–

za JH: M. Mandzák, L. Nezpěvák a L. Trojan, advokáti,

–

za českou vládu: M. Smolek, O. Serdula, J. Vláčil, T. Suchá a L. Březinová, jako zmocněnci,

–

za Irsko: M. Browne, Chief State Solicitor, A. Joyce a D. O’Reilly, jako zmocněnci, ve spolupráci s: A. Mulligan, BL,

–

za nizozemskou vládu: J. Langer, jako zmocněnec,

–

za polskou vládu: B. Majczyna, jako zmocněnec,

–

za Evropskou komisi: A. Bouchagiar, H. Kranenborg, P. Němečková a F. Wilman, jako zmocněnci,

1

Žádost o rozhodnutí o předběžné otázce se týká výkladu čl. 4 odst. 1 písm. c) a e), článku 6, čl. 8 odst. 2 a článku 10 směrnice Evropského parlamentu a Rady (EU) 2016/680 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, o volném pohybu těchto údajů a o zrušení rámcového rozhodnutí Rady 2008/977/SVV (Úř. věst. 2016, L 119, s. 89).

2

Tato žádost byla předložena v rámci sporu mezi JH a Policejním prezidiem (Česká republika) týkajícího se zejména shromažďování biometrických a genetických údajů o JH v rámci trestního řízení a jejich uchovávání Policií České republiky.

3

Body 1, 2, 26, 33, 37 a 96 odůvodnění směrnice 2016/680 znějí následovně:

[...]

[...]

[...]

[...]

[...]“

4

Článek 1 této směrnice, nadepsaný „Předmět a cíle“, v odstavci 1 stanoví:

„Tato směrnice stanoví pravidla týkající se ochrany fyzických osob v souvislosti se zpracováním osobních údajů příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, včetně ochrany před hrozbami pro veřejnou bezpečnost a jejich předcházení.“

5

Článek 2 uvedené směrnice, nadepsaný „Oblast působnosti“, v odstavci 1 stanoví:

„Tato směrnice se vztahuje na zpracování osobních údajů příslušnými orgány pro účely uvedené v čl. 1 odst. 1.“

6

Článek 3 téže směrnice, nadepsaný „Definice“, zní takto:

„Pro účely této směrnice se rozumějí:

[...]

[...]“

7

Článek 4 směrnice 2016/680, nadepsaný „Zásady zpracování osobních údajů“, v odstavci 1 stanoví:

„Členské státy zajistí, aby byly osobní údaje:

[...]“

8

Článek 5 této směrnice, nadepsaný „Doba uložení osobních údajů a přezkum“, zní takto:

„Členské státy stanoví, že budou určeny přiměřené lhůty pro výmaz osobních údajů nebo pro pravidelný přezkum potřeby uložení osobních údajů. Jejich dodržování zajistí procesní opatření.“

9

Článek 6 uvedené směrnice, nadepsaný „Rozlišování mezi různými kategoriemi subjektů údajů“, stanoví:

„Členské státy stanoví, že správce, v příslušných případech a pokud je to možné, musí jasně rozlišovat mezi osobními údaji různých kategorií subjektů údajů, například:

10

Článek 8 téže směrnice, nadepsaný „Zákonnost zpracování“, stanoví:

„1.   Členské státy stanoví, že zpracování je zákonné, pouze pokud je nezbytné ke splnění úkolu prováděného příslušným orgánem pro účely stanovené v čl. 1 odst. 1 a v rozsahu nezbytném pro tyto účely a pokud má základ v právu Unie nebo členského státu.

2.   Právo členského státu upravující zpracování v oblasti působnosti této směrnice stanoví alespoň cíle zpracování, osobní údaje, jež mají být zpracovány, a účely zpracování.“

11

Článek 10 směrnice 2016/680, nadepsaný „Zpracování zvláštních kategorií osobních údajů“, zní takto:

„Zpracování osobních údajů, které vypovídají o rasovém či etnickém původu, politických názorech, náboženském vyznání či filosofickém přesvědčení nebo členství v odborech, a zpracovaní genetických údajů, biometrických údajů za účelem jedinečné identifikace fyzické osoby, údajů o zdravotním stavu nebo údajů o sexuálním životě či sexuální orientaci fyzické osoby je povoleno pouze tehdy, pokud je zcela nezbytné, pokud existují vhodné záruky práv a svobod subjektu údajů a:

12

Podle čl. 63 odst. 1 této směrnice byly členské státy povinny do 6. května 2018 přijmout a zveřejnit právní a správní předpisy nezbytné pro dosažení souladu s uvedenou směrnicí. Kromě toho jsou členské státy povinny tyto předpisy od téhož data používat.

13

V souladu s jejím článkem 64 vstoupila tato směrnice v platnost dne 5. května 2016.

14

Ustanovení § 11 zákona č. 273/2008 Sb., o Policii České republiky, ve znění použitelném na spor v původním řízení (dále jen „zákon o policii“), nadepsané „Přiměřenost postupu“, stanoví:

„Policista a zaměstnanec policie jsou povinni

[...]

15

Ustanovení § 65 zákona o policii zní:

„(1)   Policie může při plnění svých úkolů pro účely budoucí identifikace u

snímat daktyloskopické otisky, zjišťovat tělesné znaky, provádět měření těla, pořizovat obrazové, zvukové a obdobné záznamy a odebírat biologické vzorky umožňující získání informací o genetickém vybavení.

(2)   Nelze-li úkon podle odstavce 1 pro odpor osoby provést, je policista po předchozí marné výzvě oprávněn tento odpor překonat. Způsob překonání odporu musí být přiměřený intenzitě odporu. Překonat odpor osoby nelze, jde-li o odběr krve nebo jiný obdobný úkon spojený se zásahem do tělesné integrity.

(3)   Nelze-li úkon podle odstavce 1 provést na místě, je policista oprávněn osobu předvést k jeho provedení. Po provedení úkonu policista osobu propustí.

(4)   O provedených úkonech sepíše policista úřední záznam.

(5)   Policie osobní údaje získané podle odstavce 1 vymaže, jakmile jejich zpracovávání není nezbytné pro účely předcházení, vyhledávání nebo odhalování trestné činnosti anebo stíhání trestných činů nebo zajišťování bezpečnosti České republiky, veřejného pořádku nebo vnitřní bezpečnosti.“

16

Ustanovení § 79 tohoto zákona, nadepsané „Základní ustanovení o zpracování osobních údajů při plnění některých úkolů policie“, stanoví:

„(1)   Odstavce 2 až 6 a § 79a až 88 se použijí na zpracování osobních údajů za účelem předcházení, vyhledávání a odhalování trestné činnosti, stíhání trestných činů, zajišťování bezpečnosti České republiky nebo zajišťování veřejného pořádku a vnitřní bezpečnosti, včetně pátrání po osobách a věcech.

(2)   Policie může zpracovávat osobní údaje, je-li to nezbytné pro účely uvedené v odstavci 1. Policie může zpracovávat osobní údaje také k ochraně důležitých zájmů subjektu údajů, které souvisí s účely uvedenými v odstavci 1.

[...]“

17

Ustanovení § 82 uvedeného zákona, nadepsané „Prověřování potřebnosti dalšího zpracovávání osobních údajů“, zní následovně:

„(1)   Policie nejméně jednou za 3 roky prověří, jsou-li osobní údaje zpracovávané pro účely uvedené v § 79 odst. 1 nadále potřebné pro plnění jejích úkolů v této oblasti.

