–

za JH M. Mandzák, L. Nezpěvák in L. Trojan, advokáti,

–

za češko vlado M. Smolek, O. Serdula, J. Vláčil, T. Suchá in L. Březinová, agenti,

–

za Irsko M. Browne, Chief State Solicitor, A. Joyce in D. O’Reilly, agenta, skupaj z A. Mulligan, BL,

–

za nizozemsko vlado J. Langer, agent,

–

za poljsko vlado B. Majczyna, agent,

–

za Evropsko komisijo A. Bouchagiar, H. Kranenborg, P. Němečková in F. Wilman, agenti,

1

Predlog za sprejetje predhodne odločbe se nanaša na razlago člena 4(1)(c) in (e), člena 6, člena 8(2) in člena 10 Direktive (EU) 2016/680 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov, ki jih pristojni organi obdelujejo za namene preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij, in o prostem pretoku takih podatkov ter o razveljavitvi Okvirnega sklepa Sveta 2008/977/PNZ (UL 2016, L 119, str. 89, in popravek v UL 2018, L 127, str. 20).

2

Ta predlog je bil vložen v okviru spora med JH in Policejní prezidium (policijski direktorat, Češka republika; v nadaljevanju: direktorat češke policije) zlasti v zvezi z zbiranjem biometričnih in genskih podatkov od JH v okviru kazenskega postopka in hrambo teh podatkov s strani češke policije.

3

V uvodnih izjavah 1, 2, 26, 33, 37 in 96 Direktive 2016/680 je navedeno:

[…]

[…]

[…]

[…]

[…]“

4

Člen 1 te direktive, naslovljen „Predmet urejanja in cilji“, v odstavku 1 določa:

„V tej direktivi so določena pravila o varstvu posameznikov pri obdelavi osebnih podatkov, ki jih pristojni organi obdelujejo za namene preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij, vključno z varovanjem pred grožnjami javni varnosti in njihovim preprečevanjem.“

5

Člen 2 navedene direktive, naslovljen „Področje uporabe“, v odstavku 1 določa:

„Ta direktiva se uporablja za obdelavo osebnih podatkov, ki jih pristojni organi obdelujejo za namene iz člena 1(1).“

6

Člen 3 iste direktive, naslovljen „Opredelitve pojmov“, določa:

„V tej direktivi:

[…]

[…].“

7

Člen 4 Direktive 2016/680, naslovljen „Načela v zvezi z obdelavo osebnih podatkov“, v odstavku 1 določa:

„Države članice zagotovijo, da se osebni podatki:

[…].“

8

Člen 5 te direktive, naslovljen „Rok hrambe in pregled“, določa:

„Države članice določijo ustrezne časovne roke za izbris osebnih podatkov ali za reden pregled potrebe po shranjevanju osebnih podatkov. Spoštovanje teh rokov se zagotovi s postopkovnimi ukrepi.“

9

Člen 6 navedene direktive, naslovljen „Razlikovanje med različnimi kategorijami posameznikov, na katere se nanašajo osebni podatki“, določa:

„Države članice določijo, da upravljavec kadar je to ustrezno in v največji možni meri jasno razlikuje med osebnimi podatki različnih kategorij posameznikov, na katere se nanašajo osebni podatki, kot so:

10

Člen 8 iste direktive, naslovljen „Zakonitost obdelave“, določa:

„1.   Države članice zagotovijo, da obdelava velja za zakonito le, če je potrebna, in v obsegu, v katerem je potrebna, za opravljanje naloge, ki jo izvaja pristojni organ za namene iz člena 1(1) in temelji na pravu Unije ali države članice.

2.   Pravo držav članic, ki ureja obdelavo v okviru področja uporabe te direktive, določa vsaj cilje obdelave, kateri osebni podatki se obdelajo in namene obdelave.“

11

Člen 10 Direktive 2016/680, naslovljen „Obdelava posebnih vrst osebnih podatkov“, določa:

„Obdelava osebnih podatkov, ki razkrivajo rasno ali etnično poreklo, politično mnenje, vero ali filozofsko prepričanje ali članstvo v sindikatu, in obdelava genskih podatkov, biometričnih podatkov za namene edinstvene identifikacije posameznika, podatkov v zvezi z zdravstvenim ali spolnim življenjem in spolno usmerjenostjo je dovoljena le, če je nujno potrebna, če je zagotovljena ustrezna zaščita pravic in svoboščin posameznika, na katerega se podatki nanašajo, in le če:

12

Na podlagi člena 63(1) te direktive so morale države članice sprejeti in objaviti zakone in druge predpise, potrebne za uskladitev z navedeno direktivo, do 6. maja 2018. Poleg tega morajo države članice te predpise uporabljati od istega datuma.

13

Ta direktiva je v skladu s svojim členom 64 začela veljati 5. maja 2016.

14

Člen 11 zákon č. 273/2008 Sb., o Policii České republiky (zakon št. 273/2008 o policiji Češke republike) v različici, ki se uporablja za spor o glavni stvari (v nadaljevanju: zakon o češki policiji), naslovljen „Sorazmernost ukrepov“, določa:

„Policist in uslužbenec policije morata

[…]

15

Člen 65 zakona o češki policiji določa:

„1.   Policija lahko pri opravljanju svojih nalog zaradi prihodnje identifikacije v zvezi z

vzame prstne odtise, poišče fizične posebnosti, opravi meritve telesa, naredi slikovne, zvočne in podobne posnetke ter odvzame biološke vzorce, s katerimi je mogoče dobiti informacije o genetski strukturi te osebe.

2.   Če dejanja iz odstavka 1 zaradi ugovarjanja osebe ni mogoče izvesti, ima policist pravico prezreti to ugovarjanje, potem ko je od osebe zaman zahteval, naj ukrep dovoli. Način, kako prezre to ugovarjanje, mora biti sorazmeren z intenzivnostjo ugovarjanja. Policist ne more prezreti ugovarjanja osebe v primeru odvzema krvi ali drugega podobnega ukrepa, s katerim se posega v telesno integriteto.

3.   Če ukrepa iz odstavka 1 ni mogoče izvesti na kraju samem, ima policist pravico osebo privesti zaradi izvedbe ukrepa. Policist po izvedenem ukrepu osebo izpusti na prostost.

4.   Policist sestavi poročilo o izvedenih ukrepih.

5.   Policija izbriše osebne podatke, pridobljene na podlagi odstavka 1, če njihova obdelava ni nujno potrebna za preprečevanje, preiskovanje, odkrivanje ali pregon kaznivih dejanj ali za zagotavljanje varnosti Češke republike, javnega reda ali notranje varnosti.“

16

Člen 79 tega zakona, naslovljen „Temeljne določbe o obdelavi osebnih podatkov v okviru opravljanja nekaterih nalog policije“, določa:

„1.   Odstavki od 2 do 6 ter členi od 79a do 88 se uporabljajo za obdelavo osebnih podatkov zaradi preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj, da se zagotovijo varnost Češke republike ali javni red in notranja varnost, vključno za iskanje oseb in predmetov.

2.   Policija lahko obdeluje osebne podatke, če je to potrebno za uresničitev ciljev iz odstavka 1. Policija lahko osebne podatke obdeluje tudi zaradi zaščite pomembnih interesov posameznika, na katerega se nanašajo osebni podatki, ki so povezani s cilji iz odstavka 1.

[…]“

17

Člen 82 navedenega zakona, naslovljen „Preverjanje potrebe po nadaljnji obdelavi osebnih podatkov“, določa:

„1.   Policija vsaj vsaka tri leta preveri, ali so osebni podatki, obdelani v smislu člena 79(1), še vedno potrebni za opravljanje njenih nalog na tem področju.

