Sag C-118/22
NG
mod
Direktor na Glavna direktsia »Natsionalna politsia« pri Ministerstvo na vatreshnite raboti – Sofia
(anmodning om præjudiciel afgørelse indgivet af Varhoven administrativen sad)
Domstolens dom (Store Afdeling) af 30. januar 2024
»Præjudiciel forelæggelse – beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger med henblik på bekæmpelse af strafbare handlinger – direktiv (EU) 2016/680 – artikel 4, stk. 1, litra c) og e) – dataminimering – opbevaringsbegrænsning – artikel 5 – hensigtsmæssige tidsfrister for sletning eller for regelmæssig revision af behovet for opbevaring – artikel 10 – behandling af biometriske og genetiske data – streng nødvendighed – artikel 16, stk. 2 og 3 – ret til sletning – begrænsning af behandling – artikel 52, stk. 1, i Den Europæiske Unions charter om grundlæggende rettigheder – fysisk person, der er blevet endeligt domfældt og efterfølgende rehabiliteret – tidsfrist for opbevaring, der løber indtil den registreredes død – manglende ret til sletning eller begrænsning af behandling – proportionalitet«
Tilnærmelse af lovgivningerne – beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i straffesager – direktiv 2016/680 – opbevaring af personoplysninger, bl.a. biometriske og genetiske data, vedrørende personer, der er blevet endeligt domfældt for en forsætlig strafbar handling, som er undergivet offentlig påtale – national lovgivning, hvorefter en sådan opbevaring kan vare indtil den registreredes død, herunder i tilfælde af rehabilitering af den registrerede – ingen forpligtelse til regelmæssigt at efterprøve, om denne opbevaring er nødvendig – manglende ret til sletning eller begrænsning af behandling – ikke tilladt
[Den Europæiske Unions charter om grundlæggende rettigheder, art. 7 og 8 og art. 52, stk. 1; Europa-Parlamentets og Rådets direktiv 2016/680, 26. betragtning og art. 4, stk. 1, litra c) og e), art. 5 og 10, art. 13, stk. 2, litra b), og art. 16, stk. 2 og 3]
(jf. præmis 39, 41-45, 48-52, 59-61 og 66-72 samt domskonkl.)
Resumé
I forbindelse med en præjudiciel forelæggelse fra Varhoven administrativen sad (øverste domstol i forvaltningsretlige sager, Bulgarien) udtalte Domstolen (Store Afdeling) sig om de tidsmæssige grænser for opbevaring af personoplysninger vedrørende personer, der er blevet endeligt domfældt, med henblik på bekæmpelse af strafbare handlinger, i lyset af direktiv 2016/680 (1).
NG var blevet registreret i politiregistret i forbindelse med en efterforskning for afgivelse af falsk vidneforklaring. Ved afslutningen af efterforskningen var der blevet rejst tiltale mod ham, og herefter var han blevet kendt skyldig i denne strafbare handling og idømt en betinget straf på et år. Efter at have udstået denne straf var han blevet rehabiliteret.
NG indgav med henvisning til denne rehabilitering en anmodning om sletning af sin registrering i politiregistret. Denne anmodning blev afslået med den begrundelse, at en endelig domfældelse ikke er en af de grunde til en sådan sletning, der er udtømmende opregnet i national ret, heller ikke i tilfælde af rehabilitering. NG fik ikke medhold i det søgsmål, som han anlagde til prøvelse af dette afslag, og han appellerede derfor dommen til den forelæggende ret, idet han gjorde gældende, at det følger af direktiv 2016/680, at opbevaring af personoplysninger ikke kan være af ubegrænset varighed. Ifølge NG ville dette imidlertid de facto være tilfældet, hvis en registreret aldrig kunne opnå sletning af sådanne oplysninger, der er indsamlet i forbindelse med den strafbare handling, som den pågældende er endeligt dømt for, heller ikke efter at have udstået sin straf og være blevet rehabiliteret.
Dette var baggrunden for, at Domstolen blev forelagt et præjudicielt spørgsmål om, hvorvidt direktiv 2016/680 (2), sammenholdt med artikel 7 og 8 i Den Europæiske Unions charter om grundlæggende rettigheder (3), er til hinder for en national lovgivning, hvorefter politimyndighederne med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner kan opbevare personoplysninger, bl.a. biometriske og genetiske data, vedrørende personer, der er blevet endeligt domfældt for en forsætlig strafbar handling, som er undergivet offentlig påtale, indtil den registreredes død, herunder i tilfælde af rehabilitering af den registrerede, uden at vedkommende indrømmes ret til sletning af oplysningerne eller, efter omstændighederne, til begrænsning af behandlingen heraf.
Domstolen besvarede i sin dom dette spørgsmål bekræftende.
Domstolens bemærkninger
Domstolen bemærkede for det første, at direktiv 2016/680 fastsætter en generel ramme, der bl.a. gør det muligt at sikre, at opbevaringen af personoplysninger, og nærmere bestemt varigheden heraf, begrænses til, hvad der er nødvendigt til opfyldelse af de formål, hvortil de opbevares, samtidig med, at det overlades til medlemsstaterne – inden for denne ramme – at afgøre, i hvilke konkrete situationer beskyttelsen af den registreredes grundlæggende rettigheder kræver sletning af disse oplysninger, og hvornår denne sletning skal ske. Derimod kræver dette direktiv ikke, at medlemsstaterne fastsætter absolutte tidsgrænser for opbevaringen af personoplysninger, efter udløbet af hvilke disse oplysninger automatisk skal slettes.
Først og fremmest fastsætter artikel 4, stk. 1, litra c), i direktiv 2016/680 nærmere bestemt princippet om »dataminimering«, ifølge hvilket medlemsstaterne skal fastsætte bestemmelser om, at personoplysninger skal være tilstrækkelige, relevante og ikke omfatte mere end, hvad der kræves til opfyldelse af de formål, hvortil de behandles. Desuden skal medlemsstaterne i henhold til dette direktivs artikel 4, stk. 1, litra e), fastsætte bestemmelser om, at oplysningerne skal opbevares på en sådan måde, at det ikke er muligt at identificere de registrerede i et længere tidsrum end det, der er nødvendigt til de formål, hvortil de behandles. I denne forbindelse pålægger direktivets artikel 5 medlemsstaterne at fastsætte bestemmelser om fastsættelse af hensigtsmæssige tidsfrister for sletning af personoplysninger eller for regelmæssig revision af behovet for opbevaring af sådanne oplysninger. Den »hensigtsmæssige« karakter af disse tidsfrister kræver under alle omstændigheder, at fristerne muliggør sletning af de pågældende oplysninger, når opbevaring af dem ikke længere er nødvendig af hensyn til de formål, der har begrundet behandlingen.
Dernæst er det ifølge artikel 10 i direktiv 2016/680, der regulerer behandlingen af særlige kategorier af personoplysninger, bl.a. biometriske og genetiske data, kun tilladt at behandle sådanne oplysninger, »når det er strengt nødvendigt«.
Endelig indfører artikel 16, stk. 2, i direktiv 2016/680 en ret til sletning af personoplysninger, hvis behandling overtræder de bestemmelser, der vedtages i henhold til dette direktiv (4), eller hvis disse oplysninger skal slettes for at overholde en retlig forpligtelse, som den dataansvarlige er underlagt (5). Det følger heraf, at denne ret til sletning bl.a. kan udøves, når opbevaringen af de pågældende personoplysninger ikke eller ikke længere er nødvendig til opfyldelse af formålene med behandlingen, eller når sletning er påkrævet for at overholde den tidsfrist, der er fastsat herfor i national ret.
Domstolen bemærkede for det andet, at de personoplysninger, der var registreret i politiregistret om personer, der blev retsforfulgt for en forsætlig strafbar handling, som er undergivet offentlig påtale, i det foreliggende tilfælde udelukkende blev opbevaret til operationelle efterforskningsformål og nærmere bestemt med henblik på sammenligning med andre oplysninger, der var indsamlet i forbindelse med efterforskning af andre strafbare handlinger. I denne henseende fastslog Domstolen imidlertid, at begrebet »forsætlig strafbar handling, som er undergivet offentlig påtale«, har en særlig generel karakter og kan finde anvendelse på et stort antal strafbare handlinger, uanset deres art og grovhed. Det er imidlertid ikke alle endeligt dømte for en sådan strafbar handling, der frembyder den samme risiko for involvering i andre strafbare handlinger, som begrunder en ensartet varighed af opbevaringen af oplysninger om dem. I visse tilfælde kan den risiko, som den domfældte udgør, henset til faktorer såsom arten og grovheden af den begåede strafbare handling eller fraværet af tilbagefald, således ikke nødvendigvis begrunde, at oplysningerne om den pågældende person bevares i det nationale politiregister, der er oprettet med henblik herpå, indtil personens død, således at der ikke længere er den nødvendige forbindelse mellem de oplysninger, der opbevares, og det formål, der forfølges. I sådanne tilfælde vil opbevaringen af oplysningerne derfor ikke være i overensstemmelse med princippet om dataminimering og vil vare ud over det tidsrum, der kræves til opfyldelse af de formål, hvortil de behandles.
Dernæst præciserede Domstolen, at for så vidt som opbevaring af personoplysninger i det omhandlede politiregister omfattede biometriske og genetiske data, kan opbevaring af sådanne oplysninger om personer, der allerede er blevet endeligt domfældt, herunder indtil de pågældende personers død, ganske vist være strengt nødvendig (6), bl.a. for at gøre det muligt at efterprøve deres eventuelle involvering i andre strafbare handlinger og således retsforfølge og dømme gerningsmændene til disse strafbare handlinger. Opbevaring af disse oplysninger kan imidlertid kun anses for at opfylde et sådant krav, hvis der ved opbevaringen tages hensyn til arten og grovheden af den strafbare handling, der har ført til den endelige domfældelse, eller andre omstændigheder, såsom den særlige sammenhæng, hvori handlingen er begået, dens eventuelle forbindelse med andre igangværende procedurer eller den dømte persons tidligere straffe eller profil. Hvis de biometriske og genetiske data om registrerede i politiregistret i tilfælde af endelig domfældelse opbevares indtil den pågældendes død, således som fastsat i national ret i hovedsagen, er anvendelsesområdet for denne opbevaring følgelig for vidtrækkende i forhold til de formål, hvortil disse oplysninger behandles.
Hvad endelig for det første angår forpligtelsen til at fastsætte bestemmelser om hensigtsmæssige tidsfrister (7) kan en frist kun anses for »hensigtsmæssig« – bl.a. med hensyn til opbevaring af biometriske og genetiske data om enhver person, der er endeligt domfældt for en forsætlig strafbar handling, som er undergivet offentlig påtale – hvis den tager hensyn til de relevante omstændigheder, der kan gøre en sådan varighed af opbevaringen nødvendig. Selv om henvisningen til den registreredes død kan udgøre en »tidsfrist« for sletning af de opbevarede oplysninger, kan en sådan frist derfor kun anses for at være »hensigtsmæssig« under særlige omstændigheder, som behørigt begrunder dette. Dette er åbenbart ikke tilfældet, når fristen finder generel og udifferentieret anvendelse på enhver person, der er blevet endeligt domfældt. Det tilkommer ganske vist medlemsstaterne at afgøre, om der skal fastsættes frister for sletning af disse oplysninger eller regelmæssig revision af behovet for at opbevare dem (8). Den »hensigtsmæssige« karakter af fristerne for en sådan regelmæssig revision kræver imidlertid, at disse frister gør det muligt at opnå sletning af de pågældende oplysninger, såfremt opbevaring af dem ikke længere er nødvendig. Et sådant krav er imidlertid ikke opfyldt, når den eneste situation, hvori der skal foretages sletning, er den registreredes død.
For det andet er de bestemmelser i direktiv 2016/680, der fastsætter garantier vedrørende betingelserne for retten til sletning og begrænsning af behandling, ligeledes til hinder for en national lovgivning, der ikke gør det muligt for en person, der er endeligt domfældt for en forsætlig strafbar handling, som er undergivet offentlig påtale, at udøve disse rettigheder.