(2)   Policie je pro účely prověřování podle odstavce 1 oprávněna vyžadovat opis z evidence Rejstříku trestů.

(3)   Orgány činné v trestním řízení, Ministerstvo spravedlnosti, Ústavní soud a Kancelář prezidenta republiky policii v mezích své působnosti průběžně informují pro účely prověřování podle odstavce 1 o svých pravomocných rozhodnutích, promlčení trestního stíhání, výkonu trestu nebo o rozhodnutích prezidenta republiky týkajících se trestního řízení, trestů nebo udělené amnestie anebo milosti.“

18

Usnesením ze dne 11. prosince 2015 zahájil Útvar odhalování korupce a finanční kriminality skupiny kriminální policie a vyšetřování v Expozituře Plzeň (Česká republika), který je útvarem Policie České republiky s celostátní působností, trestní stíhání JH za přečin porušení povinnosti při správě cizího majetku.

19

Dne 13. ledna 2016 Policie České republiky nejprve vyslechla JH v rámci dotyčného trestního řízení a nařídila a i přes nesouhlas JH provedla následující identifikační úkony: sejmutí daktyloskopických otisků JH, bukální stěr, z kterého vytvořila profil DNA, pořízení fotografií a popisu JH. Následně tyto informace zařadila do příslušných databází.

20

Rozsudkem ze dne 15. března 2017 Městský soud v Praze (Česká republika) shledal JH vinným jednak z přečinu porušení povinnosti při správě cizího majetku ve spolupachatelství a jednak ze zločinu zneužití pravomoci úřední osoby. Uvedený soud odsoudil JH k podmíněnému trestu odnětí svobody ve výši tří let, trestu zákazu činnosti spočívající ve výkonu vedoucích funkcí ve veřejné správě, s nimiž je spojena správa nemovitého i movitého majetku, na dobu čtyř let, a byla mu rovněž uložena povinnost podle svých sil nahradit způsobenou škodu.

21

Dne 8. března 2016 podal JH k Městskému soudu v Praze žalobu, kterou se domáhal určení, že provedení identifikačních úkonů podle § 65 zákona o policii, uchovávání vzorků a informací při nich získaných a následné vložení záznamu o provedení těchto úkonů do informačního systému Policie České republiky představovalo nezákonný zásah do jeho základního práva na ochranu soukromí.

22

Vzhledem k tomu, že Městský soud v Praze v jiné tehdy projednávané právní věci již předložil Ústavnímu soudu (Česká republika) návrh na posouzení ústavnosti § 65 zákona o policii, projednávání žaloby podané JH přerušil.

23

Rozhodnutím ze dne 22. března 2022 Ústavní soud návrh Městského soudu v Praze na prohlášení protiústavnosti § 65 zákona o policii zamítl. Po tomto rozhodnutí Městský soud v Praze pokračoval v projednávání žaloby podané JH.

24

Rozsudkem ze dne 23. června 2022 Městský soud v Praze žalobě JH vyhověl a určil, že úkony provedené Policií České republiky dne 13. ledna 2016 byly nezákonné. Tento soud následně nařídil Policii České republiky, aby ze svých databází smazala všechny osobní údaje, které z těchto úkonů vyplývají.

25

Městský soud v Praze v uvedeném rozsudku zdůraznil, že odběr genetického materiálu představuje výrazný zásah do základního práva na ochranu soukromí dotyčné osoby, chráněného zejména článkem 8 Evropské úmluvy o ochraně lidských práv a základních svobod podepsané v Římě dne 4. listopadu 1950 (dále jen „EÚLP“) stejně jako článkem 10 odst. 3 Listiny základních práv a svobod České republiky. Ustanovení § 65 zákona o policii však nedává dostatečná vodítka pro posouzení přiměřenosti tohoto zásahu. Jediné ověření, které vyžaduje posledně uvedené ustanovení, totiž spočívá v tom, že Policie České republiky před provedením takového odběru ověří, že trestný čin byl spáchán „úmyslně“.

26

Tentýž soud uvedl, že JH byl ostatně obviněn pouze z přečinu, tedy trestného činu typově méně závažného, že výkon trestu odnětí svobody byl podmíněně odložen, což potvrzuje menší závažnost vytýkaného skutku, že se jednalo o osobu do té doby netrestanou, že u něj není vysoká pravděpodobnost recidivy a že nebylo jasné, zda spáchané trestné činy patří mezi trestné činy, u kterých pachatelé následně páchají takovou trestnou činnost, k jejímuž odhalení mohou napomoci v databázi uchovávané osobní údaje. Vyvodil z toho, že identifikační úkony provedené Policií České republiky, které jsou předmětem sporu v původním řízení, nesplňují požadavek přiměřenosti.

27

Policejní prezidium napadlo uvedený rozsudek kasační stížností u Nejvyššího správního soudu (Česká republika), který je předkládajícím soudem.

28

Na podporu kasační stížnosti Policejní prezidium uvádí, že účel zpracovávání osobních údajů je jasně vyjádřen v § 65 zákona o policii. Rovněž tvrdí, že v projednávané věci příslušné útvary Policie České republiky přiměřenost odběru a uchovávání osobních údajů JH hodnotily, přičemž braly v potaz faktor recidivy, možnou eskalaci jednání i skutečnost, že JH v minulosti v několika případech spáchal přestupky.

29

JH v reakci na to mimo jiné uvádí, že útvary Policie České republiky provedly identifikační úkony bez předchozího přezkoumávání přiměřenosti dotyčného zásahu. JH rovněž kritizuje absenci publicity policejních pokynů týkajících se provádění identifikačních úkonů.

30

Předkládající soud zdůrazňuje, že podle jeho novější judikatury pouhé naplnění formálních znaků § 65 odst. 1 zákona o policii, zejména kvalifikace trestného činu jako „úmyslného“, nestačí k tomu, aby shromažďování a uchovávání osobních údajů uvedených v tomto ustanovení mohlo být považováno za zákonné. Policejní útvary tedy mají povinnost posoudit přiměřenost odběru v každém konkrétním případě, přičemž mají zohlednit především dosavadní trestnou činnost, osobu a osobnost dotyčného, závažnost trestné činnosti, pro kterou byl předvolán k provedení identifikačních úkonů, a v případě ex post žádosti o výmaz pak dobu, která od spáchání trestného činu uběhla.

31

Předkládající soud uvádí, že na základě této judikatury dospěly vnitrostátní soudy k závěru, že takové identifikační úkony, jako je shromažďování biometrických a genetických údajů, jsou nezákonné zejména v případě nenásilných trestných činů spáchaných do té doby netrestanými osobami.

32

V tomto kontextu se předkládající soud zamýšlí nad tím, zda je právní režim zavedený v § 65 zákona o policii slučitelný se směrnicí 2016/680.

33

Zaprvé si tento soud klade otázku, zda požadavky stanovené touto směrnicí brání nediferencovanému shromažďování biometrických a genetických údajů u všech osob podezřelých ze spáchání úmyslného trestného činu.

