–

JH ved advokáti M. Mandzák, L. Nezpěvák og L. Trojan,

–

den tjekkiske regering ved M. Smolek, O. Serdula, J. Vláčil, T. Suchá og L. Březinová, som befuldmægtigede,

–

Irland ved Chief State Solicitor M. Browne, A. Joyce og D. O’Reilly, som befuldmægtigede, bistået af A. Mulligan, BL,

–

den nederlandske regering ved J. Langer, som befuldmægtiget,

–

den polske regering ved B. Majczyna, som befuldmægtiget,

–

Europa-Kommissionen ved A. Bouchagiar, H. Kranenborg, P. Němečková og F. Wilman, som befuldmægtigede,

1

Anmodningen om præjudiciel afgørelse vedrører fortolkningen af artikel 4, stk. 1, litra c) og e), artikel 6, artikel 8, stk. 2, og artikel 10 i Europa-Parlamentets og Rådets direktiv (EU) 2016/680 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger og om ophævelse af Rådets rammeafgørelse 2008/977/RIA (EUT 2016, L 119, s. 89).

2

Denne anmodning er blevet indgivet i forbindelse med en tvist mellem JH og Policejní prezidium (politidirektoratet, Den Tjekkiske Republik) (herefter »det tjekkiske politidirektorat«) vedrørende bl.a. indsamling af biometriske og genetiske data vedrørende JH i forbindelse med en straffesag samt det tjekkiske politis opbevaring af disse data.

Retsforskrifter

EU-retten

3

1., 2., 26., 33., 37. og 96. betragtning til direktiv 2016/680 har følgende ordlyd:

4

Dette direktivs artikel 1 med overskriften »Genstand og formål« bestemmer i stk. 1 følgende:

5

Det nævnte direktivs artikel 2, der har overskriften »Anvendelsesområde«, bestemmer i stk. 1 følgende:

6

Samme direktivs artikel 3 med overskriften »Definitioner« har følgende ordlyd:

7

I artikel 4 i direktiv 2016/680 med overskriften »Principper for behandling af personoplysninger« præciseres i stk. 1 følgende:

8

Dette direktivs artikel 5 med overskriften »Tidsfrister for opbevaring og revision« er affattet således:

9

Direktivets artikel 6, der har overskriften »Sondring mellem forskellige kategorier af registrerede«, foreskriver følgende:

10

Samme direktivs artikel 8 med overskriften »Lovlig behandling« bestemmer følgende:

11

Artikel 10 i direktiv 2016/680 med overskriften »Behandling af særlige kategorier af personoplysninger« har følgende ordlyd:

12

Medlemsstaterne skulle i henhold til dette direktivs artikel 63, stk. 1, senest den 6. maj 2018 vedtage og offentliggøre de nødvendige love og administrative bestemmelser for at efterkomme direktivet. Desuden har medlemsstaterne været forpligtet til at anvende disse bestemmelser fra samme dato.

13

I henhold til samme direktivs artikel 64 trådte direktivet i kraft den 5. maj 2016.

Tjekkisk ret

14

§ 11 i zákon č. 273/2008 Sb., o Policii České republiky (lov nr. 273/2008 om Den Tjekkiske Republiks politi) i den affattelse, der finder anvendelse på tvisten i hovedsagen (herefter »den tjekkiske politilov«), har overskriften »Handlingernes forholdsmæssighed« og bestemmer følgende:

15

Den tjekkiske politilovs § 65 fastsætter følgende:

16

Denne lovs § 79 med overskriften »Grundlæggende bestemmelser om behandling af personoplysninger i forbindelse med udførelsen af bestemte politiopgaver« bestemmer følgende:

17

Den nævnte lovs § 82 med overskriften »Kontrol af behovet for en fortsat behandling af personoplysninger« er affattet således:

Tvisten i hovedsagen og de præjudicielle spørgsmål

18

Ved afgørelse af 11. december 2015 indledte enheden for afsløring af korruption og økonomisk kriminalitet under kriminalpolitiets efterforskningsgruppe ved afdelingen i Plzeň (Den Tjekkiske Republik), som er en enhed under det tjekkiske politi med national kompetence, en strafferetlig retsforfølgning af JH for en lovovertrædelse i form af en tilsidesættelse af en forpligtelse ved forvaltningen af tredjemands formue.

19

Indledningsvis afhørte det tjekkiske politi den 13. januar 2016 JH som led i den pågældende straffesag og traf afgørelse om og gennemførte følgende identifikationshandlinger på trods af JH’s uenighed: Der blev taget fingeraftryk af JH og udtaget et mundskrab fra ham, på grundlag af hvilket der blev udarbejdet en genetisk profil, og der blev taget fotografier og udarbejdet en beskrivelse af JH. Efterfølgende registrerede politiet disse oplysninger i de tilsvarende databaser.

20

Ved dom af 15. marts 2017 fastslog Městský soud v Praze (byretten i Prag, Den Tjekkiske Republik), at JH havde begået en lovovertrædelse i form af medvirken til en tilsidesættelse af en forpligtelse ved forvaltningen af tredjemands formue samt en lovovertrædelse i form af magtmisbrug fra en tjenestemands side. Denne ret idømte JH en betinget frihedsstraf på tre år og et forbud mod at varetage ledelsesopgaver i den offentlige forvaltning i fire år, herunder forvaltning af fast ejendom og løsøre, og han blev ligeledes pålagt at betale erstatning for den lidte skade i det omfang, det var ham muligt.

21

Den 8. marts 2016 anlagde JH sag ved Městský soud v Praze (byretten i Prag) med påstand om at få fastslået, at foretagelsen af identifikationshandlingerne i henhold til den tjekkiske politilovs § 65, opbevaringen af de opnåede oplysninger og prøver samt registreringen heraf i det tjekkiske politis databaser udgjorde et ulovligt indgreb i hans grundlæggende ret til respekt for privatlivet.

22

Městský soud v Praze (byretten i Prag) udsatte behandlingen af den af JH anlagte sag, eftersom den allerede havde forelagt Ústavní soud (Den Tjekkiske Republiks forfatningsdomstol) en anmodning om en vurdering af forfatningsmæssigheden af den tjekkiske politilovs § 65.

23

Ved afgørelse af 22. marts 2022 forkastede Ústavní soud (forfatningsdomstolen) den af Městský soud v Praze (byretten i Prag) indgivne anmodning om, at det blev fastslået, at den tjekkiske politilovs § 65 var forfatningsstridig. Efter denne afgørelse genoptog sidstnævnte ret behandlingen af det af JH anlagte søgsmål.

24

Ved dom af 23. juni 2022 gav Městský soud v Praze (byretten i Prag) JH medhold i hans søgsmål, idet den fastslog, at de handlinger, som det tjekkiske politi havde foretaget den 13. januar 2016, var ulovlige. Denne ret pålagde derfor det tjekkiske politi at slette alle de personoplysninger, der stammede fra disse handlinger, fra dets databaser.

