–

en nombre de JH, por los Sres. M. Mandzák, L. Nezpěvák y L. Trojan, advokáti;

–

en nombre del Gobierno checo, por los Sres. M. Smolek, O. Serdula y J. Vláčil y por las Sras. T. Suchá y L. Březinová, en calidad de agentes;

–

en nombre de Irlanda, por la Sra. M. Browne, Chief State Solicitor, y los Sres. A. Joyce y D. O’Reilly, en calidad de agentes, asistidos por la Sra. A. Mulligan, BL;

–

en nombre del Gobierno neerlandés, por el Sr. J. Langer, en calidad de agente;

–

en nombre del Gobierno polaco, por el Sr. B. Majczyna, en calidad de agente;

–

en nombre de la Comisión Europea, por los Sres. A. Bouchagiar y H. Kranenborg, la Sra. P. Němečková y el Sr. F. Wilman, en calidad de agentes;

1

La petición de decisión prejudicial tiene por objeto la interpretación de los artículos 4, apartado 1, letras c) y e), 6, 8, apartado 2, y 10 de la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos y por la que se deroga la Decisión Marco 2008/977/JAI del Consejo (DO 2016, L 119, p. 89).

2

Esta petición se ha presentado en el contexto de un litigio entre JH y la Policejní prezidium (Dirección de la Policía, República Checa) en relación, en particular, con la recogida de datos biométricos y genéticos relativos a JH en el marco de un procedimiento penal y con su conservación por la Policía checa.

Marco jurídico

Derecho de la Unión

3

Los considerandos 1, 2, 26, 33, 37 y 96 de la Directiva 2016/680 tienen el siguiente tenor:

4

El artículo 1 de la referida Directiva, titulado «Objeto y objetivos», dispone en su apartado 1:

5

El artículo 2 de la citada Directiva, titulado «Ámbito de aplicación», establece en su apartado 1:

6

A tenor del artículo 3 de la misma Directiva, titulado «Definiciones»:

7

El artículo 4 de la Directiva 2016/680, titulado «Principios relativos al tratamiento de datos personales», precisa en su apartado 1:

8

El artículo 5 de esta Directiva, titulado «Plazos de conservación y revisión», tiene el siguiente tenor:

9

El artículo 6 de la mencionada Directiva, titulado «Distinción entre diferentes categorías de interesados», establece:

10

El artículo 8 de la misma Directiva, titulado «Licitud del tratamiento», dispone:

11

A tenor del artículo 10 de la Directiva 2016/680, titulado «Tratamiento de categorías especiales de datos personales»:

12

En virtud del artículo 63, apartado 1, de la referida Directiva, los Estados miembros debían adoptar y publicar, a más tardar el 6 de mayo de 2018, las disposiciones legales, reglamentarias y administrativas necesarias para dar cumplimiento a lo establecido en dicha Directiva. Además, los Estados miembros están obligados a aplicar estas disposiciones desde esa misma fecha.

13

De conformidad con el artículo 64 de la misma Directiva, esta última entró en vigor el 5 de mayo de 2016.

Derecho checo

14

El artículo 11 de la zákon č. 273/2008 Sb., o Policii České republiky (Ley n.o 273/2008, sobre la Policía de la República Checa), en su versión aplicable al litigio principal (en lo sucesivo, «Ley de la Policía checa»), titulado «Proporcionalidad de los actos», dispone:

15

El artículo 65 de la Ley de la Policía checa establece:

16

El artículo 79 de la referida Ley, titulado «Disposiciones básicas relativas al tratamiento de datos personales en el desempeño de determinadas funciones policiales», dispone:

17

El artículo 82 de la citada Ley, titulado «Verificación de la necesidad de continuar el tratamiento de datos personales», tiene el siguiente tenor:

Litigio principal y cuestiones prejudiciales

18

Mediante decisión de 11 de diciembre de 2015, el Departamento de Detección de la Corrupción y de Delitos Económicos del Servicio de Investigación Criminal de la Sección de Pilsen (República Checa), que es un servicio de la Policía checa dotado de competencia nacional, incoó diligencias penales contra JH por un delito de incumplimiento de deberes en la gestión de bienes ajenos.

19

El 13 de enero de 2016, la Policía checa, en primer lugar, oyó a JH en el marco del proceso penal de que se trata y ordenó y llevó a cabo los siguientes actos de identificación, a pesar del desacuerdo de JH: se tomaron las huellas dactilares de JH, una muestra de saliva de este a partir de la cual se creó un perfil de ADN y unas fotografías de JH y se elaboró una descripción de JH. A continuación, introdujo esta información en las bases de datos pertinentes.

20

Mediante sentencia de 15 de marzo de 2017, el Městský soud v Praze (Tribunal Municipal de Praga, República Checa) declaró que JH había cometido un delito de incumplimiento de deberes en la gestión de bienes ajenos como cómplice, así como un delito de abuso de poder por parte de funcionario público. El referido órgano jurisdiccional impuso a JH una pena de privación de libertad de tres años con suspensión de la ejecución de la pena y una inhabilitación para ejercer funciones de dirección en la Administración Pública, incluida la gestión de bienes muebles e inmuebles, por un período de cuatros años. Asimismo, le condenó a reparar los daños causados en la medida de sus posibilidades.

21

El 8 de marzo de 2016, JH interpuso un recurso ante el Městský soud v Praze (Tribunal Municipal de Praga) en el que solicitaba que se declarase que la realización de los actos de identificación con arreglo al artículo 65 de la Ley de la Policía checa, la conservación de la información y de las muestras obtenidas y la creación de una entrada en las bases de datos de la Policía checa en esa ocasión constituían una injerencia ilícita en su derecho fundamental al respeto de la vida privada.

22

Dado que, en otro asunto entonces pendiente, ya había presentado ante el Ústavní soud (Tribunal Constitucional) una cuestión de inconstitucionalidad del artículo 65 de la Ley de la Policía checa, el Městský soud v Praze (Tribunal Municipal de Praga) suspendió el examen del recurso interpuesto por JH.

23

Mediante resolución de 22 de marzo de 2022, el Ústavní soud (Tribunal Constitucional) desestimó la petición presentada por el Městský soud v Praze (Tribunal Municipal de Praga) de que se declarara la inconstitucionalidad del artículo 65 de la Ley de la Policía checa. A raíz de esta resolución, este último órgano jurisdiccional reanudó el examen del recurso interpuesto por JH.

24

Mediante sentencia de 23 de junio de 2022, el Městský soud v Praze (Tribunal Municipal de Praga) estimó el recurso de JH, al considerar que los actos realizados por la policía checa el 13 de enero de 2016 eran ilegales. En consecuencia, dicho órgano jurisdiccional ordenó a la Policía checa que suprimiera de sus bases de datos todos los datos personales resultantes de esos actos.