2.   Za preverjanje iz odstavka 1 je policija pooblaščena, da zahteva izpisek iz kazenske evidence.

3.   Organi pregona in pravosodni organi, Ministerstvo spravedlnosti [(ministrstvo za pravosodje, Češka republika)], Ústavní soud [(ustavno sodišče, Češka republika)] in Kancelář prezidenta republiky [(urad predsednika republike, Češka republika)] v mejah svojih pristojnosti policijo za preverjanje iz odstavka 1 stalno obveščajo o svojih pravnomočnih odločbah, zastaranju kazenskega pregona, izvršitvi kazni ali odločbah predsednika republike o kazenskem postopku, kaznih ali amnestiji ali pomilostitvi.“

18

Služba za odkrivanje korupcije in finančnega kriminala skupine kriminalistične in preiskovalne policije pri oddelku v Plznu (Češka republika), ki je služba češke policije z nacionalnimi pristojnostmi, je z odločbo z dne 11. decembra 2015 začela kazenski pregon proti JH zaradi kaznivega dejanja kršitve obveznosti pri upravljanju tujega premoženja.

19

Češka policija je 13. januarja 2016 najprej zaslišala JH v okviru zadevnega kazenskega postopka ter kljub nestrinjanju JH odredila in izvršila te ukrepe za identifikacijo: odvzem prstnih odtisov in bris ustne sluznice, na podlagi katerega je izdelala genski profil, ter fotografiranje in zapis opisa osebe JH. Nato je te informacije vnesla v ustrezne podatkovne zbirke.

20

Městský soud v Praze (mestno sodišče v Pragi, Češka republika) je s sodbo z dne 15. marca 2017 razsodilo, da je JH storil lažje kaznivo dejanje kršitve obveznosti pri upravljanju tujega premoženja s sostorilstvom in težje kaznivo dejanje zlorabe uradnega položaja. Navedeno sodišče je JH pogojno obsodilo na kazen odvzema prostosti treh let, poleg tega pa sta mu bili naloženi še štiriletna prepoved opravljanja vodstvenih funkcij v javni upravi, vključno z upravljanjem nepremičnin in premičnega premoženja, in povrnitev povzročene škode v mejah njegovih zmožnosti.

21

JH je 8. marca 2016 pri Městský soud v Praze (mestno sodišče v Pragi) vložil pravno sredstvo, s katerim je predlagal, naj se ugotovi, da izvedba ukrepov za identifikacijo v skladu s členom 65 zakona o češki policiji, hramba tako pridobljenih informacij in vzorcev ter oblikovanje vnosa v informacijskem sistemu češke policije pomenijo nezakonit poseg v njegovo temeljno pravico do spoštovanja zasebnega življenja.

22

Ker je JH v okviru druge takrat nerešene zadeve pri Ústavní soud (ustavno sodišče, Češka republika) že vložil predlog za presojo ustavnosti člena 65 zakona o češki policiji, je Městský soud v Praze (mestno sodišče v Pragi) prekinilo odločanje o njegovem pravnem sredstvu.

23

Ústavní soud (ustavno sodišče) je z odločbo z dne 22. marca 2022 zavrnilo predlog, ki ga je vložilo Městský soud v Praze (mestno sodišče v Pragi), naj se ugotovi neustavnost člena 65 zakona o češki policiji. Po tej odločitvi je zadnjenavedeno sodišče nadaljevalo z obravnavo pravnega sredstva, ki ga je vložil JH.

24

Městský soud v Praze (mestno sodišče v Pragi) je s sodbo z dne 23. junija 2022 ugodilo pravnemu sredstvu JH in razsodilo, da so bili ukrepi, ki jih je češka policija izvedla 13. januarja 2016, nezakoniti. Nato je to sodišče češki policiji odredilo, naj iz svojih podatkovnih zbirk izbriše vse osebne podatke, ki izhajajo iz teh ukrepov.

25

Navedeno sodišče je v tej sodbi poudarilo, da odvzem genskega materiala pomeni znaten poseg v temeljno pravico zadevne osebe do spoštovanja zasebnega življenja, ki je varovana zlasti s členom 8 Evropske konvencije o varstvu človekovih pravic in temeljnih svoboščin, podpisane 4. novembra 1950 v Rimu (v nadaljevanju: EKČP), in členom 10(3) Listina základních práv a svobod (Listina Češke republike o temeljnih pravicah in svoboščinah). Člen 65 zakona o češki policiji pa naj ne bi vseboval zadostnih napotkov za presojo sorazmernosti tega posega. Edino preverjanje, ki naj bi ga zahteval zadnjenavedeni člen, naj bi bilo namreč to, da češka policija pred takim odvzemom preveri „naklepno“ naravo storjenega kaznivega dejanja.

26

Poleg tega je isto sodišče navedlo, da je bil JH preganjan le zaradi storitve lažjega kaznivega dejanja, in sicer kaznivega dejanja z manjšo težo, da je bila njegova kazen odvzema prostosti pogojno odložena, kar naj bi potrjevalo manjšo težo očitanih dejanj, da pred tem ni bil nikoli obsojen v kazenskem postopku, da je bila ponovitev storitve kaznivega dejanja malo verjetna in da ni gotovo, da storjeni kaznivi dejanji spadata med takšno vrsto kaznivih dejanj, katerih storilci bi v prihodnosti storili takšno kaznivo dejanje, da bi za identifikacijo tega dejanja bili potrebni osebni podatki, shranjeni v podatkovnih zbirkah. Iz tega je sklepalo, da ukrepi za identifikacijo, ki jih je opravila češka policija in so predmet spora o glavni stvari, ne izpolnjujejo zahteve po sorazmernosti.

27

Direktorat češke policije je zoper navedeno sodbo vložil kasacijsko pritožbo pri Nejvyšší správní soud (vrhovno upravno sodišče, Češka republika), ki je predložitveno sodišče.

28

Direktorat češke policije v utemeljitev kasacijske pritožbe trdi, da je namen obdelave osebnih podatkov jasno izražen v členu 65 zakona o češki policiji. Trdi tudi, da so v obravnavani zadevi pristojne službe češke policije presodile sorazmernost odvzema in hrambe osebnih podatkov JH, pri čemer so upoštevale dejavnik povratništva, možnost poslabšanja vedenja in dejstvo, da je JH v preteklosti storil več prekrškov.

29

JH v odgovor zlasti trdi, da so službe češke policije izvedle ukrepe za identifikacijo, ne da bi pred tem preučile sorazmernost zadevnega posega. Graja tudi to, da navodila češke policije v zvezi z izvedbo ukrepov za identifikacijo niso javna.

30

Predložitveno sodišče poudarja, da v skladu z njegovo najnovejšo sodno prakso zgolj spoštovanje formalnih zahtev iz člena 65(1) zakona o češki policiji, zlasti zahteve v zvezi z opredelitvijo „naklepnega“ kaznivega dejanja, ne zadostuje za to, da bi se zbiranje in hramba osebnih podatkov, na katera se nanaša ta člen, lahko štela za zakonita. Tako naj bi morale službe policije presoditi sorazmernost odvzema v vsakem konkretnem primeru, pri čemer bi morale upoštevati zlasti kazensko preteklost, osebnost in ravnanje zadevne osebe, težo kaznivega dejanja, za katero je bila ta oseba vabljena zaradi izvedbe ukrepov za identifikacijo, in v okviru zahteve za naknadni izbris čas, ki je pretekel od storitve zadevnega kaznivega dejanja.

