| Decisão Texto Integral: | Em conferência, acordam os Juízes na 9ª Secção do Tribunal da Relação de Lisboa:
I – Relatório
Por sentença proferida a 14-11-2025 foi decidido o seguinte:
1. Condeno a arguida, AA, pela prática de um crime de acesso ilegítimo agravado, previsto e punido pelo artigo 6.º n.º 1.º e 4.º alínea a) da Lei n.º 109/2009 de 15 de setembro de 2009 (Lei do Cibercrime).
2. Condeno a arguida, AA, na pena de multa de multa de 160 (cento e sessenta) dias à razão diária de € 8,00 (oito) euros, perfazendo o montante global de € 1 280,00 (mil duzentos e oitenta) euros.
***
Não se conformando com essa decisão a arguida recorreu para este Tribunal da Relação apresentado as seguintes conclusões (transcrição):
A) A sentença recorrida afastou a discussão sobre a inexistência de queixa e a consequente ilegitimidade do Ministério Público (MP), por entender que essa matéria já havia sido decidida no despacho de 12.09.2025 (ref. Citius 60016001), que reconheceu legitimidade ao Ministério Público para prosseguir o procedimento criminal.
B) A Arguida, contudo, reitera integralmente o que já expôs no recurso interposto em 07.10.2025 (ref. Citius 6506787), requerendo que tal recurso seja apreciado conjuntamente com o presente, acrescentando elementos resultantes da audiência de julgamento, constantes da fundamentação supra.
C) Na primeira sessão da audiência (17.09.2025), todas as testemunhas relevantes BB (titular dos dados), CC (secretário do procedimento disciplinar) e DD (instrutora) — afirmaram inequivocamente que não houve intenção de apresentar queixa criminal contra a Arguida.
D) BB distinguiu claramente entre a reclamação laboral e uma queixa penal, afirmando expressamente que não apresentou queixa e que apenas foi chamado pela Polícia Judiciária para prestar depoimento.
E) CC confirmou que apenas remeteu o procedimento disciplinar ao Ministério Público por imposição legal, sem qualquer intenção de desencadear procedimento criminal.
F) DD reiterou que a comunicação ao Conselho de Administração e deste ao Ministério Público decorreu exclusivamente do cumprimento de deveres funcionais.
G) Deste modo, a prova produzida em julgamento confirma de forma inequívoca a inexistência de queixa, requisito indispensável para a legitimidade do Ministério Público nos crimes semipúblicos. Assim, reafirma-se a ilegitimidade do Ministério Público para prosseguir a presente ação penal, devendo tal ser reconhecido com as correspondentes consequências legais.
H) A Arguida foi condenada por um crime de acesso ilegítimo agravado, previsto no artigo 6.º, n.º 1 e n.º 4, alínea a), da Lei do Cibercrime, tendo-lhe sido aplicada a pena de 160 dias de multa, à taxa diária de €8, totalizando €1.280.
I) Contudo, tal condenação assenta numa incorreta valoração dos factos, da prova produzida e na errada aplicação do direito. Por isso, requer-se a substituição da decisão por outra que absolva a Arguida, caso não se entenda declarar extinto o procedimento criminal pela inexistência de queixa, com a consequente revogação da sentença, o que não se espera nem concede.
J) A Arguida contesta o ponto 5 da matéria de facto provada, por ser contraditório afirmar que as passwords do sistema MedicineOne são pessoais e intransmissíveis, quando simultaneamente se deu como provado que:
K) As credenciais são criadas por técnicos da Direção Regional de Saúde, na Ilha Terceira, e enviadas por email aos serviços de informática das unidades de saúde, que depois as distribuem aos funcionários.
L) A Arguida utiliza desde 2012 o mesmo utilizador e password (“…”), fornecidos pelo técnico da USIP, o que demonstra que tais credenciais não são exclusivas nem criadas pelo próprio utilizador.
M) Assim, não é possível considerar que as credenciais sejam pessoais e intransmissíveis quando não são criadas, controladas ou conhecidas apenas pelo funcionário.
N) Relativamente aos factos provados 9 a 21, a Arguida reafirma que não realizou os acessos que lhe são imputados. A prova produzida não permite concluir que tais acessos tenham sequer sido realizados, muito menos que quem os realizou tenha sido a Arguida.
O) Nenhuma testemunha afirmou tê-la visto aceder ao sistema e aos dados de BB.
P) A alegada “perícia” do procedimento disciplinar não cumpre requisitos mínimos para ser considerada prova pericial ou sequer documento válido no processo penal, conforme já sustentado na contestação.
Q) Nomeadamente, relativamente a tal “perícia”, não foram lavrados autos das diligências, nem à Arguida foi facultado exercer o contraditório, impedindo-a de assistir, formular quesitos, designar consultor técnico, ou solicitar esclarecimentos sobre o relatório da perícia apresentado, uma vez que nunca foi notificada de/para nada neste âmbito.
R) A validade e integridade dos dados foram comprometidas pela falta de assinaturas digitais e de preservação expedita de dados, o que impossibilitou a Arguida de requerer a realização de perícia no âmbito do processo criminal, porquanto os dados já teriam sido contaminados pela “perícia” realizada no âmbito do procedimento disciplinar.
S) Adicionalmente, o perito não era independente, comprometendo a sua isenção e imparcialidade, o que invalida o conjunto probatório que serviu de base à condenação.
T) A própria instrutora do procedimento disciplinar admitiu em audiência que não notificou a Arguida para participar na perícia, violando o artigo 154.º, n.º 4 do CPA, afirmando apenas que “não achou necessário”, o que reforça a inutilizabilidade dessa prova, sobretudo em processo penal.
U) Portanto, a prova pericial realizada no âmbito do procedimento disciplinar deve ser desconsiderada (Art. 163.º, n.º 2, CPP), seja como perícia, seja como documento, por preterição das formalidades legais mínimas, violando gravemente os direitos de defesa da Arguida.
V) A sentença incorreu também em erro ao considerar provado que as credenciais de acesso ao sistema MedicineOne são pessoais e intransmissíveis, quando simultaneamente se deu como provado que tais credenciais são criadas por técnicos da Direção Regional de Saúde, enviadas por correio eletrónico aos serviços de informática e distribuídas aos funcionários, não sendo do conhecimento exclusivo do utilizador. Esta contradição impede que se conclua pela pessoalidade e intransmissibilidade das credenciais, requisito essencial para imputar à Arguida a autoria dos alegados acessos.
W) A Arguida sustenta que não acedeu aos dados. Ainda que se entendesse que houve acesso (o que não restou provado, devendo a “perícia” realizada no procedimento disciplinar ser desconsiderada), ficou demonstrado em julgamento que BB autorizava verbalmente a Arguida a consultar e levantar os seus exames e informações de saúde enquanto estavam juntos, autorização que nunca foi revogada.
X) BB confirmou que a Arguida levantava exames com o seu consentimento, que nunca proibiu tal prática e que, mesmo após a separação, não comunicou a ninguém a retirada dessa autorização. Assim, mesmo num cenário hipotético de acesso, este seria autorizado pelo titular dos dados, afastando qualquer ilicitude.