25

En la referida sentencia, el mencionado órgano jurisdiccional subrayó que la recogida de material genético representaba una injerencia considerable en el derecho fundamental al respeto de la vida privada del interesado, protegido, en particular, por el artículo 8 del Convenio Europeo para la Protección de los Derechos Humanos y de las Libertades Fundamentales, hecho en Roma el 4 de noviembre de 1950 (en lo sucesivo, «CEDH»), y el artículo 10, apartado 3, de la Listina základních práv a svobod (Carta de los Derechos y Libertades Fundamentales de la República Checa). Pues bien, a juicio del citado órgano jurisdiccional, el artículo 65 de la Ley de la Policía checa no facilita indicaciones suficientes para apreciar el carácter proporcionado de dicha injerencia. En efecto, a su entender, la única verificación que exige este último artículo es que la Policía checa compruebe, antes de proceder a tal recogida, el carácter «doloso» del delito cometido.

26

Además, el mismo órgano jurisdiccional señaló que JH solo era objeto de diligencias penales por la comisión de un delito menos grave, que la ejecución de su pena de privación de libertad estaba suspendida, lo que confirma el carácter menos grave de los hechos imputados, que no había sido condenado anteriormente en un proceso penal, que era poco probable que reincidiera y que no era seguro que los delitos cometidos fueran delitos cuyos autores fueran a cometer en el futuro una infracción penal que los datos personales conservados en las bases de datos pudieran contribuir a identificar. De ello dedujo que los actos de identificación realizados por la Policía checa y objeto del litigio principal no cumplían el requisito de proporcionalidad.

27

La Dirección de la Policía checa interpuso un recurso de casación contra la mencionada sentencia ante el Nejvyšší správní soud (Tribunal Supremo de lo Contencioso-Administrativo, República Checa), que es el órgano jurisdiccional remitente.

28

En apoyo de su recurso de casación, la Dirección de la Policía checa alega que la finalidad del tratamiento de datos personales está claramente expresada en el artículo 65 de la Ley de la Policía checa. También sostiene que, en el caso de autos, los servicios competentes de la Policía checa evaluaron la proporcionalidad de la recogida y conservación de los datos personales de JH, tomando en consideración el factor de la reincidencia, la posible escalada de su comportamiento y el hecho de que JH había cometido varias ilegalidades en el pasado.

29

Como respuesta, JH alega, en particular, que las autoridades policiales checas llevaron a cabo los actos de identificación sin examinar previamente el carácter proporcionado de la injerencia de que se trataba. JH también critica la falta de publicidad de las instrucciones de la Policía checa relativas a la realización de actos de identificación.

30

El órgano jurisdiccional remitente subraya que, en virtud de su jurisprudencia más reciente, el mero cumplimiento de los requisitos formales establecidos en el artículo 65, apartado 1, de la Ley de la Policía checa, en particular el relativo a la calificación de delito «doloso», no basta para que la recogida y la conservación de los datos personales a que se refiere dicho artículo puedan considerarse legales. Así pues, a su entender, las autoridades policiales tienen la obligación de evaluar la proporcionalidad de la recogida de datos en cada caso concreto, teniendo en cuenta, en particular, los antecedentes penales, la personalidad y la conducta de la persona de que se trate, la gravedad del delito por el que dicha persona fue citada para la realización de los actos de identificación y, en el marco de una solicitud de supresión ex post, el tiempo transcurrido desde que se cometió el delito de que se trate.

31

El órgano jurisdiccional remitente señala que, en aplicación de esta jurisprudencia, los órganos jurisdiccionales nacionales han declarado la ilegalidad de actos de identificación, como la recogida de datos biométricos y genéticos, en particular en el caso de delitos que no implican ninguna violencia y cometidos por personas que nunca han sido condenadas.

32

En este contexto, el órgano jurisdiccional remitente se pregunta sobre la compatibilidad con la Directiva 2016/680 del régimen jurídico establecido en el artículo 65 de la Ley de la Policía checa.

33

En primer lugar, dicho órgano jurisdiccional se pregunta si los requisitos establecidos por la referida Directiva se oponen a la recogida indiscriminada de datos biométricos y genéticos de cualquier persona sospechosa de haber cometido un delito doloso.

34

Por una parte, indica que de la jurisprudencia del Tribunal Europeo de Derechos Humanos relativa al derecho fundamental al respeto de la vida privada, garantizado en el artículo 8 del CEDH, se desprende que las partes contratantes están obligadas a establecer una distinción entre los delitos por las que se recogen muestras de ácido desoxirribonucleico (ADN) en función de su gravedad para la sociedad. Las partes contratantes no pueden, a su juicio, tratar del mismo modo, por un lado, a los autores de delitos graves, como los cometidos con violencia, para los que la recogida y conservación de muestras de ADN serían legítimas, y, por otro lado, a los autores de delitos menos graves.

35

Por otra parte, en su opinión, las exigencias que se derivan del principio de proporcionalidad, como, en particular, la concretada, en el ámbito de aplicación de la Directiva 2016/680, a través del principio de minimización del tratamiento de datos y la obligación de establecer distinciones entre diferentes categorías de interesados, previstas, respectivamente, en el artículo 4, apartado 1, letra c), de dicha Directiva y en su artículo 6, plantean interrogantes acerca de si establecer distinciones in abstracto a nivel legislativo, en función, en particular, de la gravedad de los delitos contemplados, es suficiente o si es necesario apreciar in concreto la proporcionalidad de una recogida de datos en cada caso específico.

36

En segundo lugar, el órgano jurisdiccional remitente se pregunta si los requisitos establecidos en la Directiva 2016/680 se oponen a la conservación de datos biométricos y genéticos sin que se establezca explícitamente una limitación temporal a este respecto. Asimismo, señala que la normativa nacional aplicable no fija un límite máximo al período de conservación de los datos de identificación. Pues bien, según la interpretación que hace el órgano jurisdiccional remitente de la jurisprudencia del Tribunal Europeo de Derechos Humanos, esta exige que se establezca un límite máximo.

37

En tercer lugar, el órgano jurisdiccional remitente se pregunta si la jurisprudencia de los tribunales de lo contencioso‑administrativo checos puede calificarse de «Derecho del Estado miembro», en el sentido del artículo 8 de la Directiva 2016/680, que establece los requisitos de licitud del tratamiento de datos personales.

38

Señala que, en efecto, el artículo 65 de la Ley de la Policía checa no precisa ni las condiciones concretas de conservación, ni los tipos de información que pueden extraerse de la muestra recogida, ni las condiciones de conservación y supresión de los datos biométricos y genéticos, de modo que este artículo no puede cumplir, por sí solo, los requisitos establecidos en el artículo 8, apartado 2, de la Directiva 2016/680, en relación con su artículo 10.

39

Afirma que es cierto que el referido artículo 65 se completa con las instrucciones del presidente de la Policía que lo aplican, pero estas últimas no son textos reglamentarios ni están publicadas, por lo que en ningún caso se les puede reconocer la condición de «Derecho del Estado miembro», en el sentido del artículo 8, apartado 2, de la Directiva 2016/680.

40

Por consiguiente, se plantea la cuestión de si puede considerarse que el Derecho de un Estado miembro establece garantías materiales y procedimentales suficientes para el tratamiento de datos sensibles, en el sentido del artículo 10 de dicha Directiva, como los datos biométricos y genéticos, cuando esas garantías están previstas por la jurisprudencia.

