1614/25.1T9FAR.E1 - Tribunal da Relação de Évora

I- O apuramento da situação económica da arguida (uma unidade local de saúde) apenas releva para a aplicação da coima entre o montante mínimo e o montante máximo. No caso presente, tendo sido aplicadas à arguida quatro coimas pelos seus montantes mínimos, o apuramento da sua situação económica em nada alteraria o valor de tal coima;

II- A situação económica do infrator não tem, na determinação da medida da coima conjunta, o mesmo relevo que tem na determinação da medida das coimas em concurso (artigo 19º RGCO).

III- O financiamento das ULS não considera, à partida, a circunstância de as mesmas poderem ser responsáveis pelo pagamento de coimas. O seu financiamento está orientado para “refletir as necessidades de saúde da população abrangida e permitir um adequado planeamento da oferta de cuidados de saúde” (artigo 93º, nº 1 da Lei nº 52/2022, de 4 de agosto). O financiamento da recorrente para poder pagar a coima terá que resultar de critério diverso, ainda que as fontes [orçamento de estado (Base 23 da Lei de Bases da Saúde, aprovada pela Lei nº 95/2019, de 4 de setembro) e receitas próprias (nº 7 do artigo 93º, citado)] possam ser as mesmas.

Recurso penal (contraordenação) 1614/25.1T9FAR.E1

Acordam os Juízes na Secção Criminal do Tribunal da Relação de Évora:

I- Relatório.

Nos presentes autos de recurso de contraordenação que correm termos no Tribunal Judicial da Comarca de Faro, juízo local criminal de Faro, juiz 3, em que é arguida Unidade de Saúde Local de ... (de ora em diante designada por ULS ...), com os demais sinais identificadores constantes dos autos, foi proferida sentença que decidiu (no segmento que aqui interessa considerar):

a. Julgar improcedente, por não provado, o recurso da decisão administrativa do Centro Nacional de Cibersegurança no processo de contraordenação n.º DL65/38/2023, que aplicou à Unidade de Saúde Local de ... a coima única no valor de €10 000,00 pela prática das contraordenações consubstanciadas:

I. Na violação do artigo 4.º do Decreto-Lei n.º 65/2021, de 30 de julho, conjugado com o artigo 2.º do Regulamento n.º 183/2022, de 21 de fevereiro;

II. Na violação do artigo 5.º do Decreto-Lei n.º 65/2021, conjugado com o artigo 3.º do Regulamento n.º 183/2022;

III. Na violação do artigo 6.º, n.º 3 do Decreto-Lei n.º 65/2021, conjugado com o artigo 4.º, n.ºs 3 e 4 do Regulamento n.º 183/2022, e

IV. Na violação do artigo 8.º do Decreto-Lei n.º 65/2021, conjugado com o artigo 5.º do Regulamento n.º 183/2022,

punidas nos termos do disposto nos artigos 23.º e 25.º da Lei n.º 46/2018, de 13 de agosto, que estabelece o regime jurídico da segurança do ciberespaço (de ora em diante designada por “RJSC), aplicável por remissão do artigo 21.º, n.º 1 do Decreto-Lei n.º 65/2021, mantendo-se, por conseguinte, nos seus precisos termos, a decisão administrativa recorrida.

Inconformada, a arguida recorreu, tendo apresentado, após a motivação, as seguintes conclusões:

“I- Compulsada a sentença, não foram acautelados os concretos requisitos, nem atendidas as circunstâncias que depuseram a favor da ora Recorrente, em termos da determinação da medida da pena, consignada no artº 71º do CP, como se impunha;

II- Foi ignorada a ausência de condenações anteriores;

III- Foi ignorado o esforço da Recorrente que, em contexto pandémico, tudo fez para salvar vidas, vendo os seus recursos informáticos absorvidos numa reestruturação total de serviços e de forma de prestação do trabalho;

IV- Foi desconsiderado o facto da Recorrente ter de priorizar os cuidados de saúde e salvar vidas, num contexto pandémico.

V- Foi igualmente obnubilada a difícil situação financeira da Recorrente, cujos recursos visam a prestação de cuidados de saúde que ficam prejudicados, com o pagamento da coima.

VI- Não foi contabilizada a cooperação da Recorrente que afirmou não ter logrado cumprir a legislação que lhe competia;

VII- Foi ignorada pela sentença proferida, a conduta posterior da Recorrente que tem cumprido as suas obrigações, desde então;

VIII- Aqui chegados, é possível constatar que a sentença tem meras referências a estas circunstâncias concretas, todavia, o tribunal a quo não interpretou estes considerandos e não atendeu, na medida concreta da pena, às circunstâncias que depuseram a seu favor.

IX- Ao manter o valor da coima, nos exatos termos da contraordenação, no valor de 10.000,00 €, o tribunal a quo desatendeu às concretas circunstâncias da Recorrente, violando o disposto no artº 71º al. a) a f) do Código Penal.