34

Uvádí, že z judikatury Evropského soudu pro lidská práva týkající se základního práva na soukromí, jak je zaručeno v článku 8 EÚLP, vyplývá, že smluvní strany jsou povinny rozlišovat mezi trestnými činy, v souvislosti s nimiž dochází ke shromažďování vzorků deoxyribonukleové kyseliny (DNA), s ohledem na jejich společenskou závažnost. Smluvní strany nemohou přistupovat k pachatelům závažných trestných činů, především těch násilných, u kterých je odběr a skladování vzorků DNA legitimní, stejně jako k pachatelům méně závažných trestných činů.

35

Dále uvádí, že požadavky vyplývající ze zásady proporcionality, jako je zejména požadavek konkretizovaný v oblasti působnosti směrnice 2016/680 v podobě zásady minimalizace zpracování údajů, stanovené v čl. 4 odst. 1 písm. c) této směrnice, a povinnosti rozlišovat mezi různými kategoriemi subjektů údajů, stanovené v jejím článku 6, nastolují otázku, zda je abstraktní rozlišování na úrovni legislativní mimo jiné podle závažnosti uvažovaných trestných činů, dostatečné, nebo zda je nutné posuzovat přiměřenost každého jednotlivého odběru v každém jednotlivém případě.

36

Zadruhé si předkládající soud klade otázku, zda požadavky stanovené směrnicí 2016/680 brání uchovávání biometrických a genetických údajů, aniž je v tomto ohledu výslovně stanoveno časové omezení. K tomu uvádí, že použitelná vnitrostátní právní úprava nestanoví maximální časový limit pro uchovávání identifikačních údajů. Předkládající soud přitom z judikatury Evropského soudu pro lidská práva dovozuje požadavek stanovení takového maximálního časového limitu.

37

Zatřetí si předkládající soud klade otázku, zda lze judikaturu českých správních soudů kvalifikovat jako „právo členského státu“ ve smyslu článku 8 směrnice 2016/680, který stanoví podmínky zákonnosti zpracování osobních údajů.

38

Ustanovení § 65 zákona o policii totiž neobsahuje žádnou úpravu konkrétních podmínek uchovávání a typů informací, které smějí být z odebraného vzorku získávány, ani podmínky uchovávání a výmazu biometrických a genetických údajů, takže toto ustanovení samo o sobě není způsobilé naplnit požadavky čl. 8 odst. 2 směrnice 2016/680 ve spojení s jejím článkem 10.

39

Je pravda, že tento § 65 je doplněn pokyny policejního prezidenta k jeho provedení, avšak vzhledem k tomu, že tyto pokyny nejsou právními předpisy, ani nebyly uveřejněny, nemohou mít v žádném případě kvalitu „práva členského státu“ ve smyslu čl. 8 odst. 2 směrnice 2016/680.

40

Podle předkládajícího soudu proto vyvstává otázka, zda lze mít za to, že právo členského státu stanoví dostatečné hmotněprávní a procesní záruky pro zpracování takových citlivých údajů ve smyslu článku 10 této směrnice, jako jsou biometrické a genetické údaje, pokud tyto záruky poskytuje judikatura.

41

Za těchto podmínek se Nejvyšší správní soud rozhodl přerušit řízení a položit Soudnímu dvoru následující předběžné otázky:

42

Podstatou třetí otázky předkládajícího soudu, kterou je třeba zkoumat na prvním místě, je, zda musí být články 8 a 10 směrnice 2016/680 vykládány v tom smyslu, že pokud jde o shromažďování, uchovávání a výmaz biometrických a genetických údajů, musí být pojem „právo členského státu“ ve smyslu těchto ustanovení chápán tak, že se vztahuje pouze na obecně závazný předpis, který stanoví minimální podmínky shromažďování, uchovávání a výmazu takových údajů, nebo zda pod tento pojem může spadat i judikatura vnitrostátních soudů, která tyto podmínky upřesňuje.

43

V tomto ohledu je třeba připomenout, že podle čl. 3 bodu 2 směrnice 2016/680 ve spojení s čl. 3 body 12 a 13 této směrnice je shromáždění, uložení a výmaz biometrických a genetických údajů zpracováním osobních údajů ve smyslu této směrnice.

44

Článek 4 směrnice 2016/680 stanoví různé zásady, kterým toto zpracování podléhá a které, jak vyplývá z bodů 1 a 2 odůvodnění této směrnice, vyjadřují způsob, jakým unijní normotvůrce v mezích stanovených v článku 52 Listiny zamýšlel ve vztahu k uvedenému zpracování konkretizovat základní právo fyzických osob na ochranu jejich osobních údajů uznané v článku 8 Listiny, jež úzce souvisí s právem na respektování soukromého života zakotveným v článku 7 Listiny, s přihlédnutím ke zvláštní povaze prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů.

45

Jedna z těchto zásad je upravena v čl. 4 odst. 1 písm. a) směrnice 2016/680, který stanoví, že všechny osobní údaje musí být zpracovávány zákonným a korektním způsobem.

46

Článek 8 odst. 1 směrnice 2016/680 v tomto ohledu upřesňuje, že členské státy musí stanovit, že zpracování osobních údajů v oblasti působnosti této směrnice je zákonné, pouze pokud je nezbytné ke splnění úkolu prováděného příslušným orgánem pro účely stanovené v čl. 1 odst. 1 uvedené směrnice a v rozsahu nezbytném pro tyto účely a pokud má základ v právu Unie nebo členského státu.

47

Mimoto podle čl. 8 odst. 2 téže směrnice je zpracování takových údajů možné pouze tehdy, pokud právo členského státu upravující toto zpracování stanoví alespoň cíle tohoto zpracování, osobní údaje, jež mají být takto zpracovány, a účely tohoto zpracování.

48

Pokud jde o určité kategorie osobních údajů, jako jsou biometrické nebo genetické údaje, cílem článku 10 směrnice 2016/680 je zajistit jim zvýšenou ochranu tím, že definuje přísnější podmínky pro zákonnost zpracování takových údajů [v tomto smyslu viz rozsudky ze dne 30. ledna 2024, Direktor na Glavna direkcia Nacionalna policia pri MVR – Sofia, C‑118/22, EU:C:2024:97, bod 48, a ze dne 4. října 2024, Bezirkshauptmannschaft Landeck (Pokus o přístup k osobním údajům uloženým v mobilním telefonu),C‑548/21, EU:C:2024:830, bod 107]. Tyto kategorie údajů jsou totiž, jak zdůrazňuje bod 37 odůvodnění této směrnice, svou povahou obzvláště citlivé z hlediska základních práv a svobod, jelikož při jejich zpracování mohou vzniknout závažná rizika pro práva a svobody subjektů údajů.

49

Podle článku 10 směrnice 2016/680 tedy musí být jakékoli zpracování osobních údajů spadajících do některé z kategorií taxativně vyjmenovaných v tomto článku (dále jen „citlivé osobní údaje“) povoleno právem Unie nebo členského státu.

50

Z toho vyplývá, že cílem článků 8 a 10 směrnice 2016/680 je upřesnit rozsah některých zásad stanovených v článku 4 této směrnice, které v oblasti působnosti uvedené směrnice konkretizují zejména základní právo fyzických osob na ochranu jejich osobních údajů uznané článkem 8 Listiny.

