–

za JH, M. Mandzák, L. Nezpěvák i L. Trojan, advokáti,

–

za češku vladu, M. Smolek, O. Serdula, J. Vláčil, T. Suchá i L. Březinová, u svojstvu agenata,

–

za Irsku, M. Browne, Chief State Solicitor, A. Joyce i D. O’Reilly, u svojstvu agenata, uz asistenciju A. Mulligana, BL,

–

za nizozemsku vladu, J. Langer, u svojstvu agenta,

–

za poljsku vladu, B. Majczyna, u svojstvu agenta,

–

za Europsku komisiju, A. Bouchagiar, H. Kranenborg, P. Němečková i M. F. Wilman,, u svojstvu agenata,

1

Zahtjev za prethodnu odluku odnosi se na tumačenje članka 4. stavka 1. točaka (c) i (e), članka 6., članka 8. stavka 2. i članka 10. Direktive (EU) 2016/680 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka od strane nadležnih tijela u svrhe sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Okvirne odluke Vijeća 2008/977/PUP (SL 2016., L 119, str. 89. i ispravak SL 2018., L 127, str. 14.).

2

Zahtjev je upućen u okviru spora između osobe JH i Policejní prezidium (Ravnateljstvo policije, Češka Republika) (u daljnjem tekstu: češko ravnateljstvo policije) u vezi s, osobito, prikupljanjem biometrijskih i genetskih podataka o osobi JH u okviru kaznenog postupka te njihovom pohranom od strane češke policije.

3

Uvodne izjave 1., 2., 26., 33., 37. i 96. Direktive 2016/680 glase:

[…]

[…]

[…]

[…]

[…]”

4

Člankom 1. te direktive, naslovljenim „Predmet i ciljevi”, u stavku 1. određuje se:

„Ovom se Direktivom utvrđuju pravila povezana sa zaštitom pojedinaca u pogledu obrade osobnih podataka od strane nadležnih tijela u svrhe sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija, uključujući zaštitu od prijetnji javnoj sigurnosti i njihovo sprečavanje.”

5

Člankom 2. stavkom 1. navedene direktive, naslovljenim „Područje primjene”, propisuje se:

„Ova se Direktiva primjenjuje na obradu osobnih podataka od strane nadležnih tijela u svrhe utvrđene u članku 1. stavku 1.”

6

U skladu s člankom 3. iste direktive, naslovljenim „Definicije”:

„Za potrebe ove Direktive:

[…]

[…]”

7

Člankom 4. Direktive 2016/680, naslovljenim „Načela obrade osobnih podataka”, u stavku 1. određuje se:

„Države članice osiguravaju da su osobni podaci:

[…]”

8

Članak 5. te direktive, naslovljen „Rokovi za pohranu i preispitivanje”, glasi kako slijedi:

„Države članice osiguravaju da se za brisanje osobnih podataka ili za periodično preispitivanje potrebe za pohranom osobnih podataka predvide odgovarajući rokovi. Postupovnim mjerama osigurava se poštovanje tih rokova.”

9

Člankom 6. te direktive, naslovljenim „Razlika između različitih kategorija ispitanika”, propisuje se:

„Države članice osiguravaju da voditelj obrade, prema potrebi i koliko je god to moguće, radi jasnu razliku između osobnih podataka različitih kategorija ispitanika, kao što su:

10

Člankom 8. navedene direktive, naslovljenim „Zakonitost obrade”, određuje se:

„1.   Države članice osiguravaju da je obrada zakonita samo ako je nužna i samo u onoj mjeri u kojoj je nužna kako bi nadležno tijelo obavilo zadaću u svrhe navedene u članku 1. stavku 1. te da se temelji na pravu Unije ili pravu države članice.

2.   Pravom države članice kojim se uređuje obrada unutar područja primjene ove Direktive navode se barem ciljevi obrade, osobni podaci za obradu i svrhe obrade.”

11

U skladu s člankom 10. Direktive 2016/680, naslovljenim „Obrada posebnih kategorija osobnih podataka”:

„Obrada osobnih podataka koji otkrivaju rasno ili etničko podrijetlo, politička mišljenja, religijska ili filozofska vjerovanja ili članstvo u sindikatu te obrada genetskih podataka, biometrijskih podataka u svrhu jedinstvene identifikacije pojedinca ili podataka koji se odnose na zdravlje ili podataka o spolnom životu ili seksualnoj orijentaciji pojedinca dopuštena je samo ako je to nužno, pridržavajući se odgovarajućih zaštitnih mjera u pogledu prava i sloboda ispitanika te samo:

12

Na temelju članka 63. stavka 1. te direktive, države članice trebale su do 6. svibnja 2018. donijeti i objaviti zakone i druge propise koji su potrebni radi usklađivanja s navedenom direktivom. Usto, države članice dužne su primjenjivati te odredbe od tog istog datuma.

13

U skladu s člankom 64. iste direktive, ona je stupila na snagu 5. svibnja 2016.

14

Člankom 11. zákona č. 273/2008 Sb., o Policii České republiky (Zakon br. 273/2008 o policiji Češke Republike) u verziji primjenjivoj na glavni postupak (u daljnjem tekstu: Zakon o češkoj policiji), naslovljen „Proporcionalnost akata”, određuje:

„Policijski službenici i zaposlenici policije dužni su:

[…]

15

Člankom 65. Zakona o češkoj policiji određuje se:

„1.   Policija prilikom obavljanja svojih zadaća za potrebe buduće identifikacije može, kad je riječ o:

uzimati otiske prstiju, utvrđivati fizičke značajke, provoditi mjerenja na tijelu, snimati videozapise, zvučne i slične zapise te uzimati biološke uzorke koji omogućuju dobivanje informacija o genetskoj strukturi te osobe.

2.   Ako se zbog protivljenja osobe radnja iz stavka 1. ne može izvršiti, policijski službenik ima pravo, nakon što nije uspio navesti osobu da se podvrgne radnji, provesti tu radnju bez njezina pristanka. Način provođenja radnje bez pristanka mora biti razmjeran jačini protivljenja. Policijski službenik ne može provesti radnju bez pristanka osobe u slučaju uzimanja krvi ili druge slične radnje kojom se povređuje tjelesni integritet.

3.   Ako se radnja iz stavka 1. ne može izvršiti na licu mjesta, policijski službenik ima pravo privesti osobu radi provođenja radnje. Policijski službenik nakon provođenja radnje osobu pušta na slobodu.

4.   Policijski službenik sastavlja izvješće o provedenim radnjama.

5.   Osobne podatke dobivene u skladu sa stavkom 1. policija briše kada njihova obrada više nije nužna za potrebe sprečavanja, istrage, otkrivanja ili progona kaznenih djela, ili osiguranja sigurnosti Češke Republike, javnog poretka ili unutarnje sigurnosti.”

16

Članak 79. tog zakona, naslovljen „Osnovne odredbe o obradi osobnih podataka u okviru obavljanja određenih policijskih zadaća”, određuje:

„1.   Stavci 2. do 6. i članci 79.a do 88. primjenjuju se na obradu osobnih podataka u svrhe sprečavanja, istrage, otkrivanja ili progona kaznenih djela, kako bi se osigurala sigurnost Češke Republike ili zajamčio javni poredak i unutarnja sigurnost, među ostalim u svrhe potrage za osobama i stvarima.

2.   Policija može obrađivati osobne podatke ako je to nužno za ostvarenje ciljeva navedenih u stavku 1. Policija može obrađivati osobne podatke i kako bi zaštitila važne interese ispitanika povezane s ciljevima navedenima u stavku 1.

[…]”

17

Članak 82. navedenog zakona, naslovljen „Provjera nužnosti za daljnjom obradom osobnih podataka”, glasi kako slijedi:

„1.   Policija najmanje jednom svake tri godine provjerava jesu li osobni podaci koji se obrađuju u svrhe navedene u članku 79. stavku 1. i dalje nužni za obavljanje njezinih zadaća u tom području.

