22 de dezembro de 2009) […] § 2. Nas condições previstas no capítulo 11, os dados dos passageiros são igualmente tratados a fim de melhorar os controlos de pessoas nas fronteiras externas e combater a imigração ilegal.»

24. O artigo 9.o da Lei PNR contém a lista dos dados que são objeto de transferência. Estes dados correspondem aos enumerados no anexo I.

25. Em conformidade com o artigo 18.o da Lei PNR, «os dados dos passageiros são conservados no banco de dados dos passageiros por um período máximo de cinco anos a contar do respetivo registo. Decorrido esse prazo, os dados dos passageiros são destruídos».

26. O artigo 19.o desta lei prevê que «[d]ecorrido o prazo de seis meses a contar do registo dos dados dos passageiros no banco de dados dos passageiros, todos os dados dos passageiros são anonimizados mediante mascaramento dos elementos de informação».

27. O artigo 24.o da Lei PNR prevê: «§ 1. Os dados dos passageiros são tratados para efeitos de realização de uma avaliação prévia dos passageiros antes da sua chegada, da sua partida ou do seu trânsito previsto em território nacional, a fim de determinar as pessoas que devem ser submetidas a um exame mais aprofundado. § 2. No âmbito das finalidades previstas no artigo 8.o, § 1, 1.o, 4.o e 5.o, ou relativas às ameaças mencionadas nos artigos 8.o, 1.o, a), b), c), d), f), g) e 11.o, § 2, da loi du 30 novembre 1998 organique des services de renseignement et de sécurité (Lei Orgânica dos Serviços de Informações e de Segurança, de 30 de novembro de 1998) a avaliação prévia dos passageiros assenta numa correspondência positiva, resultante de uma correlação dos dados dos passageiros com: 1° os bancos de dados geridos pelos serviços competentes ou que estejam diretamente à sua disposição ou acessíveis no âmbito das suas funções ou com listas de pessoas elaboradas pelos serviços competentes no âmbito das suas funções. 2° os critérios de avaliação preestabelecidos pela UIP, referidos no artigo 25.o § 3 No âmbito das finalidades previstas no artigo 8.o, § 1, 3°, a avaliação prévia dos passageiros assenta numa correspondência positiva, resultante de uma correlação dos dados dos passageiros com os bancos de dados referidos no § 2, 1°[…]».

28. O artigo 25.o da Lei PNR reproduz o conteúdo do artigo 6.o, n.o 4, da Diretiva PNR.

29. O capítulo 11 da Lei PNR contém as disposições que regem o tratamento dos dados dos passageiros com vista à melhoria do controlo nas fronteiras e à luta contra a imigração ilegal. Estas disposições constituem a transposição da Diretiva API para o direito belga.

30. O artigo 44.o da Lei PNR prevê que a UIP designa um responsável pela proteção de dados no service public fédéral intérieur (Serviço Público Federal Interior). A supervisão da aplicação das disposições da Lei PNR é exercida pela Commission de la protection de la vie privée (Comissão para a proteção da vida privada).

31. O artigo 51.o da Lei PNR altera a Lei Orgânica dos Serviços de Informações e de Segurança, de 30 de novembro de 1998, inserindo um artigo 16.o/3 com a seguinte redação: «§ 1. Os serviços de informações e de segurança podem, no interesse do exercício das suas funções, decidir, de forma devidamente fundamentada, aceder aos dados dos passageiros referidos no artigo 7.o da Lei [PNR]. § 2. A decisão referida no § 1 é tomada pelo chefe do serviço e comunicada por escrito à Unidade de Informação dos passageiros referida no capítulo 7 da referida lei. A decisão é notificada ao Comité Permanente R com a respetiva fundamentação. O Comité Permanente R proíbe os serviços de informações e de segurança de explorarem os dados recolhidos em condições que não respeitem os requisitos legais. A decisão pode incidir sobre um conjunto de dados relativos a uma investigação de informações específica. Neste caso, a lista das consultas dos dados dos passageiros é comunicada mensalmente ao Comité Permanente R.»

C. Litígio no processo principal, questões prejudiciais e tramitação do processo no Tribunal de Justiça

32. Por petição enviada à Cour constitutionnelle (Tribunal Constitucional, Bélgica) em 24 de julho de 2017, a LDH interpôs um recurso de anulação total ou parcial da Lei PNR. Invocou dois fundamentos de recurso.

33. No primeiro fundamento, invocado a título principal e relativo à violação do artigo 22.o da Constituição belga, em conjugação com o artigo 23.o do RGPD, com os artigos 7.o, 8.o e 52.o, n.o 1, da Carta bem como com o artigo 8.o da Convenção Europeia para a Proteção dos Direitos do Homem e das Liberdades Fundamentais, assinada em Roma em 4 de novembro de 1950 (a seguir «CEDH), a LDH considera que a lei impugnada não respeita o princípio da proporcionalidade quanto ao seu âmbito de aplicação e às categorias de dados abrangidos, aos tratamentos de dados que institui, às suas finalidades e ao prazo de conservação dos dados. Em especial, sustenta que a definição dos dados PNR é demasiado ampla e suscetível de conduzir à revelação de dados sensíveis, e que a definição do conceito de «passageiro» contida nessa lei permite um tratamento sistemático não direcionado dos dados de todos os passageiros em causa. Além disso, a LDH considera que a Lei PNR não define de forma suficientemente clara a natureza e as modalidades do método de pre‑screening dos bancos de dados de passageiros bem como dos critérios que servem de «indicadores de ameaça». Por último, considera que a Lei PNR excede os limites do estritamente necessário, no sentido de que prossegue finalidades de tratamento dos dados PNR mais amplas do que as admitidas pela Diretiva PNR e que o prazo de cinco anos para a conservação dos dados PNR é desproporcionado. No segundo fundamento, invocado a título subsidiário e relativo à violação do artigo 22.o da Constituição belga, em conjugação o artigo 3.o, n.o 2, TUE e com o artigo 45.o da Carta, a LDH contesta as disposições do capítulo 11 da Lei PNR que transpõem a Diretiva API.

34. O Conselho de Ministros do Reino da Bélgica, enquanto interveniente na Cour constitutionnelle (Tribunal Constitucional, Bélgica), opõe‑se ao recurso da LDH, contestando tanto a admissibilidade como a procedência dos dois fundamentos de recurso invocados.

35. A Cour constitutionnelle (Tribunal Constitucional, Bélgica), por seu lado, apresenta as seguintes considerações.

36. No que respeita ao primeiro fundamento, interroga‑se, antes de mais, sobre a questão de saber se a definição dos dados PNR, que figura no anexo I, é suficientemente clara e precisa. A descrição de alguns destes dados reveste caráter exemplificativo e não exaustivo. Seguidamente, o referido órgão jurisdicional observa que a definição do conceito de «passageiro» que figura no artigo 3.o, ponto 4, da Diretiva PNR implica a recolha, a transferência, o tratamento e a conservação dos dados PNR de qualquer pessoa transportada ou que deva ser transportada e inscrita na lista de passageiros, independentemente da existência de motivos sérios para crer que a pessoa em causa cometeu uma infração ou está prestes a cometer uma infração, ou foi considerada culpada de uma infração. No que respeita aos tratamentos dos dados PNR, observa que estes últimos são sistematicamente objeto de uma avaliação prévia que implica o cruzamento dos dados PNR de todos os passageiros com bancos de dados ou critérios preestabelecidos, com vista a estabelecer correspondências. No entanto, a Cour constitutionnelle (Tribunal Constitucional, Bélgica) precisa que, embora os critérios devam ser específicos, fiáveis e não discriminatórios, parece‑lhe tecnicamente impossível definir melhor os critérios preestabelecidos que servirão para a determinação de perfis de risco. No que respeita ao prazo de conservação dos dados PNR previsto no artigo 12.o, n.o 1, da Diretiva PNR, por força do qual os referidos dados podem ser conservados por um prazo de cinco anos, o órgão jurisdicional de reenvio considera que os dados PNR são conservados sem ter em conta a questão de saber se os passageiros em causa seriam ou não suscetíveis, no âmbito da avaliação prévia, de representar um risco para a segurança pública. Nestas circunstâncias, o órgão jurisdicional de reenvio interroga‑se sobre a questão de saber se, atendendo à jurisprudência resultante, nomeadamente, do Acórdão de 21 de dezembro de 2016, Tele2 Sverige e Watson e o. ( 15 ) e do Parecer 1/15 (Acordo PNR UE‑Canadá), de 26 de julho de 2017 ( 16 ), se pode considerar que o sistema de recolha, de transferência, de tratamento e de conservação dos dados PNR estabelecido pela Diretiva PNR não ultrapassa os limites do estritamente necessário. Neste contexto, esse órgão jurisdicional interroga‑se igualmente sobre a questão de saber se a Diretiva PNR se opõe a uma regulamentação nacional, como a que resulta do artigo 8.o, n.o 1, ponto 4), da Lei PNR, que autoriza o tratamento dos dados PNR para uma finalidade diferente das previstas por esta diretiva. Por último, interroga‑se sobre se a UIP pode ser considerada «outra autoridade nacional» suscetível, nos termos do artigo 12.o, n.o 3, alínea b), ii), da Diretiva PNR, de autorizar a divulgação dos dados PNR integrais após um prazo de seis meses. Quanto ao segundo fundamento, o órgão jurisdicional de reenvio observa que visa o artigo 3.o, n.o 1, o artigo 8.o, n.o 2, bem como os artigos 28.o a 31.o da Lei PNR, que regem a recolha e o tratamento dos dados dos passageiros para efeitos de combate à imigração ilegal e melhoria dos controlos nas fronteiras. Recordando que, segundo a primeira destas disposições, esta lei abrange os voos com destino ao território nacional, dele provenientes e transitando pelo mesmo, esse órgão jurisdicional precisa que o legislador nacional tinha incluído os voos «intra‑UE» no âmbito de aplicação da referida lei, a fim de obter «um quadro mais completo dos passageiros que constituam uma potencial ameaça para a segurança [dentro da União] e nacional», baseando‑se na faculdade prevista no artigo 2.o da Diretiva PNR, em conjugação com o seu considerando 10.