41

En estas circunstancias, el Nejvyšší správní soud (Tribunal Supremo de lo Contencioso-Administrativo) decidió suspender el procedimiento y plantear al Tribunal de Justicia las siguientes cuestiones prejudiciales:

Sobre las cuestiones prejudiciales

Tercera cuestión prejudicial

42

Mediante su tercera cuestión prejudicial, que procede examinar en primer lugar, el órgano jurisdiccional remitente pregunta, en esencia, si los artículos 8 y 10 de la Directiva 2016/680 deben interpretarse en el sentido de que, por lo que respecta a la recogida, conservación y supresión de datos biométricos y genéticos, el concepto de «Derecho del Estado miembro», en el sentido de estas disposiciones, debe entenderse referido únicamente a una norma de alcance general que establezca los requisitos mínimos de recogida, conservación y supresión de esos datos o si la jurisprudencia de los órganos jurisdiccionales nacionales que precisa dichos requisitos también puede estar comprendida en ese concepto.

43

A este respecto, procede recordar que, de conformidad con el artículo 3, punto 2, de la Directiva 2016/680, en relación con el artículo 3, puntos 12 y 13, de la misma, la recogida, la conservación y la supresión de datos biométricos y genéticos constituyen tratamientos de datos personales, en el sentido de dicha Directiva.

44

El artículo 4 de la Directiva 2016/680 enuncia diferentes principios a los que están sujetos dichos tratamientos, que, como se desprende de los considerandos 1 y 2 de la referida Directiva, reflejan la forma en que, dentro de los límites establecidos en el artículo 52 de la Carta, el legislador de la Unión pretendía concretar, con respecto a esos tratamientos, el derecho fundamental de las personas físicas a la protección de sus datos de carácter personal, reconocido en el artículo 8 de la Carta, a su vez estrechamente vinculado al derecho al respeto de la vida privada, consagrado en el artículo 7 de esta, teniendo en cuenta la naturaleza específica de las actividades de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de una sanción penal.

45

Entre esos principios, el artículo 4, apartado 1, letra a), de la Directiva 2016/680 establece que todos los datos personales deben ser tratados de manera lícita y leal.

46

El artículo 8, apartado 1, de la Directiva 2016/680 precisa, a este respecto, que los Estados miembros deben disponer que el tratamiento de datos personales comprendido en el ámbito de aplicación de dicha Directiva solo sea lícito en la medida en que sea necesario para la ejecución de una tarea realizada por una autoridad competente, para los fines establecidos en el artículo 1, apartado 1, de la referida Directiva, y esté basado en el Derecho de la Unión o del Estado miembro.

47

Además, en virtud del artículo 8, apartado 2, de la misma Directiva, el tratamiento de esos datos solo es posible si el Derecho del Estado miembro que regule dicho tratamiento indica al menos los objetivos del tratamiento, los datos personales que vayan a ser objeto de tal tratamiento y sus finalidades.

48

Por lo que respecta a determinadas categorías de datos personales, como los datos biométricos o genéticos, el artículo 10 de la Directiva 2016/680 tiene por objeto garantizarles una mayor protección definiendo unas condiciones reforzadas de licitud del tratamiento de esos datos [véanse, en este sentido, las sentencias de 30 de enero de 2024, Direktor na Glavna direktsia Natsionalna politsia pri MVR — Sofia, C‑118/22, EU:C:2024:97, apartado 48, y de 4 de octubre de 2024, Bezirkshauptmannschaft Landeck (Tentativa de acceso a los datos personales almacenados en un teléfono móvil), C‑548/21, EU:C:2024:830, apartado 107]. En efecto, como subraya el considerando 37 de la mencionada Directiva, estas categorías de datos son, por su naturaleza, particularmente sensibles en relación con los derechos y las libertades fundamentales, ya que el contexto del tratamiento de tales datos puede generar riesgos importantes para los derechos y libertades de los interesados.

49

Así pues, con arreglo al artículo 10 de la Directiva 2016/680, todo tratamiento de datos personales comprendido en alguna de las categorías enumeradas taxativamente en dicho artículo (en lo sucesivo, «datos personales sensibles») debe ser autorizado por el Derecho de la Unión o del Estado miembro.

50

De ello se deriva que los artículos 8 y 10 de la Directiva 2016/680 tienen por objeto precisar el alcance de algunos de los principios enunciados en el artículo 4 de dicha Directiva, que concretan, en el ámbito cubierto por dicha Directiva, en particular, el derecho fundamental de las personas físicas a la protección de sus datos de carácter personal reconocido en el artículo 8 de la Carta.

51

Por tanto, el concepto de «Derecho del Estado miembro» utilizado en los artículos 8 y 10 debe entenderse en el sentido de que materializa, en el ámbito cubierto por la Directiva 2016/680, el requisito enunciado en el artículo 8, apartado 2, de la Carta, según el cual todo tratamiento de datos personales no realizado sobre la base del consentimiento del interesado debe efectuarse en virtud de otro fundamento legítimo previsto por la ley, requisito que no hace sino reflejar la exigencia prevista en el artículo 52 de la Carta de que cualquier limitación del ejercicio de derechos fundamentales reconocidos por dicha Carta debe ser establecida por la ley. Así pues, este concepto se refiere a la validez del recurso al Derecho nacional como base jurídica de un tratamiento de datos personales.

52

Pues bien, por una parte, como ha subrayado el Abogado General en el punto 82 de sus conclusiones, el Tribunal de Justicia, teniendo en cuenta reiterada jurisprudencia del Tribunal Europeo de Derechos Humanos, ha declarado que el término «ley», utilizado en el artículo 8, apartado 2, de la Carta, en la expresión «fundamento previsto por la ley», debe entenderse en su acepción material y no formal (sentencia de 16 de noviembre de 2023, Roos y otros/Parlamento, C‑458/22 P, no publicada, EU:C:2023:871, apartado 61). Por otra parte, según esta jurisprudencia del Tribunal Europeo de Derechos Humanos, dicha acepción del término «ley», en la expresión «prevista por la ley», recogida en el artículo 8, apartado 2, del CEDH, implica que dicho término se refiere al texto en vigor tal como lo hayan interpretado los órganos jurisdiccionales competentes (véase, en este sentido, TEDH, sentencia de 23 de enero de 2025, H. W. c. Francia, CE:ECHR:2025:0123JUD 001380521, § 65).

53

Asimismo, como se desprende de la jurisprudencia del Tribunal de Justicia, si bien el requisito de que cualquier limitación del ejercicio de los derechos fundamentales reconocidos por la Carta debe ser establecida por ley implica que el propio acto que permita la injerencia en dichos derechos defina el alcance de la referida limitación, este requisito no excluye, sin embargo, que, por una parte, la limitación de que se trate se formule en términos lo suficientemente abiertos como para poder adaptarse a supuestos distintos, así como a los cambios de situación, ni, por otra parte, que el juez competente pueda, en su caso, precisar, por vía de interpretación, el alcance concreto de la mencionada limitación en relación tanto con los propios términos de ese acto que permite la injerencia como con la estructura general de dicho acto y los objetivos que este último persigue (véase, por analogía, la sentencia de 21 de junio de 2022, Ligue des droits humains, C‑817/19, EU:C:2022:491, apartado 114).

