Lei Orgânica n.º 4/2017

Lei Orgânica n.º 4/2017 intermédios do Serviço de Informações de Segurança (SIS) de 25 de agosto e do Serviço de Informações Estratégicas de Defesa (SIED). Aprova e regula o procedimento especial de acesso a dados de 3 — A conservação e transmissão pelos prestado- telecomunicações e Internet pelos oficiais de informações do res de serviços de comunicações eletrónicas dos dados Serviço de Informações de Segurança e do Serviço de Informa- tipificados nos números anteriores obedecem exclusiva- ções Estratégicas de Defesa e procede à segunda alteração à mente às finalidades previstas no n.º 1 do artigo 1.º e nos Lei n.º 62/2013, de 26 de agosto (Lei da Organização do Sistema artigos 3.º e 4.º Judiciário). 4 — A transmissão dos dados pelos prestadores de ser- A Assembleia da República decreta, nos termos da viços de comunicações eletrónicas às autoridades com- alínea c) do artigo 161.º da Constituição, a lei orgânica petentes do SIS e do SIED, nos termos do artigo 11.º, seguinte: só pode ser autorizada e ordenada por despacho judicial fundamentado de acordo com o procedimento estatuído Artigo 1.º na presente lei. Objeto Artigo 3.º 1 — A presente lei regula o procedimento especial de Acesso a dados de base e de localização de equipamento acesso a dados previamente armazenados pelos prestadores de serviços de comunicações eletrónicas que se mostrem Os oficiais de informações do SIS e do SIED podem ter estritamente necessários para a prossecução da atividade acesso a dados de base e de localização de equipamento de produção de informações pelo Sistema de Informações para efeitos de produção de informações necessárias à da República Portuguesa (SIRP) relacionadas com a segu- salvaguarda da defesa nacional, da segurança interna e da rança interna, a defesa, a segurança do Estado e a prevenção prevenção de atos de sabotagem, espionagem, terrorismo, da espionagem e do terrorismo, o qual é sujeito a acompa- proliferação de armas de destruição maciça e criminalidade nhamento do Ministério Público e controlo judicial. altamente organizada e no seu exclusivo âmbito. 2 — A presente lei procede ainda à segunda alteração à Lei n.º 62/2013, de 26 de agosto (Lei da Organização do Artigo 4.º Sistema Judiciário), alterada pela Lei n.º 40-A/2016, de Acesso a dados de tráfego 22 de dezembro, que a republicou. Os oficiais de informações do SIS e do SIED apenas Artigo 2.º podem ter acesso a dados de tráfego para efeitos de pro- dução de informações necessárias à prevenção de atos de Definições espionagem e do terrorismo. 1 — Para efeitos da presente lei, entende-se por: Artigo 5.º a) «Dados de telecomunicações», os registos ou infor- Comunicação ao Ministério Público e autorização judicial mação constantes de bancos de dados previamente arma- zenados pelos prestadores de serviços de comunicações 1 — O acesso dos oficiais de informações do SIS e do eletrónicas relativos à prestação de serviços telefónicos SIED a dados de telecomunicações e Internet no âmbito da acessíveis ao público e à rede de suporte à transferência, atividade de pesquisa depende de autorização judicial pré- entre pontos terminais da rede, de comunicações vocais, via e obrigatória, por uma formação das secções criminais serviços de mensagens e multimédia e de outras formas do Supremo Tribunal de Justiça, constituída nos termos de comunicação; do artigo 8.º, que garanta a ponderação da relevância dos b) «Dados de Internet», os registos ou informação cons- fundamentos do pedido e a salvaguarda dos direitos, liber- tantes de bancos de dados previamente armazenados pelos dades e garantias constitucionalmente previstos. prestadores de serviços de comunicações eletrónicas, relati- 2 — O processo de autorização de acesso aos dados é vos a sistemas de transmissão e a equipamentos de comutação sempre comunicado ao Procurador-Geral da República. ou encaminhamento que permitem o envio de sinais ou da- dos, quando não deem suporte a uma concreta comunicação. Artigo 6.º Admissibilidade do pedido 2 — Para efeitos da presente lei, no âmbito dos «dados de telecomunicações e Internet», consideram-se: 1 — O pedido só pode ser autorizado quando houver razões para crer que a diligência é necessária, adequada e a) «Dados de base», os dados para acesso à rede pelos proporcional, nos termos seguintes: utilizadores, compreendendo a identificação e morada destes, e o contrato de ligação à rede; a) Para a obtenção de informação sobre um alvo ou um b) «Dados de localização de equipamento», os dados intermediário determinado; ou tratados numa rede de comunicações eletrónicas ou no b) Para a obtenção de informação que seria muito difícil âmbito de um serviço de telecomunicações que indiquem a ou impossível de obter de outra forma ou em tempo útil posição geográfica do equipamento terminal de um serviço para responder a situação de urgência. de telecomunicações acessível ao público, quando não deem suporte a uma concreta comunicação; 2 — É proibida a interconexão em tempo real com as c) «Dados de tráfego», os dados tratados para efeitos do bases de dados dos operadores de telecomunicações e Inter- envio de uma comunicação através de uma rede de comu- net para o acesso direto em linha aos dados requeridos. 5048 Diário da República, 1.ª série — N.º 164 — 25 de agosto de 2017 Artigo 7.º 3 — Para efeitos da presente lei, consideram-se «me- didas pontuais de acesso» as providências de recolha de Penas agravadas dados, por transferência autorizada e controlada caso a 1 — Quem, violando a proibição de ingerência do pes- caso, com base numa suspeita concreta e individualizada, soal do SIRP na correspondência, nas telecomunicações e que não se prolongam no tempo, sendo a sua duração nos demais meios de comunicação, for condenado por qual- circunscrita, e que não se estendem à totalidade dos dados quer dos crimes especialmente previstos nos artigos 193.º, previamente armazenados pelos prestadores de serviços de 194.º e 384.º do Código Penal, aprovado pelo Decreto-Lei comunicações eletrónicas, não admitindo a aquisição de n.º 400/82, de 23 de setembro, nos artigos 6.º e 7.º da Lei informação em larga escala, por transferência integral dos n.º 109/2009, de 15 de setembro, e no artigo 44.º da Lei registos existentes, nem a ligação em tempo real às redes n.º 67/98, de 26 de outubro, alterada pela Lei n.º 103/2015, de comunicações eletrónicas. de 24 de agosto, é punido com a pena aplicável ao crime respetivo agravada de um terço nos seus limites mínimo Artigo 10.º e máximo. Apreciação judicial 2 — Aos membros do gabinete do Secretário-Geral do Sistema de Informações da República Portuguesa, 1 — A apreciação judicial da necessidade, adequação ao pessoal dirigente e ao demais pessoal do SIRP que e proporcionalidade do pedido, designadamente no que seja condenado por prática com dolo dos tipos de crime se refere à justa medida da espécie e da escala de infor- referidos no número anterior, pode o tribunal, ponderadas mação obtida, compreende a definição das categorias de as circunstâncias do caso concreto, aplicar na sentença a dados de telecomunicações e Internet a fornecer pelos operadores, segundo um juízo restritivo de proibição do pena acessória de demissão ou suspensão até cinco anos excesso que interdite o acesso indiscriminado a todos os do exercício de funções no SIRP, independentemente da dados de telecomunicações e Internet de um determinado medida disciplinar que ao caso for aplicável. cidadão, bem como a definição das condições de proteção do segredo profissional. Artigo 8.º 2 — O acesso dos oficiais de informações do SIS e do Controlo judicial e autorização prévia SIED a dados de tráfego só pode ser autorizado no quadro da produção de informações de prevenção da espionagem O controlo judicial e a autorização prévia do acesso e do terrorismo. dos oficiais de informações do SIS e do SIED a dados 3 — A decisão judicial de concessão ou de denegação de telecomunicações e Internet são efetuados por uma da autorização consta de despacho proferido no prazo má- formação das secções criminais do Supremo Tribunal de ximo de 48 horas, fundamentado com base em informações Justiça, constituída pelos presidentes das secções e por um claras e completas, nomeadamente quanto aos objetivos juiz designado pelo Conselho Superior da Magistratura, do processamento. de entre os mais antigos destas secções. 4 — Sem prejuízo do disposto no número anterior, em situações de urgência devidamente fundamentadas no Artigo 9.º pedido, o despacho previsto naquele número é proferido Iniciativa no prazo mais breve possível. 1 — O procedimento obrigatório e vinculado de autori- Artigo 11.º zação judicial prévia do acesso dos oficiais de informações Acesso aos dados autorizados do SIS e do SIED a dados de telecomunicações e Internet inicia-se com o pedido elaborado pelos diretores do SIS ou 1 — A transmissão diferida dos dados de telecomunica- do SIED, ou de quem os substitua em caso de ausência ou ções e Internet obtidos de acordo com o regime consagrado impedimento, enviado pelo Secretário-Geral do Sistema na presente lei processa-se mediante comunicação eletró- de Informações da República Portuguesa ao Presidente nica, com conhecimento da formação das secções criminais do Supremo Tribunal de Justiça, com conhecimento ao do Supremo Tribunal de Justiça prevista no artigo 8.º e ao Procurador-Geral da República. Procurador-Geral da República, nos termos das condições 2 — O pedido previsto no número anterior é apresentado técnicas e de segurança fixadas em portaria do Primeiro- por escrito, devendo ser fundamentado, de modo detalhado -Ministro e dos membros do governo responsáveis pelas e circunstanciado, e conter os seguintes elementos: áreas das comunicações e da cibersegurança, que devem observar um grau de codificação e proteção o mais elevado a) Indicação da ação operacional concreta a realizar e possível, de acordo com o estado da técnica ao momento das medidas pontuais de acesso requeridas; da transmissão, incluindo métodos de codificação, encrip- b) Factos que suportam o pedido, finalidades que o fun- tação ou outros adequados, sem prejuízo da observação dos damentam e razões que aconselham a adoção das medidas princípios e do cumprimento das regras relativos à quali- pontuais de acesso requeridas; dade e à salvaguarda da confidencialidade e da segurança c) Identificação da pessoa ou pessoas, caso sejam conhe- dos dados, previstos na Lei n.º 67/98, de 26 de outubro, cidas, envolvidas nos factos referidos na alínea anterior e alterada pela Lei n.º 103/2015, de 24 de agosto, e na Lei afetadas pelas medidas pontuais de acesso requeridas; n.º 41/2004, de 18 de agosto, alterada pela Lei n.º 46/2012, d) Duração das medidas pontuais de acesso requeridas, de 29 de agosto, que a republicou, sob fiscalização e con- que não pode exceder o prazo máximo de três meses, trolo da Comissão de Fiscalização de Dados do SIRP, nos renovável por um único período sujeito ao mesmo limite, termos da presente lei. mediante autorização expressa, desde que se verifiquem 2 — O acesso do pessoal do SIRP a dados e informações os respetivos requisitos de admissibilidade. conservados em arquivo nos centros de dados do SIS e Diário da República, 1.ª série — N.º 164 — 25 de agosto de 2017 5049 do SIED é determinado pelo princípio da necessidade de pelo seu tratamento nos termos do regime de proteção de conhecer e só é concedido mediante autorização superior, dados pessoais. tendo em vista o bom exercício das funções que lhe forem 2 — Cabe ao responsável pelo tratamento assegurar cometidas. que os dados inseridos no centro de dados do SIS ou do 3 — O pessoal do SIRP ou quem aceder, tentar aceder, SIED são tratados: comunicar ou fizer uso dos dados ou informações, em vio- lação do disposto no n.º 2 incorre em infração disciplinar a) De forma lícita e com respeito pelo princípio da grave, punível com sanção que pode ir até à pena de demis- boa-fé; são ou outra medida que implique a imediata cessação de b) De forma compatível com as finalidades que deter- funções do infrator, nos termos do disposto no regime de minaram a sua recolha; necessidade de acesso aplicável ao pessoal do SIRP. c) De modo a assegurar que sejam apagados ou retifi- cados os dados inexatos ou incompletos, tendo em conta as finalidades da recolha e tratamento; Artigo 12.º d) De modo a que a conservação seja sempre fundamen- Garantias tada e restrita ao período necessário para a prossecução das 1 — O controlo judicial pela formação das secções finalidades da recolha ou do tratamento posterior. criminais do Supremo Tribunal de Justiça visa garantir o respeito pelos direitos, liberdades e garantias e pelo princí- 3 — O tratamento dos dados obtidos, nomeadamente pio da legalidade da recolha, assegurando, nomeadamente, a inserção no centro de dados do SIS ou do SIED, bem que os dados são: como a atualidade, fundamento e prazo de conservação, arquivo e eliminação, obedece ao regime especial de pro- a) Recolhidos para finalidades determinadas, explícitas teção de dados pessoais do SIRP, bem como aos critérios e legítimas; e normas classificadas de segurança dos centros de dados b) Adequados, pertinentes e não excessivos relativa- do SIS e do SIED. mente às finalidades para que são recolhidos. 4 — Aos dados de telecomunicações e Internet constan- tes dos centros de dados do SIS e do SIED aplicam-se os 2 — Após a comunicação prevista no n.