Дело C-118/22
NG
срещу
Директор на Главна дирекция „Национална полиция“ при МВР София
(Преюдициално запитване, отправено от Върховен административен съд)
Решение на Съда (голям състав) от 30 януари 2024 година
„Преюдициално запитване — Защита на физическите лица във връзка с обработването на лични данни за целите на борбата с престъпленията — Директива (ЕС) 2016/680 — Член 4, параграф 1, букви в) и д) — Свеждане на данните до минимум — Ограничаване на съхранението — Член 5 — Подходящи срокове за изтриването или за периодичната проверка на необходимостта от съхранението — Член 10 — Обработване на биометрични и генетични данни — Абсолютна необходимост — Член 16, параграфи 2 и 3 — Право на изтриване — Ограничаване на обработването — Член 52, параграф 1 от Хартата на основните права на Европейския съюз — Осъдено с влязла в сила присъда и впоследствие реабилитирано физическо лице — Срок на съхранение на данните до смъртта — Липса на право на изтриване или на ограничаване на обработването — Пропорционалност“
Сближаване на законодателствата — Защита на физическите лица във връзка с обработването на лични данни в областта на наказателното право — Директива 2016/680 — Съхранение на лични данни, и по-конкретно на биометрични и генетични данни на лица, осъдени с влязла в сила присъда за умишлено престъпление от общ характер — Национална правна уредба, която предвижда такова съхранение до смъртта на субекта на данни, включително когато той е реабилитиран — Липса на задължение за периодична проверка на необходимостта от това съхранение — Липса на право на изтриване или на ограничаване на обработването — Недопустимост
(членове 7 и 8 и член 52, параграф 1 от Хартата на основните права на Европейския съюз; съображение 26, член 4, параграф 1, букви в) и д), членове 5 и 10, член 13, параграф 2, буква б) и член 16, параграфи 2 и 3 от Директива 2016/680 на Европейския парламент и на Съвета)
(вж. т. 39, 41—45, 48—52, 59— 61 и 66—72 и диспозитива)
Резюме
Сезиран с преюдициално запитване от Върховен административен съд (България), Съдът, заседаващ в голям състав, се произнася по въпроса за какъв срок може за целите на борбата с престъпленията да се съхраняват лични данни на лица, осъдени с влязла в сила присъда, с оглед на Директива 2016/680(1).
По отношение на NG е извършена полицейска регистрация в рамките на производство за разследване на лъжесвидетелстване. След като това производство приключва, срещу NG е внесен обвинителен акт и впоследствие е постановена присъда, с която е признат за виновен и е осъден на пробация за срок от една година. След като изтърпява наказанието, NG е реабилитиран.
Като се позовава на тази реабилитация, NG подава искане за снемане на полицейската си регистрация. Това искане е отхвърлено с мотива, че осъждането с влязла в сила присъда, включително в случай на реабилитация, не е сред изчерпателно изброените в националното право основания за снемане на полицейска регистрация. След като жалбата му срещу това решение е отхвърлена, NG сезира запитващата юрисдикция с жалба, в която твърди, че съгласно Директива 2016/680 съхранението на лични данни не би могло да е с неограничен срок. Според NG обаче в случая това de facto е така, тъй като субектът на данни никога не може да иска изтриване на личните си данни, събрани във връзка с престъпление, за което е осъден с влязла в сила присъда, дори и вече да е изтърпял наказанието си и да е реабилитиран.
При тези обстоятелства Съдът е сезиран с преюдициално запитване за това дали Директива 2016/680(2), разглеждана във връзка с членове 7 и 8 от Хартата на основните права на Европейския съюз(3), не допуска национално законодателство, което за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания предвижда съхранение от полицейските органи на лични данни, и по-конкретно на биометрични и генетични данни за лица, осъдени с влязла в сила присъда за умишлено престъпление от общ характер, и то до смъртта на субекта на данни, включително когато той е реабилитиран, без да му признава правото на изтриване на тези данни или евентуално правото на ограничаване на обработването им.
В решението си Съдът отговаря утвърдително.
Съображения на Съда
На първо място, Съдът отбелязва, че Директива 2016/680 създава обща рамка, която позволява по-специално да се гарантира, че съхранението на лични данни, и в частност периодът на това съхранение, се свеждат до необходимото с оглед на целите, за които тези данни се съхраняват, като същевременно на държавите членки се оставя, при спазване на тази рамка, да определят конкретните случаи, в които защитата на основните права на субекта на данни налага изтриването на данните, и момента, в който то трябва да се извърши. Посочената директива не изисква обаче от държавите членки да определят абсолютни срокове за съхранение на лични данни, след изтичането на които тези данни трябва автоматично да се изтриват.