54

Por consiguiente, debe entenderse que el concepto de «Derecho del Estado miembro», en el sentido de los artículos 8 y 10 de la Directiva 2016/680, interpretados a la luz del artículo 8, apartado 2, de la Carta, puede referirse a una norma que contemple expresamente la realización de un tratamiento de datos personales comprendido en el ámbito de aplicación de dicha Directiva, tal como la interprete la jurisprudencia de los órganos jurisdiccionales nacionales.

55

En cualquier caso, como se ha señalado en el apartado 47 de la presente sentencia, el artículo 8, apartado 2, de la Directiva 2016/680 establece que un tratamiento de datos personales comprendido en el ámbito de aplicación de dicha Directiva solo es posible si el Derecho del Estado miembro que regule tal tratamiento indica al menos los objetivos, los datos personales que vayan a ser objeto del tratamiento y las finalidades.

56

Pues bien, a este respecto, procede señalar, por una parte, que la referencia al «Derecho» del Estado miembro que «regule» el tratamiento en cuestión implica que los objetivos, los datos personales que vayan a ser objeto del tratamiento y las finalidades estén previstos, al menos por lo que atañe a sus principios, por una norma de alcance general. Por otra parte, el referido artículo 8, apartado 2, tiene por objeto, como se desprende expresamente del considerando 33 de dicha Directiva, que el Derecho del Estado miembro responsable del tratamiento sea claro y preciso y que su aplicación sea previsible para los justiciables, tal y como exige la jurisprudencia del Tribunal de Justicia y del Tribunal Europeo de Derechos Humanos.

57

Según la jurisprudencia del Tribunal Europeo de Derechos Humanos, toda medida que constituya la base jurídica de un tratamiento de datos personales debe reunir determinadas cualidades, a saber, en esencia, debe ser, para empezar, conforme a las normas de rango superior, a continuación, accesible y, por último, suficientemente previsible, es decir, en un grado razonable en las circunstancias del caso, para permitir a los individuos afectados regular su conducta, lo que supone que dicha medida defina con la suficiente claridad el alcance y las condiciones de ejercicio de la facultad conferida a las autoridades competentes (véanse, en este sentido, en particular, TEDH, sentencias de 26 de abril de 1979, Sunday Times c. Reino Unido, CE:ECHR:1979:0426JUD00065387, §§ 25 y 52; de 1 de julio de 2008, Liberty y otros c. Reino Unido, CE:ECHR:2008:0701JUD005824300, §§ 62 y 63, y de 4 de diciembre de 2008, S. y Marper c. Reino Unido, CE:ECHR:2008:1204JUD003056204, § 95).

58

Asimismo, de la jurisprudencia del Tribunal de Justicia se desprende que, para cumplir el requisito de estar establecida por la ley previsto en el artículo 52 de la Carta, una normativa que haga posible una injerencia en los derechos fundamentales garantizados por los artículos 7 y 8 de la Carta debe contener reglas claras y precisas que regulen el alcance y la aplicación de una medida e impongan unas exigencias mínimas, de modo que las personas cuyos datos personales resulten afectados dispongan de garantías suficientes que permitan proteger eficazmente sus datos personales contra los riesgos de abuso y contra cualquier acceso o utilización ilícitos de estos (véanse las sentencias de 8 de abril de 2014, Digital Rights Ireland y otros, C‑293/12 y C‑594/12, EU:C:2014:238, apartado 54, y de 6 de octubre de 2015, Schrems, C‑362/14, EU:C:2015:650, apartado 91).

59

Dado que el artículo 8, apartado 2, de la Directiva 2016/680 tiene por objeto garantizar el cumplimiento de las exigencias recordadas en los apartados 56 y 57 de la presente sentencia, de ello se deriva que los objetivos perseguidos, los datos personales de que se trate y las finalidades de un tratamiento comprendido en el ámbito de dicha Directiva deben desprenderse con suficiente claridad y precisión de la norma que regule ese tratamiento en sí misma, para que pueda considerarse que este último cumple los requisitos de ser establecido por la ley, en el sentido de la jurisprudencia del Tribunal Europeo de Derechos Humanos y del artículo 52 de la Carta.

60

Habida cuenta de todo lo anterior, procede responder a la tercera cuestión prejudicial que los artículos 8 y 10 de la Directiva 2016/680 deben interpretarse en el sentido de que, por lo que respecta a la recogida, conservación y supresión de datos biométricos y genéticos, el concepto de «Derecho del Estado miembro», en el sentido de dichos artículos, debe entenderse referido a una norma de alcance general que establezca los requisitos mínimos de recogida, conservación y supresión de esos datos, tal como la interprete la jurisprudencia de los órganos jurisdiccionales nacionales, siempre que dicha jurisprudencia sea accesible y suficientemente previsible.

Primera cuestión prejudicial

Sobre la admisibilidad

61

En sus observaciones escritas, la Comisión Europea solicita que se declare la inadmisibilidad de la primera cuestión prejudicial debido a que la toma de material genético de JH y las mediciones biométricas de este realizadas por la Policía checa tuvieron lugar el 13 de enero de 2016, es decir, antes de la fecha de entrada en vigor de la Directiva 2016/680, que se produjo el 5 de mayo de 2016, y antes de la expiración del plazo de transposición de dicha Directiva fijado, en su artículo 63, apartado 1, el 6 de mayo de 2018.

62

A este respecto, procede recordar que el Tribunal de Justicia solo puede abstenerse de pronunciarse sobre una cuestión prejudicial planteada por un órgano jurisdiccional nacional cuando resulte evidente que la interpretación del Derecho de la Unión solicitada no guarda relación alguna ni con la realidad ni con el objeto del litigio principal, cuando el problema sea de naturaleza hipotética o cuando el Tribunal de Justicia no disponga de los elementos de hecho y de Derecho necesarios para dar una respuesta útil a las cuestiones que se le hayan planteado (sentencia de 20 de marzo de 2025, Anib y otros, C‑728/22 a C‑730/22, EU:C:2025:200, apartado 48).

63

En el caso de autos, el artículo 64 de la Directiva 2016/680 establece que esta entrará en vigor el 5 de mayo de 2016, mientras que el artículo 63 de dicha Directiva precisa que los Estados miembros deben adoptar y publicar las disposiciones legales, reglamentarias y administrativas necesarias para dar cumplimiento a lo establecido en ella a más tardar el 6 de mayo de 2018.

64

Sin embargo, de los autos que obran en poder del Tribunal de Justicia se desprende que los datos personales recogidos en relación con JH a partir de las extracciones genéticas y registros biométricos de este último, el 13 de enero de 2016, siguieron conservándose en las bases de datos de la Policía checa y, por tanto, siendo objeto de tratamiento después del 6 de mayo de 2018.