Y) Não existe qualquer elemento de prova admissível que permita concluir que a Arguida tenha efetuado os alegados acessos ao sistema.
Z) Os factos dados como não provados pelo Tribunal a quo devem ser alterados, pois a prova produzida em audiência demonstra precisamente o contrário.~
AA) Ponto A — Ficou provado, sobretudo pelo depoimento do perito EE, que as credenciais de acesso (utilizadores e passwords) são efetivamente criadas na Ilha Terceira pela Divisão de Sistemas de Informação da Direção Regional de Saúde, a pedido das Unidades de Saúde. O Tribunal errou ao considerar não provado.
BB) Ponto B — Deve ser considerado provado que as passwords não são pessoais e intransmissíveis. O depoimento da técnica de informática FF, prestado na audiência de Instrução, confirmou que, em 2022, as passwords eram simples (nome próprio + apelido) e frequentemente utilizadas entre trabalhadores, sendo prática conhecida entre todos.
CC) Ponto C — A redação adotada pelo Tribunal não corresponde ao que foi confirmado por várias testemunhas, incluindo GG. O facto deve ser dado como provado.
DD) Ponto D — Deve igualmente ser considerado provado, em coerência com o que já foi demonstrado e referido no presente recurso.
EE) Pontos E e F — já ficaram provados em fase de instrução, pela prova produzida naquele âmbito.
FF) Ponto H — O perito confirmou que, em princípio, é possível pesquisar utentes no sistema MedicineOne apenas pelo nome, o que sustenta a verificação do facto.
GG) A sentença recorrida incorreu em erro na apreciação da prova, erro na fixação da matéria de facto e erro na aplicação do direito, impondo-se a sua revogação. Deve ser proferido acórdão que declare extinto o procedimento criminal por inexistência de queixa ou, subsidiariamente, que absolva a Arguida por falta de prova da prática do crime e pela inexistência de ilicitude.
HH) A Arguida reconhece ter enviado as mensagens, mas sublinha que apenas o fez porque viu o carro de BB no aeroporto e o próprio lhe havia contado diretamente sobre o tratamento de saúde que realizava.
II) Mesmo que BB negue que falou sobre esse assunto com a Arguida, a credibilidade daquele, constatada através de contradições relevantes, caiu por terra.
JJ) BB afirmou ainda que todo o tratamento teria sido realizado no setor público e exclusivamente por prescrição do médico Dr. HH, negando ter recorrido ao setor privado ou ter consultado previamente um urologista. Contudo, o depoimento escrito do próprio Dr. HH desmentiu estas declarações, confirmando que BB já tinha sido acompanhado por um urologista e que as injeções de testosterona haviam sido inicialmente prescritas por esse especialista no setor privado, tendo ele apenas renovado a receita.
KK) Esta contradição é relevante não só para demonstrar a falta de credibilidade da testemunha, mas também porque a Arguida não tem acesso, através do sistema MedicineOne, a qualquer informação proveniente do setor privado de saúde e de anotações feitas por médicos nos históricos dos pacientes. Tal impossibilidade foi confirmada pelas testemunhas, que explicaram que o sistema apenas contém dados do Serviço Regional de Saúde. Assim, a Arguida jamais poderia saber que BB iniciara o tratamento de testosterona no setor privado em janeiro de 2022, a menos que o próprio lhe tivesse transmitido essa informação verbalmente, como efetivamente ocorreu.
LL) Deve, assim, ser dado como provado o facto constante do ponto I dos factos não provados, uma vez que a prova produzida em audiência o confirma.
MM) A fundamentação da sentença incorre em erro ao afirmar que a Arguida teria deduzido a existência de tratamento com testosterona apenas por ver o veículo de BB no aeroporto de Ponta Delgada. A Arguida nunca afirmou tal coisa; declarou sim que, ao ver o carro, se lembrou do tratamento que o próprio BB lhe havia contado estar a realizar em Ponta Delgada, em janeiro de 2022, e concluiu que ele se teria deslocado à ilha para esse fim. Estava aborrecida com o facto de ele ter deixado de falar consigo e, nesse contexto emocional, enviou
NN) É incoerente que o Tribunal considere não credível esta explicação e, simultaneamente, considere credível que a Arguida teria realizado inúmeros acessos ao histórico clínico de BB desde 4 de abril de 2022, mas só três meses depois, em 21 de junho, lhe tenha enviado mensagens sobre o tratamento. A própria sentença aceita como provado que os alegados acessos teriam continuado até 26 de agosto, o que torna ainda mais ilógica a narrativa acolhida.
OO) A sentença também valoriza de forma inadequada o depoimento prestado por BB no procedimento disciplinar, ignorando que, em audiência, este demonstrou grande confusão quanto às datas e períodos em que manteve relacionamento amoroso ou de amizade com a Arguida. Quando confrontado com a possibilidade de terem mantido contacto até janeiro de 2022, respondeu que não sabia, revelando incerteza semelhante relativamente a praticamente todas as questões temporais colocadas.
PP) Não é aceitável que o Tribunal considere incoerente a versão segundo a qual o relacionamento teria terminado em janeiro ou fevereiro de 2022 e as mensagens foram enviadas em junho, mas considere coerente a tese de que a Arguida apenas acedeu pela primeira vez à informação médica em abril e só quase três meses depois enviou as mensagens. Esta assimetria de critérios evidencia erro na apreciação da prova.
QQ) O Tribunal errou ao considerar verossímeis as alegações de BB sobre o início e o motivo do tratamento com testosterona, apesar das contradições já demonstradas. Tudo isto impõe a revaloração da prova e a correção da apreciação da matéria de facto.
RR) A conclusão da sentença de que a Arguida não esteve no aniversário de BB, com base na lembrança constante de fl. 28, resulta de uma errada apreciação da prova. A Arguida nunca afirmou ter oferecido aquele presente; explicou que se tratava de uma lembrança dada por amigos de BB, que ela apenas o viu na casa dele, em data posterior ao seu aniversário, que é em janeiro, evidenciando, mais uma vez, que o relacionamento terminou em finais de janeiro ou fevereiro de 2022.
SS) A sentença erra ao presumir que, após o fim do relacionamento amoroso, BB teria deixado de autorizar a Arguida a aceder às suas informações de saúde, ou que não teria o dever de comunicar ao Centro de Saúde a retirada desse consentimento. A Arguida não teve autorização de BB para aceder aos seus dados clínicos apenas enquanto namoravam, mas também durante os períodos em que mantiveram amizade, sendo natural concluir que BB não retirou o consentimento, tanto mais que nunca o comunicou nem à Arguida nem ao Centro de Saúde, como ele próprio reconheceu em audiência.
TT) Também não corresponde à realidade afirmar que o acesso da Arguida às informações de BB teria cessado em 2017, aquando do fim do namoro. O próprio Tribunal reconheceu que, em 2021, BB sofreu um acidente de trabalho e a Arguida teve conhecimento da situação, o que demonstra que ainda nessa data tinha acesso às suas informações de saúde com o consentimento dele. Assim, mais uma vez salienta-se, mesmo que se admitisse — o que não se concede — que a Arguida realizou os alegados acessos, estes seriam autorizados.