X- Ao invés, se o tribunal a quo tivesse atentado em todas as circunstâncias que militaram a favor da Recorrente, teria de haver uma redução da coima, cumprindo-se o efeito útil da criação da norma, para esse efeito, artº 71º al a) a f) do C.P.”

Respondendo, o Ministério Público pugna pela improcedência do recurso, tendo formulado as seguintes conclusões:

A. - A recorrente veio interpor recurso da douta sentença que confirmou a decisão da autoridade administrativa alegando que a coima é excessiva

B. - Alega a Recorrente que:

- a recorrente é primária;

- os factos ocorreram em contexto pandémico;

- que a recorrente canalizou os seus recursos para salvar vidas e prestar cuidados de saúde;

- que não foi tida em conta a situação financeira da recorrente;

- que não foi tida em conta a colaboração da recorrente em todo o processo; e, finalmente

- não foi tida em conta o comportamento posterior da recorrente.

C. - Não colocando a recorrente em causa a matéria de facto, cumpre referir que o Tribunal a quo deu como não provado que “O descrito nos factos 2. a 6. ocorreu em contexto pandémico e de pressão sobre os hospitais.”

D. - Com efeito, resulta dos autos e da decisão ora recorrida que:

- a recorrente foi identificada como operadora de serviços essenciais, a 7 de agosto de 2019, e disso foi notificada;

- deveria ter enviado o relatório referente ao ano de 2021 à CNCS;

- a 11/11/2022, foi a recorrente notificada para cumprir com as obrigações em falta concedendo-se prazo adicional de 30 dias para o efeito;

- só depois de várias trocas de comunicações, a 8/5/2023 é que a recorrente cumpriu as obrigações a que estava sujeita.

E. - Pela violação:

- do art.º 4.º do Decreto-Lei n.º 65/2021, de 30 de julho, conjugado com o art.º 2.º do Regulamento n.º 183/2022, de 21 de fevereiro;

- do art.º 5.º do DL n.º 65/2021, conjugado com o art.º 3.º do Regulamento n.º 183/2022;

- do art.º 6.º, n.º 3 do DL n.º 65/2021, conjugado com o art.º 4.º, n.ºs 3 e 4 do Regulamento n.º 183/2022; e

- do art.º 8.º do DL n.º 65/2021, conjugado com o art.º 5.º do Regulamento n.º 183/2022.

F. - Foi a recorrente punida com coima de € 5.000,00 por cada infração (nos termos do disposto nos arts. 23.º e 25.º do RJSC, aplicável por remissão do art.º 21.º, n.º 1 do DL n.º 65/2021, as infrações são puníveis com coima entre € 10.000,00 (dez mil euros) e € 50.000,00 (cinquenta mil euros), no caso das pessoas coletivas, nos termos do disposto no art.º 24.º, n.º 1, b) e n.º 2 do RJSC, limites mínimo e máximo esses que, contudo, são reduzidos para metade, ou seja, para entre € 5.000,00 (cinco mil euros) e € 10.000,00 (dez mil euros), ao abrigo do art.º 25.º do mesmo diploma, em caso de negligência), isto é, pelo mínimo legal.

G. - O incumprimento das instruções de cibersegurança emitidas pelo CNCS foram consideradas pelo legislador como infrações muito graves, nos termos do disposto no artigo 23.º, n.º 1, b) do RJSC (aplicável por remissão do art.º 21.º, n.º 1 do DL n.º 65/2021)

H. - A recorrente não só incumpriu os prazos legais para as comunicações obrigatórias ao CNCS, como apenas as realizou quando já se encontravam também esgotados os prazos suplementares que ainda lhe foram concedidos por esta autoridade administrativa na tentativa de evitar a sua punição

I. - As fases agudas de pandemia pelo vírus SARS-COV-2 ocorreram durante os anos de 2020 e 2021, tendo existido dois confinamentos gerais à população, à data dos factos não existiam constrangimentos excecionais nas unidades de saúde portuguesas.

J. - Nestes termos e tendo em conta, todas as circunstâncias elencadas, a aplicação de uma coima única no valor de € 10.000,00 (dez mil euros) – situada no meio da moldura (mínimo € 5.000,00 e máximo de € 20.000,00), reflete a gravidade do incumprimento e o grau de culpa da recorrente demonstrado ao longo do processo administrativo.

K. - Termos em que, nenhum reparo merece a sentença ora recorrida.

O Excelentíssimo Senhor Procurador-Geral Adjunto neste Tribunal da Relação, pronunciou-se no sentido de dever ser mantida a sentença recorrida, complementando a argumentação do Ministério Público da primeira instância, invocando que a coima conjunta aplicada se situa no primeiro terço da moldura aplicável.

Foi cumprido o disposto no art.º 417.º, n.º 2 do Código de Processo Penal.

A recorrente não respondeu.

Procedeu-se a exame preliminar.