2.   Policija za potrebe provjere iz stavka 1. ima pravo tražiti potvrdu o podacima iz kaznene evidencije.

3.   Tijela kaznenog progona i pravosudna tijela, Ministerstvo spravedlnosti (Ministarstvo pravosuđa, Češka Republika), Ústavní soud (Ustavni sud, Češka Republika) i Kancelář prezidenta republiky (Ured predsjednika Republike, Češka Republika), u okvirima svojih nadležnosti, za potrebe provjere iz stavka 1. kontinuirano obavještavaju policiju o svojim pravomoćnim odlukama, zastari kaznenog progona, izvršenju kazne ili odlukama predsjednika Republike koje se odnose na kazneni postupak, kazne ili amnestiju ili dano pomilovanje.”

18

Odlukom od 11. prosinca 2015. Služba za otkrivanje korupcije i financijskog kriminala skupine kriminalističke policije i istražnog odjela Plzeňa (Češka Republika), koja je služba češke policije s nacionalnom nadležnošću, pokrenula je kazneni progon protiv osobe JH zbog kaznenog djela povrede obveze pri upravljanju imovinom drugih osoba.

19

Češka policija najprije je 13. siječnja 2016. saslušala osobu JH u okviru predmetnog kaznenog postupka te je zatim naložila i izvršila sljedeće identifikacijske radnje, unatoč tomu što im se osoba JH protivila: uzimanje otisaka prstiju osobe JH, uzimanje njezina brisa sluznice usne šupljine na temelju kojeg je izradila genetski profil, fotografiranje osobe JH i sastavljanje njezina opisa. Zatim je te podatke unijela u odgovarajuće baze podataka češke policije.

20

Presudom od 15. ožujka 2017. Městský soud v Praze (Gradski sud u Pragu, Češka Republika) presudio je da je osoba JH počinila kazneno djelo povrede obveze u upravljanju tuđom imovinom i to kao sudionik, kao i kazneno djelo zlouporabe ovlasti javnog dužnosnika. Navedeni je sud osobi JH izrekao uvjetnu kaznu zatvora u trajanju od tri godine, zabranu obavljanja upravljačkih funkcija u javnoj upravi, uključujući upravljanje nekretninama i pokretninama tijekom četiri godine te joj je također naložio da, u granicama svojih mogućnosti, nadoknadi prouzročenu štetu.

21

Osoba JH podnijela je 8. ožujka 2016. tužbu Městskom soudu v Praze (Gradski sud u Pragu) kojom je tražila da se utvrdi da identifikacijske radnje provedene u skladu s člankom 65. Zakona o češkoj policiji, pohrana tako dobivenih podataka i uzoraka te izrada unosa u informacijskom sustavu češke policije čine nezakonito zadiranje u njezino temeljno pravo na poštovanje privatnog života.

22

Budući da je taj sud u drugom predmetu koji je tada bio u tijeku već podnio Ústavnom soudu (Ustavni sud Češke Republike) zahtjev za ocjenu ustavnosti članka 65. Zakona o češkoj policiji, Městský soud v Praze (Gradski sud u Pragu) prekinuo je razmatranje tužbe koju je podnijela osoba JH.

23

Odlukom od 22. ožujka 2022. Ústavní soud (Ustavni sud) odbio je zahtjev koji je podnio Městský soud v Praze (Gradski sud u Pragu) da se utvrdi neustavnost članka 65. Zakona o češkoj policiji. Nakon te odluke, potonji sud ponovno je razmotrio tužbu koju je podnijela osoba JH.

24

Presudom od 23. lipnja 2022. Městský soud v Praze (Gradski sud u Pragu) prihvatio je tužbu osobe JH, smatrajući da su radnje koje je češka policija poduzela 13. siječnja 2016. bile nezakonite. Slijedom toga, taj je sud naložio češkoj policiji da iz svojih baza podataka izbriše sve osobne podatke koji su dobiveni na temelju tih radnji.

25

U toj je presudi navedeni sud naglasio da uzimanje genetskog materijala predstavlja znatno zadiranje u temeljno pravo na poštovanje privatnog života osobe o kojoj je riječ, koje je zaštićeno osobito člankom 8. Europske konvencije za zaštitu ljudskih prava i temeljnih sloboda, potpisane u Rimu 4. studenoga 1950. (u daljnjem tekstu: EKLJP) i člankom 10. stavkom 3. Listina základních práv a svobod (Povelja o temeljnim pravima i slobodama Češke Republike). Međutim, članak 65. Zakona o češkoj policiji ne pruža dovoljno informacija da se ocijeni je li to zadiranje proporcionalno. Naime, jedina provjera koja se zahtijeva potonjim člankom jest da češka policija, prije nego što izvrši takvo uzimanje uzoraka, provjeri je postojala „namjera” prilikom počinjenja kaznenog djela.

26

Uostalom, isti je sud istaknuo da se protiv osobe JH vodio postupak samo zbog počinjenja lakšeg kaznenog djela, da je njezina kazna oduzimanja slobode bila uvjetna, što potvrđuje manju težinu činjenica koje joj se stavljaju na teret, da nikad prije nije bila osuđivana u kaznenom postupku, da je ponavljanje kaznenog djela bilo malo vjerojatno i da nije sigurno da su počinjena kaznena djela bila u kategoriji kaznenih djela u pogledu kojih bi osobni podaci pohranjeni u bazama podataka mogli pridonijeti utvrđivanju budućih počinitelja takvih kaznenih djela. Iz toga je zaključio da identifikacijske radnje koje je provela češka policija i koje su predmet glavnog postupka ne ispunjavaju zahtjeve proporcionalnosti.

27

Ravnateljstvo češke policije podnijelo je žalbu u kasacijskom postupku protiv navedene presude Nejvyššem správnom soudu (Vrhovni upravni sud, Češka Republika), sudu koji je uputio zahtjev.

28

Ravnateljstvo policije je u prilog svojoj žalbi naglasilo da je svrha obrade osobnih podataka jasno izražena u članku 65. Zakona o češkoj policiji. Također je tvrdilo da su u ovom slučaju nadležne službe češke policije ocijenile proporcionalnost uzimanja uzoraka i pohrane osobnih podataka osobe JH, pri čemu je uzelo u obzir čimbenik ponovnog počinjenja kaznenog djela, mogućnost pogoršanja njezina ponašanja i činjenicu da je osoba JH u prošlosti počinila nekoliko lakih kažnjivih djela.

29

Osoba JH naglasila je u svojem odgovoru, među ostalim, da su službe češke policije poduzele identifikacijske radnje a da prethodno nisu razmotrile je li zadiranje o kojem je riječ proporcionalno. Osoba JH također je istaknula da češka policija nije objavila nikakve smjernice o izvršavanju identifikacijskih radnji.

30

Sud koji je uputio zahtjev naglašava da, na temelju njegove najnovije sudske prakse, samo poštovanje formalnih zahtjeva iz članka 65. stavka 1. Zakona o češkoj policiji, osobito onog koji se odnosi na kvalifikaciju „namjernog” kaznenog djela, nije dovoljno da bi se prikupljanje i pohrana osobnih podataka iz tog članka mogli smatrati zakonitima. Stoga policijske službe imaju obvezu ocijeniti proporcionalnost prikupljanja uzoraka u svakom konkretnom slučaju, uzimajući u obzir osobito kaznenu prošlost, osobnost i ponašanje osobe o kojoj je riječ, težinu kaznenog djela zbog kojeg je ta osoba pozvana radi poduzimanja identifikacijskih radnji kao i, u okviru zahtjeva za ex post brisanje, razdoblje koje je proteklo od počinjenja kaznenog djela o kojem je riječ.