UU) É igualmente contraditório afirmar que, após o fim do relacionamento, Arguida e BB mantinham apenas um contacto “escasso”, quando a testemunha II relatou que, mesmo enquanto mantinha relação próxima com a Arguida, se sentia desconfortável com o facto de esta e BB continuarem a frequentar a casa um do outro e a tomar refeições juntos, demonstrando que a relação de amizade e proximidade persistiu muito para além do fim do namoro.
VV) A sentença também distorce o depoimento de II ao sugerir que a amizade entre ele e a Arguida lhe causava “desagrado”, quando o próprio esclareceu que não eram namorados, mas sim muito próximos devido a projetos profissionais, não havendo qualquer referência a ciúmes ou desconforto pessoal.
WW) Mesmo que não se consiga fixar com precisão o limite temporal da relação entre Arguida e BB, o princípio in dubio pro reo impede que o Tribunal considere como facto assente que já não mantinham contacto em janeiro de 2022. A Arguida afirma categoricamente que sim, e o próprio BB admitiu ser possível que ainda mantivessem amizade nessa data.
XX) Quanto à segurança do sistema MedicineOne, é incorreta a afirmação de que as senhas estariam “visíveis num crachá”, pois tal nunca foi alegado. O que foi demonstrado — inclusive por documento junto à contestação — é que as passwords ficam expostas de forma acessível a terceiros. Além disso, foi provado que, durante anos, os utilizadores tinham credenciais padronizadas, formadas pelo primeiro e último nome, e que o sistema não obriga à sua alteração, razão pela qual muitos, incluindo a Arguida, mantêm as mesmas credenciais desde que lhes foram atribuídas.
YY) A sentença recorrida erra gravemente ao tratar a chamada “perícia” como simples documento, dispensando-a dos requisitos legais aplicáveis às perícias formais. Mesmo em processo disciplinar, a Lei Geral do Trabalho em Funções Públicas impõe que, nos casos omissos, se sigam os princípios gerais do processo penal, o que inclui o cumprimento das exigências do Código de Processo Penal relativas à produção de prova pericial. Assim, não é admissível considerar válida uma perícia que não observou qualquer rigor técnico ou legal, travestida para formato de “documento”.
ZZ) A Sentença recorrida viola o artigo 127.º CPP, por ultrapassar sobremaneira os seus limites, uma vez que o princípio da livre apreciação da prova não legitima utilizar-se, no convencimento do Tribunal, prova tecnicamente inválida, decidindo-se por condenar a Arguida com base em elementos que não têm qualquer fiabilidade.
AAA) O relatório apresentado revela fragilidades evidentes. A instrutora do processo disciplinar, DD, demonstrou desconhecimento completo sobre requisitos mínimos de certificação, identificação da origem dos dados e intervenção do fornecedor MedicineOne, limitando-se a respostas vagas, remetendo esclarecimentos para o perito e baseando sua omissão em conferir o contraditório à Arguida baseada em sua vontade.
BBB) Já o perito EE admitiu expressamente que não documentou a intervenção da MedicineOne, que não preservou logs, a perícia não contém os hashes dos logs e cadeia de custódia, e que não conhecia os requisitos legais aplicáveis às perícias, nem observou qualquer norma do CPP. Declarou ainda que não tinha consciência dos efeitos legais do que produzia, limitando-se a “fornecer informação” pedida no âmbito do processo disciplinar. Admitiu que manipulou um sistema informático diretamente no seu original, sem ter feito a cópia manipulatória, para ser possível dar credibilidade às informações, caso fosse pedida uma nova perícia. E, para dar completa e total inutilidade a essa prova, referiu que sequer foi ele a manipular o sistema, quem o fez foi sua equipa, sem qualquer supervisão sua, limitando-se apenas a assinar um relatório completamente questionável em sua confeção. Uma perícia precisa ser autêntica, íntegra e verificável, tudo que a perícia em comento não foi.
CCC) Apesar disso, o Tribunal a quo considerou a perícia válida apenas porque a instrutora e o perito afirmaram — sem fundamento legal — que, por se tratar de processo disciplinar, não seria necessário cumprir requisitos legais. A própria instrutora admitiu expressamente que não notificou a Arguida para participar na perícia, nem posteriormente, sobre o seu resultado, simplesmente porque “não achou necessário”, violando frontalmente o dever legal de assegurar o contraditório.
DDD) No presente caso, a prova digital apresentada em juízo, embora acompanhada de relatório assinado digitalmente pelo perito no seu termo final, não possui qualquer mecanismo que comprove a integridade ou autenticidade dos dados analisados desde a sua recolha. A assinatura digital do relatório apenas atesta a autoria do próprio documento, mas não certifica que os dados informáticos examinados correspondem fielmente à prova original, de que modo esta foi obtida, nem que esta não foi alterada ou contaminada antes ou durante a elaboração do relatório.
EEE) O processo disciplinar encontra-se ainda em fase recursal, mas, independentemente disso, é inadmissível que o processo penal aceite como prova um relatório que o próprio perito reconhece não cumprir qualquer exigência técnica ou legal, sendo, por isso, nulo e insuscetível de valoração para a condenação da Arguida.
FFF) Quanto à alegada segurança e pessoalidade das credenciais do sistema MedicineOne, a prova produzida aponta exatamente no sentido contrário. A testemunha CC confirmou que trabalhadores possivelmente guardavam passwords em agendas ou gavetas. O perito EE esclareceu que as credenciais são geridas por técnicos de informática, que têm acesso à plataforma onde são criadas e podem comunicar diretamente aos funcionários o nome de utilizador e a palavra‑passe. Isto demonstra, de forma inequívoca, que as credenciais não são pessoais nem intransmissíveis, contrariando a conclusão do Tribunal.
GGG) A testemunha GG esclareceu que o sistema MedicineOne não impõe qualquer alteração periódica de passwords, nem existe documentação oficial da Direção Regional de Saúde que defina políticas de segurança ou funcionamento do sistema. Apesar de a legislação de proteção de dados prever mudanças regulares de credenciais, o MedicineOne não implementa nem exige essa prática, revelando fragilidades estruturais.
HHH) O seu depoimento desmonta a conclusão do Tribunal a quo de que a segurança das credenciais dependeria apenas do utilizador, demonstrando que não existem políticas técnicas impostas pelo sistema. Fica igualmente claro que a Arguida nunca afirmou que o sistema exigia alterações semestrais de password; apenas referiu que essa obrigação decorre da lei, mas que a Direção Regional de Saúde não programou as diretrizes de segurança indicadas pelo MedicineOne, que não solicita nem força qualquer alteração.
III) O Tribunal em dado momento reconhece que a Arguida é técnica em radiologia, mas considera ilógico que ela não tenha acesso a dados clínicos dos utentes. Contudo, essa conclusão é incorreta: as funções de uma técnica em radiologia não incluem tratar pacientes, mas apenas executar exames de imagem, ao contrário do médico radiologista, que pode emitir relatórios e diagnósticos. Por isso, o acesso da técnica no sistema MedicineOne é necessariamente muito limitado, sendo compatível com as suas atribuições profissionais (de técnica em radiologia).
JJJ) Portanto, a Sentença forma seu convencimento com base em falsas premissas, de que uma técnica de radiologia seja o mesmo que uma radiologista (que seria uma médica) tendo acesso ilimitado no sistema MedicineOne.
KKK) Ao questionar o perito sobre, por exemplo, qual era o efetivo acesso que um técnico em radiologia tinha, esse não soube informar ao certo, mas garantiu que o acesso dos médicos é bem mais abrangente do que para os técnicos.
LLL) O Tribunal a quo ignorou que CC apenas teve determinados acessos porque, à época, exercia funções administrativas, cujo perfil é muito mais abrangente do que o de uma técnica em radiologia, tendo ele acesso até à agenda de vários profissionais. Apesar de reconhecer formalmente que a Arguida é técnica, o Tribunal confundiu-a reiteradamente com uma médica radiologista, chegando mesmo a fundamentar a decisão como se ela tivesse perfil clínico ilimitado, próprio de médicos, e não o perfil restrito inerente à sua função.
MMM) Essa confusão é confirmada por excertos da sentença, onde o Tribunal afirma que o acesso ilimitado dos médicos “aplica-se à arguida”, e pela própria leitura oral da decisão, na qual a Arguida teve de esclarecer que não é médica — esclarecimento que o Tribunal desconsiderou, comprometendo a análise sobre os seus reais poderes de acesso.
NNN) Relativamente aos alegados acessos ao perfil de BB — que a Arguida nunca admite — o relatório pericial apresenta inúmeras inconsistências, nomeadamente:
OOO) Registos de acesso a resultados de análises, informação a que um técnico em radiologia não tem permissão para visualizar.
PPP) Consultas absurdas, como história menstrual de um homem ou desabituação tabágica de alguém que nunca fumou.
QQQ) Diversos “acessos” registados no mesmo segundo, o que o perito não conseguiu explicar observando as leis da física, admitindo que o sistema faz buscas internas automáticas que não correspondem ao que o utilizador visualiza.
RRR) O facto de que as tabelas juntas à perícia apontam que a Arguida, várias vezes, manteve a sua sessão iniciada na sua área pessoal do MedicineOne durante longos períodos, chegando a registar sessões de 5 (cinco) dias interruptamente, o que não é possível, pois jamais a Arguida realiza turnos tão longos de forma contínua.
SSS) Ainda, conforme já mencionado, mas importa reiterar, a perícia informática revela ainda outras falhas graves: ausência de preservação da prova original; desconhecimento sobre que logs foram extraídos; inexistência de hashes de integridade; inexistência de cadeia de custódia; ausência de conclusão técnica; admissão do próprio perito de que não interpretou os dados e não prestou compromisso de honra, e que nem sequer participou da perícia, tendo esta sido realizada pela sua “equipa”, cujos elementos não estão identificados, e não é independente em relação ao sistema analisado.
TTT) O perito não conseguiu justificar por que razão as primeiras tabelas de registo dos alegados acessos, anexas à perícia, quando comparadas às tabelas que anexou à sua resposta ao pedido de esclarecimentos formulado pela instrutora do procedimento disciplinar — relativas ao mesmo período temporal — apresentam dados diferentes. Limitou‑se a afirmar que “não se lembrava”, que “deve ter sido da extração” ou que “talvez tenha sido enviada outra folha de Excel”, admitindo desconhecer se houve nova extração, e se houve, por qual razão eram distintas.
UUU) Assim, a tabela de “dados acedidos” apresentada na perícia contém elementos que não foram visualizados e outros que o perfil da Arguida nem permite aceder, tornando a prova pericial tecnicamente inválida.
VVV) O perito também confessou ter trabalhado diretamente sobre a prova original, no ambiente de produção, onde estão os dados reais — procedimento totalmente inadequado em prova digital, que exige cópia bit a bit com as hashes dos logs e análise apenas sobre cópia certificada.
WWW) O Tribunal também rejeitou a explicação plausível da Arguida de que terceiros poderiam ter usado o seu terminal quando ela se ausentava da secretária, preferindo concluir — sem base — que a coincidência com o horário de trabalho excluía essa hipótese. Tal raciocínio ignora que, se alguém pretendesse imputar-lhe acessos, não o faria em dias em que ela estivesse ausente.
XXX) Por fim, o Tribunal incorreu em erro factual ao afirmar que BB teria tomado injeções de testosterona numa unidade pública em Ponta Delgada. Na realidade, ele apenas pediu a renovação de uma receita ao médico do Centro de Saúde, HH, tendo tomado apenas uma das três injeções prescritas por um médico particular — contrariando o que afirmou em juízo.
YYY) Quanto à aplicação do direito ao caso concreto, a Sentença Recorrida errou ao enquadrar a conduta da Arguida na circunstância agravante do Artigo 6.º, n.º 4, alínea a), da Lei n.º 109/2009. O acesso indevido por um utilizador privilegiado, com credenciais legítimas, configurará o crime-base (Art. 6.º, n.º 1), e não uma violação agravada.
ZZZ) A Sentença aplicou uma redação anterior da lei, que não se aplica ao caso dos autos (anterior à Lei n.º 79/2021), que agravava o crime pelo conhecimento de dados confidenciais.
AAAA) A redação atualmente em vigor e aplicável aos factos de 2022 (Lei n.º 79/2021) exige que o acesso seja obtido mediante "violação de regras de segurança" (Art. 6.º, n.º 4, alínea a)), e prevê que a pena abstratamente aplicável, neste caso, é de prisão até 3 anos ou multa, ao passo que a redação anterior (que não se aplica) previa a pena apenas de prisão, de 1 a 5 anos.
BBBB) Não ficou provado que o alegado acesso da Arguida, realizado com login e password legítimos para o exercício da sua função, tenha sido conseguido mediante a violação de quaisquer regras de segurança (como autenticação forte ou criptografia) ou o uso de subterfúgios cibernéticos. Pelo contrário, a Sentença reconhece o uso de credenciais válidas e não foi demonstrada a existência ou violação de tais medidas de segurança.
CCCC) Pelo exposto, não se verifica a subsunção da conduta ao tipo penal agravado. Deve ser afastada a aplicação da circunstância agravante prevista no Artigo 6.º, n.º 4, alínea a), da Lei n.º 109/2009.
DDDD) Consequentemente, caso a condenação pelo crime-base se mantenha, o que não se espera, deverá ser promovida a redução da pena em conformidade com o afastamento da agravação.
Termos em que: a) ante a ausência do pressuposto de procedibilidade consubstanciado na inexistência de queixa, que obsta ao conhecimento do mérito da causa, requer seja dado provimento ao Recurso anteriormente apresentado, que deverá ser apreciado em conjunto com o presente, anulando-se o Despacho recorrido, devido à nulidade por omissão de pronúncia e/ou pela manifesta incorreção da apreciação da prova e aplicação do direito ao caso concreto, substituindo-o por decisão que declare extinto o procedimento criminal contra a Recorrente, relativamente ao crime que lhe é imputado.