Colhidos os vistos legais e tendo sido realizada a conferência, cumpre apreciar e decidir.

II- Fundamentação.

II. I Delimitação do objeto do recurso.

Nos termos consignados no artigo 412º nº 1 do Código de Processo Penal e atendendo à jurisprudência fixada pelo Acórdão do Plenário da Secção Criminal do Supremo Tribunal de Justiça n.º 7/95, de 19 de outubro de 1995, publicado no DR, I-A de 28 de dezembro de 1995, o objeto do recurso é delimitado pelas conclusões formuladas pelo recorrente na sua motivação, as quais definem os poderes cognitivos do tribunal “ad quem”, sem prejuízo de poderem ser apreciadas as questões de conhecimento oficioso.

Em obediência a tal preceito legal, a motivação do recurso deverá enunciar especificamente os fundamentos do mesmo e deverá terminar pela formulação de conclusões, deduzidas por artigos, nas quais o recorrente resume as razões do seu pedido, de forma a permitir que o tribunal superior apreenda e conheça das razões da sua discordância em relação à decisão recorrida.

Em sede contraordenacional, os tribunais de recurso apenas conhecem de direito, nos termos do artigo 75º, nº 1 do Decreto-Lei 433/82 de 27 de outubro (diploma que instituiu o ilícito de mera ordenação social e respetivo processo, de ora em diante designado por RGCO), não havendo, não obstante a ressalva da primeira parte da citada norma (“se o contrário não resultar deste diploma”), exceções previstas no RGCO (Simas Santos e Lopes de Sousa, Contraordenações, Anotações ao Regime Geral, Visilis, 2001, página 421) ou nos diplomas que regulam o Regime Jurídico da Segurança no Ciberespaço (Lei n.º 46/2018, de 13 de agosto e Decreto-Lei n.º 65/2021, de 30 de julho).

A recorrente – sem prejuízo da observação que adiante se fará – não questiona a matéria de facto julgada provada e não provada na sentença. Também não põe em causa que cometeu as infrações pelas quais foi condenada.

Considerando as conclusões extraídas pelo recorrente da respetiva motivação, a única questão a apreciar e a decidir consiste, essencialmente, em saber se a coima conjunta aplicada deve, em face dos factos provados, ser reduzida.

II. II – Apreciação do recurso

Apesar de anunciar que o recurso versa apenas sobre matéria de direito (artigo 3º e ponto III da motivação de recurso), a recorrente acaba por invocar em seu favor factos (como se provados estivessem) que o tribunal julgou não provados.

É o que ocorre na conclusão III, na parte em que se refere ao contexto pandémico. O tribunal julgou não provado que os factos consubstanciadores das contraordenações ocorreram em período pandémico.

Também a conduta posterior aos factos, invocado na conclusão VII não tem respaldo na matéria de facto.

Considerando que este Tribunal apenas pode conhecer de direito, o recurso não será apreciado na parte em que pressupõe a consideração dos referidos factos.

Não se detetam na sentença recorrida nulidades a que se referem os artigos 379º, 410º, nº 2 e 3 do do Código de Processo Penal.

Vejamos, então, as razões do recorrente.

II. III. A decisão recorrida

É o seguinte o teor da decisão recorrida, na parte que aqui interessa considerar:

“Dão-se como provados os seguintes factos, com relevância para a presente decisão: (…)

1. A arguida foi notificada, pelo Centro Nacional de Cibersegurança (“CNCS”), como operadora de serviços essenciais, no mês de agosto de 2019.

2. Por comunicação datada de 11 de novembro de 2022, a arguida foi notificada, pelo CNCS, nos seguintes termos:

“Tendo o/a Centro Hospitalar .... sido identificado como Operador de Serviço Essencial no âmbito da aplicação da Lei n.º 46/2018, de 13 de agosto, que estabelece o regime jurídico de segurança do Ciberespaço, e do Decreto-Lei n.º 65/2021, de 30 de julho, de que decorre o cumprimento das respetivas obrigações legais, informa o Centro Nacional de Cibersegurança ter, no decurso das suas competências de supervisão, detetado que à data de 24 de outubro de 2022, o/a Centro Hospitalar .... se encontrava em situação de incumprimento de comunicação ou de entrega ao CNCS da(s) seguinte(s) obrigação(ões), definidas no citado Decreto-Lei n.º 65/2021:

a. Ponto de contacto Permanente (art.º 4.º);

b. Responsável de segurança designado (art.º 5.º);

c. Lista de ativos constante do inventário (art.º 6.º);

d. Relatório Anual, devidamente assinado pelo responsável de segurança (art.º 8.º);

O Centro Nacional de Cibersegurança alerta que às infrações ao disposto no Decreto-Lei n.º 65/2021 é aplicável o regime sancionatório previsto no Regime Jurídico da Segurança do Ciberespaço, aprovado pela Lei n.º 46/2018, de 13 de agosto.

