62023CJ0057

TEISINGUMO TEISMO (penktoji kolegija) SPRENDIMAS

2025 m. lapkričio 20 d. ( *1 )

„Prašymas priimti prejudicinį sprendimą – Fizinių asmenų apsauga kompetentingoms institucijoms tvarkant jų asmens duomenis nusikalstamų veikų prevencijos, tyrimo, atskleidimo ar baudžiamojo persekiojimo už jas arba bausmių vykdymo tikslais ir laisvas tokių duomenų judėjimas – Direktyva (ES) 2016/680 – 4 straipsnio 1 dalies c ir e punktai – Tvarkomų duomenų kiekio mažinimas – Asmens duomenų saugojimo laikotarpio ribojimas – 10 straipsnis – Biometrinių ir genetinių duomenų rinkimas ir saugojimas – Tikra būtinybė – 6 straipsnio a punktas – Pareiga atskirti skirtingų kategorijų duomenų subjektų asmens duomenis – Nacionalinės teisės aktai, kuriuose numatyta, kad renkami visų asmenų, įtariamų ar kaltinamų padarius tyčinę nusikalstamą veiką, biometriniai ir genetiniai duomenys – 5 straipsnis – Tinkami ištrynimo arba asmens duomenų saugojimo poreikio periodinės peržiūros terminai – Maksimalaus duomenų saugojimo laikotarpio nenumatymas – Policijos tarnybų remiantis vidaus taisyklėmis vertinama būtinybė toliau saugoti biometrinius ir genetinius duomenis – 8 straipsnio 2 dalis – Šių duomenų tvarkymo teisėtumas – „Valstybės narės teisės“ sąvoka – Galimybė laikyti nacionalinę jurisprudenciją „valstybės narės teise“

Byloje C‑57/23

dėl Nejvyšší správní soud (Aukščiausiasis administracinis teismas, Čekijos Respublika) 2023 m. sausio 26 d. nutartimi, kurią Teisingumo Teismas gavo 2023 m. vasario 2 d., pagal SESV 267 straipsnį pateikto prašymo priimti prejudicinį sprendimą byloje

prieš

Policejní prezidium

TEISINGUMO TEISMAS (penktoji kolegija),

kurį sudaro kolegijos pirmininkė M. L. Arastey Sahún, teisėjai J. Passer, E. Regan (pranešėjas), D. Gratsias ir B. Smulders,

generalinis advokatas J. Richard de la Tour,

posėdžio sekretorius I. Illéssy, administratorius,

atsižvelgęs į rašytinę proceso dalį ir įvykus 2024 m. lapkričio 28 d. posėdžiui,

išnagrinėjęs pastabas, pateiktas:

–	JH, atstovaujamo advokáti M. Mandzák, L. Nezpěvák ir L. Trojan,

–	Čekijos vyriausybės, atstovaujamos M. Smolek, O. Serdula, J. Vláčil, T. Suchá ir L. Březinová,

–	Airijos, atstovaujamos Chief State Solicitor M. Browne, A. Joyce ir D. O’Reilly, padedamų BL A. Mulligan,

–	Nyderlandų vyriausybės, atstovaujamos J. Langer,

–	Lenkijos vyriausybės, atstovaujamos B. Majczyna,

–	Europos Komisijos, atstovaujamos A. Bouchagiar, H. Kranenborg, P. Němečková ir F. Wilman,

susipažinęs su 2025 m. vasario 27 d. posėdyje pateikta generalinio advokato išvada,

priima šį

Sprendimą

Šis prašymas priimti prejudicinį sprendimą pateiktas dėl 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos direktyvos (ES) 2016/680 dėl fizinių asmenų apsaugos kompetentingoms institucijoms tvarkant asmens duomenis nusikalstamų veikų prevencijos, tyrimo, atskleidimo ar baudžiamojo persekiojimo už jas arba bausmių vykdymo tikslais ir dėl laisvo tokių duomenų judėjimo ir kuria panaikinamas Tarybos pamatinis sprendimas 2008/977/TVR (OL L 119, 2016, p. 89) 4 straipsnio 1 dalies c ir e punktų, 6 straipsnio, 8 straipsnio 2 dalies ir 10 straipsnio išaiškinimo.

2	Šis prašymas buvo pateiktas nagrinėjant JH ir Policejní prezidium (Policijos departamentas, Čekijos Respublika) (toliau – Čekijos policijos departamentas) ginčą dėl, be kita ko, Čekijos policijos tarnybų vykdyto JH biometrinių ir genetinių duomenų rinkimo baudžiamojoje byloje ir jų saugojimo.

Teisinis pagrindas

Sąjungos teisė

Direktyvos 2016/680 1, 2, 26, 33, 37 ir 96 konstatuojamosios dalyse numatyta:

„(1)	fizinių asmenų apsauga tvarkant asmens duomenis yra viena iš pagrindinių teisių. Europos Sąjungos pagrindinių teisių chartijos (toliau – Chartija)] 8 straipsnio 1 dalyje ir [SESV] 16 straipsnio 1 dalyje numatyta, kad kiekvienas asmuo turi teisę į savo asmens duomenų apsaugą;

(2)	fizinių asmenų apsaugos tvarkant jų asmens duomenis principais ir taisyklėmis turėtų būti gerbiamos asmenų pagrindinės teisės ir laisvės, visų pirma jų teisė į asmens duomenų apsaugą, nepriklausomai nuo jų pilietybės ar gyvenamosios vietos. <…>

<…>

(26)

bet koks asmens duomenų tvarkymas privalo būti teisėtas, sąžiningas ir skaidrus atitinkamų fizinių asmenų atžvilgiu, ir asmens duomenys gali būti tvarkomi tik teisės aktais nustatytais konkrečiais tikslais. Tai savaime neužkerta kelio teisėsaugos institucijoms vykdyti veiklos, pavyzdžiui, slaptųjų tyrimų ar stebėjimo vaizdo kameromis. Tokia veikla gali būti vykdoma nusikalstamų veikų prevencijos, tyrimo, atskleidimo ar baudžiamojo persekiojimo už jas arba bausmių vykdymo, be kita ko, apsaugos nuo grėsmių visuomenės saugumui ir jų prevencijos, tikslais, jei tik tokia veikla, tinkamai paisant teisėtų atitinkamo fizinio asmens interesų, yra nustatyta įstatymu ir yra laikoma būtina ir proporcinga demokratinės visuomenės priemone. <…> Fiziniai asmenys turėtų būti informuoti apie su jų asmens duomenų tvarkymu susijusius pavojus, taisykles, apsaugos priemones bei teises ir apie tai, kaip naudotis savo teisėmis duomenų tvarkymo atžvilgiu. Visų pirma, konkretūs tikslai, kuriais tvarkomi asmens duomenys, turėtų būti aiškūs, teisėti ir nustatyti asmens duomenų rinkimo metu. Asmens duomenys turėtų būti adekvatūs ir susiję su tikslais, kuriais jie tvarkomi. <…> Asmens duomenys turėtų būti tvarkomi tik tuo atveju, jei duomenų tvarkymo tikslo pagrįstai nebuvo galima pasiekti kitomis priemonėmis. Siekiant užtikrinti, kad duomenys būtų saugomi ne ilgiau nei būtina, duomenų valdytojas turėtų nustatyti duomenų ištrynimo arba periodinės peržiūros terminus. Asmens duomenys turėtų būti tvarkomi tik tuo atveju, jei duomenų tvarkymo tikslo pagrįstai nebuvo galima pasiekti kitomis priemonėmis.

<…>

(33)

kai šioje direktyvoje daroma nuoroda į valstybės narės teisę, teisinį pagrindą arba teisėkūros priemonę, tai nebūtinai reiškia, kad parlamentas turi priimti teisės aktą, nedarant poveikio reikalavimams, taikomiems pagal atitinkamos valstybės narės konstitucinę tvarką. Tačiau tokia valstybės narės teisė, teisinis pagrindas ar teisėkūros priemonė turėtų būti aiškūs ir tikslūs, o jų taikymas numatomas tiems subjektams, kuriems jie turi būti taikomi, kaip reikalaujama pagal Teisingumo Teismo ir Europos Žmogaus Teisių Teismo praktiką. Valstybės narės teisėje, kuria reglamentuojamas asmens duomenų tvarkymas šios direktyvos taikymo srityje, turėtų būti konkrečiai nurodyti bent siekiai, tvarkytini asmens duomenys, duomenų tvarkymo tikslai ir procedūros asmens duomenų vientisumui bei konfidencialumui užtikrinti, taip pat jų sunaikinimo procedūros, tokiu būdu suteikiant pakankamų garantijų, kad nekiltų piktnaudžiavimo ir savivalės pavojus;

<…>

(37)

asmens duomenys, kurie yra itin opaus pobūdžio [ypač jautrūs] pagrindinių teisių ir laisvių atžvilgiu, turėtų būti ypač saugomi, kadangi dėl jų tvarkymo konteksto galėtų kilti didelis pavojus pagrindinėms teisėms ir laisvėms. Tiems asmens duomenims turėtų priklausyti ir asmens duomenys, kuriais atskleidžiama rasinė ar etninė kilmė; termino „rasinė kilmė“ vartojimas šioje direktyvoje nereiškia, kad Sąjunga pritaria teorijoms, kuriomis bandoma apibrėžti atskirų žmonių rasių egzistavimą. Tokie asmens duomenys neturėtų būti tvarkomi, nebent jų tvarkymui taikomos tinkamos teisės aktais nustatytos duomenų subjekto teisių ir laisvių apsaugos priemonės ir juos tvarkyti leidžiama teisės aktais leidžiamais atvejais; jeigu juos tvarkyti dar nėra leidžiama tokiu teisės aktu, jų tvarkymas yra būtinas siekiant apsaugoti gyvybinius duomenų subjekto arba kito asmens interesus; arba tvarkomi duomenys, kuriuos duomenų subjektas yra akivaizdžiai paskelbęs viešai. Tinkamos duomenų subjekto teisių ir laisvių apsaugos priemonės galėtų būti galimybė rinkti tuos duomenis tik tiek, jei jie susiję su kitais duomenimis apie atitinkamą fizinį asmenį, galimybė tinkamai apsaugoti surinktus duomenis, griežtesnės taisyklės, reglamentuojančios kompetentingos institucijos darbuotojų teisę susipažinti su tais duomenimis, ir draudimas tuos duomenis persiųsti. <…>

<…>

(96)

šiai direktyvai perkelti į nacionalinę teisę valstybėms narėms turėtų suteiktas ne ilgesnis kaip dvejų metų laikotarpis nuo jos įsigaliojimo dienos. Tą dieną jau vykdomas duomenų tvarkymas turėtų būti suderintas su šia direktyva per dvejus metus nuo šios direktyvos įsigaliojimo. Tačiau kai toks duomenų tvarkymas atitinka Sąjungos teisę, taikytiną iki šios direktyvos įsigaliojimo dienos, šios direktyvos reikalavimai, susiję su išankstinėmis konsultacijomis su priežiūros institucija, neturėtų būti taikomi duomenų tvarkymo operacijoms, kurios jau buvo atliekamos tą dieną, kadangi tie reikalavimai pagal savo pobūdį turi būti įvykdyti prieš duomenų tvarkymą. <…>