37. Foi neste contexto que a Cour constitutionnelle (Supremo Tribunal, Bélgica) decidiu suspender a instância e submeter ao Tribunal de Justiça as seguintes questões prejudiciais: «1) Deve o artigo 23.o do [RGPD], em conjugação com o artigo 2.o, n.o 2, alínea d), deste regulamento, ser interpretado no sentido de que se aplica a uma legislação nacional como a Lei [PNR], que transpõe a Diretiva [PNR], bem como a Diretiva [API] e a Diretiva 2010/65? 2) O anexo I […] é compatível com os artigos 7.o, 8.o e 52.o, n.o 1, da [Carta], no sentido de que os dados que enumera são muito vastos — nomeadamente os dados referidos no ponto 18 [deste anexo I], que excedem os dados referidos no artigo 3.o, n.o 2, da Diretiva [API] — e de que, considerados conjuntamente, poderiam revelar dados sensíveis e violar, assim, os limites do “estritamente necessário”? 3) Os pontos 12 e 18 do anexo I […] são compatíveis com os artigos 7.o, 8.o e 52.o, n.o 1, da [Carta], na medida em que, tendo em conta os termos “designadamente” e “incluindo”, os dados a que se referem são mencionados a título exemplificativo, e não exaustivo, de modo que a exigência de precisão e de clareza das regras que implicam uma ingerência no direito ao respeito da vida privada e no direito à proteção dos dados pessoais não é respeitada? 4) O artigo 3.o, ponto 4, da Diretiva [PNR,] e o anexo I […] são compatíveis com os artigos 7.o, 8.o e 52.o, n.o 1, da [Carta], na medida em que o sistema de recolha, de transferência e de tratamento generalizados de dados dos passageiros que essas disposições instituem abrange qualquer pessoa que utilize o meio de transporte em causa, independentemente de qualquer elemento objetivo que permita considerar que essa pessoa é suscetível de representar um risco para a segurança pública? 5) Deve o artigo 6.o da Diretiva [PNR], em conjugação com os artigos 7.o, 8.o e 52.o, n.o 1, da [Carta], ser interpretado no sentido de que se opõe a uma legislação nacional como a lei impugnada, que admite como finalidade do tratamento dos dados “PNR” o acompanhamento das atividades visadas pelos serviços de informações e de segurança, integrando assim esta finalidade na prevenção, deteção, investigação e repressão das infrações terroristas e da criminalidade grave? 6) O artigo 6.o da Diretiva [PNR] é compatível com os artigos 7.o, 8.o e 52.o, n.o 1, da [Carta], na medida em que a avaliação prévia que regula, através de uma correlação com bancos de dados e critérios preestabelecidos, se aplica de forma sistemática e generalizada aos dados dos passageiros, independentemente de qualquer elemento objetivo que permita considerar que esses passageiros são suscetíveis de representar um risco para a segurança pública? 7) Pode o conceito de “outra autoridade nacional competente” a que se refere o artigo 12.o, n.o 3, da Diretiva [PNR] ser interpretado no sentido de que abrange a UIP criada pela Lei [PNR], que pode, assim, autorizar o acesso aos dados PNR, decorrido o prazo de seis meses, no âmbito de investigações pontuais? 8) Deve o artigo 12.o da Diretiva [PNR], em conjugação com os artigos 7.o, 8.o e 52.o, n.o 1, da [Carta], ser interpretado no sentido de que se opõe a uma legislação nacional como a lei impugnada, que prevê um prazo geral de conservação dos dados de cinco anos, sem distinguir se os passageiros em causa se revelam, no âmbito da avaliação prévia, suscetíveis ou não de representar um risco para a segurança pública? 9) a) A Diretiva [API] é compatível com o artigo 3.o, n.o 2, [TUE] e com o artigo 45.o da [Carta], na medida em que as obrigações que institui se aplicam aos voos no interior da [União]? b) Deve a Diretiva [API], em conjugação com o artigo 3.o, n.o 2, [TUE] e com o artigo 45.o da [Carta], ser interpretada no sentido de que se opõe a uma legislação nacional como a lei impugnada, que, para efeitos de combate à imigração ilegal e de melhoria dos controlos nas fronteiras, autoriza um sistema de recolha e de tratamento de dados dos passageiros “com destino, proveniência ou trânsito em território nacional”, o que pode implicar indiretamente o restabelecimento dos controlos nas fronteiras internas? 10) Se, com base nas respostas dadas às questões prejudiciais anteriores, concluir que a lei impugnada, que transpõe, designadamente, a Diretiva [PNR], viola uma ou mais das obrigações decorrentes das disposições mencionadas nestas questões, poderia a Cour constitutionnelle (Tribunal Constitucional) manter provisoriamente os efeitos da Lei [PNR], a fim de evitar uma insegurança jurídica e permitir que os dados recolhidos e conservados anteriormente possam ainda ser utilizados para os fins previstos [por esta] lei?»

38. Foram apresentadas observações escritas, nos termos do artigo 23.o do Estatuto do Tribunal de Justiça da União Europeia, pela LDH, pelos Governos belga, checo, dinamarquês, alemão, estónio, irlandês, espanhol, francês, cipriota, letão, neerlandês, austríaco, polaco e finlandês, bem como pelo Parlamento Europeu, pelo Conselho da União Europeia e pela Comissão Europeia. Em conformidade com o artigo 24.o do Estatuto do Tribunal de Justiça da União Europeia, a Comissão, a Autoridade Europeia para a Proteção de Dados (AEPD) e a Agência dos Direitos Fundamentais da União Europeia (FRA) foram convidadas a responder por escrito a perguntas colocadas pelo Tribunal de Justiça. Foi realizada uma audiência de alegações em 13 de julho de 2021.

II. Análise

A. Quanto à primeira questão prejudicial

39. Com a sua primeira questão prejudicial, o órgão jurisdicional de reenvio pergunta, em substância, ao Tribunal de Justiça se o artigo 2.o, n.o 2, alínea d), do RGPD deve ser interpretado no sentido de que este regulamento, nomeadamente o seu artigo 23.o, n.o 1, nos termos do qual o direito da União ou os direitos dos Estados‑Membros podem limitar por medida legislativa, por razões exaustivamente enumeradas, o alcance das obrigações e dos direitos previstos pelo referido regulamento, é aplicável aos tratamentos de dados efetuados com base numa legislação nacional, como a Lei PNR, que transpõe para o direito interno a Diretiva PNR bem como a Diretiva API e a Diretiva 2010/65.

40. O artigo 2.o, n.o 2, do RGPD prevê exceções ao âmbito de aplicação deste regulamento, conforme definido, em termos muito amplos ( 17 ), no seu artigo 2.o, n.o 1 ( 18 ). Enquanto derrogações à aplicação de uma regulamentação que rege o tratamento de dados pessoais suscetível de violar as liberdades fundamentais, essas exceções devem ser objeto de interpretação estrita ( 19 ).

41. O artigo 2.o, n.o 2, alínea d), do RGPD contém, nomeadamente, uma cláusula de exclusão nos termos da qual este regulamento não se aplica ao tratamento de dados pessoais efetuado «pelas autoridades competentes para efeitos de prevenção, investigação, deteção e repressão de infrações penais ou da execução de sanções penais, incluindo a salvaguarda e a prevenção de ameaças à segurança pública». Esta cláusula de exclusão baseia‑se num duplo critério, subjetivo e objetivo. Ficam, assim, excluídos do âmbito de aplicação do referido regulamento os tratamentos de dados efetuados, em primeiro lugar, pelas «autoridades competentes» e, em segundo lugar, para os fins enumerados nesta disposição. Por conseguinte, há que apreciar os diferentes tipos de tratamento de dados abrangidos pela Lei PNR à luz deste duplo critério.

42. No que respeita, em primeiro lugar, aos tratamentos de dados efetuados pelas transportadoras (aéreas, ferroviárias, terrestres e marítimas) na UIP ou pelos operadores de viagens para efeitos de prestação de serviços ou comerciais, na medida em que sejam visados pela referida lei, continuam a ser regidos pelo RGPD, uma vez que nem a vertente subjetiva nem a vertente objetiva do critério de exclusão contido no artigo 2.o, n.o 2, alínea d), deste regulamento estão preenchidas.

43. No que respeita, em segundo lugar, à transferência pelas transportadoras ou pelos operadores de viagem dos dados PNR para a UIP, que constitui, em si, um «tratamento» na aceção do artigo 4.o, ponto 2, do RGPD ( 20 ), a sua inclusão no âmbito de aplicação deste regulamento é menos evidente.

44. Com efeito, por um lado, esta transferência não é efetuada por uma «autoridade competente», na aceção do artigo 3.o, ponto 7, da Diretiva Cooperação Policial, para o qual se deve remeter por analogia, na falta de definição deste conceito pelo RGPD ( 21 ). Um operador económico, como uma empresa de transporte ou uma agência de viagens, ao qual incumbe apenas uma obrigação legal de transferência de dados pessoais e ao qual não foi confiada qualquer prerrogativa de poder público ( 22 ), não pode ser considerado um organismo ou entidade na aceção do referido artigo 3.o, ponto 7, alínea b) ( 23 ).

45. Por outro lado, a transferência dos dados PNR pelas empresas de transporte e pelos operadores de viagens é efetuada para cumprir uma obrigação imposta pela lei com o objetivo de permitir a prossecução dos fins enumerados no artigo 2.o, n.o 2, alínea d), do RGPD.

46. Ora, na minha opinião, resulta claramente da redação desta disposição que apenas os tratamentos que preencham simultaneamente a vertente subjetiva e a vertente objetiva do critério de exclusão nela enunciado estão situados fora do âmbito de aplicação do RGPD. A transferência dos dados PNR para a UIP imposta pela Lei PNR às empresas de transporte e aos operadores de viagens está, por conseguinte, abrangida por este regulamento.