31

Na podlagi te sodne prakse naj bi nacionalna sodišča ugotovila nezakonitost ukrepov za identifikacijo, kot je zbiranje biometričnih in genskih podatkov, zlasti v primeru kaznivih dejanj, ki ne vključujejo nobenega nasilja in so jih storile osebe, ki še niso bile nikoli obsojene.

32

V tem okviru se predložitveno sodišče sprašuje o združljivosti pravne ureditve, določene v členu 65 zakona o češki policiji, z Direktivo 2016/680.

33

Na prvem mestu, to sodišče se sprašuje, ali zahteve, določene s to direktivo, nasprotujejo neselektivnemu zbiranju biometričnih in genskih podatkov za vsako osebo, ki je osumljena storitve naklepnega kaznivega dejanja.

34

Po eni strani naj bi bilo iz sodne prakse Evropskega sodišča za človekove pravice v zvezi s temeljno pravico do spoštovanja zasebnega življenja, kot je zagotovljena v členu 8 EKČP, razvidno, da morajo pogodbenice razlikovati med kaznivimi dejanji, za katera se zbirajo vzorci deoksiribonukleinske kisline (DNK), glede na njihovo resnost za družbo. Pogodbenice naj ne bi mogle enako obravnavati na eni strani storilcev hudih kaznivih dejanj, kot so kazniva dejanja, storjena z nasiljem, za katera naj bi bila odvzem in hramba vzorcev DNK legitimna, in na drugi strani storilcev manj hudih kaznivih dejanj.

35

Po drugi strani naj bi se glede zahtev, ki izhajajo iz načela sorazmernosti – kot je med drugim zahteva, ki je na področju uporabe Direktive 2016/680 konkretizirana v obliki načela najmanjšega obsega obdelave podatkov in obveznosti razlikovanja med različnimi kategorijami posameznikov, na katere se nanašajo osebni podatki, ki sta določena v členu 4(1)(c) te direktive oziroma v njenem členu 6 – postavljala vprašanja v zvezi s tem, ali zadostuje razlikovanje in abstracto na zakonodajni ravni, zlasti glede na težo predvidenih kaznivih dejanj, ali pa je treba in concreto presoditi sorazmernost odvzema v vsakem posameznem primeru.

36

Na drugem mestu, predložitveno sodišče se sprašuje, ali zahteve, določene z Direktivo 2016/680, nasprotujejo hrambi biometričnih in genskih podatkov, ne da bi bila v zvezi s tem izrecno določena časovna omejitev. Poleg tega naj nacionalna ureditev, ki se uporablja, ne bi določala zgornje meje trajanja hrambe identifikacijskih podatkov. V skladu z razlago sodne prakse Evropskega sodišča za človekove pravice, ki jo je podalo predložitveno sodišče, pa naj bi se s to sodno prakso zahtevala določitev take zgornje meje.

37

Na tretjem mestu, predložitveno sodišče se sprašuje, ali je sodno prakso čeških upravnih sodišč mogoče opredeliti kot „pravo države članice“ v smislu člena 8 Direktive 2016/680, ki določa pogoje za zakonitost obdelave osebnih podatkov.

38

Člen 65 zakona o češki policiji naj namreč ne bi podrobneje določal niti konkretnih pogojev hrambe in vrst informacij, ki jih je mogoče pridobiti iz odvzetega vzorca, niti pogojev za hrambo in izbris biometričnih in genskih podatkov, tako da naj ta člen sam po sebi ne bi mogel izpolnjevati zahtev iz člena 8(2) Direktive 2016/680 v povezavi s členom 10 te direktive.

39

Res je, da naj bi bil ta člen 65 dopolnjen z navodili predsednika policije, s katerimi se ta člen izvaja, vendar ta navodila niso niti predpisi niti niso objavljena, zato naj jim nikakor ne bi bilo mogoče priznati statusa „prava države članice“ v smislu člena 8(2) Direktive 2016/680.

40

Zato naj bi se postavljalo vprašanje, ali je mogoče šteti, da pravo države članice določa zadostna materialna in postopkovna jamstva za obdelavo občutljivih podatkov v smislu člena 10 te direktive, kot so biometrični in genski podatki, če so ta jamstva določena s sodno prakso.

41

V teh okoliščinah je Nejvyšší správní soud (vrhovno upravno sodišče) prekinilo odločanje in Sodišču v predhodno odločanje predložilo ta vprašanja:

42

Predložitveno sodišče s tretjim vprašanjem, ki ga je treba preučiti na prvem mestu, v bistvu sprašuje, ali je treba člena 8 in 10 Direktive 2016/680 razlagati tako, da je treba v zvezi z zbiranjem, hrambo in izbrisom biometričnih in genskih podatkov pojem „pravo države članice“ v smislu teh določb razumeti tako, da se nanaša le na splošno določbo, ki določa minimalne pogoje za zbiranje, hrambo in izbris takih podatkov, ali pa je lahko s tem pojmom zajeta tudi sodna praksa nacionalnih sodišč, v kateri so pojasnjeni ti pogoji.

43

V zvezi s tem je treba opozoriti, da v skladu s členom 3, točka 2, Direktive 2016/680 v povezavi s členom 3, točki 12 in 13, te direktive zbiranje, hramba in izbris biometričnih in genskih podatkov pomenijo obdelave osebnih podatkov v smislu te direktive.

44

V členu 4 Direktive 2016/680 so določena različna načela, ki veljajo za te obdelave, iz katerih je razvidno, kot izhaja iz uvodnih izjav 1 in 2 te direktive, kako je zakonodajalec Unije v mejah, določenih v členu 52 Listine, v zvezi z navedenimi obdelavami želel konkretizirati temeljno pravico posameznikov do varstva njihovih osebnih podatkov, priznano v členu 8 Listine, ki je tesno povezana s pravico do spoštovanja zasebnega življenja, določeno v členu 7 te listine, ob upoštevanju posebne narave dejavnosti preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij.

45

Med temi načeli člen 4(1)(a) Direktive 2016/680 določa, da morajo biti vsi osebni podatki obdelani zakonito in pošteno.

46

Člen 8(1) Direktive 2016/680 v zvezi s tem natančneje določa, da države članice zagotovijo, da obdelava osebnih podatkov, ki spada na področje uporabe te direktive, velja za zakonito le, če je potrebna, in v obsegu, v katerem je potrebna, za opravljanje naloge, ki jo izvaja pristojni organ za namene iz člena 1(1) navedene direktive in temelji na pravu Unije ali države članice.

47

Poleg tega je na podlagi člena 8(2) iste direktive obdelava takih podatkov mogoča le, če določba prava države članice, ki ureja to obdelavo, določa vsaj cilje te obdelave, kateri osebni podatki se obdelajo in namene obdelave.

48

Glede nekaterih vrst osebnih podatkov, kot so biometrični ali genski podatki, je namen člena 10 Direktive 2016/680 za te podatke zagotoviti večje varstvo z opredelitvijo strožjih pogojev za zakonitost obdelave takih podatkov (glej v tem smislu sodbi z dne 30. januarja 2024, Direktor na Glavna direktsia „Natsionalna politsia“ pri MVR – Sofia, C‑118/22, EU:C:2024:97, točka 48, in z dne 4. oktobra 2024, Bezirkshauptmannschaft Landeck (Poskus dostopa do osebnih podatkov, shranjenih v mobilnem telefonu), C‑548/21, EU:C:2024:830, točka 107). Te vrste podatkov so namreč, kot je poudarjeno v uvodni izjavi 37 te direktive, po naravi posebej občutljive z vidika svoboščin in temeljnih pravic, saj lahko okvir, v katerem se taki podatki obdelujejo, povzroči znatno tveganje za svoboščine in pravice posameznikov, na katere se nanašajo osebni podatki.