51

Pojem „právo členského státu“ použitý v těchto článcích 8 a 10 je tudíž třeba chápat tak, že v oblasti působnosti směrnice 2016/680 konkretizuje podmínku stanovenou v čl. 8 odst. 2 Listiny, podle níž jakékoli zpracování osobních údajů, které není prováděno na základě souhlasu dotčené osoby, musí být prováděno na základě jiného oprávněného důvodu stanoveného zákonem, což je podmínka, která sama o sobě pouze odráží požadavek stanovený v článku 52 Listiny, podle kterého musí být každé omezení výkonu základních práv uznaných touto listinou stanoveno zákonem. Tento pojem tedy souvisí s platností použití vnitrostátního práva jako právního základu pro zpracování osobních údajů.

52

Jak přitom zdůraznil generální advokát v bodě 82 svého stanoviska, Soudní dvůr s přihlédnutím k ustálené judikatuře Evropského soudu pro lidská práva rozhodl, že pojem „zákon“ použitý ve výrazu „důvod stanovený zákonem“ uvedeném v čl. 8 odst. 2 Listiny musí být chápán ve věcném, a nikoli ve formálním smyslu slova (rozsudek ze dne 16. listopadu 2023, Roos a další v. Parlament, C‑458/22 P, nezveřejněný, EU:C:2023:871, bod 61). Podle této judikatury Evropského soudu pro lidská práva pak uvedený smysl pojmu „zákon“ ve výrazu „v souladu se zákonem“ obsaženém v čl. 8 odst. 2 EÚLP znamená, že tento pojem odkazuje na platný text v té podobě, v jaké jej vyložily příslušné soudy (v tomto smyslu viz rozsudek ESLP, 23. ledna 2025, H. W. v. Francie, CE:ECHR:2025:0123JUD001380521, bod 65).

53

Kromě toho z judikatury Soudního dvora vyplývá, že požadavek, aby každé omezení výkonu základních práv uznaných Listinou bylo stanoveno zákonem, sice implikuje, že akt dovolující zásah do těchto práv musí sám definovat rozsah tohoto omezení, avšak tento požadavek nevylučuje, aby dotčené omezení bylo formulováno dostatečně širokým způsobem, aby se mohlo přizpůsobit odlišným případům, jakož i změnám situace, a že příslušný soud může případně upřesnit výkladem konkrétní rozsah uvedeného omezení jak s ohledem na samotné znění tohoto aktu dovolujícího zásah, tak na obecnou systematiku uvedeného aktu a cíle, které tento akt sleduje (obdobně viz rozsudek ze dne 21. června 2022, Ligue des droits humains,C‑817/19, EU:C:2022:491, bod 114).

54

Pojem „právo členského státu“ ve smyslu článků 8 a 10 směrnice 2016/680 vykládaných ve světle čl. 8 odst. 2 Listiny musí být tedy chápán tak, že může odkazovat na právní předpis, který výslovně upravuje zpracování osobních údajů v oblasti působnosti této směrnice, jak je vykládán judikaturou vnitrostátních soudů.

55

V každém případě, jak je uvedeno v bodě 47 tohoto rozsudku, čl. 8 odst. 2 směrnice 2016/680 stanoví, že zpracování osobních údajů v oblasti působnosti této směrnice je možné pouze tehdy, pokud právo členského státu upravující toto zpracování stanoví alespoň cíle tohoto zpracování, osobní údaje, jež mají být takto zpracovány, a účely tohoto zpracování.

56

V tomto ohledu je přitom třeba uvést, že odkaz na „právo“ členského státu, které „upravuje“ dotčené zpracování, znamená, že cíle, osobní údaje, jež mají být zpracovány, a účely jsou přinejmenším základním způsobem stanoveny obecně závazným předpisem. Kromě toho je cílem tohoto čl. 8 odst. 2, jak výslovně vyplývá z bodu 33 odůvodnění uvedené směrnice, aby právo členského státu odpovědného za zpracování bylo jasné a přesné a aby bylo jeho použití pro jednotlivce předvídatelné, jak vyžaduje judikatura Soudního dvora a Evropského soudu pro lidská práva.

57

Podle judikatury Evropského soudu pro lidská práva musí mít každé opatření, které představuje právní základ pro zpracování osobních údajů, určité vlastnosti, a sice v podstatě musí být v souladu s normami vyšší právní síly, musí být dostupné a dostatečně předvídatelné, to znamená v míře přiměřené okolnostem případu, aby dotyčným jednotlivcům umožnilo regulovat jejich chování, což předpokládá, že toto opatření dostatečně jasně vymezuje rozsah a způsoby výkonu pravomoci svěřené příslušným orgánům (v tomto smyslu viz zejména ESLP, 26. dubna 1979, Sunday Times v. Spojené království, CE:ECHR:1979:0426JUD00065387, body 25 a 52; ESLP, 1. července 2008, Liberty a další v. Spojené království, CE:ECHR:2008:0701JUD005824300, body 62 a 63; ESLP, 4. prosince 2008, S. a Marper v. Spojené království, CE:ECHR:2008:1204JUD003056204, bod 95).

58

Stejně tak z judikatury Soudního dvora vyplývá, že ke splnění požadavku stanoveného v článku 52 Listiny, aby bylo každé omezení výkonu práv a svobod stanoveno zákonem, musí právní úprava zasahující do základních práv zaručených v článcích 7 a 8 Listiny stanovit jasná a přesná pravidla pro rozsah a použití dotčeného opatření, která stanoví minimální požadavky, tak aby osoby, o jejichž osobní údaje se jedná, měly dostatečné záruky umožňující účinně chránit jejich údaje před rizikem zneužití a před jakýmkoli neoprávněným přístupem k těmto údajům a jejich protiprávním využíváním (viz rozsudky ze dne 8. dubna 2014, Digital Rights Ireland a další, C‑293/12 a C‑594/12, EU:C:2014:238, bod 54, a ze dne 6. října 2015, Schrems,C‑362/14, EU:C:2015:650, bod 91).

59

Vzhledem k tomu, že cílem čl. 8 odst. 2 směrnice 2016/680 je zajistit dodržování požadavků připomenutých v bodech 56 a 57 tohoto rozsudku, musí tedy sledované cíle, dotčené osobní údaje a účely zpracování spadající do působnosti této směrnice dostatečně jasně a přesně vyplývat ze samotného předpisu upravujícího toto zpracování, aby bylo možné mít za to, že toto zpracování splňuje požadavky na stanovení zákonem ve smyslu judikatury Evropského soudu pro lidská práva a článku 52 Listiny.

60

S ohledem na výše uvedené je třeba na třetí otázku odpovědět tak, že články 8 a 10 směrnice 2016/680 musí být vykládány v tom smyslu, že pokud jde o shromažďování, uchovávání a výmaz biometrických a genetických údajů, musí být pojem „právo členského státu“ ve smyslu těchto článků chápán tak, že se vztahuje na obecně závazný předpis, který stanoví minimální podmínky shromažďování, uchovávání a výmazu takových údajů, jak je vykládán judikaturou vnitrostátních soudů za předpokladu, že je tato judikatura dostupná a dostatečně předvídatelná.

61

Evropská komise ve svém písemném vyjádření navrhuje, aby byla první otázka prohlášena za nepřípustnou z důvodu, že k odběru genetického materiálu JH a k jeho biometrickému měření provedeným Policií České republiky došlo dne 13. ledna 2016, tedy před dnem vstupu směrnice 2016/680 v platnost, který nastal 5. května 2016, a před uplynutím lhůty pro provedení této směrnice stanovené v jejím čl. 63 odst. 1 na 6. května 2018.

62

V tomto ohledu je třeba připomenout, že odmítnutí Soudního dvora rozhodnout o předběžné otázce položené vnitrostátním soudem je možné pouze tehdy, je-li zjevné, že žádaný výklad unijního práva nemá žádný vztah k realitě nebo předmětu sporu v původním řízení, jestliže se jedná o hypotetický problém nebo také jestliže Soudní dvůr nedisponuje skutkovými nebo právními poznatky nezbytnými pro užitečnou odpověď na otázky, které jsou mu položeny (rozsudek ze dne 20. března 2025, Anib a další, C‑728/22 až C‑730/22, EU:C:2025:200, bod 48).

63

V projednávané věci článek 64 směrnice 2016/680 stanoví, že tato směrnice vstupuje v platnost dne 5. května 2016, zatímco článek 63 této směrnice upřesňuje, že členské státy do 6. května 2018 přijmou a zveřejní právní a správní předpisy nezbytné pro dosažení souladu s touto směrnicí.

64

Ze spisu, který má Soudní dvůr k dispozici, však vyplývá, že osobní údaje o JH získané odběrem genetického materiálu a biometrickými měřeními dne 13. ledna 2016 byly nadále uchovávány v databázích Policie České republiky, a tedy zpracovávány, i po 6. květnu 2018.

65

S výhradou situací uvedených v čl. 4 odst. 2 směrnice 2016/680 přitom z čl. 4 odst. 1 písm. b) této směrnice vyplývá, že osobní údaje nelze zpracovávat, pokud jejich shromažďování nebylo odůvodněno legitimními účely.

66

V důsledku toho osobní údaje spadající do působnosti směrnice 2016/680, které byly shromážděny v souladu s právem před dnem vstupu této směrnice v platnost, jejichž shromáždění by však bylo v rozporu se zásadami vytyčenými touto směrnicí, kdyby se uskutečnilo po datu, kdy byla uvedená směrnice provedena, nebo pokud by k tomu nedošlo, po uplynutí lhůty, v níž měla být provedena, a sice po 6. květnu 2018, nemohou být uchovávány po datu, kdy byla uvedená směrnice provedena, nebo pokud by k tomu nedošlo, po uplynutí lhůty, v níž měla být provedena, jak zdůraznil generální advokát v bodě 34 svého stanoviska.

67

V projednávané věci tedy není zjevné, že by první otázka nutně postrádala vztah k realitě nebo předmětu sporu v původním řízení nebo že by byl nastolený problém hypotetický z důvodu, na který se odvolává Komise, tj. že se týká biometrických a genetických údajů shromážděných před vstupem směrnice 2016/680 v platnost.

68

Vzhledem k tomu, že Soudní dvůr rovněž disponuje všemi skutkovými a právními poznatky nezbytnými k tomu, aby mohl užitečně odpovědět na první otázku, musí být tato otázka považována za přípustnou.

69

Podstatou první otázky předkládajícího soudu je, zda musí být článek 6 nebo čl. 4 odst. 1 písm. c) směrnice 2016/680 posuzovaný ve spojení s článkem 10 této směrnice vykládány v tom smyslu, že brání vnitrostátní právní úpravě, která bez rozlišování umožňuje shromažďování biometrických a genetických údajů všech osob obviněných nebo podezřelých ze spáchání úmyslného trestného činu.

70

Pokud jde v tomto ohledu zaprvé o článek 6 směrnice 2016/680, je třeba připomenout, že tento článek ukládá členským státům povinnost stanovit, že správce „v příslušných případech a pokud je to možné“, musí jasně rozlišovat mezi osobními údaji různých kategorií subjektů údajů, jako jsou kategorie uvedené pod písmeny a) až d) uvedeného článku, tedy osob, u nichž existují závažné důvody se domnívat, že spáchaly trestný čin nebo se jej chystají spáchat, osob odsouzených za trestný čin, osob, které se staly obětí trestného činu nebo u kterých některé skutečnosti vedou k domněnce, že by obětí trestného činu mohly být, a konečně třetích stran v souvislosti s trestným činem, například osob, které by mohly být předvolány jako svědci při vyšetřování trestného činu nebo při následném trestním řízení nebo které mohou poskytnout informace o trestných činech, nebo kontaktních osob či společníků některé z osob uvedených v písmenech a) a b) téhož článku.

71

Podle tohoto ustanovení musí tedy členské státy zajistit, aby správce „v příslušných případech a pokud je to možné“, jasně rozlišoval mezi údaji různých kategorií subjektů údajů tak, aby nedocházelo bez rozlišení ke stejnému stupni zásahu do jejich základního práva na ochranu jejich osobních údajů bez ohledu na to, do jaké kategorie patří, přičemž tyto kategorie musí být stanoveny především v závislosti na trestněprávním statusu dotčené osoby.

72

Ze slovního spojení „v příslušných případech a pokud je to možné“, které je uvedeno v článku 6 směrnice 2016/680, zřetelně vyplývá, že povinnost rozlišovat určité kategorie subjektů údajů, kterou tento článek ukládá členským státům, není absolutní, ale závisí zejména na tom, zda lze v každém jednotlivém případě mezi těmito kategoriemi subjektů údajů jasně rozlišovat [v tomto smyslu viz rozsudek ze dne 26. ledna 2023, Ministerstvo na vatrešnite raboty (Registrace biometrických a genetických údajů policií), C‑205/21, EU:C:2023:49, bod 84], a na účelech zpracování.

73

Česká vláda v projednávané věci tvrdí, že odkaz předkládajícího soudu na kategorii podezřelých osob musí být chápán tak, že se týká osob, kterým bylo sděleno podezření v rámci zkráceného přípravného řízení, což podle vnitrostátních právních předpisů dotčených ve věci v původním řízení vyžaduje stejně jako v případě obviněných, aby byly shromážděny dostatečné důkazy o tom, že dotčené osoby spáchaly trestný čin.

74

Pokud by tomu tak bylo, což bude muset ověřit předkládající soud, bylo by možné mít pro účely daného zpracování za to, že obě tyto kategorie osob spadají pod kategorii uvedenou v čl. 6 písm. a) směrnice 2016/680, pokud účely sledované dotyčným zpracováním nevyžadují, aby se mezi uvedenými dvěma kategoriemi rozlišovalo.

75

Článek 6 směrnice 2016/680 proto musí být vykládán v tom smyslu, že nebrání vnitrostátní právní úpravě, která bez rozlišování umožňuje shromažďování biometrických a genetických údajů osob spadajících do kategorie osob „obviněných ze spáchání úmyslného trestného činu“, jakož i osob spadajících do kategorie osob „podezřelých ze spáchání takového trestného činu“ ve smyslu vnitrostátního práva, pokud účely tohoto shromažďování nevyžadují rozlišování mezi těmito dvěma kategoriemi osob, jejichž údaje mohou být shromažďovány na základě této právní úpravy.

76

Pokud jde zadruhé o čl. 4 odst. 1 písm. c) směrnice 2016/680 ve spojení s článkem 10 této směrnice, první z těchto článků stanoví, že osobní údaje musí být přiměřené, relevantní a omezené na nezbytný rozsah ve vztahu k účelům, pro které jsou zpracovávány. Posledně uvedený požadavek tedy vyžaduje, aby členské státy dodržovaly zásadu minimalizace zpracování údajů s ohledem na cíl a účel dotyčného zpracování.

77

Článek 10 uvedené směrnice stanoví, že v případě citlivých osobních údajů, včetně biometrických a genetických údajů, musí zpracování vedle podmínky, že spadá pod některý ze tří případů taxativně vyjmenovaných v písmenech a) až c) tohoto článku, splňovat další dvě podmínky, a sice zaprvé podmínku, že existují vhodné záruky práv a svobod subjektu údajů, a zadruhé podmínku, že zamýšlené zpracování je zcela nezbytné.

78

K posledně uvedené podmínce je přitom třeba nejprve uvést, že požadovaná nezbytnost musí být posuzována obzvláště striktně s ohledem na účely sledované dotčeným zpracováním, a že takové zpracování proto může být považováno za nezbytné pouze v omezeném počtu případů [v tomto smyslu viz rozsudek ze dne 26. ledna 2023, Ministerstvo na vatrešnite raboty (Registrace biometrických a genetických údajů policií), C‑205/21, EU:C:2023:49, bod 118].

79

Účely zpracování osobních biometrických a genetických údajů tedy nemohou být formulovány příliš obecně, ale musí být charakterizovány dostatečně přesným a konkrétním způsobem, aby bylo možné posoudit „naprostou nezbytnost“ uvedeného zpracování [rozsudek ze dne 26. ledna 2023, Ministerstvo na vatrešnite raboty (Registrace biometrických a genetických údajů policií), C‑205/21, EU:C:2023:49, bod 124].

80

V tomto ohledu směrnice 2016/680 sice nedefinuje pojem „účely zpracování“, avšak lze uvést, že čl. 8 odst. 2 této směrnice tento pojem výslovně odlišuje od pojmu „cíle zpracování“. Článek 4 odst. 1 písm. b) uvedené směrnice přitom stanoví, že účely zpracování osobních údajů musí být zejména určité a výslovně vyjádřené a tyto údaje nesmějí být zpracovávány způsobem, který je s těmito účely neslučitelný, zatímco čl. 4 odst. 1 písm. c) téže směrnice stanoví, že se zejména přiměřenost, relevantnost a omezenost takto zpracovávaných osobních údajů na nezbytný rozsah posuzuje ve vztahu k uvedeným účelům.

81

Lze z toho tedy vyvodit, že pojem „cíle zpracování“ ve smyslu tohoto čl. 8 odst. 2 odkazuje na obecnější účely uvedené v čl. 1 odst. 1 směrnice 2016/680, které musí zpracování sledovat, aby se na něj vztahovala tato směrnice, zatímco pojem „účely zpracování“ ve smyslu zejména čl. 8 odst. 2 uvedené směrnice musí být chápán tak, že odkazuje na specifické a konkrétní účely zpracování osobních údajů s ohledem na takový úkol, kterým je správce pověřen, jako je specifický úkol související s prevencí, vyšetřováním, odhalováním či stíháním trestných činů nebo výkonem trestů.

82

Dále vzhledem k tomu, že v případě jiných než citlivých osobních údajů je podmínka nezbytnosti ve smyslu této směrnice splněna, pokud účelu sledovaného dotyčným zpracováním nelze přiměřeně dosáhnout stejně účinným způsobem jinými prostředky, které by méně zasahovaly do základních práv subjektů údajů, jak vyplývá z bodu 26 odůvodnění směrnice 2016/680 vykládaného ve světle zásady proporcionality, je třeba z toho vyvodit, že podmínka splnění naprosté nezbytnosti v případě zpracování citlivých osobních údajů vyžaduje, aby se správce ujistil, že účelu sledovaného dotyčným zpracováním nelze stejně účinně dosáhnout využitím jiných kategorií údajů než těch, které jsou uvedeny v článku 10 směrnice 2016/680 [v tomto smyslu viz rozsudek ze dne 26. ledna 2023, Ministerstvo na vatrešnite raboty (Registrace biometrických a genetických údajů policií), C‑205/21, EU:C:2023:49, bod 126].

83

Kromě toho s ohledem na závažná rizika, která představuje zpracování citlivých osobních údajů pro práva a svobody subjektů údajů, zejména v souvislosti s úkoly příslušných orgánů pro účely uvedené v čl. 1 odst. 1 směrnice 2016/680, vyžaduje podmínka „naprosté nezbytnosti“ zohlednění zvláštního významu účelu, který je dotyčným zpracováním sledován, přičemž tento význam lze posoudit zejména v závislosti na povaze tohoto účelu, jelikož toto zpracování slouží specifickému a konkrétnímu účelu v souvislosti s prevencí trestných činů nebo hrozeb pro veřejnou bezpečnost vykazujících určitý stupeň závažnosti, postihováním takových trestných činů nebo ochranou před takovými hrozbami, jakož i s ohledem na konkrétní okolnosti, za nichž je uvedené zpracování prováděno [v tomto smyslu viz rozsudek ze dne 26. ledna 2023, Ministerstvo na vatrešnite raboty (Registrace biometrických a genetických údajů policií), C‑205/21, EU:C:2023:49, bod 127].

84

V každém případě, pokud jde o shromažďování biometrických a genetických údajů osob obviněných nebo podezřelých ze spáchání úmyslného trestného činu pro účely budoucí identifikace a budoucího srovnání těchto osob, je třeba při posuzování, zda je toto shromažďování zcela nezbytné, zohlednit všechny relevantní skutečnosti, jako jsou zejména povaha a závažnost údajného trestného činu, pro který je jim sděleno obvinění, konkrétní okolnosti tohoto trestného činu, případnou souvislost uvedeného trestného činu s jinými probíhajícími řízeními, trestní minulost nebo individuální profil dotčených osob [v tomto smyslu viz rozsudek ze dne 26. ledna 2023, Ministerstvo na vatrešnite raboty (Registrace biometrických a genetických údajů policií), C‑205/21, EU:C:2023:49, bod 132].

85

Konečně podmínka „naprosté nezbytnosti“ předpokládá obzvláště přísný dohled nad dodržováním zásady minimalizace zpracování dotyčných údajů stanovené v čl. 4 odst. 1 písm. c) této směrnice [viz rozsudek ze dne 26. ledna 2023, Ministerstvo na vatrešnite raboty (Registrace biometrických a genetických údajů policií), C‑205/21, EU:C:2023:49, bod 125].

86

Pokud jde konkrétně o uchovávání nebo používání údajů získaných z DNA osob pro účely identifikace nebo srovnání, z této zásady vyplývá, že za účelem posouzení naprosté nezbytnosti takového zpracování je třeba náležitě zohlednit možnost vycházet výlučně z polymorfismů přítomných v nekódujících oblastech DNA, tj. v oblastech, u nichž je uznáno, že neposkytují žádné informace o etnickém původu nebo genetických nemocech těchto osob.