47. No que respeita às disposições da Lei PNR que transpõem a Diretiva PNR, esta conclusão é corroborada pelo artigo 21.o, n.o 2, desta diretiva, que prevê que esta «não prejudica a aplicabilidade da Diretiva 95/46/CE ( 24 ) ao tratamento de dados pessoais pelas transportadoras aéreas». A leitura desta disposição que o Governo francês, nomeadamente, sugere, segundo a qual a mesma se limita a prever que as transportadoras continuam sujeitas às obrigações fixadas pelo RGPD para os tratamentos de dados que não sejam previstos pela Diretiva PNR, deve, na minha opinião, ser afastada. Com efeito, atendendo à sua redação, o alcance desta «cláusula de não prejuízo» é amplo e define‑se unicamente por referência ao autor do tratamento, sem qualquer menção à finalidade do tratamento nem ao quadro em que este ocorre, se for efetuado no exercício da atividade comercial da transportadora aérea ou em execução de uma obrigação legal. Observo, além disso, que uma cláusula com o mesmo teor figura no artigo 13.o, n.o 3, da Diretiva PNR, que se refere especialmente às obrigações que incumbem às transportadoras aéreas por força do RGPD «de tomarem as medidas técnicas e organizativas adequadas para proteger a segurança e confidencialidade dos dados pessoais». Ora, esta disposição figura entre as que organizam a proteção dos dados pessoais tratados ao abrigo da Diretiva PNR e segue‑se ao artigo 13.o, n.o 1, desta diretiva, que, de um modo geral, submete qualquer tratamento de dados efetuado em aplicação desta às disposições da Decisão‑Quadro 2008/977 aí mencionadas. Contrariamente ao que sustenta o Governo francês, esta estrutura normativa permite, por um lado, ler o n.o 3 do referido artigo 13.o como uma cláusula que sujeita ao RGPD apenas o tratamento de dados previsto na Diretiva PNR que não seja efetuado por «autoridades competentes» na aceção da Diretiva Cooperação Policial e, por outro, entender a referência ao respeito das obrigações impostas pelo referido regulamento em matéria de segurança e de confidencialidade dos dados como uma forma de recordar as garantias que devem obrigatoriamente envolver a transferência dos dados PNR pelas transportadoras para as UIP.

48. A conclusão enunciada no n.o 46 das presentes conclusões não é posta em causa pelo considerando 19 do RGPD e pelo considerando 11 da Diretiva Cooperação Policial, a que se referem, nomeadamente, os Governos alemão, irlandês e francês para sustentar a natureza de lex specialis da Diretiva PNR. A este respeito, é decerto verdade que esta diretiva institui, para os tratamentos de dados pessoais por ela visados, um quadro de proteção autónomo desses dados em relação ao RGPD. No entanto, este quadro específico só se aplica aos tratamentos dos dados PNR efetuados pelas «autoridades competentes», na aceção do artigo 3.o, ponto 7, da Diretiva Cooperação Policial, entre as quais figuram, nomeadamente, as UIP, ao passo que a transferência dos dados PNR para as UIP continua sujeita ao quadro geral estabelecido pelo RGPD em aplicação, designadamente, da «cláusula de não prejuízo» prevista no artigo 21.o, n.o 2, da Diretiva PNR.

49. Em apoio da sua tese segundo a qual o RGPD não se aplica à transferência dos dados PNR para as UIP pelas transportadoras e pelos operadores de viagens, os Governos belga, irlandês, francês e cipriota remetem para o Acórdão de 30 de maio de 2006, Parlamento/Conselho e Comissão ( 25 ), no qual o Tribunal de Justiça declarou que a transferência dos dados PNR pelas transportadoras aéreas comunitárias para as autoridades dos Estados Unidos da América, no âmbito de um acordo negociado entre estes últimos e a Comunidade Europeia, constituía um tratamento de dados pessoais na aceção do artigo 3.o, n.o 2, da Diretiva 95/46 ( 26 ), e não era, portanto, abrangida pelo âmbito de aplicação desta diretiva. Para chegar a esta conclusão, o Tribunal de Justiça teve em conta a finalidade da transferência bem como o facto de a mesma «[se integrar] num quadro instituído pelos poderes públicos», apesar de os dados serem recolhidos e transferidos por operadores privados ( 27 ).

50. A este respeito, basta observar que, no Acórdão de 6 de outubro de 2020, La Quadrature du Net e o. ( 28 ), o Tribunal de Justiça considerou, em substância, que o Acórdão Parlamento/Conselho não era transponível para o contexto do RGPD ( 29 ).

51. Por outro lado, no n.o 102 do Acórdão La Quadrature du Net ( 30 ), aplicando por analogia o raciocínio seguido nos Acórdãos Tele2 Sverige e de 2 de outubro de 2018, Ministerio Fiscal ( 31 ), o Tribunal de Justiça afirmou que, «embora o [RGPD] precise, no seu artigo 2.o, n.o 2, alínea d), que não é aplicável aos tratamentos efetuados “pelas autoridades competentes” para fins, nomeadamente, de prevenção e de deteção de infrações penais, incluindo a salvaguarda e a prevenção de ameaças à segurança pública, resulta do artigo 23.o, n.o 1, alíneas d) e h), do mesmo regulamento que os tratamentos de dados pessoais efetuados para esses mesmos fins por particulares estão abrangidos pelo seu âmbito de aplicação» ( 32 ).

52. Pelas razões já expostas, estou convencido de que a conclusão de que a transferência dos dados PNR pelas empresas de transporte e pelos operadores de viagens para as UIP está abrangida pelo RGPD resulta já claramente da redação do artigo 2.o, n.o 2, alínea d), do RGPD, que se refere apenas aos tratamentos efetuados pelas «autoridades competentes», sem que seja necessário fazer referência à cláusula de limitação contida no artigo 23.o, n.o 1, do referido regulamento ( 33 ). No entanto, a afirmação contida no n.o 102 do Acórdão La Quadrature du Net constitui uma clara tomada de posição do Tribunal de Justiça a favor de tal conclusão.

53. Uma vez que a transferência dos dados PNR por empresas de transporte e operadores de viagens é abrangida pelo âmbito de aplicação do RGPD, uma legislação nacional, como a Lei PNR, que obriga essas empresas e esses operadores a proceder a tal transferência, constitui uma «medida legislativa» nos termos do artigo 23.o, n.o 1, alínea d), do RGPD e deve, portanto, preencher os requisitos previstos nesta disposição ( 34 ).

54. No que respeita, em terceiro lugar, aos tratamentos dos dados PNR efetuados pela UIP e pelas autoridades nacionais competentes, a aplicabilidade do RGPD depende, como resulta dos desenvolvimentos precedentes, das finalidades prosseguidas por esses tratamentos.

55. Assim, em primeiro lugar, os tratamentos de dados PNR efetuados pela UIP e pelas autoridades nacionais competentes para as finalidades enumeradas no artigo 8.o, § 1, pontos 1 a 3 e 5, da Lei PNR ( 35 ), estão excluídos do âmbito de aplicação do RGPD na medida em que, como parece ser o caso, as referidas finalidades se enquadram entre as abrangidas pela cláusula de exclusão inscrita no artigo 2.o, n.o 2, alínea d), do RGPD. A proteção dos dados das pessoas afetadas por esses tratamentos é abrangida pelo direito nacional, sem prejuízo da aplicação da Diretiva Cooperação Policial ( 36 ) e, no quadro do seu âmbito de aplicação, da Diretiva PNR.

56. O mesmo se aplica, em segundo lugar, aos tratamentos dos dados PNR efetuados pela UIP e pelos serviços de segurança e de informações no âmbito do acompanhamento das atividades previstas nas disposições da Lei Orgânica dos Serviços de Informações e de Segurança enumeradas no artigo 8.o, § 1, ponto 4, da Lei PNR, na medida em que correspondam às finalidades enunciadas no artigo 2.o, n.o 2, alínea d), do RGPD, o que cabe ao órgão jurisdicional de reenvio apreciar.

57. O Governo belga sustenta que os tratamentos efetuados nos termos do artigo 8.o, § 1, ponto 4, da Lei PNR estão, em qualquer caso, abrangidos pela cláusula de exclusão prevista no artigo 2.o, n.o 2, alínea a), do RGPD, bem como pela prevista no artigo 2.o, n.o 3, alínea a), da Diretiva Cooperação Policial, uma vez que as atividades dos serviços de segurança e de informações não estão abrangidas pelo âmbito de aplicação do direito da União.

58. A este respeito, embora sublinhando que não foi submetida ao Tribunal de Justiça uma questão relativa à interpretação destas disposições, observo, antes de mais, que o Tribunal de Justiça já afirmou que uma regulamentação nacional que impõe obrigações de tratamento a operadores privados está abrangida pelas disposições do direito da União em matéria de proteção de dados pessoais, mesmo quando visa a proteção da segurança nacional ( 37 ). Daqui resulta que a transferência dos dados PNR imposta pela Lei PNR às transportadoras e aos operadores de viagens está, em princípio, abrangida pelo RGPD, mesmo quando é efetuada para os fins do artigo 8.o, § 1, ponto 4, desta lei.