25

I denne dom fremhævede denne ret, at udtagelsen af genetisk materiale udgjorde et betydeligt indgreb i den pågældendes grundlæggende ret til respekt for privatlivet, som bl.a. er beskyttet i artikel 8 i den europæiske konvention til beskyttelse af menneskerettigheder og grundlæggende frihedsrettigheder, undertegnet i Rom den 4. november 1950 (herefter »EMRK«), og i § 10, stk. 3, i Listina základních práv a svobod (Den Tjekkiske Republiks charter om grundlæggende rettigheder og frihedsrettigheder). Den tjekkiske politilovs § 65 indeholder imidlertid ikke tilstrækkelige retningslinjer for vurdering af dette indgrebs forholdsmæssige karakter. Den eneste kontrol, som denne § 65 kræver, er nemlig, at det tjekkiske politi, inden det foretager en sådan udtagelse, kontrollerer den begåede lovovertrædelses »forsætlige« karakter.

26

Den samme ret anførte i øvrigt, at JH kun var blevet retsforfulgt for at have begået en forseelse, dvs. en mindre grov strafbar handling, at hans frihedsstraf var betinget – hvilket bekræftede, at de foreholdte forhold var mindre alvorlige – at han aldrig tidligere var blevet dømt i en straffesag, og at det var meget lidt sandsynligt, at han ville begå en ny strafbar handling, og at det ikke var sikkert, at de begåede lovovertrædelser hørte til de forseelser, hvis gerningsmænd i fremtiden ville begå en strafbar handling, som de personoplysninger, der blev opbevaret i databaserne, kunne bidrage til at identificere. Den udledte heraf, at de identifikationshandlinger, som det tjekkiske politi havde foretaget, og som er genstand for tvisten i hovedsagen, ikke opfyldte kravet om forholdsmæssighed.

27

Det tjekkiske politidirektorat har iværksat en kassationsanke til prøvelse af denne dom ved Nejvyšší správní soud (øverste domstol i forvaltningsretlige sager, Den Tjekkiske Republik), som er den forelæggende ret.

28

Det tjekkiske politidirektorat har til støtte for sin appel gjort gældende, at formålet med behandlingen af personoplysninger er klart angivet i den tjekkiske politilovs § 65. Den har ligeledes gjort gældende, at de kompetente enheder i det tjekkiske politi har vurderet, om indsamlingen og opbevaringen af JH’s personoplysninger var forholdsmæssig under hensyntagen til muligheden for nye strafbare handlinger, muligheden for grovere forseelser og den omstændighed, at JH tidligere havde begået adskillige forseelser.

29

Som svar herpå har JH bl.a. anført, at det tjekkiske politi har foretaget identifikationshandlingerne uden først at have undersøgt, om det pågældende indgreb var forholdsmæssigt. JH har ligeledes kritiseret den manglende offentliggørelse af det tjekkiske politis instrukser vedrørende identifikationshandlinger.

30

Den forelæggende ret har fremhævet, at i henhold til dens seneste praksis er den blotte overholdelse af de formelle krav i den tjekkiske politilovs § 65, stk. 1 – navnlig kravet om kvalificering som »forsætlig« strafbar handling – ikke tilstrækkelig til, at indsamlingen og opbevaringen af de personoplysninger, der er omhandlet i denne artikel, kan anses for at være lovlig. Politiet er således forpligtet til at vurdere forholdsmæssigheden af udtagelsen i hvert enkelt konkret tilfælde under hensyntagen til bl.a. den registreredes kriminelle fortid, personlighed og adfærd, grovheden af den strafbare handling, som denne person er blevet indkaldt til med henblik på gennemførelse af identifikationshandlinger, samt, i forbindelse med en efterfølgende anmodning om sletning, den periode, der er gået, siden den strafbare handling blev begået.

31

I henhold til denne retspraksis har de nationale retter konkluderet, at identifikationshandlinger såsom indsamling af biometriske og genetiske data var ulovlige, bl.a. i tilfælde af lovovertrædelser, der ikke indebar nogen form for vold, og som var begået af personer, der aldrig var blevet dømt.

32

Det er i denne sammenhæng, at den forelæggende ret stiller det spørgsmål, om den retlige ordning, der er fastsat den tjekkiske politilovs § 65, er forenelig med direktiv 2016/680.

33

I første omgang ønsker den forelæggende ret oplyst, om de krav, der er opstillet i dette direktiv, er til hinder for en udifferentieret indsamling af biometriske og genetiske data for enhver person, der mistænkes for at have begået en forsætlig strafbar handling.

34

For det første følger det af Den Europæiske Menneskerettighedsdomstols praksis vedrørende den grundlæggende ret til respekt for privatlivet, således som sikret ved EMRK’s artikel 8, at de kontraherende parter er forpligtet til at sondre mellem de strafbare handlinger, for hvilke der indsamles prøver af deoxyribonukleinsyre (DNA), i forhold til deres grovhed for samfundet. De kontraherende parter kan ikke behandle gerningsmænd til alvorlige strafbare handlinger såsom dem, der begås med vold, hvor udtagelse og opbevaring af DNA-prøver er legitime, på samme måde som gerningsmænd til mindre alvorlige strafbare handlinger.

35

For det andet rejser de krav, der følger af proportionalitetsprincippet – såsom navnlig det krav, der i anvendelsesområdet for direktiv 2016/680 er konkretiseret i form af princippet om minimering af behandlingen af oplysninger og forpligtelsen til at sondre mellem forskellige kategorier af registrerede, der er fastsat i henholdsvis dette direktivs artikel 4, stk. 1, litra c), og dets artikel 6 – en række spørgsmål om, hvorvidt det er tilstrækkeligt at fastsætte abstrakte sondringer på lovgivningsniveau ud fra bl.a. de påtænkte lovovertrædelsers grovhed, eller om det er nødvendigt i hvert enkelt specifikt tilfælde konkret at vurdere, om en opkrævning er forholdsmæssig.

36

I anden omgang ønsker den forelæggende ret oplyst, om de krav, der er opstillet i direktiv 2016/680, er til hinder for opbevaring af biometriske og genetiske data, uden at der udtrykkeligt er fastsat en tidsmæssig begrænsning herfor. I øvrigt er der ikke i de gældende nationale retsforskrifter fastsat nogen øvre grænse for varigheden af opbevaringen af identifikationsdata. Ifølge den forelæggende rets fortolkning af Den Europæiske Menneskerettighedsdomstols praksis kræver denne imidlertid, at der fastsættes en sådan øvre grænse.

37

I tredje omgang ønsker den forelæggende ret oplyst, om de tjekkiske forvaltningsdomstoles praksis kan kvalificeres som »medlemsstaternes nationale ret« som omhandlet i artikel 8 i direktiv 2016/680, der fastsætter betingelserne for lovlig behandling af personoplysninger.

38

Den tjekkiske politilovs § 65 præciserer nemlig hverken de konkrete betingelser for opbevaring og de typer af oplysninger, der kan udtrækkes fra den udtagne prøve, eller betingelserne for opbevaring og sletning af biometriske og genetiske data, hvorfor denne bestemmelse ikke i sig selv kan opfylde kravene i artikel 8, stk. 2, i direktiv 2016/680, sammenholdt med direktivets artikel 10.

39

Ganske vist suppleres denne § 65 af instrukser fra den øverste politichef, der gennemfører denne bestemmelse, men da disse instrukser hverken er retsforskrifter eller er offentliggjort, kan de under ingen omstændigheder anerkendes som »medlemsstaternes nationale ret« som omhandlet i artikel 8, stk. 2, i direktiv 2016/680.

40

Det spørgsmål rejser sig derfor, om medlemsstaternes nationale ret kan anses for at fastsætte tilstrækkelige materielle og proceduremæssige garantier for behandlingen af følsomme oplysninger som omhandlet i dette direktivs artikel 10, såsom biometriske og genetiske data, når disse garantier er indført ved retspraksis.