31

Na temelju te sudske prakse nacionalni sudovi zaključili su da su identifikacijske radnje, poput prikupljanja biometrijskih i genetskih podataka, osobito u slučaju kaznenih djela koja ne uključuju nikakvo nasilje i koja su počinile osobe koje nikad prije nisu bile osuđivane – nezakonite.

32

U tom se kontekstu sud koji je uputio zahtjev pita je li pravni sustav uspostavljen člankom 65. Zakona o češkoj policiji u skladu s Direktivom 2016/680.

33

Kao prvo, taj se sud pita protivi li se zahtjevima utvrđenima tom direktivom neselektivno prikupljanje biometrijskih i genetskih podataka od svake osobe osumnjičene za kazneno djelo počinjeno s namjerom.

34

S jedne strane, iz sudske prakse Europskog suda za ljudska prava koja se odnosi na temeljno pravo na poštovanje privatnog života, kako je zajamčeno člankom 8. EKLJP‑a, proizlazi da su ugovorne strane dužne razlikovati kaznena djela za koja se uzorci deoksiribonukleinske kiseline (DNK prikupljaju ovisno o težini tih kaznenih djela. Ugovorne strane ne mogu jednako postupati prema, s jedne strane, počiniteljima teških kaznenih djela, poput onih koja uključuju nasilje, za koje su uzimanje i pohrana uzoraka DNK‑a legitimni i, s druge strane, počiniteljima lakših kaznenih djela.

35

S druge strane, na temelju zahtjeva koji proizlaze iz načela proporcionalnosti poput osobito onih koji su konkretizirani, u području primjene Direktive 2016/680, kroz načelo smanjenja količine obrade podataka i obvezu razlikovanja između različitih kategorija ispitanika, predviđenih u članku 4. stavku 1. točki (c) te direktive, odnosno u njezinu članku 6., postavlja se pitanje je li dovoljno utvrditi in abstracto razlikovanja na zakonodavnoj razini, osobito s obzirom na težinu predviđenih kaznenih djela, ili je potrebno in concreto ocijeniti proporcionalnost uzimanja uzoraka u svakom pojedinom slučaju.

36

Kao drugo, sud koji je uputio zahtjev pita se protivi li se zahtjevima utvrđenima Direktivom 2016/680 pohrana biometrijskih i genetskih podataka, a da se pritom izričito ne predviđa vremensko ograničenje u tom pogledu. Osim toga, primjenjivi nacionalni propis ne određuje maksimalno trajanje pohrane identifikacijskih podataka. Međutim, prema tumačenju sudske prakse Europskog suda za ljudska prava koje je dao sud koji je uputio zahtjev, ta sudska praksa zahtijeva utvrđivanje takvog maksimalnog trajanja pohrane.

37

Kao treće, sud koji je uputio zahtjev pita se može li se sudska praksa čeških upravnih sudova kvalificirati kao „pravo države članice” u smislu članka 8. Direktive 2016/680, kojim se utvrđuju uvjeti zakonitosti obrade osobnih podataka.

38

Naime, člankom 65. Zakona o češkoj policiji ne pojašnjavaju se ni konkretni uvjeti pohrane ni vrste informacija koje se mogu izvući iz uzetih uzoraka, ni uvjeti pohrane i brisanja biometrijskih i genetskih podataka, tako da taj članak sam po sebi ne ispunjava zahtjeve postavljene u članku 8. stavku 2. Direktive 2016/680, u vezi s njezinim člankom 10.

39

Točno je da je taj članak 65. dopunjen uputama predsjednika policije kojima se taj zakon provodi, ali s obzirom na to da one nisu ni zakonodavni tekst, niti su objavljene, ne može im se ni u kojem slučaju priznati svojstvo „prava države članice” u smislu članka 8. stavka 2. Direktive 2016/680.

40

Stoga se postavlja pitanje može li se smatrati da pravo države članice predviđa dovoljna materijalna i postupovna jamstva za obradu osjetljivih podataka u smislu članka 10. te direktive, poput biometrijskih i genetskih podataka, kada su ta jamstva utvrđena sudskom praksom.

41

U tim je okolnostima Nejvyšší správní soud (Vrhovni upravni sud) odlučio prekinuti postupak i uputiti Sudu sljedeća prethodna pitanja:

42

Svojim trećim pitanjem, koje valja najprije razmotriti, sud koji je uputio zahtjev u biti pita treba li članke 8. i 10. Direktive 2016/680 tumačiti na način da, kad je riječ o prikupljanju, pohranjivanju i brisanju biometrijskih i genetskih podataka, pojam „pravo države članice” u smislu tih odredbi treba shvatiti na način da se odnosi samo na odredbu opće primjene kojom se utvrđuju minimalni uvjeti za prikupljanje, pohranu i brisanje takvih podataka ili tim pojmom također može biti obuhvaćena sudska praksa nacionalnih sudova kojom se pojašnjavaju ti uvjeti.

43

U tom pogledu valja podsjetiti na to da, u skladu s člankom 3. točkom 2. Direktive 2016/680, u vezi s njezinim člankom 3. točkama 12. i 13., prikupljanje, pohrana i brisanje biometrijskih i genetskih podataka predstavljaju obradu osobnih podataka u smislu te direktive.

44

U članku 4. Direktive 2016/680 navode se različita načela koja te obrade moraju poštovati, a koja odražavaju, kao što to proizlazi iz njezinih uvodnih izjava 1. i 2., način na koji je, u granicama predviđenima u članku 52. Povelje, zakonodavac Unije namjeravao konkretizirati, u pogledu navedenih obrada, temeljno pravo fizičkih osoba na zaštitu njihovih osobnih podataka, priznato u članku 8. Povelje, koje je samo usko povezano s pravom na poštovanje privatnog života iz članka 7. te Povelje, uzimajući u obzir specifičnu prirodu aktivnosti radi sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija.

45

Među tim načelima, člankom 4. stavkom 1. točkom (a) Direktive 2016/680 predviđa se da se svi osobni podaci moraju obrađivati na zakonit i pošten način.

46

U tom pogledu, člankom 8. stavkom 1. Direktive 2016/680 pojašnjava se da države članice moraju predvidjeti da je obrada osobnih podataka obuhvaćena područjem primjene te direktive zakonita samo ako je nužna i samo u onoj mjeri u kojoj je nužna za obavljanje zadaće nadležnog tijela u svrhe navedene u članku 1. stavku 1. navedene direktive te ako se temelji na pravu Unije ili pravu države članice.

47

Usto, na temelju članka 8. stavka 2. iste direktive, obrada takvih podataka moguća je samo ako se u pravu države članice kojim se uređuje ta obrada navode barem ciljevi te obrade, osobni podaci koji trebaju biti predmet navedene obrade i njezine svrhe.

48

Kad je riječ o određenim kategorijama osobnih podataka, kao što su biometrijski ili genetski podaci, člankom 10. Direktive 2016/680 nastoji im se osigurati pojačana zaštita definiranjem strožih uvjeta za zakonitost obrade takvih podataka (vidjeti u tom smislu presude od 30. siječnja 2024., Direktor na Glavna direkcija Nacionalna policija pri MVR‑Sofija, C‑118/22, EU:C:2024:97, t. 48. i od 4. listopada 2024., Bezirkshauptmannschaft Landeck (Pokušaj pristupa osobnim podacima pohranjenima na mobilnom telefonu), C‑548/21, EU:C:2024:830, t. 107.). Naime, te su kategorije podataka, kao što se to naglašava u uvodnoj izjavi 37. te direktive, po svojoj prirodi osobito osjetljive s gledišta temeljnih prava i sloboda jer kontekst u kojem se takvi podaci obrađuju može dovesti do znatnih rizika za slobode i prava ispitanika.