В частност, най-напред, член 4, параграф 1, буква в) от Директива 2016/680 установява принципа за „свеждане на данните до минимум“, съгласно който държавите членки трябва да гарантират, че личните данни са подходящи, относими и не надхвърлят необходимото с оглед на целите, за които се обработват. Освен това по силата на член 4, параграф 1, буква д) от същата директива държавите членки трябва да гарантират, че тези данни са съхранявани във вид, който позволява идентифицирането на субектите на данните за период, не по-дълъг от необходимия за целите, за които те се обработват. В това отношение член 5 от споменатата директива изисква от държавите членки да предвидят определянето на подходящи срокове за изтриването на лични данни или за периодична проверка на необходимостта от съхранението им. За да са „подходящи“, тези срокове трябва да позволяват изтриването на съответните данни във всички случаи, когато съхранението им вече не е необходимо с оглед на целите, дали основание за обработването им.
По-нататък, член 10 от Директива 2016/680, който урежда обработването на специални категории лични данни, и по-специално на биометричните и генетичните данни, разрешава обработването на такива данни „само когато това е абсолютно необходимо“.
Накрая, член 16, параграф 2 от Директива 2016/680 установява право на изтриване на личните данни, когато обработването нарушава разпоредбите, приети съгласно тази директива(4), или когато тези данни трябва да бъдат изтрити с цел спазване на правно задължение, което се прилага спрямо администратора(5). Следователно това право на изтриване може да се упражни по-конкретно когато разглежданото съхранение на лични данни не е или вече не е необходимо с оглед на целите на обработването им, или когато изтриването се налага, за да се спази срокът, определен за тази цел от националното право.
На второ място, Съдът отбелязва, че в случая личните данни от полицейската регистрация на лица, които са привлечени като обвиняеми за извършено умишлено престъпление от общ характер, се съхраняват за целите само на оперативно-издирвателната дейност, и по-специално, за да може да се извършва сравняване с други данни, събрани при разследването на други престъпления. В тази насока следва обаче да се констатира, че понятието „умишлено престъпление от общ характер“ е особено широко и може да се прилага към голям брой престъпления, независимо от естеството и тежестта им. Не за всички осъдени с влязла в сила присъда за такова престъпление лица обаче рискът да са замесени в други престъпления е еднакъв, което да обосновава определянето на еднакъв срок на съхранение на засягащите ги данни. Ето защо в някои случаи, с оглед на фактори като естеството и тежестта на престъплението или липсата на рецидив, рискът, който представлява осъденото лице, не дава непременно основание за запазването на данните до смъртта му в предвидения за целта национален полицейски регистър, и вече не съществува необходимата връзка между съхраняваните данни и преследваната цел. В такива случаи следователно съхранението им не би съответствало на принципа на свеждане на данните до минимум и би било за по-дълъг от необходимия за обработването им период.
По-нататък, доколкото разглежданото съхранение на лични данни в полицейския регистър включва биометрични и генетични данни, Съдът уточнява, че съхранението на такива данни на вече осъдени с влязла в сила присъда лица, включително до смъртта на тези лица, може да е абсолютно необходимо(6) по-специално за проверката дали те евентуално са замесени в други престъпления, и следователно за разследването и осъждането на извършителите на тези престъпления. Съхранението на тези данни отговаря на това изискване само обаче ако отчита естеството и тежестта на престъплението, за което лицето е осъдено с влязла в сила присъда, или други обстоятелства, като например конкретния контекст, в който е извършено престъплението, евентуалната му връзка с други течащи производства или пък миналото или профила на осъденото лице. Ето защо когато, както предвижда разглежданото в главното производство национално право, въведените в полицейския регистър биометрични и генетични данни на субектите на данни се съхраняват до смъртта на лицата, в случай че те са осъдени с влязла в сила присъда, приложното поле на това съхранение е твърде широко за целите, за които тези данни се обработват.
Накрая, досежно, от една страна, задължението да се предвиди определянето на подходящи срокове(7), даден срок може да се счита за „подходящ“ по-специално за съхранението на биометрични и генетични данни на всяко лице, осъдено с влязла в сила присъда за умишлено престъпление от общ характер, само ако отчита релевантните обстоятелства, които могат да породят необходимост от такъв срок на съхранение. Ето защо, дори посочването в националното законодателство на настъпването на смъртта на субекта на данни да може да представлява „срок“ за изтриване на съхраняваните данни, този срок би могъл да се счита за „подходящ“ само при особени обстоятелства, които го обосновават надлежно. Това обаче очевидно не е така, когато срокът е приложим общо и бланкетно за всички лица, осъдени с влязла в сила присъда. Вярно е наистина, че държавите членки следва да решат дали да определят срокове за изтриването на посочените данни или за периодична проверка на необходимостта от съхранението им(8). За да са „подходящи“ обаче, сроковете за такава периодична проверка трябва в крайна сметка да позволяват изтриване на разглежданите данни, когато съхранението им вече не е необходимо. Това изискване обаче не е изпълнено, когато единствената хипотеза, в която се предвижда такова изтриване, е настъпването на смъртта на съответното лице.
От друга страна, разпоредбите от Директива 2016/680, които предвиждат гаранции досежно условията за правото на изтриване и правото на ограничаване на обработването, не допускат и национално законодателство, което не позволява упражняването на тези права от лице, осъдено с влязла в сила присъда за умишлено престъпление от общ характер.