41

På denne baggrund har Nejvyšší správní soud (øverste domstol i forvaltningsretlige sager) besluttet at udsætte sagen og at forelægge Domstolen følgende præjudicielle spørgsmål:

Om de præjudicielle spørgsmål

Det tredje spørgsmål

42

Med sit tredje spørgsmål, som skal behandles først, ønsker den forelæggende ret nærmere bestemt oplyst, om artikel 8 og 10 i direktiv 2016/680 skal fortolkes således, at begrebet »medlemsstaternes nationale ret« som omhandlet i disse bestemmelser for så vidt angår indsamling, opbevaring og sletning af biometriske og genetiske data skal forstås som alene omfattende en almengyldig bestemmelse, der fastsætter minimumsbetingelserne for indsamling, opbevaring og sletning af sådanne data, eller om de nationale retters praksis, hvori disse betingelser præciseres, ligeledes kan henhøre under dette begreb.

43

Det skal hertil bemærkes, at i henhold til artikel 3, nr. 2), i direktiv 2016/680, sammenholdt med artikel 3, nr. 12) og 13), heri, udgør indsamling, opbevaring og sletning af biometriske og genetiske data behandling af personoplysninger i dette direktivs forstand.

44

Artikel 4 i direktiv 2016/680 fastsætter forskellige principper, som disse behandlinger er underlagt, og som, således som det fremgår af første og anden betragtning til dette direktiv, afspejler den måde, hvorpå EU-lovgiver inden for de grænser, der er fastsat i chartrets artikel 52, i forhold til disse behandlinger har haft til hensigt at konkretisere den grundlæggende ret for fysiske personer til beskyttelse af deres personoplysninger, der er anerkendt i chartrets artikel 8 – hvilken bestemmelse selv er tæt knyttet til retten til respekt for privatlivet, der er fastsat i chartrets artikel 7 – under hensyntagen til den særlige karakter af aktiviteter til forebyggelse, efterforskning, afsløring og retsforfølgning af strafbare handlinger eller fuldbyrdelse af en strafferetlig sanktion.

45

Blandt disse principper fastsætter artikel 4, stk. 1, litra a), i direktiv 2016/680, at alle personoplysninger skal behandles lovligt og rimeligt.

46

Det præciseres i denne henseende i artikel 8, stk. 1, i direktiv 2016/680, at medlemsstaterne skal fastsætte bestemmelser om, at behandling af personoplysninger, der er omfattet af dette direktivs anvendelsesområde, kun er lovlig, hvis og i det omfang denne behandling er nødvendig, for at en kompetent myndighed kan udføre en opgave med henblik på artikel 1, stk. 1, og at den sker på grundlag af EU-retten eller medlemsstaternes nationale ret.

47

I henhold til samme direktivs artikel 8, stk. 2, er behandling af sådanne oplysninger desuden kun mulig, hvis den bestemmelse i medlemsstaternes nationale ret, der regulerer denne behandling, som minimum angiver målene med denne behandling, de personoplysninger, der skal behandles, og formålene med behandlingen.

48

Hvad angår visse kategorier af personoplysninger, såsom biometriske eller genetiske data, har artikel 10 i direktiv 2016/680 til formål at sikre dem en øget beskyttelse ved at fastsætte skærpede betingelser for lovligheden af behandlingen af sådanne oplysninger (jf. i denne retning dom af 30.1.2024, Direktor na Glavna direktsia »Natsionalna politsia« pri MVR – Sofia, C-118/22, EU:C:2024:97, præmis 48, og af 4.10.2024, Bezirkshauptmannschaft Landeck (Forsøg på adgang til personoplysninger lagret på en mobiltelefon), C-548/21, EU:C:2024:830, præmis 107). Som fremhævet i 37. betragtning til dette direktiv er disse kategorier af oplysninger nemlig i kraft af deres karakter særligt følsomme i forhold til grundlæggende rettigheder og frihedsrettigheder, eftersom den sammenhæng, hvori sådanne oplysninger behandles, kan indebære betydelige risici for de registreredes rettigheder og frihedsrettigheder.

49

I henhold til artikel 10 i direktiv 2016/680 skal enhver behandling af personoplysninger, der henhører under en af de kategorier, der er udtømmende opregnet i denne artikel (herefter »følsomme personoplysninger«), således være hjemlet i EU-retten eller medlemsstaternes nationale ret.

50

Det følger heraf, at artikel 8 og 10 i direktiv 2016/680 har til formål at præcisere rækkevidden af visse af de principper, der er fastsat i dette direktivs artikel 4, som på det område, der er omfattet af nævnte direktiv, bl.a. konkretiserer fysiske personers grundlæggende ret til beskyttelse af deres personoplysninger, som er anerkendt i chartrets artikel 8.

51

Begrebet »medlemsstaternes nationale ret«, der er anvendt i disse artikler 8 og 10, skal derfor forstås således, at det på det område, der er omfattet af direktiv 2016/680, udmønter betingelsen i chartrets artikel 8, stk. 2, hvorefter enhver behandling af personoplysninger, der ikke foretages på grundlag af den pågældendes samtykke, skal foretages på et andet berettiget ved lov fastsat grundlag, hvilken betingelse blot afspejler det krav, der er opstillet i chartrets artikel 52, hvorefter enhver begrænsning i udøvelsen af de grundlæggende rettigheder, der anerkendes ved chartret, skal være fastlagt i lovgivningen. Dette begreb vedrører således gyldigheden af anvendelsen af national ret som retsgrundlag for en behandling af personoplysninger.

52

Som generaladvokaten har fremhævet i punkt 82 i forslaget til afgørelse, har Domstolen imidlertid for det første – under hensyntagen til Den Europæiske Menneskerettighedsdomstols faste praksis – fastslået, at ordet »lov« i chartrets artikel 8, stk. 2, i udtrykket »ved lov fastsat grundlag« skal forstås i dets materielle og ikke dets formelle betydning (dom af 16.11.2023, Roos m.fl. mod Parlamentet, C-458/22 P, ikke trykt i Sml., EU:C:2023:871, præmis 61). For det andet følger det af denne praksis fra Den Europæiske Menneskerettighedsdomstol, at den nævnte betydning af ordet »lov« i udtrykket »i overensstemmelse med loven« i EMRK’s artikel 8, stk. 2, indebærer, at dette ord henviser til den gældende tekst, således som de kompetente retter har fortolket det (jf. i denne retning Menneskerettighedsdomstolens dom af 23.1.2025, H.W. mod Frankrig, CE:ECHR:2025:0123JUD 001380521, præmis 65).

53

Det følger i øvrigt af Domstolens praksis, at selv om kravet om, at enhver begrænsning i udøvelsen af de ved chartret anerkendte grundlæggende rettigheder skal være fastlagt i lovgivningen, indebærer, at den retsakt, som tillader et indgreb i disse rettigheder, selv skal definere rækkevidden af denne begrænsning, udelukker dette krav imidlertid ikke, at den pågældende begrænsning for det første er formuleret i tilstrækkeligt brede vendinger til, at den kan tilpasses forskellige scenarier og ændrede situationer, og for det andet, at den kompetente ret i givet fald ved fortolkning kan præcisere den nævnte begrænsnings konkrete rækkevidde i forhold til såvel selve denne retsakts ordlyd, der tillader et indgreb, som dens almindelige opbygning og de formål, som den pågældende begrænsning forfølger (jf. analogt dom af 21.6.2022, Ligue des droits humains, C-817/19, EU:C:2022:491, præmis 114).

54

Begrebet »medlemsstaternes nationale ret« som omhandlet i artikel 8 og 10 i direktiv 2016/680, sammenholdt med chartrets artikel 8, stk. 2, skal derfor forstås således, at det kan henvise til en bestemmelse, der udtrykkeligt omhandler en behandling af personoplysninger, der henhører under dette direktivs anvendelsesområde, således som fortolket i de nationale retters praksis.

55

Som anført i denne doms præmis 47 fastsætter artikel 8, stk. 2, i direktiv 2016/680 under alle omstændigheder, at en behandling af personoplysninger, der er omfattet af dette direktivs anvendelsesområde, kun er mulig, hvis medlemsstaternes nationale ret, der regulerer denne behandling, som minimum angiver målene med behandlingen, de personoplysninger, der skal behandles, og formålene med behandlingen.

56

For det første skal det i denne henseende bemærkes, at henvisningen til »medlemsstaternes nationale ret«, der »regulerer« den pågældende behandling, indebærer, at målene, de personoplysninger, der skal behandles, og formålene i det mindste i princippet er fastsat i en almengyldig bestemmelse. For det andet har denne artikel 8, stk. 2, således som det udtrykkeligt fremgår af 33. betragtning til direktiv 2016/680, til formål at sikre, at den behandlingsansvarlige medlemsstats nationale ret er klar og præcis, og at dens anvendelse er forudsigelig for borgerne i overensstemmelse med Domstolens og Den Europæiske Menneskerettighedsdomstols praksis.

57

Ifølge Den Europæiske Menneskerettighedsdomstols praksis skal enhver foranstaltning, der udgør retsgrundlaget for en behandling af personoplysninger, have visse egenskaber, nemlig i det væsentlige at den først skal være i overensstemmelse med de trinhøjere bestemmelser, dernæst skal være tilgængelig og endelig skal være tilstrækkeligt forudsigelig – dvs. i et efter sagens omstændigheder rimeligt omfang – til at gøre det muligt for de berørte personer at tilpasse deres adfærd, hvilket forudsætter, at denne foranstaltning med tilstrækkelig klarhed definerer omfanget af og betingelserne for udøvelsen af den beføjelse, som er tillagt de kompetente myndigheder (jf. i denne retning bl.a. Menneskerettighedsdomstolens dom af 26.4.1979, Sunday Times mod Det Forenede Kongerige, CE:ECHR:1979:0426JUD00065387, §§ 25 og 52; Menneskerettighedsdomstolens dom af 1.7.2008, Liberty m.fl. mod Det Forenede Kongerige, CE:ECHR:2008:0701JUD005824300, §§ 62 og 63; Menneskerettighedsdomstolens dom af 4.12.2008, S. og Marper mod Det Forenede Kongerige, CE:ECHR:2008:1204JUD003056204, § 95).

58

Det fremgår ligeledes af Domstolens praksis, at en lovgivning, der indebærer et indgreb i de grundlæggende rettigheder, der er sikret ved chartrets artikel 7 og 8 – for at opfylde det krav om at være fastlagt i lovgivningen, der er opstillet i chartrets artikel 52 – skal fastsætte klare og præcise regler, som regulerer rækkevidden og anvendelsen af en foranstaltning og opstiller en række mindstekrav, således at de personer, hvis oplysninger er berøres, råder over tilstrækkelige garantier, der gør det muligt effektivt at beskytte deres oplysninger mod risikoen for misbrug og mod ulovlig adgang til og anvendelse af disse oplysninger (jf. dom af 8.4.2014, Digital Rights Ireland m.fl., C-293/12 og C-594/12, EU:C:2014:238, præmis 54, og af 6.10.2015, Schrems, C-362/14, EU:C:2015:650, præmis 91).

59

Eftersom artikel 8, stk. 2, i direktiv 2016/680 har til formål at sikre overholdelsen af de krav, der er nævnt i nærværende doms præmis 56 og 57, følger det heraf, at de forfulgte mål, de pågældende personoplysninger og formålene med en behandling, der henhører under dette direktiv, skal fremgå med tilstrækkelig klarhed og præcision af selve den bestemmelse, der regulerer denne behandling, for at denne behandling kan anses for at opfylde kravene om at være fastlagt i lovgivningen som omhandlet i Den Europæiske Menneskerettighedsdomstols praksis og chartrets artikel 52.

60

Henset til samtlige ovenstående betragtninger skal det tredje spørgsmål besvares med, at artikel 8 og 10 i direktiv 2016/680 skal fortolkes således, at begrebet »medlemsstaternes nationale ret« som omhandlet i disse artikler for så vidt angår indsamling, opbevaring og sletning af biometriske og genetiske data skal forstås som omfattende en almengyldig bestemmelse, der fastsætter minimumsbetingelserne for indsamling, opbevaring og sletning af sådanne data, således som fortolket i de nationale retters praksis, forudsat at denne retspraksis er tilgængelig og tilstrækkeligt forudsigelig.

Det første spørgsmål

Om formaliteten

61

Europa-Kommissionen har i sit skriftlige indlæg nedlagt påstand om, at det første spørgsmål afvises fra realitetsbehandling med den begrundelse, at det tjekkiske politis udtagelse af genetisk materiale fra og biometriske foranstaltninger i forhold til JH fandt sted den 13. januar 2016, dvs. inden ikrafttrædelsesdatoen for direktiv 2016/680, som var den 5. maj 2016, og inden udløbet af den frist for gennemførelse af dette direktiv, der er fastsat i direktivets artikel 63, stk. 1, til den 6. maj 2018.

62

Der skal i denne forbindelse erindres om, at Domstolen kun kan afvise at træffe afgørelse om et præjudicielt spørgsmål forelagt af en national ret, hvis det klart fremgår, at den ønskede fortolkning af EU-retten savner enhver forbindelse med realiteten i hovedsagen eller dennes genstand, såfremt problemet er af hypotetisk karakter, eller såfremt Domstolen ikke råder over de faktiske og retlige oplysninger, som er nødvendige for, at den kan give en hensigtsmæssig besvarelse af de forelagte spørgsmål (dom af 20.3.2025, Anib m.fl., C-728/22 – C-730/22, EU:C:2025:200, præmis 48).

63

I det foreliggende tilfælde fastsætter artikel 64 i direktiv 2016/680, at direktivet træder i kraft den 5. maj 2016, mens direktivets artikel 63 præciserer, at medlemsstaterne senest den 6. maj 2018 skal vedtage og offentliggøre de love og administrative bestemmelser, der er nødvendige for at efterkomme dette direktiv.

64

Det fremgår imidlertid af de sagsakter, som Domstolen råder over, at de personoplysninger, der blev indsamlet om JH den 13. januar 2016 ud fra de genetiske udtagelser fra og biometriske registreringer om ham, fortsat er blevet opbevaret i det tjekkiske politis databaser og således er blevet behandlet efter den 6. maj 2018.

65

Med forbehold af de situationer, der er omhandlet i artikel 4, stk. 2, i direktiv 2016/680, fremgår det af dette direktivs artikel 4, stk. 1, litra b), at personoplysninger ikke må gøres til genstand for behandling, hvis indsamlingen ikke er begrundet i legitime formål.