Nesse sentido, solicita-se ao cumprimento das obrigações a que se referem as alíneas a) e b) até 30 dias corridos após a data desta notificação, e o cumprimento da(s) obrigação(ões) a que se referem as alíneas c) e d) até ao dia 15 de janeiro de 2023, sob o risco de execução do procedimento contraordenacional estabelecido”.

3. A arguida indicou, a 10 de fevereiro de 2023, o ponto de contacto permanente e o responsável de segurança, a lista de ativos e o relatório anual referente ao ano de 2022, através de mensagem para o endereço de correio eletrónico [email protected].

4. O CNCS respondeu no dia 5 de maio de 2023 ao e-mail mencionado no facto anterior, solicitando o envio do relatório anual referente a 2021.

5. A arguida remeteu, a 8 de maio de 2023, o relatório anual referente ao ano de 2021.

6. Enquanto operadora de serviço essencial, a arguida não desconhecia as obrigações a que se encontrava adstrita nos termos do Regime Jurídico da Segurança do Ciberespaço, sendo que os factos acima descritos apontam para uma falha no cuidado devido.

7. A arguida não possui antecedentes contraordenacionais junto do CNCS.

Factos não provados (…)

a. O descrito nos factos 2. a 6. ocorreu em contexto pandémico e de pressão sobre os hospitais.”

(…)

IV- FUNDAMENTAÇÃO DE DIREITO

i. Da responsabilidade contraordenacional da arguida

Estabelece-se no art.º 2.º, n.º 1 do Decreto-Lei n.º 65/2021, de 30 de julho, o qual procede à regulamentação do RJSC, aprovado pela Lei n.º 46/2018, que aquele Decreto-Lei se aplica às entidades previstas nas alíneas a) a d) do n.º 1 do art.º 2.º do RJSC – incluindo, portanto, a Administração Pública (Estado, regiões autónomas, autarquias locais, entidades administrativas independentes, institutos públicos, empresas públicas e associações públicas), os operadores de infraestruturas críticas, os operadores de serviços essenciais, os prestadores de serviços digitais e quaisquer outras entidades que utilizem redes e sistemas de informação.

É de referir que, de acordo com o art.º 29.º, n.ºs 1 e 2 do RJSC, o CNCS identifica os operadores de serviços essenciais, sendo esta identificação objeto de atualização anual.

Estabelece-se no art.º 4.º, n.º 1 do Decreto-Lei n.º 65/2021, de 30 de julho, que as entidades abrangidas devem indicar pelo menos um ponto de contacto permanente, com vista a assegurar os fluxos de informação de nível operacional e técnico com o CNCS. De acordo com o n.º 4 do mesmo artigo, para as entidades que tenham iniciado atividade antes da entrada em vigor daquele Decreto-Lei, a indicação deve ser feita no prazo de 20 (vinte) dias úteis a contar do prazo previsto no art.º 23.º, n.º 2 do mesmo diploma, ou seja, 90 (noventa) dias após a sua entrada em vigor. Deve, ainda, conter as menções constantes do art.º 2.º, n.º 2 do Regulamento n.º 183/2022, de 21 de fevereiro.

Por outro lado, nos termos do art.º 5.º, n.ºs 1 a 3 do DL n.º 65/2021 e do art.º 3.º do Regulamento n.º 183/2022, estas entidades devem designar um responsável de segurança, a ser indicado ao CNCS em igual prazo.

Devem, também, à luz do art.º 6.º, n.ºs 1 e 3, a) e b) do DL n.º 65/2021 e do art.º 6.º do Regulamento n.º 183/2022, elaborar e manter atualizado um inventário de todos os ativos essenciais para a prestação dos respetivos serviços, devendo o mesmo ser assinado pelo responsável de segurança, a ser entregue anualmente, em conjunto com o relatório anual.

Por seu turno, este último deve conter as menções constantes das alíneas do art.º 8.º, n.º 1 do DL n.º 65/2021, e, em obediência ao n.º 2, als. a) e b) do mesmo artigo (em conjugação com o art.º 5.º do Regulamento n.º 183/2022), deve ser entregue ao CNCS, no caso do primeiro relatório anual, até ao último dia útil do mês de janeiro do ano civil seguinte ao primeiro civil de atividade (quando esta tenha tido início no primeiro semestre) ou até ao último dia útil do mês de janeiro do segundo ano civil seguinte ao primeiro ano civil de atividade (quando esta haja tido início no segundo semestre), e, no caso dos relatórios subsequentes, até ao último dia útil do mês de janeiro do ano civil seguinte aos quais se reportam.

A isto acresce que, à luz do disposto no art.º 7.º, n.º 5 do RJSC, o CNCS tem o poder de emitir instruções de cibersegurança.

Como já vimos, o art.º 21.º, n.º 1 do DL n.º 65/2021 remete para o regime sancionatório previsto no RJSC, cujo art.º 23.º, n.º 1, b) prevê, como infração muito grave, o incumprimento de instruções de cibersegurança emitidas pelo CNCS.