<…>“

Šios direktyvos 1 straipsnio „Dalykas ir tikslai“ 1 dalyje nustatyta:

„Šioje direktyvoje nustatytos taisyklės, susijusios su fizinių asmenų apsauga kompetentingoms institucijoms tvarkant asmens duomenis nusikalstamų veikų prevencijos, tyrimo, atskleidimo ar baudžiamojo persekiojimo už jas arba bausmių vykdymo, be kita ko, apsaugos nuo grėsmių visuomenės saugumui ir jų prevencijos, tikslais.“

5	Tos direktyvos 2 straipsnio „Taikymo sritis“ 1 dalyje numatyta: „Ši direktyva taikoma kompetentingų institucijų vykdomam asmens duomenų tvarkymui 1 straipsnio 1 dalyje išdėstytais tikslais.“

Šios direktyvos 3 straipsnyje „Apibrėžtys“ numatyta:

„Šioje direktyvoje:

(1)

asmens duomenys – bet kokia informacija apie fizinį asmenį, kurio tapatybė nustatyta arba kurio tapatybę galima nustatyti (duomenų subjektas); fizinis asmuo, kurio tapatybę galima nustatyti, yra asmuo, kurio tapatybę tiesiogiai arba netiesiogiai galima nustatyti, visų pirma pagal identifikatorių, kaip antai vardą ir pavardę, asmens identifikavimo numerį, buvimo vietos duomenis ir interneto identifikatorių arba pagal vieną ar kelis to fizinio asmens fizinės, fiziologinės, genetinės, psichinės, ekonominės, kultūrinės ar socialinės tapatybės požymius;

(2)

duomenų tvarkymas – bet kokia automatizuotomis arba neautomatizuotomis priemonėmis su asmens duomenimis ar asmens duomenų rinkiniais atliekama operacija ar operacijų seka, kaip antai rinkimas, įrašymas, rūšiavimas, sisteminimas, saugojimas, adaptavimas ar keitimas, išgava, susipažinimas, naudojimas, atskleidimas persiunčiant, platinant ar kitu būdu sudarant galimybę jais naudotis, taip pat sugretinimas ar sujungimas su kitais duomenimis, apribojimas, ištrynimas arba sunaikinimas;

<…>

(12)	genetiniai duomenys – asmens duomenys, susiję su paveldėtomis ar įgytomis fizinio asmens genetinėmis savybėmis, suteikiančiomis unikalios informacijos apie to fizinio asmens fiziologiją ar sveikatą, ir kurie gauti visų pirma analizuojant biologinį atitinkamo fizinio asmens mėginį;

(13)

biometriniai duomenys – po specialaus techninio apdorojimo gauti asmens duomenys, susiję su fizinio asmens fizinėmis, fiziologinėmis arba elgesio savybėmis, pagal kurias galima konkrečiai nustatyti arba patvirtinti to fizinio asmens tapatybę, kaip antai veido atvaizdai arba daktiloskopiniai duomenys“.

Direktyvos 2016/680 4 straipsnio „Su asmens duomenų tvarkymu susiję principai“ 1 dalyje nustatyta:

„Valstybės narės numato, kad asmens duomenys turi būti:

a)	tvarkomi teisėtai ir sąžiningai;

b)	renkami konkrečiai nustatytais, aiškiai apibrėžtais ir teisėtais tikslais ir negali būti tvarkomi tokiu būdu, kuris būtų nesuderinamas su tais tikslais;

c)	tinkami, aktualūs ir ne pernelyg išsamūs tikslų, kuriais jie yra tvarkomi, atžvilgiu;

d)	tikslūs ir prireikus atnaujinami; turi būti imamasi visų pagrįstų priemonių siekiant užtikrinti, kad asmens duomenys, kurie nėra tikslūs, atsižvelgiant į jų tvarkymo tikslus, būtų nedelsiant ištrinti arba ištaisyti;

e)	saugomi tokia forma, kad duomenų subjektų tapatybes būtų galima nustatyti ne ilgiau, nei tai yra būtina tais tikslais, kuriais jie tvarkomi;

<…>“

8	Aptariamos direktyvos 5 straipsnyje „Saugojimo ir peržiūros terminai“ numatyta: „Valstybės narės numato, kad turi būti nustatyti tinkami asmens duomenų ištrynimo arba asmens duomenų saugojimo poreikio periodinės peržiūros terminai. Tų terminų laikymasis užtikrinamas procedūrinėmis priemonėmis.“

Tos direktyvos 6 straipsnyje „Skirtingų kategorijų duomenų subjektų atskyrimas“ numatyta:

„Valstybės narės numato, kad duomenų valdytojas, kai taikytina ir kiek įmanoma, aiškiai atskirtų skirtingų kategorijų duomenų subjektų asmens duomenis, pavyzdžiui:

a)	asmenų, kurių atžvilgiu yra rimtų priežasčių manyti, kad jie įvykdė arba rengiasi įvykdyti nusikalstamą veiką;

b)	asmenų, nuteistų už nusikalstamą veiką;

c)	asmenų, kurie buvo nusikalstamos veikos aukomis arba kurių atžvilgiu, remiantis tam tikrais faktais, yra pagrindo manyti, kad jie galėtų būti nusikalstamos veikos aukomis, ir

kitų su nusikalstama veika susijusių šalių, pavyzdžiui, asmenų, kurie galėtų būti kviečiami liudyti atliekant nusikalstamų veikų tyrimus arba paskesniu baudžiamojo proceso etapu, asmenų, kurie gali suteikti informacijos apie nusikalstamas veikas, arba asmenų, kurie yra pažįstami arba susiję su vienu iš a ir b punktuose nurodytų asmenų.“

Minėtos direktyvos 8 straipsnyje „Tvarkymo teisėtumas“ nustatyta:

„1. Valstybės narės numato, kad duomenų tvarkymas yra teisėtas tik tuo atveju, jeigu jis būtinas, ir tiek, kiek jis būtinas kompetentingai institucijai atlikti užduotį 1 straipsnio 1 dalyje išdėstytais tikslais, ir kad jis turi būti grindžiamas Sąjungos arba valstybės narės teise.

2. Valstybės narės teisėje, kuria reglamentuojamas duomenų tvarkymas šios direktyvos taikymo srityje, konkrečiai nurodomi bent tvarkymo tikslai [siekiai], tvarkytini asmens duomenys ir duomenų tvarkymo tikslai.“

Direktyvos 2016/680 10 straipsnyje „Specialių kategorijų asmens duomenų tvarkymas“ nustatyta:

„Asmens duomenų tvarkymas, kuriuo atskleidžiama rasinė arba etninė kilmė, politinės pažiūros, religiniai arba filosofiniai įsitikinimai ar priklausymas profesinėms sąjungoms, taip pat genetinių duomenų, biometrinių duomenų tvarkymas siekiant vienareikšmiškai nustatyti fizinio asmens tapatybę, arba duomenų apie asmens sveikatą ar lytinį gyvenimą ir seksualinę orientaciją tvarkymas leidžiamas tik tada, jei tai tikrai būtina ir jei taikomos tinkamos duomenų subjekto teisių ir laisvių apsaugos priemonės, ir jeigu:

a)	tai leidžiama pagal Sąjungos arba valstybės narės teisę;

b)	tai reikalinga duomenų subjekto ar kito fizinio asmens gyvybiniams interesams apsaugoti, arba

c)	toks tvarkymas susijęs su duomenimis, kuriuos duomenų subjektas yra akivaizdžiai paskelbęs viešai.“

12	Aptariamos direktyvos 63 straipsnio 1 dalyje numatyta, kad valstybės narės turėjo ne vėliau kaip 2018 m. gegužės 6 d. priimti ir paskelbti įstatymus ir kitus teisės aktus, būtinus, kad būtų laikomasi šios direktyvos. Be to, nuo tos datos valstybės narės turėjo taikyti tas nuostatas.

13	Kaip matyti iš minėtos direktyvos 64 straipsnio, ta direktyva įsigaliojo 2016 m. gegužės 5 d.

Čekijos teisė

Pagrindinei bylai taikomos redakcijos zákon č. 273/2008 Sb., o Policii České republiky (Čekijos Respublikos policijos įstatymas Nr. 273/2008; toliau – Čekijos policijos įstatymas) 11 straipsnyje „Veiksmų proporcingumas“ nustatyta:

„Policijos pareigūnas ir policijos darbuotojas privalo:

<…>

c)	veikti taip, kad galimas asmenų, kurie yra jų veiksmo objektas, arba nesusijusių asmenų teisių ir laisvių suvaržymas neviršytų to, kas būtina šiuo veiksmu siekiamam tikslui pasiekti.“

Čekijos policijos įstatymo 65 straipsnyje nustatyta:

„(1) Policija, vykdydama savo užduotis, tam, kad ateityje galėtų nustatyti tapatybę, gali imti toliau nurodytų asmenų:

a)	asmens, kurio baudžiamasis persekiojimas vykdomas dėl padarytos tyčinės nusikalstamos veikos, arba asmens, kuriam pranešta apie tai, kad jis yra įtariamas tokios veikos padarymu,

b)	asmens, atliekančio laisvės atėmimo bausmę už tyčinės nusikalstamos veikos padarymą,

c)	asmens, kuriam taikomos priverstinės medicininės priemonės arba kompleksinė socialinė ir medicininė priežiūra, arba

d)	ieškomo asmens, kuris buvo surastas ir kurio veiksnumas yra apribotas,

skaitmeninius pirštų atspaudus, nustatyti fizines savybes, atlikti kūno matavimus, daryti vaizdo, garso ir panašius įrašus, imti biologinius mėginius, suteikiančius informacijos apie jo genetinę struktūrą.

(2) Jei 1 dalyje numatytas veiksmas negali būti atliktas todėl, kad asmuo prieštarauja, policijos pareigūnas turi teisę nepaisyti jo prieštaravimo, jeigu prieš tai nesėkmingai prašė asmens įvykdyti reikalavimą. Tai, kaip jis nepaiso tokio prieštaravimo, turi būti proporcinga prieštaravimo intensyvumui. Policijos pareigūnas negali nepaisyti asmens prieštaravimo, jeigu tai yra kraujo paėmimas ar kitas panašus veiksmas, kuriuo pažeidžiamas kūno neliečiamumas.

(3) Jei 1 dalyje numatytas veiksmas negali būti atliktas vietoje, policijos pareigūnas turi teisę pristatyti asmenį veiksmui atlikti. Atlikus veiksmą policijos pareigūnas paleidžia asmenį.

(4) Policijos pareigūnas parengia atliktų veiksmų ataskaitą.

(5) Policija ištrina pagal 1 dalį gautus asmens duomenis, kai tik jų tvarkymas tampa nebereikalingas nusikaltimų prevencijos, tyrimo ar atskleidimo arba baudžiamojo persekiojimo už juos tikslais arba siekiant užtikrinti Čekijos Respublikos saugumą, viešąją tvarką arba vidaus saugumą“.

Minėto įstatymo 79 straipsnyje „Pagrindinės nuostatos dėl asmens duomenų tvarkymo vykdant tam tikras policijos užduotis“ numatyta:

„(1) 2–6 dalys ir 79a–88 straipsniai taikomi asmens duomenų tvarkymui nusikalstamų veikų prevencijos, tyrimo, atskleidimo ir baudžiamojo persekiojimo už jas tikslais, siekiant užtikrinti Čekijos Respublikos saugumą arba viešąją tvarką ir vidaus saugumą, be kita ko, asmenų ir daiktų paieškos tikslais.