65

Pues bien, sin perjuicio de las situaciones contempladas en el artículo 4, apartado 2, de la Directiva 2016/680, del artículo 4, apartado 1, letra b), de esta Directiva se desprende que los datos personales no pueden ser objeto de tratamiento si su recogida no ha estado justificada por fines legítimos.

66

Por consiguiente, como ha subrayado el Abogado General en el punto 34 de sus conclusiones, los datos personales comprendidos en el ámbito de la Directiva 2016/680 recogidos de manera lícita antes de la entrada en vigor de dicha Directiva, pero que se habrían recogido violando los principios establecidos por la referida Directiva si tal recogida hubiera tenido lugar después de la fecha en la que tal Directiva fue transpuesta o, en su defecto, después de la fecha límite en la que debería haber sido transpuesta, a saber, el 6 de mayo de 2018, no pueden conservarse después de la fecha en la que la Directiva fue transpuesta o, en su defecto, después de la fecha límite en la que debería haber sido transpuesta.

67

Así pues, en el caso de autos, no resulta evidente que la primera cuestión prejudicial carezca necesariamente de relación alguna con la realidad o con el objeto del litigio principal o que el problema planteado sea de naturaleza hipotética, por el motivo, invocado por la Comisión, de que se refiere a datos biométricos y genéticos recogidos antes de la entrada en vigor de la Directiva 2016/680.

68

En la medida en que, por otra parte, el Tribunal de Justicia dispone de todos los elementos de hecho y de Derecho necesarios para poder dar una respuesta útil a la primera cuestión prejudicial, esta última debe considerarse admisible.

Sobre el fondo

69

Mediante su primera cuestión prejudicial, el órgano jurisdiccional remitente pregunta, en esencia, si el artículo 6 o el artículo 4, apartado 1, letra c), de la Directiva 2016/680, en relación con el artículo 10 de dicha Directiva, deben interpretarse en el sentido de que se oponen a una normativa nacional que permita indistintamente la recogida de datos biométricos y genéticos de cualquier persona objeto de un proceso penal por la comisión de un delito doloso o sospechosa de haber cometido tal delito.

70

A este respecto, por lo que respecta, en primer lugar, al artículo 6 de la Directiva 2016/680, procede recordar que este artículo obliga a los Estados miembros a que dispongan que el responsable del tratamiento establezca, «cuando corresponda y en la medida de lo posible», una distinción clara entre los datos personales de las distintas categorías de interesados, como las mencionadas en las letras a) a d) del referido artículo, en concreto, las personas respecto de las cuales existan motivos fundados para presumir que han cometido o van a cometer una infracción penal, las personas condenadas por una infracción penal, las víctimas de una infracción penal o las personas respecto de las cuales determinados hechos den lugar a pensar que puedan ser víctimas de una infracción penal y, por último, las terceras partes involucradas en una infracción penal como, por ejemplo, las personas que puedan ser citadas a testificar en investigaciones relacionadas con infracciones penales o procesos penales ulteriores o las personas que puedan facilitar información sobre infracciones penales o las personas de contacto o asociados de una de las personas mencionadas en las letras a) y b) del mismo artículo, respectivamente.

71

De conformidad con la antedicha disposición, los Estados miembros deben velar por que el responsable del tratamiento, «cuando corresponda y en la medida de lo posible», efectúe una distinción clara entre los datos de las diferentes categorías de interesados a fin de que no se les imponga de modo indiferenciado el mismo grado de injerencia en su derecho fundamental a la protección de sus datos personales, cualquiera que sea la categoría a la que pertenezcan, debiendo establecerse dichas categorías esencialmente en función de la situación penal del interesado.

72

Como pone de relieve la expresión «cuando corresponda y en la medida de lo posible» que figura en el artículo 6 de la Directiva 2016/680, la obligación de distinguir determinadas categorías de personas que este artículo impone a los Estados miembros no es absoluta, sino que depende, en particular, de si, en cada caso concreto, puede efectuarse una distinción clara entre esas categorías de personas [véase, en este sentido, la sentencia de 26 de enero de 2023, Ministerstvo na vatreshnite raboti (Registro de datos biométricos y genéticos por la Policía), C‑205/21, EU:C:2023:49, apartado 84] y de los fines del tratamiento.

73

En el caso de autos, el Gobierno checo sostiene que la referencia que hace el órgano jurisdiccional remitente a la categoría de personas sospechosas debe entenderse en el sentido de que atañe a las personas que, en el marco de un procedimiento preliminar acelerado, han sido informadas de que existen sospechas sobre ellas, lo que, en la normativa nacional controvertida en el litigio principal, requiere, al igual que para las personas que son objeto de un proceso penal, que se hayan reunido suficientes elementos que demuestren que los interesados han cometido un delito.

74

Pues bien, si así fuera, extremo que corresponderá comprobar al órgano jurisdiccional remitente, podría considerarse que esas dos categorías de personas, a efectos de un tratamiento determinado, forman ambas parte de la categoría contemplada en el artículo 6, letra a), de la Directiva 2016/680, siempre que los fines perseguidos por el tratamiento en cuestión no impongan establecer una distinción entre esas dos categorías.

75

Por consiguiente, el artículo 6 de la Directiva 2016/680 debe interpretarse en el sentido de que no se opone a una normativa nacional que permita, indistintamente, la recogida de datos biométricos y genéticos de las personas comprendidas en la categoría de personas «objeto de un proceso penal por la comisión de un delito doloso» y de las personas comprendidas en la categoría de personas «sospechosas de haber cometido tal delito», en el sentido del Derecho nacional, cuando los fines de esa recogida no impongan establecer una distinción entre esas dos categorías de personas cuyos datos pueden ser recogidos sobre la base de la referida normativa.

76

Por lo que respecta, en segundo lugar, al artículo 4, apartado 1, letra c), de la Directiva 2016/680, en relación con el artículo 10 de dicha Directiva, el primero de estos artículos establece que los datos personales deben ser adecuados, pertinentes y no excesivos en relación con los fines para los que son tratados. Así pues, esta última exigencia requiere que los Estados miembros respeten el principio de minimización del tratamiento de datos en relación con el objetivo y la finalidad perseguidos por el tratamiento de que se trate.

77

El artículo 10 de la referida Directiva establece, por su parte, que, por lo que respecta a los datos personales sensibles, entre los que se encuentran los datos biométricos y genéticos, el tratamiento debe cumplir, además del requisito de estar comprendido en uno de los tres supuestos enumerados taxativamente en sus letras a) a c), otros dos requisitos, a saber, por una parte, que existan salvaguardias adecuadas para los derechos y libertades del interesado y, por otra parte, que el tratamiento previsto sea estrictamente necesario.

78

Pues bien, por lo que atañe a este último requisito, para empezar, tal requisito conlleva que esa necesidad se aprecie de un modo especialmente riguroso a la luz de los fines perseguidos por el tratamiento en cuestión y que, por consiguiente, tal tratamiento solo pueda considerarse necesario en un número limitado de supuestos [véase, en este sentido, la sentencia de 26 de enero de 2023, Ministerstvo na vatreshnite raboti (Registro de datos biométricos y genéticos por la Policía), C‑205/21, EU:C:2023:49, apartado 118].