59. Seguidamente, observo que, embora o considerando 16 do RGPD enuncie que este não se aplica às «atividades […] que se prendem com a segurança nacional» e o considerando 14 da Diretiva Cooperação Policial precise que «não deverão ser consideradas atividades abrangidas [por esta] diretiva as atividades relacionadas com a segurança nacional e as atividades das agências ou unidades que se dedicam a questões de segurança nacional […]», os critérios com base nos quais um tratamento de dados pessoais efetuado por uma autoridade, um serviço público ou uma agência pública de um Estado‑Membro é abrangido pelo âmbito de aplicação de um dos atos do direito da União que organizam a proteção das pessoas em causa relativamente a tais tratamentos, ou se situa fora do âmbito de aplicação deste direito, obedecem a uma lógica associada tanto às funções atribuídas a essa autoridade, a esse serviço ou essa agência como às finalidades do referido tratamento. Assim, o Tribunal de Justiça declarou que o artigo 2.o, n.o 2, alínea a), do RGPD, lido à luz do considerando 16 deste regulamento «tem por único objetivo excluir do âmbito de aplicação do referido regulamento os tratamentos de dados pessoais efetuados pelas autoridades estatais no âmbito de uma atividade que visa preservar a segurança nacional ou de uma atividade que pode ser classificada na mesma categoria, pelo que o simples facto de uma atividade ser própria do Estado ou de uma autoridade pública não é suficiente para que essa exceção seja automaticamente aplicável a tal atividade» ( 38 ). O Tribunal de Justiça precisou igualmente que «[a]s atividades que têm por finalidade preservar a segurança nacional, referidas no artigo 2.o, n.o 2, alínea a), do RGPD, abrangem em especial […] as que têm por objeto proteger as funções essenciais do Estado e os interesses fundamentais da sociedade» ( 39 ). Daqui resulta que, no caso de um Estado‑Membro encarregar os seus serviços de segurança e de informações de missões nos domínios enumerados no artigo 3.o, ponto 7, alínea a), da Diretiva Cooperação Policial, os tratamentos de dados efetuados por estes serviços para o cumprimento dessas missões estariam abrangidos pelo âmbito de aplicação desta diretiva bem como, sendo caso disso, da Diretiva PNR. Mais genericamente, observo que o Tribunal de Justiça declarou reiteradamente, no âmbito da interpretação do artigo 4.o, n.o 2, TUE, no qual se apoia, nomeadamente, o Governo belga, que o simples facto de uma medida nacional ter sido adotada para efeitos da proteção da segurança nacional não pode implicar a inaplicabilidade do direito da União e dispensar os Estados‑Membros do respeito necessário desse direito ( 40 ), mostrando‑se assim reticente a uma exclusão automática e em bloco do âmbito de aplicação do direito da União das atividades dos Estados‑Membros relacionadas com a proteção da segurança nacional.

60. Em terceiro lugar, em conformidade com a opinião de todos os interessados que apresentaram observações, com exceção do Governo francês, há que considerar que os tratamentos dos dados PNR efetuados pelas autoridades competentes belgas para as finalidades enunciadas no artigo 8.o, § 2, da Lei PNR, a saber, «melhorar os controlos de pessoas nas fronteiras externas e combater a imigração ilegal» ( 41 ) não estão abrangidos pela cláusula de exclusão contida no artigo 2.o, n.o 2, alínea d), do RGPD, nem por outra causa de exclusão prevista nesse artigo e estão, por conseguinte, abrangidos pelo âmbito de aplicação deste regulamento. Contrariamente ao que sustenta o Governo francês, os referidos tratamentos não podem ser regidos pela Diretiva PNR, cujo artigo 1.o, n.o 2, prevê que «[o]s dados PNR recolhidos nos termos da presente diretiva só podem ser tratados para fins de prevenção, deteção, investigação e repressão das infrações terroristas e da criminalidade grave» nem, em princípio, pela Diretiva Cooperação Policial que, em conformidade com o seu artigo 1.o, n.o 1, se aplica apenas aos tratamentos de dados pessoais pelas autoridades competentes «para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, incluindo a salvaguarda e prevenção de ameaças à segurança pública». Como resulta da decisão de reenvio, o artigo 8.o, § 2, da Lei PNR e o capítulo 11 desta lei, que contém as disposições que regem o tratamento dos dados PNR com vista a melhorar o controlo nas fronteiras e combater a imigração ilegal, e que prevê, para esse efeito, a transferência destes dados pela UIP, nomeadamente para os serviços policiais responsáveis pelo controlo das fronteiras, visam transpor para o direito belga a Diretiva API e a Diretiva 2010/65. Ora, estas duas diretivas impõem às autoridades competentes, quanto aos tratamentos que preveem, o respeito das disposições da Diretiva 95/46 ( 42 ). Ao contrário do que sustenta o Governo francês, a remissão para as regras de proteção desta diretiva deve ser entendida no sentido de abranger qualquer tratamento de dados pessoais efetuado com base na Diretiva API e na Diretiva 2010/65. O facto de a Diretiva API ser anterior à entrada em vigor da Decisão‑Quadro 2008/977 não é pertinente a este respeito, uma vez que esta decisão‑quadro, bem como a Diretiva Cooperação Policial que a substituiu, apenas dizem respeito aos tratamentos de dados pessoais previstos no artigo 3.o, n.o 1, da Diretiva API, efetuados pelas autoridades competentes para efeitos de aplicação da lei ( 43 ).

61. Com base em todas as considerações precedentes, proponho ao Tribunal de Justiça que responda à primeira questão prejudicial que o artigo 23.o do RGPD, em conjugação com o artigo 2.o, n.o 2, alínea d), deste regulamento, deve ser interpretado no sentido de que: – é aplicável a uma legislação nacional que transpõe a Diretiva PNR, na medida em que essa legislação regule os tratamentos dos dados PNR efetuados pelas transportadoras e por outros operadores económicos, incluindo a transferência de dados PNR para as UIP, prevista no artigo 8.o da referida diretiva; – não é aplicável a uma legislação nacional que transpõe a Diretiva PNR, na medida em que regule os tratamentos de dados efetuados, para as finalidades previstas no artigo 1.o, n.o 2, desta diretiva, pelas autoridades competentes, incluindo as UIP e, se for caso disso, os serviços de segurança e de informações do Estado‑Membro em causa; – é aplicável a uma legislação nacional que transpõe a Diretiva API e a Diretiva 2010/65 com vista a melhorar os controlos de pessoas nas fronteiras externas e combater a imigração ilegal.

B. Quanto às segunda, terceira, quarta, sexta e oitava questões prejudiciais

62. Com as segunda, terceira, quarta e sexta questões prejudiciais, a Cour constitutionnelle (Tribunal Constitucional, Bélgica) interroga o Tribunal de Justiça sobre a validade da Diretiva PNR à luz dos artigos 7.o, 8.o e 52.o, n.o 1, da Carta. A oitava questão prejudicial, embora redigida como uma questão de interpretação, pretende também, em substância, que o Tribunal de Justiça se pronuncie sobre a validade desta diretiva.

63. Estas questões dizem respeito aos diferentes elementos do sistema de tratamento dos dados PNR estabelecido pela Diretiva PNR e pedem, relativamente a cada um desses elementos, uma avaliação do cumprimento dos requisitos a que está sujeita a legalidade das restrições impostas ao exercício dos direitos fundamentais enunciados nos artigos 7.o e 8.o da Carta. Assim, a segunda e a terceira questão prejudicial respeitam à lista dos dados PNR que figura no anexo I, a quarta diz respeito à definição do conceito de «passageiro» que figura no artigo 3.o, ponto 4, da Diretiva PNR, a sexta diz respeito à utilização dos dados PNR para efeitos da avaliação prévia nos termos do artigo 6.o desta diretiva e a oitava diz respeito ao prazo de conservação dos dados PNR previsto no artigo 12.o, n.o 1, da referida Diretiva.

1. Quanto aos direitos fundamentais enunciados nos artigos 7.o e 8.o da Carta

64. O artigo 7.o da Carta garante a todas as pessoas o direito ao respeito pela sua vida privada e familiar, pelo seu domicílio e pelas suas comunicações. Quanto ao artigo 8.o, n.o 1, da Carta, este reconhece expressamente a todas as pessoas o direito à proteção dos dados de caráter pessoal que lhes digam respeito. Segundo jurisprudência constante, estes direitos, que dizem respeito a todas as informações relativas a uma pessoa singular identificada ou identificável, estão estreitamente ligados, uma vez que o acesso a dados pessoais de uma pessoa singular, com vista à sua conservação ou à sua utilização, afeta o direito dessa pessoa ao respeito pela vida privada ( 44 ).

65. Os direitos consagrados nos artigos 7.o e 8.o da Carta não são, contudo, prerrogativas absolutas, mas devem ser tomados em consideração de acordo com a sua função na sociedade ( 45 ). Assim, o artigo 8.o, n.o 2, da Carta autoriza o tratamento de dados de caráter pessoal se estiverem preenchidos determinados requisitos. Esta disposição prevê que os dados de caráter pessoal devem ser objeto de um tratamento «leal, para fins específicos e com o consentimento da pessoa interessada ou com outro fundamento legítimo previsto por lei».

66. Qualquer restrição imposta ao direito à proteção de dados pessoais, bem como ao direito à vida privada, deve, além disso, respeitar o disposto no artigo 52.o, n.o 1, da Carta. Assim, tal restrição deve ser prevista por lei, respeitar o conteúdo essencial dos referidos direitos e, na observância do princípio da proporcionalidade, ser necessária e corresponder efetivamente a objetivos de interesse geral reconhecidos pela União ou à necessidade de proteção dos direitos e liberdades de terceiros.

67. A apreciação de uma medida que limite os referidos direitos deve ter igualmente em conta a importância dos direitos consagrados nos artigos 3.o, 4.o, 6.o e 7.o da Carta e a importância dos objetivos de proteção da segurança nacional e de luta contra a criminalidade grave, contribuindo para a proteção dos direitos e liberdades de terceiros ( 46 ). A este respeito, o artigo 6.o da Carta consagra o direito de qualquer pessoa não apenas à liberdade mas também à segurança ( 47 ).

68. Por outro lado, o artigo 52.o, n.o 3, da Carta visa assegurar a coerência necessária entre os direitos contidos nesta última e os direitos correspondentes garantidos pela CEDH, que devem ser tidos em conta enquanto limiar de proteção mínima ( 48 ). O direito ao respeito pela vida privada e familiar, consagrado no artigo 7.o da Carta, corresponde ao direito garantido no artigo 8.o da CEDH e deve, por conseguinte, ser‑lhe reconhecido o mesmo sentido e alcance ( 49 ). Decorre da jurisprudência do Tribunal Europeu dos Direitos do Homem (a seguir «TEDH») que uma ingerência nos direitos garantidos neste artigo só pode ser justificada à luz do n.o 2 do referido artigo ser for prevista por lei, visar um ou mais dos fins legítimos enumerados neste número e for necessária, numa sociedade democrática, para atingir esse ou esses fins ( 50 ). A medida deve igualmente ser compatível com o primado do direito, expressamente mencionado no preâmbulo da CEDH, e inerente ao objeto e fim do artigo 8.o desta ( 51 ).

69. É à luz destes princípios que há que examinar as questões de apreciação da validade submetidas pela Cour constitutionnelle (Tribunal Constitucional, Bélgica).