49

Tako mora biti v skladu s členom 10 Direktive 2016/680 vsaka obdelava osebnih podatkov, ki spadajo v katero od vrst, ki so taksativno naštete v tem členu (v nadaljevanju: občutljivi osebni podatki), dovoljena s pravom Unije ali pravom države članice.

50

Iz tega sledi, da je namen členov 8 in 10 Direktive 2016/680 natančneje določiti obseg nekaterih načel iz člena 4 te direktive, s katerimi je na področju, zajetem z navedeno direktivo, konkretizirana zlasti temeljna pravica posameznikov do varstva njihovih osebnih podatkov, priznana v členu 8 Listine.

51

Zato je treba pojem „pravo države članice“, uporabljen v teh členih 8 in 10, razumeti tako, da se z njim na področju, ki je zajeto z Direktivo 2016/680, udejanja pogoj iz člena 8(2) Listine, v skladu s katerim mora biti vsaka obdelava osebnih podatkov, ki se ne izvaja na podlagi privolitve zadevne osebe, izvedena na drugi legitimni podlagi, določeni z zakonom, ta pogoj pa zgolj odraža zahtevo iz člena 52 Listine, v skladu s katero mora biti kakršno koli omejevanje uresničevanja temeljnih pravic, priznanih s to listino, predpisano z zakonom. Ta pojem se tako nanaša na veljavnost uporabe nacionalnega prava kot pravne podlage za obdelavo osebnih podatkov.

52

Na eni strani je Sodišče, kot je generalni pravobranilec poudaril v točki 82 sklepnih predlogov, ob upoštevanju ustaljene sodne prakse Evropskega sodišča za človekove pravice razsodilo, da je treba izraz „zakon“, uporabljen v členu 8(2) Listine v izrazu „podlagi, določeni z zakonom“, razumeti v njegovem vsebinskem, in ne formalnem pomenu (sodba z dne 16. novembra 2023, Roos in drugi/Parlament, C‑458/22 P, neobjavljena, EU:C:2023:871, točka 61). Na drugi strani v skladu s to sodno prakso Evropskega sodišča za človekove pravice navedeni pomen izraza „zakon“ v izrazu „določeno z zakonom“ iz člena 8(2) EKČP pomeni, da se ta izraz nanaša na veljavno besedilo, kot so ga razlagala pristojna sodišča (glej v tem smislu sodbo ESČP z dne 23. januarja 2025, H. W. proti Franciji, CE:ECHR:2025:0123JUD001380521, točka 65).

53

Poleg tega – kot izhaja iz sodne prakse Sodišča – čeprav zahteva, da mora biti kakršno koli omejevanje uresničevanja temeljnih pravic, priznanih z Listino, predpisano z zakonom, pomeni, da sam akt, ki omogoča poseganje v te pravice, opredeljuje obseg te omejitve, pa ta zahteva ne izključuje, prvič, da je zadevna omejitev oblikovana dovolj ohlapno, da se lahko prilagodi različnim primerom in spremembam položajev, in drugič, da lahko pristojno sodišče po potrebi z razlago pojasni konkretni obseg navedene omejitve tako glede na besedilo tega akta, ki omogoča poseg, kot glede na splošno sistematiko navedenega akta in cilje, ki se z njim uresničujejo (glej po analogiji sodbo z dne 21. junija 2022, Ligue des droits humains,C‑817/19, EU:C:2022:491, točka 114).

54

Zato je treba pojem „pravo držav članic“ v smislu členov 8 in 10 Direktive 2016/680 v povezavi s členom 8(2) Listine razumeti tako, da se lahko nanaša na določbo, ki izrecno predvideva obdelavo osebnih podatkov s področja uporabe te direktive, kot se razlaga v sodni praksi nacionalnih sodišč.

55

Vsekakor, kot je bilo navedeno v točki 47 te sodbe, člen 8(2) Direktive 2016/680 določa, da je obdelava osebnih podatkov, ki spada na področje uporabe te direktive, mogoča le, če določba prava države članice, ki ureja to obdelavo, določa vsaj cilje obdelave, kateri osebni podatki se obdelajo in namene obdelave.

56

V zvezi s tem pa je treba navesti, prvič, da sklicevanje na „pravo“ države članice, ki „ureja“ zadevno obdelavo, pomeni, da so cilji obdelave, osebni podatki, ki se obdelujejo, in nameni obdelave vsaj načeloma določeni s splošno določbo. Drugič, namen tega člena 8(2), kot izrecno izhaja iz uvodne izjave 33 navedene direktive, je, da je pravo države članice, ki je odgovorna za obdelavo, za pravne subjekte jasno in natančno, njegova uporaba pa predvidljiva, v skladu s sodno prakso Sodišča in Evropskega sodišča za človekove pravice.

57

V skladu s sodno prakso Evropskega sodišča za človekove pravice mora imeti vsak ukrep, ki pomeni pravno podlago za obdelavo osebnih podatkov, nekatere lastnosti, in sicer mora biti v bistvu, najprej, v skladu s hierarhično višjimi pravili, dalje, dostopen in, nazadnje, dovolj predvidljiv, to je v razumni meri v okoliščinah zadeve, da se zadevnim posameznikom omogoči, da usmerjajo svoje ravnanje, kar pomeni, da ta ukrep dovolj jasno opredeljuje obseg in načine izvajanja pooblastila, podeljenega pristojnim organom (glej v tem smislu zlasti sodbe ESČP z dne 26. aprila 1979, Sunday Times proti Združenemu kraljestvu, CE:ECHR:1979:0426JUD00065387, točki 25 in 52; z dne 1. julija 2008, Liberty in drugi proti Združenemu kraljestvu, CE:ECHR:2008:0701JUD005824300, točki 62 in 63, in z dne 4. decembra 2008, S. in Marper proti Združenemu kraljestvu, CE:ECHR:2008:1204JUD003056204, točka 95).

58

Prav tako je iz sodne prakse Sodišča razvidno, da mora ureditev, ki povzroča poseg v temeljne pravice iz členov 7 in 8 Listine, da bi izpolnjevala zahtevo iz člena 52 Listine po tem, da je določena z zakonom, določati jasna in natančna pravila, ki urejajo obseg in uporabo ukrepa ter določajo minimalne zahteve, tako da imajo osebe, za katerih osebne podatke gre, na voljo zadostna jamstva, ki omogočajo učinkovito varstvo njihovih podatkov pred tveganji zlorabe ter pred vsakršnim nezakonitim dostopom do teh podatkov in njihovo nezakonito uporabo (glej sodbi z dne 8. aprila 2014, Digital Rights Ireland in drugi, C‑293/12 in C‑594/12, EU:C:2014:238, točka 54, in z dne 6. oktobra 2015, Schrems,C‑362/14, EU:C:2015:650, točka 91).

59

Ker je namen člena 8(2) Direktive 2016/680 zagotoviti spoštovanje zahtev, na katere je bilo opozorjeno v točkah 56 in 57 te sodbe, iz tega izhaja, da morajo zastavljeni cilji, zadevni osebni podatki in nameni obdelave, ki je zajeta s to direktivo, dovolj jasno in natančno izhajati iz določbe, ki ureja to obdelavo, da bi bilo mogoče šteti, da ta obdelava izpolnjuje zahteve glede določenosti z zakonom v smislu sodne prakse Evropskega sodišča za človekove pravice in člena 52 Listine.

