–

за JH, от M. Mandzák, L. Nezpěvák и L. Trojan, advokáti,

–

за чешкото правителство, от M. Smolek, O. Serdula, J. Vláčil, T. Suchá и L. Březinová, в качеството на представители,

–

за Ирландия, от M. Browne, Chief State Solicitor, A. Joyce и D. O’Reilly, в качеството на представители, подпомагани от A. Mulligan, BL,

–

за нидерландското правителство, от J. Langer, в качеството на представител,

–

за полското правителство, от B. Majczyna, в качеството на представител,

–

за Европейската комисия, от A. Bouchagiar, H. Kranenborg, P. Němečková и M. F. Wilman, в качеството на представители,

1

Преюдициалното запитване се отнася до тълкуването на член 4, параграф 1, букви в) и д), на член 6, член 8, параграф 2 и член 10 от Директива (ЕС) 2016/680 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания и относно свободното движение на такива данни, и за отмяна на Рамково решение 2008/977/ПВР на Съвета (ОВ L 119, 2016 г., стр. 89).

2

Запитването е отправено в рамките на спор между JH и Policejní prezidium (Дирекция на полицията, Чешка република) (наричана по-нататък „чешката дирекция на полицията“) относно по-специално събирането на биометрични и генетични данни от JH в рамките на наказателно производство, както и съхранението им от чешката полиция.

Правна уредба

Правото на Съюза

3

Съображения 1, 2, 26, 33, 37 и 96 от Директива 2016/680 гласят следното:

4

Член 1 („Предмет и цели“) от тази директива предвижда в параграф 1:

5

Член 2 от посочената директива, озаглавен „Обхват“, предвижда в параграф 1:

6

Съгласно член 3 от същата директива, озаглавен „Определения“:

7

Член 4 от Директива 2016/680, озаглавен „Принципи, свързани с обработването на лични данни“, гласи в параграф 1:

8

Член 5 („Срокове за съхранение и проверка“) от тази директива гласи:

9

Член 6 от тази директива, озаглавен „Разграничение между различните категории субекти на данни“, гласи:

10

Съгласно член 8 от същата директива, озаглавен „Законосъобразност на обработването“, гласи:

11

Съгласно член 10 от Директива 2016/680, озаглавен „Обработване на специални категории лични данни“:

12

Съгласно член 63, параграф 1 от тази директива, държавите членки приемат и публикуват до 6 май 2018 г. законовите, подзаконовите и административните разпоредби, необходими, за да се съобразят с посочената директива. Освен това държавите членки са длъжни да прилагат тези разпоредби от същата дата.

13

В съответствие с член 64 от Директивата тя е влязла в сила на 5 май 2016 г.

Чешкото право

14

В член 11 от Zákon č. 273/2008 Sb., o Policii České republiky (Закон № 273/2008 за полицията на Чешката република) в редакцията му, приложима към спора в главното производство (наричан по-нататък „законът за чешката полиция“), озаглавен „Пропорционалност на действията“, предвижда:

15

Член 65 от Закона за чешката полиция предвижда:

16

Член 79 от този закон, озаглавен „Основни разпоредби относно обработването на лични данни при изпълнението на някои полицейски задачи“, предвижда:

17

Член 82 от посочения закон, озаглавен „Проверка на необходимостта от по-нататъшно обработване на лични данни“, има следната редакция:

Спорът в главното производство и преюдициалните въпроси

18

С решение от 11 декември 2015 г. отдел „Борба с корупцията и икономическата престъпност“ към служба „Криминална и следствена полиция“, областно управление Пилзен (Чешка република), която е чешка полицейска служба с национална компетентност, образува наказателно производство срещу JH за нарушение на задължение за управление на чуждо имущество.

19

На 13 януари 2016 г. чешката полиция най-напред изслушва JH в рамките на съответното наказателно производство, като разпорежда и извършва следните действия по идентифициране въпреки несъгласието на JH: снемане на пръстовите отпечатъци на JH, вземане на проба от лигавицата на устата му, въз основа на която е изготвила ДНК профил, фотографира го и описва външните белези на JH. След това въвежда тази информация в съответните бази данни.

20

С решение от 15 март 2017 г. Městský soud v Praze (Градски съд Прага, Чешка република) постановява, че JH е нарушил задължение за управление на чуждо имущество, при това в съучастие, както и престъплението злоупотреба със служебно положение на длъжностно лице. Посочената юрисдикция е наложила на JH наказание лишаване от свобода за срок от три години, изпълнението на което е отложено, забрана да заема ръководна длъжност в публичната администрация, която включва управлението на недвижимо и движимо имущество за срок от четири години, както и го осъжда да поправи причинените вреди в рамките на възможностите си.

21

На 8 март 2016 г. JH подава жалба пред Městský soud v Praze (Градски съд Прага), с която иска да се установи, че извършените действия по идентифициране съгласно член 65 от Закона за чешката полиция, съхранението на информацията и на така получените проби, както и създаването на досие в базата данни на чешката полиция по този повод, са представлявали незаконосъобразна намеса в основното му право на зачитане на личния живот.

22

Тъй като в рамките на друго висящо по това време дело той вече е сезирал Ústavní soud České republiky (Конституционен съд, Чешка република) с искане за преценка на конституционосъобразността на член 65 от Закона за чешката полиция, Městský soud v Praze (Градски съд, Прага) спира разглеждането на подадената от JH жалба.

23

С решение от 22 март 2022 г. Ústavní soud České republiky (Конституционен съд на Чешката република) отхвърля искането на Městský soud v Praze (Градски съд Прага) за установяване на противоконституционност на член 65 от Закона за чешката полиция. Вследствие на това решение последната юрисдикция възобновява разглеждането на подадената от JH жалба.

24

С решение от 23 юни 2022 г. Městský soud v Praze (Градски съд Прага) уважава жалбата на JH, като приема, че действията, извършени от чешката полиция на 13 януари 2016 г., са незаконосъобразни. Вследствие на това тази юрисдикция разпорежда на чешката полиция да заличи от базите си данни всички лични данни, произтичащи от тези действия.

25

В решението посочената юрисдикция подчертава, че вземането на генетичен материал представлява значителна намеса в основното право на зачитане на личния живот на заинтересованото лице, защитено по-специално в член 8 от Европейската конвенция за защита на правата на човека и основните свободи, подписана в Рим на 4 ноември 1950 г. (наричана по-нататък „ЕКПЧ“) и в член 10, параграф 3 от Listina základních práv a svobod (Харта на основните права и свободи на Чешката република). В член 65 от Закона за чешката полиция обаче нямало достатъчни указания, за да се прецени пропорционалността на тази намеса. Всъщност единствената проверка, която се изисквала съгласно последния член, била чешката полиция да провери „умишления“ характер на извършеното престъпление, преди да вземе тези проби.

26

Впрочем същата юрисдикция отбелязва, че срещу JH е образувано наказателно производство само за извършването на деяние, а именно не особено тежко престъпление, че изпълнението на наказанието лишаване от свобода е отложено и това потвърждавало по-малката тежест на деянията, в които е обвинен, че никога не е бил осъждан преди това, че е малко вероятно да извърши повторно престъпление и че не е сигурно, че извършените престъпления са от вида престъпления, чиито извършители могат да извършат в бъдеще престъпление, че съхраняваните в базите данни лични данни биха могли да допринесат за идентифицирането му. От това той стига до извода, че актовете за идентифициране, извършени от чешката полиция, предмет на спора в главното производство, не отговарят на изискването за пропорционалност.

27

Чешката дирекция на полицията подава касационна жалба срещу посоченото решение пред Nejvyšší správní soud (Върховен административен съд, Чешка република), който е запитващата юрисдикция.

28

В подкрепа на жалбата си дирекцията на чешката полиция посочва, че целта на обработването на личните данни ясно е формулирана в член 65 от Закона за чешката полиция. Тя поддържа също, че в случая компетентните служби на чешката полиция са преценили пропорционалността на събирането и на съхранението на личните данни на JH, като е взела предвид фактора повторност на престъплението, възможното утежняване на деянията и фактът, че JH е извършил много правонарушения в миналото.

29

В отговор JH изтъква по-специално, че службите на чешката полиция са пристъпили към действията по идентифициране, без преди това да са проверили дали въпросната намеса е пропорционална. JH оспорва също и липсата на публичност на указанията на чешката полиция относно извършването на действия по идентифициране.

30

Запитващата юрисдикция подчертава, че съгласно най-новата ѝ съдебна практика само по себе си спазване на формалните изисквания на член 65, параграф 1 от Закона за чешката полиция, и по-специално на изискването за квалифициране на престъпление като „умишлено“, не е достатъчно, за да може събирането и съхранението на посочените в този член лични данни да се считат за законосъобразни. Така полицейските служби били длъжни да преценят пропорционалността на вземането на проби във всеки конкретен случай, като отчитат по-специално съдебното минало, личността и поведението на субекта на данни, тежестта на престъплението, за което това лице е призовано за извършване на действията по идентифициране, както и, във връзка с искане за изтриване ex post, срока, който е изтекъл от извършване на въпросното престъпление.

31

Съгласно тази съдебна практика националните юрисдикции стигнали до извода за незаконосъобразност на действия по идентифициране като събиране на биометрични и генетични данни, по-специално в случай на престъпления, които не са свързани с насилие и са извършени от неосъждани преди това лица.

32

В този контекст запитващата юрисдикция иска да се установи дали правната уредба, установена в член 65 от Закона за чешката полиция, е съвместим с Директива 2016/680.

33

На първо място, тази юрисдикция иска да се установи дали определените в тази директива изисквания допускат неизбирателно събиране на биометрични и генетични данни за всяко лице, заподозряно в извършването на умишлено престъпление.

34

От една страна, от практиката на Европейския съд по правата на човека относно основното право на зачитане на личния живот, гарантирано в член 8 от ЕКПЧ, следвало, че договарящите страни са длъжни да разграничат престъпленията, за които се вземат проби от дезоксирибонуклеинова киселина (ДНК) в зависимост от обществената им опасност. Договарящите страни не можели да третират еднакво, от една страна, извършителите на тежки престъпления като извършените с използване на насилие, за които вземането и съхранението на ДНК проби би било законно, и от друга страна, извършителите на по-леки престъпления.

35

От друга страна, изискванията, произтичащи от принципа на пропорционалност, като по-специално конкретизираното в приложното поле на Директива 2016/680 под формата на принципа на свеждане до минимум на обработването на лични данни и на задължението за установяване на разграничения между различните категории субекти на данни, предвидени съответно в член 4, параграф 1, буква в) от тази директива и в член 6 от нея, повдигали въпроси дали е достатъчно да се направи абстрактно разграничение на законодателно равнище в зависимост по-специално от тежестта на предвидените нарушения, или е необходима конкретна преценка на пропорционалния характер на вземането на пробата във всеки конкретен случай.

36

На второ място, запитващата юрисдикция иска да се установи дали установените с Директива 2016/680 изисквания допускат съхранението на биометрични и генетични данни, без да е предвидено изрично ограничение във времето в това отношение. Освен това приложимата национална правна уредба не определяла максимален срок за съхранение на идентификационните данни. Според направеното от запитващата юрисдикция тълкуване на практиката на Европейския съд по правата на човека обаче тази практика изисквала да се установи такъв максимален срок.

37

На трето място, запитващата юрисдикция иска да се установи дали практиката на чешките административни съдилища може да се квалифицира като „право на държава членка“ по смисъла на член 8 от Директива 2016/680, който установява условията за законосъобразност на обработването на лични данни.

38

Всъщност член 65 от Закона за чешката полиция не уточнявал нито конкретните условия за съхранение и видовете информация, които могат да бъдат извлечени от взетата проба, нито условията за съхранение и изтриване на биометричните и генетичните данни, така че този член сам по себе си не отговарял на изискванията по член 8, параграф 2 от Директива 2016/680 във връзка с член 10 от нея.

39

Несъмнено посоченият член 65 бил допълнен от указанията на председателя на полицията за прилагането му, но тъй като тези указания не били нито подзаконови актове, нито се публикували, в никакъв случай не можело да им се признае качеството на „право на държава членка“ по смисъла на член 8, параграф 2 от Директива 2016/680.

40

При това положение се поставял въпросът дали правото на държава членка може да се разглежда като предвиждащо достатъчни материални и процесуални гаранции за обработването на чувствителни данни по смисъла на член 10 от тази директива, каквито са биометричните и генетичните данни, когато тези гаранции са предоставени от съдебната практика.

41

При тези условия Nejvyšší správní soud (Върховен административен съд) решава да спре производството и да постави на Съда следните преюдициални въпроси:

По преюдициалните въпроси

По третия въпрос

42

С третия си въпрос, който следва да се разгледа на първо място, запитващата юрисдикция по същество иска да се установи дали членове 8 и 10 от Директива 2016/680 трябва да се тълкуват в смисъл, че що се отнася до събирането, съхранението и изтриването на биометрични и генетични данни, понятието „правото на държава членка“ по смисъла на тези разпоредби трябва да се разбира като отнасящо се само до разпоредба с общо приложение, определяща минималните условия за събирането, съхранението и изтриването на такива данни, или съдебната практика на националните юрисдикции, която уточнява тези условия, също може да попадне в обхвата на това понятие.

43

В това отношение следва да се припомни, че съгласно член 3, точка 2 във връзка с член 3, точки 12 и 13 от Директива 2016/680 събирането, съхранението и изтриването на биометрични и генетични данни представляват обработване на лични данни по смисъла на тази директива.

44

Член 4 от Директива 2016/680 посочва различни принципи, на които се подчинява това обработване, които, както следва от съображения 1 и 2 от тази директива, отразяват начина, по който в предвидените в член 52 от Хартата граници законодателят на Съюза е искал да конкретизира по отношение на посоченото обработване основното право на физическите лица на защита на личните им данни, признато в член 8 от Хартата, което от своя страна е тясно свързано с правото на зачитане на личния живот, закрепено в член 7 от нея, като се отчита специфичното естество на дейностите по предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания.

45

Сред тези принципи член 4, параграф 1, буква а) от Директива 2016/680 предвижда, че всички лични данни се обработват законосъобразно и добросъвестно.

46

В това отношение член 8, параграф 1 от Директива 2016/680 уточнява, че държавите членки предвиждат, че обработването на лични данни, което попада в приложното поле на посочената директива, е законосъобразно само ако и доколкото то е необходимо за изпълнението на задача, осъществявана от компетентен орган за целите, определени в член 1, параграф 1, и е въз основа на правото на Съюза или правото на държава членка.

47

Освен това по силата на член 8, параграф 2 от същата директива обработването на такива данни е възможно само ако в правото на държавата членка, регламентиращо обработването, се посочват най-малко общите цели на обработването, личните данни, които се обработват, и целите на обработването.

48

Що се отнася до някои категории лични данни, като биометричните или генетичните данни, член 10 от тази директива цели да гарантира по-голяма защита на тези данни, като определи по-строги условия за законосъобразност на обработването им (вж. в този смисъл решение от 30 януари 2024 г., Директор на Главна дирекция „Национална полиция“ при МВР — София, C‑118/22, EU:C:2024:97, т. 48, и от 4 октомври 2024 г., Bezirkshauptmannschaft Landeck (Опит за достъп до лични данни, съхранявани на мобилен телефон), C‑548/21, EU:C:2024:830, т. 107). Всъщност, както се подчертава в съображение 37 от Директива 2016/680, тези категории данни по естеството си са особено чувствителни от гледна точка на основните права и свободи, тъй като контекстът, в който се обработват такива данни, може да породи значителни рискове за правата и свободите на субектите на данни.

49

Така съгласно член 10 от Директива 2016/680 всяко обработване на лични данни, попадащи в някоя от категориите, изчерпателно изброени в този член (наричани по-нататък „чувствителни лични данни“), трябва да бъде разрешено от правото на Съюза или от правото на държава членка.

50

Ето защо членове 8 и 10 от Директива 2016/680 имат за цел да уточнят обхвата на някои от принципите, посочени в член 4 от тази директива, които в областта, обхваната от тази директива, конкретизират по-специално основното право на физическите лица на защита на техните лични данни, признато в член 8 от Хартата.

51

Следователно понятието „право на държава членка“, използвано в тези членове 8 и 10, трябва да се разбира като целящо да материализира в обхванатата от Директива 2016/680 област условието, предвидено в член 8, параграф 2 от Хартата, че всяко обработване на лични данни, което не се извършва въз основа на съгласието на заинтересованото лице, трябва да се извършва по силата на друго предвидено от закона легитимно основание — условие, което на свой ред само отразява изискването по член 52 от Хартата всяко ограничаване на упражняването на признати от нея основни права да бъде предвидено в закон. Така това понятие се отнася до валидността на използването на националното право като правно основание за обработване на лични данни.

52

От една страна обаче, както подчертава генералният адвокат в точка 82 от заключението си, като взема предвид постоянната практика на Европейския съд по правата на човека, Съдът е постановил, че думата „закон“, използвана в член 8, параграф 2 от Хартата в израза „предвидено от закона легитимно основание“, трябва да се разбира в неговото материално, а не формално значение (решение от 16 ноември 2023 г., Roos и др./Парламент, C‑458/22 P, непубликувано, EU:C:2023:871, т. 61). От друга страна, съгласно тази практика на Европейския съд по правата на човека посоченото значение на думата „закон“ в израза „предвидено от закона“, посочен в член 8, параграф 2 от ЕКПЧ, предполага, че тази дума се отнася до действащия текст, тълкуван от компетентните юрисдикции (вж. в този смисъл ЕСПЧ, решение от 23 януари 2025 г., H. W. с/у Франция, CE:ECHR:2025:0123JUD 001380521, § 65).

53

Освен това, както следва от практиката на Съда, макар изискването всяко ограничаване на упражняването на признати от Хартата основни права да е предвидено в закон, да означава, че самият правен акт, който допуска намеса в тези права, трябва да определи обхвата на това ограничение, това изискване все пак не изключва, от една страна, възможността предвиждащата ограничаването правна уредба да бъде формулирана достатъчно широко, за да може да се адаптира към различни хипотези и променящи се обстоятелства, и от друга страна, компетентният съд да може при необходимост да уточни чрез тълкуване конкретния обхват на посоченото ограничение, като вземе предвид както самия текст на акта, така и общата му структура и преследваните с него цели (вж. по аналогия решение от 21 юни 2022 г., Ligue des droits humains, C‑817/19, EU:C:2022:491, т. 114).

54

Следователно понятието „право на държавата членка“ по смисъла на членове 8 и 10 от Директива 2016/680 във връзка с член 8, параграф 2 от Хартата, трябва да се тълкува в смисъл, че може да се отнася до разпоредба, изрично предвиждаща обработването на лични данни в приложното поле на тази директива, тълкувана в съдебната практика на националните юрисдикции.

55

При всички положения, както бе посочено в точка 47 от настоящото решение, член 8, параграф 2 от Директива 2016/680 предвижда, че обработването на лични данни, попадащо в приложното поле на тази директива, е възможно само ако в правото на държава членка, уреждащо това обработване, се посочват най-малко общите цели, личните данни, които се обработват, и целите на обработването.

56

В това отношение следва да се отбележи, от една страна, че препращането към „правото“ на държава членка, „уреждащо“ въпросното обработване, означава, че общите цели, личните данни, които се обработват, и целите на обработването по принцип са предвидени в разпоредба с общо приложение. От друга страна, посоченият член 8, параграф 2 има за цел, както изрично следва от съображение 33 от Директивата, правото на държавата членка, която отговаря за обработването, да е ясно и точно и прилагането му да бъде предвидимо за правните субекти в съответствие с практиката на Съда и на Европейския съд по правата на човека.

57

Съгласно практиката на Европейския съд по правата на човека всяка мярка, която представлява правно основание на обработването на лични данни, трябва да има определени качества, а именно по същество да съответства най-напред на норми от по-висок ранг, след това да бъде достъпна и, накрая, достатъчно предвидима, тоест в разумна степен при обстоятелствата по случая, за да позволи на съответните физически лица да съобразят поведението си, а това предполага тази мярка да определи достатъчно ясно обхвата и условията за упражняване на правомощията, предоставени на компетентните органи (вж. в този смисъл по-специално ЕСПЧ, решение от 26 април 1979 г., Sunday Times с/у Обединено кралство, CE:ECHR:1979:0426JUD00065387, § 25 и 52; ЕСПЧ, решение от 1 юли 2008 г., Liberty и др. с/у Обединеното кралство, CE:ECHR:2008:0701JUD005824300, § 62 и 63; ЕСПЧ, решение от 4 декември 2008 г., S. и Marper с/у Обединено кралство, CE:ECHR:2008:1204JUD003056204, § 95).

58

Също така от практиката на Съда следва, че за да изпълни установеното в член 52 от Хартата изискване да е предвидена в закон, правна уредба, включваща намеса в основните права, гарантирани в членове 7 и 8 от Хартата, трябва да предвижда ясни и точни правила, които да уреждат обхвата и прилагането на разглежданата мярка и да установяват минимални изисквания, така че лицата, чиито лични данни са били засегнати, да разполагат с достатъчни гаранции, позволяващи ефикасна защита на техните лични данни срещу рискове от злоупотреби, както и срещу всякакъв незаконен достъп или използване на тези данни (вж. решения от 8 април 2014 г., Digital Rights Ireland и др., C‑293/12 и C‑594/12, EU:C:2014:238, т. 54, и от 6 октомври 2015 г., Schrems, C‑362/14, EU:C:2015:650, т. 91).

59

Тъй като член 8, параграф 2 от Директива 2016/680 има за цел да гарантира спазването на изискванията, припомнени в точки 56 и 57 от настоящото решение, от това следва, че преследваните цели, съответните лични данни и целите на обработването, попадащи в обхвата на тази директива, трябва да следват достатъчно ясно и точно от самата разпоредба, която урежда това обработване, за да може да се приеме, че то отговаря на изискванията да е предвидено в закон по смисъла на практиката на Европейския съд по правата на човека и на член 52 от Хартата.

60

С оглед на всички гореизложени съображения на третия въпрос следва да се отговори, че членове 8 и 10 от Директива 2016/680 трябва да се тълкуват в смисъл, че що се отнася до събирането, съхранението и изтриването на биометрични и генетични данни, понятието „правото на държава членка“ по смисъла на посочени членове трябва да се разбира като отнасящо се до разпоредба с общо приложение, определяща минималните условия за събирането, съхранението и изтриването на такива данни, тълкувана в практиката на националните юрисдикции, при условие че тази съдебна практика е достъпна и достатъчно предвидима.

По първия въпрос

По допустимостта

61

В писменото си становище Европейската комисия заключава, че първият въпрос е недопустим, тъй като вземането на генетични материали от JH и биометричните му измервания, извършени от чешката полиция, са осъществени на 13 януари 2016 г., тоест преди влизането в сила на Директива 2016/680 на 5 май 2016 г. и преди изтичането на срока за транспониране на тази директива, който съгласно член 63, параграф 1 е 6 май 2018 г.

62

В това отношение следва да се припомни, че Съдът може да откаже да се произнесе по отправеното от национална юрисдикция преюдициално запитване само когато е съвсем очевидно, че исканото тълкуване на правото на Съюза няма никаква връзка с действителността или с предмета на спора в главното производство, когато проблемът е от хипотетично естество или когато Съдът не разполага с необходимите данни от фактическа и правна страна, за да бъде полезен с отговора на поставените му въпроси (решение от 20 март 2025 г., Anib и др., C‑728/22—C‑730/22, EU:C:2025:200, т. 48).

63

В случая член 64 от Директива 2016/680 предвижда, че тя влиза в сила на 5 май 2016 г., а член 63 от тази директива уточнява, че държавите членки трябва да приемат и публикуват законовите, подзаконовите и административните разпоредби, необходими, за да се съобразят с нея, най-късно до 6 май 2018 г.

64

От преписката, с която разполага Съдът, обаче е видно, че личните данни, събрани за JH чрез вземане на генетични проби и биометрични измервания от това лице на 13 януари 2016 г., все още са съхранявани в базите данни на чешката полиция и следователно са обработвани след 6 май 2018 г.

65

Освен в случаите, предвидени в член 4, параграф 2 от Директива 2016/680, от член 4, параграф 1, буква б) от тази директива обаче следва, че личните данни не могат да бъдат обработвани, ако събирането им не е било оправдано от законни цели.

66

Следователно, както подчертава генералният адвокат в точка 34 от заключението си, личните данни, попадащи в обхвата на Директива 2016/680, събрани законно преди влизането ѝ в сила, но които биха нарушили установените в тази директива принципи, ако са били събрани след датата на транспонирането на посочената директива, или при липса на транспониране, след крайния срок за транспонирането ѝ, а именно 6 май 2018 г., не могат да бъдат съхранявани след датата на транспониране на посочената директива или, при липса на транспониране, след крайния срок за транспонирането ѝ.

67

Така в случая не е очевидно, че първият въпрос непременно няма никаква връзка с действителността или с предмета на спора в главното производство или че повдигнатият проблем е от хипотетично естество, с изтъкнатия от Комисията мотив, че той се отнася до биометрични и генетични данни, събрани преди влизането в сила на Директива 2016/680.

68

Освен това, доколкото Съдът разполага с всички необходими фактически и правни обстоятелства, за да бъде полезен с отговора си на първия въпрос, последният трябва да се приеме за допустим.

По същество

69

С първия си въпрос запитващата юрисдикция по същество иска да установи дали член 6 или член 4, параграф 1, буква в) от Директива 2016/680 във връзка с член 10 от посочената директива трябва да се тълкуват в смисъл, че не допускат национална правна уредба, която позволява безразборното събиране на биометрични и генетични данни на всяко лице, срещу което е образувано производство за извършването на умишлено престъпление или които са заподозрени в извършването на такова престъпление.

70

В това отношение, що се отнася, на първо място, до член 6 от Директива 2016/680, следва да се припомни, че този член задължава държавите членки да предвидят „когато е приложимо и доколкото е възможно“, администраторът да прави ясно разграничение между личните данни на различни категории субекти на данни, като посочените в букви а)—г) от посочения член, а именно лица, за които има сериозни основания да се счита, че са извършили или ще извършат престъпление, лица, осъдени за престъпление, лица, пострадали от престъпление или лица, по отношение на които определени факти дават основание да се счита, че може да са пострадали от престъпление, и накрая, трети лица по отношение на престъпление, например лица, които биха могли да бъдат призовани да свидетелстват при разследване на престъпления или при последващи наказателни производства, лица, които могат да предоставят информация за престъпления или свързани лица, или съучастници на някое от лицата, посочени в букви а) и б) от същия член.

71

Съгласно тази разпоредба държавите членки трябва да гарантират, че администраторът, „когато е приложимо и доколкото е възможно“, прави ясно разграничение между данните на различните категории субекти на данни, така че да не им бъде наложена една и съща степен на намеса в основното им право на защита на личните им данни, независимо от категорията, към която принадлежат, като тези категории трябва да бъдат установени основно в зависимост от наказателноправното положение на заинтересованото лице.

72

Както подчертава изразът „когато е приложимо и доколкото е възможно“, съдържащ се в член 6 от Директива 2016/680, задължението за разграничаване на определени категории лица, което този член възлага на държавите членки, не е абсолютно, а зависи по-специално от това дали във всеки отделен случай може да се направи ясно разграничение между тези категории лица (вж. в този смисъл решение от 26 януари 2023 г., Министерство на вътрешните работи (Регистрация на биометрични и генетични данни от полицията), C‑205/21, EU:C:2023:49, т. 84) и от целите на обработването.

73

В случая чешкото правителство поддържа, че посочването от запитващата юрисдикция на категорията на заподозрените лица трябва да се разбира като отнасящо се до лицата, на които в рамките на ускорено досъдебно производство са съобщени подозрения, което в разглежданото в главното производство национално законодателство би изисквало, както за обвиняемите, събирането на достатъчно доказателства за това, че заинтересованите лица са извършили престъпление.

74

Ако случаят е такъв, което запитващата юрисдикция следва да провери, за целите на дадено обработване тези две категории лица биха могли да се считат и двете за попадащи в категорията, посочена в член 6, буква а) от Директива 2016/680, при условие че целите, преследвани със съответното обработване, не изискват да се прави разграничение между посочените две категории.

75

Следователно член 6 от Директива 2016/680 трябва да се тълкува в смисъл, че допуска национална правна уредба, която позволява безразборното събирането на биометрични и генетични данни за лицата, попадащи в категорията на лицата, „привлечени като обвиняеми за извършване на умишлено престъпление“, както и за лицата, които попадат в категорията на лицата, „заподозрени за извършването на такова престъпление“, по смисъла на националното право, когато целите на това събиране не възлагат задължение за разграничаване между тези две категории лица, чиито данни могат да бъдат събирани на основание на това законодателство.

76

Що се отнася, на второ място, до член 4, параграф 1, буква в) от Директива 2016/680 във връзка с член 10 от тази директива, първият от посочените членове предвижда, че личните данни трябва да бъдат подходящи, относими и не надхвърлят необходимото във връзка с целите, за които данните се обработват. Така последното изискване изисква държавите членки да спазват принципа на свеждане до минимум на обработването на лични данни с оглед на общата цел и предназначението на съответното обработване.

77

От своя страна член 10 от тази директива предвижда, че що се отнася до чувствителните лични данни, сред които биометричните и генетичните данни, обработването трябва да отговаря, освен на условието да попада в една от трите хипотези, изчерпателно изброени в букви а)—в), и на други две условия, а именно, от една страна, да са налице подходящи гаранции за правата и свободите на субекта на данните и от друга страна, предвиденото обработване да е абсолютно необходимо.

78

Що се отнася обаче до последното условие, най-напред, то предполага тази необходимост да се преценява особено стриктно с оглед на целите, преследвани с разглежданото обработване, и следователно такова обработване да може да се счита за необходимо само в ограничен брой случаи (вж. в този смисъл решение от 26 януари 2023 г., Министерство на вътрешните работи (Регистрация на биометрични и генетични данни от полицията), C‑205/21, EU:C:2023:49, т. 118).

79

Следователно целите на обработването на биометрични и генетични данни не могат да се определят твърде общо, а трябва да бъдат определени достатъчно точно и конкретно, за да може да се прецени „дали посоченото обработване е „абсолютно необходимо“ (решение от 26 януари 2023 г., Министерство на вътрешните работи (Регистрация на биометрични и генетични данни от полицията), C‑205/21, EU:C:2023:49, т. 124).

80

В това отношение, макар несъмнено Директива 2016/680 да не дава определение на понятието „цели на обработването“, може да се отбележи, че член 8, параграф 2 от тази директива изрично разграничава това понятие от понятието „общи цели на обработването“. Член 4, параграф 1, буква б) от посочената директива обаче предвижда, че целите, преследвани с обработването на лични данни, трябва да бъдат по-специално конкретни и изрично указани и че тези данни не могат да бъдат обработвани по начин, несъвместим с тези цели, докато член 4, параграф 1, буква в) от същата директива предвижда, че именно с оглед на посочените цели се преценява по-специално дали личните данни, които се обработват, са подходящи, относими и не надхвърлят необходимото във връзка с целите на това обработване.

81

Ето защо, от това може да се изведе, че понятието „общи цели на обработването“ по смисъла на член 8, параграф 2, препраща към по-общите цели, посочени в член 1, параграф 1 от Директива 2016/680, които трябва да преследва обработването, за да попада в обхвата на тази директива, докато понятието „цели на обработването“ по смисъла по-специално на член 8, параграф 2 от посочената директива трябва да се разбира като отнасящо се до специфични и конкретни цели, преследвани с обработването на лични данни с оглед на задачата, възложена на администратора, като специфична задача, свързана с предотвратяването и разкриването на престъпленията или с осъществяване на разследването и наказателното преследване на престъпленията или изпълнението на наказанията.

82

По-нататък, като се има предвид, че както следва от съображение 26 от Директива 2016/680 във връзка с принципа на пропорционалност, за нечувствителните лични данни условието за необходимост по смисъла на тази директива е изпълнено, когато целта на съответното обработване не може разумно да се постигне по също толкова ефикасен начин с други средства, които засягат в по-малка степен основните права на субектите на данни, следва да се заключи, че условието, че обработването на чувствителни лични данни трябва да отговаря на абсолютна необходимост, изисква, от своя страна, администраторът да се увери, че такава цел не може да бъде постигната също толкова ефикасно, като се използват категории данни, различни от изброените в член 10 от Директива 2016/680 (вж. в този смисъл решение от 26 януари 2023 г., Министерство на вътрешните работи (Регистрация на биометрични и генетични данни от полицията), C‑205/21, EU:C:2023:49, т. 126).

83

Освен това с оглед на значителните рискове, които поражда обработването на чувствителни лични данни за правата и свободите на субектите на данни, по-специално в контекста на задачите на компетентните органи за целите, посочени в член 1, параграф 1 от Директива 2016/680, условието за „абсолютна необходимост“ налага да се вземе предвид особеното значение на преследваната със съответното обработване цел, като това значение може да се прецени по-специално в зависимост от естеството на тази цел, по-специално фактът, че обработването обслужва специфична и конкретна цел във връзка с предотвратяването на престъпления или заплахи за обществената сигурност с определена степен на тежест, наказването на такива престъпления или защитата срещу такива заплахи, както и с оглед на конкретните обстоятелства, при които се извършва посоченото обработване (вж. в този смисъл решение от 26 януари 2023 г., Министерство на вътрешните работи (Регистрация на биометрични и генетични данни от полицията), C‑205/21, EU:C:2023:49, т. 127).

84

При всички положения, що се отнася до събирането на биометрични и генетични данни на лица, привлечени като обвиняеми за извършване на умишлено престъпление или заподозрени за извършване на такова престъпление за целите на идентификацията и бъдещи съпоставки на тези лица, характерът на абсолютна необходимост на това събиране трябва да отчита всички релевантни данни, каквито са по-специално естеството и тежестта на предполагаемото престъпление, в което е обвинено дадено лице, конкретните обстоятелства във връзка с това престъпление, евентуалната връзка на посоченото престъпление с други висящи производства, предишни деяния или индивидуалният профил на съответните лица (вж. в този смисъл решение от 26 януари 2023 г., Министерство на вътрешните работи (Регистрация на биометрични и генетични данни от полицията), C‑205/21, EU:C:2023:49, т. 132).

85

Накрая, условието за „абсолютна необходимост“ предполага особено строг контрол за спазването на принципа на свеждане до минимум на обработването на съответните данни, прогласен в член 4, параграф 1, буква в) от тази директива (вж. решение от 26 януари 2023 г., Министерство на вътрешните работи (Регистрация на биометрични и генетични данни от полицията), C‑205/21, EU:C:2023:49, т. 125).

86

По-специално, що се отнася до запазването или използването на данни, извлечени от ДНК на дадено лице за целите на идентификацията или съпоставянето, този принцип предполага, че за да се прецени абсолютната необходимост от такова обработване, трябва надлежно да се вземе предвид възможността за изключително използване на полиморфизми, намиращи се в некодиращите зони на ДНК, а именно зони, за които е прието, че не дават информация за етноса или за генетичните болести на тези лица.

87

Следователно, макар държава членка да може да се съобрази с Директива 2016/680 както като възложи на компетентните органи задачата да следят във всеки конкретен случай за спазването на условието всяко обработване на чувствителни лични данни да отговаря на абсолютна необходимост, така и като определи на законодателно равнище критерии за преценка, които органите трябва впоследствие да прилагат при обвързана компетентност, това не променя факта, че във втората хипотеза тези критерии трябва да са от такова естество, че да отговарят на всички изисквания, произтичащи от същото това условие, посочени в точки 77—83 от настоящото решение.

88

Така в решение от 26 януари 2023 г., Министерство на вътрешните работи (Регистрация на биометрични и генетични данни от полицията) (C‑205/21, EU:C:2023:49, т. 135), Съдът е постановил, че национално законодателство, което предвижда системно събиране за целите на регистрацията им на биометрични и генетични данни от всяко лице, привлечено като обвиняем за умишлено престъпление от общ характер, без да предвижда задължение за компетентния орган да провери и докаже, от една страна, че събирането на тези данни е абсолютно необходимо за постигането на конкретните преследвани цели и от друга страна, че тези цели не могат да бъдат постигнати чрез мерки, които засягат в по-малка степен правата и свободите на съответното лице, противоречи на това условие за абсолютна необходимост.

89

При това положение, докато събирането, предвидено в разглежданата правна уредба по делото, по което е постановено това решение, се прилага императивно по отношение на всички лица, привлечени като обвиняеми за умишлени престъпления от общ характер, първият въпрос се отнася до правна уредба, която само предоставя на полицейските органи възможност да събират биометрични и генетични данни по отношение на лицата, привлечени като обвиняеми за извършването на умишлено престъпление или заподозрени в извършване на такова престъпление.

90

Фактът обаче, че правна уредба предоставя такава възможност на полицейските служби, не означава, че правото на съответната държава членка позволява това системно събиране, което да може да се извършва в нарушение по-специално на принципа на свеждане до минимум на обработването на съответните данни, прогласен в член 4, параграф 1, буква в) от Директива 2016/680, или на условието съответното обработване да отговаря на абсолютна необходимост, предвидена в член 10 от тази директива, при условие че това право това право, включително практиката на националните съдилища, определя по подходящ и достатъчно точен начин целите, преследвани с такова обработване на биометрични и генетични данни, т.е. специфичните и конкретните цели, преследвани с обработването на лични данни с оглед на възложената на администратора задача, и тази възможност се упражнява в съответствие с изискванията, изложени в точки 77—83 от настоящото решение.

91

Така от представените на Съда данни е видно, че в случая националната съдебна практика поставя определени изисквания, чиято цел е да се гарантира спазването на този принцип, като задължението на полицията, преди да вземе проба от ДНК, да вземе предвид по-специално съдебното минало на извършителя на престъплението, тежестта му в зависимост от вида на съответното престъпление и конкретните обстоятелства по него, налагащи вземането на проба, както и личността на извършителя на деянието.

92

При това положение националните юрисдикции следва да проверяват във всеки отделен случай дали събирането е извършено от полицейските служби в нарушение на принципите, уреждащи обработването на лични данни, прогласени в член 4 от Директива 2016/680, и на специалните изисквания, приложими към обработването на чувствителни лични данни, посочени в член 10 от тази директива, тълкувани в светлината на членове 7 и 8 от Хартата.

93

В това отношение следва също да се подчертае, че само по себе си обстоятелството, че престъплението, в което е обвинено съответното лице, има икономически характер и че събирането на биометричните и генетичните данни на това лице се извършва, преди то да бъде осъдено с влязла в сила присъда, не е достатъчно, за да се изключи възможността това събиране да се счита за отговарящо на абсолютна необходимост, тъй като с оглед на преследваните цели посоченото събиране, включително с оглед на вида на съответните данни, може да се окаже абсолютно необходимо, по-специално за да се определи дали поради евентуалната си принадлежност към престъпна организация посоченото лице може да е участвало в други престъпления, за които биха могли да са релевантни данни от този вид, или ако съществува риск от укриване, да се позволи идентифицирането му.

94

С оглед на всички гореизложени обстоятелства на първия въпрос следва да се отговори, че член 6 и член 4, параграф 1, буква в) във връзка с член 10 от Директива 2016/680 трябва да се тълкуват в смисъл, че допускат национална правна уредба, която позволява безразборното събиране на биометрични и генетични данни на всяко лице, срещу което е образувано производство за извършването на умишлено престъпление или които са заподозрени в извършването на такова престъпление, при условие че, от една страна, целите на това събиране не възлагат задължение за разграничаване между тези две категории лица и че, от друга страна, администраторите на данни са длъжни в съответствие с национална правна уредба, включително практиката на националните съдилища, да спазват всички конкретни принципи и изисквания, съдържащи се в членове 4 и 10 от посочената директива.

По втория въпрос

95

В самото начало следва да се отбележи, че макар във формулировката на втория въпрос запитващата юрисдикция да посочва национална правна уредба, която води до това, че в повечето случаи съответните лични данни се съхраняват за „неопределен период от време“, от преписката по делото, с която разполага Съдът, е видно, че под „неопределен период от време“ тази юрисдикция в крайна сметка има предвид обстоятелството, че не е определен какъвто и да било максимален срок за съхранение, а не обстоятелството, че такова съхранение е било неограничено във времето.

96

Ето защо, следва да се разбира, че с втория си въпрос запитващата юрисдикция по същество иска да се установи дали член 4, параграф 1, буква д) от Директива 2016/680 трябва да се тълкува в смисъл, че не допуска национална правна уредба, по силата на която необходимостта от продължаващо съхранение на биометрични и генетични данни се преценява от полицейските служби въз основа на вътрешни правила, без тази правна уредба да предвижда максимален срок за съхранение.

97

В това отношение член 4, параграф 1, буква д) от Директива 2016/680 гласи, че държавите членки предвиждат, че личните данни са съхранявани във вид, който позволява идентифицирането на субектите на данните за период, не по-дълъг от необходимия за целите, за които тези данни се обработват.

98

Що се отнася, на първо място, до обстоятелството, че съответната национална правна уредба не предвижда максимален срок на съхранение, следва да се припомни, че в съответствие с изискванията на член 4, параграф 1, буква д) от Директива 2016/680, член 5 от тази директива задължава държавите членки да предвидят подходящи срокове за изтриване на личните данни или за редовна проверка на необходимостта от съхранение на тези данни, както и на процесуалните правила, позволяващи да се гарантира спазването на тези срокове.

99

За сметка на това член 5 от посочената директива оставя на държавите членки да определят посочените срокове, доколкото те са „подходящи“, и да решат дали те се отнасят до заличаването на посочените данни или до редовната проверка на необходимостта от съхранението им.

100

Несъмнено член 4, параграф 1, буква д) и член 5 от Директива 2016/680 трябва да се разглеждат във връзка по-специално с член 10 от нея, поради което съхранението на биометрични или генетични данни трябва да отговаря на абсолютна необходимост и да предоставя подходящи гаранции за правата и свободите на субекта на данните.

101

Когато обаче държава членка определя подходящи срокове за периодична проверка на необходимостта от съхранение на лични данни и когато по повод тази проверка трябва да се прецени абсолютната необходимост от продължаване на това съхранение, трябва да се приеме, че правото на съответната държава членка отговаря на тези изисквания. Така, дори когато съхранените данни са чувствителни лични данни, държавата членка не е длъжна да определя абсолютни срокове за съхранението на тези данни, след изтичането на които те автоматично трябва да бъдат заличени (вж. в този смисъл решение от 30 януари 2024 г., Директор на Главна дирекция „Национална полиция“ при МВР — София, C‑118/22, EU:C:2024:97, т. 52).

102

За сметка на това, за да са подходящи сроковете за такава периодична проверка, е необходимо, от една страна, съгласно член 4, параграф 1, букви в) и д) от Директива 2016/680 във връзка с член 52, параграф 1 от Хартата, съхранените до този момент лични данни да бъдат изтрити при условията, предвидени в член 16, параграфи 2 и 3 от тази директива, ако при някоя от извършените проверки съхранението на същите данни вече не изглежда абсолютно необходимо и поради това се оказва прекомерно с оглед на преследваните цели (вж. в този смисъл решение от 30 януари 2024 г., Директор на Главна дирекция „Национална полиция“ при МВР — София, C‑118/22, EU:C:2024:97, т. 45, 48 и 50 и цитираната съдебна практика).

103

От друга страна, с оглед на изискванията, предвидени в член 4, параграф 1, буква в) от Директива 2016/680, всички лични данни да бъдат подходящи, релевантни и да не са прекомерни с оглед на целите, за които се обработват, на обстоятелството, че тази разпоредба и член 8 от посочената директива трябва да се тълкуват с оглед на изискванията, произтичащи от член 52 от Хартата, както и на предвиденото в член 6 от посочената директива задължение на администратора, при необходимост, да направи ясно разграничение между личните данни на различните категории субекти на данни, тези срокове за проверка не могат да се считат за подходящи, ако промените в наказателноправното положение на субекта на данните, считани за релевантни с оглед на преследваната с това съхранение цел, не водят до задължение за администратора да преразгледа в разумен срок необходимостта от съхранение на данните на това лице.

104

Що се отнася, на второ място, до обстоятелството, че необходимостта от продължаващо съхранение на биометрични и генетични данни се преценява от полицейските служби въз основа на вътрешни правила, това обстоятелство само по себе си не противоречи на член 8, параграф 2 от Директива 2016/680, доколкото тези вътрешни правила задължават въпросните служби да следят за спазването на условието, свързано с наличието на абсолютна необходимост от съхранение на тези данни, и че свободата на преценка на тези служби е достатъчно уредена в националното право, включително в практиката на националните съдилища.

105

Всъщност, макар обстоятелството, че правилата са вътрешни и следователно недостъпни за всички лица, чийто лични данни подлежат на обработване, да има за последица, че компетентните органи не могат да се позовават на тези правила, за да докажат, че спазват наложените с тях изисквания, това обстоятелство обаче не води автоматично до незаконосъобразност на обработването на лични данни, решено с оглед на тези правила, но предполага, че при необходимост в случай на обжалване на решението за обработване, независимо от тези вътрешни правила полицейските служби трябва да установят пред компетентната юрисдикция, че условието за „абсолютна необходимост“ е надлежно спазено.

106

В случая, от една страна, според чешкото правителство от член 65, параграф 5 от Закона за чешката полиция следва по-специално, като запитващата юрисдикция следва да извърши съответните проверки, че ДНК профилите на лицата, привлечени като обвиняеми за извършването на умишлено престъпление или заподозрени в извършване на такова престъпление, трябва бъдат изтрити, когато съхранението им вече не е необходимо с оглед на преследваните цели, а именно когато съответните лица престанат да бъдат обвиняеми или заподозрени и нямат това качество в друго наказателно производство или преди това не са извършвали други престъпления.

107

В това отношение обаче следва да се припомни, че съхранението на биометрични и генетични данни може да се счита за отговарящо на изискването да бъде разрешено само „когато това е абсолютно необходимо“ по смисъла на член 10 от Директива 2016/680 само ако отчита не само евентуалната връзка на субекта на данни с други висящи производства, миналото, предишни деяния или индивидуалния му профил, но и естеството и тежестта на престъплението, довело осъждането му с влязла в сила присъда, или други обстоятелства, като конкретния контекст, в който е извършено престъплението (вж. в този смисъл решение от 30 януари 2024 г., Директор на Главна дирекция „Национална полиция“ при МВР — София, C‑118/22, EU:C:2024:97, т. 67).

108

От друга страна, макар чешкото право да не предвижда максимален срок на съхранение на личните данни, събрани на основание член 65, параграф 1 от Закона за чешката полиция, член 82, параграф 1 от този закон все пак задължава полицейските органи да проверяват най-малко веднъж на всеки три години дали съхранението на тези данни все още е необходимо за изпълнението на техните задачи.

109

При това положение запитващата юрисдикция следва да определи дали с оглед на целите, преследвани със съхранението на съответните биометрични и генетични данни, такъв тригодишен срок за проверка може да се счита за подходящ, като все пак следва да се уточни, че в противен случай изтриването на тези данни все пак не се изисква, ако се установи, че във всички случаи съхранението им продължава да е абсолютно необходимо.

110

С оглед на всички гореизложени съображения на втория въпрос следва да се отговори, че член 4, параграф 1, буква д) от Директива 2016/680 трябва да се тълкува в смисъл, че допуска национална правна уредба, по силата на която необходимостта от продължаващо съхранение на биометрични и генетични данни се преценява от полицейските служби въз основа на вътрешни правила, без тази правна уредба да предвижда максимален срок на съхранение, при условие че въпросната правна уредба предвижда подходящи срокове за редовна проверка на необходимостта от съхранение на тези данни и по повод тази проверка се преценява абсолютната необходимост от продължаване на това съхранение.

По съдебните разноски

111

С оглед на обстоятелството, че за страните по главното производство настоящото дело представлява отклонение от обичайния ход на производството пред запитващата юрисдикция, последната следва да се произнесе по съдебните разноски. Разходите, направени за представяне на становища пред Съда, различни от тези на посочените страни, не подлежат на възстановяване.

1)

Членове 8 и 10 от Директива (ЕС) 2016/680 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания и относно свободното движение на такива данни, и за отмяна на Рамково решение 2008/977/ПВР на Съвета

2)

Член 6 и член 4, параграф 1, буква в) от Директива 2016/680 във връзка с член 10 от тази директива

3)

Член 4, параграф 1, буква д) от Директива 2016/680