79

Por tanto, los fines de un tratamiento de datos biométricos y genéticos personales no se pueden indicar en términos demasiado genéricos y deben ser definidos, por el contrario, de manera suficientemente precisa y concreta como para permitir valorar el carácter «estrictamente necesario» de dicho tratamiento [sentencia de 26 de enero de 2023, Ministerstvo na vatreshnite raboti (Registro de datos biométricos y genéticos por la Policía), C‑205/21, EU:C:2023:49, apartado 124].

80

A este respecto, si bien es cierto que la Directiva 2016/680 no define el concepto de «fines del tratamiento», cabe señalar que el artículo 8, apartado 2, distingue expresamente este concepto del concepto de «objetivos del tratamiento». Pues bien, el artículo 4, apartado 1, letra b), de la referida Directiva establece que los fines perseguidos por un tratamiento de datos personales deben, en particular, determinarse y ser explícitos y que tales datos no pueden ser tratados de forma incompatible con esos fines, mientras que el artículo 4, apartado 1, letra c), de la misma Directiva establece que, a la luz de dichos fines, se apreciará, en particular, el carácter adecuado, pertinente y no excesivo de los datos personales objeto de ese tratamiento.

81

Por consiguiente, puede deducirse de ello que el concepto de «objetivos del tratamiento», en el sentido del citado artículo 8, apartado 2, remite a los fines más generales mencionados en el artículo 1, apartado 1, de la Directiva 2016/680 que debe perseguir un tratamiento para estar comprendido en el ámbito de aplicación dicha Directiva, mientras que el de «fines del tratamiento», en el sentido, en particular, del artículo 8, apartado 2, de la misma Directiva, debe entenderse referido a las finalidades específicas y concretas perseguidas por un tratamiento de datos personales a la luz de la función encomendada al responsable del tratamiento, como un cometido específico vinculado a la prevención o a la detección de infracciones penales o a la realización de una investigación o enjuiciamiento de infracciones penales o la ejecución de sanciones penales.

82

A continuación, dado que, como se desprende del considerando 26 de la Directiva 2016/680, interpretado a la luz del principio de proporcionalidad, para los datos personales no sensibles, el requisito de necesidad, en el sentido de dicha Directiva, se cumple cuando el fin del tratamiento de que se trate no pueda alcanzarse razonablemente con igual eficacia por otros medios menos atentatorios respecto de los derechos fundamentales de los interesados, procede deducir de ello que el requisito para el tratamiento de datos personales sensibles de ser estrictamente necesario exige, por su parte, que el responsable del tratamiento se asegure de que el fin perseguido por el tratamiento en cuestión no pueda alcanzarse con igual eficacia recurriendo a categorías de datos distintas de las enumeradas en el artículo 10 de la Directiva 2016/680 [véase, en este sentido, la sentencia de 26 de enero de 2023, Ministerstvo na vatreshnite raboti (Registro de datos biométricos y genéticos por la Policía), C‑205/21, EU:C:2023:49, apartado 126].

83

Asimismo, teniendo en cuenta los riesgos importantes que representa el tratamiento de datos personales sensibles en relación con los derechos y libertades de los interesados, en particular en el contexto de las tareas de las autoridades competentes respecto a los fines establecidos en el artículo 1, apartado 1, de la Directiva 2016/680, el requisito del carácter «estrictamente necesario» exige que se tenga en cuenta la especial importancia del fin que persigue el tratamiento de que se trate, importancia que puede apreciarse, en particular, en función de la naturaleza de ese fin y del hecho de que ese tratamiento persiga una finalidad específica y concreta en relación con la prevención de infracciones penales o de amenazas contra la seguridad pública que revistan cierto grado de gravedad, con la represión de tales infracciones o con la protección contra esas amenazas, así como a la luz de las circunstancias concretas en las que se efectúa el tratamiento [véase, en este sentido, la sentencia de 26 de enero de 2023, Ministerstvo na vatreshnite raboti (Registro de datos biométricos y genéticos por la Policía), C‑205/21, EU:C:2023:49, apartado 127].

84

En cualquier caso, por lo que respecta a la recogida de datos biométricos y genéticos de personas objeto de un proceso penal por la comisión de un delito doloso o sospechosas de haber cometido tal delito a efectos de identificación y comparación futuras de esas personas, el carácter estrictamente necesario de dicha recogida debe tener en cuenta todos los elementos pertinentes, como, en particular, la naturaleza y gravedad de la presunta infracción por la que se les investiga, la circunstancias concretas de esa infracción, el eventual vínculo de dicha infracción con otros procedimientos en curso, los antecedentes judiciales o el perfil individual de las personas en cuestión [véase, en este sentido, la sentencia de 26 de enero de 2023, Ministerstvo na vatreshnite raboti (Registro de datos biométricos y genéticos por la Policía), C‑205/21, EU:C:2023:49, apartado 132].

85

Por último, el requisito del carácter «estrictamente necesario» conlleva un control especialmente riguroso del respeto del principio de minimización del tratamiento de los datos de que se trate, enunciado en el artículo 4, apartado 1, letra c), de la mencionada Directiva [véase, en este sentido, la sentencia de 26 de enero de 2023, Ministerstvo na vatreshnite raboti (Registro de datos biométricos y genéticos por la policía), C‑205/21, EU:C:2023:49, apartado 125].

86

En particular, por lo que atañe a la conservación o a la utilización de datos extraídos del ADN de personas a efectos de identificación o de comparación, ese principio implica que, para apreciar el carácter estrictamente necesario de tales tratamientos, se tenga debidamente en cuenta la posibilidad de recurrir exclusivamente a los polimorfismos presentes en las zonas no codificantes del ADN, a saber, zonas respecto de las que se admite que no proporcionan ninguna información sobre la etnia o las enfermedades genéticas de las personas.

87

Por consiguiente, si bien un Estado miembro puede dar cumplimiento a lo dispuesto en la Directiva 2016/680, ya sea delegando en las autoridades competentes la tarea de velar, en cada caso concreto, por el cumplimiento del requisito, para cualquier tratamiento de datos personales sensibles, de ser estrictamente necesario, ya sea fijando, a nivel legislativo, criterios de apreciación que las autoridades deben aplicar posteriormente de manera no discrecional, no es menos cierto que, en este segundo supuesto, esos criterios deben poder cumplir todas las exigencias derivadas de este mismo requisito, tal como se enuncian en los apartados 77 a 83 de la presente sentencia.

88

Así, en la sentencia de 26 de enero de 2023, Ministerstvo na vatreshnite raboti (Registro de datos biométricos y genéticos por la Policía) (C‑205/21, EU:C:2023:49), apartado 135, el Tribunal de Justicia declaró que una normativa nacional que establece la recogida sistemática de datos biométricos y genéticos de cualquier persona investigada por un delito público doloso a efectos de su registro, sin obligar a la autoridad competente a comprobar y demostrar, por una parte, si esa recogida es estrictamente necesaria para satisfacer los objetivos concretos perseguidos y, por otra parte, si tales objetivos no pueden lograrse mediante medidas que constituyan injerencias menos graves en los derechos y libertades del interesado, es contraria al mencionado requisito de estricta necesidad.