º 1 do artigo prazos de conservação, eliminação e destruição definidos anterior, a formação das secções criminais do Supremo Tri- em regulamento aprovado pelo Conselho de Ministros, bunal de Justiça valida o tratamento pelo SIS ou pelo SIED após o parecer obrigatório da Comissão de Fiscalização dos dados de telecomunicações e Internet considerados em de Dados do SIRP e a apreciação do Conselho Superior conformidade com o disposto no número anterior. de Informações, nos termos do regime do SIRP aplicável 3 — Compete à formação das secções criminais do aos centros de dados do SIS e do SIED. Supremo Tribunal de Justiça determinar a todo o momento 5 — O procedimento de acesso a dados de telecomu- o cancelamento de procedimentos em curso de acesso a nicações e Internet da presente lei é coberto pelo regime dados de telecomunicações e Internet, bem como ordenar do segredo de Estado aplicável ao SIRP, sem prejuízo do a destruição imediata de todos os dados obtidos de forma disposto no regime do pessoal do SIRP relativo à creden- ilegal ou abusiva, ou que violem o âmbito da autorização ciação de segurança. judicial prévia, bem como os dados que sejam manifesta- mente estranhos ao processo, nomeadamente quando não Artigo 15.º tenham relação com o objeto ou finalidades do pedido ou Comissão de Fiscalização de Dados do Sistema cujo tratamento possa afetar gravemente direitos, liber- de Informações da República Portuguesa dades e garantias. 4 — O Procurador-Geral da República é notificado das 1 — A Comissão de Fiscalização de Dados do SIRP é a decisões de cancelamento de acesso e de destruição dos autoridade pública competente para a fiscalização do res- dados, para efeitos do exercício das suas competências peito pelos princípios e cumprimento das regras relativos legais. à qualidade e à salvaguarda da confidencialidade e da se- 5 — A Comissão de Fiscalização de Dados do SIRP é gurança dos dados obtidos de acordo com o procedimento notificada das decisões de cancelamento de acesso e de obrigatório e vinculado previsto na presente lei. destruição dos dados, para efeitos do exercício das suas 2 — Sem prejuízo dos demais poderes de fiscalização competências legais em matéria de proteção dos dados previstos no regime geral aplicável aos centros de dados pessoais. do SIS e do SIED, os dados de telecomunicações e Internet obtidos de acordo com o procedimento previsto na presente Artigo 13.º lei estão sujeitos à fiscalização oficiosa, por referência nominativa, da Comissão de Fiscalização de Dados do Factos indiciários de espionagem e terrorismo SIRP. Os dados obtidos que indiciem a prática de crimes de 3 — Para os efeitos previstos no número anterior, a espionagem e terrorismo são imediatamente comunicados formação das secções criminais do Supremo Tribunal de ao Procurador-Geral da República para os devidos efeitos. Justiça comunica à Comissão de Fiscalização de Dados do SIRP as autorizações concedidas com referência Artigo 14.º nominativa. 4 — Os diretores dos centros de dados do SIS e do SIED Regime de proteção de dados prestam especial apoio à Comissão de Fiscalização de 1 — Os dados de telecomunicações e Internet obtidos de Dados do SIRP para efeitos do cumprimento do disposto acordo com o preceituado na presente lei são processados no presente artigo. e conservados nos centros de dados do SIS e do SIED, 5 — Das irregularidades ou violações verificadas deve sendo o diretor de cada centro de dados o responsável a Comissão de Fiscalização de Dados do SIRP dar conhe- 5050 Diário da República, 1.ª série — N.º 164 — 25 de agosto de 2017 cimento, através de relatório, ao Conselho de Fiscalização nicações e Internet nos termos do procedimento previsto do SIRP. na lei especial que aprova o regime especial de acesso 6 — O direito de acesso dos cidadãos aos dados pro- a dados de base e a dados de tráfego de comunicações cessados ou conservados nos centros de dados do SIS e eletrónicas pelo Sistema de Informações da República do SIED é exercido através da Comissão de Fiscalização Portuguesa.» de Dados do SIRP segundo o procedimento previsto no regime geral aplicável aos centros de dados do SIS e do Aprovada em 19 de julho de 2017. SIED quanto à fiscalização mediante participação. O Presidente da Assembleia da República, Eduardo 7 — A Comissão de Fiscalização de Dados do SIRP Ferro Rodrigues. deve ordenar o cancelamento ou retificação dos dados de telecomunicações e Internet recolhidos que envolvam Promulgada em 14 de agosto de 2017. violação dos direitos, liberdades e garantias consignados Publique-se. na Constituição e na lei e, se for caso disso, exercer a correspondente ação penal. O Presidente da República, MARCELO REBELO DE SOUSA. Referendada em 16 de agosto de 2017. Artigo 16.º Conselho de Fiscalização do Sistema de Informações O Primeiro-Ministro, António Luís Santos da Costa. da República Portuguesa