49

Stoga, u skladu s člankom 10. Direktive 2016/680, svaka obrada koja se odnosi na osobne podatke iz jedne od kategorija taksativno navedenih u tom članku (u daljnjem tekstu: osjetljivi osobni podaci) mora biti dopuštena pravom Unije ili pravom države članice.

50

Iz toga proizlazi da se člancima 8. i 10. Direktive 2016/680 nastoji pojasniti doseg određenih načela navedenih u članku 4. te direktive, kojima se u području obuhvaćenom navedenom direktivom konkretizira osobito temeljno pravo fizičkih osoba na zaštitu njihovih osobnih podataka priznato člankom 8. Povelje.

51

Stoga pojam „pravo države članice” iz članaka 8. i 10. treba shvatiti na način da se njime materijalizira, u području obuhvaćenom Direktivom 2016/680, uvjet iz članka 8. stavka 2. Povelje, prema kojem se svaka obrada osobnih podataka koja se ne provodi na temelju privole ispitanika mora provesti na temelju druge legitimne osnove predviđene zakonom, što je uvjet kojim se samo odražava zahtjev iz članka 52. Povelje, prema kojem svako ograničenje pri ostvarivanju temeljnih prava priznatih Poveljom mora biti predviđeno zakonom. Taj se pojam stoga odnosi na valjanost primjene nacionalnog prava kao pravne osnove za obradu osobnih podataka.

52

Doista, s jedne strane, kao što je to istaknuo nezavisni odvjetnik u točki 82. svojeg mišljenja, Sud je, uzimajući u obzir ustaljenu sudsku praksu Europskog suda za ljudska prava, presudio da pojam „zakon”, iz članka 8. stavka 2. Povelje, u izrazu „osnova utvrđena zakonom” treba shvatiti u njegovu materijalnom, a ne formalnom smislu (presuda od 16. studenoga 2023., Roos i dr./Parlament, C‑458/22 P, neobjavljena, EU:C:2023:871, t. 61.). S druge strane, prema toj sudskoj praksi Europskog suda za ljudska prava, navedeno značenje pojma „zakon” u izrazu „utvrđena zakonom” iz članka 8. stavka 2. EKLJP‑a podrazumijeva da se taj pojam odnosi na tekst koji je na snazi kako su ga tumačili nadležni sudovi (vidjeti u tom smislu presudu ESLJP‑a od 23. siječnja 2025., H. W. protiv Francuske, CE:ECHR:2025:0123JUD 001380521, t. 65.).

53

Osim toga, kao što to proizlazi iz sudske prakse Suda, iako zahtjev prema kojem svako ograničavanje ostvarivanja temeljnih prava mora biti predviđeno zakonom znači da se u samom aktu kojim se dopušta zadiranje u ta prava mora definirati doseg ograničavanja ostvarivanja dotičnog prava, pri čemu valja pojasniti, s jedne strane, da taj zahtjev ne isključuje da to ograničenje bude dovoljno široko formulirano da se može prilagoditi promjenama situacija i da, s druge strane, Sud može, po potrebi, tumačenjem pojasniti konkretan doseg ograničavanja s obzirom na sami tekst predmetnog propisa Unije kojim se dopušta ograničavanje, kao i s obzirom na opću strukturu tog akta i ciljeve koji potonji nastoji postići (vidjeti po analogiji presudu od 21. lipnja 2022., Ligue des droits humains, C‑817/19, EU:C:2022:491, t. 114.).

54

Stoga pojam „pravo države članice” u smislu članaka 8. i 10. Direktive 2016/680, u vezi s člankom 8. stavkom 2. Povelje, treba shvatiti na način da se može odnositi na odredbu kojom se izričito predviđa izvršavanje obrade osobnih podataka obuhvaćeno područjem primjene te direktive, kako se tumači u sudskoj praksi nacionalnih sudova.

55

U svakom slučaju, kao što je to istaknuto u točki 47. ove presude, člankom 8. stavkom 2. Direktive 2016/680 predviđa se da je obrada osobnih podataka obuhvaćena područjem primjene te direktive moguća samo ako se u odredbi prava države članice kojom se uređuje ta obrada navode barem njezini ciljevi, osobni podaci koji će biti predmet obrade i svrhe te obrade.

56

Međutim, u tom pogledu, valja istaknuti, s jedne strane, „pravo” države članice kojim se „uređuje” predmetna obrada podrazumijeva da su ciljevi, osobni podaci koji će biti predmet obrade i svrhe, barem u načelu, predviđeni odredbom opće primjene. S druge strane, cilj je tog članka 8. stavka 2., kao što to izričito proizlazi iz uvodne izjave 33. navedene direktive, da pravo države članice odgovorne za obradu bude jasno i precizno te da je njegova primjena predvidljiva osobama na koje se primjenjuje, u skladu sa sudskom praksom Suda i Europskog suda za ljudska prava.

57

Prema sudskoj praksi Europskog suda za ljudska prava, svaka mjera koja čini pravnu osnovu za obradu osobnih podataka mora imati određena svojstva, odnosno, u biti, najprije mora biti u skladu s odredbama više pravne snage, zatim, dostupna i, naposljetku, dovoljno predvidljiva, odnosno u razumnoj mjeri u okolnostima slučaja, kako bi se dotičnim pojedincima omogućilo da usklade svoje ponašanje, što pretpostavlja da ta mjera dovoljno jasno definira opseg i načine izvršavanja ovlasti nadležnih tijela (vidjeti u tom smislu osobito ESLJP, 26. travnja 1979., Sunday Times protiv Ujedinjene Kraljevine, CE:ECHR:1979:0426JUD00065387, t. 25. i 52.; ESLJP, 1. srpnja 2008., Liberty i dr. protiv Ujedinjene Kraljevine, CE:ECHR:2008:0701JUD005824300, t. 62. i 63.; ESLJP, 4. prosinca 2008., S. i Marper protiv Ujedinjene Kraljevine, CE:ECHR:2008:1204JUD003056204, t. 95.).

58

Isto tako, iz sudske prakse Suda proizlazi da, kako bi ispunio zahtjev da mora biti predviđen zakonom iz članka 52. Povelje, propis koji uključuje zadiranje u temeljna prava zajamčena člancima 7. i 8. Povelje mora predvidjeti jasna i precizna pravila kojima se uređuje doseg i primjena mjere te propisivati minimalne zahtjeve, tako da osobe o čijim je osobnim podacima riječ raspolažu dostatnim jamstvima koja omogućuju učinkovitu zaštitu njihovih podataka od rizika zlouporabe, kao i od svakog nezakonitog pristupa i uporabe tih podataka (vidjeti presudu od 8. travnja 2014., Digital Rights Ireland i dr., C‑293/12 i C‑594/12, EU:C:2014:238, t. 54. i od 6. listopada 2015., Schrems, C‑362/14, EU:C:2015:650, t. 91.).

59

Budući da se člankom 8. stavkom 2. Direktive 2016/680 nastoji osigurati poštovanje zahtjeva navedenih u točkama 56. i 57. ove presude, iz toga slijedi da ciljevi obrade, osobni podaci o kojima je riječ i svrhe obrade obuhvaćene tom direktivom moraju dovoljno jasno i precizno proizlaziti iz odredbe kojom se uređuje sama ta obrada kako bi se moglo smatrati da ta obrada ispunjava zahtjeve da bude predviđena zakonom, u smislu sudske prakse Suda i Europskog suda za ljudska prava i članka 52. Povelje.

60

S obzirom na sve prethodno navedeno, na treće pitanje valja odgovoriti tako da članke 8. i 10. Direktive 2016/680 treba tumačiti na način da, kad je riječ o prikupljanju, pohrani i brisanju biometrijskih i genetskih podataka, pojam „pravo države članice”, u smislu tih članaka, treba shvatiti na način da se odnosi na odredbu opće primjene kojom se utvrđuju minimalni uvjeti za prikupljanje, pohranu i brisanje takvih podataka, kako se tumače u sudskoj praksi nacionalnih sudova, pod uvjetom da je ta sudska praksa dostupna i dovoljno predvidljiva.