89

Dicho esto, mientras que la recogida prevista por la normativa controvertida en el asunto que dio lugar a la citada sentencia se aplicaba de manera imperativa a todos los investigados por delitos públicos dolosos, la primera cuestión prejudicial que se plantea en el presente asunto se refiere a una normativa que solo concede a las autoridades policiales la facultad de tomar muestras de datos biométricos y genéticos de las personas objeto de un proceso penal por la comisión de un delito doloso o sospechosas de haber cometido tal delito.

90

Pues bien, el hecho de que una normativa confiera tal facultad a las autoridades policiales no implica que el Derecho del Estado miembro de que se trate permita que esa recogida sea sistemática o que pueda realizarse violando, en particular, el principio de minimización del tratamiento de datos, enunciado en el artículo 4, apartado 1, letra c), de la Directiva 2016/680, o el requisito, para los tratamientos en cuestión, de ser estrictamente necesarios, previsto en el artículo 10 de dicha Directiva, siempre que ese Derecho, incluida la jurisprudencia de los órganos jurisdiccionales nacionales, defina de manera adecuada y suficientemente precisa los fines perseguidos por el tratamiento de datos biométricos y genéticos, es decir, los fines específicos y concretos que persigue un tratamiento de datos personales a la luz de la labor encomendada al responsable del tratamiento, y que la referida facultad se ejerza de conformidad con las exigencias expuestas en los apartados 77 a 83 de la presente sentencia.

91

Así pues, de la información de que dispone el Tribunal de Justicia se desprende que, en el presente asunto, la jurisprudencia nacional establece determinados requisitos destinados a velar por el respeto de ese principio, como la obligación de que la Policía, antes de tomar una muestra de ADN, tenga en cuenta, en particular, los antecedentes penales del autor del delito cometido, la gravedad de este en función del tipo de delito de que se trate y las circunstancias específicas del delito que impliquen la toma de muestras, así como la personalidad del autor de los hechos.

92

En esta situación, corresponde a los órganos jurisdiccionales nacionales comprobar, en cada caso, si la recogida fue realizada por las autoridades policiales sin atenerse a los principios que rigen el tratamiento de datos personales, enunciados en el artículo 4 de la Directiva 2016/680, y a los requisitos específicos aplicables a los tratamientos de datos personales sensibles, enunciados en el artículo 10 de dicha Directiva, interpretado a la luz de los artículos 7 y 8 de la Carta.

93

A este respecto, es preciso subrayar además que el mero hecho de que el delito que se imputa a una persona sea de carácter económico y de que la recogida de datos biométricos y genéticos de esa persona tenga lugar antes de que sea condenada en sentencia firme no basta para excluir que pueda considerarse que dicha recogida responda a una estricta necesidad, ya que, habida cuenta de los fines perseguidos, tal recogida, también en lo que atañe al tipo de datos de que se trate, puede ser estrictamente necesaria, en particular para permitir determinar si, debido a su eventual pertenencia a una organización delictiva, es posible que esa persona haya participado en otros delitos para los que puedan ser pertinentes datos de ese tipo, o, si existe un riesgo de fuga, para permitir su identificación.

94

Habida cuenta de todo lo anterior, procede responder a la primera cuestión prejudicial que los artículos 6 y 4, apartado 1, letra c), de la Directiva 2016/680, en relación con el artículo 10 de dicha Directiva, deben interpretarse en el sentido de que no se oponen a una normativa nacional que permita, indistintamente, la recogida de datos biométricos y genéticos de cualquier persona objeto de un proceso penal por la comisión de un delito doloso o sospechosa de haber cometido tal delito, siempre que, por una parte, los fines de esa recogida no impongan que se establezca una distinción entre estas dos categorías de personas y que, por otra parte, los responsables del tratamiento estén obligados, con arreglo al Derecho nacional, incluida la jurisprudencia de los órganos jurisdiccionales nacionales, a respetar todos los principios y requisitos específicos enunciados en los artículos 4 y 10 de la mencionada Directiva.

Segunda cuestión prejudicial

95

Con carácter preliminar, procede señalar que, si bien, en la formulación de la segunda cuestión prejudicial, el órgano jurisdiccional remitente hace referencia a una normativa nacional que tiene como consecuencia que los datos personales en cuestión se conserven, en la mayoría de los casos, por «tiempo indefinido», de los autos que obran en poder del Tribunal de Justicia se desprende que, al usar la expresión «tiempo indefinido», dicho órgano jurisdiccional se refiere, en definitiva, al hecho de que no se especifica ningún período máximo de conservación, y no a que tal conservación sea ilimitada en el tiempo.

96

Por consiguiente, ha de entenderse que, mediante su segunda cuestión prejudicial, el órgano jurisdiccional remitente pregunta, en esencia, si el artículo 4, apartado 1, letra e), de la Directiva 2016/680 debe interpretarse en el sentido de que se opone a una normativa nacional en virtud de la cual la necesidad de mantener la conservación datos biométricos y genéticos es evaluada por las autoridades policiales sobre la base de reglas internas, sin que la referida normativa prevea un período máximo de conservación.

97

A este respecto, el artículo 4, apartado 1, letra e) de la Directiva 2016/680 establece que los Estados miembros dispondrán que los datos personales sean conservados de forma que permita identificar al interesado durante un período no superior al necesario para los fines para los que son tratados.

98

Por lo que atañe, en primer lugar, al hecho de que la normativa nacional de que se trata no establezca un período máximo de conservación, procede recordar que, de conformidad con los requisitos del artículo 4, apartado 1, letra e), de la Directiva 2016/680, el artículo 5 de dicha Directiva obliga a los Estados miembros a que fijen plazos apropiados para la supresión de los datos personales o para una revisión periódica de la necesidad de conservación de esos datos, así como normas de procedimiento que permitan garantizar el cumplimiento de dichos plazos.

99

En cambio, el artículo 5 de dicha Directiva deja que los Estados miembros determinen tales plazos, siempre que sean «apropiados», y decidan si se refieren a la supresión de los datos o a la revisión periódica de la necesidad de conservarlos.

100

Es cierto que los artículos 4, apartado 1, letra e), y 5 de la Directiva 2016/680 deben interpretarse, en particular, en relación con su artículo 10, de modo que la conservación de datos biométricos o genéticos debe ser estrictamente necesaria y ofrecer salvaguardias adecuadas para los derechos y libertades de los interesados.