60

Glede na vse navedeno je treba na tretje vprašanje odgovoriti, da je treba člena 8 in 10 Direktive 2016/680 razlagati tako, da je treba v zvezi z zbiranjem, hrambo in izbrisom biometričnih in genskih podatkov pojem „pravo države članice“ v smislu teh členov razumeti tako, da se nanaša na splošno določbo, ki določa minimalne pogoje za zbiranje, hrambo in izbris takih podatkov, kot se razlaga v sodni praksi nacionalnih sodišč, če je ta sodna praksa dostopna in dovolj predvidljiva.

61

Evropska komisija v pisnem stališču predlaga, naj se prvo vprašanje razglasi za nedopustno, ker so bili odvzem genskega materiala JH in biometrični ukrepi v zvezi z njim, ki jih je izvedla češka policija, opravljeni 13. januarja 2016, torej pred začetkom veljavnosti Direktive 2016/680, ki je 5. maj 2016, in pred iztekom roka za prenos te direktive, ki je v členu 63(1) te direktive določen na 6. maj 2018.

62

V zvezi s tem je treba opozoriti, da Sodišče lahko zavrne odločanje o vprašanju za predhodno odločanje, ki ga je postavilo nacionalno sodišče, samo, če je očitno, da zahtevana razlaga prava Unije nima nobene zveze z dejanskim stanjem ali predmetom spora o glavni stvari, če je problem hipotetičen ali če Sodišče nima na voljo dejanskih in pravnih elementov, ki so potrebni, da bi lahko na zastavljena vprašanja dalo koristne odgovore (sodba z dne 20. marca 2025, Anib in drugi, od C‑728/22 do C‑730/22, EU:C:2025:200, točka 48).

63

V obravnavani zadevi člen 64 Direktive 2016/680 določa, da ta začne veljati 5. maja 2016, medtem ko člen 63 te direktive določa, da morajo države članice sprejeti in objaviti zakone in druge predpise, potrebne za uskladitev s to direktivo, do 6. maja 2018.

64

Vendar je iz spisa, ki je na voljo Sodišču, razvidno, da so bili osebni podatki, ki so bili v zvezi z JH na podlagi genskih odvzemov in njegovih biometričnih zapisov zbrani 13. januarja 2016, še naprej shranjeni v podatkovnih zbirkah češke policije in so se torej obdelovali po 6. maju 2018.

65

Brez poseganja v položaje iz člena 4(2) Direktive 2016/680 pa iz člena 4(1)(b) te direktive izhaja, da se osebni podatki ne smejo obdelovati, če njihovo zbiranje ni bilo upravičeno z zakonitimi nameni.

66

Zato, kot je generalni pravobranilec poudaril v točki 34 sklepnih predlogov, osebnih podatkov, ki spadajo na področje uporabe Direktive 2016/680 in ki so bili zakonito zbrani pred začetkom veljavnosti te direktive, vendar bi bili zbrani v nasprotju z načeli, določenimi s to direktivo, če bi bili zbrani po datumu, ko je bila navedena direktiva prenesena – ali v primeru njenega neprenosa po roku, do katerega bi ta morala biti prenesena, to je 6. maja 2018 – ni mogoče hraniti po datumu prenosa navedene direktive ali, v primeru njenega neprenosa, po datumu, do katerega bi ta morala biti prenesena.

67

Tako v obravnavani zadevi ni očitno, da prvo vprašanje nujno nima nobene zveze z dejanskim stanjem ali predmetom spora o glavni stvari ali da je izpostavljeni problem hipotetičen iz razloga, na katerega se sklicuje Komisija, da se nanaša na biometrične in genske podatke, zbrane pred začetkom veljavnosti Direktive 2016/680.

68

Poleg tega ima Sodišče na voljo vse potrebne dejanske in pravne elemente, da lahko koristno odgovori na prvo vprašanje, zato je treba to vprašanje šteti za dopustno.

69

Predložitveno sodišče s prvim vprašanjem v bistvu sprašuje, ali je treba člen 6 ali člen 4(1)(c) Direktive 2016/680 v povezavi s členom 10 te direktive razlagati tako, da nasprotujejo nacionalni ureditvi, ki brez razlikovanja dovoljuje zbiranje biometričnih in genskih podatkov vseh oseb, ki so obdolžene ali osumljene storitve naklepnega kaznivega dejanja.

70

V zvezi s tem je treba na prvem mestu, kar zadeva člen 6 Direktive 2016/680, opozoriti, da ta člen državam članicam nalaga, da določijo, da upravljavec, „kadar je to ustrezno in v največji možni meri“, jasno razlikuje med osebnimi podatki različnih kategorij posameznikov, na katere se nanašajo osebni podatki, kot so kategorije, navedene v točkah od (a) do (d) tega člena, in sicer gre za osebe, v zvezi s katerimi obstaja utemeljen sum, da so storile kaznivo dejanje ali ga nameravajo storiti, osebe, ki so bile obsojene za kaznivo dejanje, žrtve kaznivega dejanja ali osebe, v zvezi s katerimi zaradi nekaterih dejstev obstajajo razlogi za domnevo, da bi lahko postale žrtve kaznivega dejanja, in, nazadnje, druge osebe, povezane s kaznivim dejanjem, kot so osebe, od katerih bi se lahko zahtevalo pričanje v preiskavah v zvezi s kaznivimi dejanji ali poznejšimi kazenskimi postopki, osebe, ki lahko zagotovijo informacije o kaznivih dejanjih, ali stiki ali sodelavci ene od oseb iz točk (a) in (b) istega člena.

71

V skladu s to določbo morajo države članice torej zagotoviti, da upravljavec, „kadar je to ustrezno in v največji možni meri“, jasno razlikuje med podatki različnih kategorij posameznikov, na katere se nanašajo osebni podatki, tako da se zanje ne uporablja enaka stopnja poseganja v njihovo temeljno pravico do varstva njihovih osebnih podatkov brez razlikovanja, ne glede na kategorijo, v katero spadajo, pri čemer morajo biti te kategorije določene predvsem na podlagi kazenskega statusa zadevne osebe.

72

Kot je poudarjeno v izrazu „kadar je to ustrezno in v največji možni meri“ iz člena 6 Direktive 2016/680, obveznost razlikovanja nekaterih kategorij oseb, ki jo ta člen nalaga državam članicam, ni absolutna, ampak je odvisna zlasti od tega, ali je v vsakem posameznem primeru mogoče jasno razlikovati med temi kategorijami oseb (glej v tem smislu sodbo z dne 26. januarja 2023, Ministerstvo na vatreshnite raboti (Vpis biometričnih in genetskih podatkov v evidenco, ki ga izvaja policija), C‑205/21, EU:C:2023:49, točka 84) in od namenov obdelave.

73

V obravnavani zadevi češka vlada trdi, da je treba sklicevanje predložitvenega sodišča na kategorijo osumljenih oseb razumeti tako, da se nanaša na osebe, ki so bile v okviru hitrega predhodnega postopka obveščene o sumih, kar naj bi v nacionalni zakonodaji iz postopka v glavni stvari tako kot za obdolžence zahtevalo, da je zbranih dovolj elementov, ki dokazujejo, da so zadevne osebe storile kaznivo dejanje.

74

Če pa bi bilo tako, kar bo moralo preveriti predložitveno sodišče, bi bilo mogoče za ti kategoriji oseb za namene dane obdelave šteti, da obe spadata v kategorijo iz člena 6(a) Direktive 2016/680, če nameni, ki se uresničujejo z zadevno obdelavo, ne zahtevajo razlikovanja med navedenima kategorijama.