66

Personoplysninger, som henhører under direktiv 2016/680, og som er indsamlet lovligt inden dette direktivs ikrafttrædelsesdato, men som ville være blevet indsamlet i strid med de i dette direktiv fastsatte principper, hvis de var blevet indsamlet efter den dato, hvor dette direktiv blev gennemført, eller, ved manglende gennemførelse, efter den frist, inden for hvilken direktivet skulle have været det, dvs. den 6. maj 2018, kan følgelig – som generaladvokaten har fremhævet i punkt 34 i forslaget til afgørelse – ikke opbevares efter den dato, hvor dette direktiv blev gennemført, eller, ved manglende gennemførelse, efter den frist, inden for hvilken direktivet skulle have været det.

67

I det foreliggende tilfælde fremgår det således ikke klart, at det første spørgsmål nødvendigvis savner enhver forbindelse med realiteten i hovedsagen eller dennes genstand, eller at det rejste problem er af hypotetisk karakter med den begrundelse, som Kommissionen har påberåbt sig, at det vedrører biometriske og genetiske data, der er indsamlet inden ikrafttrædelsen af direktiv 2016/680.

68

Eftersom Domstolen i øvrigt råder over alle de faktiske og retlige oplysninger, som er nødvendige for, at den kan give en hensigtsmæssig besvarelse af det første spørgsmål, kan dette spørgsmål antages til realitetsbehandling.

Om realiteten

69

Med sit første spørgsmål ønsker den forelæggende ret nærmere bestemt oplyst, om artikel 6 eller artikel 4, stk. 1, litra c), i direktiv 2016/680, sammenholdt med dette direktivs artikel 10, skal fortolkes således, at disse bestemmelser er til hinder for en national lovgivning, der uden skelnen tillader indsamling af biometriske og genetiske data fra enhver person, der er tiltalt for at have begået en forsætlig strafbar handling eller er mistænkt for at have begået en sådan strafbar handling.

70

Hvad for det første angår artikel 6 i direktiv 2016/680 skal der i denne forbindelse erindres om, at denne artikel forpligter medlemsstaterne til at fastsætte, at den dataansvarlige, »hvor det er relevant og så vidt muligt«, klart sondrer mellem personoplysninger om forskellige kategorier af registrerede såsom dem, der er nævnt i denne artikels litra a)-d), dvs. henholdsvis personer, om hvem der er væsentlig grund til at tro, at de har begået eller vil begå en strafbar handling, personer, der er dømt for en strafbar handling, ofre for en strafbar handling eller personer, om hvem visse faktiske omstændigheder giver anledning til at tro, at de kunne blive offer for en strafbar handling, og endelig de andre parter i forbindelse med en strafbar handling, såsom personer, der kan blive indkaldt som vidner i efterforskninger i forbindelse med strafbare handlinger eller i efterfølgende straffesager, personer, der kan tilvejebringe oplysninger om strafbare handlinger, eller kontakt- eller ledsagepersoner for en af de i litra a) og b) omhandlede personer.

71

I henhold til artikel 6 i direktiv 2016/680 skal medlemsstaterne derfor sikre, at den dataansvarlige, »hvor det er relevant og så vidt muligt«, klart sondrer mellem oplysninger om forskellige kategorier af registrerede, således at de ikke uden forskel pålægges den samme grad af indgreb i deres grundlæggende ret til beskyttelse af deres personoplysninger, uanset hvilken kategori de tilhører, idet disse kategorier i det væsentlige skal fastsættes på grundlag af den registreredes strafferetlige status.

72

Som det fremhæves i udtrykket »hvor det er relevant og så vidt muligt« i artikel 6 i direktiv 2016/680, er den forpligtelse til at sondre mellem visse kategorier af personer, som medlemsstaterne pålægges ved denne artikel, ikke absolut, men beror bl.a. på, om der i hvert enkelt tilfælde kan foretages en klar sondring mellem disse kategorier af personer (jf. i denne retning dom af 26.1.2023, Ministerstvo na vatreshnite raboti (Politiets registrering af biometriske og genetiske data), C-205/21, EU:C:2023:49, præmis 84), og på formålene med behandlingen.

73

I det konkrete tilfælde har den tjekkiske regering gjort gældende, at den forelæggende rets henvisning til kategorien af mistænkte personer skal forstås således, at den tager sigte på de personer, der som led i en fremskyndet indledende procedure er blevet præsenteret for en mistanke, hvilket i den i hovedsagen omhandlede nationale lovgivning – ligesom for tiltalte personer – kræver, at der er indsamlet tilstrækkelige beviser for, at de pågældende har begået en strafbar handling.

74

Hvis dette skulle være tilfældet, hvilket det tilkommer den forelæggende ret at efterprøve, ville disse to kategorier af personer imidlertid med henblik på en given behandling kunne anses for begge at henhøre under den kategori, der er omhandlet i artikel 6, litra a), i direktiv 2016/680, for så vidt som de formål, der forfølges med den pågældende behandling, ikke kræver, at der opstilles en sondring mellem de nævnte to kategorier.

75

Følgelig skal artikel 6 i direktiv 2016/680 fortolkes således, at den ikke er til hinder for en national lovgivning, der uden skelnen tillader indsamling af biometriske og genetiske data fra personer, der er omfattet af kategorien af personer, »der er tiltalt for at have begået en forsætlig strafbar handling«, og fra personer, der er omfattet af kategorien af personer, »der er mistænkt for at have begået en sådan strafbar handling« som omhandlet i national ret, når formålene med denne indsamling ikke kræver, at der opstilles en sondring mellem disse to kategorier af personer, hvis oplysninger kan indsamles på grundlag af denne lovgivning.

76

Hvad for det andet angår artikel 4, stk. 1, litra c), i direktiv 2016/680, sammenholdt med dette direktivs artikel 10, bestemmer den første af disse artikler, at personoplysninger skal være tilstrækkelige, relevante og ikke omfatte mere, end hvad der kræves til opfyldelse af de formål, hvortil de behandles. Dette sidstnævnte krav betyder således, at medlemsstaterne skal overholde et princip om minimering af behandlingen af oplysninger i forhold til det mål og det formål, der forfølges med den pågældende behandling.

77

For så vidt angår følsomme personoplysninger, herunder biometriske og genetiske data, bestemmer dette direktivs artikel 10, at behandlingen ud over betingelsen om at skulle henhøre under et af de tre scenarier, der er udtømmende opregnet i denne artikels litra a)-c), skal opfylde to andre betingelser, nemlig dels betingelsen om, at der skal foreligge de fornødne garantier for den registreredes rettigheder og frihedsrettigheder, dels betingelsen om, at den påtænkte behandling skal være strengt nødvendig.

78

Hvad angår denne sidstnævnte betingelse indebærer denne imidlertid indledningsvis, at denne nødvendighed skal undergives en særlig streng vurdering i forhold til de formål, der forfølges med den pågældende behandling, og at en sådan behandling derfor kun kan anses for nødvendig i et begrænset antal tilfælde (jf. i denne retning dom af 26.1.2023, Ministerstvo na vatreshnite raboti (Politiets registrering af biometriske og genetiske data), C-205/21, EU:C:2023:49, præmis 118).

79

Formålene med en behandling af biometriske og genetiske data må således ikke beskrives i for generelle vendinger, men kræver, at de er tilstrækkeligt præcise og konkrete til at gøre det muligt at vurdere, om den nævnte behandling er »strengt nødvendig« (dom af 26.1.2023, Ministerstvo na vatreshnite raboti (Politiets registrering af biometriske og genetiske data), C-205/21, EU:C:2023:49, præmis 124).

80

Det gælder i denne forbindelse, at selv om direktiv 2016/680 ganske vist ikke definerer begrebet »formålene med behandlingen«, kan det bemærkes, at dette direktivs artikel 8, stk. 2, udtrykkeligt sondrer mellem dette begreb og begrebet »målene med behandlingen«. Det nævnte direktivs artikel 4, stk. 1, litra b), bestemmer dog, at de formål, der forfølges med en behandling af personoplysninger, bl.a. skal være udtrykkeligt angivne, og at disse oplysninger ikke må behandles på en måde, der er uforenelig med disse formål, mens samme direktivs artikel 4, stk. 1, litra c), bestemmer, at det er på grundlag af disse formål, at det især skal vurderes, om de personoplysninger, der er genstand for denne behandling, er tilstrækkelige, relevante og ikke uforholdsmæssigt omfattende.

81

Det kan derfor udledes heraf, at begrebet »målene med behandlingen« som omhandlet i denne artikel 8, stk. 2, henviser til de mere generelle formål, der er nævnt i artikel 1, stk. 1, i direktiv 2016/680, som en behandling skal forfølge for at være omfattet af dette direktiv, mens begrebet »formålene med behandlingen« som omhandlet i bl.a. direktivets artikel 8, stk. 2, skal forstås således, at det henviser til de specifikke og konkrete mål, som forfølges med en behandling af personoplysninger, henset til den opgave, som den dataansvarlige er tillagt, såsom en specifik opgave, der er knyttet til forebyggelse, efterforskning, afsløring eller retsforfølgning af strafbare handlinger eller fuldbyrdelse af strafferetlige sanktioner.

82

Dernæst bemærkes, at eftersom nødvendighedsbetingelsen som omhandlet i direktiv 2016/680 – således som det fremgår af 26. betragtning til dette direktiv sammenholdt med proportionalitetsprincippet – for så vidt angår ikkefølsomme personoplysninger er opfyldt, når formålet med den pågældende behandling ikke med rimelighed kan nås lige så godt på en anden måde, som er mindre indgribende i de registreredes grundlæggende rettigheder, må det heraf udledes, at betingelsen om, at behandling af følsomme personoplysninger skal være strengt nødvendig, kræver, at den dataansvarlige sikrer sig, at det formål, der forfølges med den pågældende behandling, ikke kan opfyldes lige så effektivt ved at anvende andre kategorier af oplysninger end dem, der er opregnet i artikel 10 i direktiv 2016/680 (jf. i denne retning dom af 26.1.2023, Ministerstvo na vatreshnite raboti (Politiets registrering af biometriske og genetiske data), C-205/21, EU:C:2023:49, præmis 126).

83

Henset til de betydelige risici, som behandlingen af følsomme personoplysninger udgør for de registreredes rettigheder og frihedsrettigheder, navnlig i forbindelse med de kompetente myndigheders opgaver med henblik på de formål, der er fastsat i artikel 1, stk. 1, i direktiv 2016/680, kræver betingelsen om »strengt nødvendigt« i øvrigt, at der tages hensyn til den særlige betydning af det formål, der forfølges med den pågældende behandling, idet en sådan betydning bl.a. kan vurderes ud fra karakteren af dette formål, den omstændighed, at denne behandling tjener et specifikt og konkret formål i forbindelse med forebyggelse af strafbare handlinger eller trusler mod den offentlige sikkerhed, der frembyder en vis grad af alvor, bekæmpelse af sådanne handlinger eller beskyttelse mod sådanne trusler samt i lyset af de særlige omstændigheder, hvorunder behandlingen foretages (jf. i denne retning dom af 26.1.2023, Ministerstvo na vatreshnite raboti (Politiets registrering af biometriske og genetiske data), C-205/21, EU:C:2023:49, præmis 127).

84

Med hensyn til indsamling af biometriske og genetiske data fra personer, der er tiltalt for at have begået en forsætlig strafbar handling eller mistænkt for at have begået en sådan strafbar handling med henblik på fremtidig identifikation og sammenligning af disse personer, skal der ved vurderingen af den strengt nødvendige karakter af denne indsamling under alle omstændigheder tages hensyn til alle relevante forhold, såsom bl.a. arten og grovheden af den formodede lovovertrædelse, som de pågældende er blevet sigtet for at have begået, de særlige omstændigheder i forbindelse med denne overtrædelse, den eventuelle forbindelse mellem den nævnte overtrædelse og andre verserende sager, tidligere kriminel adfærd eller de pågældendes individuelle profil(jf. i denne retning dom af 26.1.2023, Ministerstvo na vatreshnite raboti (Politiets registrering af biometriske og genetiske data), C-205/21, EU:C:2023:49, præmis 132).

85

Endelig indebærer betingelsen om »strengt nødvendigt« en særligt streng kontrol med overholdelsen af det princip om minimering af behandlingen af de pågældende oplysninger, der er fastsat i dette direktivs artikel 4, stk. 1, litra c) (jf. i denne retning dom af 26.1.2023, Ministerstvo na vatreshnite raboti (Politiets registrering af biometriske og genetiske data), C-205/21, EU:C:2023:49, præmis 125).

86

Hvad navnlig angår opbevaring eller anvendelse af oplysninger, der er udtrukket af en persons DNA med henblik på identifikation eller sammenligning, indebærer et sådant princip, at der med henblik på at vurdere, om sådanne behandlinger er strengt nødvendige, skal tages behørigt hensyn til muligheden for udelukkende at basere sig på de polymorfier, der findes i de ikkekodende områder i DNA, dvs. områder, i forhold til hvilke det anerkendes, at de ikke giver oplysninger om disse personers etnicitet eller genetiske sygdomme.

87

Selv om en medlemsstat kan efterkomme direktiv 2016/680 enten ved at uddelegere den opgave til de kompetente myndigheder, i hvert enkelt tilfælde at sikre overholdelsen af betingelsen om, at enhver behandling af følsomme personoplysninger skal være strengt nødvendig, eller ved på lovgivningsniveau at fastsætte bedømmelseskriterier, som myndighederne efterfølgende skal anvende på en ikkeskønsmæssig måde, forholder det sig følgelig ikke desto mindre således, at disse kriterier i dette andet tilfælde skal være egnede til at opfylde samtlige de krav, der følger af denne samme betingelse, således som disse krav er angivet i nærværende doms præmis 77-83.

88

I dom af 26. januar 2023, Ministerstvo na vatreshnite raboti (Politiets registrering af biometriske og genetiske data) (C-205/21, EU:C:2023:49, præmis 135), fastslog Domstolen således, at en national lovgivning, der foreskriver systematisk indsamling og registrering af biometriske og genetiske data om enhver person, der sigtes for en forsætlig lovovertrædelse, som retsforfølges ex officio, uden at fastsætte en forpligtelse for den kompetente myndighed til at fastslå eller godtgøre dels, at denne indsamling er strengt nødvendig for at opfylde de specifikke og konkrete formål, der forfølges, dels at disse formål ikke kan nås ved foranstaltninger, der er mindre indgribende i den registreredes rettigheder og frihedsrettigheder, er i strid med denne betingelse om streng nødvendighed.

