Acórdão do Tribunal de Justiça (Grande Secção) de 6 de outubro de 2020 (pedido de decisão prejudicial apresentado pelo Conseil d'État, Cour constitutionnelle, Bélgica — França) — La Quadrature du Net (C-511/18 e C-512/18), French Data Network (C-511/18 e C-512/18), Fédération des fournisseurs d’accès à Internet associatifs (C-511/18 e C-512/18), Igwan.net (C-511/18)/Premier ministre (C-511/18 e C-512/18), Garde des Sceaux, ministre de la Justice (C-511/18 e C-512/18), Ministre de l’Intérieur (C-511/18), Ministre des Armées (C-511/18), Ordre des barreaux francophones et germanophone, Académie Fiscale ASBL, UA, Liga voor Mensenrechten ASBL, Ligue des Droits de l’Homme ASBL, VZ, WY, XX/Conseil des ministres

(Processos apensos C-511/18, C-512/18 e C-520/18) (1)

(«Reenvio prejudicial - Tratamento de dados pessoais no setor das comunicações eletrónicas - Prestadores de serviços de comunicações eletrónicas - Prestadores de serviços de armazenamento e fornecedores de acesso à Internet - Conservação generalizada e indiferenciada de dados de tráfego e de dados de localização - Análise automatizada de dados - Acesso em tempo real aos dados - Salvaguarda da segurança nacional e luta contra o terrorismo - Luta contra a criminalidade - Diretiva 2002/58/CE - Âmbito de aplicação - Artigo 1.o, n.o 3, e artigo 3.o - Confidencialidade das comunicações eletrónicas - Proteção - Artigo 5.o e artigo 15.o, n.o 1 - Diretiva 2000/31/CE - Âmbito de aplicação - Carta dos Direitos Fundamentais da União Europeia - Artigos 4.o, 6.o a 8.o e 11.o e artigo 52.o, n.o 1 - Artigo 4.o, n.o 2, TUE»)

(2020/C 433/03)

Língua do processo: francês

Órgão jurisdicional de reenvio

Conseil d'État, Cour constitutionnelle

Partes no processo principal

(Processos C-511/18 e C-512/18)

Recorrentes: La Quadrature du Net (C-511/18 e C-512/18), French Data Network (C-511/18 e C-512/18), Fédération des fournisseurs d’accès à Internet associatifs (C-511/18 e C-512/18), Igwan.net (C-511/18),

Recorridos: Premier ministre (C-511/18 et C-512/18), Garde des Sceaux, ministre de la Justice (C-511/18 e C-512/18), Ministre de l’Intérieur (C-511/18), Ministre des Armées (C-511/18)

sendo intervenientes: Privacy International (C-512/18), Center for Democracy and Technology (C-512/18),

(Processo C-520/18)

Recorrentes: Ordre des barreaux francophones et germanophone, Académie Fiscale ASBL, UA, Liga voor Mensenrechten ASBL, Ligue des Droits de l’Homme ASBL, VZ, WY, XX

Recorrido: Conseil des ministres

sendo intervenientes: Child Focus (C-520/18)

Dispositivo

O artigo 15.o, n.o 1, da Diretiva 2002/58/CE do Parlamento Europeu e do Conselho de 12 de julho de 2002, relativa ao tratamento de dados pessoais e à proteção da privacidade no setor das comunicações eletrónica (Diretiva relativa à privacidade e às comunicações eletrónicas), conforme alterada pela Diretiva 2009/136/CE do Parlamento Europeu e do Conselho de 25 de novembro de 2009, lido à luz dos artigos 7.o, 8.o, 11.o e 52.o, n.o 1, da Carta dos Direitos Fundamentais da União Europeia, deve ser interpretado no sentido de que se opõe a medidas legislativas que preveem, para as finalidades previstas nesse artigo 15.o, n.o 1, a título preventivo, uma conservação generalizada e indiferenciada de dados de tráfego e de dados de localização. Em contrapartida, o referido artigo 15.o, n.o 1, lido à luz dos artigos 7.o, 8.o, 11.o e 52.o, n.o 1, da Carta, não se opõe a medidas legislativas que

—

permitam, para efeitos da salvaguarda da segurança nacional, impor aos prestadores de serviços de comunicações eletrónicas que procedam a uma conservação generalizada e indiferenciada de dados de tráfego e de dados de localização, quando o Estado-Membro em causa enfrente uma ameaça grave para a segurança nacional que se revele real e atual ou previsível, quando a decisão que prevê tal imposição possa ser objeto de fiscalização efetiva quer por um órgão jurisdicional quer por uma entidade administrativa efetiva independente, cuja decisão produza efeitos vinculativos, destinada a verificar a existência de uma dessas situações e o respeito dos requisitos e das garantias que devem estar previstos, e quando a referida imposição apenas possa ser aplicada por um período temporalmente limitado ao estritamente necessário, mas renovável em caso de persistência dessa ameaça;

—

prevejam, para efeitos da salvaguarda da segurança nacional, da luta contra a criminalidade grave e da prevenção de ameaças graves contra a segurança pública, uma conservação selecionada dos dados de tráfego e dos dados de localização que seja delimitada, com base em elementos objetivos e não discriminatórios, em função das categorias de pessoas em causa ou através de um critério geográfico, por um período temporalmente limitado ao estritamente necessário, mas que pode ser renovado;

—

prevejam, para efeitos da salvaguarda da segurança nacional, da luta contra a criminalidade grave e da prevenção de ameaças graves contra a segurança pública, uma conservação generalizada e indiferenciada dos endereços IP atribuídos à fonte de uma ligação, por um período temporalmente limitado ao estritamente necessário;

—	prevejam, para efeitos da salvaguarda da segurança nacional, da luta contra a criminalidade e da salvaguarda da segurança pública, uma conservação generalizada e indiferenciada de dados relativos à identidade civil dos utilizadores de meios de comunicações eletrónicos, e

—

permitam, para efeitos da luta contra a criminalidade grave e, a fortiori, da salvaguarda da segurança nacional, impor aos prestadores de serviços de comunicações eletrónicas, através de uma decisão da autoridade competente sujeita a fiscalização jurisdicional efetiva, o dever de procederem, por um determinado período, à conservação rápida de dados dos tráfego e dos dados de localização de que esses prestadores de serviços dispõem,

desde que essas medidas assegurem, mediante regras claras e precisas, que a conservação dos dados em causa está sujeita ao respeito das respetivas condições materiais e processuais e que as pessoas em causa dispõem de garantias efetivas contra os riscos de abuso.

O artigo 15.o, n.o 1, da Diretiva 2002/58, conforme alterada pela Diretiva 2009/136, lido à luz dos artigos 7.o, 8.o, 11.o e 52.o, n.o 1, da Carta dos Direitos Fundamentais, deve ser interpretado no sentido de que não se opõe a uma regulamentação nacional que impõe aos prestadores de serviços de comunicações eletrónicas que recorram, por um lado, à análise automatizada e à recolha em tempo real de dados de tráfego e de dados de localização e, por outro, à recolha em tempo real de dados técnicos relativos à localização dos equipamentos terminais utilizados, quando

—

o recurso à análise automatizada esteja limitado a situações em que um Estado-Membro se encontra confrontado com uma ameaça grave para a segurança nacional que se revele real e atual ou previsível, podendo o recurso a essa análise ser objeto de fiscalização efetiva, quer por um órgão jurisdicional quer por uma entidade administrativa independente, cuja decisão produza efeitos vinculativos, destinada a verificar a existência de uma situação que justifique a referida medida, bem como o respeito das condições e das garantias que devem estar previstas, e quando

—

o recurso a uma recolha em tempo real de dados de tráfego e de dados de localização esteja limitado às pessoas em relação às quais existe uma razão válida para suspeitar que estão de alguma forma envolvidas em atividades terroristas e esteja sujeito a fiscalização prévia, quer por um órgão jurisdicional quer por uma entidade administrativa independente, cuja decisão produza efeitos vinculativos, a fim de assegurar que tal recolha em tempo real apenas é autorizada no limite do estritamente necessário. Em caso de urgência devidamente justificada, a fiscalização deve ser efetuada rapidamente.

A Diretiva 2000/31/CE do Parlamento Europeu e do Conselho de 8 de junho de 2000, relativa a certos aspetos legais dos serviços da sociedade de informação, em especial do comércio eletrónico, no mercado interno («Diretiva sobre o comércio eletrónico»), deve ser interpretada no sentido de que não é aplicável em matéria de proteção da confidencialidade das comunicações e das pessoas singulares no que diz respeito ao tratamento de dados pessoais no âmbito dos serviços da sociedade de informação, sendo esta proteção regulada, consoante o caso, pela Diretiva 2002/58, conforme alterada pela Diretiva 2009/136, ou pelo Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46. O artigo 23.o, n.o 1, do Regulamento 2016/679, lido à luz dos artigos 7.o, 8.o, 11.o e 52.o, n.o 1, da Carta dos Direitos Fundamentais, deve ser interpretado no sentido de que se opõe a uma regulamentação nacional que impõe aos fornecedores de acesso a serviços de comunicação ao público em linha e aos prestadores de serviços de armazenamento a conservação generalizada e indiferenciada, nomeadamente, dos dados pessoais relativos a esses serviços.

Um órgão jurisdicional não pode aplicar uma disposição do seu direito nacional que o habilita a limitar no tempo os efeitos de uma declaração de ilegalidade para a qual é competente, por força desse direito, em relação a uma legislação nacional que impõe aos prestadores de serviços de comunicações eletrónicas, tendo em vista, designadamente, a salvaguarda da segurança nacional e a luta contra a criminalidade, uma conservação generalizada e indiferenciada de dados de tráfego e de dados de localização incompatível com o artigo 15.o, n.o 1, da Diretiva 2002/58, conforme alterada pela Diretiva 2009/136, lido à luz dos artigos 7.o, 8.o, 11.o e 52.o, n.o 1, da Carta dos Direitos Fundamentais. Este artigo 15.o, n.o 1, interpretado à luz do princípio da efetividade, impõe que o tribunal criminal nacional afaste as informações e elementos de prova obtidos através de uma conservação generalizada e indiferenciada de dados de tráfego e de dados de localização incompatível com o direito da União, no âmbito de um processo penal instaurado contra pessoas suspeitas de atos de criminalidade, se essas pessoas não estiverem em condições de se pronunciarem eficazmente sobre essas informações e elementos de prova, provenientes de um domínio que escapa ao conhecimento dos juízes e que são suscetíveis de influenciar de forma preponderante a apreciação dos factos.

(1) JO C 392, de 29.10.2018.

JO C 408, de 12.11.2018.