75

Zato je treba člen 6 Direktive 2016/680 razlagati tako, da ne nasprotuje nacionalni ureditvi, ki brez razlikovanja dovoljuje zbiranje biometričnih in genskih podatkov oseb, ki spadajo v kategorijo oseb, „ki so obdolžene storitve naklepnega kaznivega dejanja“, in oseb, ki spadajo v kategorijo oseb, „ki so osumljene storitve takega kaznivega dejanja“ v smislu nacionalnega prava, kadar nameni tega zbiranja ne zahtevajo razlikovanja med tema kategorijama oseb, katerih podatki se lahko zbirajo na podlagi te ureditve.

76

Na drugem mestu, kar zadeva člen 4(1)(c) Direktive 2016/680 v povezavi s členom 10 te direktive, prvi od teh členov določa, da morajo države članice zagotoviti, da so osebni podatki ustrezni, relevantni in ne prekomerni glede na namene, za katere se obdelujejo. Ta zadnja zahteva pomeni, da morajo države članice spoštovati načelo najmanjšega obsega obdelave podatkov glede na cilj in namen zadevne obdelave.

77

Člen 10 navedene direktive pa določa, da mora obdelava občutljivih osebnih podatkov, med katerimi so biometrični in genski podatki, poleg pogoja, da spada pod katerega od treh primerov, ki so taksativno našteti v točkah od (a) do (c) tega člena, izpolnjevati še dva druga pogoja, in sicer, prvič, pogoj, da je zagotovljena ustrezna zaščita pravic in svoboščin posameznika, na katerega se nanašajo osebni podatki, in drugič, pogoj, da je predvidena obdelava nujno potrebna.

78

Kar pa zadeva ta zadnji pogoj, se z njim najprej zahteva, da se ta potreba presoja posebej strogo glede na namene, ki se uresničujejo z zadevno obdelavo, nato pa, da je tako obdelavo mogoče šteti za potrebno le v omejenem številu primerov (glej v tem smislu sodbo z dne 26. januarja 2023, Ministerstvo na vatreshnite raboti (Vpis biometričnih in genetskih podatkov v evidenco, ki ga izvaja policija), C‑205/21, EU:C:2023:49, točka 118).

79

Tako nameni obdelave biometričnih in genskih osebnih podatkov ne smejo biti določeni preveč splošno, ampak jih je treba opredeliti dovolj natančno in konkretno, da je mogoče oceniti „nujno potrebo“ po tej obdelavi (sodba z dne 26. januarja 2023, Ministerstvo na vatreshnite raboti (Vpis biometričnih in genetskih podatkov v evidenco, ki ga izvaja policijaC‑205/21, EU:C:2023:49, točka 124).

80

V zvezi s tem v Direktivi 2016/680 pojem „nameni obdelave“ sicer res ni opredeljen, vendar je mogoče ugotoviti, da člen 8(2) te direktive izrecno razlikuje med tem pojmom in pojmom „cilji obdelave“. Člen 4(1)(b) navedene direktive pa določa, da morajo biti nameni, ki se uresničujejo z obdelavo osebnih podatkov, med drugim določeni in izrecni ter da se ti podatki ne smejo obdelovati na način, ki ni združljiv s temi nameni, medtem ko člen 4(1)(c) iste direktive določa, da se glede na navedene namene presoja zlasti ustreznost, relevantnost in neprekomernost osebnih podatkov, ki so predmet te obdelave.

81

Zato je mogoče iz tega sklepati, da pojem „cilji obdelave“ v smislu tega člena 8(2) napotuje na splošnejše namene iz člena 1(1) Direktive 2016/680, ki se morajo uresničevati z obdelavo, da ta spada na področje uporabe te direktive, medtem ko je treba pojem „nameni obdelave“ v smislu zlasti člena 8(2) Direktive 2016/680 razumeti tako, da se nanaša na specifične in konkretne cilje, ki se uresničujejo z obdelavo osebnih podatkov glede na nalogo, ki jo ima upravljavec, kot je posebna naloga v zvezi s preprečevanjem ali odkrivanjem kaznivih dejanj ali v zvezi z izvedbo preiskave in pregona na tem področju ali v zvezi z izvrševanjem kazenskih sankcij.

82

Dalje, ker je, kot je razvidno iz uvodne izjave 26 Direktive 2016/680 ob upoštevanju načela sorazmernosti, za neobčutljive osebne podatke pogoj potrebnosti v smislu te direktive izpolnjen, če namena zadevne obdelave razumno ni mogoče enako učinkovito doseči z drugimi sredstvi, ki manj posegajo v temeljne pravice posameznikov, na katere se nanašajo osebni podatki, je treba iz tega sklepati, da pogoj za obdelavo občutljivih osebnih podatkov, in sicer, da je ta obdelava nujno potrebna, zahteva, da se upravljavec prepriča, da namena, ki se uresničuje z zadevno obdelavo, ni mogoče enako učinkovito doseči z uporabo drugih kategorij podatkov od tistih, ki so naštete v členu 10 Direktive 2016/680 (glej v tem smislu sodbo z dne 26. januarja 2023, Ministerstvo na vatreshnite raboti (Vpis biometričnih in genetskih podatkov v evidenco, ki ga izvaja policija), C‑205/21, EU:C:2023:49, točka 126).

83

Poleg tega glede na velika tveganja, ki jih pomeni obdelava občutljivih osebnih podatkov za pravice in svoboščine posameznikov, na katere se nanašajo osebni podatki, zlasti v okviru nalog pristojnih organov za namene iz člena 1(1) Direktive 2016/680, pogoj „nujne potrebnosti“ zahteva, da se upošteva poseben pomen namena, ki se uresničuje z zadevno obdelavo, pri čemer je tak pomen mogoče presoditi med drugim glede na naravo tega namena, glede na to, ali ima ta obdelava specifičen in konkreten cilj v povezavi s preprečevanjem kaznivih dejanj ali groženj javni varnosti določene stopnje resnosti, pregonom takih kaznivih dejanj ali zaščito pred takimi grožnjami, ter glede na posebne okoliščine, v katerih se ta obdelava izvaja (glej v tem smislu sodbo z dne 26. januarja 2023, Ministerstvo na vatreshnite raboti (Vpis biometričnih in genetskih podatkov v evidenco, ki ga izvaja policija), C‑205/21, EU:C:2023:49, točka 127).

84

Vsekakor je treba, kar zadeva zbiranje biometričnih in genskih podatkov oseb, ki so obdolžene storitve naklepnega kaznivega dejanja ali osumljene storitve takega kaznivega dejanja, zaradi ugotavljanja identitete in prihodnje primerjave teh oseb, pri tem, ali je to zbiranje nujno potrebno, upoštevati vse relevantne elemente, kot so zlasti narava in teža domnevnega kaznivega dejanja, za katero so bile te osebe obdolžene, posebne okoliščine tega kaznivega dejanja, morebitna povezava navedenega kaznivega dejanja z drugimi postopki v teku, predkaznovanost ali individualni profil zadevnih oseb (glej v tem smislu sodbo z dne 26. januarja 2023, Ministerstvo na vatreshnite raboti (Registracija biometričnih in genetskih podatkov s strani policije), C‑205/21, EU:C:2023:49, točka 132).

85

Nazadnje, pogoj „nujne potrebnosti“ pomeni posebej strog nadzor nad spoštovanjem načela najmanjšega obsega obdelave zadevnih podatkov, določenega v členu 4(1)(c) te direktive (glej sodbo z dne 26. januarja 2023, Ministerstvo na vatreshnite raboti (Vpis biometričnih in genetskih podatkov v evidenco, ki ga izvaja policija), C‑205/21, EU:C:2023:49, točka 125).