Nos termos do n.º 2 do art.º 23.º do RJSC, as infrações muito graves são punidas com coima entre € 10.000,00 (dez mil euros) e € 50.000,00 (cinquenta mil euros), no caso das pessoas coletivas, mas tais limites são reduzidos para metade, ou seja, para entre € 5.000,00 (cinco mil euros) e € 10.000,00 (dez mil euros) em caso de negligência, ao abrigo do art.º 25.º do mesmo regime.

Deste modo, o tipo objetivo corresponde à omissão, por uma entidade abrangida (designadamente, uma operadora de serviços essenciais) do envio das informações relativas ao ponto de contacto permanente, ao responsável de segurança, ao inventário de ativos e aos relatórios anual, nos prazos legais (acima explicitados) e determinados pelo CNCS.

Em relação ao tipo subjetivo, por remissão dos arts. 21.º, n.º 1 do DL n.º 65/2021, 28.º do RJSC, e 41.º, n.º 1 do RGCO, poderá o agente, desde logo, atuar com dolo, que pode ser direto (conhecimento e vontade de prática dos factos – cf. art.º 14.º, n.º 1 do Código Penal (“CP”), por remissão das normas que acabámos de referir), necessário (representação do facto como consequência necessária da sua conduta – cf. art.º 14.º, n.º 2 do CP) ou eventual (representação do facto como consequência possível da sua conduta, conformando-se o agente com a realização do mesmo).

Também poderá atuar com negligência, nos termos do art.º 25.º do RJSC (aplicável por remissão do art.º 21.º, n.º 1 do DL n.º 65/2021), completado pelas disposições do CP sobre esta matéria, uma vez mais por remissão dos arts. 28.º do RJSC e 41.º, n.º 1 do RGCO. A negligência implica que o agente não tenha adequado a sua conduta ao cuidado a que, de acordo com as circunstâncias, estava obrigado e de que era capaz, nos termos do art.º 15.º do CP, podendo tratar-se de negligência consciente (se o agente representa como possível a realização do facto, sem se conformar com a mesma – cf. art.º 15.º, a) do CP) ou inconsciente (se não chega sequer a representar a verificação do facto – cf. art.º 15.º, b) do CP).

Conforme decorre do facto 1., a arguida foi devidamente identificada pelo CNCS como entidade prestadora de serviços essenciais em agosto de 2019; e, à luz dos factos 2. a 5., indicou àquela autoridade administrativa o ponto de contacto permanente, o responsável de segurança e a lista de ativos apenas a 10 de fevereiro de 2023, indicando o relatório anual referente ao ano de 2021 apenas a 8 de maio de 2023.

Agiu deste modo não obstante, como vimos, estar obrigada a indicar o ponto de contacto permanente e o responsável de segurança no prazo de 90 (noventa) dias após a entrada em vigor do DL n.º 65/2021, de 30 de julho (que ocorreu no vigésimo dia após a sua publicação, nos termos do respetivo art.º 23.º, n.º 1); e o inventário de ativos, juntamente com o relatório anual, até ao dia 31 de janeiro do ano civil seguinte em relação àquele a que se reportam.

A tal acresce ter sido notificada, por comunicação datada de 11 de novembro de 2022, para cumprir aquelas obrigações, tendo-lhe sido concedido para tal um prazo adicional (30 dias contados após a notificação, no caso do ponto de contacto permanente e do responsável de segurança, e 15 de janeiro de 2023, no caso do inventário de ativos e do relatório anual).

Assim, dúvidas não restam de que se encontra preenchido o tipo objetivo da contraordenação imputada à ora Recorrente.

No que se refere ao tipo subjetivo, o mesmo também se encontra verificado, atendendo ao facto provado 6., no sentido de que a Recorrente não desconhecia as obrigações a que se encontrava adstrita nos termos do Regime Jurídico da Segurança do Ciberespaço, atuando com uma falta das cautelas devidas, mas que, atentas as circunstâncias, não podia ignorar, tendo, pois, atuado com negligência consciente.

Pelo exposto, deve a Recorrente ser responsabilizada pela prática de cada uma das contraordenações consubstanciadas na violação do art.º 4.º do Decreto-Lei n.º 65/2021, de 30 de julho, conjugado com o art.º 2.º do Regulamento n.º 183/2022, de 21 de fevereiro; na violação do art.º 5.º do DL n.º 65/2021, conjugado com o art.º 3.º do Regulamento n.º 183/2022; na violação do art.º 6.º, n.º 3 do DL n.º 65/2021, conjugado com o art.º 4.º, n.ºs 3 e 4 do Regulamento n.º 183/2022; e na violação do art.º 8.º do DL n.º 65/2021, conjugado com o art.º 5.º do Regulamento n.º 183/2022 – sendo todas punidas nos termos do disposto nos arts. 23.º e 25.º do RJSC, aplicável por remissão do art.º 21.º, n.º 1 do DL n.º 65/2021.