87

Platí proto, že i když členský stát může dosáhnout souladu se směrnicí 2016/680 buď tím, že pověří příslušné orgány, aby v každém jednotlivém případě zajistily dodržení podmínky, že každé zpracování citlivých osobních údajů musí být zcela nezbytné, nebo tím, že na legislativní úrovni stanoví kritéria pro posouzení, která musí orgány následně uplatňovat nediskrečním způsobem, nic to nemění na tom, že v tomto druhém případě musí být tato kritéria takové povahy, aby splňovala všechny požadavky vyplývající z téže podmínky, jak jsou uvedeny v bodech 77 až 83 tohoto rozsudku.

88

V rozsudku ze dne 26. ledna 2023, Ministerstvo na vatrešnite raboty (Registrace biometrických a genetických údajů policií) (C‑205/21, EU:C:2023:49, bod 135), Soudní dvůr rozhodl, že vnitrostátní právní předpisy, které stanoví systematické shromažďování biometrických a genetických údajů každého obviněného z úmyslného trestného činu stíhaného z úřední povinnosti za účelem jejich registrace, ale nestanoví povinnost příslušného orgánu určit a prokázat, zda je toto shromažďování zcela nezbytné k dosažení specifických a konkrétních sledovaných cílů a zda těchto cílů nelze dosáhnout opatřeními, která představují méně závažný zásah do práv a svobod subjektu údajů, jsou v rozporu s touto podmínkou naprosté nezbytnosti.

89

Je však třeba uvést, že zatímco se shromažďování stanovené právní úpravou dotčenou ve věci, v níž byl vydán uvedený rozsudek, vztahovalo povinně na všechny osoby obviněné z úmyslného trestného činu stíhaného z úřední povinnosti, první otázka se týká právní úpravy, která policejním orgánům přiznává pouze možnost odebírat biometrické a genetické údaje u osob obviněných nebo podezřelých ze spáchání úmyslného trestného činu.

90

Skutečnost, že právní úprava přiznává policejním orgánům takovou možnost, přitom neznamená, že právo dotyčného členského státu umožňuje, aby toto shromažďování bylo systematické nebo aby bylo prováděno v rozporu zejména se zásadou minimalizace zpracování údajů vytyčenou v čl. 4 odst. 1 písm. c) směrnice 2016/680 nebo s podmínkou stanovenou v článku 10 této směrnice, podle níž musí být dotyčné zpracování zcela nezbytné, pokud toto právo, včetně judikatury vnitrostátních soudů, definuje vhodným a dostatečně přesným způsobem účely takového zpracování biometrických a genetických údajů, to znamená specifické a konkrétní účely zpracování osobních údajů s ohledem na úkol, kterým je pověřen správce, a pokud je taková možnost vykonávána v souladu s požadavky uvedenými v bodech 77 až 83 tohoto rozsudku.

91

Z poznatků, které má k dispozici Soudní dvůr, vyplývá, že v projednávané věci vnitrostátní judikatura stanoví určité požadavky, jejichž cílem je zajistit dodržování této zásady, jako je povinnost policie před přistoupením k odběru vzorku DNA zohlednit mimo jiné dosavadní trestnou činnost pachatele, typovou i individuální závažnost trestné činnosti, v souvislosti se kterou má dojít k odběru vzorku, i osobu pachatele.

92

V této situaci přísluší vnitrostátním soudům, aby v každém jednotlivém případě ověřily, zda shromažďování nebylo policejními orgány provedeno v rozporu se zásadami, jimiž se řídí zpracování osobních údajů, vytyčenými v článku 4 směrnice 2016/680, a zvláštními požadavky na zpracování citlivých osobních údajů stanovenými v článku 10 této směrnice vykládaném ve světle článků 7 a 8 Listiny.

93

V této souvislosti je třeba ještě zdůraznit, že pouhá okolnost, že přečin, jehož spáchání je osobě kladeno za vinu, má hospodářskou povahu a ke shromažďování biometrických a genetických údajů této osoby došlo před tím, než byla tato osoba pravomocně odsouzena, nestačí k vyloučení možnosti považovat takové shromažďování za zcela nezbytné, pokud se s ohledem na sledované účely i na dotčený typ údajů může ukázat jako zcela nezbytné zejména k tomu, aby bylo možné určit, zda se uvedená osoba z důvodu své případné účasti na zločinném spolčení mohla podílet na jiných trestných činech, pro které by údaje tohoto typu mohly být relevantní, nebo je-li dáno nebezpečí útěku, k určení její totožnosti.

94

S ohledem na výše uvedené je třeba na první otázku odpovědět tak, že článek 6 a čl. 4 odst. 1 písm. c) směrnice 2016/680 posuzovaný ve spojení s článkem 10 této směrnice musí být vykládány v tom smyslu, že nebrání vnitrostátní právní úpravě, která bez rozlišování umožňuje shromažďování biometrických a genetických údajů všech osob obviněných nebo podezřelých ze spáchání úmyslného trestného činu, pokud účely tohoto shromažďování nevyžadují rozlišování mezi těmito dvěma kategoriemi osob a správci jsou v souladu s vnitrostátním právem, včetně judikatury vnitrostátních soudů, povinni dodržovat všechny zásady a zvláštní požadavky stanovené v článcích 4 a 10 uvedené směrnice.

95

Úvodem je třeba poznamenat, že ačkoli předkládající soud ve formulaci druhé otázky zmiňuje vnitrostátní právní úpravu, v jejímž důsledku jsou dotyčné osobní údaje ve většině případů uchovávány na „dobu neurčitou“, ze spisu, který má Soudní dvůr k dispozici, vyplývá, že „dobou neurčitou“ má tento soud v konečném výsledku na mysli okolnost, že není stanoven žádný maximální časový limit pro uchovávání, a nikoli okolnost, že toto uchovávání je časově neomezené.

96

Je proto třeba vycházet z toho, že podstatou druhé otázky předkládajícího soudu je, zda musí být čl. 4 odst. 1 písm. e) směrnice 2016/680 vykládán v tom smyslu, že brání vnitrostátní právní úpravě, podle níž je potřebnost pokračujícího uchovávání biometrických a genetických údajů hodnocena orgány policie na základě interních předpisů, aniž by tato právní úprava stanovila maximální časový limit pro uchovávání.

97

V tomto ohledu čl. 4 odst. 1 písm. e) směrnice 2016/680 stanoví, že členské státy zajistí, aby byly osobní údaje uchovávány ve formě umožňující identifikaci subjektů údajů po dobu ne delší, než je nezbytné pro účely, pro které jsou zpracovávány.

98

Pokud jde zaprvé o okolnost, že dotyčná vnitrostátní právní úprava nestanoví maximální časový limit pro uchovávání, je třeba připomenout, že v souladu s požadavky čl. 4 odst. 1 písm. e) směrnice 2016/680 ukládá článek 5 této směrnice členským státům, aby stanovily přiměřené lhůty pro výmaz osobních údajů nebo pro pravidelný přezkum potřeby uložení těchto údajů, jakož i procesní opatření umožňující zajistit dodržování těchto lhůt.

99

Článek 5 uvedené směrnice naproti tomu ponechává na členských státech, aby uvedené lhůty určily, za předpokladu, že budou „přiměřené“, a rozhodly, zda půjde o lhůty týkající se výmazu uvedených údajů nebo pravidelného přezkumu potřeby jejich uložení.