89

Selv om den indsamling, der var fastsat i den lovgivning, som var omhandlet i den sag, der gav anledning til denne dom, fandt ubetinget anvendelse i forhold til alle personer, der var sigtet for en forsætlig lovovertrædelse, som retsforfulgtes ex officio, vedrører det første spørgsmål i den foreliggende sag imidlertid en lovgivning, der kun giver politiet en mulighed for at indsamle biometriske og genetiske data om personer, der er tiltalt eller mistænkt for at have begået en forsætlig lovovertrædelse.

90

Den omstændighed, at en lovgivning giver politiet en sådan mulighed, indebærer imidlertid ikke, at den pågældende medlemsstats lovgivning tillader, at denne indsamling er systematisk, eller at den kan foretages i strid med bl.a. det princip om minimering af behandlingen af oplysninger, der er fastsat i artikel 4, stk. 1, litra c), i direktiv 2016/680, eller med den betingelse om, at de pågældende behandlinger skal være strengt nødvendige, som er fastsat i dette direktivs artikel 10, forudsat denne ret – herunder de nationale retters praksis – på en passende og tilstrækkeligt præcis måde definerer de formål, der forfølges med en sådan behandling af biometriske og genetiske data, dvs. de specifikke og konkrete mål, som forfølges med en behandling af personoplysninger, henset til den opgave, som den dataansvarlige er tillagt, og at en sådan mulighed udøves i overensstemmelse med de krav, der er redegjort for i nærværende doms præmis 77-83.

91

Det fremgår således af de oplysninger, som Domstolen råder over, at den nationale retspraksis i det foreliggende tilfælde opstiller visse krav, der har til formål at sikre overholdelsen af dette princip, såsom politiets forpligtelse til, inden der udtages en DNA-prøve, bl.a. at tage hensyn til gerningsmandens kriminelle fortid, lovovertrædelsens grovhed i forhold til den pågældende lovovertrædelses art og de særlige omstændigheder ved lovovertrædelsen, der indebærer prøveudtagelse, samt gerningsmandens personlighed.

92

I denne situation tilkommer det de nationale retter i hvert enkelt tilfælde at efterprøve, om den indsamling, der er foretaget af politiet, er sket i strid med de principper for behandling af personoplysninger, der er fastsat i artikel 4 i direktiv 2016/680, og de særlige krav, der gælder for behandlinger af følsomme personoplysninger, som er fastsat i dette direktivs artikel 10, således som fortolket i lyset af chartrets og 7 og 8.

93

I denne henseende skal det endvidere fremhæves, at den omstændighed alene, at den lovovertrædelse, som den registrerede foreholdes, er af økonomisk karakter, og at indsamlingen af biometriske og genetiske data om denne person finder sted, inden vedkommende er blevet endeligt dømt, ikke er tilstrækkelig til at udelukke, at en sådan indsamling kan anses for at være strengt nødvendig, eftersom indsamlingen, henset til de forfulgte formål og den pågældende type af data, kan vise sig at være strengt nødvendig, navnlig for at gøre det muligt at afgøre, om den pågældende person på grund af sit eventuelle tilhørsforhold til en kriminel organisation kan have deltaget i andre lovovertrædelser, i relation til hvilke denne type af data kan være relevante, eller – hvis der er en risiko for flugt – for at gøre det muligt at identificere vedkommende.

94

Henset til samtlige ovenstående betragtninger skal det første spørgsmål besvares med, at artikel 6 og artikel 4, stk. 1, litra c), i direktiv 2016/680, sammenholdt med dette direktivs artikel 10, skal fortolkes således, at disse bestemmelser ikke er til hinder for en national lovgivning, der uden skelnen tillader indsamling af biometriske og genetiske data fra enhver person, der er tiltalt for at have begået en forsætlig strafbar handling eller er mistænkt for at have begået en sådan strafbar handling, forudsat dels, at formålene med denne indsamling ikke kræver, at der opstilles en sondring mellem disse to kategorier af personer, dels at de dataansvarlige i henhold til national ret – herunder de nationale retters praksis – er forpligtet til at overholde samtlige de principper og særlige krav, som er fastsat i det nævnte direktivs artikel 4 og 10.

Det andet spørgsmål

95

Indledningsvis skal det bemærkes, at selv om den forelæggende ret i formuleringen af det andet spørgsmål har henvist til en national lovgivning, der har til følge, at de pågældende personoplysninger i de fleste tilfælde opbevares »på ubestemt tid«, fremgår det af oplysningerne i de sagsakter, som Domstolen råder over, at denne ret ved »på ubestemt tid« i sidste ende ønsker at henvise til den omstændighed, at der ikke er fastsat nogen maksimal opbevaringsperiode, og ikke til den omstændighed, at en sådan opbevaring er tidsubegrænset.

96

Det må derfor lægges til grund, at den forelæggende ret med sit andet spørgsmål nærmere bestemt ønsker oplyst, om artikel 4, stk. 1, litra e), i direktiv 2016/680 skal fortolkes således, at denne bestemmelse er til hinder for en national lovgivning, i henhold til hvilken behovet for fortsat at opbevare biometriske og genetiske data vurderes af politimyndighederne på grundlag af interne regler, uden at der i denne lovgivning er fastsat nogen maksimal opbevaringsperiode.

97

I denne henseende bestemmer artikel 4, stk. 1, litra e), i direktiv 2016/680, at medlemsstaterne fastsætter bestemmelser om, at personoplysninger skal opbevares på en sådan måde, at det ikke er muligt at identificere de registrerede i et længere tidsrum end det, der er nødvendigt til de formål, hvortil de behandles.

98

I første omgang og hvad angår den omstændighed, at den pågældende nationale lovgivning ikke fastsætter nogen maksimal opbevaringsperiode, skal det bemærkes, at i henhold til kravene i artikel 4, stk. 1, litra e), i direktiv 2016/680 pålægger dette direktivs artikel 5 medlemsstaterne at fastsætte hensigtsmæssige tidsfrister for sletning af personoplysninger eller for regelmæssig revision af behovet for opbevaring af disse oplysninger samt proceduremæssige foranstaltninger til sikring af, at disse tidsfrister overholdes.

99

Derimod overlader dette direktivs artikel 5 det til medlemsstaterne at fastsætte de nævnte tidsfrister, forudsat at de er »hensigtsmæssige«, og at beslutte, om tidsfristerne vedrører sletning af disse oplysninger eller regelmæssig revision af behovet for opbevaring af oplysningerne.

100

Artikel 4, stk. 1, litra e), og artikel 5 i direktiv 2016/680 skal ganske vist læses i sammenhæng med bl.a. direktivets artikel 10, således at opbevaringen af biometriske eller genetiske data skal være strengt nødvendig og frembyde de fornødne garantier for den registreredes rettigheder og frihedsrettigheder.

101

Når en medlemsstat fastsætter hensigtsmæssige tidsfrister for regelmæssig revision af behovet for at opbevare personoplysninger, og når det i forbindelse med denne revision skal vurderes, om det er strengt nødvendigt at forlænge denne opbevaring, skal den pågældende medlemsstats lovgivning imidlertid anses for at opfylde sådanne krav. Selv når de opbevarede oplysninger er følsomme personoplysninger, er en sådan medlemsstat således ikke forpligtet til at fastsætte absolutte tidsmæssige grænser for opbevaringen af disse oplysninger, efter hvilke disse oplysninger automatisk skal slettes (jf. i denne retning dom af 30.1.2024, Direktor na Glavna direktsia »Natsionalna politsia« pri MVR – Sofia, C-118/22, EU:C:2024:97, præmis 52).

102

For at sådanne tidsfrister for regelmæssig revision kan være hensigtsmæssige, kræves det derimod for det første, at de hidtil opbevarerede personoplysninger i overensstemmelse med artikel 4, stk. 1, litra c) og e), i direktiv 2016/680, sammenholdt med chartrets artikel 52, stk. 1, slettes, og det på de betingelser, der er fastsat i dette direktivs artikel 16, stk. 2 og 3, såfremt opbevaringen af disse oplysninger i anledning af en af de foretagne revisioner ikke længere forekommer at være strengt nødvendig og følgelig viser sig at være uforholdsmæssig i forhold til de forfulgte formål (jf. i denne retning dom af 30.1.2024, Direktor na Glavna direktsia »Natsionalna politsia« pri MVR – Sofia, C-118/22, EU:C:2024:97, præmis 45, 48 og 50 og den deri nævnte retspraksis).

103

Henset for det andet til de krav, der er fastsat i artikel 4, stk. 1, litra c), i direktiv 2016/680 om, at alle personoplysninger skal være tilstrækkelige, relevante og ikke omfatte mere, end hvad der kræves til opfyldelse af de formål, hvortil de behandles, til den omstændighed, at denne bestemmelse og dette direktivs artikel 8 skal læses i lyset af de krav, der følger af chartrets artikel 52, og til den forpligtelse, der i det nævnte direktivs artikel 6 er fastsat for den dataansvarlige til, hvor det er relevant, klart at sondre mellem personoplysninger om forskellige kategorier af registrerede, kan disse tidsfrister for revision ikke anses for at være hensigtsmæssige, hvis ændringer i den registreredes strafferetlige status, der anses for at være relevante i forhold til det med denne opbevaring forfulgte formål, ikke medfører en forpligtelse for den dataansvarlige til inden for en rimelig frist at revidere behovet for at opbevare oplysningerne om denne person.

104

I anden omgang og hvad angår den omstændighed, at behovet for fortsat at opbevare biometriske og genetiske data vurderes af politimyndighederne på grundlag af interne regler, er en sådan omstændighed ikke i sig selv i strid med artikel 8, stk. 2, i direktiv 2016/680, forudsat at disse interne regler pålægger disse myndigheder at sikre overholdelsen af betingelsen om, at det skal være strengt nødvendigt at opbevare disse data, og forudsat at disse myndigheders skønsmargen er tilstrækkeligt afgrænset i national ret, herunder i de nationale retters praksis.

105

Selv om den omstændighed, at reglerne er interne og således ikke er tilgængelige for alle de personer, hvis personoplysninger kan gøres til genstand for en behandling, har til følge, at sådanne regler ikke kan påberåbes af de kompetente myndigheder til at dokumentere, at de overholder de krav, der påhviler dem, har denne omstændighed nemlig ikke til følge, at de på baggrund af disse regler gennemførte behandlinger af personoplysninger automatisk bliver ulovlige, men den indebærer, at politimyndighederne eventuelt, i tilfælde af søgsmål til prøvelse af afgørelsen om at foretage en af disse behandlinger ved den kompetente ret – uafhængigt af disse interne regler – skal godtgøre, at betingelsen om »strengt nødvendigt« er blevet behørigt overholdt.

106

I det foreliggende tilfælde fremgår det for det første ifølge den tjekkiske regering bl.a. af den tjekkiske politilovs § 65, stk. 5 – hvilket det tilkommer den forelæggende ret at efterprøve – at DNA-profilerne for personer, der er tiltalt for at have begået en forsætlig strafbar handling eller mistænkt for at have begået en sådan strafbar handling, skal slettes, når opbevaringen heraf ikke længere er nødvendig, henset til de forfulgte formål, dvs. når disse personer ophører med at være tiltalte eller mistænkte, og disse personer ikke er det i forbindelse med en anden straffesag, eller de ikke tidligere har begået andre forbrydelser eller forseelser.

107

I denne henseende skal det imidlertid bemærkes, at opbevaringen af biometriske og genetiske data alene kan anses for at opfylde kravet om, at opbevaringen kun skal tillades, »når det er strengt nødvendigt« som omhandlet i artikel 10 i direktiv 2016/680, hvis der ved denne opbevaring ikke blot tages hensyn til den registreredes eventuelle forbindelse til andre verserende sager eller til den pågældendes tidligere kriminel adfærd eller profil, men ligeledes til arten og grovheden af den lovovertrædelse, der har ført til den endelige straffedom, eller til andre omstændigheder såsom den særlige sammenhæng, hvori denne lovovertrædelse er blevet begået (jf. i denne retning dom af 30.1.2024, Direktor na Glavna direktsia »Natsionalna politsia« pri MVR – Sofia, C-118/22, EU:C:2024:97, præmis 67).

108

For det andet skal det påpeges, at selv om tjekkisk ret ikke fastsætter en maksimal opbevaringsperiode for de personoplysninger, der er indsamlet på grundlag af den tjekkiske politilovs § 65, stk. 1, pålægger denne lovs § 82, stk. 1, ikke desto mindre politimyndighederne en forpligtelse til mindst en gang hvert tredje år at kontrollere, at opbevaringen af disse oplysninger stadig er nødvendig for udførelsen af deres opgaver.

109

Det tilkommer derfor den forelæggende ret at afgøre, om en sådan kontrolfrist på tre år, henset til de formål, der forfølges med opbevaringen af de pågældende biometriske og genetiske data, kan anses for at være hensigtsmæssig, idet det dog skal præciseres, at det i modsat fald ikke af den grund vil være påkrævet at slette disse data, hvis det skulle blive påvist, at det under alle omstændigheder fortsat er strengt nødvendigt at opbevare dem.

110

Henset til samtlige ovenstående betragtninger skal det andet spørgsmål besvares med, at artikel 4, stk. 1, litra e), i direktiv 2016/680 skal fortolkes således, at denne bestemmelse ikke er til hinder for en national lovgivning, i henhold til hvilken behovet for fortsat at opbevare biometriske og genetiske data vurderes af politimyndighederne på grundlag af interne regler, uden at der i denne lovgivning er fastsat en maksimal opbevaringsperiode, forudsat at der i denne lovgivning er fastsat hensigtsmæssige tidsfrister for regelmæssig revision af behovet for at opbevare disse data, og forudsat at det i forbindelse med denne revision vurderes, om det er strengt nødvendigt at forlænge opbevaringen af disse data.

Sagsomkostninger

111

Da sagens behandling i forhold til hovedsagens parter udgør et led i den sag, der verserer for den forelæggende ret, tilkommer det denne at træffe afgørelse om sagsomkostningerne. Bortset fra nævnte parters udgifter kan de udgifter, som er afholdt i forbindelse med afgivelse af indlæg for Domstolen, ikke erstattes.

1)

Artikel 8 og 10 i Europa-Parlamentets og Rådets direktiv (EU) 2016/680 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger og om ophævelse af Rådets rammeafgørelse 2008/977/RIA

2)

Artikel 6 og artikel 4, stk. 1, litra c), i direktiv 2016/680, sammenholdt med dette direktivs artikel 10,

3)

Artikel 4, stk. 1, litra e), i direktiv 2016/680