Acerca do defendido pela Recorrente quanto à aplicação da sanção de admoestação, veja-se que esta se encontra prevista no art.º 51.º, n.º 1 do RGCO para os casos em que a reduzida gravidade da infração e da culpa do agente o justifiquem.

Ora, como já vimos, é o próprio legislador que, no art.º 23.º, n.º 1, b) do RJSC (aplicável por remissão do art.º 21.º, n.º 1 do DL n.º 65/2021), qualifica como infração muito grave o incumprimento de instruções de cibersegurança emitidas pelo CNCS, o que, desde logo, dificilmente se compaginaria com a aplicação nestes casos de uma sanção de admoestação, expressamente reservada a casos de reduzida gravidade da infração e da culpa – e, com efeito, as circunstâncias do caso concreto não afastam essa indiciação, antes pelo contrário, na medida em que a arguida não só incumpriu os prazos legais para as comunicações obrigatórias ao CNCS como apenas as realizou quando já se encontravam também esgotados os prazos suplementares que ainda lhe foram concedidos por esta autoridade administrativa.

Por estas precisas razões – e mesmo tendo em conta a posição sustentada em Acórdão do Tribunal de Évora de 15 de dezembro de 2022 (n.º proc. 619/22.9T8SLV.E1), no sentido de que “se a integração dum tipo de ilícito contraordenacional, reputado como grave em abstracto pela norma, assume uma natureza indiciária dessa mesma gravidade a qual não é necessariamente coincidente com as concretas circunstâncias sujeitas a julgamento e, se as circunstâncias do caso concreto podem apontar em concreto para uma diminuta ilicitude e gravidade, então a valoração destas últimas poderá – deverá, atrevemo-nos a dizer - ser atendida dentro da moldura sancionatória que cabe ao ilícito sem necessariamente cair numa punição diversa ou substitutiva” (posição esta com a qual se concorda) – não se podem entender como desproporcionais as coimas de € 5.000,00 (cinco mil euros) aplicadas a cada uma das infrações, aliás correspondentes ao mínimo legal para pessoas coletivas em caso de negligência, nem a coima única de € 10.000,00 (dez mil euros), a qual não só respeita os limites impostos pelo art.º 19.º do RGCO como é adequada, nos termos do disposto no art.º 19.º do RGCO, ao facto de se terem verificado quatro infrações, de a arguida ter atuado com negligência consciente, o que não pode deixar de se refletir num grau de culpa relativamente acentuado, de não se vislumbrar como a arguida não possa ter recursos financeiros para suportar aquela coima (enquanto entidade pública empresarial, com capital estatutário detido pelo Estado) e de, como mais uma vez se salienta, a arguida ter não só incumprido os prazos legais estabelecidos para as comunicações obrigatórias como também desrespeitado os prazos adicionais fixados pelo CNCS.”

Não sofre dúvida – nem tal é posto em causa pela recorrente, o que nos dispensa de tecer mais considerações – que a ULS ... incorreu nas contraordenações que conduziram à sua condenação, tendo aquelas sido cometidas por negligência.

Assim e como se referiu supra, a única questão a apreciar e a decidir consiste essencialmente em saber se a coima conjunta aplicada deve, em face dos factos provados, ser reduzida. No que respeita às coimas “parcelares” a questão não se coloca, já que, como se verá, a recorrente foi condenada em coimas de valor correspondente ao limite mínimo aplicável (€5 000,00).

Antes de mais, deve ter-se presente que, no caso dos recursos sobre a coima ou sobre a medida da coima, tal como ocorre nos recursos da pena e da respetiva medida, ao tribunal “ad quem” caberá verificar o respeito pelas normas e pelos princípios gerais que regulam tal matéria. E tão somente isso.

Conforme é amplamente aceite pela jurisprudência dos tribunais superiores, o sistema de recursos no processo penal português tem como escopo a correção dos erros ocorridos na primeira apreciação judicial dos factos e na sua subsunção ao direito. Daqui resulta que o tribunal de recurso só deve intervir na escolha da coima e da sua medida concreta quando detetar incorreções no processo da sua determinação, quer ao nível da valoração factual, quer no que diz respeito à aplicação das normas legais que regem a matéria em causa. Tal sindicância não abrange, pois, a fiscalização do quantum exato de coima, na perspetiva da realização de uma nova determinação da mesma, devendo manter-se a coima concretamente aplicada sempre que se verifique que a sua fixação assentou numa correta aplicação dos princípios e regras legais e constitucionais e que, consequentemente, não se revela desajustada, nem desproporcionada.

Estabelecida a margem de atuação deste Tribunal da Relação no presente recurso, importa ter presentes os princípios basilares e orientadores da matéria que temos em análise.

Dispõe o artigo 18º do RGCO, sob a epígrafe “determinação da medida da coima”:

1- A determinação da medida da coima faz-se em função da gravidade da contraordenação, da culpa, da situação económica do agente e do benefício económico que este retirou da prática da contraordenação.