61

U svojim pisanim očitovanjima Europska komisija tvrdi da je prvo pitanje nedopušteno jer je do uzimanja genetskog materijala osobe JH i njezinih biometrijskih podataka koje je provela češka policija došlo 13. siječnja 2016., odnosno prije datuma stupanja na snagu Direktive 2016/680, do kojeg je došlo 5. svibnja 2016. te prije isteka roka za prenošenje te direktive, utvrđenog u njezinu članku 63. stavku 1., a koji je bio 6. svibnja 2018.

62

U tom pogledu, valja podsjetiti na to da Sud može odbiti odgovoriti na prethodno pitanje nacionalnog suda samo ako je očito da zatraženo tumačenje prava Unije nema nikakve veze s činjeničnim stanjem ili predmetom glavnog postupka, ako je problem hipotetski ili ako Sud ne raspolaže činjeničnim i pravnim elementima potrebnima da bi mogao dati koristan odgovor na postavljena pitanja (presuda od 20. ožujka 2025., Anib i dr., C‑728/22 do C‑730/22, EU:C:2025:200, t. 48.).

63

U ovom slučaju, člankom 64. Direktive 2016/680 predviđa se da ona stupa na snagu 5. svibnja 2016., dok se u članku 63. te direktive pojašnjava da države članice najkasnije do 6. svibnja 2018. moraju donijeti i objaviti zakone i druge propise potrebne za usklađivanje s tom direktivom.

64

Međutim, iz spisa kojim Sud raspolaže proizlazi da su osobni podaci koji su se odnosili na osobu JH i koji su prikupljeni uzimanjem genetskih i biometrijskih uzoraka dana 13. siječnja 2016. i dalje bili pohranjeni u bazama podataka češke policije i da su se stoga obrađivali nakon 6. svibnja 2018.

65

Međutim, ne dovodeći u pitanje situacije predviđene u članku 4. stavku 2. Direktive 2016/680, iz članka 4. stavka 1. točke (b) te direktive proizlazi da se osobni podaci ne mogu obrađivati ako njihovo prikupljanje nije opravdano zakonitim svrhama.

66

Slijedom toga, kao što je to nezavisni odvjetnik istaknuo u točki 34. svojeg mišljenja, osobni podaci koji su obuhvaćeni Direktivom 2016/680 i koji su zakonito prikupljeni prije stupanja na snagu te direktive, ali koji bi bili prikupljeni protivno načelima utvrđenima tom direktivom da su prikupljeni nakon datuma na koji je navedena direktiva prenesena ili, ako to nije moguće, nakon roka do kojeg je ona trebala biti prenesena, odnosno 6. svibnja 2018., ne mogu se pohranjivati nakon datuma na koji je navedena direktiva bila prenesena ili, ako to nije moguće, nakon roka do kojeg je ona trebala biti prenesena.

67

Stoga u ovom slučaju nije očito da prvo pitanje nužno nema nikakve veze s činjeničnim stanjem ili predmetom spora u glavnom postupku ili da je problem hipotetski s obzirom na to da se, kao što to ističe Komisija, odnosi na biometrijske i genetske podatke prikupljene prije stupanja na snagu Direktive 2016/680.

68

Osim toga, budući da Sud raspolaže svim činjeničnim i pravnim elementima nužnima da bi mu se omogućilo da na koristan način odgovori na prvo pitanje, potonje treba smatrati dopuštenim.

69

Svojim prvim pitanjem sud koji je uputio zahtjev u biti pita treba li članak 6. ili članak 4. stavak 1. točku (c) Direktive 2016/680, u vezi s člankom 10. te direktive, tumačiti na način da mu se protivi nacionalni propis kojim se dopušta neselektivno prikupljanje biometrijskih i genetskih podataka svake osobe okrivljene za kazneno djelo počinjeno s namjerom ili osobe osumnjičene da je počinila takvo kazneno djelo.

70

U tom pogledu, kao prvo, kad je riječ o članku 6. Direktive 2016/680, valja podsjetiti na to da se tim člankom obvezuje države članice da voditelj obrade, „prema potrebi i koliko je god to moguće”, radi jasnu razliku između osobnih podataka različitih kategorija ispitanika, kao što su to oni navedeni u točkama (a) do (d) tog članka, odnosno između osoba za koje postoje ozbiljni razlozi za vjerovati da su počinile ili će počiniti kazneno djelo, osoba osuđenih za kazneno djelo, žrtava kaznenog djela ili osoba u pogledu kojih postoje određene činjenice koje daju razloge vjerovati da bi ta osoba mogla biti žrtva kaznenog djela i, naposljetku, drugih strana u kaznenim djelima, kao što su osobe koje se može pozvati da svjedoče u istragama u vezi s kaznenim djelima ili naknadnom kaznenom postupku, osobe koje mogu dati informacije o kaznenim djelima, kontakti ili suradnici jedne od osoba iz točaka (a) i (b) navedenog članka.

71

U skladu s tom odredbom, države članice stoga moraju osigurati da voditelj obrade, „prema potrebi i koliko je god to moguće”, radi jasnu razliku između podataka različitih kategorija ispitanika na način da im se neselektivno ne nalaže isti stupanj zadiranja u njihovo temeljno pravo na zaštitu njihovih osobnih podataka, bez obzira na kategoriju kojoj pripadaju, pri čemu se te kategorije moraju utvrditi prvenstveno s obzirom na kazneni status ispitanika.

72

Kao što se to naglašava izrazom „prema potrebi i koliko je god to moguće” iz članka 6. Direktive 2016/680, obveza razlikovanja određenih kategorija osoba koja se tim člankom nalaže državama članicama nije apsolutna, nego ovisi osobito o tome može li se u svakom pojedinom slučaju napraviti jasno razlikovanje između tih kategorija osoba (vidjeti u tom smislu presudu od 26. siječnja 2023., Ministerstvo na vatrešnite raboti (Upis biometrijskih i genetskih podataka u policijsku evidenciju), C‑205/21, EU:C:2023:49, t. 84.) i svrha obrade.

73

U ovom slučaju češka vlada tvrdi da upućivanje suda koji je uputio zahtjev na kategoriju osumnjičenih osoba treba shvatiti na način da se odnosi na osobe koje su u okviru ubrzanog prethodnog postupka obaviještene o sumnjama koje postoje protiv njih, što u nacionalnom zakonodavstvu o kojem je riječ u glavnom postupku zahtijeva, a što se odnosi i na okrivljenike, da se prikupi dovoljno elemenata koji dokazuju da su osobe o kojima je riječ počinile kazneno djelo.

74

Međutim, ako bi to bio slučaj, što je na sudu koji je uputio zahtjev da provjeri, moglo bi se smatrati da su te obje kategorije osoba, u svrhu određene obrade, obuhvaćene kategorijom iz članka 6. točke (a) Direktive 2016/680, pod uvjetom da svrhe obrade o kojoj je riječ ne nalažu razlikovanje između navedenih dviju kategorija.

75

Slijedom toga, članak 6. Direktive 2016/680 treba tumačiti na način da mu se ne protivi nacionalni propis kojim se dopušta neselektivno prikupljanje biometrijskih i genetskih podataka osoba koje su obuhvaćene kategorijom osoba „okrivljenih zbog kaznenog djela počinjenog s namjerom” kao i osoba koje pripadaju kategoriji osoba „za koje se sumnja da su počinile takvo kazneno djelo” u smislu nacionalnog prava, ako svrha tog prikupljanja ne nalaže razlikovanje između tih dviju kategorija osoba čiji se podaci mogu prikupljati na temelju tog propisa.