2. Quanto à ingerência nos direitos fundamentais enunciados nos artigos 7.o e 8.o da Carta

70. O Tribunal de Justiça já declarou que disposições que impõem ou permitem a comunicação de dados pessoais de pessoas singulares a terceiros, como uma autoridade pública, devem, na falta de consentimento dessas pessoas singulares e independentemente da utilização posterior dos dados em causa, ser qualificadas de ingerências na sua vida privada e, por conseguinte, de restrições ao direito fundamental garantido no artigo 7.o da Carta, sem prejuízo da sua eventual justificação ( 52 ). Assim é, mesmo na falta de circunstâncias que permitam qualificar tal ingerência de «grave» e sem que seja relevante que as informações relativas à vida privada em questão sejam ou não sensíveis, ou que os interessados tenham ou não sofrido eventuais inconvenientes em razão dessa ingerência ( 53 ). O acesso das autoridades públicas a tais informações constitui igualmente uma ingerência no direito fundamental à proteção dos dados pessoais, garantido pelo artigo 8.o da Carta, uma vez que constitui um tratamento de dados pessoais ( 54 ). De igual modo, a conservação, durante um determinado período, dos dados relativos à vida privada de uma pessoa constitui, em si mesma, uma ingerência nos direitos garantidos pelos artigos 7.o e 8.o da Carta ( 55 ).

71. O Tribunal de Justiça já declarou também que os dados PNR, como os enumerados no anexo I, incluem informações sobre pessoas singulares identificadas, a saber, os passageiros aéreos em causa, e que, por conseguinte, os diferentes tratamentos de que estes podem ser objeto afetam o direito fundamental ao respeito pela vida privada, garantido no artigo 7.o da Carta. Estes tratamentos estão igualmente abrangidos pelo artigo 8.o da Carta e devem, assim, necessariamente, respeitar os requisitos da proteção de dados previstos neste artigo ( 56 ).

72. Assim, os tratamentos dos dados PNR que a Diretiva PNR permite, nomeadamente, na medida em que é relevante para efeitos do presente processo, a transferência desses dados pelas transportadoras aéreas para as UIP, a sua utilização por estas unidades, a sua posterior transferência para autoridades nacionais competentes na aceção do artigo 7.o desta diretiva, bem como a sua conservação, constituem igualmente ingerências nos direitos fundamentais garantidos pelos artigos 7.o e 8.o da Carta.

73. No que respeita à gravidade destas ingerências, há que observar, em primeiro lugar, que a Diretiva PNR prevê a transferência sistemática e contínua para as UIP dos dados PNR de qualquer passageiro aéreo, conforme definido no artigo 3.o, ponto 4, desta diretiva, que viaje num voo «extra‑UE», na aceção do artigo 3.o, n.o 2, da mesma. Tal transferência implica um acesso geral por parte das UIP a todos os dados PNR fornecidos ( 57 ). Ao contrário do que alegam certos Estados‑Membros no presente processo, esta conclusão não é colocada em causa pela circunstância de os dados serem sujeitos a um tratamento automatizado, pelo que as UIP só terão concretamente acesso aos dados cuja análise tenha gerado um resultado positivo. Com efeito, por um lado, essa circunstância não impediu, até à data, o Tribunal de Justiça de afirmar, no âmbito de sistemas semelhantes de tratamento automatizado de dados pessoais recolhidos ou conservados «a granel», o caráter geral do acesso das autoridades públicas em causa a esses dados. Por outro lado, a simples colocação à disposição das autoridades públicas de dados pessoais com vista ao seu tratamento e à sua conservação por essas autoridades comporta um acesso a priori geral e completo dessas autoridades a tais dados e uma ingerência nos direitos fundamentais ao respeito pela vida privada e à proteção dos dados pessoais.

74. Em segundo lugar, em conformidade com o artigo 2.o, n.o 1, da Diretiva PNR, os Estados‑Membros podem decidir aplicar esta diretiva aos voos «intra‑UE», na aceção do artigo 3.o, ponto 3, da mesma. A este respeito, observo, por um lado, que a Diretiva PNR não se limita a prever a faculdade dos Estados‑Membros de alargarem a sua aplicação aos voos intra‑UE, mas determina igualmente os requisitos, tanto formais como materiais, que regem o exercício desta faculdade ( 58 ) e precisa que, quando a mesma é exercida apenas quanto a voos intra‑UE selecionados, a seleção desses voos deve ser efetuada tendo em conta os objetivos prosseguidos pela referida diretiva ( 59 ). Por outro lado, a Diretiva PNR estabelece as consequências do exercício dessa faculdade, prevendo, no seu artigo 2.o, n.o 2, que, quando um Estado‑Membro decide aplicar esta diretiva aos voos intra‑UE, todas as disposições da mesma «são aplicáveis aos voos intra‑UE como se se tratasse de voos extra‑UE e aos dados PNR respeitantes aos voos intra‑UE como se se tratassem de dados referentes a voos extra‑UE».

75. Nestas circunstâncias, sou da opinião, contrariamente ao que alegaram alguns governos que apresentaram observações no presente processo, que, embora a aplicação da Diretiva PNR aos voos intra‑UE dependa da opção dos Estados‑Membros, a base legal das ingerências nos direitos ao respeito pela vida privada e à proteção dos dados pessoais associados à transferência, ao tratamento e à conservação dos dados PNR relativos a esses voos é constituída, quando essa opção é exercida, pela Diretiva PNR.

76. Ora, com exceção do Reino da Dinamarca, que não está sujeito a esta diretiva ( 60 ), quase todos os Estados‑Membros aplicam o regime por ela estabelecido aos voos «intra‑UE» ( 61 ). Daqui decorre que este regime se aplica a todos os voos que entram e saem da União, bem como a praticamente todos os voos operados dentro da União.

77. Em terceiro lugar, no que respeita aos dados PNR a transferir, o anexo I enumera 19 rubricas, respeitantes aos dados biográficos ( 62 ), aos pormenores da viagem aérea ( 63 ) e a outros dados recolhidos no contexto do contrato de transporte aéreo, como o número de telefone, o endereço eletrónico, os meios de pagamento, a agência ou o agente de viagens, as informações relativas às bagagens bem como observações gerais ( 64 ). Ora, como o Tribunal de Justiça indicou no n.o 128 do Parecer 1/15, ao pronunciar‑se sobre as rubricas que figuram no anexo I do Projeto de Acordo entre o Canadá e a União Europeia sobre a transferência e o tratamento dos dados dos registos de identificação dos passageiros (a seguir «Projeto de Acordo PNR Canadá‑UE»), formuladas em grande medida em termos análogos aos do anexo I, «ainda que certos dados PNR, considerados isoladamente, não pareçam suscetíveis de revelar informações importantes sobre a vida privada das pessoas em causa, não deixa de ser verdade que, considerados conjuntamente, os referidos dados podem revelar, entre outros, um itinerário de viagem completo, hábitos de viagem, relações existentes entre duas ou mais pessoas e informações sobre a situação financeira dos passageiros aéreos, os seus hábitos alimentares ou o seu estado de saúde, podendo até fornecer informações sensíveis sobre esses passageiros».

78. Em quarto lugar, nos termos do artigo 6.o da Diretiva PNR, os dados transferidos pelas transportadoras aéreas destinam‑se a ser analisados pelas UIP por meios automatizados e de modo sistemático, ou seja, independentemente da questão de saber se existe a menor indicação de que as pessoas em causa podem estar implicadas em infrações de terrorismo ou em formas de criminalidade grave. Mais especificamente, no âmbito da avaliação prévia dos passageiros prevista no artigo 6.o, n.o 2, alínea a), desta diretiva, e em conformidade com o n.o 3 deste artigo, os referidos dados podem ser verificados por cruzamento com as bases de dados «relevantes» [artigo 6.o, n.o 3, alínea a)] e tratados de acordo com critérios preestabelecidos [artigo 6.o, n.o 3, alínea b)]. Ora, o primeiro tipo de tratamento é suscetível de fornecer informações adicionais sobre a vida privada das pessoas em causa ( 65 ) e, em função das bases de dados utilizadas para o cruzamento, pode até permitir traçar um perfil preciso dessas pessoas. Nestas circunstâncias, a objeção levantada por vários governos, segundo a qual a Diretiva PNR só permite o acesso a um conjunto de dados pessoais relativamente limitado, não reflete adequadamente a extensão potencial das ingerências que esta diretiva comporta nos direitos fundamentais protegidos pelos artigos 7.o e 8.o da Carta, do ponto de vista da extensão dos dados a que é suscetível de permitir o acesso. No que respeita ao segundo tipo de tratamento de dados, previsto no artigo 6.o, n.o 3, alínea b), da Diretiva PNR, recordo que, nos n.os 169 e 172 do Parecer 1/15, o Tribunal de Justiça sublinhou que é inerente a qualquer tipo de análise baseada em critérios preestabelecidos que apresente uma certa taxa de erro, nomeadamente um certo número de resultados «falsos positivos». Segundo os dados quantificados contidos no documento de trabalho dos serviços da Comissão ( 66 ) (a seguir «Documento de trabalho de 2020») anexo ao Relatório da Comissão de 2020, o número de casos de resultados positivos que, na sequência da verificação individual prevista no artigo 6.o, n.o 5, da Diretiva PNR, se revelaram errados é bastante significativo e ascendia, durante os anos de 2018 e 2019, a pelo menos cinco de seis pessoas identificadas ( 67 ).

79. Em quinto lugar, nos termos do artigo 12.o, n.o 1, da Diretiva PNR, os dados PNR são conservados numa base de dados por um prazo de cinco anos contados a partir da sua transferência para a UIP do Estado‑Membro em cujo território o voo aterre ou de cujo território descole. A Diretiva PNR permite, portanto, dispor de informações sobre a vida privada dos passageiros aéreos durante um período particularmente longo ( 68 ). Por outro lado, uma vez que a transferência dos dados PNR diz respeito à quase totalidade dos voos operados com partida e chegada na União e no interior desta, e que o avião se tornou um meio de transporte bastante comum, uma parte significativa de passageiros aéreos poderia ter os seus dados pessoais conservados de modo praticamente permanente, pelo simples facto de se deslocarem de avião pelo menos duas vezes de cinco em cinco anos.