86

Natančneje, kar zadeva hrambo ali uporabo podatkov, pridobljenih iz DNK oseb, za namene identifikacije ali primerjave, tako načelo pomeni, da je treba za presojo nujne potrebnosti takih obdelav ustrezno upoštevati možnost, da se uporabijo izključno polimorfizmi, prisotni v nekodirajočih območjih DNK, to je območjih, za katera je priznano, da ne dajejo informacij o etnični pripadnosti ali genetskih boleznih teh oseb.

87

To pomeni, da država članica sicer lahko uskladi svoje delovanje z Direktivo 2016/680 bodisi tako, da na pristojne organe prenese skrb za to, da v vsakem posameznem primeru zagotovijo izpolnjevanje pogoja, da je vsaka obdelava občutljivih osebnih podatkov nujno potrebna, bodisi tako, da na zakonodajni ravni določi merila za presojo, ki jih morajo organi nato uporabiti na nediskrecijski način, vendar morajo biti v zadnjenavedernem primeru ta merila takšna, da izpolnjujejo vse zahteve, ki izhajajo iz tega pogoja, kot so navedene v točkah od 77 do 83 te sodbe.

88

Tako je Sodišče v sodbi z dne 26. januarja 2023, Ministerstvo na vatreshnite raboti (Vpis biometričnih in genetskih podatkov v evidenco, ki ga izvaja policija) (C‑205/21, EU:C:2023:49, točka 135), razsodilo, da je nacionalna zakonodaja, ki določa sistematično zbiranje biometričnih in genskih podatkov vsake osebe, ki je obdolžena naklepnega kaznivega dejanja, ki se preganja po uradni dolžnosti, zaradi njihovega vpisa v evidenco, ne da bi bila določena obveznost, da pristojni organ ugotovi in dokaže, prvič, da je takšno zbiranje podatkov nujno potrebno za dosego specifičnih in konkretnih ciljev, in drugič, da teh ciljev ni mogoče doseči z ukrepi, ki pomenijo manjši poseg v pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, v nasprotju s tem pogojem nujne potrebnosti.

89

Vendar je treba navesti, da medtem ko se je zbiranje, določeno z ureditvijo, obravnavano v zadevi, v kateri je bila izdana navedena sodba, obvezno uporabljalo za vse osebe, obdolžene naklepnih kaznivih dejanj, ki se preganjajo po uradni dolžnosti, se prvo vprašanje nanaša na ureditev, ki policijskim službam daje le možnost odvzema biometričnih in genskih podatkov v zvezi z osebami, ki so obdolžene ali osumljene storitve naklepnega kaznivega dejanja.

90

Dejstvo, da ureditev policijskim službam daje tako možnost, pa ne pomeni, da pravo zadevne države članice dovoljuje, da je to zbiranje sistematično ali da ga je mogoče izvesti ob kršitvi zlasti načela najmanjšega obsega obdelave podatkov, določenega v členu 4(1)(c) Direktive 2016/680, ali pogoja, da morajo biti zadevne obdelave nujno potrebne, iz člena 10 te direktive, če so v tem pravu, vključno s sodno prakso nacionalnih sodišč, ustrezno in dovolj natančno opredeljeni nameni, ki se uresničujejo s tako obdelavo biometričnih in genskih podatkov, to so specifični in konkretni cilji obdelave osebnih podatkov glede na nalogo, ki je zaupana upravljavcu, ter če se taka možnost izvaja v skladu z zahtevami, navedenimi v točkah od 77 do 83 te sodbe.

91

Tako je iz elementov, ki so na voljo Sodišču, razvidno, da v obravnavani zadevi nacionalna sodna praksa določa nekatere zahteve, katerih namen je zagotoviti spoštovanje tega načela, kot je obveznost policije, da pred odvzemom vzorca DNK upošteva zlasti kazensko preteklost storilca storjenega kaznivega dejanja, resnost tega kaznivega dejanja glede na vrsto zadevnega kaznivega dejanja in njegove posebne okoliščine, ki zahtevajo odvzem vzorcev, ter osebnost storilca dejanj.

92

V tem položaju morajo nacionalna sodišča v vsakem primeru preveriti, ali so policijski organi zbiranje opravili v nasprotju z načeli, ki urejajo obdelavo osebnih podatkov, določenimi v členu 4 Direktive 2016/680, in posebnimi zahtevami, ki se uporabljajo za obdelavo občutljivih osebnih podatkov, določenimi v členu 10 te direktive, kot se razlaga ob upoštevanju členov 7 in 8 Listine.

93

V zvezi s tem je treba še poudariti, da zgolj okoliščina, da je kaznivo dejanje, ki se očita osebi, gospodarske narave ter da se biometrični in genski podatki te osebe zberejo, preden je ta pravnomočno obsojena, ne zadostuje za izključitev tega, da se tako zbiranje lahko šteje za nujno potrebno, ker se lahko ob upoštevanju uresničevanih namenov to zbiranje, tudi glede na vrsto zadevnih podatkov, izkaže za nujno potrebno, zlasti za ugotovitev, ali je navedena oseba zaradi svojega morebitnega članstva v hudodelski združbi lahko sodelovala pri drugih kaznivih dejanjih, za katera bi lahko bili upoštevni tovrstni podatki, ali, če obstaja nevarnost pobega, za omogočanje njene identifikacije.

94

Glede na vse navedeno je treba na prvo vprašanje odgovoriti, da je treba člen 6 in člen 4(1)(c) Direktive 2016/680 v povezavi s členom 10 te direktive razlagati tako, da ne nasprotujejo nacionalni ureditvi, ki brez razlikovanja dovoljuje zbiranje biometričnih in genskih podatkov vseh oseb, obdolženih storitve naklepnega kaznivega dejanja ali osumljenih storitve takega kaznivega dejanja, če, prvič, nameni tega zbiranja ne zahtevajo razlikovanja med tema kategorijama oseb, in drugič, morajo upravljavci v skladu z nacionalnim pravom, vključno s sodno prakso nacionalnih sodišč, spoštovati vsa posebna načela in zahteve iz členov 4 in 10 navedene direktive.

95

V uvodu je treba navesti, da čeprav se predložitveno sodišče v drugem vprašanju sklicuje na nacionalno ureditev, katere posledica je, da se zadevni osebni podatki v večini primerov hranijo za „nedoločen čas“, je iz elementov spisa, ki je na voljo Sodišču, razvidno, da to sodišče z izrazom „nedoločen čas“ navsezadnje misli na okoliščino, da ni določeno nobeno najdaljše trajanje hrambe, ne pa na okoliščino, da bi bila taka hramba časovno neomejena.

96

Zato je treba razumeti, da predložitveno sodišče z drugim vprašanjem v bistvu sprašuje, ali je treba člen 4(1)(e) Direktive 2016/680 razlagati tako, da nasprotuje nacionalni ureditvi, na podlagi katere policijske službe potrebo po nadaljnji hrambi biometričnih in genskih podatkov presojajo na podlagi notranjih pravil, ne da bi ta ureditev določala najdaljše trajanje hrambe.

97

Glede tega člen 4(1)(e) Direktive 2016/680 določa, da morajo države članice zagotoviti, da se osebni podatki hranijo v obliki, ki dopušča identifikacijo posameznikov, na katere se osebni podatki nanašajo, le toliko časa, kolikor je potrebno za namene, za katere se ti podatki obdelujejo.

98

Na prvem mestu, v zvezi z okoliščino, da zadevna nacionalna ureditev ne določa najdaljšega trajanja hrambe, je treba opozoriti, da v skladu z zahtevami iz člena 4(1)(e) Direktive 2016/680 člen 5 te direktive državam članicam nalaga, da določijo ustrezne roke za izbris osebnih podatkov ali za reden pregled potrebe po shranjevanju teh podatkov ter postopkovne ukrepe, ki omogočajo zagotovitev spoštovanja teh rokov.