76

Kao drugo, kad je riječ o članku 4. stavku 1. točki (c) Direktive 2016/680, u vezi s njezinim člankom 10., prvim od tih članaka predviđa se da osobni podaci moraju biti primjereni, relevantni te da nisu pretjerani u odnosu na svrhe u koje se obrađuju. Potonji zahtjev stoga zahtijeva da države članice poštuju načelo smanjenja količine obrade podataka s obzirom na cilj i svrhu obrade o kojoj je riječ.

77

Člankom 10. navedene direktive predviđa se da, kad je riječ o osjetljivim osobnim podacima, među kojima su biometrijski i genetski podaci, obrada mora ispunjavati, osim uvjeta da je obuhvaćena jednim od triju slučajeva taksativno navedenih u točkama (a) do (c), i dva druga uvjeta, odnosno, s jedne strane, uvjet prema kojem moraju postojati odgovarajuće zaštitne mjere za prava i slobode ispitanika i, s druge strane, uvjet prema kojem predviđena obrada mora biti strogo nužna.

78

Doista, kad je riječ o tom potonjem uvjetu, najprije, on podrazumijeva da se ta nužnost ocjenjuje osobito strogo s obzirom na svrhe obrade o kojoj je riječ i da se, slijedom toga, takva obrada može smatrati nužnom samo u ograničenom broju slučajeva (vidjeti u tom smislu presudu od 26. siječnja 2023., Ministerstvo na vatrešnite raboti (Upis biometrijskih i genetskih podataka u policijsku evidenciju), C‑205/21, EU:C:2023:49, t. 118.).

79

Stoga se ciljevi obrade biometrijskih i genetskih podataka ne mogu odrediti preopćenitim pojmovima, nego zahtijevaju da budu dovoljno precizno i konkretno određeni kako bi se omogućila procjena „[stroge] nužno[sti]” (presuda od 26. siječnja 2023., Ministerstvo na vatrešnite raboti (Upis biometrijskih i genetskih podataka u policijsku evidenciju), C‑205/21, EU:C:2023:49, t. 124.).

80

U tom pogledu, iako je točno da Direktiva 2016/680 ne definira pojam „svrhe obrade”, može se zaključiti da članak 8. stavak 2. te direktive izričito razlikuje taj pojam od pojma „ciljevi obrade”. Doista, članak 4. stavak 1. točka (b) navedene direktive predviđa da svrhe obrade osobnih podataka moraju biti, među ostalim, posebne i izričite te da se ti podaci ne mogu obrađivati na način koji nije u skladu s tim svrhama, dok članak 4. stavak 1. točka (c) iste direktive predviđa da se primjerenost i relevantnost osobnih podataka koji se obrađuju i to da nisu pretjerani ocjenjuje u odnosu na svrhe u koje se obrađuju.

81

Stoga se iz toga može zaključiti da pojam „ciljevi obrade” u smislu tog članka 8. stavka 2. upućuje na općenitije svrhe navedene u članku 1. stavku 1. Direktive 2016/680 koje se nastoje ostvariti obradom kako bi bile obuhvaćene tom direktivom, dok pojam „svrhe obrade” u smislu, osobito, članka 8. stavka 2. navedene direktive treba shvatiti na način da se odnosi na posebne i konkretne svrhe obrade osobnih podataka s obzirom na zadaću voditelja obrade, poput posebnog zadatka koji je povezan sa sprečavanjem, istragom, otkrivanjem ili progonom kaznenih djela ili izvršavanjem kaznenih sankcija.

82

Nadalje, budući da je, kao što to proizlazi iz uvodne izjave 26. Direktive 2016/680, u vezi s načelom proporcionalnosti, za neosjetljive osobne podatke zahtjev nužnosti, u smislu te odredbe, ispunjen ako se cilj koji se nastoji postići predmetnom obradom ne može razumno na jednako učinkovit način postići drugim sredstvima kojima se manje zadire u temeljna prava ispitanikâ, posebno pravâ na poštovanje privatnog života i zaštitu osobnih podataka, iz toga valja zaključiti da uvjet prema kojem obrada osjetljivih osobnih podataka mora biti strogo nužna zahtijeva da se voditelj obrade uvjeri da se cilj koji se nastoji postići predmetnom obradom ne može na jednako učinkovit način ispuniti korištenjem drugih kategorija podataka nego što su to one navedene u članku 10. Direktive 2016/680 (vidjeti u tom smislu presudu od 26. siječnja 2023., Ministerstvo na vatrešnite raboti (Upis biometrijskih i genetskih podataka u policijsku evidenciju), C‑205/21, EU:C:2023:49, t. 126.).

83

Osim toga, s obzirom na znatne rizike koje predstavlja obrada osjetljivih podataka za prava i slobode ispitanikâ, osobito u kontekstu zadaća nadležnih tijela u svrhe navedene u članku 1. stavku 1. Direktive 2016/680, zahtjev „[stroge] nužno[sti]” podrazumijeva uzimanje u obzir posebne važnosti cilja koji se takvom obradom nastoji postići, a takva se važnost može ocijeniti, među ostalim, s obzirom na samu prirodu cilja koji se želi postići – činjenicu da obrada služi konkretnom cilju u vezi sa sprečavanjem kaznenih djela ili prijetnji javnoj sigurnosti koje predstavljaju određeni stupanj težine te u vezi s kažnjavanjem takvih kaznenih djela ili zaštitom od takvih prijetnji – kao i s obzirom na posebne okolnosti u kojima se ta obrada provodi (vidjeti u tom smislu presudu od 26. siječnja 2023., Ministerstvo na vatrešnite raboti (Upis biometrijskih i genetskih podataka u policijsku evidenciju), C‑205/21, EU:C:2023:49, t. 127.).

84

U svakom slučaju, kad je riječ o prikupljanju biometrijskih i genetskih podataka osoba okrivljenih za kazneno djelo počinjeno s namjerom ili za koje postoje sumnje da su počinile takvo kazneno djelo, u svrhu buduće identifikacije i usporedbe tih osoba, za ocjenu krajnje nužnosti tog prikupljanja moraju se uzeti u obzir svi relevantni elementi, kao što su, među ostalim, priroda i težina navodnog kaznenog djela zbog kojeg je podnesen prijedlog za podizanje optužnice, posebne okolnosti tog kaznenog djela, moguća povezanost navedenog kaznenog djela s drugim postupcima koji su u tijeku, prethodne osude ili njezin osobni profil (vidjeti u tom smislu presudu od 26. siječnja 2023., Ministerstvo na vatrešnite raboti (Upis biometrijskih i genetskih podataka u policijsku evidenciju), C‑205/21, EU:C:2023:49, t. 132.).

85

Naposljetku, uvjet „[stroge] nužno[sti]” podrazumijeva osobito strog nadzor poštovanja načela smanjenja količine obrade predmetnih podataka, navedenog u članku 4. stavku 1. točki (c) te direktive (vidjeti u tom smislu presudu od 26. siječnja 2023., Ministerstvo na vatrešnite raboti (Upis biometrijskih i genetskih podataka u policijsku evidenciju), C‑205/21, EU:C:2023:49, t. 125.).

86

Konkretno, kad je riječ o pohrani ili uporabi podataka dobivenih iz DNK‑a osoba u svrhu identifikacije ili usporedbe, takvo načelo podrazumijeva da se, kako bi se ocijenila stroga nužnost takvih obrada, vodi računa o mogućnosti da se obrada temelji isključivo na polimorfizmima koji se nalaze u nekodirajućim područjima DNK‑a, odnosno područjima za koja je prihvaćeno da ne daju nikakve informacije o etnicitetu ili genetskim bolestima tih osoba.