80. Por último, mais genericamente, a Diretiva PNR prevê medidas que, consideradas globalmente, visam estabelecer, ao nível da União, um sistema de vigilância «não direcionada», a saber, que não é ativada em função de uma suspeita que incida sobre uma ou várias pessoas específicas, «maciça», ao ser exercida sobre dados pessoais de um grande número de pessoas ( 69 ), abrangendo a totalidade de uma mesma categoria de pessoas ( 70 ) e «pró‑ativa», na medida em que visa investigar não só ameaças conhecidas, como também encontrar ou identificar perigos até então desconhecidos ( 71 ). Tais medidas dão origem, pela sua própria natureza, a ingerências graves nos direitos fundamentais protegidos pelos artigos 7.o e 8.o da Carta ( 72 ), associadas, nomeadamente, à sua finalidade preventiva e preditiva, que exige a avaliação de dados pessoais relativos a grandes segmentos da população, com o objetivo de «identificar» as pessoas que, em função dos resultados dessa avaliação, devem ser sujeitas a um controlo mais minucioso por parte das autoridades competentes ( 73 ). Por outro lado, o recurso cada vez mais generalizado, para fins de prevenção da criminalidade grave, ao tratamento de grandes quantidades de dados pessoais de diversa natureza recolhidos «a granel», bem como a sua correlação e o seu tratamento conjugado, geram um «efeito cumulativo» que amplia a gravidade das restrições aos direitos fundamentais ao respeito pela vida privada e à proteção dos dados pessoais, com o risco de favorecer um processo de deslizamento gradual para uma «sociedade de vigilância» ( 74 ).

81. Com base em todas as considerações precedentes, considero que a ingerência que a Diretiva PNR comporta nos direitos fundamentais protegidos pelos artigos 7.o e 8.o da Carta deve, pelo menos, ser qualificada de «grave».

82. É verdade que, como sustenta, em especial, a Comissão, o conjunto de garantias e salvaguardas que a Diretiva PNR prevê, nomeadamente para evitar uma utilização abusiva dos dados PNR, é suscetível de reduzir a intensidade ou a gravidade dessas ingerências. Mas não é menos verdade que qualquer regime que preveja o acesso e o tratamento de dados pessoais por parte de autoridades públicas apresenta um nível de gravidade, do ponto de vista da proteção dos direitos fundamentais afetados, que é inerente às suas características objetivas. Este nível de gravidade deve, na minha opinião, ser determinado antes de se proceder, no âmbito da apreciação da proporcionalidade das referidas ingerências, à avaliação do caráter suficiente e adequado das garantias que este regime prevê. Parece‑me que é assim que o Tribunal de Justiça tem procedido até à data.

83. Para serem compatíveis com a Carta, as ingerências que a Diretiva PNR comporta nos direitos fundamentais ao respeito pela vida privada e à proteção dos dados pessoais devem satisfazer os requisitos enunciados nos n.os 65 e 66 das presentes conclusões, o que será examinado seguidamente, dentro dos limites dos aspetos que foram submetidos à apreciação do Tribunal de Justiça pelo órgão jurisdicional de reenvio.

3. Quanto à justificação da ingerência resultante da Diretiva PNR

84. Enquanto a terceira questão prejudicial tem por objeto o cumprimento do requisito previsto no artigo 52.o, n.o 1, primeiro período, da Carta, segundo o qual qualquer ingerência num direito fundamental deve ser «prevista por lei», as segunda, quarta, sexta e oitava questões prejudiciais interrogam o Tribunal de Justiça, nomeadamente, sobre o respeito pelo princípio da proporcionalidade, referido no segundo período desta disposição.

a) Quanto ao cumprimento do requisito segundo o qual qualquer restrição ao exercício de um direito fundamental previsto na Carta deve ser previsto por lei

85. Segundo jurisprudência assente do Tribunal de Justiça ( 75 ), inspirada na jurisprudência do TEDH ( 76 ), o requisito segundo o qual qualquer restrição ao exercício de um direito fundamental deve ser «prevista por lei» não visa unicamente a origem «legal» da ingerência – que não está em causa no presente processo – mas implica também que a base legal que permite essa ingerência deve definir ela própria, de maneira clara e precisa, o alcance da mesma. Prendendo‑se com a «qualidade da lei» e, portanto, com a acessibilidade e a previsibilidade da medida em causa ( 77 ), esta segunda vertente da expressão «prevista por lei», na aceção tanto do artigo 52.o, n.o 1, da Carta como do seu artigo 8.o, n.o 2, e do artigo 8.o da CEDH, não visa apenas assegurar o respeito pelo princípio da legalidade e uma proteção adequada contra a arbitrariedade ( 78 ), mas obedece igualmente a um imperativo de segurança jurídica. Este requisito é também afirmado no Parecer de 19 de agosto de 2016 do Comité Consultivo da Convenção 108 ( 79 ) sobre as implicações, em matéria de proteção de dados, do tratamento dos dados dos passageiros (a seguir «Parecer de 19 de agosto de 2016») ( 80 ).

86. Ao adotar a Diretiva PNR, o próprio legislador da União procedeu à limitação dos direitos consagrados nos artigos 7.o e 8.o da Carta. As ingerências que esta diretiva permite nos referidos direitos não podem, portanto, ser consideradas consequência da escolha dos Estados‑Membros ( 81 ), apesar da margem de apreciação de que estes últimos beneficiaram no momento da sua transposição para o direito nacional, mas têm como base legal a própria Diretiva PNR. Nestas condições, incumbia ao legislador da União, a fim de dar cumprimento à jurisprudência recordada no n.o 85 das presentes conclusões, bem como às «normas exigentes» de proteção dos direitos fundamentais contidas, nomeadamente, na Carta e na CEDH, a que se refere o considerando 15 da Diretiva PNR, estabelecer regras claras e precisas que definissem tanto o alcance como a aplicação das medidas que comportam as referidas ingerências.

87. Embora com a sua terceira questão prejudicial o órgão jurisdicional de reenvio se interrogue especificamente sobre o respeito desta obrigação relativamente aos pontos 12 e 18 do anexo I, o exame das segunda, quarta e sexta questões prejudiciais, através das quais este órgão jurisdicional suscita dúvidas quanto à necessidade das ingerências que a Diretiva PNR comporta nos direitos fundamentais enunciados nos artigos 7.o e 8.o da Carta, exige igualmente que se tome posição sobre o caráter suficientemente claro e preciso das disposições da Diretiva PNR colocadas em causa.

88. Embora esta análise diga respeito, como expus no n.o 85 das presentes conclusões, à legalidade da ingerência, na aceção do artigo 52.o, n.o 1, primeiro período, da Carta, procederei à mesma no âmbito do exame da sua proporcionalidade, a que se refere o segundo período deste número, em conformidade com a abordagem seguida tanto pelo Tribunal de Justiça como pelo TEDH nos processos em que estão em causa medidas que têm por objeto o tratamento de dados pessoais ( 82 ).

b) Quanto ao respeito pelo conteúdo essencial dos direitos enunciados nos artigos 7.o e 8.o da Carta

89. Em conformidade com o artigo 52.o, n.o 1, primeiro período, da Carta, qualquer restrição ao exercício dos direitos fundamentais deve não só assentar numa base legal suficientemente precisa como também respeitar o conteúdo essencial desses direitos.

90. Como já expus no n.o 66 das presentes conclusões, este requisito — que se encontra incorporado nas constituições de vários Estados‑Membros ( 83 ), e que, embora não esteja expressamente reconhecido na CEDH, está todavia bem assente na jurisprudência do TEDH ( 84 ) — está inscrito no artigo 52.o, n.o 1, da Carta ( 85 ). Reconhecido pelo Tribunal de Justiça muito antes da sua codificação ( 86 ), este requisito foi constantemente reafirmado na jurisprudência dos órgãos jurisdicionais da União, mesmo após a entrada em vigor do Tratado de Lisboa.

91. Resulta, nomeadamente, do Acórdão de 6 de outubro de 2015, Schrems ( 87 ), que o desrespeito pelo conteúdo essencial de um direito fundamental por um ato da União implica automaticamente a nulidade ou a invalidade deste, sem que seja necessário proceder a uma ponderação dos interesses em jogo. O Tribunal de Justiça reconhece, assim, que todos os direitos fundamentais têm um «núcleo duro», garantindo a qualquer pessoa uma esfera de liberdade ao abrigo de qualquer ingerência pelos poderes públicos e que não pode sofrer limitações ( 88 ), sob pena de colocar em questão os princípios democráticos, do Estado de direito e do respeito pela dignidade humana subjacentes à proteção dos direitos fundamentais. Por outro lado, resulta tanto da redação do artigo 52.o, n.o 1, da Carta como da jurisprudência do Tribunal de Justiça, nomeadamente do Acórdão Schrems I, que a apreciação relativa à existência de uma ingerência no conteúdo essencial do direito fundamental em causa deve ser efetuada antes e independentemente da avaliação da proporcionalidade da medida impugnada. Trata‑se, por outras palavras, de um teste dotado da sua própria autonomia.

92. No entanto, determinar o que constitui o «conteúdo essencial» e, por conseguinte, intocável de um direito fundamental suscetível de ser limitado no seu exercício é uma operação extremamente complexa. Embora, para cumprir a sua função, este conceito devesse poder ser definido em termos absolutos, atendendo às características essenciais do direito fundamental em causa, aos interesses subjetivos e objetivos que visa proteger e, mais genericamente, à sua função numa sociedade democrática baseada no respeito pela dignidade humana ( 89 ), na prática, tal operação revela‑se quase impossível, pelo menos sem ter em conta critérios que são habitualmente utilizados no exame da proporcionalidade da ingerência no direito em causa, como a gravidade dessa ingerência, a sua extensão ou a sua dimensão temporal e, portanto, sem ter em conta as especificidades de cada caso concreto.