(2) Policija gali tvarkyti asmens duomenis, jei tai būtina 1 dalyje nurodytiems tikslams pasiekti. Policija taip pat gali tvarkyti asmens duomenis, kad apsaugotų svarbius duomenų subjekto interesus, susijusius su 1 dalyje nurodytais tikslais.

<…>“

To įstatymo 82 straipsnyje „Būtinybės tęsti asmens duomenų tvarkymą patikrinimas“ numatyta:

„(1) Policija bent kartą per trejus metus patikrina, ar 79 straipsnio 1 dalyje nurodytais tikslais tvarkomi asmens duomenys tebėra būtini jos užduotims šioje srityje vykdyti.

(2) 1 dalyje nurodyto patikrinimo tikslais policija turi teisę reikalauti išrašo apie teistumą.

(3) Teisėsaugos ir teisminės institucijos, Ministerstvo spravedlnosti [Teisingumo ministerija, Čekija], Ustavní soud [Konstitucinis Teismas, Čekija] ir Kancelář prezidenta republiky [Respublikos Prezidento kanceliarija, Čekija] pagal savo kompetenciją 1 dalyje nurodyto patikrinimo tikslais nuolat informuoja policiją apie savo galutinius sprendimus, baudžiamojo persekiojimo senatį, bausmės vykdymą arba Respublikos Prezidento sprendimus, susijusius su baudžiamuoju procesu, bausmėmis, amnestija arba malonės suteikimu.“

Pagrindinė byla ir prejudiciniai klausimai

18	2015 m. gruodžio 11 d. sprendimu Pilzeno (Čekijos Respublika) padalinio Korupcijos ir finansinių nusikaltimų nustatymo ir tyrimo tarnyba, kuri yra nacionalinę kompetenciją turinti Čekijos policijos įstaiga, pradėjo JH baudžiamąjį persekiojimą dėl pareigos pažeidimo valdant kito asmens turtą.

2016 m. sausio 13 d. Čekijos policija pirmą kartą apklausė JH atitinkamoje baudžiamojoje byloje ir, nepaisydama JH nesutikimo, nurodė atlikti ir atliko šiuos tapatybės nustatymo veiksmus: paėmė JH skaitmeninius pirštų atspaudus ir mėginį iš burnos, iš kurio sudarė genetinį profilį, padarė nuotraukas ir parengė JH aprašą. Vėliau ji užregistravo šią informaciją atitinkamose Čekijos policijos duomenų bazėse.

2017 m. kovo 15 d. sprendime Městský soud v Praze (Prahos miesto teismas, Čekijos Respublika) konstatavo, kad JH padarė pareigos valdant kito asmens turtą pažeidimą bendrininkaudamas, taip pat kaip pareigūnas piktnaudžiavo įgaliojimais. Šis teismas skyrė JH trejų metų laisvės atėmimo bausmę, atidedant jos vykdymą, uždraudė ketverius metus eiti vadovaujamas pareigas viešojoje administracijoje, įskaitant nekilnojamojo ir kilnojamojo turto valdymą, bei įpareigojo atlyginti padarytą žalą, kiek leidžia jo galimybės.

2016 m. kovo 8 d. JH pateikė skundą Městský soud v Praze (Prahos miesto teismas) ir prašė pripažinti, kad tapatybės nustatymo veiksmų atlikimas pagal Čekijos policijos įstatymo 65 straipsnį, gautos informacijos ir mėginių saugojimas, taip pat informacijos įvedimas tuo tikslu į Čekijos policijos informacinę sistemą yra neteisėtas jo pagrindinės teisės į privataus gyvenimo gerbimą suvaržymas.

22	Kadangi kitoje tuo metu nagrinėjamoje byloje Městský soud v Praze (Prahos miesto teismas) jau buvo pateikęs Ústavní soud (Čekijos Respublikos Konstitucinis Teismas) prašymą įvertinti Čekijos policijos įstatymo 65 straipsnio atitiktį Konstitucijai, jis sustabdė JH pateikto skundo nagrinėjimą.

2022 m. kovo 22 d. sprendimu Ústavní soud České republiky (Čekijos Respublikos Konstitucinis Teismas) atmetė Městský soud v Praze (Prahos miesto teismas) prašymą pripažinti Čekijos policijos įstatymo 65 straipsnį prieštaraujančiu Konstitucijai. Priėmus šį sprendimą, pastarasis teismas atnaujino JH pateikto skundo nagrinėjimą.

2022 m. birželio 23 d. sprendimu Městský soud v Praze (Prahos miesto teismas) patenkino JH skundą ir nusprendė, kad Čekijos policijos 2016 m. sausio 13 d. atlikti veiksmai buvo neteisėti. Be to, tas teismas įpareigojo Čekijos policiją iš savo duomenų bazių ištrinti visus asmens duomenis, gautus dėl tų veiksmų.

Minėtame sprendime tas teismas pažymėjo, kad genetinės medžiagos paėmimas yra didelis suinteresuotojo asmens pagrindinės teisės į privataus gyvenimo gerbimą, saugomos, be kita ko, pagal 1950 m. lapkričio 4 d. Romoje pasirašytos Europos žmogaus teisių ir pagrindinių laisvių apsaugos konvencijos 8 straipsnį ir Listina zįkladních prįv a svobod (Čekijos Respublikos pagrindinių teisių ir laisvių chartija) 10 straipsnio 3 dalį, suvaržymas. Vis dėlto, Čekijos policijos įstatymo 65 straipsnis nesuteikia pakankamai informacijos, kad būtų galima įvertinti šio suvaržymo proporcingumą. Iš tiesų vienintelis patikrinimas, kurio reikalaujama pagal pastarąjį straipsnį, yra tai, kad Čekijos policija, prieš paimdama tokį ėminį, patikrintų, ar padarytas pažeidimas yra „tyčinis“.

Be to, tas pats teismas pažymėjo, kad JH buvo persekiojamas tik už padarytą baudžiamąjį nusižengimą, t. y. už ne tokią sunkią nusikalstamą veiką, kad jo laisvės atėmimo bausmė atidėta, o tai patvirtina, kad inkriminuojamos veikos yra ne tokios sunkios, kad jis niekada anksčiau nebuvo nuteistas, kad jo recidyvas buvo mažai tikėtinas ir kad nebuvo akivaizdu, kad padaryti pažeidimai yra nusikalstami nusižengimai, kuriuos padarę asmenys ateityje galėtų padaryti nusikaltimą, kurį padėtų nustatyti duomenų bazėse saugomi asmens duomenys. Tuo remdamasis, jis padarė išvadą, kad Čekijos policijos atlikti tapatybės nustatymo veiksmai, dėl kurių kilo ginčas pagrindinėje byloje, netenkino proporcingumo reikalavimo.

27	Čekijos policijos departamentas dėl tokio sprendimo pateikė kasacinį skundą Nejvyšší správní soud (Vyriausiasis administracinis teismas), t. y. prašymą priimti prejudicinį sprendimą pateikusiam teismui.

Grįsdamas kasacinį skundą Policijos departamentas pabrėžė, kad asmens duomenų tvarkymo tikslas aiškiai suformuluotas Čekijos policijos įstatymo 65 straipsnyje. Jis taip pat tvirtino, kad nagrinėjamu atveju kompetentingos Čekijos policijos tarnybos įvertino ėminio paėmimo ir JH asmens duomenų saugojimo proporcingumą, atsižvelgdamos į recidyvo faktorių, sunkesnių veikų padarymo galimybę ir tą aplinkybę, kad JH praeityje yra padaręs kelis nusižengimus.

29	Atsikirsdamas JH, be kita ko, tvirtina, kad Čekijos policijos tarnybos atliko tapatybės nustatymo veiksmus prieš tai neišnagrinėjusios atitinkamo suvaržymo proporcingumo. JH taip pat kritikavo tai, kad Čekijos policijos nurodymai, susiję su tapatybės nustatymo veiksmais, nėra paskelbti viešai.

Prašymą priimti prejudicinį sprendimą pateikęs teismas pabrėžia, kad pagal jo naujausią jurisprudenciją vien Čekijos policijos įstatymo 65 straipsnio 1 dalyje nustatytų formalių reikalavimų, visų pirma reikalavimo, susijusio su nusikalstamos veikos kaip „tyčinės“ kvalifikavimu, laikymosi nepakanka, kad šiame straipsnyje nurodytų asmens duomenų rinkimas ir saugojimas galėtų būti laikomi teisėtais. Policijos tarnybos kiekvienu konkrečiu atveju turi vertinti ėminio paėmimo proporcingumą, atsižvelgdamos, be kita ko, į atitinkamo asmens nusikalstamą praeitį, atitinkamo asmens asmenybę ir elgesį, nusikalstamos veikos, dėl kurios šiam asmeniui liepta atvykti, siekiant atlikti tapatybės nustatymo veiksmus, sunkumą, taip pat, kiek tai susiję su ex post prašymu ištrinti duomenis, į laikotarpį, praėjusį nuo atitinkamos nusikalstamos veikos padarymo.

31	Taikydami šią jurisprudenciją nacionaliniai teismai nusprendė, kad tapatybės nustatymo veiksmai, kaip antai biometrinių ir genetinių duomenų rinkimas, yra neteisėti, be kita ko, pažeidimų, kurie visiškai nesusiję su smurtu ir kuriuos padarė niekada neteisti asmenys, atveju.

32	Šiomis aplinkybėmis prašymą priimti prejudicinį sprendimą pateikusiam teismui kyla klausimas dėl Čekijos policijos įstatymo 65 straipsnyje nustatytos teisinės tvarkos suderinamumo su Direktyva 2016/680.

33	Visų pirma, šiam teismui kyla klausimas, ar pagal šioje direktyvoje nustatytus reikalavimus draudžiama nediferencijuojant rinkti kiekvieno asmens, įtariamo padarius tyčinę nusikalstamą veiką, biometrinius ir genetinius duomenis.

Viena vertus, iš Europos Žmogaus Teisių Teismo jurisprudencijos, susijusios su EŽTK 8 straipsnyje garantuojama pagrindine teise į privataus gyvenimo gerbimą, matyti, kad susitariančiosios šalys privalo atskirti nusikalstamas veikas, dėl kurių renkami deoksiribonukleorūgšties (DNR) mėginiai, atsižvelgiant į jų žalą visuomenei. Susitariančiosios šalys negali vienodai vertinti sunkius nusikaltimus, pavyzdžiui, padarytus smurtaujant, kurių atveju DNR ėminių paėmimas ir saugojimas yra teisėtas, padariusius asmenis ir ne tokius sunkius nusikaltimus padariusius asmenis.

Kita vertus, reikalavimai, kylantys iš proporcingumo principo, kaip antai reikalavimas, kuris Direktyvos 2016/680 taikymo srityje pasireiškia tvarkomų duomenų kiekio mažinimo principu ir pareiga atskirti skirtingas duomenų subjektų kategorijas, numatytų atitinkamai šios direktyvos 4 straipsnio 1 dalies c punkte ir jos 6 straipsnyje, kelia abejonių dėl to, ar pakanka nustatyti abstrakčius skirtumus teisės aktų lygmeniu, atsižvelgiant, be kita ko, į nuspėjamų nusikalstamų veikų sunkumą, ar vis dėlto reikia in concreto įvertinti ėminio paėmimo proporcingumą kiekvienu konkrečiu atveju.

Antra, prašymą priimti prejudicinį sprendimą pateikusiam teismui kyla klausimas, ar pagal Direktyvoje 2016/680 nustatytus reikalavimus draudžiama saugoti biometrinius ir genetinius duomenis, jeigu aiškiai nenustatytos tokių duomenų saugojimo laikotarpio ribos. Be to, taikytinose nacionalinės teisės normose nenustatytas maksimalus tapatybės nustatymo duomenų saugojimo laikotarpis. O nacionalinis teismas Europos Žmogaus Teisių Teismo praktiką aiškina taip, kad joje reikalaujama nustatyti tokį maksimalų laikotarpį.

37	Trečia, prašymą priimti prejudicinį sprendimą pateikusiam teismui kyla klausimas, ar Čekijos administracinių teismų jurisprudencija gali būti laikoma „valstybės narės teise“, kaip tai suprantama pagal Direktyvos 2016/680 8 straipsnį, kuriame nustatytos asmens duomenų tvarkymo teisėtumo sąlygos.

Čekijos policijos įstatymo 65 straipsnyje nenurodytos nei konkrečios saugojimo sąlygos ir informacijos, kurią galima nustatyti iš paimto mėginio, rūšys, nei biometrinių ir genetinių duomenų saugojimo ir ištrynimo sąlygos, todėl vien šis straipsnis negali atitikti Direktyvos 2016/680 8 straipsnio 2 dalyje, siejamoje su jos 10 straipsniu, nustatytų reikalavimų.

39	Žinoma, šį 65 straipsnį papildo jį įgyvendinančio policijos pirmininko nurodymai, tačiau jie nėra nei norminiai, nei paskelbti aktai, todėl niekaip negali būti pripažinti „valstybės narės teise“, kaip tai suprantama pagal Direktyvos 2016/680 8 straipsnio 2 dalį.

Taigi kyla klausimas, ar valstybės narės teisė gali būti laikoma numatančia pakankamas materialines ir procedūrines garantijas tvarkant jautrius duomenis, kaip tai suprantama pagal šios direktyvos 10 straipsnį, kaip antai biometrinius ir genetinius duomenis, kai šios garantijos nustatytos jurisprudencijoje.

Šiomis aplinkybėmis Nejvyšší správní soud (Aukščiausiasis administracinis teismas) nutarė sustabdyti bylos nagrinėjimą ir pateikti Teisingumo Teismui šiuos prejudicinius klausimus:

„1.

Kokio laipsnio atskyrimo tarp skirtingų duomenų subjektų reikalaujama pagal Direktyvos 2016/680 4 straipsnio 1 dalies c punktą arba 6 straipsnį, aiškinamą kartu su jos 10 straipsniu? Ar tai, kad pagal nacionalinės teisės normas leidžiama rinkti visų asmenų, kurie įtariami padarę tyčinę nusikalstamą veiką ar dėl jos persekiojami, genetinius duomenis, yra suderinama su tvarkomų duomenų kiekio mažinimo principu ir su pareiga atskirti skirtingas duomenų subjektų kategorijas?

Ar su Direktyvos 2016/680 4 straipsnio 1 dalies e punktu suderinama tai, kad bendraisiais nusikaltimų prevencijos, tyrimo ar atskleidimo tikslais poreikį toliau saugoti DNR profilį vertina policijos institucijos, remdamosi savo vidaus taisyklėmis, o tai praktiškai dažnai reiškia, kad jautrūs asmens duomenys saugomi neribotą laiką, nes nenustatytas joks maksimalus tokių asmens duomenų saugojimo laikotarpis? Jei tai neatitinka minėtos nuostatos, kokiais kriterijais turėtų būti vadovaujamasi vertinant šiuo tikslu surinktų ir saugomų asmens duomenų saugojimo trukmės proporcingumą?

Kokios yra būtiniausios materialinės ir procedūrinės ypač jautrių asmens duomenų, kaip jie suprantami pagal Direktyvos 2016/680 10 straipsnį, rinkimo, saugojimo ir ištrynimo sąlygos, kurios turi būti reglamentuojamos „visuotinai taikoma“ valstybės narės teisės nuostata? Ar jurisprudencija taip pat gali būti laikoma „valstybės narės teise“, kaip tai suprantama pagal Direktyvos 2016/680 8 straipsnio 2 dalį, aiškinamą kartu su jos 10 straipsniu?“

Dėl prejudicinių klausimų

Dėl trečiojo klausimo

Trečiuoju klausimu, kurį reikia nagrinėti pirmiausiai, prašymą priimti prejudicinį sprendimą pateikęs teismas iš esmės siekia išsiaiškinti, ar Direktyvos 2016/680 8 ir 10 straipsniai turi būti aiškinami taip, kad, kiek tai susiję su biometrinių ir genetinių duomenų rinkimu, saugojimu ir ištrynimu, sąvoka „valstybės narės teisė“, kaip ji suprantama pagal šias direktyvos nuostatas, turi būti aiškinama kaip apimanti tik visuotinai taikomą teisės nuostatą, kurioje įtvirtintos minimalios tokių duomenų rinkimo, saugojimo ir ištrynimo sąlygos, ar ji gali apimti ir jurisprudenciją, kurioje detaliau paaiškintos šios sąlygos.

43	Šiuo klausimu reikia priminti, kad pagal Direktyvos 2016/680 3 straipsnio 2 punktą, siejamą su jos 3 straipsnio 12 ir 13 punktais, biometrinių ir genetinių duomenų rinkimas, saugojimas ir ištrynimas yra asmens duomenų tvarkymas, kaip jis suprantamas pagal šią direktyvą.

Direktyvos 2016/680 4 straipsnyje įtvirtinti įvairūs tokiam duomenų tvarkymui taikomi principai, kurie, kaip matyti iš šios direktyvos 1 ir 2 konstatuojamųjų dalių, rodo, kaip, laikydamasis Chartijos 52 straipsnyje nustatytų apribojimų, Sąjungos teisės aktų leidėjas tokio tvarkymo atžvilgiu siekė sukonkretinti Chartijos 8 straipsnyje pripažintą fizinių asmenų pagrindinę teisę į jų asmens duomenų apsaugą, kuri savo ruožtu glaudžiai susijusi su šios direktyvos 7 straipsnyje įtvirtinta teise į privataus gyvenimo gerbimą, atsižvelgiant į specifinį nusikalstamų veikų prevencijos, tyrimo, atskleidimo ar baudžiamojo persekiojimo už jas arba bausmių vykdymo pobūdį.

45	Tarp tų principų Direktyvos 2016/680 4 straipsnio 1 dalies a punkte numatyta, kad visi asmens duomenys turi būti tvarkomi teisėtai ir sąžiningai.

Direktyvos 2016/680 8 straipsnio 1 dalyje šiuo klausimu patikslinta, kad valstybės narės turi numatyti, kad į šios direktyvos taikymo sritį patenkantis duomenų tvarkymas yra teisėtas tik jeigu jis būtinas ir kiek jis būtinas kompetentingai institucijai atlikti užduotį šios direktyvos 1 straipsnio 1 dalyje išdėstytais tikslais ir yra grindžiamas Sąjungos arba valstybės narės teise.

47	Be to, tos direktyvos 8 straipsnio 2 dalyje numatyta, kad tokių duomenų tvarkymas galimas, tik jeigu valstybės narės teisėje, kuria reglamentuojamas duomenų tvarkymas, konkrečiai nurodomi bent šio tvarkymo siekiai, tvarkytini asmens duomenys ir duomenų tvarkymo tikslai.

Dėl tam tikrų kategorijų asmens duomenų, kaip antai biometrinių ar genetinių, reikia pripažinti, kad Direktyvos 2016/680 10 straipsniu siekiama jiems užtikrinti didesnę apsaugą apibrėžiant griežtesnes tokių duomenų tvarkymo teisėtumo sąlygas (šiuo klausimu žr. 2024 m. sausio 30 d. Sprendimo Direktor na Glavna direktsia „Natsionalna politsia“ pri MVR – Sofia, C‑118/22, EU:C:2024:97, 48 punktą ir 2024 m. spalio 4 d. Sprendimo Bezirkshauptmannschaft Landeck (Bandymas prieiti prie mobiliajame telefone saugomų asmens duomenų), C‑548/21, EU:C:2024:830, 107 punktą). Iš tikrųjų, šių kategorijų duomenys yra, kaip nurodyta šios direktyvos 37 konstatuojamojoje dalyje, asmens duomenys, kurie yra ypač jautrūs pagrindinių teisių ir laisvių atžvilgiu, nes dėl jų tvarkymo konteksto gali kilti didelis pavojus duomenų subjektų teisėms ir laisvėms.

49	Taigi Direktyvos 2016/680 10 straipsnyje įtvirtinta, kad bet koks asmens duomenų, priskirtinų prie kurios nors iš šiame straipsnyje išsamiai išvardytų kategorijų (toliau – jautrūs asmens duomenys), tvarkymas turi būti leidžiamas pagal Sąjungos arba valstybės narės teisę.

Tuo remiantis, darytina išvada, kad Direktyvos 2016/680 8 ir 10 straipsniuose detalizuojama kai kurių šios direktyvos 4 straipsnyje skelbiamų principų, kurie tos direktyvos taikymo srityje, be kita ko, yra Chartijos 8 straipsnyje pripažintos fizinių asmenų pagrindinės teisės į jų asmens duomenų apsaugą išraiška, apimtis.

Taigi šiuose 8 ir 10 straipsniuose vartojamą sąvoką „valstybės narės teisė“ reikia suprasti taip, kad Direktyvos 2016/680 taikymo srityje ja siekiama įgyvendinti Chartijos 8 straipsnio 2 dalyje nustatytą sąlygą, kad bet koks asmens duomenų tvarkymas be suinteresuotojo asmens sutikimo turi būti atliekamas remiantis kitu įstatymo nustatytu teisėtu pagrindu, o ši sąlyga tik atspindi Chartijos 52 straipsnyje nustatytą reikalavimą, kad bet koks šios Chartijos pagrindinių teisių įgyvendinimo apribojimas turi būti numatytas įstatymo. Taigi ši sąvoka susijusi su rėmimosi nacionaline teise kaip asmens duomenų tvarkymo teisiniu pagrindu teisėtumu.

Viena vertus, kaip pažymėjo generalinis advokatas išvados 82 punkte, Teisingumo Teismas, atsižvelgdamas į nusistovėjusią Europos Žmogaus Teisių Teismo praktiką, nusprendė, kad terminas „įstatymas“, vartojamas Chartijos 8 straipsnio 2 dalyje, žodžių junginyje „įstatymo nustatytais <…> pagrindais“ turi būti suprantamas materialiąja, o ne formaliąja prasme (2023 m. lapkričio 16 d. Sprendimo Roos ir kt. / Parlamentas, C‑458/22 P, nepaskelbtas Rink.,EU:C:2023:871, 61 punktas). Kita vertus, pagal šią Europos Žmogaus Teisių Teismo praktiką minėta sąvokos „įstatymas“ reikšmė EŽTK 8 straipsnio 2 dalyje vartojamame žodžių junginyje „įstatymo nustatytais“ reiškia, kad ši sąvoka apima galiojantį tekstą, kaip jį išaiškino kompetentingi teismai (šiuo klausimu žr. 2025 m. sausio 23 d. EŽTT sprendimo H.W. prieš Prancūziją (CE:ECHR:2025:0123JUD001380521, 65 punktą).

Be to, kaip matyti iš Teisingumo Teismo jurisprudencijos, nors reikalavimas, kuriuo remiantis bet koks Chartijoje pripažintų pagrindinių teisių įgyvendinimo apribojimas turi būti numatytas įstatymo, reiškia, kad pačiame teisės akte, kuriuo leidžiamas šių teisių suvaržymas, turi būti apibrėžta atitinkamos teisės įgyvendinimo apribojimo apimtis, toks reikalavimas nedraudžia, pirma, kad nagrinėjamas apribojimas būtų suformuluotas pakankamai atvirai, kad jį būtų galima pritaikyti skirtingoms aplinkybėms ir kintančioms situacijoms, ir, antra, kad prireikus kompetentingas teismas galėtų aiškindamas patikslinti konkrečią to apribojimo taikymo sritį, atsižvelgdamas tiek į pačią šio akto formuluotę, tiek į jo bendrą sistemą ir siekiamus tikslus (pagal analogiją žr. 2022 m. birželio 21 d. Sprendimo Ligue des droits humains, C‑817/19, EU:C:2022:491, 114 punktą).

Taigi sąvoka „valstybės narės teisė“, kaip ji suprantama pagal Direktyvos 2016/680 8 ir 10 straipsnius, siejamus su Chartijos 8 straipsnio 2 dalimi, turi būti suprantama kaip galinti reikšti teisės nuostatą, kurioje aiškiai numatytas į šios direktyvos taikymo sritį patenkantis asmens duomenų tvarkymo vykdymas, kaip ji išaiškinta nacionalinių teismų jurisprudencijoje.

Bet kuriuo atveju, kaip nurodyta šio sprendimo 47 punkte, Direktyvos 2016/680 8 straipsnio 2 dalyje numatyta, kad duomenų tvarkymas šios direktyvos taikymo srityje galimas, tik jeigu valstybės narės teisėje, kuria reglamentuojamas duomenų tvarkymas šios direktyvos taikymo srityje, konkrečiai nurodomi bent tvarkymo siekiai, tvarkytini asmens duomenys ir duomenų tvarkymo tikslai.

Šiuo klausimu, pirma, reikia pažymėti, kad nuoroda į valstybės narės teisę, kuria „reglamentuojamas“ nagrinėjamas duomenų tvarkymas, reiškia, kad siekiai, tvarkytini asmens duomenys ir tikslai bent iš principo turi būti numatyti visuotinai taikomoje teisės nuostatoje. Antra, kaip aiškiai matyti iš minėtos direktyvos 33 konstatuojamosios dalies, 8 straipsnio 2 dalimi siekiama, kad už duomenų tvarkymą atsakingos valstybės narės teisė būtų aiški ir tiksli, o jos taikymas numatomas teisės subjektams, kaip to reikalaujama pagal Teisingumo Teismo ir Europos Žmogaus Teisių Teismo jurisprudenciją.

Pagal Europos Žmogaus Teisių Teismo jurisprudenciją bet kuri priemonė, sudaranti asmens duomenų tvarkymo teisinį pagrindą, turi turėti tam tikrų savybių, t. y. iš esmės ji turi atitikti aukštesnės galios teisės normas, turi būti prieinama ir galiausiai pakankamai nuspėjama, t. y. pakankamai bylos aplinkybėmis, kad atitinkami asmenys galėtų sureguliuoti savo elgesį, o tai reiškia, kad šioje priemonėje turi būti pakankamai aiškiai apibrėžti kompetentingoms institucijoms suteiktų įgaliojimų įgyvendinimo apimtis ir būdai (šiuo klausimu žr., be kita ko, 1979 m. balandžio 26 d. EŽTT sprendimo Sunday Times prieš Jungtinę Karalystę, CE:ECHR:1979:0426JUD00065387, 25 ir 52 punktus; 2008 m. liepos 1 d. EŽTT sprendimo Liberty ir kiti prieš Jungtinę Karalystę, CE:ECHR:2008:0701JUD005824300, 62 ir 63 punktus; 2008 m. gruodžio 4 d. EŽTT sprendimo S. ir Marper prieš Jungtinę Karalystę, CE:ECHR:2008:1204JUD003056204, 95 punktą).

Be to, iš Teisingumo Teismo jurisprudencijos matyti, jog tam, kad būtų tenkinamas Chartijos 52 straipsnyje numatytas reikalavimas dėl numatymo įstatymu, teisės normose, kuriomis apribojamos Chartijos 7 ir 8 straipsniuose garantuojamos pagrindinės teisės, turi būti numatytos aiškios ir tikslios taisyklės, kuriomis reglamentuojami priemonės apimtis ir taikymas ir nustatomi minimalūs reikalavimai, kad asmenims, kurių duomenims tai turi įtakos, būtų suteikta pakankamai garantijų, leidžiančių veiksmingai apsaugoti jų asmens duomenis nuo piktnaudžiavimo pavojų, taip pat nuo bet kokios neteisėtos prieigos prie šių duomenų ir neteisėto jų naudojimo (žr. 2014 m. balandžio 8 d. Sprendimo Digital Rights Ireland ir kt., C‑293/12 ir C‑594/12, EU:C:2014:238, 54 punktą ir 2015 m. spalio 6 d. Sprendimo Schrems, C‑362/14, EU:C:2015:650, 91 punktą).

Kadangi Direktyvos 2016/680 8 straipsnio 2 dalimi siekiama užtikrinti, kad būtų laikomasi šio sprendimo 56 ir 57 punktuose primintų reikalavimų, darytina išvada, kad siekiai, atitinkami asmens duomenys ir tvarkymo tikslai šios direktyvos taikymo srityje turi pakankamai aiškiai ir tiksliai išplaukti iš pačios šį tvarkymą reglamentuojančios teisės nuostatos, kad asmens duomenų tvarkymą būtų galima laikyti atitinkančiu reikalavimus dėl numatymo įstatymu, kaip tai suprantama pagal Europos Žmogaus Teisių Teismo jurisprudenciją ir Chartijos 52 straipsnį.

Atsižvelgiant į tai, kas išdėstyta, į trečiąjį klausimą reikia atsakyti: Direktyvos 2016/680 8 ir 10 straipsniai turi būti aiškinami taip, kad, kiek tai susiję su biometrinių ir genetinių duomenų rinkimu, saugojimu ir ištrynimu, sąvoka „valstybės narės teisė“, kaip ji suprantama pagal šiuos straipsnius, turi būti aiškinama kaip apimanti visuotinai taikomą teisės nuostatą, kurioje įtvirtintos minimalios tokių duomenų rinkimo, saugojimo ir ištrynimo sąlygos, kaip ji išaiškinta nacionalinių teismų jurisprudencijoje, jeigu ši jurisprudencija yra prieinama ir pakankamai nuspėjama.

Dėl pirmojo klausimo

Dėl priimtinumo

Savo rašytinėse pastabose Europos Komisija padarė išvadą, kad pirmasis klausimas yra nepriimtinas, nes Čekijos policija JH genetinių medžiagų ėminį paėmė ir biometrinius duomenis surinko 2016 m. sausio 13 d., t. y. prieš įsigaliojant Direktyvai 2016/680 (2016 m. gegužės 5 d.), nesuėjus šios direktyvos 63 straipsnio 1 dalyje nustatytam perkėlimo į nacionalinę teisę terminui, t. y. 2018 m. gegužės 6 d.

Šiuo aspektu reikia priminti, kad Teisingumo Teismas gali atsisakyti priimti sprendimą dėl nacionalinio teismo pateikto prejudicinio klausimo, tik jeigu akivaizdu, kad prašomas Sąjungos teisės išaiškinimas visiškai nesusijęs su pagrindinėje byloje nagrinėjamo ginčo aplinkybėmis ar dalyku, jeigu problema hipotetinė arba Teisingumo Teismas neturi informacijos apie faktines ir teisines aplinkybes, būtinos tam, kad naudingai atsakytų į jam pateiktus klausimus (2025 m. kovo 20 d. Sprendimo Anib ir kt., C‑728/22–C‑730/22, EU:C:2025:200, 48 punktas).

Nagrinėjamu atveju Direktyvos 2016/680 64 straipsnyje numatyta, kad ji įsigalioja 2016 m. gegužės 5 d., o šios direktyvos 63 straipsnyje nurodyta, kad valstybės narės ne vėliau kaip 2018 m. gegužės 6 d. turi priimti ir paskelbti įstatymus ir kitus teisės aktus, būtinus, kad būtų laikomasi šios direktyvos.

64	Vis dėlto iš Teisingumo Teismo turimos bylos medžiagos matyti, kad JH asmens duomenys, surinkti iš 2016 m. sausio 13 d. paimtų genetinių ėminių ir jo biometrinių duomenų, ir toliau buvo saugomi Čekijos policijos duomenų bazėse, taigi tvarkomi ir po 2018 m. gegužės 6 d.

65	Išskyrus Direktyvos 2016/680 4 straipsnio 2 dalyje numatytas situacijas, iš šios direktyvos 4 straipsnio 1 dalies b punkto matyti, kad asmens duomenys negali būti tvarkomi, jeigu jų rinkimas nebuvo pateisinamas teisėtais tikslais.

Taigi, kaip pažymėjo generalinis advokatas išvados 34 punkte, į Direktyvos 2016/680 taikymo sritį patenkantys asmens duomenys, kurie teisėtai surinkti prieš įsigaliojant šiai direktyvai, tačiau kurie būtų buvę surinkti pažeidžiant šioje direktyvoje įtvirtintus principus, jeigu būtų surinkti po šios direktyvos perkėlimo į nacionalinę teisę dienos arba, jei ji nebuvo perkelta, pasibaigus terminui, iki kurio ji turėjo būti perkelta, t. y. 2018 m. gegužės 6 d., nebegali būti saugomi po šios direktyvos perkėlimo datos, o jos neperkėlus – nuo tos galutinės datos, kai ji turėjo būti perkelta.

Taigi nagrinėjamu atveju nėra akivaizdu, kad pirmasis klausimas būtų visiškai nesusijęs su pagrindinėje byloje nagrinėjamo ginčo aplinkybėmis ar dalyku arba kad iškelta problema būtų hipotetinė dėl Komisijos nurodyto motyvo, kad tas klausimas susijęs su biometriniais ir genetiniais duomenimis, surinktais prieš įsigaliojant Direktyvai 2016/680.

68	Be to, kadangi Teisingumo Teismas turi visą informaciją apie faktines ir teisines aplinkybes, būtiną tam, kad naudingai atsakytų į pirmąjį klausimą, šis klausimas turi būti laikomas priimtinu.

Dėl esmės

Pirmuoju klausimu prašymą priimti prejudicinį sprendimą pateikęs teismas iš esmės siekia išsiaiškinti, ar Direktyvos 2016/680 6 straipsnis arba 4 straipsnio 1 dalies c punktas, siejamas su šios direktyvos 10 straipsniu, turi būti aiškinami taip, kad pagal juos draudžiamos tokios nacionalinės teisės normos, pagal kurias leidžiama nediferencijuojant rinkti kiekvieno asmens, kurio baudžiamasis persekiojimas vykdomas dėl padarytos tyčinės nusikalstamos veikos ar kuris įtariamas ją padaręs, biometrinius ir genetinius duomenis.

Šiuo aspektu, pirma, dėl Direktyvos 2016/680 6 straipsnio reikia priminti, kad šiame straipsnyje įtvirtinta valstybių narių pareiga numatyti, kad duomenų valdytojas, „kai taikytina ir kiek įmanoma“, aiškiai atskirtų skirtingų kategorijų duomenų subjektų duomenis, pavyzdžiui, asmenų, paminėtų šio straipsnio a–d punktuose, t. y. atitinkamai asmenų, dėl kurių yra rimtų priežasčių manyti, kad jie įvykdė arba rengiasi įvykdyti nusikalstamą veiką, asmenų, nuteistų už nusikalstamą veiką, asmenų, kurie buvo nusikalstamos veikos aukos arba dėl kurių, remiantis tam tikrais faktais, yra pagrindo manyti, kad jie galėtų būti nusikalstamos veikos aukos, ir galiausiai nusikalstamos veikos atžvilgiu trečiųjų asmenų, pavyzdžiui, asmenų, kurie galėtų būti kviečiami liudyti atliekant nusikalstamų veikų tyrimus arba paskesniu baudžiamojo proceso etapu, asmenų, kurie gali suteikti informacijos apie nusikalstamas veikas, arba asmenų, kurie yra pažįstami ar susiję su vienu iš a ir b punktuose nurodytų asmenų.

Taigi šioje nuostatoje numatyta, kad valstybės narės turi užtikrinti, jog duomenų valdytojas, „kai taikytina ir kiek įmanoma“, aiškiai atskirs skirtingų kategorijų duomenų subjektų asmens duomenis, taip, kad jų pagrindinės teisės į asmens duomenų apsaugą nebūtų suvaržytos vienodai, neatsižvelgiant į kategoriją, kuriai jie priklauso, nes šios kategorijos turi būti nustatytos iš esmės atsižvelgiant į atitinkamo asmens statusą pagal baudžiamąją teisę.

Kaip matyti iš Direktyvos 2016/680 6 straipsnyje esančio žodžių junginio „kai taikytina ir kiek įmanoma“, šiame straipsnyje nustatyta pareiga aiškiai atskirti tam tikras asmenų kategorijas nėra absoliuti, bet priklauso, be kita ko, nuo atsakymo į klausimą, ar kiekvienu konkrečiu atveju galima aiškiai atskirti šias asmenų kategorijas (šiuo klausimu žr. 2023 m. sausio 26 d. Sprendimo Ministerstvo na vatreshnite raboti (Biometrinių ir genetinių duomenų registravimas policijoje), C‑205/21, EU:C:2023:49, 84 punktą), ir nuo tvarkymo tikslų.

Nagrinėjamu atveju Čekijos vyriausybė teigia, kad prašymą priimti prejudicinį sprendimą pateikusio teismo nuoroda į įtariamųjų kategoriją turi būti suprantama kaip apimanti asmenis, kuriems vykstant pagreitintai preliminariai procedūrai buvo pranešta apie įtarimus, o tam, kaip ir asmenų, kurių atžvilgiu vykdomas baudžiamasis persekiojimas, atveju, pagal pagrindinėje byloje nagrinėjamus nacionalinės teisės aktus reikėtų surinkti pakankamai įrodymų, kad suinteresuotieji asmenys padarė nusikalstamą veiką.

Jeigu taip būtų, o tai turi patikrinti prašymą priimti prejudicinį sprendimą pateikęs teismas, šios dvi asmenų kategorijos konkretaus duomenų tvarkymo tikslais galėtų būti laikomos patenkančiomis į Direktyvos 2016/680 6 straipsnio a punkto taikymo sritį, jeigu dėl tikslų, kurių siekiama atitinkamu duomenų tvarkymu, nereikalaujama atskirti šių dviejų kategorijų.

Taigi Direktyvos 2016/680 6 straipsnis turi būti aiškinamas taip, kad pagal jį nedraudžiamos normos, pagal kurias leidžiama nediferencijuojant rinkti asmenų, priskiriamų prie asmenų, „kurių baudžiamasis persekiojimas vykdomas dėl padarytos tyčinės nusikalstamos veikos“, kategorijos ir prie asmenų, „kurie įtariami padarę tokią nusikalstamą veiką“, kategorijos, kaip tai suprantama pagal nacionalinę teisę, biometrinius ir genetinius duomenis, kai dėl tokio rinkimo tikslų nereikalaujama atskirti šių dviejų kategorijų asmenų, kurių duomenys gali būti renkami pagal šias teisės normas.

Antra, kiek tai susiję su Direktyvos 2016/680 4 straipsnio 1 dalies c punktu, siejamu su šios direktyvos 10 straipsniu, pirmajame iš šių straipsnių numatyta, kad asmens duomenys turi būti tinkami, aktualūs ir ne pernelyg išsamūs tikslų, kuriais jie yra tvarkomi, atžvilgiu. Taigi pagal pastarąjį reikalavimą valstybės narės privalo laikytis tvarkomų duomenų kiekio mažinimo principo, atsižvelgiant į atitinkamo duomenų tvarkymo siekį ir tikslą.

Šios direktyvos 10 straipsnyje savo ruožtu numatyta, kad, kiek tai susiję su jautriais asmens duomenimis, įskaitant biometrinius ir genetinius duomenis, tvarkymas turi atitikti ne tik vieno iš trijų šio straipsnio a–c punktuose išsamiai išvardytų atvejų sąlygą, bet ir kitas dvi sąlygas, t. y. pirma, turi būti nustatytos tinkamos duomenų subjekto teisių ir laisvių apsaugos priemonės ir, antra, numatomas duomenų tvarkymas turi būti tikrai būtinas.

Pastaroji sąlyga visų pirma reiškia, kad šis būtinumas turi būti vertinamas ypač griežtai, atsižvelgiant į nagrinėjamu duomenų tvarkymu siekiamus tikslus, todėl toks tvarkymas gali būti laikomas būtinu tik tam tikrais ribotais atvejais (šiuo klausimu žr. 2023 m. sausio 26 d. Sprendimo Ministerstvo na vatreshnite raboti (Biometrinių ir genetinių duomenų registravimas policijoje), C‑205/21, EU:C:2023:49, 118 punktą).

Taigi biometrinių ir genetinių asmens duomenų tvarkymo tikslai negali būti apibūdinami pernelyg bendrais žodžiais ir turi būti pakankamai tiksliai ir konkrečiai apibrėžti, kad būtų galima įvertinti, ar tvarkyti duomenis „tikrai būtina“ (2023 m. sausio 26 d. Sprendimo Ministerstvo na vatreshnite raboti (Biometrinių ir genetinių duomenų registravimas policijoje), C‑205/21, EU:C:2023:49, 124 punktas).

Šiuo klausimu pažymėtina, kad nors Direktyvoje 2016/680 sąvoka „tvarkymo tikslai“ neapibrėžta, atkreiptinas dėmesys, kad 8 straipsnio 2 dalyje ši sąvoka aiškiai atskirta nuo sąvokos „tvarkymo siekiai“. Šios direktyvos 4 straipsnio 1 dalies b punkte numatyta, kad asmens duomenys turi būti tvarkomi konkrečiai nustatytais, aiškiai apibrėžtais ir teisėtais tikslais ir negali būti tvarkomi tokiu būdu, kuris būtų su jais nesuderinamas, o šios direktyvos 4 straipsnio 1 dalies c punkte numatyta, kad būtent atsižvelgiant į šiuos tikslus vertinama, ar taip tvarkomi asmens duomenys yra tinkami, aktualūs ir ne pernelyg išsamūs.

Taigi, tuo remiantis, galima daryti išvadą, kad sąvoka „tvarkymo siekiai“, kaip ji suprantama pagal šios direktyvos 8 straipsnio 2 dalį, reiškia Direktyvos 2016/680 1 straipsnio 1 dalyje nurodytus bendresnius tikslus, kurių turi būti siekiama į šios direktyvos taikymo sritį patenkančiu tvarkymu, o sąvoka „tvarkymo tikslai“, kaip ji suprantama, be kita ko, pagal Direktyvos 2016/680 8 straipsnio 2 dalį, turi būti suprantama kaip reiškianti specifinius ir konkrečius asmens duomenų tvarkymo tikslus, kurių siekia duomenų valdytojas vykdydamas jam pavestą užduotį, kaip antai specialią užduotį, susijusią su nusikalstamų veikų prevencija ar atskleidimu, ar tyrimu ir baudžiamuoju persekiojimu už jas arba bausmių vykdymu.

Beje, kadangi, kaip matyti iš Direktyvos 2016/680 26 konstatuojamosios dalies, siejamos su proporcingumo principu, nejautrių duomenų atveju būtinumo reikalavimas, kaip jis suprantamas pagal šią direktyvą, įvykdomas, jei atitinkamu duomenų tvarkymu siekiamas tikslas negali būti tinkamai ir taip pat veiksmingai pasiektas kitomis priemonėmis, kurios mažiau ribotų duomenų subjektų pagrindines laisves ir teises, tuo remiantis, darytina išvada, kad sąlyga, jog jautrių asmens duomenų tvarkymas turi būti tikrai būtinas, savo ruožtu reikalauja, kad duomenų valdytojas įsitikintų, jog šis tikslas negali būti taip pat veiksmingai pasiektas naudojant kitų nei Direktyvos 2016/680 10 straipsnyje išvardytų kategorijų duomenis (šiuo klausimu žr. 2023 m. sausio 26 d. Sprendimo Ministerstvo na vatreshnite raboti (Biometrinių ir genetinių duomenų registravimas policijoje), C‑205/21, EU:C:2023:49, 126 punktą).

Be to, atsižvelgiant į didelį pavojų, kurį jautrių duomenų tvarkymas kelia duomenų subjektų teisėms ir laisvėms, visų pirma kompetentingoms institucijoms vykdant užduotis Direktyvos 2016/680 1 straipsnio 1 dalyje nurodytais tikslais, „tikro būtinumo“ reikalavimas reiškia, kad būtina atsižvelgti į konkrečią tikslo, kurio siekiama tokiu tvarkymu, svarbą; ta svarba gali būti vertinama, be kita ko, atsižvelgiant į šio tikslo pobūdį, pavyzdžiui, į tai, ar tvarkymu siekiama specialaus ir konkretaus tikslo, susijusio su tam tikro sunkumo laipsnio nusikalstamų veikų ar grėsmių visuomenės saugumui prevencija, traukimu atsakomybėn už tokias nusikaltimas veikas arba apsauga nuo tokių grėsmių, taip pat į konkrečias aplinkybes, kuriomis toks tvarkymas atliekamas (šiuo klausimu žr. 2023 m. sausio 26 d. Sprendimo Ministerstvo na vatreshnite raboti (Biometrinių ir genetinių duomenų registravimas policijoje), C‑205/21, EU:C:2023:49, 127 punktą).

Bet kuriuo atveju, dėl asmenų, kurių baudžiamasis persekiojimas vykdomas dėl padarytos tyčinės nusikalstamos veikos ar kurie įtariami padarę tokią veiką, biometrinių ir genetinių duomenų rinkimo siekiant ateityje juos identifikuoti ir palyginti reikia pažymėti, kad tikras šio rinkimo būtinumas gali būti nustatytas tik atsižvelgiant į visus svarbius veiksnius, pavyzdžiui, į preziumuojamos nusikalstamos veikos, dėl kurios jiems pareikšti kaltinimai, pobūdį ir sunkumą, konkrečias šios veikos aplinkybes, galimą minėtos veikos ryšį su kitais vykstančiais procesais, ankstesnį atitinkamų asmenų teistumą ar individualų profilį (šiuo klausimu žr. 2023 m. sausio 26 d. Sprendimo Ministerstvo na vatreshnite raboti (Biometrinių ir genetinių duomenų registravimas policijoje), C‑205/21, EU:C:2023:49, 132 punktą).

Be to, „tikro būtinumo“ sąlyga reiškia, kad turi būti ypač griežtai kontroliuojama, kaip laikomasi atitinkamo tvarkomų duomenų kiekio mažinimo principo, įtvirtinto šios direktyvos 4 straipsnio 1 dalies c punkte (šiuo klausimu žr. 2023 m. sausio 26 d. Sprendimo Ministerstvo na vatreshnite raboti (Biometrinių ir genetinių duomenų registravimas policijoje), C‑205/21, EU:C:2023:49, 125 punktą).

Konkrečiai dėl iš asmens DNR gautų duomenų saugojimo ar naudojimo tapatybės nustatymo ar palyginimo tikslais pažymėtina, kad toks principas reiškia, jog, siekiant įvertinti tikrą tokio tvarkymo būtinumą, reikia tinkamai atsižvelgti į galimybę remtis tik polimorfizmais, esančiais nekoduojančiose DNR sekose, t. y. sekose, kurios, kaip pripažinta, nesuteikia jokios informacijos apie asmenų etninę kilmę ar genetines ligas.

Taigi, nors valstybė narė gali laikytis Direktyvos 2016/680 arba pavesdama kompetentingoms institucijoms kiekvienu konkrečiu atveju užtikrinti, kad, tvarkant jautrius asmens duomenis, būtų tenkinama tikrojo būtinumo sąlyga, arba teisėkūros procedūra priimtuose teisės aktuose nustatydama vertinimo kriterijus, kuriuos vėliau institucijos turi taikyti ne savo nuožiūra, šiuo antruoju atveju šie kriterijai turi atitikti visus iš tos sąlygos kylančius reikalavimus, kaip antai nurodytus šio sprendimo 77–83 punktuose.

Taigi 2023 m. sausio 26 d. Sprendime Ministerstvo na vatreshnite raboti (Biometrinių ir genetinių duomenų registravimas policijoje), C‑205/21, EU:C:2023:49, 135 punktas) Teisingumo Teismas nusprendė, kad šios tikro būtinumo sąlygos neatitinka nacionalinės teisės aktai, kuriuose numatyta duomenų registravimo tikslais sistemiškai rinkti kiekvieno asmens, kuriam pareikšti kaltinimai dėl ex officio persekiojamos tyčinės nusikalstamos veikos, biometrinius ir genetinius duomenis, tačiau nenumatyta kompetentingos institucijos pareiga nustatyti ir įrodyti, pirma, kad rinkti duomenis tikrai būtina norint pasiekti specialius ir konkrečius tikslus ir, antra, kad šių tikslų negalima pasiekti priemonėmis, mažiau varžančiomis atitinkamo asmens teises ir laisves.

Atsižvelgiant į tai, nors teisės aktuose, nagrinėtuose byloje, kurioje priimtas tas sprendimas, numatytas duomenų rinkimas buvo privalomai taikomas visiems asmenims, kuriems pareikšti kaltinimai dėl ex officio persekiojamų tyčinių nusikalstamų veikų, pirmasis klausimas šioje byloje pateiktas dėl teisės normų, pagal kurias policijos tarnyboms suteikiama tik galimybė paimti asmenų, kurių persekiojimas vykdomas dėl padarytos tyčinės nusikalstamos veikos ar kurie įtariami ją padarę, biometrinius ir genetinius ėminius.

Tai, kad teisės normomis policijos tarnyboms suteikiama tokia galimybė, nereiškia, kad pagal atitinkamos valstybės narės teisę leidžiama rinkti duomenis sistemiškai arba kad jie gali būti renkami pažeidžiant, be kita ko, Direktyvos 2016/680 4 straipsnio 1 dalies c punkte įtvirtintą tvarkomų duomenų kiekio mažinimo principą arba šios direktyvos 10 straipsnyje numatytą sąlygą, kad atitinkamas tvarkymas turi būti tikrai būtinas, jeigu šioje teisėje, įskaitant nacionalinių teismų jurisprudenciją, tinkamai ir pakankamai tiksliai apibrėžti tikslai, kurių siekiama tvarkant biometrinius ir genetinius duomenis, t. y. specialūs ir konkretūs tikslai, kurių siekiama tvarkant asmens duomenis, atsižvelgiant į duomenų valdytojui pavestą užduotį, ir jeigu tokia galimybe naudojamasi laikantis šio sprendimo 77–83 punktuose nurodytų reikalavimų.

Taigi iš Teisingumo Teismui pateiktos informacijos matyti, kad šiuo atveju nacionalinėje jurisprudencijoje nustatyti tam tikri reikalavimai, kuriais siekiama užtikrinti, kad būtų laikomasi šio principo, kaip antai policijos pareiga prieš paimant DNR ėminį atsižvelgti, be kita ko, į pažeidimą padariusio asmens nusikalstamą praeitį, to pažeidimo sunkumą, atsižvelgiant į jo rūšį ir konkrečias jo aplinkybes, dėl kurių imami ėminiai, taip pat į pažeidimą padariusio asmens asmenybę.

Tokiu atveju nacionaliniai teismai kiekvienu atveju turi patikrinti, ar policijos tarnybos duomenis surinko pažeisdamos Direktyvos 2016/680 4 straipsnyje įtvirtintus asmens duomenų tvarkymą reglamentuojančius principus ir šios direktyvos 10 straipsnyje, aiškinamame atsižvelgiant į Chartijos 7 ir 8 straipsnius, nustatytus specialius jautrių asmens duomenų tvarkymui taikomus reikalavimus.

Šiuo klausimu taip pat reikia pažymėti, kad vien aplinkybės, kad nusikalstama veika, kuria kaltinamas asmuo, yra ekonominio pobūdžio ir kad šio asmens biometriniai ir genetiniai duomenys renkami dar nepriėmus apkaltinamojo nuosprendžio dėl jo, nepakanka, kad būtų galima atmesti galimybę, jog toks rinkimas gali būti laikomas tikrai būtinu, nes, atsižvelgiant į siekiamus tikslus, jis, įskaitant atitinkamų duomenų rūšį, gali pasirodyti tikrai būtinas, be kita ko, tam, kad būtų galima nustatyti, ar dėl galimo priklausymo nusikalstamai organizacijai tas asmuo galėjo dalyvauti darant kitas nusikalstamas veikas, dėl kurių tokie duomenys gali būti svarbūs, arba ar, jei yra pavojus, kad jis pasislėps, kad būtų galima nustatyti jo tapatybę.

Atsižvelgiant į visa tai, kas išdėstyta, į pirmąjį klausimą reikia atsakyti: Direktyvos 2016/680 6 straipsnis ir 4 straipsnio 1 dalies c punktas, siejamas su šios direktyvos 10 straipsniu, turi būti aiškinami taip, kad pagal juos nedraudžiamos nacionalinės teisės normos, pagal kurias leidžiama nediferencijuojant rinkti kiekvieno asmens, kurio baudžiamasis persekiojimas vykdomas dėl padarytos tyčinės nusikalstamos veikos ar kuris įtariamas ją padaręs, biometrinius ir genetinius duomenis, jeigu, pirma, šio duomenų rinkimo tikslai nereikalauja atskirti šių dviejų asmenų kategorijų ir, antra, duomenų valdytojai pagal nacionalinę teisę, įskaitant nacionalinių teismų jurisprudenciją, įpareigoti laikytis visų šios direktyvos 4 ir 10 straipsniuose numatytų principų ir specialių reikalavimų.

Dėl antrojo klausimo

Pirmiausia reikia pažymėti, kad nors antrojo klausimo formuluotėje prašymą priimti prejudicinį sprendimą pateikęs teismas nurodo nacionalinės teisės normas, dėl kurių atitinkami asmens duomenys daugeliu atvejų saugomi „neribotą laikotarpį“, iš Teisingumo Teismo turimos bylos medžiagos matyti, kad nurodydamas „neribotą laikotarpį“ šis teismas galiausiai remiasi aplinkybe, kad konkrečiai nenurodytas joks maksimalus saugojimo laikotarpis, o ne tuo, kad toks saugojimas yra neribotas laiko atžvilgiu.

Todėl reikia suprasti, kad antruoju klausimu prašymą priimti prejudicinį sprendimą pateikęs teismas iš esmės siekia išsiaiškinti, ar Direktyvos 2016/680 4 straipsnio 1 dalies e punktas turi būti aiškinamas taip, kad pagal jį draudžiamos nacionalinės teisės normos, pagal kurias būtinumą toliau saugoti biometrinius ir genetinius duomenis policijos tarnybos vertina remdamosi vidaus taisyklėmis ir kuriose nenumatytas maksimalus tokių duomenų saugojimo laikotarpis.

97	Šiuo klausimu Direktyvos 2016/680 4 straipsnio 1 dalies e punkte nustatyta, kad valstybės narės turi numatyti, kad asmens duomenys būtų saugomi tokia forma, kad duomenų subjektų tapatybę būtų galima nustatyti ne ilgiau, nei tai būtina tais tikslais, dėl kurių jie tvarkomi.

Pirma, dėl aplinkybės, kad atitinkamose nacionalinės teisės normose nenumatyta maksimali saugojimo trukmė, reikia priminti, kad, kaip matyti iš Direktyvos 2016/680 4 straipsnio 1 dalies e punkto reikalavimų, šios direktyvos 5 straipsnyje valstybės narės įpareigojamos numatyti tinkamus asmens duomenų ištrynimo arba jų saugojimo poreikio periodinės peržiūros terminus, taip pat procedūrines taisykles, leidžiančias užtikrinti šių terminų laikymąsi.

99	Šios direktyvos 5 straipsnyje valstybėms narėms paliekama teisė pačioms nustatyti šiuos terminus su sąlyga, kad jie būtų „tinkami“, ir nuspręsti, ar jie taikomi tokių duomenų ištrynimui, ar jų saugojimo poreikio periodinei peržiūrai.

100	Iš tiesų, Direktyvos 2016/680 4 straipsnio 1 dalies e punktas ir 5 straipsnis turi būti siejami, be kita ko, su jos 10 straipsniu, todėl biometrinių ar genetinių duomenų saugojimas turi būti tikrai būtinas ir užtikrinti tinkamas duomenų subjekto teisių ir laisvių apsaugos priemones.

101

Vis dėlto, kai valstybė narė nustato tinkamus asmens duomenų saugojimo poreikio periodinės peržiūros terminus ir kai atliekant šią peržiūrą turi būti įvertinta, ar tikrai būtina pratęsti tokį saugojimą, atitinkamos valstybės narės teisė turi būti laikoma atitinkančia tokius reikalavimus. Taigi, net kai saugomi duomenys yra jautrūs asmens duomenys, valstybės narės neturi pareigos nustatyti absoliučias asmens duomenų saugojimo laiko ribas, kurias viršijus šie duomenys turėtų būti automatiškai ištrinti (šiuo klausimu žr. 2024 m. sausio 30 d. Sprendimo Direktor na Glavna direktsia Natsionalna politsia pri MVR – Sofia, C‑118/22, EU:C:2024:97, 52 punktą).

102

Vis dėlto tam, kad šie periodinės peržiūros terminai būtų „tinkami“, bet kuriuo atveju reikia, kad, kaip matyti iš Direktyvos 2016/680 4 straipsnio 1 dalies c ir e punktų, siejamų su Chartijos 52 straipsnio 1 dalimi, jie leistų prireikus ištrinti saugomus asmens duomenis, ir tai būtų atliekama laikantis šios direktyvos 16 straipsnio 2 ir 3 dalyse numatytų sąlygų, jeigu, atlikus kurią nors iš peržiūrų, matyti, kad nebėra tikro būtinumo tuos duomenis saugoti ir kad tas saugojimas yra pernelyg išsamus atsižvelgiant į siekiamus tikslus (šiuo klausimu žr. 2024 m. sausio 30 d. Sprendimo Direktor na Glavna direktsia Natsionalna politsia pri MVR – Sofia, C‑118/22, EU:C:2024:97, 45, 48 ir 50 punktą bei juose nurodytą jurisprudenciją).

103

Kita vertus, atsižvelgiant į Direktyvos 2016/680 4 straipsnio 1 dalies c punkte numatytus visiems asmens duomenims taikomus reikalavimus, kad jie turi būti tinkami, aktualūs ir ne pernelyg išsamūs tikslų, kuriais jie yra tvarkomi, atžvilgiu, į tai, kad ši nuostata ir šios direktyvos 8 straipsnis turi būti aiškinami atsižvelgiant į iš Chartijos 52 straipsnio kylančius reikalavimus, taip pat į šios direktyvos 6 straipsnyje nustatytą duomenų valdytojo pareigą prireikus aiškiai atskirti skirtingų kategorijų duomenų subjektų asmens duomenis, šie peržiūros terminai negali būti laikomi tinkamais, jeigu duomenų subjekto statuso pagal baudžiamąją teisę pasikeitimai, laikomi reikšmingais, atsižvelgiant į šiuo saugojimu siekiamą tikslą, nelemia duomenų valdytojo pareigos per protingą terminą iš naujo išnagrinėti būtinybę saugoti šio asmens duomenis.

104

Antra, kiek tai susiję su aplinkybe, kad būtinybę toliau saugoti biometrinius ir genetinius duomenis policijos tarnybos vertina remdamosi vidaus taisyklėmis, reikia pažymėti, kad tokia aplinkybė savaime neprieštarauja Direktyvos 2016/680 8 straipsnio 2 daliai, jeigu pagal šias vidaus taisykles šios tarnybos įpareigojamos užtikrinti, kad būtų laikomasi sąlygos, susijusios su tikro būtinumo saugoti šiuos duomenis buvimu, ir šių tarnybų diskrecija yra pakankamai apibrėžta nacionalinėje teisėje, įskaitant nacionalinių teismų jurisprudenciją.

105

Iš tiesų, nors aplinkybė, kad tai yra vidaus taisyklės, taigi neprieinamos visiems duomenų subjektams, kurių asmens duomenys gali būti tvarkomi, lemia, jog kompetentingos institucijos negali remtis tokiomis taisyklėmis, kad įrodytų, jog laikosi joms nustatytų reikalavimų, vis dėlto ši aplinkybė nelemia to, kad asmens duomenų tvarkymas remiantis šiomis taisyklėmis yra automatiškai neteisėtas, bet reiškia, kad prireikus, jei pareiškiamas skundas dėl sprendimo atlikti tokį tvarkymą, policijos tarnybos, neatsižvelgdamos į šias vidaus taisykles, kompetentingam teismui turi įrodyti, kad tinkamai paisyta „tikro būtinumo“ sąlygos.

106

Nagrinėjamu atveju, viena vertus, Čekijos vyriausybės teigimu, be kita ko, iš Čekijos policijos įstatymo 65 straipsnio 5 dalies matyti (o tai turi patikrinti prašymą priimti prejudicinį sprendimą pateikęs teismas), kad asmenų, kurių baudžiamasis persekiojimas vykdomas dėl padarytos tyčinės nusikalstamos veikos arba kurie įtariami padarę tokią veiką, DNR analitės turi būti ištrintos, kai jų saugojimas nebėra būtinas atsižvelgiant į siekiamus tikslus, t. y. kai šių asmenų atžvilgiu persekiojimas nutraukiamas arba jie jau nebeįtariami, ir šių asmenų persekiojimas nevykdomas ir jie nėra įtariamieji kitame baudžiamajame procese arba jie anksčiau nėra padarę kitų nusikaltimų ar baudžiamųjų nusižengimų.

107

Vis dėlto šiuo aspektu reikia priminti, kad biometrinių ir genetinių duomenų saugojimas gali būti laikomas atitinkančiu reikalavimą, kad jis turi būti leidžiamas, tik „jei tai tikrai būtina“, kaip tai suprantama pagal Direktyvos 2016/680 10 straipsnį, tik jeigu saugant atsižvelgiama ne tik į duomenų subjektų ryšį su kitais vykstančiais tyrimais, ankstesnius teistumus ar profilį, bet ir į nusikalstamos veikos, dėl kurios priimtas galutinis apkaltinamasis nuosprendis, pobūdį ir sunkumą arba į kitas aplinkybes, pavyzdžiui, konkrečias šios nusikalstamos veikos padarymo aplinkybes (šiuo klausimu žr. 2024 m. sausio 30 d. Sprendimo Direktor na Glavna direktsia Natsionalna politsia pri MVR – Sofia, C‑118/22, EU:C:2024:97, 67 punktą).

108

Kita vertus, nors Čekijos teisėje nenumatyta maksimali pagal Čekijos policijos įstatymo 65 straipsnio 1 dalį surinktų asmens duomenų saugojimo trukmė, šio įstatymo 82 straipsnio 1 dalyje įtvirtinta policijos tarnybų pareiga bent kartą per trejus metus peržiūrėti, ar šių duomenų saugojimas vis dar būtinas jų užduotims atlikti.

109

Taigi prašymą priimti prejudicinį sprendimą pateikęs teismas turės nustatyti, ar, atsižvelgiant į tikslus, kurių siekiama saugant atitinkamus biometrinius ir genetinius duomenis, toks trejų metų peržiūros laikotarpis gali būti laikomas tinkamu, net jei konkrečiai nurodyta, kad priešingu atveju vis dėlto nebūtų reikalaujama ištrinti šiuos duomenis, jeigu būtų įrodyta, kad bet kuriuo atveju toliau tikrai būtina juos saugoti.

110

Atsižvelgiant į tai, kas išdėstyta, į antrąjį klausimą reikia atsakyti: Direktyvos 2016/680 4 straipsnio 1 dalies e punktas turi būti aiškinamas taip, kad pagal jį nedraudžiamos nacionalinės teisės normos, pagal kurias būtinumą toliau saugoti biometrinius ir genetinius duomenis policijos tarnybos vertina remdamosi vidaus taisyklėmis ir kuriose nenumatytas maksimalus saugojimo laikotarpis, jeigu šiose teisės normose įtvirtinti tinkami šių asmens duomenų saugojimo poreikio periodinės peržiūros terminai ir atliekant tą peržiūrą vertinama, ar tikrai būtina toliau juos saugoti.

Dėl bylinėjimosi išlaidų

111

Kadangi šis procesas pagrindinės bylos šalims yra vienas iš etapų prašymą priimti prejudicinį sprendimą pateikusio teismo nagrinėjamoje byloje, bylinėjimosi išlaidų klausimą turi spręsti šis teismas. Išlaidos, susijusios su pastabų pateikimu Teisingumo Teismui, išskyrus tas, kurias patyrė minėtos šalys, nėra atlygintinos.

Remdamasis šiais motyvais, Teisingumo Teismas (penktoji kolegija) nusprendžia:

2016 m. balandžio 27 d. Europos Parlamento ir Tarybos direktyvos (ES) 2016/680 dėl fizinių asmenų apsaugos kompetentingoms institucijoms tvarkant asmens duomenis nusikalstamų veikų prevencijos, tyrimo, atskleidimo ar baudžiamojo persekiojimo už jas arba bausmių vykdymo tikslais ir dėl laisvo tokių duomenų judėjimo ir kuria panaikinamas Tarybos pamatinis sprendimas 2008/977/TVR 8 ir 10 straipsniai

turi būti aiškinami taip:

kiek tai susiję su biometrinių ir genetinių duomenų rinkimu, saugojimu ir ištrynimu, sąvoka „valstybės narės teisė“, kaip ji suprantama pagal šiuos straipsnius, turi būti aiškinama kaip apimanti visuotinai taikomą teisės nuostatą, kurioje įtvirtintos minimalios tokių duomenų rinkimo, saugojimo ir ištrynimo sąlygos, kaip ji išaiškinta nacionalinių teismų jurisprudencijoje, jeigu ši jurisprudencija yra prieinama ir pakankamai nuspėjama.

Direktyvos 2016/680 6 straipsnis ir 4 straipsnio 1 dalies c punktas, siejamas su šios direktyvos 10 straipsniu,

turi būti aiškinami taip:

pagal juos nedraudžiamos nacionalinės teisės normos, pagal kurias leidžiama nediferencijuojant rinkti kiekvieno asmens, kurio baudžiamasis persekiojimas vykdomas dėl padarytos tyčinės nusikalstamos veikos ar kuris įtariamas ją padaręs, biometrinius ir genetinius duomenis, jeigu, pirma, šio duomenų rinkimo tikslai nereikalauja atskirti šių dviejų asmenų kategorijų ir, antra, duomenų valdytojai pagal nacionalinę teisę, įskaitant nacionalinių teismų jurisprudenciją, įpareigoti laikytis visų šios direktyvos 4 ir 10 straipsniuose numatytų principų ir specialių reikalavimų.

Direktyvos 2016/680 4 straipsnio 1 dalies e punktas:

turi būti aiškinamas taip:

pagal jį nedraudžiamos nacionalinės teisės normos, pagal kurias būtinumą toliau saugoti biometrinius ir genetinius duomenis policijos tarnybos vertina remdamosi vidaus taisyklėmis ir kuriose nenumatytas maksimalus saugojimo laikotarpis, jeigu šiose teisės normose įtvirtinti tinkami šių asmens duomenų saugojimo poreikio periodinės peržiūros terminai ir atliekant tą peržiūrą vertinama, ar tikrai būtina toliau juos saugoti.

Parašai.

( *1 ) Proceso kalba: čekų.