87

Slijedom toga, iako država članica može postupiti u skladu s Direktivom 2016/680 bilo delegiranjem nadležnim tijelima zadaće da u svakom pojedinom slučaju osiguraju poštovanje uvjeta da je svaka obrada osjetljivih osobnih podataka strogo nužna, bilo utvrđivanjem, na zakonodavnoj razini, kriterija ocjene koje tijela zatim moraju primjenjivati nediskrecijski, u tom drugom slučaju ti kriteriji ipak moraju biti takvi da ispunjavaju sve zahtjeve koji proizlaze iz tog istog uvjeta, kako je navedeno u točkama 77. do 83. ove presude.

88

Tako je u presudi od 26. siječnja 2023., Ministerstvo na vatrešnite raboti (Upis biometrijskih i genetskih podataka u policijsku evidenciju) (C‑205/21, EU:C:2023:49, t. 135.), Sud presudio da je nacionalno zakonodavstvo kojim se propisuje sustavno prikupljanje biometrijskih i genetskih podataka svake osobe protiv koje je podnesen prijedlog za podizanje optužnice za kazneno djelo počinjeno s namjerom koje se progoni po službenoj dužnosti, radi upisa tih podataka u evidenciju, a da se pritom ne propisuje obveza nadležnog tijela da provjeri i dokaže, s jedne strane, da je to prikupljanje strogo nužno za ostvarenje konkretnih zadanih ciljeva i, s druge strane, da se ti ciljevi ne mogu postići mjerama kojima se manje zadire u prava i slobode ispitanika, protivno tom uvjetu stroge nužnosti.

89

Međutim, dok se prikupljanje predviđeno propisom o kojem je riječ u predmetu u kojem je donesena ta presuda obvezno primjenjivalo na sve osobe protiv kojih je podnesen prijedlog za podizanje optužnice za kaznena djela počinjena s namjerom koja se progone po službenoj dužnosti, prvo pitanje u ovom predmetu odnosi se na propis kojim se policijskim službama daje samo mogućnost uzimanja biometrijskih i genetskih podataka u pogledu okrivljenika ili osoba osumnjičenih za kazneno djelo počinjeno s namjerom.

90

Međutim, činjenica da se propisom policijskim službama dodjeljuje takva mogućnost ne podrazumijeva da pravo države članice o kojoj je riječ dopušta da to prikupljanje bude sustavno ili da se može provesti protivno, među ostalim, načelu smanjenja količine podataka iz članka 4. stavka 1. točke (c) Direktive 2016/680 ili uvjetu prema kojem predmetne obrade moraju biti strogo nužne, predviđenom u članku 10. te direktive, pod uvjetom da to pravo, uključujući sudsku praksu nacionalnih sudova, na prikladan i dovoljno precizan način definira svrhe takve obrade biometrijskih i genetskih podataka, odnosno posebne i konkretne ciljeve koji se nastoje postići obradom osobnih podataka s obzirom na zadaću voditelja obrade i da se takva mogućnost izvršava u skladu sa zahtjevima navedenima u točkama 77. do 83. ove presude.

91

Stoga iz elemenata kojima raspolaže Sud proizlazi da u ovom slučaju nacionalna sudska praksa postavlja određene zahtjeve kojima se nastoji osigurati poštovanje tog načela, kao što je obveza policije da prije uzimanja uzorka DNK‑a uzme u obzir, među ostalim, kaznenu prošlost počinitelja kaznenog djela, težinu potonjeg ovisno o vrsti predmetnog kaznenog djela i njegovim posebnim okolnostima koje podrazumijevaju uzimanje uzorka, kao i osobnost počinitelja djela.

92

U toj je situaciji na nacionalnim sudovima da u svakom pojedinom slučaju provjere jesu li policijske službe prikupile podatke protivno načelima kojima se uređuje obrada osobnih podataka iz članka 4. Direktive 2016/680 i posebnim zahtjevima koji se primjenjuju na obradu osjetljivih osobnih podataka, navedenima u članku 10. te direktive, kako se tumače s obzirom na članke 7. i 8. Povelje.

93

U tom pogledu valja još naglasiti da sama okolnost da je kazneno djelo koje se stavlja na teret ispitaniku ekonomske prirode i da je do prikupljanja biometrijskih i genetskih podataka te osobe došlo prije nego što je ona pravomoćno osuđena nije dovoljna da bi se isključilo to da je takvo prikupljanje bilo strogo nužno jer se, s obzirom na svrhu koja se želi postići, navedeno prikupljanje, u pogledu, uključujući, i vrste podataka o kojima je riječ, može pokazati strogo nužnim, osobito kako bi se moglo utvrditi je li navedena osoba zbog svoje eventualne pripadnosti zločinačkom udruženju sudjelovala u drugim kaznenim djelima za koja bi mogli biti relevantni podaci te vrste ili, ako postoji opasnost od bijega, kako bi se omogućila njezina identifikacija.

94

S obzirom na sve prethodno navedeno, na prvo pitanje valja odgovoriti tako da članak 6. i članak 4. stavak 1. točku (c) Direktive 2016/680, u vezi s njezinim člankom 10., treba tumačiti na način da im se ne protivi nacionalni propis koji dopušta neselektivno prikupljanje biometrijskih i genetskih podataka svih osoba koje su okrivljene za kazneno djelo počinjeno s namjerom, kao i osoba za koje se sumnja da su počinile takvo kazneno djelo, pod uvjetom, s jedne strane, da svrha tog prikupljanja ne nalaže razlikovanje između tih dviju kategorija osoba i, s druge strane, da su voditelji obrade dužni, u skladu s nacionalnim pravom, uključujući sudsku praksu nacionalnih sudova, poštovati sva načela i posebne zahtjeve navedene u člancima 4. i 10. navedene direktive.

95

Uvodno valja istaknuti da, iako u tekstu drugog pitanja sud koji je uputio zahtjev navodi nacionalni propis koji dovodi to toga da se osobni podaci o kojima je riječ u većini slučajeva pohranjuju na „neodređeno vrijeme”, iz elemenata spisa kojim Sud raspolaže proizlazi da taj sud upotrebom izraza „neodređeno vrijeme” u konačnici podrazumijeva okolnost da nije određeno nikakvo maksimalno trajanje pohrane, a ne da je takvo pohranjivanje vremenski neograničeno.

96

Slijedom toga, valja razumjeti da svojim drugim pitanjem sud koji je uputio zahtjev u biti pita treba li članak 4. stavak 1. točku (e) Direktive 2016/680 tumačiti na način da mu se protivi nacionalni propis na temelju kojeg policijska služba ocjenjuje nužnost za daljnjom pohranom biometrijskih i genetskih podataka na osnovi internih pravila, pri čemu se tim propisom ne predviđa maksimalno trajanje pohrane.

97

U tom pogledu, člankom 4. stavkom 1. točkom (e) Direktive 2016/680 određuje se da države članice osiguravaju da se osobni podaci pohranjuju u obliku koji omogućuje identifikaciju ispitanikâ samo onoliko dugo koliko je potrebno u svrhe radi kojih se osobni podaci obrađuju.

98

Kao prvo, kad je riječ o okolnosti da se predmetnim nacionalnim propisom ne predviđa maksimalno razdoblje pohrane, valja podsjetiti na to da se, u skladu sa zahtjevima iz članka 4. stavka 1. točke (e) Direktive 2016/680, člankom 5. te direktive državama članicama nalaže da predvide utvrđivanje odgovarajućih rokova za brisanje osobnih podataka ili za periodično preispitivanje potrebe za pohranom tih podataka, kao i postupovna pravila kojima se osigurava poštovanje tih rokova.

99

Nasuprot tomu, članak 5. navedene direktive prepušta državama članicama da odrede navedene rokove, pod uvjetom da su „odgovarajući” i odluče odnose li se oni na brisanje navedenih podataka ili na periodično preispitivanje potrebe za njihovom pohranom.

100

Točno je da članak 4. stavak 1. točku (e) i članak 5. Direktive 2016/680 treba tumačiti, osobito, u vezi s njezinim člankom 10., tako da pohrana biometrijskih ili genetskih podataka mora biti strogo nužna i sadržavati odgovarajuće zaštitne mjere za prava i slobode ispitanika.

101

Međutim, kada država članica odredi odgovarajuće rokove za periodično preispitivanje potrebe za pohranom osobnih podataka i kada prilikom tog preispitivanja treba ocijeniti strogu nužnost produljenja te pohrane, treba smatrati da pravo države članice o kojoj je riječ ispunjava te zahtjeve. Stoga, čak i ako su pohranjeni podaci osjetljivi osobni podaci, država članica nije obvezna definirati apsolutna vremenska ograničenja za pohranu tih podataka nakon čijeg bi ih proteka trebalo automatski izbrisati (vidjeti u tom smislu presudu od 30. siječnja 2024., Direktor na Glavna direkcija Nacionalna policija pri MVR‑Sofija, C‑118/22, EU:C:2024:97, t. 52.).

102

Suprotno tomu, odgovarajuća priroda takvih rokova za periodično preispitivanje zahtijeva da se, s jedne strane, u skladu s člankom 4. stavkom 1. točkama (c) i (e) Direktive 2016/680, u vezi s člankom 52. stavkom 1. Povelje, osobni podaci koji su do tada bili pohranjeni izbrišu, i to pod uvjetima predviđenima u članku 16. stavcima 2. i 3. te direktive, ako se prilikom provedenog preispitivanja pohrana istih podataka više ne čini strogo nužnom te se, slijedom toga, pokaže pretjeranom s obzirom na svrhe koje se nastoje postići (vidjeti u tom smislu presudu od 30. siječnja 2024., Direktor na Glavna direkcija Nacionalna policija pri MVR‑Sofija, C‑118/22, EU:C:2024:97, t. 45., 48. i 50. i navedena sudska praksa).

103

S druge strane, s obzirom na zahtjeve predviđene u članku 4. stavku 1. točki (c) Direktive 2016/680 da svi osobni podaci moraju biti primjereni, relevantni i da nisu pretjerani u odnosu na svrhe u koje se obrađuju, okolnost da tu odredbu i članak 8. te direktive treba tumačiti s obzirom na zahtjeve koji proizlaze iz članka 52. Povelje, kao i obvezu, predviđenu člankom 6. navedene direktive, za voditelja obrade da, prema potrebi, radi jasnu razliku između osobnih podataka različitih kategorija ispitanika, ti se rokovi za preispitivanje ne mogu smatrati odgovarajućima ako promjene u kaznenom statusu ispitanika, koje se smatraju relevantnima s obzirom na svrhu koja se želi postići tom pohranom, ne dovode do obveze voditelja obrade da u razumnom roku preispita potrebu za pohranom podataka koji se odnose na tu osobu.

104

Kao drugo, kad je riječ o okolnosti da policijska služba daljnju potrebu pohrane biometrijskih i genetskih podataka ocjenjuje na temelju internih pravila, takva okolnost sama po sebi nije protivna članku 8. stavku 2. Direktive 2016/680, pod uvjetom da ta interna pravila tim službama nalažu da osiguraju poštovanje uvjeta koji se odnosi na to da je pohrana tih podataka strogo nužna i da je margina prosudbe tih službi dovoljno ograničena nacionalnim pravom, uključujući sudskom praksom nacionalnih sudova.

105

Naime, iako okolnost da su pravila interna i da stoga nisu dostupna svim osobama čiji osobni podaci se mogu obrađivati dovodi do toga da se na ta pravila nadležna tijela ne mogu pozivati kako bi dokazala da poštuju zahtjeve koji im se nalažu, ta okolnost ipak ne dovodi do toga da obavljena obrada osobnih podataka na temelju tih pravila automatski postaje nezakonita, nego podrazumijeva da, prema potrebi, u slučaju pravnog sredstva protiv odluke o provođenju takve obrade, policijske službe pred nadležnim sudom, neovisno o tim internim pravilima, moraju dokazati da je uvjet „[stroge] nužno[sti]” uredno poštovan.

106

U ovom slučaju, s jedne strane, prema mišljenju češke vlade, osobito iz članka 65. stavka 5. Zakona o češkoj policiji proizlazi, što je na sudu koji je uputio zahtjev da provjeri, da DNK‑a profile osoba koje su okrivljene da su počinile namjerno kažnjivo djelo ili osumnjičene da su počinile takvo kažnjivo djelo treba izbrisati kada njihova pohrana više nije nužna s obzirom na ciljeve koji se nastoje postići, odnosno kada se protiv tih osoba više ne vodi kazneni progon ili se više ne sumnjiče, ni u okviru nekog drugog kaznenog postupka, ili ako ranije nisu počinile druga teža ili lakša kaznena djela.

107

Međutim, u tom pogledu valja podsjetiti na to da se ne može smatrati da pohrana biometrijskih i genetskih podataka ispunjava zahtjev prema kojem se ona mora dopustiti samo „ako je to [strogo] nužno” u smislu članka 10. Direktive 2016/680, osim ako se u obzir uzmu ne samo eventualne povezanosti osobe o kojoj je riječ s drugim postupcima koji su u tijeku ili prethodne osude predmetne osobe ili njezin osobni profil, nego i priroda i težina kaznenog djela na temelju kojeg je donesena pravomoćna osuđujuća kaznena presuda ili druge okolnosti poput posebnog konteksta u kojem je to kazneno djelo počinjeno (vidjeti u tom smislu presudu od 30. siječnja 2024., Direktor na Glavna direkcija Nacionalna policija pri MVR‑Sofija, C‑118/22, EU:C:2024:97, t. 67.).

108

S druge strane, iako češko pravo ne predviđa maksimalno trajanje pohrane osobnih podataka prikupljenih na temelju članka 65. stavka 1. Zakona o češkoj policiji, članak 82. stavak 1. tog zakona ipak obvezuje policijske službe da barem jednom svake tri godine preispitaju je li pohrana tih podataka i dalje potrebna za izvršavanje njihovih zadaća.

109

Stoga je na sudu koji je uputio zahtjev da utvrdi može li se, s obzirom na svrhe koje se nastoje postići pohranjivanjem predmetnih biometrijskih i genetskih podataka o kojima je riječ, takav rok za preispitivanje od tri godine smatrati odgovarajućim, pri čemu ipak valja pojasniti da se, u suprotnom slučaju, brisanje tih podataka ipak ne bi zahtijevalo ako se utvrdi da je njihovo daljnje pohranjivanje u svakom slučaju i dalje strogo nužno.

110

S obzirom na sve prethodno navedeno, na drugo pitanje valja odgovoriti tako da članak 4. stavak 1. točku (e) Direktive 2016/680 treba tumačiti na način da mu se ne protivi nacionalni propis na temelju kojeg policijske službe ocjenjuju potrebu za daljnjom pohranom biometrijskih i genetskih podataka na temelju internih pravila, pri čemu taj propis ne predviđa maksimalno trajanje pohrane, pod uvjetom da se navedenim propisom utvrđuju odgovarajući rokovi za periodično preispitivanje potrebe za pohranom tih podataka i da se prilikom tog preispitivanja ocijeni je li produljenje njihove pohrane strogo nužno.

111

Budući da ovaj postupak ima značaj prethodnog pitanja za stranke glavnog postupka pred sudom koji je uputio zahtjev, na tom je sudu da odluči o troškovima postupka. Troškovi podnošenja očitovanja Sudu, koji nisu troškovi spomenutih stranaka, ne nadoknađuju se.

Slijedom navedenog, Sud (peto vijeće) odlučuje: