TRIBUNAL CONSTITUCIONAL Acórdãos 99.º volume \ 2017

708 TRIBUNAL CONSTITUCIONAL de 17 de julho, não pode ser posta em causa apenas devido ao facto de este ato normativo da União ter sido declarado inválido. Tais considerações não impedem, no entanto, que se proceda à fiscalização da validade dessa Lei à luz dos parâmetros aplicáveis, nomeadamente de Direito Internacional, previstos na Convenção Europeia para a Proteção dos Direitos do Homem e das Liberdades Fundamentais, de Direito da União Europeia, consagrados na Carta dos Direitos Fundamentais da União Europeia, ou de direito nacional, decorrentes da Constituição. Embora seja de ter em conta, nesse processo, a fundamentação do Tribunal de Justiça, este juízo deverá ser, no entanto, autónomo relativamente ao efetuado por esta instância jurisdicional. No presente processo, ao desempenhar essa tarefa, não é possível acompanhar o raciocínio explanado na decisão recorrida. 11. Desde logo porque um conjunto de considerações tecidas pelo Tribunal de Justiça não pode ser importado, sem mais, para a fiscalização da Lei n.º 32/2008 e para o presente processo. Esta lei, ao transpor a Diretiva n.º 2006/24/CE, densificou-a, consagrando soluções jurídicas que mere- cem uma análise específica. A mero título de exemplo, a Lei n.º 32/2008 prevê a obrigação de os operadores de comunicações conservarem os dados abrangidos pelo seu âmbito pelo período de um ano, enquanto a Diretiva estabelecia a sua conservação «por períodos não inferiores a seis meses e não superiores a dois anos, no máximo, a contar da data da comunicação» a estabelecer pelos Estados-Membros (artigo 6.º da Diretiva n.º 2006/24/CE). A este respeito, referem David Silva Ramalho e José Duarte Coimbra (“A declaração de invalidade da Diretiva 2006/24/CE: presente e futuro da regulação sobre conservação de dados de tráfego para fins de investigação, deteção e repressão de crimes graves”, in O Direito , n.º 147.º (2015), IV, pp. 997- 1045, pp. 1037-1038): «Recorde-se que, entre os fundamentos apresentados pelo TJ para a declaração de invalidade da Diretiva, encontravam-se (i) a ausência de normas substantivas ou processuais que determinem o critério de acesso aos dados; (ii) a ausência de definição do conceito de “crimes graves”; (iii) a não consagração de reserva de juiz; (iv) a inexistência de garantias de segurança na conservação e transmissão dos dados; (v) a sua aplicação a pessoas sujeitas a segredo profissional; (vi) e a omissão de imposição da conservação dos dados em território da União Europeia. Ora, ao transpor a Diretiva para o ordenamento jurídico nacional, o legislador português (i) estipulou regras de acesso aos dados, sujeitando-o a critérios de necessidade, adequação e proporcionalidade, a verificar inclusivamente no que respeita à definição das categorias de dados (n. os 1 e 4 do artigo 9.º) e limitando-o a um catálogo restrito de titulares dos dados (n.º 3 do artigo 9.º); (ii) definiu o conceito de crimes graves [alínea g) do n.º 1 do artigo 2.º]; (iii) impôs a precedência de mandado judicial no acesso aos dados, mediante requerimento do Ministério Público ou da autoridade de polícia criminal competente (n.º 2 do artigo 9.º); (iv) estabeleceu particulares deveres de proteção e segurança dos dados, tendo, inclusivamente, criado uma aplicação informática denominada «sistema de acesso ou pedido de dados às operadoras de comunicações» (SAPDOC), por onde o processo de transmissão e acesso aos dados decorre, através de ligação segura, encriptada mediante nome de utilizador e palavra passe, através de obrigação de registo eletrónico dos pedidos de dados enviados, incluindo a indicação de quem procedeu ao envio e da data e hora em que o mesmo ocorreu, bem como dos acessos a ficheiros de resposta, igualmente com indicação de quem os efetuou e da data e hora de cada acesso (n.º 3 do artigo 7.º da Lei n.º 32/2008 e Portaria n.º 469/2009); e (v) sujeitou expressamente a decisão judicial de transmitir os dados ao dever de respeitar o segredo profissional nos termos legalmente previstos, apesar de não evitar a sua conservação (n.º 4 do artigo 9.º). (…)» Na Nota Prática n.º 7/2015, de 30 de dezembro de 2015, sobre Retenção de dados de tráfego e Lei n.º 32/2008, de 17 de julho, o Gabinete do Cibercrime do Ministério Público esclarece igualmente (n.º 5): «É importante sublinhar que a Lei n.º 32/2008, além da transposição da Diretiva 2006/24/CE, introduziu um mais alargado quadro, muito complexo, de regulamentação do processo de retenção de dados (por exemplo, entre