2- Se o agente retirou da infração um benefício económico calculável superior ao limite máximo da coima, e não existirem outros meios de o eliminar, pode este elevar-se até ao montante do benefício, não devendo, todavia, a elevação exceder um terço do limite máximo legalmente estabelecido.

3- Quando houver lugar à atenuação especial da punição por contraordenação, os limites máximo e mínimo da coima são reduzidos para metade.

No caso de concurso de contraordenações, dispõe o artigo 19º do mesmo diploma legal:

1- Quem tiver praticado várias contraordenações é punido com uma coima cujo limite máximo resulta da soma das coimas concretamente aplicadas às infrações em concurso.

2- A coima aplicável não pode exceder o dobro do limite máximo mais elevado das contraordenações em concurso.

3- A coima a aplicar não pode ser inferior à mais elevada das coimas concretamente aplicadas às várias contraordenações.

Diversamente do que parece resultar das alegações de recurso (conclusões I, IX e X), ao caso não é aplicável o disposto no artigo 71º do Código Penal (por via do disposto no artigo 32º do RGCO). A determinação da espécie e medida da reação contraordenacional é feita com base nos critérios constantes das disposições acabadas de reproduzir.

Concatenando os artigos 4º (conjugado com artigo 2º do Regulamento nº 183/2022, de 21 de fevereiro), 5º (conjugado com o art.º 3º do mesmo regulamento), 6º, nº 3 (conjugado com o artigo 4º, nº 3 e 4 do mesmo regulamento), 8º (conjugado com o artigo 5º do citado regulamento) e 21º, nº 1 do Decreto-Lei n.º 65/2021, de 30 de julho com os artigos 23º, nº 1 e 2 e 25º do RJSC, conclui-se que cada infração é punível com coima de €5 000,00 a €25 000,00 (e não €10 000,00, como, por lapso, se escreveu na sentença e nas conclusões da resposta ao recurso apresentado pelo Ministério Público na primeira instância).

A recorrente foi punida, por cada uma das infrações, em coima no valor de €5 000,00, valor que coincide com o mínimo aplicável a cada infração. O tribunal "a quo" ponderou a possibilidade de aplicar a admoestação, tendo afastado tal possibilidade, fundamentando a decisão. A recorrente não reagiu, nesta parte, contra a decisão do tribunal.

Por este motivo, se deixou referido que a questão a apreciar consiste apenas em saber se a coima conjunta aplicada deve, em face dos factos provados, ser reduzida.

Recorda-se que a sentença recorrida fundamentou a medida da coima conjunta na circunstância de as coimas parcelares resultarem da prática de quatro contraordenações legalmente classificadas de “muito graves”, tendo as mesmas sido cometidas com negligência consciente, o que, no entender do tribunal "a quo" reflete um grau de culpa relativamente acentuado. Ponderou ainda a circunstância de a recorrente ser uma “entidade pública empresarial, com capital estatutário detido pelo Estado”, concluindo “não se vislumbrar como a arguida não possa ter recursos financeiros para suportar aquela coima”. Por fim, a sentença considerou que o facto de a recorrente “ter não só incumprido os prazos legais estabelecidos para as comunicações obrigatórias como também desrespeitado os prazos adicionais fixados pelo CNCS” constitui circunstância que depõe, do pondo de vista da carga de ilicitude, contra a recorrente.

Tendo em conta as citadas circunstâncias, que se retiram dos factos provados e o preceituado no artigo 19º acima reproduzido, verifica-se que a coima conjunta aplicada se afigura adequada.

Com efeito, tendo a moldura abstrata aplicável o mínimo de €5 000,00 (correspondente ao valor da coima mais elevada) e o máximo de €20 000,00 (correspondente ao valor da soma de todas as coimas aplicadas), verifica-se que a coima efetivamente aplicada (€10 000,00) se situa, ainda assim e como bem refere o Ministério Público junto desta Relação, no primeiro terço da medida abstrata da coima aplicável. Mais rigorosamente, situa-se no ponto mais elevado do primeiro terço e no ponto inferior do termo médio.

Não se vislumbram motivos para alterar tal coima conjunta, fixando-a num valor ainda mais próximo do limite mínimo da moldura abstrata correspondente.

Em favor da recorrente pesa apenas a circunstância de não ter antecedentes em matéria contraordenacional registados no CNCS, sendo ainda certo que se pode retirar da sentença que, com a prática das infrações cometidas, a recorrente não obteve qualquer benefício económico.

No mais, o esforço desenvolvido pela recorrente em contexto pandémico (conclusões III e IV) não tem relação com as infrações em causa nos presentes autos, tendo em conta que foi julgado não provado que aquelas infrações foram cometidas em naquele contexto.