***
Notificado, nos termos e para os efeitos do disposto no artigo 413º, do CPP, o MP pronunciou-se pela improcedência do recurso concluindo pela seguinte forma (transcrição):
A) O bem jurídico protegido é, em primeira linha, a segurança dos sistemas informáticos, mas também se repercutirá sempre naquilo que é a confiança do cidadão no sistema informático das entidades públicas e privadas, com reflexo direto na privacidade dos seus dados, segurança e fiabilidade dos sistemas informáticos tendo em vista a tutela de tais dados.
B) Quando a USIP da Ilha do Pico remeteu aos autos o processo disciplinar, acompanhado por ofício assinado pela presidente do Conselho de Administração, manifestou, de forma clara, que o que pretendia era mais do que a denúncia obrigatória da prática eventual de crime. O que queria, efetivamente, era que o Ministério Público procedesse ao inquérito, procedendo às diligências tidas por adequadas ao esclarecimento último da verdade material.
C) Não assiste razão à Recorrente neste ponto, pois que a pretensão da USIP da Ilha do Pico foi espelhar na comunicação ao MP a sua pretensão de procedimento criminal, visto que se viram feridos os bens jurídicos por si tutelados, i.e., a segurança do sistema informático que é diariamente utilizado pela USIP da Ilha do Pico.
D) Assim, consideramos que a comunicação ao Ministério Público pela USIP não foi apenas uma denúncia (obrigatória) à autoridade judiciária, como pretende alegar a recorrente. Foi, antes, uma manifestação clara por banda da entidade pública ofendida/lesada da sua vontade em ver instaurado procedimento criminal – o que, como se disse, foi até corroborado em sede de produção de prova pelo menos por duas das testemunhas.
E) A sentença penal condenatória não se afigura merecedora de reparo no que tange à apreciação da legitimidade processual e da procedibilidade dos autos, pelo que tal linha argumentativa da Recorrente não deverá proceder, não se suscitando qualquer ilegitimidade e vício que tivesse de ser reconhecida pelo Tribunal, andando bem o mesmo na sua decisão.
F) Toda a apreciação e todo o juízo do Tribunal quanto a aos alegados pontos de facto erroneamente julgados, segundo a recorrente, nos parecem assentes não só na prova testemunhal, como na conjugação global de todos os meios de prova carreados, apreciados à luz das regras da experiência comum.
G) A linha de argumentação expendida pela Recorrente quanto à errada apreciação da prova entre em direta e clara contradição com o cômputo geral dos depoimentos em sede de audiência de discussão e de julgamento, tanto mais que não só os utilizadores do sistema MedicineOne, como os técnicos que conhecem, de forma particular e especializada, os mecanismos de segurança e de proteção de dados do sistema, enfatizaram que as palavras-passe são pessoais e intransmissíveis, que as mesmas são alteradas pelo próprio utilizado e que existem mecanismos de segurança que levam à alteração consecutiva das password, precisamente para potenciar o nível de segurança e da inacessibilidade de terceiros ao sistema, para além dos titulares dessas contas e cujo acesso é legítimo.
H) Da prova nada se extrai quanto à partilha de credenciais, à partilha de computadores, à demonstração “em público” das credenciais de cada profissional de saúde. Também nada se colhe quanto ao conhecimento pessoal da arguida das circunstâncias de saúde do paciente BB, tanto mais que o mesmo asseverou que, à data dos factos, não existia um relacionamento sólido e de tal confiança que o levasse a dar-lhe nota da sua situação de saúde e sujeição a eventuais tratamentos médicos em Ponta Delgada.
I) O Tribunal – no que respeita ao procedimento disciplinar remetido pela USIP da Ilha do Pico - valorou corretamente a prova documental, suscetível de ser apreciada à luz do regime legal vigente para tal meio de prova e à luz do princípio da livre apreciação (artigo 127º do CPP). A prova aqui em crise em nada se cruza com o que é a prova pericial, a sua obtenção e a sua valoração. O que está em causa não é uma prova pericial obtida no seio do processo penal. Pelo que tal argumentação improcede, a nosso ver.
J) Ao contrário do que é defendido pela Recorrente, o depoimento de BB, dotado de credibilidade, conjugado com os demais elementos de prova, permitem, de forma circunstanciada e credível, extrair a conclusão que inexistiu uma transmissão de informação pessoal por banda daquele quanto ao seu estado de saúde e quanto aos tratamentos que estava a realizar em Ponta Delgada.
K) Pelo que, atento o ora expendido, considera-se que a sentença penal condenatória não merecerá os reparos alegados pela Recorrente, não só ao nível da apreciação da ilegitimidade processual, como também ao nível da apreciação da matéria factual e da prova produzida em sede de audiência de discussão e julgamento, devendo a mesma ser mantida nos seus exatos termos.
Fundamentos pelos quais deve ser rejeitado o recurso apresentado pelo recorrente e, consequentemente, ser mantida a douta decisão do Tribunal a quo nos seus precisos termos.
***
Quanto ao recurso interlocutório, interposto a 7-10-2025, a recorrente apresentou as seguintes conclusões:
27. A Recorrente requereu ao Tribunal a quo a extinção imediata do procedimento criminal instaurado contra si, alegando a ausência de queixa como pressuposto de procedibilidade, o que obsta ao conhecimento do mérito da causa.
28. Solicitou, ainda, o cancelamento da audiência de julgamento designada para 17/09/2025 e que não fosse dada nova vista ao Ministério Público.
29. Já na contestação previamente apresentada, a Recorrente havia sustentado a falta de legitimidade do Ministério Público para promover a ação penal, com base na inexistência de queixa válida relativamente ao crime pelo qual foi pronunciada, previsto no artigo 6.º, n.ºs 1 e 4, alínea a), da Lei n.º 109/2009 (Lei do Cibercrime).
30. Invocou-se o princípio da economia processual, previsto no artigo 130.º do Código de Processo Civil e aplicável ao processo penal por força do artigo 4.º do Código de Processo Penal, para sustentar que o Tribunal deveria evitar a prática de atos inúteis, como a realização de audiência sem que se verifique a condição de procedibilidade da ação penal.
31. No entanto, o despacho recorrido, proferido em 12/09/2025 considerou que a denúncia obrigatória remetida pela Unidade de Saúde da Ilha do Pico ao Ministério Público em 10/04/2023 equivalia à apresentação de queixa, com fundamento no artigo 179.º, n.º 4 da Lei Geral em Funções Públicas, mantendo a audiência e indeferindo o pedido da Recorrente.
32. Tal despacho omitiu pronúncia sobre a legitimidade da Unidade de Saúde para apresentar queixa, e interpretou incorretamente a mera denúncia obrigatória como queixa válida. A Recorrente alegou que a Unidade de Saúde não é titular dos interesses juridicamente protegidos pela incriminação, sendo esta uma questão essencial que o Tribunal devia conhecer, nos termos do artigo 379.º, n.º 1, alínea c) do Código de Processo Penal, por analogia. A nulidade daí decorrente é insanável e deve ser declarada, com consequente revogação do despacho recorrido.
33. Nos termos do artigo 113.º, n.º 1 do Código Penal, apenas o ofendido — entendido como o titular dos interesses especialmente protegidos pela incriminação — tem legitimidade para apresentar queixa.
A denúncia obrigatória prevista no artigo 179.º, n.º 4 da LGTFP não se confunde com a queixa, como reforça o artigo 242.º, n.º 3 do CPP, que exige a apresentação de queixa para que a denúncia possa originar inquérito em crimes semipúblicos. Equiparar denúncia a queixa contraria o princípio da hermenêutica, segundo o qual a lei não contém disposições inúteis.
34. A Recorrente já havia alegado, de forma fundamentada, a inexistência de queixa e a ausência de legitimidade para sua apresentação. No caso do crime de acesso ilegítimo, o ofendido é o proprietário do sistema informático — neste caso, a empresa MedicineOne ou, eventualmente, a Direção Regional de Saúde, enquanto cliente da MedicineOne. A jurisprudência do Tribunal da Relação de Coimbra (Acórdão de 15/10/2008) confirma que o bem jurídico protegido é a segurança do sistema informático, enquanto o Acórdão do Tribunal da Relação de Évora (14/10/2014) reforça que a ausência de manifestação inequívoca de vontade do ofendido obsta à legitimidade do Ministério Público.
35. Nem a empresa MedicineOne nem a Direção Regional de Saúde apresentaram queixa.
36. BB, eventual titular dos dados, apenas apresentou reclamação disciplinar, sem pedido de medidas criminais, e mesmo após ser informado sobre o direito de queixa, não o exerceu. Nenhuma das hipóteses previstas no artigo 113.º, n.º 5 do Código Penal que autorizariam o Ministério Público a iniciar o procedimento sem queixa se verifica no caso concreto.
37. A Unidade de Saúde da Ilha do Pico a USIP não é utilizadora/usuária, nem detém qualquer controlo, propriedade nem titularidade sobre o sistema informático MedicineOne M1, sendo apenas um dos locais onde os profissionais de saúde o utilizam (ou seja, o local onde se encontram a trabalhar alguns utilizadores do sistema).
38. A gestão técnica e administrativa do sistema é centralizada na Direção Regional de Saúde, que é responsável pela configuração, segurança, permissões, senhas, correções e atualizações junto ao fornecedor. Depoimentos prestados em sede de instrução confirmam que a Unidade de Saúde não possui autonomia sobre o sistema, nem legitimidade para apresentar queixa.
39. Sem queixa válida, nos termos do artigo 242.º, n.º 3 do CPP, o processo não poderia ter sido iniciado, nem a Recorrente acusada. Ainda que se admitisse a existência de queixa — o que se nega — a Unidade de Saúde não teria legitimidade para apresentá-la, tornando o processo penal inadmissível. O princípio da economia processual reforça a necessidade de evitar atos inúteis, como a realização de audiência sem pressuposto processual válido.
40. A jurisprudência do Supremo Tribunal de Justiça (Acórdão de 11/02/2016) reconhece que a instrução é inadmissível quando os factos narrados jamais poderiam levar à condenação, e que a realização de atos inúteis viola o princípio da economia processual. O CPC pode ser aplicado ao CPP quando harmonizado com a lógica penal, como nos artigos 311.º e 420.º do CPP. O Acórdão do Tribunal da Relação de Lisboa (24/10/2024) reforça que a queixa é pressuposto essencial e que sua ausência pode ser conhecida a qualquer tempo, sendo infundado relegar sua análise para a audiência de julgamento. O STJ, no Acórdão n.º 2/95, também reconhece que a decisão sobre a legitimidade do Ministério Público não faz caso julgado formal, podendo ser revista até a decisão final.
Termos em que, ante a ausência do pressuposto de procedibilidade consubstanciado na inexistência de queixa (mesmo que se considerasse, por mera hipótese académica, a possibilidade de que a comunicação obrigatória legal fosse considerada uma queixa, a Unidade de Saúde não tem legitimidade para tanto), que obsta ao conhecimento do mérito da causa, requer seja dado provimento ao presente Recurso, anulando-se o Despacho recorrido, devido à nulidade por omissão de pronúncia e/ou pela manifesta incorreção da apreciação da prova e aplicação do direito ao caso concreto, substituindo-o por decisão que de imediato declare extinto o procedimento criminal contra a Recorrente, relativamente ao crime que lhe é imputado.
***
A Sra. PGA junto deste Tribunal da Relação pronunciou-se pela improcedência do recurso.
***
Foi cumprido o artº 417º, n.º 2 do C.P.P
***
II - Questões a decidir:
Conforme jurisprudência constante e amplamente pacífica, o âmbito dos recursos é delimitado pelas conclusões formuladas na motivação, sem prejuízo das questões de conhecimento oficioso (cf. Art.º 119º, nº 1; 123º, nº 2; 410º, n.º 2, alíneas a), b) e c) do CPP).
Tendo em conta este contexto normativo e o teor das conclusões apresentadas pelos arguidos recorrentes, há que analisar e decidir:
Do recurso interlocutório:
legitimidade do MP para prosseguir com a ação penal;
Do recurso da decisão final:
Validade da prova pericial;
Impugnação da matéria de facto quanto aos factos provados 5, 9 a 21 e factos não provados sob os Pontos A,B,C,D,E,F,H,I.
Enquadramento jurídico-penal.
***
III – FUNDAMENTAÇÃO:
A decisão recorrida de 12-09-2025 tem o seguinte teor:
“Os presentes autos iniciaram-se com a participação datada de 10-04-2023, com a referência Citius n.º 5125689, em que a Unidade de Saúde da Ilha do Pico, nos termos do artigo 179.º, n.º 4.º da Lei Geral em Funções Públicas, determina que quando os factos praticados pelo trabalhador sejam passíveis de serem considerados infração penal, dá-se obrigatoriamente notícia deles ao Ministério Público competente para promover o procedimento criminal, nos termos do artigo 242.º do Código de Processo Penal.
Da interpretação que realizamos da norma em causa, o legislador impõe um dever à entidade pública, pois a comunicação ao Ministério Público deverá ser realizada de forma “obrigatória”, como se pode ler no preceito em causa. Portanto, no momento em que essa comunicação é realizada, a mesma deve e tem que ser interpretada como uma participação (entenda-se queixa) do comportamento em causa.
Por conseguinte, existindo uma obrigatoriedade legal, por parte da entidade pública, de dar conhecimento ao Ministério Público da possível prática de factos que possam consubstanciar responsabilidade criminal, no momento em que a Unidade de Saúde da Ilha do Pico, enviou a participação ao Ministério Público, esta terá que ser interpretada como queixa contra a trabalhadora em causa.
A isto, cabe referir que o crime de acesso ilegítimo, consagrado no artigo 6.º, da Lei 109/2009, de 15 de setembro, tem natureza semipúblico, nos casos do n.º 1.º, 4.º e 6.º, conforme refere o n.º 7.º, todos do mesmo diploma legal. Por outras palavras, o procedimento criminal pelo crime aludido depende de queixa, configurando uma restrição à regra da legitimidade do Ministério Público para promoção do processo penal, conforme resulta do artigo 48.º do Código de Processo Penal.
Por sua vez, dispõe o artigo 49.º do Código de Processo Penal, quando o procedimento criminal depender de queixa, do ofendido ou de outras pessoas, é necessário que essas pessoas deem conhecimento do facto ao Ministério Público para que este promova o processo.
Considerando que nos presentes autos esse conhecimento foi transmitido ao Ministério Público, com o envio da documentação, consideramos que o direito de queixa foi exercício, legitimando a ação penal do Ministério Público.
Assim, e face ao exposto, indefiro a pretensão da arguida, por falta de cabimento legal, e mantenho a realização da audiência e discussão de julgamento para o dia e hora designados”
***
Comecemos pelo conhecimento do recurso interlocutório.
A arguida está condenada pela prática de um crime de acesso ilegítimo agravado, previsto e punido pelo artigo 6.º n.º 1.º e 4.º alínea a) da Lei n.º 109/2009 de 15 de setembro de 2009.
Insurge-se a recorrente contra o facto de o tribunal "a quo" ter decidido que o Ministério Publico tinha legitimidade para deduzir acusação quanto ao crime de acesso ilegítimo, alicerçando essa sua decisão no facto de, no seu entendimento (dele tribunal a quo), ter existido o envio da documentação por parte da administração da unidade de saúde do Pico efetuada ao abrigo do disposto no artigo 179º da Lei geral do trabalho em funções públicas.
Dispõe o número 7 do artigo 6º da Lei n.º 109/2009 de 15 de setembro de 2009 que – “Nos casos previstos nos nºs 1, 4 e 6 o procedimento penal depende de queixa”.
Deste modo, o crime em causa é um crime semipúblico, o que faz com que para o início do procedimento é necessária a queixa da pessoa com legitimidade para a exercer (por norma o ofendido ou seu representante legal ou sucessor).
Queixa, como ensina FIGUEIREDO DIAS «é o requerimento, feito segundo a forma e no prazo prescritos, através do qual o titular do respetivo direito (em regra o ofendido), exprime a sua vontade de que se verifique procedimento penal por um crime cometido contra ele ou contra pessoa com ele relacionada» (cfr. Direito Penal Português, As consequências jurídicas do crime, Aequitas, Editorial Notícias, 1993, p 665).
Os factos em causa foram levados ao conhecimento do MP, em 10-4-2023, através do ofício datado de 5-4-2023, assinado pela Presidente do Conselho de Administração da Unidade de Saúde do Pico, ao abrigo do diposto no artigo 179º da Lei geral do trabalho em funções públicas.
Pelos factos em causa foi instaurado processo disciplinar contra a arguida em 30-08-2022.
Os factos em causa foram levados ao conhecimento da Unidade de Saúde da Ilha do Pico através de carta remetida por BB, em 26-7-2022, no qual dá conta que a arguida acedeu aos seus dados médicos.
O MP, por despacho de 12-5-2023, qualificou os factos em causa como configurando um crime de acesso ilegítimo, previsto e punido pelo artigo 6.º, n.º 1, da Lei n.º 109/2009 de 15-9 e determinou, com base na comunicação acima referida, a abertura do inquérito.
O MP deduziu acusação contra a arguida, ora recorrente, imputando-lhe a prática de 1 (um) crime de acesso ilegítimo agravado, p.p. pelo artigo 6.º n.º 1 e 4 alínea a) da Lei n.º 109/2009 de 15 de Setembro de 2009 (Lei do Cibercrime), [em concurso aparente com 1 (um) crime de Acesso Indevido, p.p. nos termos do artigo 47.º, n. º1 da Lei 58/2019, 8 de Agosto, Lei de Protecção de Dados.]
Os factos imputados à arguida consistem em ter acedido, nos dias 04.04.2022, 21.04.2022, 21.06.2022, 22.06.2022, 23.06.2022, 24.06.2022, 27.06.2022, 06.07.2022, 15.07.2022, 26.07.2022, 03.08.2022, 19.08.2022 e 26.08.2022, quando se encontrava trabalhar no computador cssrp002, estação de trabalho do serviço de imagiologia, equipamento de raio x (RX) do centro de saúde de São Roque do Pico, através do seu perfil de acesso ao MediceOne, “…”, sem para tal estar autorizada e sem que BB necessitasse, em termos clínicos, o acesso ao ficheiro clínico daquele.
Da audição da testemunha BB, titular dos dados em causa, prestado na sessão de julgameto de 17-09-2025, o mesmo relatou, de forma inequivoca, que sabe a distinção entre procedimento disciplinar e criminal e que nunca exerceu e nem pretendeu exercer qualquer queixa-crime pelos factos em causa.
Dispõe o art. 49° nº 1 do CPP que: "Quando o procedimento criminal depender de queixa, do ofendido ou de outras pessoas, é necessário que estas deem conhecimento do facto ao Ministério Público, para que este promova o processo".
Por sua vez dispõe o nº 2 do mesmo normativo: "Para o efeito do número anterior, considera-se feita ao Ministério Público a queixa dirigida a qualquer outra entidade que tenha a obrigação legal de a transmitir àquele".
E dispõe o nº 3 daquele mesmo preceito que: "A queixa é apresentada pelo titular do direito respetivo ou por mandatário com poderes especiais".
Estipula o art º 113°, n º1 do Código Penal, sob a epigrafe "Titulares do Direito de Queixa" que: "Quando o procedimento criminal depender de queixa, tem legitimidade para apresentá-la, salvo disposição em contrário, o ofendido, considerando-se como tal o titular dos interesses que a lei especialmente quis proteger com a incriminação".
De acordo com o artigo 115º nº 1 do CP “O direito de queixa extingue-se no prazo de seis meses a contar da data em que o titular tiver tido conhecimento do facto e dos seus autores, ou a partir da morte do ofendido, ou da data em que ele se tiver tornado incapaz, exceto no caso do direito de queixa previsto no n.º 1 do artigo 178.º, que se extingue no prazo de um ano.”
A este propósito, o AC do STJ de 18-4-2012 fixou jurisprudência no seguinte sentido: «O prazo de seis meses para o exercício do direito de queixa, nos termos do artº 115º nº 1, do Código Penal, termina às 24 horas do dia que corresponda, no sexto mês seguinte, ao dia em que o titular desse direito tiver tido conhecimento do facto e dos seus autores; mas, se nesse último mês não existir dia correspondente, o prazo finda às 24 horas do último dia desse mês».
Dispõe o artigo 179º nº 4 da Lei Geral do Trabalho em Funções Públicas que: que, se factos praticados por um trabalhador público forem passíveis de constituir uma infração penal, é obrigatório dar conhecimento ao Ministério Público, nos termos do artigo 242º do CPP.
O artigo 242º do CPP prescreve as situações de denúncia obrigatória, quer para as autoridades policiais, quer para os funcionários, na aceção do artigo 386º do CP, quanto aos crimes que tomarem conhecimento no exercício das suas funções e por causa delas.
Por sua vez, o nº 3 do artigo 242º do CPP dispõe que- “Quando se referir a crime cujo procedimento dependa de queixa ou de acusação particular, a denúncia só dá lugar a instauração de inquérito se a queixa for apresentada no prazo legalmente previsto”.
Assim, nos crimes semipúblicos a promoção do procedimento criminal pelo Ministério Público está condicionada pela queixa da pessoa para tal legitimada; sem a queixa o Ministério Público não dispõe de legitimidade para promover o processo, instaurando o inquérito.
Conforme se extrai do artigo 246º do CPP, a denúncia, a queixa ou participação, como indistintamente a lei denomina, por crimes semipúblicos não está sujeita a formalidades especiais e, muito menos, a fórmulas sacramentais, bastando que exista uma manifestação inequívoca de vontade de que seja exercida a ação penal. O que é necessário e essencial é que dos termos da queixa ou dos que se lhe seguirem se conclua, de modo inequívoco, a manifestação de vontade de perseguir criminalmente o autor de um facto ilícito.
Assim sendo, a queixa basta-se com qualquer manifestação inequívoca do titular desse direito, no sentido de pretender desencadear o procedimento criminal.
Dispõe o artigo 6º nº 1 da Lei do Cibercrime que: «Quem, sem permissão legal ou sem para tanto estar autorizado pelo proprietário, por outro titular do direito do sistema ou de parte dele, de qualquer modo aceder a um sistema informático, é punido com pena de prisão até 1 ano ou com pena de multa até 120 dias».
Para melhor compreender o conceito do tipo incriminador em causa há que analisar a questão sob a ótica dos Direitos, Liberdades e Garantias consagrados na Constituição da República Portuguesa, nomeadamente nos artigos 34.º e 35, onde se protege o domicílio, o sigilo da correspondência e o acesso aos dados pessoais de terceiros, bem como na ótica dos direitos de personalidade, conforme as disposições constantes no artigo 80º do Código Civil.
Assim, o crime de acesso ilegítimo é praticado por quem atue de forma não autorizada, concretizando-se por qualquer modo normalmente idóneo de aceder abusivamente ou de modo não consentido a um sistema ou rede informáticos.
Tendo em conta os factos e a dinâmica processual acima descrita e tendo em conta o quadro normativo aplicável à situação concreta, não se suscitam dúvidas que estamos em presença de um crime semipúblico, o que faz com que a legitimidade do MP para promover a ação penal só se inicia com a apresentação de queixa pelo titular do direito em causa.
Dos factos acima identificados resulta, também, que o titular dos dados alegadamente acedidos pela arguida é o ofendido BB e que este nunca exerceu, ou pretendeu exercer, queixa-crime contra aquela pelos factos que relatou, em 26-7-2022, à Unidade de Saúde da Ilha do Pico.
Assim sendo, não restam dúvidas que o titular do direito de queixa, nos termos do artigo 113º nº 1 do CP, ou seja, o portador do bem jurídico protegido, nunca pretendeu desencadear o procedimento criminal contra a arguida, o que faz com o que MP, quando deu início ao procedimento criminal e à prática dos atos subsequentes, incluindo a acusação, não gozava de legitimidade para exercer a ação penal.
Para além disso, ao contrário do defendido no despacho recorrido, a comunicação feita ao MP pela unidade de saúde da Ilha do Pico, em 10-4-2023, na pendência do processo disciplinar, não configura o exercício de um direito de queixa, mas sim o cumprimento de uma obrigação legal (artigo 179º nº 4 da Lei Geral do Trabalho em Funções Públicas e artigo 242º nº 2 do CPP), que recai sobre todos os funcionários, na aceção do artigo 386º do CP, em comunicar ao MP todos os factos suscetíveis de configurar a prática de um crime, independentemente da natureza pública ou semipública do crime.
Conforme se escreve no Acórdão da Relação de Coimbra de 15/03/20 “a noção de queixa não se cinge à mera transmissão do facto com eventual relevância criminal ao Ministério Público, ou seja, não releva como queixa uma simples declaração de ciência acerca do facto. A queixa exige, ainda, que se manifeste nessa declaração uma vontade de ver o agente perseguido criminalmente pelo facto.
A este propósito diz Germano Marques da Silva que: A queixa distingue-se da denúncia na medida em que enquanto esta é mera manifestação de ciência [transmissão ao MP da ocorrência do crime], na queixa além desta declaração de ciência exige-se ainda uma manifestação de vontade de que seja instaurado um processo para procedimento criminal contra o agente [cfr. in Curso de Processo Penal, III, 2ª ed., págs. 55 a 59.]”.
Mas, ainda que se entendesse que aquela comunicação equivale a um exercício do direito de queixa, ainda assim esse direito estaria extinto por caducidade, por força do artigo 115º nº 1 do CP. Com efeito, a unidade de saúde da Ilha do Pico teve conhecimento dos factos em 26-7-2022, em 30-8-2022, decidiu instaurar processo disciplinar contra a arguida e somente em 10-4-20223, ou seja, decorridos quase 8 meses após esse conhecimento é que comunicou ao Ministério Público.
Em face do exposto, constituindo a queixa, no caso concreto, um pressuposto de admissibilidade do processo e uma limitação ao princípio da promoção oficiosa do processo penal, o seu não exercício conduz à falta de legitimidade do MP.
Verificamos, assim, que o MP não detinha legitimidade para deduzir nos presentes autos a mencionada acusação pública relativamente aos factos que consubstanciam a prática pela arguida do imputado crime de acesso ilegítimo agravado, previsto e punido pelo artigo 6.º n.º 1.º e 4.º alínea a) da Lei n.º 109/2009 de 15 de setembro de 2009, atenta a sua natureza semipública, por falta da queixa, relativamente a tais factos, dentro do prazo a que alude o citado artigo 115º, nº 1, do Código Penal.
A falta de legitimidade do MP conduz à extinção do procedimento criminal relativamente ao crime de acesso ilegítimo imputado à arguida.
Fica prejudicado, em face do que se acaba de decidir, o conhecimento das demais questões suscitadas no recurso principal.
IV – Dispositivo
Pelo exposto, acordam os juízes da 9ª Secção Criminal do Tribunal da Relação de Lisboa, em julgar procedente o recurso interlocutório, interposto em 7-10-2025 e, em consequência, revogar o despacho de 12-09-2025, bem como todos os atos subsequentes, incluindo o julgamento, declarando-se extinto, por falta de legitimidade do MP para promover o processo e deduzir a acusação, o procedimento criminal instaurado contra a arguida AA.
Sem custas – artigo 513º nº 1 do CPP
Notifique
Lisboa, 23 de Abril de 2026
Processado por computador e revisto pelo Relator (cf. art.º 94º, nº 2, do CPP).
Ivo Nelson Caires B. Rosa
Diogo Coelho de Sousa Leitão
Ana Paula Guedes |