93. No que toca, nomeadamente, ao direito fundamental ao respeito pela vida privada, há que ter em conta não só a importância que reveste, para a saúde mental e física de qualquer pessoa, o seu bem‑estar, a sua autonomia, o seu desenvolvimento pessoal, a sua capacidade de construir e de cultivar relações sociais, o facto de dispor de uma esfera privada dentro da qual possa desenvolver a sua interioridade pessoal, mas também o papel que esse direito desempenha para preservar outros direitos e liberdades, como, nomeadamente, as liberdades de pensamento, de consciência, de religião, de expressão, de informação, cujo pleno gozo pressupõe o reconhecimento de uma esfera de intimidade. Mais genericamente, há que tomar em conta a função que o respeito pelo direito à vida privada desempenha numa sociedade democrática ( 90 ). O Tribunal de Justiça parece apreciar a existência de uma violação do conteúdo essencial deste direito tomando em consideração tanto a intensidade como a extensão da ingerência, o que leva a considerar que tal violação é definida de forma mais quantitativa do que qualitativa. Assim, por um lado, no Acórdão Digital Rights, o Tribunal de Justiça considerou, em substância, que a obrigação de conservação dos dados imposta pela Diretiva 2006/24/CE ( 91 ) não atingia um nível de gravidade tal que afetasse o conteúdo essencial do direito ao respeito pela vida privada, uma vez que não permitia «tomar conhecimento do conteúdo das comunicações eletrónicas, enquanto tal» ( 92 ). Por outro lado, no Parecer 1/15, o Tribunal de Justiça considerou, em substância, que uma limitação que abrangia apenas certos aspetos da vida privada das pessoas em causa não podia dar origem a uma ingerência no conteúdo essencial deste direito fundamental ( 93 ).

94. Quanto ao direito fundamental à proteção dos dados pessoais, o Tribunal de Justiça parece considerar que o conteúdo essencial deste direito é preservado quando a medida que estabelece a ingerência circunscreve as finalidades do tratamento e prevê regras que garantem a segurança dos dados em causa, nomeadamente contra a destruição acidental ou ilícita, a perda ou a alteração acidental ( 94 ).

95. No presente processo, embora o órgão jurisdicional de reenvio não tenha evocado explicitamente o requisito do respeito pelo conteúdo essencial dos direitos enunciados nos artigos 7.o e 8.o da Carta, a questão do respeito deste requisito está, na minha opinião, subjacente à quarta e à sexta questão prejudicial. É por esta razão que sugiro ao Tribunal de Justiça que a aborde.

96. A este respeito, recordo que, no n.o 150 do Parecer 1/15, embora reconhecendo que os dados PNR «[podem], se for caso disso, revelar informações muito precisas sobre a vida privada de uma pessoa» ( 95 ), e que estas informações podem expor, direta ou indiretamente, dados sensíveis da pessoa em causa ( 96 ), o Tribunal de Justiça concluiu, todavia, no que respeita ao Projeto de Acordo PNR Canadá‑UE, que, uma vez que a «natureza destas informações [estava] limitada a certos aspetos dessa vida privada, relativos, em particular, às viagens aéreas entre o Canadá e a União», a violação do direito fundamental ao respeito pela vida privada não era suscetível de afetar o conteúdo essencial do referido direito.

97. Ora, abstraindo da circunstância de os dados PNR visados pelo Projeto de Acordo PNR Canadá‑UE deverem ser transferidos para um Estado terceiro e de o seu tratamento posterior dever ser efetuado pelas autoridades desse Estado terceiro no seu território, as ingerências no direito fundamental ao respeito pela vida privada resultantes do referido projeto de acordo e as previstas pela Diretiva PNR são em grande medida coincidentes quanto à sua natureza. É o caso, nomeadamente, dos dados PNR visados, do caráter sistemático e generalizado da transferência e do tratamento desses dados, da sua natureza automatizada e da conservação dos referidos dados. Em contrapartida, o que distingue os dois processos é, por assim dizer, a «cobertura geográfica» destas ingerências. Com efeito, como indiquei no n.o 77 das presentes conclusões, os tratamentos dos dados em causa no presente processo não se limitam às ligações aéreas com um único país terceiro, como era o caso no Parecer 1/15, mas dizem respeito a praticamente todos os voos que entram e saem da União, e operados no seu interior. Daqui resulta que, em comparação com o Projeto de Acordo PNR Canadá‑UE, a Diretiva PNR impõe o tratamento sistemático dos dados de um número consideravelmente mais elevado de passageiros aéreos, que se deslocam de avião no interior e no exterior da União. Além disso, atendendo ao aumento do volume dos dados tratados e à frequência com que são recolhidos, o seu tratamento é provavelmente suscetível de fornecer informações simultaneamente mais precisas e mais amplas sobre a vida privada das pessoas em causa (hábitos de viagem, relações pessoais, situações financeiras, etc.).

98. Todavia, tal como no Parecer 1/15, estas informações, consideradas isoladamente, apenas dizem respeito a certos aspetos da vida privada, ligados às viagens aéreas. Ora, tendo em conta a necessidade de definir o conceito de «conteúdo essencial» dos direitos fundamentais de modo restritivo, para que este mantenha a sua função de bastião contra os ataques à própria substância destes direitos, considero que a conclusão a que o Tribunal de Justiça chegou no n.o 150 do Parecer 1/15 pode ser transposta para o presente processo.

99. No Parecer 1/15, o Tribunal de Justiça excluiu também a violação do conteúdo essencial do direito à proteção dos dados pessoais ( 97 ). Na minha opinião, esta conclusão é igualmente transponível para as circunstâncias do presente processo. Com efeito, precisamente como o Projeto de Acordo PNR Canadá‑UE, a Diretiva PNR circunscreve, no seu artigo 1.o, n.o 2, as finalidades do tratamento dos dados PNR. Por outro lado, esta diretiva, bem como os outros atos da União para os quais remete, nomeadamente o RGPD e a Diretiva Cooperação Policial, contêm disposições específicas destinadas a garantir, em especial, a segurança, a confidencialidade e a integridade desses dados, bem como a protegê‑los contra os acessos e os tratamentos ilegais. Embora não se possa considerar que uma regulamentação como a prevista pela Diretiva PNR afeta o conteúdo essencial dos direitos fundamentais protegidos pelos artigos 7.o e 8.o da Carta, tal regulamentação deve, contudo, ser sujeita a uma fiscalização estrita e rigorosa quanto à sua proporcionalidade.

c) Quanto ao respeito do requisito segundo o qual a ingerência deve corresponder a um objetivo de interesse geral

100. A Diretiva PNR visa, nomeadamente, garantir a segurança interna e proteger a vida e a segurança das pessoas através de uma transferência dos dados PNR para as autoridades competentes dos Estados‑Membros, com vista à sua utilização no âmbito da luta contra o terrorismo e a criminalidade grave ( 98 ).

101. Mais especificamente, resulta do artigo 1.o, n.o 2, da Diretiva PNR, em conjugação com os seus considerandos 6 e 7, bem como da proposta da Comissão que conduziu à adoção desta diretiva (a seguir «Proposta de Diretiva PNR») ( 99 ), que, no âmbito desse objetivo, os dados PNR são utilizados pelas autoridades responsáveis pela aplicação da lei ( 100 ) de diferentes formas. Em primeiro lugar, esses dados são utilizados para identificar pessoas implicadas ou suspeitas de estarem implicadas em infrações terroristas e formas de criminalidade grave que já tenham sido cometidas, para recolher provas bem como, se for caso disso, encontrar os cúmplices de criminosos e desmantelar redes criminosas (utilização de «forma reativa»). Em segundo lugar, os dados PNR podem ser avaliados antes da chegada ou da partida dos passageiros para prevenir a prática de um crime e identificar pessoas que não eram anteriormente suspeitas de participação em infrações terroristas ou formas de criminalidade grave e que, com base no resultado dessa avaliação, devam ser sujeitas a um controlo mais minucioso por parte das autoridades de aplicação da lei (utilização «em tempo real»). Por último, os dados PNR são utilizados para definir critérios de avaliação que poderão seguidamente ser aplicados na apreciação do risco que representam os passageiros antes da sua chegada e antes da sua partida (utilização de «forma proativa»). Essa utilização proativa dos dados PNR deve permitir aos serviços responsáveis pela aplicação da lei fazer face à ameaça que representam a grande criminalidade e o terrorismo numa perspetiva diferente da do tratamento de outras categorias de dados pessoais ( 101 ).

102. Resulta da jurisprudência do Tribunal de Justiça que o objetivo de proteção da segurança pública, que abrange, nomeadamente, a prevenção, a investigação, a deteção e a perseguição tanto de infrações terroristas como de infrações penais que se enquadram na criminalidade grave, constitui um objetivo de interesse geral da União, na aceção do artigo 52.o, n.o 1, da Carta, suscetível de justificar ingerências, ainda que graves, nos direitos fundamentais consagrados nos artigos 7.o e 8.o da Carta ( 102 ).

103. O Tribunal de Justiça reconheceu igualmente que os objetivos de proteção da segurança pública e de luta contra a criminalidade grave contribuem para a proteção dos direitos e liberdades de terceiros ( 103 ). Assim, no que respeita à ponderação equilibrada entre estes objetivos e os direitos fundamentais consagrados nos artigos 7.o e 8.o da Carta ( 104 ), há que tomar igualmente em conta a importância dos direitos consagrados nos artigos 3.o, 4.o, 6.o e 7.o da Carta. A este respeito, embora, no Acórdão La Quadrature du Net, o Tribunal de Justiça tenha considerado que o artigo 6.o da Carta «não pode ser interpretado no sentido de que impõe aos poderes públicos a obrigação de adotarem medidas específicas para [exercerem a] ação penal contra determinadas infrações penais» ( 105 ), em contrapartida, no que diz respeito, em particular, à luta efetiva contra as infrações penais de que são vítimas, nomeadamente, menores e outras pessoas vulneráveis, sublinhou que obrigações positivas que incumbem ao poderes públicos podem resultar tanto do artigo 7.o da Carta, tendo em vista a adoção de medidas jurídicas destinadas a proteger a vida privada e familiar, como dos seus artigos 3.o e 4.o, relativos à proteção da integridade física e psíquica das pessoas e à proibição da tortura e dos tratos desumanos e degradantes ( 106 ).

104. Por último, o Tribunal de Justiça considerou que a importância do objetivo de salvaguarda da segurança nacional ultrapassa a dos objetivos de luta contra a criminalidade em geral, incluindo grave, bem como de salvaguarda da segurança pública e que é, por conseguinte, suscetível de justificar medidas que incluem ingerências nos direitos fundamentais mais graves do que aquelas que esses outros objetivos poderiam justificar ( 107 ). Uma vez que as atividades de terrorismo são suscetíveis de constituir ameaças à segurança nacional dos Estados‑Membros, o sistema instituído pela Diretiva PNR, na medida em que constitui um instrumento de luta contra tais atividades, contribui para o objetivo de salvaguarda da segurança nacional dos Estados‑Membros.

d) Quanto ao respeito do princípio da proporcionalidade

105. Em conformidade com o artigo 52.o, n.o 1, segundo período, da Carta, na observância do princípio da proporcionalidade, só podem ser introduzidas restrições ao exercício de um direito fundamental reconhecido pela mesma se forem necessárias e corresponderem efetivamente a objetivos de interesse geral reconhecidos pela União ou à necessidade de proteção dos direitos e liberdades de terceiros.

106. A este propósito, cabe recordar que o princípio da proporcionalidade exige, segundo jurisprudência constante do Tribunal de Justiça, que os atos das instituições da União sejam adequados à realização dos objetivos legítimos prosseguidos pela regulamentação em causa e não excedam os limites do que é adequado e necessário à realização desses objetivos ( 108 ).

107. Em conformidade com a jurisprudência constante do Tribunal de Justiça, a proteção do direito fundamental ao respeito pela vida privada ao nível da União exige que as derrogações à proteção dos dados pessoais e as restrições à mesma operem na medida do estritamente necessário. Além disso, um objetivo de interesse geral não pode ser prosseguido sem se ter em conta o facto de que deve ser conciliado com os direitos fundamentais abrangidos pela medida, mediante uma ponderação equilibrada entre o objetivo e os interesses e direitos em causa ( 109 ). Mais especificamente, a proporcionalidade de uma limitação aos direitos consagrados nos artigos 7.o e 8.o da Carta deve ser apreciada medindo a gravidade da ingerência que essa limitação comporta e verificando se a importância do objetivo de interesse geral prosseguido por essa limitação tem relação com a gravidade dessa ingerência ( 110 ).

108. Resulta da jurisprudência do Tribunal de Justiça que, para satisfazer o requisito da proporcionalidade, a Diretiva PNR, enquanto base legal que comporta as ingerências nos direitos fundamentais consagrados nos artigos 7.o e 8.o da Carta descritas nos n.os 70 a 83 das presentes conclusões, deve prever regras claras e precisas que regulem o âmbito e a aplicação das medidas que comportem tais ingerências e impor requisitos mínimos, de modo a que as pessoas cujos dados foram transferidos disponham de garantias suficientes que permitam proteger eficazmente os seus dados pessoais contra os riscos de abuso e contra qualquer acesso e utilização ilícitos dos mesmos ( 111 ). A necessidade de dispor de tais garantias é ainda mais importante quando, como no caso em apreço, os dados pessoais são sujeitos a um tratamento automatizado e quando está em jogo a proteção desta categoria específica de dados pessoais que são os dados sensíveis ( 112 ).

109. No que toca ao alcance da fiscalização jurisdicional do respeito dos requisitos que decorrem do princípio da proporcionalidade, tendo em conta o importante papel desempenhado pela proteção dos dados pessoais à luz do direito fundamental ao respeito pela vida privada e a ingerência neste direito que a Diretiva PNR comporta, o poder de apreciação do legislador da União fica reduzido, pelo que essa fiscalização deve ser estrita ( 113 ).

1) Quanto à aptidão dos tratamentos dos dados PNR previstos na Diretiva PNR à luz do objetivo prosseguido

110. No n.o 153 do Parecer 1/15, o Tribunal de Justiça afirmou, no que respeita ao Projeto de Acordo PNR Canadá‑UE, que a transferência dos dados PNR para o Canadá e os tratamentos posteriores dos mesmos podem ser considerados aptos a garantir a realização do objetivo relativo à salvaguarda da proteção e da segurança do público. Não me parece que esta aptidão, reconhecida desde há muito tempo tanto a nível da União como a nível mundial ( 114 ), possa ser posta em causa quanto à recolha e ao tratamento posterior dos dados PNR no que respeita tanto aos voos extra‑UE como aos voos intra‑UE ( 115 ).

111. No entanto, a eficácia do sistema de tratamento dos dados PNR estabelecido pela diretiva só pode ser avaliada em concreto, apreciando os resultados da sua aplicação ( 116 ). Nesta perspetiva, é essencial que essa eficácia seja objeto de uma avaliação contínua com base em dados estatísticos o mais precisos e fiáveis possível ( 117 ). A este respeito, a Comissão deveria, com intervalos regulares, proceder a um reexame análogo ao já previsto no artigo 19.o da Diretiva PNR.

2) Quanto ao caráter estritamente necessário da ingerência

112. Embora a Cour constitutionnelle (Tribunal Constitucional, Bélgica) não tenha suscitado explicitamente dúvidas quanto ao facto de a Diretiva PNR conter regras claras, precisas e limitadas ao estritamente necessário no que respeita à delimitação das finalidades do tratamento dos dados PNR ( 118 ), a análise da proporcionalidade do sistema previsto por esta diretiva, solicitada pelo órgão jurisdicional de reenvio, não pode, na minha opinião, deixar de abordar esta questão ( 119 ).

i) Quanto à delimitação das finalidades do tratamento dos dados PNR

113. Uma clara delimitação das finalidades para as quais é permitido o acesso a dados pessoais pelas autoridades competentes, bem como a sua posterior utilização pelas mesmas, constitui um requisito essencial de qualquer sistema de tratamento de dados, nomeadamente para fins de aplicação da lei. A satisfação deste requisito é, por outro lado, necessária para permitir ao Tribunal de Justiça apreciar a proporcionalidade das medidas em causa, aplicando o critério, estabelecido na sua jurisprudência, da gravidade da ingerência relativamente à importância do objetivo prosseguido ( 120 ).

114. O Tribunal de Justiça sublinhou a importância de uma delimitação clara das finalidades das medidas que comportam limitações aos direitos fundamentais ao respeito pela vida privada e à proteção dos dados pessoais, nomeadamente no Acórdão Digital Rights, no qual declarou inválida a Diretiva 2006/24. No n.o 60 desse acórdão, o Tribunal de Justiça observou que esta diretiva não previa «critérios objetivos que [permitissem] delimitar o acesso das autoridades nacionais competentes aos dados e a sua utilização posterior para prevenir, detetar ou agir penalmente contra infrações suscetíveis de ser consideradas suficientemente graves, à luz da amplitude e da gravidade da ingerência nos direitos fundamentais consagrados nos artigos 7.o e 8.o da Carta, para justificar tal ingerência» e que se limitava, pelo contrário, «a remeter, no seu artigo 1.o, n.o 1, de forma genérica, para as infrações graves tal como definidas no direito nacional de cada Estado‑Membro».

115. O artigo 1.o, n.o 2, da Diretiva PNR enuncia um critério geral de limitação das finalidades segundo o qual «[o]s dados PNR recolhidos nos termos da presente diretiva só podem ser tratados para fins de prevenção, deteção, investigação e repressão das infrações terroristas e da criminalidade grave». Todavia, ao contrário da Diretiva 2006/24, a Diretiva PNR não se limita a tal enunciação, mas define ela própria, no seu artigo 3.o, pontos 8 e 9, tanto o conceito de «infrações terroristas» como o de «criminalidade grave», o primeiro por remissão para os artigos 1.o a 4.o da Decisão‑Quadro 2002/475/JAI do Conselho, de 13 de junho de 2002, relativa à luta contra o terrorismo (JO 2002, L 164, p. 3) (substituída pela Diretiva 2017/541) ( 121 ), e o segundo, por um lado, enumerando no anexo II as categorias de infrações penais que correspondem a este conceito e, por outro, estabelecendo um limiar de gravidade em termos de duração máxima da pena de prisão ou da medida de segurança de que tais infrações são passíveis.

116. Embora a remissão para as disposições pertinentes da Diretiva 2017/541 permita caracterizar, de forma suficientemente clara e precisa, os atos suscetíveis de serem qualificados de infrações terroristas nos termos do artigo 3.o, ponto 8, da Diretiva PNR e apreciar a sua gravidade para efeitos da ponderação da importância do objetivo de proteção da segurança pública prosseguido por esta diretiva e da gravidade da ingerência que esta comporta nos direitos fundamentais consagrados nos artigos 7.o e 8.o da Carta, a mesma conclusão não se impõe com igual evidência no que respeita a todas as infrações enumeradas no anexo II.

117. No n.o 177 do Parecer 1/15, o Tribunal de Justiça considerou que o Projeto de Acordo PNR Canadá‑UE definia com clareza e precisão o grau de gravidade das infrações abrangidas pelo conceito de «criminalidade transnacional grave», impondo que estas infrações fossem «puníveis com penas privativas de liberdade com uma duração de, pelo menos, quatro anos ou por penas mais graves», remetendo para as «infrações definidas pela legislação canadiana» e enunciando «os diferentes casos em que uma infração é considerada transnacional».

118. Relativamente à regulamentação examinada pelo Tribunal de Justiça nesse parecer, a Diretiva PNR, em primeiro lugar, não tem em conta, na definição das infrações visadas, o seu caráter transnacional, em segundo lugar, prevê uma lista exaustiva de infrações que, pela sua natureza, são consideradas abrangidas pela criminalidade grave, desde que atinjam o mínimo de pena máxima previsto no artigo 3.o, ponto 9, desta diretiva, em terceiro lugar, baixa, em princípio, o limiar de gravidade, adotando um critério baseado no nível da pena máxima e fixando esse limiar em três anos.

119. No que respeita, em primeiro lugar, à inexistên