A situação económica da recorrente foi desvalorizada pelo tribunal "a quo" por considerar que a arguida se insere no setor empresarial do Estado, não sendo os seus recursos financeiros óbice ao pagamento da coima.

Concorda-se com o esse juízo. Note-se que o financiamento das ULS ... (da ULS ... e de quaisquer outras) não considera, à partida, a circunstância de as mesmas poderem ser responsáveis pelo pagamento de coimas. O seu financiamento está orientado para “refletir as necessidades de saúde da população abrangida e permitir um adequado planeamento da oferta de cuidados de saúde” (artigo 93º, nº 1 da Lei nº 52/2022, de 4 de agosto). O financiamento da recorrente para poder pagar a coima terá que resultar de critério diverso, ainda que as fontes [orçamento de estado (Base 23 da Lei de Bases da Saúde, aprovada pela Lei nº 95/2019, de 4 de setembro) e receitas próprias (nº 7 do artigo 93º, citado)] possam ser as mesmas.

A argumentação segundo a qual “foi (…) obnubilada a difícil situação financeira da Recorrente, cujos recursos visam a prestação de cuidados de saúde que ficam prejudicados, com o pagamento da coima” (conclusão V), não tem, assim, o mérito que lhe é reconhecido pela recorrente. Todos os recursos de qualquer ULS ... visam a prestação de cuidados de saúde. Mas, daqui não se segue que, sempre que uma ULS ... incorre numa contraordenação, terá que ser punida com uma coima de valor correspondente ao mínimo legal.

O apuramento da situação económica da arguida apenas releva para a aplicação da coima entre o montante mínimo e o montante máximo. Ora, no caso presente, tendo sido aplicadas à arguida as coimas pelos seus montantes mínimos, o apuramento da sua situação económica em nada alteraria o valor de tal coima (neste sentido e até para maior desenvolvimento, veja-se o acórdão do Tribunal da Relação de Évora, de 27 de outubro de 2022, publicado em www.dgsi.pt, processo 4/22.2Y2STR.E1). Tal como se retira do artigo 19º acima reproduzido, a situação económica do infrator não tem, na determinação da medida da coima conjunta, o mesmo relevo que tem na determinação da medida das coimas em concurso.

O invocado na conclusão VI do recurso não tem qualquer relevo para a determinação da coima conjunta: o que resulta da sentença recorrida é que a recorrente incumpriu as suas obrigações para com o CNCS e só veio a observá-las depois de ter transcorrido o prazo acrescido que aquela entidade lhe concedeu. Tal foi considerado na sentença recorrida como circunstância que depõe contra a recorrente, e bem.

Recorde-se que as infrações cometidas estão inseridas em diplomas que transpõem para a ordem jurídica portuguesa o Regulamento (UE) 2019/881 do Parlamento Europeu, de 17 de abril de 2019, que tem em vista assegurar o bom funcionamento do mercado interno e, simultaneamente, alcançar um nível elevado de cibersegurança, de ciber-resiliência e de confiança no seio da União (artigo 1º). Cibersegurança são todas as atividades necessárias para proteger de ciberameaças as redes e os sistemas de informação, os seus utilizadores e outras pessoas afetadas, o que é essencial quando se está perante infraestruturas críticas ou essenciais (artigo 1º da Lei nº 65/2021, de 30 de julho). A partilha de informação exigida pelas normas infringidas e a sua receção pela entidade responsável (Centro Nacional de Cibersegurança) é essencial para a avaliação da segurança dos sistemas informáticos e as boas práticas dos respetivos operadores.

Trata-se de obrigações transversais a todos os operadores de infraestruturas com as características referidas de toda a União Europeia, sendo certo que falhas ou fragilidades de cibersegurança numa infraestrutura podem por em causa todas as demais.

Significa, pois, que as infrações cometidas não se traduzem num mero incumprimento de uma formalidade, mas sim na violação de um dever importante. Os valores aplicáveis das coimas traduzem essa importância.

A ponderação que se fez na sentença das circunstâncias relevantes para a determinação da coima conjunta foi adequada, não merecendo qualquer censura.

Em resumo, não se vislumbra qualquer motivo para alterar o decidido pela primeira instância, devendo manter-se, pois, a decisão recorrida.

III- Dispositivo.

Por tudo o exposto, acordam os Juízes na Secção Criminal do Tribunal da Relação de Évora em negar provimento ao recurso e, consequentemente, em confirmar a decisão recorrida.

Condena-se o recorrente em taxa de justiça que se fixa em quatro unidades de conta (artigo 513º, nº 1 do Código de Processo Penal e artigo 8º, nº 9 e tabela III do Regulamento das Custas Processuais).

Redigido com apelo ao Acordo Ortográfico (ressalvando-se os elementos reproduzidos a partir de peças processuais, nos quais se manteve a redação original).

(Processado em computador pelo relator e revisto integralmente pelos signatários)

Évora, 27 de janeiro de 2026

Henrique Pavão

Maria José Cortes

Fátima Bernardes