Kohtuasi C‑118/22
NG
versus
Direktor na Glavna direktsia „Natsionalna politsia“ pri Ministerstvo na vatreshnite raboti – Sofia
(eelotsusetaotlus, mille on esitanud Varhoven administrativen sad)
Euroopa Kohtu (suurkoda) 30. jaanuari 2024. aasta otsus
Eelotsusetaotlus – Füüsiliste isikute kaitse seoses isikuandmete töötlemisega kuritegude vastu võitlemise eesmärgil – Direktiiv (EL) 2016/680 – Artikli 4 lõike 1 punktid c ja e – Võimalikult väheste andmete kogumine – Säilitamise piirang – Artikkel 5 – Asjakohased tähtajad kustutamiseks või säilitamise vajaduse korrapäraseks läbivaatamiseks – Artikkel 10 – Biomeetriliste ja geneetiliste andmete töötlemine – Range vajalikkus – Artikli 16 lõiked 2 ja 3 – Õigus isikuandmete kustutamisele – Isikuandmete töötlemise piiramine – Euroopa Liidu põhiõiguste harta artikli 52 lõige 1 – Jõustunud kohtuotsusega süüdi mõistetud füüsiline isik, kelle karistus on hiljem kustunud – Andmete säilitamistähtaeg kuni andmesubjekti surmani – Õiguse isikuandmete kustutamisele või töötlemise piiramisele puudumine – Proportsionaalsus
Õigusaktide ühtlustamine – Füüsiliste isikute kaitse isikuandmete töötlemisel kriminaalasjades – Direktiiv 2016/680 – Selliste isikute isikuandmete, sealhulgas biomeetriliste ja geneetiliste andmete säilitamine, kes on lõplikult süüdi mõistetud tahtlikus kuriteos, mille menetlemine toimub riikliku süüdistuse alusel – Liikmesriigi õigusnormid, mis näevad sellise säilitamise ette kuni andmesubjekti surmani, sealhulgas tema karistuse kustumise korral – Niisuguse säilitamise vajaduse korrapärase läbivaatamise kohustuse puudumine – Õiguse andmete kustutamisele või töötlemise piiramisele puudumine – Lubamatus
(Euroopa Liidu põhiõiguste harta, artiklid 7 ja 8 ning artikli 52 lõige 1; Euroopa Parlamendi ja nõukogu direktiiv 2016/680, põhjendus 26 ning artikli 4 lõike 1 punktid c ja e, artiklid 5 ja 10, artikli 13 lõike 2 punkt b ning artikli 16 lõiked 2 ja 3)
(vt punktid 39, 41–45, 48–52, 59–61, 66–72 ja resolutsioon)
Kokkuvõte
Euroopa Kohtu suurkoda, kellele Varhoven administrativen sad (Bulgaaria kõrgeim halduskohus) esitas eelotsusetaotluse, tegi direktiivi 2016/680(1) alusel otsuse kriminaalkorras lõplikult süüdi mõistetud isikute isikuandmete kuritegevuse vastu võitlemise eesmärgil säilitamise ajaliste piirangute kohta.
NG kohta tehti valetunnistuse andmist käsitlenud uurimismenetluses kanne politseiregistrisse. Selle uurimismenetluse tulemusena esitati NG‑le süüdistus ning seejärel tunnistati ta nimetatud kuriteos süüdi ja talle mõisteti tingimisi üheaastane vangistus. Pärast selle karistuse kandmist tema karistus kustus.
NG esitas karistuse kustumise alusel taotluse kustutada teda puudutav kanne politseiregistrist. See taotlus jäeti rahuldamata põhjendusel, et kriminaalkorras lõplikult süüdimõistmine ei ole ka karistuse kustumise korral üks sellise kustutamise alustest, mis on liikmesriigi õiguses ammendavalt loetletud. Kuna kaebus, mille NG selle otsuse peale esitas, jäeti rahuldamata, esitas NG kassatsioonkaebuse eelotsusetaotluse esitanud kohtule, väites, et direktiivist 2016/680 tuleneb, et isikuandmete säilitamine ei tohi kesta piiramatult. NG sõnul on see aga faktiliselt nii, kui andmesubjekt ei saa kunagi, sealhulgas pärast karistuse kandmist ja karistuse kustumist, saavutada nende isikuandmete kustutamist, mis on kogutud seoses kuriteoga, milles ta lõplikult süüdi mõisteti.
Neil asjaoludel esitati Euroopa Kohtule eelotsuse küsimus, kas direktiiviga 2016/680(2) on Euroopa Liidu põhiõiguste harta(3) artikleid 7 ja 8 arvestades vastuolus liikmesriigi õigusnormid, mis näevad ette isikuandmete, sealhulgas biomeetriliste ja geneetiliste andmete säilitamise politseiasutuste poolt kuritegude tõkestamise, uurimise, avastamise ja nende eest vastutusele võtmise või kriminaalkaristuste täitmisele pööramise eesmärgil isikute puhul, kes on kriminaalkorras lõplikult süüdi mõistetud tahtlikus kuriteos, mille menetlemine toimub riikliku süüdistuse alusel, ja seda kuni isiku surmani, sealhulgas tema karistuse kustumise korral, ilma et tunnustataks tema õigust nende andmete kustutamisele või olenevalt olukorrast nende töötlemise piiramisele.
Euroopa Kohus vastas oma otsuses sellele küsimusele jaatavalt.
Euroopa Kohtu hinnang
Esimesena märkis Euroopa Kohus, et direktiiviga 2016/680 on kehtestatud üldine raamistik, mis võimaldab muu hulgas tagada, et isikuandmete säilitamine, täpsemalt säilitamise kestus, on piiratud sellega, mis on vajalik nende andmete säilitamise eesmärgi seisukohast, kuid jätab samas liikmesriikide hooleks määrata seda raamistikku järgides kindlaks konkreetsed olukorrad, kus andmesubjekti põhiõiguste kaitse nõuab nende andmete kustutamist, ja aja, mil kustutamine peab toimuma. Seevastu ei nõua see direktiiv, et liikmesriigid määraksid kindlaks isikuandmete säilitamise ranged ajalised piirid, mille ületamise korral tuleks andmed automaatselt kustutada.
Täpsemalt on kõigepealt direktiivi 2016/680 artikli 4 lõike 1 punktis c kehtestatud „võimalikult väheste andmete kogumise“ põhimõte, mille kohaselt peavad liikmesriigid ette nägema, et isikuandmed oleks piisavad ja asjakohased ega oleks liiased seoses nende töötlemise eesmärkidega. Lisaks peavad liikmesriigid selle direktiivi artikli 4 lõike 1 punkti e kohaselt ette nägema, et neid andmeid säilitatakse kujul, mis võimaldab andmesubjekte tuvastada üksnes seni, kuni see on vajalik selle eesmärgi täitmiseks, milleks isikuandmeid töödeldakse. Sellega seoses paneb nimetatud direktiivi artikkel 5 liikmesriikidele kohustuse näha ette asjakohased tähtajad isikuandmete kustutamiseks või selliste andmete säilitamise vajaduse korrapäraseks läbivaatamiseks. Niisuguste tähtaegade „asjakohasus“ nõuab igal juhul, et need tähtajad võimaldaksid kõnealused andmed vajaduse korral kustutada, kui nende säilitamine ei ole enam töötlemise eesmärkide seisukohast vajalik.
Järgmiseks, direktiivi 2016/680 artikkel 10, mis reguleerib isikuandmete eriliikide, sealhulgas biomeetriliste ja geneetiliste andmete töötlemist, lubab selliseid andmeid töödelda „üksnes siis, kui see on rangelt vajalik“.
Viimaseks, direktiivi 2016/680 artikli 16 lõikes 2 on sätestatud õigus isikuandmete kustutamisele juhul, kui töötlemine rikub selle direktiivi kohaselt(4) vastu võetud sätteid või kui need andmed tuleb kustutada vastutava töötleja juriidilise kohustuse täitmiseks(5). Sellest tuleneb, et õigust andmete kustutamisele võib kasutada eelkõige juhul, kui kõnealuste isikuandmete säilitamine ei ole nende töötlemise eesmärkide seisukohast vajalik või ei ole enam vajalik või kui kustutamine on nõutav selleks, et pidada kinni liikmesriigi õiguses sel otstarbel ette nähtud tähtajast.
Teisena märkis Euroopa Kohus, et kõnealusel juhul säilitatakse politseiregistris sisalduvaid isikuandmeid isikute kohta, keda süüdistatakse tahtlikus kuriteos, mille menetlemine toimub riikliku süüdistuse alusel, üksnes käimasoleva uurimise tarbeks, täpsemalt selleks, et neid võrrelda muude andmetega, mis on kogutud muid süütegusid puudutavate uurimiste käigus. Seejuures on mõiste „tahtlik kuritegu, mille menetlemine toimub riikliku süüdistuse alusel“ siiski väga üldine ja seda võib kohaldada suurele hulgale süütegudele, sõltumata nende laadist ja raskusest. Samas ei esine kõigi isikute puhul, kes on niisuguses kuriteos lõplikult süüdi mõistetud, ühesugune oht, et nad on seotud muude süütegudega, mis õigustaks nende kohta käivate andmete säilitamise ühetaolist kestust. Teatavatel juhtudel, võttes arvesse selliseid tegureid nagu toimepandud kuriteo laad ja raskus või korduvuse puudumine, ei õigusta süüdimõistetud isikuga kaasnev oht tingimata tema kohta käivate andmete säilitamist selleks ette nähtud riiklikus politseiregistris kuni tema surmani, mistõttu ei ole säilitatavate andmete ja taotletava eesmärgi vahel enam vajalikku seost. Seega ei ole nende säilitamine sellistel juhtudel kooskõlas võimalikult väheste andmete kogumise põhimõttega ja ületab nende töötlemise eesmärgi seisukohast vajaliku kestuse.
Järgmiseks täpsustas Euroopa Kohus, et võttes arvesse, et isikuandmete säilitamine kõnealuses politseiregistris hõlmab biomeetrilisi ja geneetilisi andmeid, võib selliste isikute niisuguste andmete säilitamine, kes on juba kriminaalkorras lõplikult süüdi mõistetud, olla tõepoolest rangelt vajalik(6) ka kuni nende isikute surmani, eelkõige selleks, et võimaldada kontrollida nende isikute võimalikku osalemist muudes kuritegudes ning seega kuritegude toimepanijaid kohtu alla anda ja süüdi mõista. Sellegipoolest saab niisuguste andmete säilitamist pidada sellisele nõudele vastavaks ainult juhul, kui see võtab arvesse selle kuriteo laadi ja raskust, mis on viinud lõpliku kriminaalkorras süüdimõistmiseni, või muid asjaolusid, nagu kuriteo toimepanemise konkreetne kontekst, selle võimalik seos muude pooleliolevate menetlustega või ka süüdimõistetud isiku varasem karistatus või isiklik profiil. Seega juhul, kui liikmesriigi õigusnormid näevad nii nagu põhikohtuasjas ette, et andmesubjektide biomeetrilisi ja geneetilisi andmeid, mis on kantud politseiregistrisse, säilitatakse kriminaalkorras lõplikult süüdimõistmise korral kuni andmesubjekti surma kuupäevani, on selle säilitamise kohaldamisala nende andmete töötlemise eesmärke arvestades ülemäära ulatuslik.
Viimaks, mis puudutab esiteks kohustust näha ette asjakohaste tähtaegade kehtestamine(7), siis tähtaega saab pidada „asjakohaseks“ eelkõige osas, mis puudutab biomeetriliste ja geneetiliste andmete säilitamist iga isiku kohta, kes on kriminaalkorras lõplikult süüdi mõistetud tahtlikus kuriteos, mille menetlemine toimub riikliku süüdistuse alusel, ainult siis, kui selle puhul võetakse arvesse asjakohaseid asjaolusid, mis muudavad niisuguse säilitamiskestuse vajalikuks. Järelikult, isegi kui liikmesriigi õiguses sisalduv viide andmesubjekti surmale võib endast kujutada säilitatavate andmete kustutamise „tähtaega“, saab sellist tähtaega pidada „asjakohaseks“ üksnes erilistel asjaoludel, mis seda nõuetekohaselt õigustavad. Nii ei ole see aga ilmselgelt juhul, kui seda kohaldatakse üldiselt ja vahet tegemata iga isiku suhtes, kes on lõplikult süüdi mõistetud. On tõsi, et on jäetud liikmesriikide otsustada, kas kehtestada tähtajad nende andmete kustutamiseks või nende säilitamise vajaduse korrapäraseks läbivaatamiseks(8). Samas eeldab korrapäraseks läbivaatamiseks ette nähtud tähtaegade „asjakohasus“, et need tähtajad võimaldavad viia kõnealuste andmete kustutamiseni, kui andmete säilitamine ei ole enam vajalik. Selline nõue ei ole aga täidetud, kui ainus olukord, mil selline kustutamise on ette nähtud, on andmesubjekti surma saabumine.
Teiseks on direktiivi 2016/680 sätetega, mis näevad ette tagatised seoses õigusega isikuandmete kustutamisele ja töötlemise piiramisele, vastuolus ka liikmesriigi õigusnormid, mis ei võimalda isikul, kes on lõplikult süüdi mõistetud tahtlikus kuriteos, mille menetlemine toimub riikliku süüdistuse alusel, oma õigusi teostada.