Acórdão do Tribunal de Justiça da União Europeia
Processo C-548/21

Edição provisória

ACÓRDÃO DO TRIBUNAL DE JUSTIÇA (Grande Secção)

4 de outubro de 2024 (*)

« Reenvio prejudicial — Proteção das pessoas singulares no tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, deteção, investigação, ou repressão na matéria — Diretiva (UE) 2016/680. — Artigo 3.°, ponto 2 — Conceito de “tratamento” — Artigo 4.° — Princípios relativos ao tratamento de dados pessoais — Artigo 4.°, n.° 1, alínea c) — Princípio da “minimização dos dados” — Artigos 7.°, 8.°, 47.° e 52.°, n.° 1, da Carta dos Direitos Fundamentais da União Europeia — Necessidade de uma restrição ao exercício de um direito fundamental ser “prevista por lei” — Proporcionalidade — Apreciação da proporcionalidade à luz de todos os elementos relevantes — Fiscalização prévia por um órgão jurisdicional ou por uma autoridade administrativa independente — Artigo 13.° — Informações a facultar ou a fornecer ao titular dos dados — Limites — Artigo 54.° — Direito à ação judicial contra um responsável pelo tratamento ou um subcontratante — Investigação policial em matéria de tráfico de estupefacientes — Tentativa de desbloqueamento de um telemóvel pelas autoridades policiais com vista a aceder, para efeitos dessa investigação, aos dados contidos nesse telefone »

No processo C‑548/21,

que tem por objeto um pedido de decisão prejudicial apresentado, nos termos do artigo 267.° TFUE, pelo Landesverwaltungsgericht Tirol (tribunal administrativo regional do Tirol, Áustria), por Decisão de 1 de setembro de 2021, que deu entrada no Tribunal de Justiça em 6 de setembro de 2021, no processo

CG

contra

Bezirkshauptmannschaft Landeck

O TRIBUNAL DE JUSTIÇA (Grande Secção),

composto por: K. Lenaerts, Presidente, L. Bay Larsen, Vice‑Presidente, K. Jürimäe, C. Lycourgos, E. Regan, T. von Danwitz, Z. Csehi e O. Spineanu‑Matei, Presidentes de Secção, P. G. Xuereb (relator), I. Jarukaitis, A. Kumin, N. Jääskinen e M. Gavalec, juízes,

advogado‑geral: M. Campos Sánchez‑Bordona,

secretário: C. Di Bella, administrador,

vistos os autos e após a audiência de 16 de janeiro de 2023,

vistas as observações apresentadas:

– em representação do Governo Austríaco, por A. Posch, J. Schmoll, K. Ibili e. Riedl, na qualidade de agentes,

– em representação do Governo Dinamarquês, por M. P. B. Jespersen, V. Pasternak Jørgensen, M. Søndahl Wolff e Y. T. Thyregod Kollberg, na qualidade de agentes,

– em representação do Governo Alemão, por J. Möller e M. Hellmann, na qualidade de agentes,

– em representação do Governo Estónio, por M. Kriisa, na qualidade de agente,

– em representação da Irlanda, por M. Browne, Chief State Solicitor, A. Joyce e M. Lane, na qualidade de agentes, assistidos por R. Farrell, SC, D. Fennelly, BL, e D. O’Reilly, solicitor,

– em representação do Governo Francês, por R. Bénard, A. Daniel, A.‑L. Desjonquères, e J. Illouz, na qualidade de agentes,

– em representação do Governo Cipriota, por I. Neophytou, na qualidade de agente,

– em representação do Governo Húngaro, por Zs. Biró‑Tóth e M. Z. Fehér, na qualidade de agentes,

– em representação do Governo Neerlandês, por M. K. Bulterman, A. Hanje e J. Langer, na qualidade de agentes,

– em representação do Governo Polaco, por B. Majczyna, na qualidade de agente,

– em representação do Governo Finlandês, por A. Laine, na qualidade de agente,

– em representação do Governo Sueco, por J. Lundberg, H. Eklinder, C. Meyer‑Seitz, A. M. Runeskjöld, M. Salborn Hodgson, R. Shahsavan Eriksson, H. Shev e O. Simonsson, na qualidade de agentes,

– em representação do Governo Norueguês, por F. Bergsjø, H. Busch, K. Moe Winther e P. Wennerås, na qualidade de agentes,

– em representação da Comissão Europeia, por G. Braun, S. L. Kalėda, H. Kranenborg e F. Wilman, na qualidade de agentes,

ouvidas as conclusões do advogado‑geral na audiência de 20 de abril de 2023,

profere o presente

Acórdão

1 O pedido de decisão prejudicial tem por objeto a interpretação do artigo 15.°, n.° 1, da Diretiva 2002/58/CE do Parlamento Europeu e do Conselho, de 12 de julho de 2002, relativa ao tratamento de dados pessoais e à proteção da privacidade no setor das comunicações eletrónicas (Diretiva Relativa à Privacidade e às Comunicações Eletrónicas) (JO 2002, L 201, p. 37), conforme alterada pela Diretiva 2009/136/CE do Parlamento Europeu e do Conselho, de 25 de novembro de 2009 (JO 2009, L 337, p. 11) (a seguir «Diretiva 2002/58»), lido à luz dos artigos 7.°, 8.°, 11.°, 41.°, 47.° e 52.°, n.° 1, da Carta dos Direitos Fundamentais da União Europeia (a seguir «Carta»).

2 Este pedido foi apresentado no âmbito de um litígio que opõe CG à Bezirkshauptmannschaft Landeck (autoridade administrativa do distrito de Landeck, Áustria) a respeito da apreensão do telemóvel de CG pelas autoridades policiais e das tentativas destas, no âmbito de um inquérito em matéria de tráfico de estupefacientes, de desbloquearem esse telefone para aceder aos dados nele contidos.

Quadro jurídico

Direito da União

Diretiva 2002/58

3 O artigo 1.° da Diretiva 2002/58, sob a epígrafe «Âmbito e objetivos», dispõe:

«1. A presente diretiva prevê a harmonização das disposições dos Estados‑Membros necessárias para garantir um nível equivalente de proteção dos direitos e liberdades fundamentais, nomeadamente o direito à privacidade e à confidencialidade, no que respeita ao tratamento de dados pessoais no setor das comunicações eletrónicas, e para garantir a livre circulação desses dados e de equipamentos e serviços de comunicações eletrónicas na Comunidade.

[...]

3. A presente diretiva não é aplicável a atividades fora do âmbito do Tratado que institui a Comunidade Europeia, tais como as abrangidas pelos títulos V e VI do Tratado da União Europeia, e em caso algum é aplicável às atividades relacionadas com a segurança pública, a defesa, a segurança do Estado (incluindo o bem‑estar económico do Estado quando as atividades se relacionem com matérias de segurança do Estado) e as atividades do Estado em matéria de direito penal.»

4 O artigo 3.° dessa diretiva, sob a epígrafe «Serviços abrangidos», dispõe:

«A presente diretiva é aplicável ao tratamento de dados pessoais no contexto da prestação de serviços de comunicações eletrónicas acessíveis ao público em redes de comunicações públicas na Comunidade, nomeadamente nas redes públicas de comunicações que servem de suporte a dispositivos de recolha de dados e de identificação.»

5 O artigo 5.° da referida diretiva, sob a epígrafe «Confidencialidade das comunicações», dispõe, no seu n.° 1:

Os Estados‑Membros garantirão, através da sua legislação nacional, a confidencialidade das comunicações e respetivos dados de tráfego realizadas através de redes públicas de comunicações e de serviços de comunicações eletrónicas publicamente disponíveis. Proibirão, nomeadamente, a escuta, a instalação de dispositivos de escuta, o armazenamento ou outras formas de interceção ou vigilância de comunicações e dos respetivos dados de tráfego por pessoas que não os utilizadores, sem o consentimento dos utilizadores em causa, exceto quando legalmente autorizados a fazê‑lo, de acordo com o disposto no n.° 1 do artigo 15.° O presente número não impede o armazenamento técnico que é necessário para o envio de uma comunicação, sem prejuízo do princípio da confidencialidade.»

6 O artigo 15.° da mesma diretiva, sob a epígrafe «Aplicação de determinadas disposições da Diretiva [95/46]», enuncia, no seu n.° 1:

«Os Estados‑Membros podem adotar medidas legislativas para restringir o âmbito dos direitos e obrigações previstos nos artigos 5.º e 6.º, nos n.os 1 a 4 do artigo 8.º e no artigo 9.º da presente diretiva sempre que essas restrições constituam uma medida necessária, adequada e proporcionada numa sociedade democrática para salvaguardar a segurança nacional (ou seja, a segurança do Estado), a defesa, a segurança pública, e a prevenção, a investigação, a deteção e a repressão de infrações penais ou a utilização não autorizada do sistema de comunicações eletrónicas, tal como referido no n.° 1 do artigo 13.° da Diretiva 95/46/CE [do Parlamento Europeu e do Conselho, de 24 de Outubro de 1995, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (JO 1995, L 281, p. 31)]. Para o efeito, os Estados‑Membros podem designadamente adotar medidas legislativas prevendo que os dados sejam conservados durante um período limitado, pelas razões enunciadas no presente número. Todas as medidas referidas no presente número deverão ser conformes com os princípios gerais do direito comunitário, incluindo os mencionados nos n.os 1 e 2 do artigo 6.° do Tratado da União Europeia.»

Diretiva (UE) 2016/680

7 Os considerandos 2, 4, 7, 10, 11, 15, 26, 37, 44, 46 e 104 da Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, e à livre circulação desses dados e que revoga a Decisão‑Quadro 2008/977/JAI do Conselho (JO 2016, L 119, p. 89), têm a seguinte redação:

«2) Os princípios e as regras em matéria de proteção das pessoas singulares relativamente ao tratamento dos seus dados pessoais deverão respeitar, independentemente da nacionalidade ou do local de residência dessas pessoas, os seus direitos e liberdades fundamentais, particularmente o direito à proteção dos dados pessoais. A presente diretiva destina‑se a contribuir para a realização de um espaço de liberdade, segurança e justiça.

[...]

4) A livre circulação de dados pessoais entre as autoridades competentes para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, incluindo a salvaguarda e a prevenção de ameaças à segurança pública a nível da União [Europeia], e a sua transferência para países terceiros e organizações internacionais deverão ser facilitadas, assegurando simultaneamente um elevado nível de proteção dos dados pessoais. Este contexto obriga ao estabelecimento de um regime de proteção de dados pessoais sólido e mais coerente na União, apoiado por uma aplicação rigorosa das regras.

[...]

7) É crucial assegurar um nível elevado e coerente de proteção dos dados pessoais das pessoas singulares e facilitar o intercâmbio de dados pessoais entre as autoridades competentes dos Estados‑Membros, a fim de assegurar a eficácia da cooperação judiciária em matéria penal e da cooperação policial. Para tal, o nível de proteção dos direitos e liberdades individuais no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais — incluindo a salvaguarda e a prevenção de ameaças à segurança pública — deverá ser equivalente em todos os Estados‑Membros. A proteção eficaz dos dados pessoais na União exige não só que sejam reforçados os direitos dos titulares dos dados e as obrigações de quem trata dados pessoais, mas também que haja reforço dos poderes equivalentes para controlar e assegurar a conformidade com as regras de proteção dos dados pessoais nos Estados‑Membros.

[...]

10) Na Declaração 21 sobre a proteção de dados pessoais no domínio da cooperação judiciária em matéria penal e da cooperação policial, anexada à Ata Final da Conferência Intergovernamental que adotou o Tratado de Lisboa, a conferência reconheceu que, atendendo à especificidade dos domínios em causa, poderão ser necessárias disposições específicas sobre proteção de dados pessoais e sobre a livre circulação dos dados pessoais, nos domínios da cooperação judiciária em matéria penal e da cooperação policial, com base no artigo 16.° [TFUE].

11) Por conseguinte, esses domínios deverão ser objeto de uma diretiva que estabeleça regras específicas relativas à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, incluindo a salvaguarda e a prevenção de ameaças à segurança pública, no respeito da natureza específica dessas atividades. Essas autoridades competentes podem incluir não só as autoridades públicas como, por exemplo, as autoridades judiciárias, a polícia ou outras autoridades de aplicação da lei, mas também outros organismos ou entidades designados pelo direito dos Estados‑Membros para o exercício da autoridade e dos poderes públicos para efeitos da presente diretiva. Caso esses organismos ou entidades tratem dados pessoais para efeitos que não sejam os da presente diretiva, é aplicável o Regulamento (UE) 2016/679 [do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO 2016, L 119, p. 1)]. O Regulamento [2016/679] é, pois, aplicável nos casos em que um organismo ou uma entidade recolhe dados pessoais para outros efeitos e, em seguida, os trata a fim de dar cumprimento a uma obrigação legal a que está sujeito. [...]

[...]

15) A fim de assegurar o mesmo nível de proteção para as pessoas singulares através de direitos suscetíveis de proteção judicial no conjunto da União e evitar divergências que criem obstáculos ao intercâmbio de dados pessoais entre as autoridades competentes, a presente diretiva deverá prever regras harmonizadas para a proteção e a livre circulação de dados pessoais tratados para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, nomeadamente a salvaguarda e a prevenção de ameaças à segurança pública. A aproximação das legislações dos Estados‑Membros não deverá implicar uma diminuição da proteção dos dados pessoais, devendo, pelo contrário, ter por objetivo garantir um elevado nível de proteção na União. Os Estados‑Membros não deverão ser impedidos de prever garantias mais elevadas do que as estabelecidas na presente diretiva para a proteção dos direitos e liberdades do titular dos dados no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes.

[...]

26) [...] Os dados pessoais deverão ser adequados e relevantes para os efeitos para os quais são tratados. É especialmente necessário garantir que os dados pessoais recolhidos não sejam excessivos nem conservados durante mais tempo do que o necessário para os efeitos para os quais são tratados. Os dados pessoais só deverão ser tratados se a finalidade do tratamento não puder ser atingida de forma razoável por outros meios. [...]

[...]

37) Os dados pessoais que sejam, pela sua natureza, especialmente sensíveis do ponto de vista dos direitos e liberdades fundamentais, merecem uma proteção especial, dado que o contexto do tratamento desses dados pode implicar riscos significativos para os direitos e liberdades fundamentais. Deverão incluir‑se os dados pessoais que revelem a origem racial ou étnica, não implicando o uso do termo “origem racial” na presente diretiva que a União aceite teorias que procuram determinar a existência de diferentes raças humanas. Tais dados pessoais não deverão ser objeto de tratamento, a menos que este esteja sujeito a garantias adequadas dos direitos e liberdades do titular dos dados e seja permitido em casos autorizados por lei ou, se ainda não tiver sido autorizado por lei, se for necessário para a proteção dos interesses vitais do titular dos dados ou de um terceiro, ou ainda se estiver relacionado com dados que tenham sido manifestamente tornados públicos pelo titular dos dados. As garantias adequadas dos direitos e liberdades do titular dos dados podem, por exemplo, incluir a possibilidade de recolher esses dados apenas em ligação com outros dados sobre a pessoa singular em causa, a fim de garantir devidamente a segurança dos dados recolhidos, o estabelecimento de regras mais rigorosas sobre o acesso do pessoal da autoridade competente aos dados ou a proibição da transmissão desses dados. O tratamento desses dados deverá também ser autorizado por lei quando o titular dos dados tiver dado o seu acordo expresso, nos casos em que o tratamento de dados é particularmente intrusivo para o titular. Todavia, o consentimento do titular dos dados não deverá constituir em si mesmo fundamento jurídico do tratamento de dados pessoais pelas autoridades competentes.

[...]

44) Os Estados‑Membros deverão poder adotar medidas legislativas que visem atrasar, limitar ou recusar a informação prestada a titulares de dados ou restringir, total ou parcialmente, o acesso aos dados pessoais que lhes digam respeito, desde que tal constitua uma medida necessária e proporcionada numa sociedade democrática, tendo devidamente em conta os direitos fundamentais e os interesses legítimos da pessoa singular em causa, para não prejudicar os inquéritos, investigações ou procedimentos oficiais ou legais, procurar não prejudicar a prevenção, investigação, deteção ou repressão de infrações penais ou a execução de sanções penais, salvaguardar a segurança pública ou a segurança nacional ou ainda proteger os direitos e as liberdades de terceiros. O responsável pelo tratamento deverá avaliar, através de uma análise concreta de cada caso individualmente, se o direito de acesso deverá ser total ou parcialmente restringido.

[...]

46) As restrições dos direitos do titular dos dados devem respeitar a Carta e a [Convenção Europeia para a Proteção dos Direitos do Homem e das Liberdades Fundamentais, assinada em Roma em 4 de novembro de 1950], de acordo com a interpretação na jurisprudência do Tribunal de Justiça e do Tribunal Europeu dos Direitos do Homem, respetivamente, e devem respeitar, em particular, o conteúdo essencial desses direitos e liberdades.

[...]

104) A presente diretiva respeita os direitos fundamentais e observa os princípios reconhecidos na Carta, consagrados pelo [Tratado FUE], nomeadamente o direito ao respeito da vida privada e familiar, o direito à proteção dos dados pessoais e o direito à ação e a um tribunal imparcial. As restrições introduzidas em relação a estes direitos são conformes com o artigo 52.°, n.° 1, da Carta, uma vez que são necessárias para cumprir os objetivos de interesse geral reconhecidos pela União ou para satisfazer a necessidade de proteger os direitos e as liberdades de outrem.»

8 O artigo 1.° desta diretiva, sob a epígrafe «Objeto e objetivos», dispõe, nos seus n.os 1 e 2:

«1. A presente diretiva estabelece as regras relativas à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, incluindo a salvaguarda e prevenção de ameaças à segurança pública.

2. Nos termos da presente diretiva, os Estados‑Membros asseguram:

a) A proteção dos direitos e das liberdades fundamentais das pessoas singulares e, em especial, o seu direito à proteção dos dados pessoais; e

b) Que o intercâmbio de dados pessoais entre autoridades competentes na União, caso seja previsto pelo direito da União ou do Estado‑Membro, não seja limitado nem proibido por razões relacionadas com a proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais.»

9 O artigo 2.° da referida diretiva, sob a epígrafe «Âmbito de aplicação», dispõe, nos seus n.os 1 e 3:

«1. A presente diretiva aplica‑se ao tratamento de dados pessoais pelas autoridades competentes para os efeitos estabelecidos no artigo 1.°, n.° 1.

[...]

3. A presente diretiva não se aplica ao tratamento de dados pessoais:

a) Efetuado no exercício de atividades não sujeitas à aplicação do direito da União;

[...]»

10 Nos termos do artigo 3.° da mesma diretiva, sob a epígrafe «Definições»:

«Para efeitos da presente diretiva, entende‑se por:

1. “Dados pessoais”, informações relativas a uma pessoa singular identificada ou identificável (“titular dos dados”); é considerada identificável uma pessoa singular que possa ser identificada, direta ou indiretamente, em especial por referência a um identificador como, por exemplo, um nome, um número de identificação, dados de localização, identificadores em linha ou um ou mais elementos específicos da identidade física, fisiológica, genética, mental, económica, cultural ou social dessa pessoa singular;

2. “Tratamento”, uma operação ou um conjunto de operações efetuadas sobre dados pessoais ou sobre conjuntos de dados pessoais, por meios automatizados ou não automatizados, tais como a recolha, o registo, a organização, a estruturação, a conservação, a adaptação ou alteração, a recuperação, a consulta, a utilização, a divulgação por transmissão, por difusão ou por qualquer outra forma de disponibilização, a comparação ou interconexão, a limitação, o apagamento ou a destruição;

[...]

7. “Autoridade competente”:

a) Uma autoridade pública competente para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, incluindo a salvaguarda e a prevenção de ameaças à segurança pública; ou

b) Qualquer outro organismo ou entidade designados pelo direito de um Estado‑Membro para exercer a autoridade pública e os poderes públicos para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, incluindo a salvaguarda e a prevenção de ameaças à segurança pública;

[...]»

11 O artigo 4.° da Diretiva 2016/680, sob a epígrafe «Princípios relativos ao tratamento de dados pessoais», dispõe, no seu n.° 1:

«Os Estados‑Membros preveem que os dados pessoais sejam:

a) Objeto de um tratamento lícito e leal;

b) Recolhidos para finalidades determinadas, explícitas e legítimas, e não tratados de uma forma incompatível com essas finalidades;

c) Adequados, pertinentes e limitados ao mínimo necessário relativamente às finalidades para as quais são tratados;

[...]»

12 O artigo 6.° dessa diretiva, sob a epígrafe «Distinção entre diferentes categorias de titulares de dados», prevê:

Os Estados‑Membros preveem que o responsável pelo tratamento estabeleça, se aplicável, e na medida do possível, uma distinção clara entre os dados pessoais de diferentes categorias de titulares de dados, tais como:

a) Pessoas relativamente às quais existem motivos fundados para crer que cometeram ou estão prestes a cometer uma infração penal;

b) Pessoas condenadas por uma infração penal;

c) Vítimas de uma infração penal ou pessoas relativamente às quais certos factos levam a crer que possam vir a ser vítimas de uma infração penal; e

d) Terceiros envolvidos numa infração penal, tais como pessoas que possam ser chamadas a testemunhar em investigações penais relacionadas com infrações penais ou em processos penais subsequentes, pessoas que possam fornecer informações sobre infrações penais, ou contactos ou associados de uma das pessoas a que se referem as alíneas a) e b).»

13 O artigo 10.° da referida diretiva, sob a epígrafe «Tratamento de categorias especiais de dados pessoais», tem a seguinte redação:

«O tratamento de dados pessoais que revelem a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas, a filiação sindical, o tratamento de dados genéticos, dados biométricos destinados a identificar uma pessoa singular de forma inequívoca, dados relativos à saúde ou dados relativos à vida sexual ou à orientação sexual, só é autorizado se for estritamente necessário, se estiver sujeito a garantias adequadas dos direitos e liberdades do titular dos dados, e se:

a) For autorizado pelo direito da União ou de um Estado‑Membro;

b) Se destinar a proteger os interesses vitais do titular dos dados ou de outra pessoa singular; ou

c) Estiver relacionado com dados manifestamente tornados públicos pelo titular dos dados.»

14 O artigo 13.° da Diretiva 2016/680, sob a epígrafe «Informações a facultar ou a fornecer ao titular dos dados», dispõe:

«1. Os Estados‑Membros preveem que o responsável pelo tratamento faculte ao titular dos dados pelo menos as seguintes informações:

a) A identidade e os contactos do responsável pelo tratamento;

b) Os contactos do encarregado da proteção de dados, se for caso disso;

c) As finalidades do tratamento a que os dados pessoais se destinam;

d) O direito de apresentar reclamação à autoridade de controlo e de obter os contactos dessa autoridade;

e) A existência do direito de solicitar ao responsável pelo tratamento acesso aos dados pessoais que dizem respeito ao titular, bem como a sua retificação ou o seu apagamento e a limitação do tratamento.

2. Para além das informações a que se refere o n.° 1, os Estados‑Membros preveem por lei que o responsável pelo tratamento forneça ao titular dos dados, em determinados casos, as seguintes informações adicionais, a fim de lhe permitir exercer os seus direitos:

a) O fundamento jurídico do tratamento;

b) O prazo de conservação dos dados pessoais ou, se tal não for possível, os critérios usados para definir esse período;

c) Se aplicável, as categorias de destinatários dos dados pessoais, inclusive nos países terceiros ou nas organizações internacionais;

d) Se for caso disso, informações adicionais, especialmente se os dados pessoais forem recolhidos sem conhecimento do seu titular.

3. Os Estados‑Membros podem adotar medidas legislativas que prevejam o adiamento, a limitação ou a não prestação aos titulares dos dados das informações a que se refere o n.° 2 se e enquanto tais medidas constituírem medidas necessárias e proporcionadas numa sociedade democrática, tendo devidamente em conta os direitos fundamentais e os interesses legítimos das pessoas singulares em causa, a fim de:

a) Evitar prejudicar os inquéritos, as investigações ou os procedimentos oficiais ou judiciais;

b) Evitar prejudicar a prevenção, deteção, investigação ou repressão de infrações penais ou a execução de sanções penais;

c) Proteger a segurança pública;

d) Proteger a segurança nacional;

e) Proteger os direitos e as liberdades de terceiros.

[...]»

15 O artigo 54.° desta diretiva, sob a epígrafe «Direito de intentar uma ação judicial contra um responsável pelo tratamento de dados ou um subcontratante», enuncia:

«Sem prejuízo de qualquer via de recurso administrativo ou extrajudicial disponível, nomeadamente o direito de apresentar reclamação junto de uma autoridade de controlo nos termos do artigo 52.°, os Estados‑Membros preveem que os titulares dos dados têm o direito de intentar ação judicial se considerarem ter havido violação dos direitos que lhes assistem nos termos das disposições adotadas por força da presente diretiva na sequência de um tratamento dos seus dados pessoais que não cumpra tais disposições.»

Direito austríaco

16 O artigo 27.°, n.° 1, da Suchtmittelgesetz (Lei dos estupefacientes), de 5 de setembro de 1997 (BGBl. I, 112/1997), na sua versão aplicável no processo principal, dispõe:

«Quem, ilegalmente

1. Adquira, possua, produza, transporte, importe, exporte ou ofereça estupefacientes a outra pessoa,

[...]

será punido com pena de prisão até um ano ou multa até 360 dias.

[...]»

17 O artigo 17.° do Strafgesetzbuch (Código Penal), de 1 de janeiro de 1975 (BGBl., 60/1974), na versão aplicável no processo principal (a seguir «StGB»), refere:

«1) Crimes graves são os atos dolosos puníveis com prisão perpétua ou pena de prisão superior a três anos.

2) Todas as outras infrações são crimes menores.»

18 O artigo 18.° do Strafprozessordnung (Código de Processo Penal), de 30 de dezembro de 1975 (BGBl., 631/1975), na versão aplicável no processo principal (a seguir «StPO»), enuncia:

«1) A Polícia Judiciária está encarregada de missões ao serviço da administração da justiça penal (artigo 10.°, n.° 1, ponto 6, da Bundes‑Verfassungsgesetz [(Lei Constitucional Federal)].

2) As investigações de polícia judiciária são da responsabilidade das autoridades de segurança, cuja organização e competência territorial se regem pelo disposto na Sicherheitspolizeigesetz [(lei da polícia de segurança)] relativas à organização da administração da segurança pública.

3) Os órgãos do Serviço de Segurança Pública (artigo 5.°, segundo parágrafo, do Sicherheitspolizeigesetz [(Lei da polícia de segurança)] asseguram o serviço executivo da polícia judiciária, que consiste em investigar e atuar contra as infrações penais nos termos do disposto na presente lei.

[...]»

19 O artigo 99.°, n.° 1, da StPO dispõe:

«A Polícia Judiciária investiga oficiosamente ou com base numa queixa, devendo acatar as ordens do Ministério Público e dos tribunais (artigo 105.°, n.° 2).»

Litígio no processo principal e questões prejudiciais

20 Em 23 de fevereiro de 2021, na realização de um controlo de estupefacientes, os agentes da alfândega de Innsbruck (Áustria) apreenderam uma encomenda dirigida a CG que continha 85 gramas de canábis. A encomenda foi enviada, para exame, ao Comissariado Central de Polícia de St. Anton am Arlberg (Áustria).

21 Em 6 de março de 2021, dois agentes da polícia dessa esquadra efetuaram uma busca do domicílio de CG, durante a qual o interrogaram sobre o remetente da referida embalagem e revistaram a sua habitação. Nessa busca, os agentes da polícia pediram para aceder aos dados de ligação do telemóvel de CG. No seguimento da recusa oposta por este, os agentes de polícia procederam à apreensão desse telemóvel, que continha um cartão SIM e um cartão SD, tendo sido entregue a CG o auto de apreensão.

22 Seguidamente, o referido telemóvel foi entregue, com vista ao seu desbloqueio, a um perito do posto de polícia do distrito de Landeck (Áustria). Não tendo este conseguido desbloquear o telemóvel, foi este enviado ao Bundeskriminalamt (Serviço Federal da Polícia Judiciária) de Viena (Áustria), onde foi efetuada uma nova tentativa de desbloqueamento.

23 A apreensão do telemóvel de CG e as tentativas de exploração posteriores desse telefone foram efetuadas por iniciativa dos agentes da polícia em causa, sem que estes tenham sido autorizados pelo Ministério Público ou por um juiz.

24 Em 31 de março de 2021, CG interpôs recurso no Landesverwaltungsgericht Tirol (Tribunal Administrativo Regional do Tirol, Áustria), que é o órgão jurisdicional de reenvio, para impugnar a legalidade da apreensão do seu telemóvel. Este último foi restituído a CG em 20 de abril de 2021.

25 CG não foi imediatamente informado das tentativas de exploração do seu telemóvel. Só teve conhecimento disso quando o agente da polícia que procedeu à apreensão desse telemóvel e que iniciou, em seguida, as diligências destinadas a explorar os seus dados digitais foi interrogado como testemunha no âmbito do processo pendente no órgão jurisdicional de reenvio. Essas tentativas também não foram documentadas no processo da polícia judiciária.

26 Em face destes elementos, o órgão jurisdicional de reenvio pergunta, em primeiro lugar, se, à luz dos n.os 52 a 61 do Acórdão de 2 de outubro de 2018, Ministerio Fiscal (C‑207/16, EU:C:2018:788), e da jurisprudência referida nesses números, o artigo 15.°, n.° 1, da Diretiva 2002/58, lido à luz dos artigos 7.° e 8.° da Carta, deve ser interpretado no sentido de que um acesso completo e não controlado a todos os dados contidos num telemóvel, a saber, os dados de ligação, o conteúdo das comunicações, as fotografias e os históricos de navegação, que podem fornecer uma imagem muito detalhada e aprofundada de quase todos os domínios da vida privada do titular dos dados, constitui uma ingerência tão grave nos direitos fundamentais consagrados nos artigos 7.° e 8.° que, em matéria de prevenção, de investigação, de deteção e de repressão de infrações penais, esse acesso deve ser limitado ao combate às infrações graves.

27 A este respeito, esse órgão jurisdicional precisa que a infração imputada a CG no âmbito do processo de inquérito penal em causa no processo principal está prevista no artigo 27.°, n.° 1, da Lei sobre os estupefacientes e é punível com uma pena de prisão máxima de um ano e, à luz da classificação do artigo 17.° do StPO, constitui apenas um crime menor.

28 Em segundo lugar, após ter recordado os ensinamentos decorrentes dos n.os 48 a 54 do Acórdão de 2 de março de 2021, Prokuratuur (Condições de acesso aos dados relativos às comunicações eletrónicas) (C‑746/18, EU:C:2021:152), e da jurisprudência referida nesses números, o referido órgão jurisdicional interroga‑se sobre se o artigo 15.°, n.° 1, da Diretiva 2002/58 se opõe a uma regulamentação nacional como a que resulta das disposições conjugadas do artigo 18.° e do artigo 99.°, n.° 1, da StPO, por força das quais, no decurso de um processo de investigação penal, a Polícia Judiciária pode obter, sem autorização de um juiz ou de uma entidade administrativa independente, um acesso completo e não controlado a todos os dados digitais contidos num telemóvel.

29 Em terceiro e último lugar, depois de ter sublinhado que o artigo 18.° do StPO, lido em conjugação com o artigo 99.°, n.° 1, do StPO, não prevê nenhuma obrigação de as autoridades policiais documentarem as medidas de exploração digital de um telemóvel, ou ainda de informar o seu proprietário da existência de tais medidas, de modo a que este possa, sendo caso disso, opor‑se a elas através de uma ação judicial preventiva ou a posteriori, o órgão jurisdicional de reenvio interroga‑se sobre a compatibilidade dessas disposições do StPO com o princípio da igualdade de armas e com o direito à ação, na aceção do artigo 47.° da Carta.

30 Nestas circunstâncias, o Landesverwaltungsgericht Tirol (Tribunal Administrativo Regional do Tirol) suspendeu a instância e submeteu ao Tribunal de Justiça as seguintes questões prejudiciais:

«1) Deve o artigo 15.°, n.° 1 (eventualmente em conjugação com o artigo 5.°), da Diretiva [2002/58], lido à luz dos artigos 7.° e 8.° da [Carta], ser interpretado no sentido de que o acesso das autoridades públicas a dados armazenados em telemóveis constitui uma ingerência nos direitos fundamentais consagrados nestes artigos da Carta de tal modo grave que, no domínio da prevenção, investigação, deteção e repressão de infrações penais, esse acesso deve ser limitado à luta contra a criminalidade grave?

2) Deve o artigo 15.°, n.° 1, da Diretiva [2002/58], lido à luz dos artigos 7.°, 8.° e 11.°, bem como do artigo 52.°, n.° 1, da [Carta], ser interpretado no sentido de que se opõe a uma regulamentação nacional como o [artigo 18.°], em conjugação com o [artigo 99.°], n.° 1, [do StPO], que permite às autoridades de segurança obterem por si próprias, durante um inquérito penal e sem autorização de um tribunal ou de uma autoridade administrativa independente, um acesso total e não controlado a todos os dados digitais armazenados num telemóvel?

3) Deve o artigo 47.° da [Carta], em conjugação com o artigo 41.° e com o artigo 52.° da mesma Carta, na perspetiva do princípio da igualdade de armas e do direito a uma tutela jurisdicional efetiva, ser interpretado no sentido de que se opõe a uma regulamentação de um Estado‑Membro que, como o [artigo 18.°], em conjugação com o [artigo 99.°], n.° 1, do [StPO], permite que um telemóvel seja analisado digitalmente, sem que o interessado seja informado previamente ou, pelo menos, depois de a medida ter sido tomada?»

Tramitação do processo no Tribunal de Justiça

31 Em 20 de outubro de 2021, o Tribunal de Justiça enviou um pedido de informações ao órgão jurisdicional de reenvio, convidando‑o a indicar‑lhe se a Diretiva 2016/680 poderia ser relevante para o processo principal e, sendo caso disso, a expor‑lhe as disposições de direito nacional de transposição dessa diretiva que pudessem ser aplicadas no caso presente.

32 Em 11 de novembro de 2021, o órgão jurisdicional de reenvio respondeu a esse pedido indicando, nomeadamente, que as disposições da referida diretiva deviam ser respeitadas nesse processo. Esta resposta foi notificada, juntamente com a decisão de reenvio, às partes interessadas referidas no artigo 23.° do Estatuto do Tribunal de Justiça da União Europeia.

33 Em 8 de novembro de 2022, nos termos do artigo 61.° do Regulamento de Processo do Tribunal de Justiça, o Tribunal de Justiça pediu aos participantes na fase oral do processo que concentrassem as suas alegações na Diretiva 2016/680 e respondessem, na audiência de alegações, a determinadas questões relativas a esta diretiva.

Quanto ao pedido de reabertura da fase oral do processo

34 Na sequência da apresentação das conclusões do advogado‑geral, por requerimento apresentado na Secretaria do Tribunal de Justiça em 17 de maio de 2023, o Governo Austríaco apresentou um pedido de retificação dessas conclusões com o fundamento de que apresentavam de forma inexata a posição que expressara tanto nas suas observações escritas como orais e continham erros de ordem factual.

35 Com efeito, segundo este governo, por um lado, o n.° 50 das conclusões do advogado‑geral, lido em conjugação com a respetiva nota de rodapé 14, dá a entender que, segundo o referido governo, uma tentativa de acesso aos dados contidos num telemóvel, como a que está em causa no processo principal, não pode constituir um tratamento de dados pessoais, na aceção do artigo 3.°, ponto 2, da Diretiva 2016/680. Ora, o mesmo governo sustentou o contrário, na audiência no Tribunal de Justiça, aderindo expressamente à posição manifestada pela Comissão nas suas observações escritas, segundo a qual resulta de uma interpretação sistemática dessa diretiva, lida à luz dos seus objetivos, que esta rege não só os tratamentos propriamente ditos mas também as operações efetuadas a montante destes, como uma tentativa de tratamento, sem que a aplicação da referida diretiva esteja subordinada à condição de essa tentativa de tratamento ter sido coroada de sucesso.

36 Por outro lado, o Governo Austríaco alega que o n.° 27 das conclusões do advogado‑geral assenta em factos errados, na medida em que dá a entender que as tentativas de tratamento mencionadas no n.° 22 do presente acórdão não foram documentadas no processo da polícia judiciária. A este respeito, esse governo precisa que, contrariamente ao que resulta desse n.° 27 e do pedido de decisão prejudicial, expôs, nas suas observações escritas, que essas tentativas de tratamento tinham sido consignadas em dois relatórios elaborados pelos agentes da polícia encarregados do inquérito no processo principal e que esses relatórios tinham, em seguida, sido juntos aos autos do Ministério Público.

37 Por Decisão do Presidente do Tribunal de Justiça de 23 de maio de 2023, o pedido do Governo Austríaco de retificação das conclusões do advogado‑geral foi requalificado como um pedido de reabertura da fase oral do processo, na aceção do artigo 83.° do Regulamento de Processo.

38 A esse respeito, há que lembrar, por um lado, que o Estatuto do Tribunal de Justiça da União Europeia e o Regulamento de Processo não preveem a possibilidade de os interessados referidos no artigo 23.° do referido estatuto apresentarem observações em resposta às conclusões apresentadas pelo advogado‑geral. Por outro lado, nos termos do artigo 252.°, segundo parágrafo, TFUE, cabe ao advogado‑geral apresentar publicamente, com toda a imparcialidade e independência, conclusões fundamentadas sobre as causas que, nos termos do Estatuto do Tribunal de Justiça da União Europeia, requeiram a sua intervenção. O Tribunal de Justiça não está vinculado por essas conclusões nem pela fundamentação em que o advogado‑geral as baseia. Por conseguinte, o desacordo de uma parte com as conclusões do advogado‑geral, sejam quais forem as questões que este último examina nas suas conclusões, não constitui, em si mesmo, um fundamento justificativo da reabertura da fase oral do processo (Acórdão de 14 de março de 2024, Achmea, C‑284/22, EU:C:2024:226, n.° 25 e jurisprudência referida).

39 É certo que, de acordo com o disposto no artigo 83.° do seu Regulamento de Processo, o Tribunal de Justiça pode, a qualquer momento, ouvido o advogado‑geral, ordenar a reabertura da fase oral do processo, designadamente se considerar que não está suficientemente esclarecido, ou quando, após o encerramento dessa fase, uma parte invocar um facto novo que possa ter influência determinante na decisão do Tribunal, ou ainda quando o processo deva ser resolvido com base num argumento que ainda não foi debatido.

40 Contudo, no caso, o Tribunal de Justiça considera que dispõe, no termo da fase escrita do processo e da audiência realizada perante si, de todos os elementos necessários para se pronunciar sobre o presente pedido de decisão prejudicial. Além disso, os elementos invocados pelo Governo Austríaco em apoio do seu pedido de reabertura da fase oral do processo não constituem factos novos suscetíveis de ter influência decisiva na decisão que é chamado a proferir no presente processo.

41 No que respeita, mais especificamente, aos elementos de ordem factual referidos no n.° 36 do presente acórdão, há que lembrar que, em sede de processo prejudicial, não cabe ao Tribunal de Justiça determinar se os factos alegados estão provados, mas unicamente proceder à interpretação das disposições relevantes do direito da União (v., neste sentido, Acórdão de 31 de janeiro de 2023, Puig Gordi e o., C‑158/21, EU:C:2023:57, n.° 36). Com efeito, segundo jurisprudência constante do Tribunal de Justiça, as questões relativas à interpretação do direito da União são submetidas pelo juiz nacional no quadro regulamentar e factual que este define sob a sua responsabilidade, e cuja exatidão não compete ao Tribunal de Justiça verificar [v., neste sentido, Acórdão de 18 de junho de 2024, Bundesrepublik Deutschland (Efeito de uma decisão de concessão do estatuto de refugiado), C‑753/22, EU:C:2024:524, n.° 44 e jurisprudência referida].

42 Nestas condições, o Tribunal de Justiça, ouvido o advogado‑geral, considera que não há que ordenar a reabertura da fase oral do processo.

Quanto à admissibilidade do pedido de decisão prejudicial

43 Várias partes interessadas que apresentaram observações escritas no presente processo contestaram a admissibilidade do pedido de decisão prejudicial na íntegra ou de algumas das questões submetidas pelo órgão jurisdicional de reenvio.

44 Em primeiro lugar, os Governos Austríaco, Francês e Sueco alegam que a decisão de reenvio não cumpre as exigências previstas no artigo 94.° do Regulamento de Processo, uma vez que não contém os elementos de facto e de direito necessários para dar uma resposta útil a esse órgão jurisdicional.

45 Em segundo lugar, o Governo Austríaco sustenta, por um lado, que, com a sua segunda e terceira questões prejudiciais, o órgão jurisdicional de reenvio pretende, no essencial, saber se as disposições conjugadas dos artigos 18.° e 99.° do StPO são conformes com o direito da União. Ora, uma vez que estas disposições não fixam as condições em que deve ser efetuada a exploração de suportes de dados apreendidos, estas questões não têm qualquer relação com o objeto do litígio no processo principal. Alega, por outro lado, que, por força do direito austríaco, é necessário um despacho do Ministério Público para proceder à apreensão de um telemóvel ou para tentar aceder a dados contidos nesse telefone. Por conseguinte, esse órgão jurisdicional deve declarar uma violação do direito austríaco, pelo que as questões submetidas pelo referido órgão jurisdicional não são necessárias para a decisão desta causa e, portanto, não há que decidir sobre o pedido de decisão prejudicial.

46 A título preliminar, há que lembrar que, segundo jurisprudência constante, no âmbito da cooperação entre o Tribunal de Justiça e os órgãos jurisdicionais nacionais instituída pelo artigo 267.° TFUE, cabe unicamente ao juiz nacional, a quem foi submetido o processo e que deve assumir a responsabilidade pela decisão judicial a tomar, apreciar, tendo em conta as especificidades do processo, tanto a necessidade de uma decisão prejudicial para poder proferir a sua decisão como a pertinência das questões que submete ao Tribunal de Justiça. Consequentemente, desde que as questões submetidas sejam relativas à interpretação do direito da União, o Tribunal de Justiça é, em princípio, obrigado a pronunciar‑se (Acórdão de 24 de julho de 2023, Lin, C‑107/23 PPU, EU:C:2023:606, n.° 61 e jurisprudência referida).

47 Daí resulta que as questões relativas ao direito da União gozam de uma presunção de pertinência. O Tribunal de Justiça só pode recusar pronunciar‑se sobre uma questão prejudicial submetida por um órgão jurisdicional nacional quando for manifesto que a interpretação do direito da União solicitada não tem nenhuma relação com a realidade ou com o objeto do litígio no processo principal, quando o problema for hipotético ou ainda quando o Tribunal não dispuser dos elementos de facto e de direito necessários para dar uma resposta útil às questões que lhe são submetidas (Acórdão de 24 de julho de 2023, Lin, C‑107/23 PPU, EU:C:2023:606, n.° 62 e jurisprudência referida).

48 No que respeita, em primeiro lugar, ao argumento relativo à inobservância das exigências previstas no artigo 94.° do Regulamento de Processo, refira‑se que, segundo jurisprudência constante, atualmente refletida nesse artigo 94.°, alíneas a) e b), a necessidade de se chegar a uma interpretação do direito da União que seja útil ao órgão jurisdicional nacional exige que este defina o quadro factual e regulamentar em que se inserem as questões que submete ou que, pelo menos, explique as hipóteses factuais em que assentam essas questões. Além disso, é indispensável, como enuncia o referido artigo 94.°, alínea c), que o pedido de decisão prejudicial contenha uma exposição das razões que levaram o órgão jurisdicional de reenvio a interrogar‑se sobre a interpretação ou a validade de certas disposições do direito da União, bem como o nexo que esse órgão estabelece entre essas disposições e a regulamentação nacional aplicável ao litígio no processo principal (Acórdão de 21 de dezembro de 2023, European Superleague Company, C‑333/21, EU:C:2023:1011, n.° 59 e jurisprudência referida).

49 No caso, no que respeita ao quadro factual, o órgão jurisdicional de reenvio especificou, no seu pedido de decisão prejudicial, que as autoridades policiais austríacas, após terem apreendido o telemóvel de CG no âmbito de uma investigação policial em matéria de tráfico de estupefacientes, tentaram, por duas vezes, ter acesso aos dados contidos nesse telefone, por sua própria iniciativa, sem disporem de autorização prévia do Ministério Público ou de um juiz para esse efeito. Especificou ainda que CG apenas tinha tomado conhecimento das tentativas de acesso aos dados contidos no seu telemóvel no momento em que ouviu o depoimento de um agente da polícia. Por último, indicou que essas tentativas de acesso também não tinham sido documentadas no processo constituído pela Polícia Judiciária.

50 No que respeita ao quadro regulamentar, esse órgão jurisdicional especificou que as disposições nacionais que mencionou na decisão de reenvio permitiam uma tentativa de acesso aos dados contidos num telemóvel para efeitos de prevenção, de investigação, de deteção e de repressão de infrações penais, sem limitar essa possibilidade apenas para efeitos de luta contra a criminalidade grave, sem submeter essa tentativa de acesso a uma fiscalização prévia por um juiz ou por uma entidade administrativa independente e sem prever que as pessoas em causa sejam informadas da referida tentativa, com vista, nomeadamente, a poderem opor‑se à mesma através da interposição de recurso judicial.

51 Além disso, o referido órgão jurisdicional especificou, como resulta dos n.os 26 a 29 do presente acórdão, as razões que o levaram a apresentar o seu pedido de decisão prejudicial ao Tribunal de Justiça e o nexo que, em seu entender, existe entre as disposições do direito da União e da Carta visadas por esse pedido e as disposições do direito austríaco aplicáveis, em seu entender, ao litígio no processo principal.

52 Os elementos referidos nos n.os 49 a 51 do presente acórdão permitem assim considerar que o pedido de decisão prejudicial cumpre os requisitos previstos no artigo 94.° do Regulamento de Processo.

53 Em segundo lugar, no que respeita aos argumentos relativos ao facto de as disposições do direito austríaco referidas na segunda e terceira questões prejudiciais não serem pertinentes e de o órgão jurisdicional de reenvio dever ter declarado uma violação desse direito, importa recordar que não cabe ao Tribunal de Justiça pronunciar‑se sobre a interpretação das disposições nacionais nem decidir se é correta a interpretação ou a aplicação que delas faz o julgador nacional, sendo essa interpretação da competência exclusiva deste último [Acórdão de 15 de junho de 2023, Getin Noble Bank (Suspensão da execução de um contrato de crédito), C‑287/22, EU:C:2023:491, n.° 32 e jurisprudência referida].

54 No caso, resulta do pedido de decisão prejudicial e, em especial, da redação das questões prejudiciais, que o órgão jurisdicional de reenvio considera, por um lado, que estas disposições do direito austríaco são aplicáveis ao litígio no processo principal e, por outro, que o direito austríaco permite uma tentativa de acesso aos dados contidos num telemóvel, sem autorização prévia do Ministério Público ou de um juiz, como a que está em causa no processo principal. De acordo com a jurisprudência referida no número anterior do presente acórdão, não cabe ao Tribunal de Justiça pronunciar‑se sobre essa interpretação das referidas disposições.

55 Daí resulta que as questões submetidas pelo órgão jurisdicional de reenvio são admissíveis.

Quanto ao mérito

56 O Governo Austríaco alega, nas suas observações escritas, que o Tribunal de Justiça não é competente para responder às primeira e segunda questões prejudiciais, uma vez que estas questões têm por objeto a interpretação dos artigos 5.° e 15.°, n.° 1, da Diretiva 2002/58, quando é manifesto que esta diretiva não se aplica ao litígio no processo principal. Na audiência, vários governos sustentaram que não era possível uma reformulação das questões prejudiciais à luz da Diretiva 2016/680. Em especial, o Governo Austríaco sublinhou que o facto de esta última diretiva não conter disposições equivalentes aos artigos 5.° e 15.°, n.° 1, da Diretiva 2002/58 se opunha a essa reformulação. O Governo Francês sustentou, por seu turno, que o poder de reformulação das questões prejudiciais encontrava um dos seus limites no direito de os Estados‑Membros apresentarem observações escritas. Com efeito, segundo este último governo, esse direito ficaria privado de qualquer efetividade se o quadro jurídico do processo pudesse ser radicalmente alterado na reformulação das questões prejudiciais pelo Tribunal de Justiça.

57 A este respeito, há que lembrar que o Tribunal de Justiça já declarou, baseando‑se, em especial, no artigo 1.°, n.os 1 e 3, e no artigo 3.° da Diretiva 2002/58, que, quando os Estados‑Membros aplicam diretamente medidas derrogatórias da confidencialidade das comunicações eletrónicas, sem impor obrigações de tratamento aos prestadores de serviços dessas comunicações, a proteção dos dados das pessoas em causa não é abrangida pela Diretiva 2002/58, mas apenas pelo direito nacional, sem prejuízo da aplicação da Diretiva 2016/680 (Acórdãos de 6 de outubro de 2020, Privacy International, C‑623/17, EU:C:2020:790, n.° 48, e de 6 de outubro de 2020, La Quadrature du Net e o., C‑511/18, C‑512/18 e C‑520/18, EU:C:2020:791, n.° 103).

58 Ora, está assente que o litígio no processo principal diz respeito à tentativa de acesso a dados pessoais contidos num telemóvel diretamente pelas autoridades policiais, sem que tenha sido pedida qualquer intervenção de um prestador de serviços de comunicações eletrónicas.

59 Por conseguinte, é manifesto que este litígio não pertence ao âmbito de aplicação da Diretiva 2002/58, referida nas primeira e segunda questões prejudiciais.

60 Há que lembrar, porém que, de acordo com jurisprudência constante, no âmbito da cooperação entre os tribunais nacionais e o Tribunal de Justiça instituída pelo artigo 267.° TFUE, cabe a este dar ao julgador nacional uma resposta útil que lhe permita decidir a causa que lhe está submetida. Nesta ótica, incumbe ao Tribunal de Justiça, se necessário, reformular as questões que lhe são submetidas. Além disso, o Tribunal de Justiça pode ser levado a tomar em consideração normas do direito da União às quais o julgador nacional não tenha feito referência no enunciado das suas questões [Acórdãos de 15 de julho de 2021, Ministrstvo za obrambo, C‑742/19, EU:C:2021:597, n.° 31 e jurisprudência referida, e de 18 de junho de 2024, Generalstaatsanwaltschaft Hamm (Pedido de extradição de um refugiado para a Turquia), C‑352/22, EU:C:2024:521, n.° 47].

61 Com efeito, o facto de, no plano formal, um tribunal nacional ter formulado uma questão prejudicial com base em certas disposições do direito da União não obsta a que o Tribunal de Justiça forneça a esse tribunal todos os elementos de interpretação que possam ser úteis para a decisão do processo que lhe foi submetido, independentemente de esse tribunal lhes ter feito referência ou não no enunciado das suas questões. A este respeito, cabe ao Tribunal de Justiça extrair do conjunto dos elementos fornecidos pelo órgão jurisdicional nacional, designadamente da fundamentação da decisão de reenvio, os elementos do direito da União que requerem uma interpretação, tendo em conta o objeto do litígio (Acórdão de 22 de junho de 2022, Volvo e DAF Trucks, C‑267/20, EU:C:2022:494, n.° 28 e jurisprudência referida).

62 É certo que, segundo jurisprudência constante, as informações fornecidas na decisão de reenvio devem não só permitir ao Tribunal de Justiça dar respostas úteis mas também dar aos Governos dos Estados‑Membros e às outras partes interessadas a possibilidade de apresentarem observações, de acordo com o artigo 23.° do Estatuto do Tribunal de Justiça da União Europeia (Acórdão de 21 de dezembro de 2023, Royal Antwerp Football Club, C‑680/21, EU:C:2023:1010, n.° 32 e jurisprudência referida).

63 Todavia, como resulta dos n.os 31 a 33 do presente acórdão, em resposta ao pedido de informações dirigido pelo Tribunal de Justiça ao órgão jurisdicional de reenvio, este indicou que a Diretiva 2016/680 era aplicável ao litígio no processo principal. As partes interessadas puderam, nas suas observações escritas, tomar posição sobre a interpretação desta diretiva e sobre a sua relevância para o processo principal. Além disso, tendo em vista a audiência de alegações, o Tribunal de Justiça pediu aos participantes na fase oral do processo que respondessem, nessa audiência, a determinadas questões relativas à referida diretiva. Em particular, convidou‑as a tomar posição sobre a relevância do seu artigo 4.° para responder à primeira questão prejudicial, e dos artigos 13.° e 54.° da mesma diretiva, para responder à terceira questão prejudicial.

64 Por conseguinte, o facto de as primeira e segunda questões prejudiciais incidirem sobre a interpretação dos artigos 5.° e 15.°, n.° 1, da Diretiva 2002/58 e não sobre a Diretiva 2016/680, não obsta à reformulação das questões submetidas pelo órgão jurisdicional de reenvio à luz das disposições relevantes, para o presente processo, desta última diretiva e, por conseguinte, à competência do Tribunal de Justiça para responder a essas questões.

65 Esta conclusão não é posta em causa pelo argumento da Irlanda e dos Governos Francês e Norueguês de que uma tentativa de acesso a dados pessoais não pertence ao âmbito de aplicação da Diretiva 2016/680, uma vez que esta só se aplica aos tratamentos efetivamente realizados.

66 Estes governos alegam, a este respeito, que a interpretação das disposições dessa diretiva não é útil para a decisão da causa principal, tal como a interpretação da Carta, na medida em que esta só é aplicável quando os Estados‑Membros aplicam o direito da União.

67 Contudo, quando não for manifesto que a interpretação de um ato de direito da União não tem nenhuma relação com a realidade ou com o objeto do litígio no processo principal, como é o caso da Diretiva 2016/680 no caso presente, a objeção de inaplicabilidade desse ato ao processo principal pertence ao mérito das questões (v., por analogia, Acórdão de 24 de julho de 2023, Lin, C‑107/23 PPU, EU:C:2023:606, n.° 66 e jurisprudência referida).

68 Assim, antes de mais, há que examinar se uma tentativa de acesso das autoridades policiais aos dados contidos num telemóvel pertence ao âmbito de aplicação material dessa diretiva.

Quanto à aplicação da Diretiva 2016/680 a uma tentativa de acesso aos dados contidos num telemóvel

69 O artigo 2.°, n.° 1, da Diretiva 2016/680 define o seu âmbito de aplicação material. Segundo essa disposição, essa diretiva «aplica‑se ao tratamento de dados pessoais pelas autoridades competentes para os efeitos estabelecidos no [seu] artigo 1.°, n.° 1», nomeadamente, «de prevenção, investigação, deteção ou repressão de infrações penais».

70 O artigo 3.°, ponto 2, dessa diretiva define o conceito de «tratamento» no sentido de que abrange «uma operação ou um conjunto de operações efetuadas sobre dados pessoais ou sobre conjuntos de dados pessoais, por meios automatizados ou não automatizados, tais como a [...] a recuperação, a consulta» ou ainda «a [...] difusão ou [...] qualquer outra forma de disponibilização [...]».

71 Resulta assim da própria redação do artigo 3.°, ponto 2, da Diretiva 2016/680, nomeadamente da utilização das expressões «uma operação», «um conjunto de operações» e «qualquer outra forma de disponibilização» que o legislador da União pretendeu dar um alcance amplo ao conceito de «tratamento» e, portanto, ao âmbito de aplicação material dessa diretiva. Esta interpretação é corroborada pelo caráter não taxativo, expresso pela locução «tais como», das operações mencionadas na referida disposição [Acórdão de 24 de fevereiro de 2022, Valsts ieņēmumu dienests (Tratamento de dados pessoais para efeitos fiscais) (C‑175/20, EU:C:2022:124, n.° 35].

72 Estes elementos textuais advogam, assim, a favor de uma interpretação no sentido de que, quando as autoridades policiais apreendem um telefone e o manipulam para fins de extração e de consulta dos dados pessoais contidos nesse telefone, iniciam um tratamento, na aceção do artigo 3.°, ponto 2, da Diretiva 2016/680, mesmo que não consigam, por razões técnicas, aceder a esses dados.

73 Esta interpretação é confirmada pelo contexto em que se inscreve o artigo 3.°, ponto 2, da Diretiva 2016/680. Com efeito, nos termos do artigo 4.°, n.° 1, alínea b), dessa diretiva, os Estados‑Membros estabelecerão que os dados pessoais serão recolhidos para finalidades determinadas, explícitas e legítimas e não tratados de uma forma incompatível com essas finalidades. Esta última disposição consagra o princípio da limitação das finalidades [v., neste sentido, Acórdão de 26 de janeiro de 2023, Ministerstvo na vatreshnite raboti (Registo de dados biométricos e genéticos pela polícia), C‑205/21, EU:C:2023:49, n.° 122]. Ora, a efetividade deste princípio exige necessariamente que a finalidade da recolha seja determinada logo na fase em que as autoridades competentes tentam aceder a dados pessoais, uma vez que tal tentativa, se for frutuosa, é suscetível de lhes permitir, nomeadamente, recolher, extrair ou consultar imediatamente os dados em causa.

74 Quanto aos seus objetivos, a Diretiva 2016/680 visa, nomeadamente, como resulta dos seus considerandos 4, 7 e 15, assegurar um elevado nível de proteção dos dados pessoais das pessoas singulares.

75 Ora, este objetivo seria posto em causa se uma tentativa de acesso a dados pessoais contidos num telemóvel não pudesse ser qualificada de «tratamento» desses dados. Com efeito, uma interpretação da Diretiva 2016/680 nesse sentido exporia as pessoas afetadas por tal tentativa de acesso a um risco significativo de já não se poder evitar uma violação dos princípios estabelecidos por esta diretiva.

76 Refira‑se ainda que esta interpretação é conforme com o princípio da segurança jurídica, que, de acordo com a jurisprudência constante do Tribunal de Justiça, exige que a aplicação das normas jurídicas seja previsível para os sujeitos de direito, em especial quando puderem ter consequências desfavoráveis (Acórdão de 27 de junho de 2024, Gestore dei Servizi Energetici, C‑148/23, EU:C:2024:555, n.° 42 e jurisprudência referida). Com efeito, uma interpretação no sentido de a aplicabilidade da Diretiva 2016/680 depender do sucesso da tentativa de acesso a dados pessoais contidos num telemóvel criaria tanto nas autoridades nacionais competentes como nos particulares uma incerteza incompatível com esse princípio.

77 Resulta do exposto que uma tentativa de acesso das autoridades policiais aos dados contidos num telemóvel, para efeitos de uma investigação em matéria penal como a que está em causa no processo principal, faz parte, como considerou o advogado‑geral no n.° 53 das suas conclusões, do âmbito de aplicação da Diretiva 2016/680.

Quanto às primeira e segunda questões

78 O órgão jurisdicional de reenvio referiu expressamente, nas suas primeira e segunda questões, por um lado, o artigo 15.°, n.° 1, da Diretiva 2002/58, que exige, nomeadamente, que as medidas legislativas cuja adoção pelos Estados‑Membros permite, limitando o alcance dos direitos e obrigações previstos em várias disposições dessa diretiva, constituam uma medida necessária, adequada e proporcionada numa sociedade democrática para salvaguardar a segurança nacional — ou seja, a segurança do Estado — a defesa e a segurança pública, ou prevenir, investigar, detetar e reprimir infrações penais ou utilizações não autorizadas do sistema de comunicações eletrónicas, e, por outro, o artigo 52.°, n.° 1, da Carta, que consagra o princípio da proporcionalidade no contexto da restrição ao exercício dos direitos e liberdades reconhecidos pela Carta.

79 Ora, nos termos do artigo 4.°, n.° 1, alínea c), da referida diretiva, os Estados‑Membros devem prever que os dados pessoais sejam adequados, pertinentes e limitados ao mínimo necessário relativamente às finalidades para as quais são tratados. Esta disposição exige, assim, o respeito, pelos Estados‑Membros, do princípio da «minimização dos dados», que dá expressão a este princípio da proporcionalidade (Acórdão de 30 de janeiro de 2024, Direktor na Glavna direktsia «Natsionalna politsia» pri MVR — Sofia, C‑118/22, EU:C:2024:97, n.° 41 e jurisprudência referida).

80 Daí resulta que, nomeadamente, a recolha de dados pessoais no âmbito de um processo penal e a sua conservação pelas autoridades policiais, para os efeitos enunciados no artigo 1.°, n.° 1, da referida diretiva, devem respeitar, como qualquer tratamento abrangido pelo seu âmbito de aplicação, este último princípio (Acórdão de 30 de janeiro de 2024, Direktor na Glavna direktsia «Natsionalna politsia» pri MVR — Sofia, C‑118/22, EU:C:2024:97, n.° 42 e jurisprudência referida).

81 Assim, há que considerar que, com a sua primeira e segunda questões, a examinar em conjunto, o órgão jurisdicional de reenvio pergunta, em substância, se o artigo 4.°, n.° 1, alínea c), da Diretiva 2016/680, lido à luz dos artigos 7.°, 8.° e 52.°, n.° 1, da Carta, se opõe a uma regulamentação nacional que concede às autoridades competentes a possibilidade de acederem aos dados contidos num telemóvel, para efeitos de prevenção, de investigação, de deteção e de repressão de infrações penais em geral e que não sujeita o exercício dessa possibilidade a uma fiscalização prévia por um juiz ou uma entidade administrativa independente.

82 A título preliminar, refira‑se que, como resulta dos seus considerandos 2 e 4, a Diretiva 2016/680, não deixando de instituir um quadro para a proteção dos dados pessoais sólido e coerente para assegurar o respeito do direito fundamental da proteção das pessoas singulares no tratamento dos seus dados pessoais, reconhecido no artigo 8.°, n.° 1, da Carta e no artigo 16.°, n.° 1, TFUE, visa contribuir para a realização de um espaço de liberdade, de segurança e de justiça na União [v., neste sentido, Acórdão de 25 de fevereiro de 2021, Comissão/Espanha (Diretiva dados pessoais) — Domínio penal), C‑658/19, EU:C:2021:138, n.° 75].

83 Para este efeito, a Diretiva 2016/680 visa, nomeadamente, como se refere no n.° 74 do presente acórdão, assegurar um elevado nível de proteção dos dados pessoais das pessoas singulares.

84 A este respeito, importa recordar que, como salienta o considerando 104 da Diretiva 2016/680, as limitações que esta diretiva permite introduzir no direito à proteção dos dados pessoais, previsto no artigo 8.° da Carta, bem como no direito ao respeito pela vida privada e familiar, protegido pelo artigo 7.° dessa Carta, devem ser interpretadas de acordo com as exigências do seu artigo 52.°, n.° 1, as quais incluem o respeito do princípio da proporcionalidade (v., neste sentido, acórdão de 30 de janeiro de 2024, Direktor na Glavna direktsia «Natsionalna politsia» pri MVR — Sofia, C‑118/22, EU:C:2024:97, n.° 33).

85 Com efeito, estes direitos fundamentais não são prerrogativas absolutas, devendo ser tomados em consideração relativamente à sua função na sociedade e ser ponderados com outros direitos fundamentais. Qualquer restrição ao exercício destes direitos fundamentais deve, de acordo com o artigo 52.°, n.° 1, da Carta, ser prevista por lei e respeitar o conteúdo essencial dos referidos direitos fundamentais e o princípio da proporcionalidade. Por força deste último princípio, só podem ser introduzidas restrições se forem necessárias e corresponderem efetivamente a objetivos de interesse geral reconhecidos pela União ou à necessidade de proteção dos direitos e liberdades de terceiros. Devem ocorrer na estrita medida do necessário e a regulamentação que preveja as restrições em causa deve prever regras claras e precisas que regulem o alcance e a aplicação dessas restrições (Acórdão de 30 de janeiro de 2024, Direktor na Glavna direktsia «Natsionalna politsia» pri MVR — Sofia, C‑118/22, EU:C:2024:97, n.° 39 e jurisprudência referida).

86 No que respeita, em primeiro lugar, ao objetivo de interesse geral suscetível de justificar uma restrição ao exercício dos direitos fundamentais consagrados nos artigos 7.° e 8.° da Carta, como a que decorre da regulamentação em causa no processo principal, importa sublinhar que se deve considerar que um tratamento de dados pessoais, como uma tentativa de acesso aos dados contidos num telemóvel, no âmbito de uma investigação policial que visa a repressão de uma infração penal responde efetivamente, em princípio, a um objetivo de interesse geral reconhecido pela União, na aceção do artigo 52.°, n.° 1, da Carta.

87 No que respeita, em segundo lugar, ao requisito do caráter necessário dessa limitação, como sublinha, em substância, o considerando 26 da Diretiva 2016/680, esse requisito não está preenchido quando o objetivo de interesse geral visado possa ser razoavelmente alcançado de forma igualmente eficaz por outros meios, menos atentatórios dos direitos fundamentais das pessoas em causa (v., neste sentido, acórdão de 30 de janeiro de 2024, Direktor na Glavna direktsia «Natsionalna politsia» pri MVR — Sofia, C‑118/22, EU:C:2024:97, n.° 40 e jurisprudência referida).

88 Em contrapartida, o requisito da necessidade está preenchido quando o objetivo prosseguido pelo tratamento de dados em causa não possa ser razoavelmente alcançado de forma igualmente eficaz através de outros meios menos atentatórios dos direitos fundamentais das pessoas em causa, em especial dos direitos ao respeito pela vida privada e familiar e à proteção dos dados pessoais garantidos pelos artigos 7.° e 8.° da Carta [Acórdão de 26 de janeiro de 2023, Ministerstvo na vatreshnite raboti (Registo de dados biométricos e genéticos pela polícia), C‑205/21, EU:C:2023:49, n.° 126 e jurisprudência referida].

89 No que respeita, em terceiro lugar, ao caráter proporcionado da restrição ao exercício dos direitos garantidos nos artigos 7.° e 8.° da Carta, que decorrem desses tratamentos, este implica uma ponderação de todos os elementos relevantes do caso concreto (v., neste sentido, acórdão de 30 de janeiro de 2024, Direktor na Glavna direktsia «Natsionalna politsia» pri MVR — Sofia, C‑118/22, EU:C:2024:97, n.os 62 e 63 e jurisprudência referida).

90 Inserem‑se, nomeadamente, nesses elementos, a gravidade dessa restrição introduzida ao exercício dos direitos fundamentais em causa, que depende da natureza e da sensibilidade dos dados a que as autoridades policiais competentes podem ter acesso, a importância do objetivo de interesse geral prosseguido por essa restrição, a relação existente entre o dono do telemóvel e a infração penal em causa ou ainda a relevância dos dados em causa para o apuramento dos factos.

91 Primeiro, no que respeita à gravidade da restrição dos direitos fundamentais resultante de uma regulamentação como a que está em causa no processo principal, resulta da decisão de reenvio que essa regulamentação permite às autoridades policiais competentes acederem, sem autorização prévia, aos dados contidos num telemóvel.

92 Esse acesso é suscetível de incidir, em função do conteúdo do telemóvel em causa e das escolhas feitas por essas autoridades policiais, não só sobre dados de tráfego e de localização mas também sobre fotografias e historial de navegação na Internet efetuada com esse telefone, ou mesmo sobre uma parte do conteúdo das comunicações efetuadas com o referido telefone, nomeadamente consultando as mensagens aí conservadas.

93 O acesso a todos esses dados pode permitir extrair conclusões muito precisas sobre a vida privada do titular dos dados, sejam hábitos da vida quotidiana, lugares onde se encontra de forma permanente ou temporária, deslocações diárias ou outras, atividades exercidas, relações sociais e os meios sociais frequentados.

94 Por último, não se pode excluir a possibilidade de os dados contidos num telemóvel incluírem dados particularmente sensíveis, como dados pessoais que revelem a origem racial ou étnica, as opiniões políticas e as convicções religiosas ou filosóficas, justificando essa sensibilidade a proteção específica que o artigo 10.° da Diretiva 2016/680 exige a seu respeito, que se estende também a dados que revelem indiretamente, no termo de uma operação intelectual de dedução ou de cruzamento, informações dessa natureza [v., por analogia, Acórdão de 5 de junho de 2023, Comissão/Polónia (Independência e vida privada dos juízes), C‑204/21, EU:C:2023:442, n.° 344].

95 A ingerência nos direitos fundamentais garantidos nos artigos 7.° e 8.° da Carta, à qual pode dar lugar a aplicação de uma regulamentação como a que está em causa no processo principal, deve, por conseguinte, ser considerada grave, ou mesmo particularmente grave.

96 Segundo, quanto à importância do objetivo prosseguido, importa sublinhar que a gravidade da infração objeto da investigação constitui um dos parâmetros centrais no exame da proporcionalidade da ingerência grave que constitui o acesso aos dados pessoais contidos num telemóvel e que permitem extrair conclusões precisas sobre a vida privada do titular dos dados.

97 Todavia, considerar que só a luta contra a criminalidade grave é suscetível de justificar o acesso a dados contidos num telemóvel limitaria os poderes de investigação das autoridades competentes, na aceção da Diretiva 2016/680, relativamente às infrações penais em geral. Daí resultaria um aumento do risco de impunidade para tais infrações, tendo em conta a importância que esses dados podem ter para os inquéritos penais. Assim, tal limitação violaria a natureza específica das missões desempenhadas por essas autoridades para os efeitos enunciados no artigo 1.°, n.° 1, dessa diretiva, destacada nos seus considerandos 10 e 11, e prejudicaria o objetivo de realização de um espaço de liberdade, de segurança e de justiça na União prosseguido por esta diretiva.

98 No entanto, estas considerações não prejudicam a necessidade, decorrente do artigo 52.°, n.° 1, da Carta, de qualquer restrição ao exercício de um direito fundamental ser «prevista por lei», necessidade essa que implica que a base legal que autoriza tal restrição defina o seu alcance de forma suficientemente clara e precisa [v., neste sentido, Acórdão de 26 de janeiro de 2023, Ministerstvo na vatreshnite raboti (Registo de dados biométricos e genéticos pela polícia), C‑205/21, EU:C:2023:49, n.° 65 e jurisprudência referida].

99 Para respeitar essa necessidade, cabe ao legislador nacional definir de forma suficientemente precisa os elementos a ter em conta, nomeadamente a natureza ou as categorias das infrações em causa.

100 Terceiro, no que respeita à relação entre o dono do telemóvel com a infração penal em causa e à relevância dos dados em causa para o apuramento dos factos, resulta do artigo 6.° da Diretiva 2016/680 que o conceito de «titular dos dados» abrange diferentes categorias de pessoas, a saber, em substância, as pessoas suspeitas, por motivos sérios, de terem cometido ou estar prestes a cometer uma infração penal, as pessoas que tenham sido condenadas por uma infração penal, as vítimas ou potenciais vítimas de tais infrações, bem como os terceiros numa infração penal que possam ser chamados a testemunhar em investigações relacionadas com infrações penais ou processos penais posteriores. Segundo este artigo, os Estados‑Membros devem prever que o responsável pelo tratamento estabeleça, se for caso disso e na medida do possível, uma distinção clara entre os dados pessoais dessas diferentes categorias de titulares de dados.

101 A este respeito, no que respeita, em especial, ao acesso a dados contidos no telemóvel da pessoa objeto de uma investigação penal, como no processo principal, é necessário que a existência de suspeitas razoáveis a seu respeito, no sentido de que cometeu, comete ou projeta cometer uma infração, ou ainda que esteja envolvida de uma maneira ou de outra nessa infração, seja sustentada por elementos objetivos e suficientes.

102 É, nomeadamente, para garantir que o princípio da proporcionalidade é respeitado em cada caso concreto, efetuando uma ponderação de todos os elementos relevantes, que é essencial que, quando o acesso das autoridades nacionais competentes aos dados pessoais gera o risco de uma ingerência grave, ou mesmo particularmente grave, nos direitos fundamentais do titular dos dados, esse acesso esteja subordinado a uma fiscalização prévia efetuada por um órgão jurisdicional ou por uma entidade administrativa independente.

103 Esse controlo prévio exige que o tribunal jurisdicional ou a entidade administrativa independente responsável por ele disponha de todas as atribuições e apresente todas as garantias necessárias com vista a assegurar uma conciliação dos diferentes interesses legítimos e direitos em causa. No que respeita mais especificamente a um inquérito penal, tal fiscalização exige que esse tribunal ou essa entidade possa assegurar um justo equilíbrio entre, por um lado, os interesses legítimos ligados às necessidades do inquérito no âmbito da luta contra a criminalidade e, por outro, os direitos fundamentais ao respeito da vida privada e à proteção dos dados pessoais das pessoas às quais o acesso diz respeito.

104 Esse controlo independente, numa situação como a referida no n.° 102 do presente acórdão, deve ocorrer antes de qualquer tentativa de acesso aos dados em causa, exceto em caso de urgência devidamente justificada, caso em que essa fiscalização deve ocorrer em prazos curtos. Com efeito, um controlo posterior não permitiria responder ao objetivo do controlo prévio, que consiste em impedir que seja autorizado um acesso aos dados em causa que ultrapasse os limites do estritamente necessário.

105 Em particular, o tribunal ou a entidade administrativa independente, que intervém no âmbito de uma fiscalização prévia efetuada na sequência de um pedido de acesso fundamentado pertencente ao âmbito de aplicação da Diretiva 2016/680, deve estar habilitado a recusar ou a restringir esse acesso quando verifique que a ingerência nos direitos fundamentais constituída pelo referido acesso é desproporcionada tendo em conta todos os elementos relevantes.

106 Deve, assim, ser recusado ou restringido o acesso das autoridades policiais competentes aos dados contidos num telemóvel se, tendo em conta a gravidade da infração e as necessidades do inquérito, não se revelar justificado um acesso ao conteúdo das comunicações ou a dados sensíveis.

107 No que respeita, em particular, aos tratamentos de dados sensíveis, há que ter em conta as exigências impostas pelo artigo 10.° da Diretiva 2016/680, cuja finalidade é assegurar uma proteção acrescida relativamente a esses tratamentos que sejam suscetíveis de gerar, como resulta do considerando 37 da referida diretiva, riscos significativos para as liberdades e direitos fundamentais, como o direito ao respeito pela vida privada e o direito à proteção dos dados pessoais, garantidos pelos artigos 7.° e 8.° da Carta. Para este efeito, como resulta dos próprios termos do artigo 10.° da Diretiva 2016/10, a exigência de o tratamento desses dados só ser autorizado «se for estritamente necessário» deve ser interpretada no sentido de que define condições reforçadas de licitude do tratamento de dados sensíveis, à luz das que decorrem do artigo 4.°, n.° 1, alíneas b) e c), e do artigo 8.°, n.° 1, dessa diretiva, que se referem apenas à «necessidade» de um tratamento de dados pertencente, de forma geral, ao âmbito de aplicação da mesma diretiva [Acórdão de 26 de janeiro de 2023, Ministerstvo na vatreshnite raboti (Registo de dados biométricos e genéticos pela polícia), C‑205/21, EU:C:2023:49, n.os 116 e 117 e jurisprudência referida].

108 Assim, por um lado, a utilização do advérbio «só» antes da expressão «se for estritamente necessário» sublinha que o tratamento de categorias especiais de dados, na aceção do artigo 10.° da Diretiva 2016/680, só pode ser considerado necessário num número limitado de casos. Por outro lado, o caráter «absoluto» da necessidade de um tratamento de tais dados implica que essa necessidade seja apreciada de forma particularmente rigorosa [Acórdão de 26 de janeiro de 2023, Ministerstvo na vatreshnite raboti (Registo de dados biométricos e genéticos pela polícia), C‑205/21, EU:C:2023:49, n.° 118].

109 Ora, no caso, o órgão jurisdicional de reenvio indica que, num processo de inquérito penal, as autoridades policiais austríacas podem aceder aos dados contidos num telemóvel. Além disso, precisa que esse acesso não está sujeito, em princípio, à autorização prévia de um órgão jurisdicional ou de uma autoridade administrativa independente. Contudo, compete exclusivamente a esse órgão jurisdicional extrair no litígio no processo principal as consequências das precisões feitas, nomeadamente, nos n.os 102 a 108 do presente acórdão.

110 Resulta do exposto que há que responder à primeira e segunda questões que o artigo 4.°, n.° 1, alínea c), da Diretiva 2016/680, lido à luz dos artigos 7.°, 8.° e 52.°, n.° 1, da Carta, deve ser interpretado no sentido de que não se opõe a uma regulamentação nacional que concede às autoridades competentes a possibilidade de acederem aos dados contidos num telemóvel, para efeitos de prevenção, investigação, deteção e repressão de infrações penais em geral, se essa regulamentação:

– definir de forma suficientemente precisa a natureza ou as categorias das infrações em causa,

– garantir o respeito do princípio da proporcionalidade e

– sujeitar o exercício desta possibilidade, salvo em casos de urgência devidamente justificados, a um controlo prévio de um juiz ou de uma entidade administrativa independente.

Quanto à terceira questão

111 Resulta da decisão de reenvio que, com a sua terceira questão, o órgão jurisdicional de reenvio pretende, no essencial, determinar se CG deveria ter sido informado das tentativas de acesso aos dados contidos no seu telemóvel para poder exercer o seu direito à ação garantido no artigo 47.° da Carta.

112 A este respeito, as disposições relevantes da Diretiva 2016/680 são, por um lado, o seu artigo 13.°, sob a epígrafe «Informações a facultar ou a fornecer ao titular dos dados», e, por outro, o artigo 54.° da referida diretiva, sob a epígrafe «Direito de intentar uma ação judicial contra um responsável pelo tratamento de dados ou um subcontratante».

113 Importa igualmente recordar, como salienta o considerando 104 da Diretiva 2016/680, que as restrições impostas por esta diretiva ao direito à ação e a um tribunal imparcial, protegido pelo artigo 47.° da Carta, devem ser interpretadas em conformidade com as exigências do seu artigo 52.°, n.° 1, que incluem o respeito do princípio da proporcionalidade.

114 Por conseguinte, há que considerar que, com a sua terceira questão, o órgão jurisdicional de reenvio pergunta, no essencial, se os artigos 13.° e 54.° da Diretiva 2016/680, lidos à luz do artigo 47.° e do artigo 52.°, n.° 1, da Carta, devem ser interpretados no sentido de que se opõem a uma legislação nacional que permite às autoridades competentes em matéria penal tentar aceder aos dados contidos num telemóvel sem informarem o titular dos dados.

115 Decorre do artigo 13.°, n.° 2, alínea d), da Diretiva 2016/680 que, além das informações referidas no n.° 1, tais como a identidade do responsável pelo tratamento, a finalidade desse tratamento e o direito de apresentar uma reclamação a uma autoridade de controlo, que devem ser disponibilizadas ao titular dos dados, os Estados‑Membros estabelecerão, por lei, que o responsável pelo tratamento fornece ao titular dos dados, a fim de lhe permitir exercer os seus direitos, se necessário, informações complementares, em especial quando os dados pessoais forem recolhidos sem o conhecimento desse titular.

116 O artigo 13.°, n.° 3, alíneas a) e b), da Diretiva 2016/680 autoriza, no entanto, o legislador nacional a limitar a prestação de informações ao titular dos dados nos termos do n.° 2, ou a não fornecer essas informações «se e enquanto tais medidas constituírem medidas necessárias e proporcionadas numa sociedade democrática, tendo devidamente em conta os direitos fundamentais e os interesses legítimos das pessoas singulares em causa», nomeadamente para «a fim de [...e]vitar prejudicar os inquéritos, as investigações ou os procedimentos oficiais ou judiciais» ou «[e]vitar prejudicar a prevenção, deteção, investigação ou repressão de infrações penais ou a execução de sanções penais».

117 Refira‑se, por último, que o artigo 54.° da Diretiva 2016/680, que dá expressão ao artigo 47.° da Carta, impõe aos Estados‑Membros que prevejam que, quando uma pessoa considerar que os seus direitos previstos nas disposições adotadas por força dessa diretiva foram violados por causa de um tratamento dos seus dados pessoais efetuado em violação dessas disposições, essa pessoa tem direito a intentar uma ação judicial.

118 Resulta da jurisprudência que o direito à ação judicial garantido pelo artigo 47.° da Carta pressupõe, em princípio, que o interessado possa conhecer os motivos em que se baseou a decisão tomada contra si, a fim de lhe permitir defender os seus direitos nas melhores condições possíveis e decidir com pleno conhecimento de causa se é útil recorrer ao juiz competente, bem como para dar a este último todas as condições para exercer o controlo da legalidade dessa decisão [Acórdão de 16 de novembro de 2023, Ligue des droits humains (Verificação do tratamento de dados pela autoridade de controlo), C‑333/22, EU:C:2023:874, n.° 58].

119 Embora esse direito não constitua uma prerrogativa absoluta e, de acordo com o artigo 52.°, n.° 1, da Carta, lhe possam ser introduzidas restrições, isso só é assim se essas restrições estiverem previstas por lei, respeitarem o conteúdo essencial dos direitos e liberdades em causa e, na observância do princípio da proporcionalidade, forem necessárias e corresponderem efetivamente a objetivos de interesse geral reconhecidos pela União ou à necessidade de proteção dos direitos e liberdades de terceiros [Acórdão de 16 de novembro de 2023, Ligue des droits humains (Verificação do tratamento de dados pela autoridade de controlo), C‑333/22, EU:C:2023:874, n.° 59].

120 Por conseguinte, decorre das disposições referidas nos n.os 115 a 119 do presente acórdão que cabe às autoridades nacionais competentes que tenham sido autorizadas por um juiz ou por uma entidade administrativa independente a aceder aos dados conservados informar os titulares dos dados, no âmbito dos processos nacionais aplicáveis, dos fundamentos dessa autorização, desde que isso não seja suscetível de comprometer as investigações levadas a cabo por essas autoridades, e disponibilizar‑lhes todas as informações referidas no n.° 1 do artigo 1.° da Diretiva 2016/680. Com efeito, essas informações são necessárias para permitir a esses titulares exercerem, nomeadamente, o direito a intentar a ação judicial, expressamente previsto no artigo 54.° da Diretiva 2016/680 [v., neste sentido, Acórdão de 17 de novembro de 2022, Spetsializirana prokuratura (Conservação dos dados de tráfego e da localização), C‑350/21, EU:C:2022:896, n.° 70 e jurisprudência referida].

121 Em contrapartida, uma regulamentação nacional que exclua, de modo geral, qualquer direito de obter tais informações não respeita o direito da União [v., neste sentido, Acórdão de 17 de novembro de 2022, Spetsializirana prokuratura (Conservação dos dados de tráfego e da localização), C‑350/21, EU:C:2022:896, n.° 71].

122 No caso, resulta da decisão de reenvio que CG sabia que o seu telemóvel tinha sido apreendido quando as autoridades de polícia austríacas tentaram em vão desbloqueá‑lo para acederem aos dados nele contidos. Nestas condições, não se afigura que informar CG de que essas autoridades iriam tentar aceder a esses dados fosse suscetível de prejudicar as investigações, pelo que deveria ter sido disso previamente informado.

123 Resulta do exposto que há que responder à terceira questão que os artigos 13.° e 54.° da Diretiva 2016/680, lidos à luz do artigo 47.° e do artigo 52.°, n.° 1, da Carta, devem ser interpretados no sentido de que se opõem a uma regulamentação nacional que autoriza as autoridades competentes a tentarem aceder a dados contidos num telemóvel sem informar o titular dos dados, no âmbito dos procedimentos nacionais aplicáveis, dos fundamentos da autorização de acesso a esses dados, emitida por um juiz ou por uma entidade administrativa independente, a partir do momento em que a comunicação dessa informação já não seja suscetível de comprometer a missão que incumbe a essas autoridades nos termos dessa diretiva.

Quanto às despesas

124 Revestindo o processo, quanto às partes na causa principal, a natureza de incidente suscitado perante o órgão jurisdicional de reenvio, compete a este decidir quanto às despesas. As despesas efetuadas pelas outras partes para a apresentação de observações ao Tribunal de Justiça não são reembolsáveis.

Pelos fundamentos expostos, o Tribunal de Justiça (Grande Secção) declara:

1) O artigo 4.°, n.° 1, alínea c), da Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, e à livre circulação desses dados, e que revoga a Decisão‑Quadro 2008/977/JAI do Conselho, em conjugação com os artigos 7.°, 8.° e 52.° da Carta dos Direitos Fundamentais da União Europeia,

deve ser interpretado no sentido de que:

não se opõe a uma regulamentação nacional que concede às autoridades competentes a possibilidade de acederem aos dados contidos num telemóvel, para efeitos de prevenção, investigação, deteção e repressão de infrações penais em geral, se essa regulamentação:

– definir de forma suficientemente precisa a natureza ou as categorias das infrações em causa,

– garantir o respeito do princípio da proporcionalidade e

– sujeitar o exercício desta possibilidade, salvo em casos de urgência devidamente justificados, a um controlo prévio de um juiz ou de uma entidade administrativa independente.

2) Os artigos 13.° e 54.° da Diretiva 2016/680, lidos à luz do artigo 47.° e do artigo 52.°, n.° 1, da Carta dos Direitos Fundamentais,

devem ser interpretados no sentido de que:

se opõem a uma regulamentação nacional que autoriza as autoridades competentes a tentarem aceder a dados contidos num telemóvel sem informar o titular dos dados, no âmbito dos procedimentos nacionais aplicáveis, dos fundamentos da autorização de acesso a esses dados, emitida por um juiz ou por uma entidade administrativa independente, a partir do momento em que a comunicação dessa informação já não seja suscetível de comprometer a missão que incumbe a essas autoridades nos termos dessa diretiva.

Assinaturas

* Língua do processo: alemão