100

Článek 4 odst. 1 písm. e) a článek 5 směrnice 2016/680 musí být zajisté vykládány zejména ve spojení s článkem 10 této směrnice, takže uchovávání biometrických nebo genetických údajů musí být zcela nezbytné a musí poskytovat vhodné záruky práv a svobod subjektu údajů.

101

Pokud však členský stát stanoví přiměřené lhůty pro pravidelný přezkum potřeby uložení osobních údajů a při tomto přezkumu má být posuzována naprostá nezbytnost prodloužení jejich uložení, je třeba mít za to, že právo dotyčného členského státu tyto požadavky splňuje. I když jsou uchovávané údaje citlivými osobními údaji, není tento členský stát povinen stanovit absolutní časové limity pro uchovávání těchto údajů, po jejichž uplynutí by tyto údaje musely být automaticky vymazány (v tomto smyslu viz rozsudek ze dne 30. ledna 2024, Direktor na Glavna direkcia Nacionalna policia pri MVR – Sofia, C‑118/22, EU:C:2024:97, bod 52).

102

Naproti tomu k zajištění přiměřenosti takových lhůt pro pravidelný přezkum se vyžaduje, aby v souladu s čl. 4 odst. 1 písm. c) a e) směrnice 2016/680 ve spojení s čl. 52 odst. 1 Listiny byly dosud uchovávané osobní údaje vymazány, a to za podmínek stanovených v čl. 16 odst. 2 a 3 této směrnice, pokud se při některém z provedených přezkumů již uchovávání týchž údajů nejeví jako zcela nezbytné, a tudíž se ukáže jako nadbytečné vzhledem ke sledovaným účelům (v tomto smyslu viz rozsudek ze dne 30. ledna 2024, Direktor na Glavna direkcia Nacionalna policia pri MVR – Sofia, C‑118/22, EU:C:2024:97, body 45, 48 a 50, jakož i citovaná judikatura).

103

Dále s ohledem na požadavky stanovené v čl. 4 odst. 1 písm. c) směrnice 2016/680, aby všechny osobní údaje byly přiměřené, relevantní a omezené na nezbytný rozsah ve vztahu k účelům, pro které jsou zpracovávány, na okolnost, že toto ustanovení a článek 8 této směrnice musí být vykládány ve světle požadavků vyplývajících z článku 52 Listiny, a na povinnost správce stanovenou v článku 6 uvedené směrnice v příslušných případech jasně rozlišovat mezi osobními údaji různých kategorií subjektů údajů, nelze tyto lhůty pro přezkum považovat za přiměřené, pokud změny trestněprávního statusu subjektu údajů, které jsou považovány za relevantní s ohledem na účel tohoto uchovávání, nevedou k povinnosti správce v přiměřené lhůtě znovu přezkoumat potřebu uchovávání údajů o této osobě.

104

Pokud jde zadruhé o to, že potřebnost pokračujícího uchovávání biometrických a genetických údajů je hodnocena orgány policie na základě interních předpisů, není taková okolnost sama o sobě v rozporu s čl. 8 odst. 2 směrnice 2016/680, pokud tyto interní předpisy ukládají těmto orgánům povinnost zajistit dodržování podmínky naprosté nezbytnosti uchovávání těchto údajů a pokud je prostor pro uvážení těchto orgánů dostatečně ohraničen vnitrostátním právem, včetně judikatury vnitrostátních soudů.

105

Okolnost, že se jedná o předpisy interní, které tudíž nejsou přístupné všem osobám, jejichž osobní údaje mohou být předmětem zpracování, má sice za následek, že příslušné orgány se těchto předpisů nemohou dovolávat, aby prokázaly, že dodržují požadavky, které pro ně platí, zároveň však nemá za následek, že by zpracování osobních údajů, o jehož provedení bylo na základě těchto pravidel rozhodnuto, bylo automaticky nezákonné, nýbrž znamená, že v případě žaloby proti rozhodnutí o provedení jakéhokoli takového zpracování musí policejní orgány před příslušným soudem nezávisle na těchto interních předpisech prokázat, že podmínka „naprosté nezbytnosti“ byla řádně splněna.

106

V projednávané věci podle české vlády zejména z § 65 odst. 5 zákona o policii vyplývá, což přísluší ověřit předkládajícímu soudu, povinnost profily DNA osob obviněných nebo podezřelých ze spáchání úmyslného trestného činu vymazat, jakmile jejich uchovávání již není nezbytné pro sledované účely, tj. pokud tyto osoby již nejsou obviněnými nebo podezřelými a nejsou stíhány v jiném trestním řízení nebo dříve nespáchaly jiné trestné činy nebo přečiny.

107

V této souvislosti je však třeba připomenout, že požadavek, aby uchovávání biometrických a genetických údajů bylo ve smyslu článku 10 směrnice 2016/680 povoleno pouze tehdy, „pokud je zcela nezbytné“, může být považován za splněný pouze tehdy, pokud toto uchovávání zohledňuje nejen případnou vazbu subjektu údajů na jiná probíhající řízení nebo také jeho minulost či profil, ale rovněž povahu a závažnost trestného činu, který vedl k pravomocnému odsouzení, nebo takové další okolnosti, jako je zvláštní kontext, v němž byl tento trestný čin spáchán (v tomto smyslu viz rozsudek ze dne 30. ledna 2024, Direktor na Glavna direkcia Nacionalna policia pri MVR – Sofia, C‑118/22, EU:C:2024:97, bod 67).

108

Kromě toho je sice pravda, že české právo nestanoví maximální časový limit pro uchovávání osobních údajů shromážděných na základě § 65 odst. 1 zákona o policii, avšak § 82 odst. 1 tohoto zákona policejním orgánům ukládá povinnost nejméně jednou za tři roky prověřit, zda je uchovávání těchto údajů nadále potřebné pro plnění jejich úkolů.

109

Bude tedy na předkládajícím soudu, aby určil, zda s ohledem na účely sledované uchováváním dotyčných biometrických a genetických údajů může být taková tříletá lhůta pro přezkum považována za přiměřenou, avšak je třeba upřesnit, že ani v opačném případě by výmaz těchto údajů nebyl vyžadován, kdyby bylo prokázáno, že jejich pokračující uchovávání je v každém případě nadále zcela nezbytné.

110

S ohledem na výše uvedené je třeba na druhou otázku odpovědět tak, že čl. 4 odst. 1 písm. e) směrnice 2016/680 musí být vykládán v tom smyslu, že nebrání vnitrostátní právní úpravě, podle níž je potřebnost pokračujícího uchovávání biometrických a genetických údajů hodnocena orgány policie na základě interních předpisů, aniž by tato právní úprava stanovila maximální časový limit pro uchovávání, za předpokladu, že uvedená právní úprava stanoví přiměřené lhůty pro pravidelný přezkum potřeby uložení těchto údajů a že je při tomto přezkumu posouzena naprostá nezbytnost prodloužení jejich uchovávání.

111

Vzhledem k tomu, že řízení má, pokud jde o účastníky původního řízení, povahu incidenčního řízení ve vztahu ke sporu probíhajícímu před předkládajícím soudem, je k rozhodnutí o nákladech řízení příslušný uvedený soud. Výdaje vzniklé předložením jiných vyjádření Soudnímu dvoru než vyjádření uvedených účastníků řízení se nenahrazují.

Z těchto důvodů Soudní dvůr (pátý senát) rozhodl takto: