I- A Lei nº 32/2008, de 17.07, que transpôs para a ordem jurídica interna a Diretiva n.º 2006/24/CE, de 15 de março, que alterou a Diretiva n.º 2002/58/CE, de 12 de Junho, regula a conservação e a transmissão dos dados de tráfego e de localização de comunicações eletrónicas relativos a pessoas singulares e a pessoas coletivas, bem como dos dados conexos necessários para identificar o assinante ou o utilizador registado, para fins de investigação, deteção e repressão de crimes graves por parte das autoridades competentes.
II- A Diretiva 2006/24/CE, visou (face às grandes divergências de leis nacionais que criavam sérias dificuldades práticas e de funcionamento do mercado interno) estabelecer normas de harmonização, no espaço da União Europeia, de conservação de dados de tráfego e dados de localização, bem como dados conexos necessários para identificar o assinante ou o utilizador registado, que são normas de tratamento dos dados pelos fornecedores de comunicações para determinada finalidade, mas não regulou, nem podia regular, a atividade das autoridades públicas (órgãos de polícia criminal, Ministério Público, juízes e tribunais) com competência para assegurar a realização daquela finalidade.
III- Importa distinguir a atividade de conservação de dados de tráfego e de localização da atividade de acesso a esses dados, as quais constituem ingerências distintas em matéria de direitos fundamentais, como é o caso do direito à privacidade.
IV- O regime de acesso a dados pessoais pelas autoridades competentes, para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais encontra-se previsto na Lei n.º 59/2019, de 08.08 (Lei de Proteção de Dados Pessoais), que transpôs a Diretiva (UE) 2016/680.
V- O acesso, no âmbito do processo penal, a dados conservados na posse de fornecedores de serviços de comunicações encontra-se previsto nos artigos 187.º a 189.º e 269.º, n.º 1, al. e), do CPP e na Lei n° 109/2009, de 15 de setembro (Lei do Cibercrime).
VI- Nesta conformidade, por se situarem em planos distintos, a Lei nº 32/2008, de 17.07, não revogou, nem podia ter revogado os artigos 187º a 189 do CPP.
VII- O legislador, na Lei nº 32/2008, de 17.07, excedeu-se na transposição da Diretiva 2006/24/CE , legislando não apenas sobre a conservação e a transmissão de dados, mas também sobre o acesso a esses dados para prova em processo penal (cfr. artigo 9º, declarado inconstitucional pelo Ac. TC nº 268/2022). Ora, tal alteração deveria ter sido efetuada no local próprio, ou seja, no Código de Processo Penal, o que não sucedeu, mantendo-se inalterada a redação dos artigos 187º, nº 1 e 189º, nº 2. Em resultado disso passou a existir um catálogo de crimes para cuja prova desses dados poderiam ser utilizados, ou seja, os crimes graves previstos no artigo 2º, nº 1 al. g), que é diferente do catálogo previsto para as interceções do nº 1 do artigo 187º do CPP.
VIII- O artigo 189º, nº 2 do CPP, que não foi revogado pela Lei nº 32/2008, de 17.07, constitui, pois, a norma fundamento para acesso aos dados tráfego e de localização conservados para prova dos crimes previsto no nº 1 do artigo 187º do CPP que não integram o conceito de crimes graves do artigo 2º, nº 1 al. g) da referida lei.
IX- Mas ainda que assim não fosse, atualmente face à declaração de inconstitucionalidade com força obrigatória geral do artigo 9º da Lei nº 323/2008, de 17.07, por força do Ac. TC nº 268/2022, tendo em conta o preceituado no artigo 282º da CRP, o nº 2 do artigo 189º do CPP sempre seria de considerar-se repristinado. O que quer dizer que atualmente este preceito legal sempre constituiria a única norma que permite o acesso a dados de tráfego e de localização conservados relativamente aos crimes indicados no nº 1 do artigo 187º do CPP.
X- O acórdão do Tribunal Constitucional nº 268/2022 manteve intocado o referido regime acesso a dados conservados pelas autoridades com vista à investigação de determinados crimes, designadamente os referidos artigos 187º a 189º do CPP e a aludida Lei nº 109/209 (Lei do Cibercrime).
XI- Mas, declarada a inconstitucionalidade com força obrigatória geral da Lei nº 32/2008, com o sentido que ficou assinalado, e tendo anteriormente sido declarada invalidade a Diretiva 2006/24/CE (Acórdão de 08.04.2014, Digital Rights Ireland) subsiste a Diretiva 2002/58/CE do Parlamento Europeu e do Conselho de 12.06, transposta pela Lei nº 41/2004, de 18.08.
XII- A Lei 41/2004, de 18.08, grosso modo, impõe aos fornecedores de serviços de comunicações eletrónicas a obrigação de conservarem os dados de tráfegos e de localização para efeitos de faturação pelo prazo de 6 meses contados de cada comunicação.
XIII- Não se destinando, segundo esta lei, os dados conservados para efeitos de prova em processo penal, nada obsta a que eles possam ser utilizados para esse efeito.