101

No obstante, cuando un Estado miembro fija plazos apropiados de revisión periódica de la necesidad de conservar datos personales y, con ocasión de dicha revisión, hay que evaluar la estricta necesidad de prolongar dicha conservación, debe considerarse que el Derecho del Estado miembro de que se trate cumple esos requisitos. Así pues, aun cuando los datos conservados sean datos personales sensibles, un Estado miembro que haya actuado de ese modo no está obligado a establecer límites temporales absolutos para la conservación de esos datos, más allá de los cuales estos últimos deben suprimirse automáticamente (véase, en este sentido, la sentencia de 30 de enero de 2024, Direktor na Glavna direktsia Natsionalna politsia pri MVR — Sofia, C‑118/22, EU:C:2024:97, apartado 52).

102

En cambio, el carácter apropiado de esos plazos de revisión periódica exige que, por una parte, de conformidad con el artículo 4, apartado 1, letras c) y e), de la Directiva 2016/680, interpretado a la luz del artículo 52, apartado 1, de la Carta, los datos personales hasta entonces conservados se supriman, en las condiciones previstas en el artículo 16, apartados 2 y 3, de dicha Directiva, si, con ocasión de una de las revisiones efectuadas, la conservación de los mismos datos ya no es estrictamente necesaria y, en consecuencia, resulta excesiva a la luz de los fines perseguidos (véase, en este sentido, la sentencia de 30 de enero de 2024, Direktor na Glavna direktsia Natsionalna politsia pri MVR — Sofia, C‑118/22, EU:C:2024:97, apartados 45, 48 y 50 y jurisprudencia citada).

103

Por otra parte, habida cuenta de los requisitos, establecidos en el artículo 4, apartado 1, letra c), de la Directiva 2016/680, de que todo dato personal sea adecuado, pertinente y no excesivo en relación con los fines para los que son tratados, del hecho de que esta disposición y el artículo 8 de la referida Directiva deben interpretarse a la luz de las exigencias derivadas del artículo 52 de la Carta, así como de la obligación, establecida en el artículo 6 de la mencionada Directiva, que incumbe al responsable del tratamiento, de establecer, en su caso, una distinción clara entre los datos personales de las diferentes categorías de interesados, esos plazos de revisión no pueden considerarse apropiados si los cambios de situación penal del interesado, considerados pertinentes a la luz del fin perseguido por la conservación, no conllevan la obligación del responsable del tratamiento de volver a examinar en un plazo razonable la necesidad de conservar los datos relativos a esa persona.

104

Por lo que atañe, en segundo lugar, al hecho de que la necesidad de mantener la conservación de datos biométricos y genéticos sea evaluada por las autoridades policiales sobre la base de reglas internas, tal hecho no es, en sí mismo, contrario al artículo 8, apartado 2, de la Directiva 2016/680, siempre que esas reglas internas obliguen a esas autoridades policiales a velar por el cumplimiento del requisito relativo a la existencia de una estricta necesidad de conservar esos datos y que el margen de apreciación de esas autoridades esté suficientemente delimitado por el Derecho nacional, incluida la jurisprudencia de los órganos jurisdiccionales nacionales.

105

En efecto, si bien el hecho de que las reglas sean internas y, por tanto, no accesibles a todas las personas cuyos datos personales pueden ser objeto de tratamiento, tiene como consecuencia que tales reglas no pueden ser invocadas por las autoridades competentes para demostrar que cumplen los requisitos que se les imponen, este hecho no tiene, sin embargo, como consecuencia convertir automáticamente en ilícitos los tratamientos de datos personales cuya realización se decide sobre la base de esas reglas, sino que implica que, en su caso, si hay un recurso contra la decisión de proceder a esos tratamientos, las autoridades policiales demuestren ante el órgano jurisdiccional competente, con independencia de dichas reglas internas, que se ha respetado debidamente el requisito de la «estricta necesidad».

106

En el caso de autos, por una parte, según el Gobierno checo, del artículo 65, apartado 5, de la Ley de la Policía checa se desprende, en particular, extremo que corresponde comprobar al órgano jurisdiccional remitente, que los perfiles de ADN de las personas objeto de un proceso penal por la comisión de un delito doloso o sospechosas de haber cometido tal delito deben suprimirse cuando su conservación ya no sea necesaria a la luz de los objetivos perseguidos, es decir, cuando esas personas dejen de ser objeto de dicho proceso penal o sospechosas y tampoco se encuentren en esa situación en el marco de otro procedimiento penal, o cuando no hayan cometido anteriormente otros delitos.

107

A este respecto, procede recordar, no obstante, que únicamente puede considerarse que la conservación de datos biométricos y genéticos responde a la exigencia de que solo debe permitirse «cuando sea estrictamente necesario», en el sentido del artículo 10 de la Directiva 2016/680, si toma en consideración no solo la posible relación del interesado con otros procedimientos en curso o incluso los antecedentes o su perfil, sino también la naturaleza y la gravedad del delito que dio lugar a la condena penal firme u otras circunstancias como el contexto particular en el que se cometió dicho delito (véase, en este sentido, la sentencia de 30 de enero de 2024, Direktor na Glavna direktsia Natsionalna politsia pri MVR — Sofia, C‑118/22, EU:C:2024:97, apartado 67).

108

Por otra parte, si bien el Derecho checo no establece un período máximo de conservación de los datos personales recogidos sobre la base del artículo 65, apartado 1, de la Ley de la Policía checa, el artículo 82, apartado 1, de dicha Ley obliga, no obstante, a las autoridades policiales a verificar al menos una vez cada tres años que la conservación de esos datos sigue siendo necesaria para el desempeño de sus funciones.

109

Por consiguiente, corresponderá al órgano jurisdiccional remitente determinar si, habida cuenta de los fines perseguidos por la conservación de los datos biométricos y genéticos de que se trata, ese plazo de revisión de tres años puede considerarse apropiado, precisándose, no obstante, que, si no fuera así, no se requeriría la supresión de esos datos si se demostrara que, en cualquier caso, su conservación sigue siendo estrictamente necesaria.

110

Habida cuenta de todo lo anterior, procede responder a la segunda cuestión prejudicial que el artículo 4, apartado 1, letra e), de la Directiva 2016/680 debe interpretarse en el sentido de que no se opone a una normativa nacional en virtud de la cual la necesidad de mantener la conservación de datos biométricos y genéticos es evaluada por las autoridades policiales sobre la base de reglas internas, sin que la referida normativa prevea un período máximo de conservación, siempre que tal normativa fije plazos apropiados de revisión periódica de la necesidad de conservar esos datos y que, con ocasión de dicha revisión, se evalúe la estricta necesidad de prolongar su conservación.

Costas

111

Dado que el procedimiento tiene, para las partes del litigio principal, el carácter de un incidente promovido ante el órgano jurisdiccional remitente, corresponde a este resolver sobre las costas. Los gastos efectuados por quienes, no siendo partes del litigio principal, han presentado observaciones ante el Tribunal de Justicia no pueden ser objeto de reembolso.

1)

Los artículos 8 y 10 de la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos y por la que se deroga la Decisión Marco 2008/977/JAI del Consejo,

2)

Los artículos 6 y 4, apartado 1, letra c), de la Directiva 2016/680, en relación con el artículo 10 de dicha Directiva,

3)

El artículo 4, apartado 1, letra e), de la Directiva 2016/680