99

Člen 5 navedene direktive pa prepušča državam članicam, da določijo navedene roke, dokler so ti „ustrezni“, in da odločijo, ali se ti roki nanašajo na izbris navedenih podatkov ali na reden pregled potrebe po njihovem shranjevanju.

100

Res je, da je treba člen 4(1)(e) in člen 5 Direktive 2016/680 razlagati zlasti v povezavi s členom 10 te direktive, tako da mora biti hramba biometričnih ali genskih podatkov nujno potrebna ter zagotavljati ustrezne zaščitne ukrepe za pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki.

101

Vendar, kadar država članica določi ustrezne roke za reden pregled potrebe po shranjevanju osebnih podatkov in je treba pri tem pregledu presoditi nujno potrebo po podaljšanju tega shranjevanja, je treba šteti, da pravo zadevne države članice izpolnjuje take zahteve. Tako tej državi članici tudi takrat, kadar so podatki, ki se hranijo, občutljivi osebni podatki, ni treba določiti absolutnih časovnih omejitev za hrambo teh podatkov, katerih prekoračitev bi zahtevala samodejni izbris teh podatkov (glej v tem smislu sodbo z dne 30. januarja 2024, Direktor na Glavna direktsiaNatsionalna politsia pri MVR – Sofia, C‑118/22, EU:C:2024:97, točka 52).

102

Ustreznost takih rokov za reden pregled pa zahteva, prvič, da se v skladu s členom 4(1)(c) in (e) Direktive 2016/680 ob upoštevanju člena 52(1) Listine do takrat hranjeni osebni podatki izbrišejo, in to pod pogoji iz člena 16(2) in (3) te direktive, če se pri katerem od opravljenih pregledov ugotovi, da hramba istih podatkov ni več nujno potrebna in se zato izkaže za prekomerno glede na zastavljene cilje (glej v tem smislu sodbo z dne 30. januarja 2024, Direktor na Glavna direktsia Natsionalna politsia pri MVR – Sofia, C‑118/22, EU:C:2024:97, točke 45, 48 in 50 ter navedena sodna praksa).

103

Drugič, glede na zahteve, določene v členu 4(1)(c) Direktive 2016/680, da so vsi osebni podatki ustrezni, relevantni in ne prekomerni glede na namene, za katere se obdelujejo, okoliščino, da je treba to določbo in člen 8 te direktive razlagati ob upoštevanju zahtev, ki izhajajo iz člena 52 Listine, ter obveznost, določeno v členu 6 navedene direktive, da upravljavec, ki po potrebi jasno razlikuje med osebnimi podatki različnih kategorij posameznikov, na katere se nanašajo osebni podatki, teh rokov za pregled ni mogoče šteti za ustrezne, če spremembe kazenskega statusa posameznika, na katerega se nanašajo osebni podatki, ki se štejejo za upoštevne glede na namen te hrambe, ne povzročijo obveznosti upravljavca, da v razumnem roku ponovno pregleda potrebo po hrambi podatkov v zvezi s to osebo.

104

Na drugem mestu, kar zadeva okoliščino, da policijske službe potrebo po nadaljnji hrambi biometričnih in genskih podatkov presojajo na podlagi notranjih pravil, taka okoliščina sama po sebi ni v nasprotju s členom 8(2) Direktive 2016/680, če ta notranja pravila tem službam nalagajo, da zagotovijo spoštovanje pogoja v zvezi z obstojem nujne potrebe po hrambi teh podatkov, in če je polje proste presoje teh služb dovolj zamejeno z nacionalnim pravom, vključno s sodno prakso nacionalnih sodišč.

105

Čeprav okoliščina, da so pravila notranja in torej niso dostopna vsem posameznikom, katerih osebni podatki se lahko obdelujejo, povzroči, da se pristojni organi ne morejo sklicevati na taka pravila, da bi dokazali, da spoštujejo zahteve, ki veljajo zanje, ta okoliščina namreč ne povzroči, da obdelave osebnih podatkov, ki so bile odrejene glede na ta pravila, samodejno postanejo nezakonite, ampak zahteva, da po potrebi v primeru pravnega sredstva zoper odločitev za kako od teh obdelav službe policije pred pristojnim sodiščem neodvisno od teh notranjih pravil dokažejo, da je bil pogoj „nujne potrebnosti“ ustrezno spoštovan.

106

V obravnavani zadevi, prvič, po mnenju češke vlade zlasti iz člena 65(5) zakona o češki policiji, kar mora preveriti predložitveno sodišče, izhaja, da je treba profile DNK oseb, ki so preganjane zaradi storitve naklepnega kaznivega dejanja ali so osumljene, da so storile tako kaznivo dejanje, izbrisati, kadar njihova hramba ni več potrebna glede na zastavljene cilje, to je, kadar te osebe več niso preganjane ali niso več osumljene in te osebe niso preganjane ali osumljene v okviru drugega kazenskega postopka ali če pred tem niso storile drugih težjih ali lažjih kaznivih dejanj.

107

Vendar je treba v zvezi s tem opozoriti, da je za hrambo biometričnih in genskih podatkov to, da izpolnjuje zahtevo, da mora biti dovoljena le, „če je nujno potrebna“ v smislu člena 10 Direktive 2016/680, mogoče šteti le, če se pri njej upoštevajo ne le morebitna povezava posameznika, na katerega se nanašajo osebni podatki, z drugimi postopki v teku ali predkaznovanost ali njegov profil, ampak tudi narava in teža kaznivega dejanja, ki je pripeljalo do pravnomočne kazenske obsodbe, ali druge okoliščine, kot so poseben okvir, v katerem je bilo to kaznivo dejanje storjeno (glej v tem smislu sodbo z dne 30. januarja 2024, Direktor na Glavna direktsiaNatsionalna politsia pri MVR – Sofia, C‑118/22, EU:C:2024:97, točka 67).

108

Drugič, čeprav češko pravo ne določa najdaljšega trajanja hrambe osebnih podatkov, zbranih na podlagi člena 65(1) zakona o češki policiji, člen 82(1) tega zakona policijskim službam vseeno nalaga, da vsaj enkrat na tri leta preverijo, ali je hramba teh podatkov še vedno potrebna za opravljanje njihovih nalog.

109

Zato bo moralo predložitveno sodišče ugotoviti, ali je glede na namene, ki se uresničujejo s hrambo zadevnih biometričnih in genskih podatkov, takšno triletno obdobje preverjanja mogoče šteti za ustrezno, pri čemer pa je treba pojasniti, da v nasprotnem primeru izbris teh podatkov vseeno ne bi bil potreben, če bi bilo dokazano, da njihova hramba vsekakor ostaja nujno potrebna.

110

Glede na vse zgoraj navedeno je treba na drugo vprašanje odgovoriti, da je treba člen 4(1)(e) Direktive 2016/680 razlagati tako, da ne nasprotuje nacionalni ureditvi, na podlagi katere policijske službe potrebo po nadaljnji hrambi biometričnih in genskih podatkov presojajo na podlagi notranjih pravil, ne da bi ta ureditev določala najdaljše trajanje hrambe, če navedena ureditev določa ustrezne roke za reden pregled potrebe po hrambi teh podatkov in če se ob tem pregledu presodi nujna potreba po podaljšanju njihove hrambe.

111

Ker je ta postopek za stranki v postopku v glavni stvari ena od stopenj v postopku pred predložitvenim sodiščem, to odloči o stroških. Stroški za predložitev stališč Sodišču, ki niso stroški navedenih strank, se ne povrnejo.

Iz teh razlogov je Sodišče (peti senat) razsodilo: