FORSLAG TIL AFGØRELSE FRA GENERALADVOKAT

P. PIKAMÄE

fremsat den 15. juni 2023 (1)

Sag C-118/22

NG

Strafferetlig procedure

mod

Direktor na Glavna direktsia »Natsionalna politsia« pri MVR – Sofia,

Procesdeltager:

Varhovna administrativna prokuratura

(anmodning om præjudiciel afgørelse indgivet af Varhoven administrativen sad (øverste forvaltningsdomstol, Bulgarien))

»Præjudiciel forelæggelse – beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – direktiv (EU) 2016/680 – artikel 4, 5, 8, 10 og 16 – opbevaring af oplysninger om en fysisk person, der er dømt for en forsætlig lovovertrædelse, indtil dennes død – fysisk person, der er blevet endeligt domfældt og efterfølgende er blevet rehabiliteret – afslag på anmodning om sletning – nødvendighed og forholdsmæssighed af indgreb i de grundlæggende rettigheder, der er fastsat i artikel 7 og 8 i Den Europæiske Unions charter om grundlæggende rettigheder«

1.        Er der grund til at være bekymret over, at personoplysninger om en registreret opbevares i politiets registre, i givet fald i hele denne persons levetid, hvis den pågældende anses for socialt afvigende, og der foreligger risiko for gentagelse? Bør denne registrering ved politiet ikke tværtimod hilses velkommen med henblik på efterforskernes opklaring af gamle uopklarede sager, i dag bedre kendt under benævnelsen »cold cases«, af hensyn til at opnå størst mulig lindring for ofrene?

2.        Denne sag vedrører netop disse modsatrettede spørgsmål, der henviser til afvejningen af offentlighedens interesser i forbindelse med bekæmpelse af kriminalitet over for den enkeltes interesse i beskyttelsen af dennes personoplysninger og respekten for dennes privatliv. Sagen giver Domstolen lejlighed til at tage stilling til spørgsmålet om behandlingen af disse oplysninger med henblik på retshåndhævelse set i et tidsmæssigt perspektiv i forhold til de relevante bestemmelser i direktiv (EU) 2016/680 (2).

I.      Retsforskrifter

A.      EU-retten

3.        Artikel 4, 5, 8, 10 og 16 i direktiv 2016/680 samt artikel 52, stk. 1, i Den Europæiske Unions charter om grundlæggende rettigheder (herefter »chartret«) er relevante i den foreliggende sag.

B.      Bulgarsk ret

4.        I artikel 26, stk. 1 og 2, i zakon za Ministerstvto na vatresjnite raboti (lov om indenrigsministeriet) fastsættes følgende:

»(1)      Når indenrigsministeriets myndigheder behandler personoplysninger i forbindelse med aktiviteter til beskyttelse af den nationale sikkerhed, bekæmpelse af kriminalitet, opretholdelse af den offentlige orden og gennemførelse af straffesager, kan de:

[…]

3.      behandle alle nødvendige kategorier af personoplysninger

[…]

(2)      Tidsfristerne for opbevaring af de i stk. 1 omhandlede oplysninger eller for regelmæssig revision af nødvendigheden af at opbevare disse fastsættes af indenrigsministeriet. Disse oplysninger slettes ligeledes i henhold til et retsligt dokument eller en afgørelse truffet af kommissionen for beskyttelse af personoplysninger.«

5.        Artikel 27 i lov om indenrigsministeriet bestemmer:

»Oplysningerne fra en registrering af personer i politiregistret, der er foretaget på grundlag af artikel 68, anvendes kun med henblik på at beskytte den nationale sikkerhed, at bekæmpe kriminalitet og at opretholde den offentlige orden.«

6.        Artikel 68 i lov om indenrigsministeriet fastsætter følgende:

»(1) Politimyndighederne registrerer personer, der retsforfølges for en forsætlig lovovertrædelse, som er underlagt offentlig påtale, i politiregistret. De myndigheder, der forestår efterforskningen, har pligt til at træffe de nødvendige foranstaltninger med henblik på, at politimyndighederne foretager registrering i registret.

(2)      Registreringen i politiregistret er en form for behandling af de i stk. 1 omhandlede personoplysninger, der foretages inden for rammerne af denne lov.

(3)      Med henblik på registreringen i politiregistret skal politimyndighederne:

1.      indsamle personoplysninger vedrørende de i artikel 18 i [zakon za balgarskite litjni dokumenti (lov om bulgarske identitetspapirer)] omhandlede personer

2.      optage fingeraftryk fra personerne og fotografere dem

3.      udtage prøver med henblik på DNA-profilering af personerne.

[…]

(6)      Registreringen i politiregistret fjernes på grundlag af en skriftlig instruks fra den dataansvarlige eller fra embedsmænd, som den dataansvarlige har givet bemyndigelse hertil, ex officio eller efter en skriftlig og begrundet anmodning fra den registrerede, når:

1.      Registreringen er blevet foretaget i strid med loven.

2.      Straffesagen henlægges, med undtagelse af de i artikel 24, stk. 3, i [Nakazatelno-protsesualen kodeks (straffelov)] omhandlede tilfælde.

3.      Straffesagen har ført til frifindelse.

4.      Personen er blevet fritaget for strafferetligt ansvar, og den pågældende er blevet pålagt en administrativ sanktion.

5.      Personen er afgået ved døden, i hvilket tilfælde anmodningen kan fremsættes af dennes arvinger.

(7)      De nærmere bestemmelser om registrering i politiets register og sletning af denne registrering fastsættes i en forordning vedtaget af ministerrådet.«

II.    De faktiske omstændigheder i hovedsagen og det præjudicielle spørgsmål

7.        NG blev registreret i politiregistret i forbindelse med en efterforskning for at have afgivet falsk vidneforklaring, hvilket er en strafbar handling i henhold til artikel 290, stk. 1, i Nakazatelen Kodeks (straffelov). Efter denne sag blev der rejst tiltale mod ham den 2. juli 2015, og ved dom af 28. juni 2016, stadfæstet i appelinstansen ved dom af 2. december 2016, blev han kendt skyldig og idømt en betinget straf på et år. Straffen var udstået den 14. marts 2018.

8.        Den 15. juli 2020 indgav NG en anmodning om sletning af denne registrering til den kompetente distriktsadministration under Ministerstvto na vatresjnite raboti (indenrigsministeriet, Bulgarien), idet han fremlagde en udskrift af sin straffeattest, der dokumenterede, at han ikke var tidligere straffet.

9.        Ved afgørelse af 2. september 2020 gav den kompetente administrative myndighed afslag på denne anmodning med den begrundelse, at en endelig dom ikke er en af de grunde til at slette en registrering i politiregistret, der er opregnet udtømmende i artikel 68, stk. 6, i lov om indenrigsministeriet, heller ikke når der er indtrådt rehabilitering som omhandlet i straffelovens artikel 85. Den 8. oktober 2020 anlagde NG sag til prøvelse af denne afgørelse ved Administrativen sad Sofia-grad (forvaltningsdomstolen i Sofia, Bulgarien). Ved afgørelse af 2. februar 2021 frifandt denne retsinstans den administrative myndighed.

10.      NG har iværksat appel til prøvelse af denne afgørelse fra Administrativen sad Sofia-grad (forvaltningsdomstolen i Sofia) ved Varhoven administrativen sad (øverste forvaltningsdomstol, Bulgarien). Det principale appelanbringende vedrører en tilsidesættelse af det princip, der følger af artikel 5, 13 og 14 i direktiv 2016/680, hvorefter behandlingen af personoplysninger ved opbevaring ikke kan være af ubegrænset varighed. Han har gjort gældende, at en domfældt i mangel af et retligt grundlag for sletning af registrering i politiregistret, efter at der er indtrådt rehabilitering, ikke kan kræve sletning af sine oplysninger, som er indsamlet i forbindelse med den strafbare handling, for hvilken vedkommende har udstået sin straf, hvorfor varigheden af opbevaringen er ubegrænset.

11.      Da den forelæggende ret er i tvivl om, hvorvidt den nationale lovgivning om det omhandlede politiregister er i overensstemmelse med EU-retten, har den besluttet at udsætte sagen og forelægge Domstolen følgende præjudicielle spørgsmål:

»Er artikel 5 [i direktiv 2016/680], sammenholdt med artikel 13, stk. 2, litra b), og [artikel 13,] stk. 3, i [samme direktiv], til hinder for nationale lovgivningsmæssige foranstaltninger, som medfører en i praksis ubegrænset ret for de kompetente myndigheder til at behandle personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner og/eller en [fortabelse] af den registreredes ret til begrænsning af behandling, sletning eller tilintetgørelse af den pågældendes oplysninger?«

III. Retsforhandlingerne for Domstolen

12.      Den bulgarske og den tjekkiske regering, Irland, den spanske og den polske regering samt Europa-Kommissionen har indgivet skriftlige indlæg. I retsmødet, som blev afholdt den 7. februar 2023, har sagsøgeren i hovedsagen, den bulgarske regering, Irland, den spanske, den nederlandske og den polske regering samt Kommissionen afgivet mundtlige indlæg.

IV.    Bedømmelse

A.      Spørgsmålet om, hvorvidt direktiv 2016/680 finder anvendelse

13.      Det fremgår af anmodningen om præjudiciel afgørelse, at den forelæggende ret anser det for at stå åbenlyst fast, at den omtvistede nationale lovgivning ratione materiae henhører under anvendelsesområdet for direktiv 2016/680, et synspunkt, der efter min opfattelse giver anledning til enkelte iagttagelser.

14.      I henhold til artikel 1, stk. 1, sammenholdt med artikel 2, stk. 1, i direktiv 2016/680, finder direktivet anvendelse ved de kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod eller forebygge trusler mod den offentlige sikkerhed. Artikel 2, stk. 3, litra a), i direktiv 2016/680 udelukker behandling af personoplysninger »under udøvelse af aktiviteter, der falder uden for EU-retten« fra sit anvendelsesområde. 12. og 14. betragtning til dette direktiv præciserer indholdet af denne anvendelsesundtagelse, idet det heri anføres, at den bl.a. også omfatter aktiviteter vedrørende statens sikkerhed, til forskel fra aktiviteter vedrørende opretholdelse af lov og orden som en opgave, der er overdraget til politiet eller andre retshåndhævende myndigheder, hvor det er nødvendigt for at beskytte mod og forebygge trusler mod den offentlige sikkerhed og de ved lov beskyttede grundlæggende samfundsinteresser, som kan føre til en strafbar handling.

15.      Ved en fortolkning af artikel 2, stk. 2, litra a), i forordning (EU) 2016/679 (3), der fastsætter en undtagelse fra anvendeligheden af denne forordning med samme ordlyd som artikel 2, stk. 3, litra a), i direktiv 2016/680, har Domstolen fastslået, at førstnævnte bestemmelse, sammenholdt med 16. betragtning til denne forordning, skal anses for alene at have til formål at udelukke statslige myndigheders behandling af personoplysninger under udøvelse af en aktivitet, som tilsigter at beskytte statens sikkerhed, eller en aktivitet, som kan henføres til samme kategori, fra anvendelsesområdet for nævnte forordning, hvorfor den omstændighed alene, at en aktivitet er statens eller en offentlig myndigheds, ikke er tilstrækkelig til, at denne undtagelse automatisk finder anvendelse på en sådan aktivitet. Domstolen har præciseret, at de aktiviteter, som har til formål at beskytte den nationale sikkerhed, navnlig omfatter de aktiviteter, hvis formål er at beskytte centrale statslige funktioner og samfundets grundlæggende interesser (4).

16.      I den foreliggende sag er de data, der er registreret og opbevares af politiet i henhold til artikel 68 i lov om indenrigsministeriet, imidlertid registreret og opbevares i overensstemmelse med samme lovs artikel 27 med henblik på beskyttelse af den nationale sikkerhed, bekæmpelse af kriminalitet og opretholdelse af den offentlige orden. Det fremgår således, at det omhandlede politiregister udgør én enkelt og hybrid database, eftersom det indeholder oplysninger, der kan gøres til genstand for behandlinger, der opfylder særskilte formål, hvoraf formålet om at beskytte den nationale sikkerhed ikke henhører under det materielle anvendelsesområde for direktiv 2016/680. Under disse omstændigheder kan lovligheden af opbevaringen af oplysningerne i et sådant register ikke undersøges med henblik på kravene i dette direktiv, medmindre de pågældende oplysninger udelukkende anvendes til de formål, der er anført i direktivets artikel 1, stk. 1, hvilket det påhviler den forelæggende ret at efterprøve (5). Ifølge sagsakterne for Domstolen ser det ikke ud til, at opbevaringen af de oplysninger om NG i politiregistret, som han ønsker slettet, kan anses for en behandling, der ikke er omfattet af det materielle anvendelsesområde for direktiv 2016/680.

17.      På dette trin skal det fremhæves, at den omhandlede nationale lovgivning i hovedsagen allerede har været genstand for en dom fra Domstolen efter en forespørgsel fra en bulgarsk retsinstans, der skulle vurdere en sag, hvor en person, der var sigtet for skattesvig, nægtede at medvirke til indsamling af oplysninger om vedkommende. I den pågældende dom tog Domstolen bl.a. stilling til lovligheden af indsamlingen af oplysningerne i forhold til kravene i artikel 10 i direktiv 2016/680, idet den fastslog, at denne bestemmelse, sammenholdt med dette direktivs artikel 4, stk. 1, litra a)-c), og artikel 8, stk. 1 og 2, skal fortolkes således, at denne bestemmelse er til hinder for en national lovgivning, der foreskriver systematisk indsamling og registrering af biometriske og genetiske data om enhver person, der sigtes for en forsætlig lovovertrædelse, som retsforfølges ex officio, uden at fastsætte en forpligtelse for den kompetente myndighed til at fastslå eller godtgøre dels, at denne indsamling er strengt nødvendig for at opfylde de konkrete formål, der forfølges, dels, at disse formål ikke kan nås ved foranstaltninger, der er mindre indgribende i den registreredes rettigheder og frihedsrettigheder (6). Den foreliggende sag indebærer, at Domstolen skal undersøge lovligheden af et særskilt indgreb, nemlig opbevaringen af oplysninger om fysiske personer, der er idømt en straffedom og identificeret med deres for- og efternavn i det omhandlede politiregister, hvilket udgør en behandling af personoplysninger med henblik på at forebygge, efterforske og afsløre strafbare handlinger foretaget af en kompetent offentlig myndighed, nemlig indenrigsministeriet, som omhandlet i artikel 3, stk. 1 og 2, og artikel 3, stk. 7, litra a), i direktiv 2016/680.

B.      Omformulering af det præjudicielle spørgsmål

18.      Det skal indledningsvis anføres, at som led i den samarbejdsprocedure mellem de nationale retter og Domstolen, som er indført ved artikel 267 TEUF, tilkommer det Domstolen at give den forelæggende ret et hensigtsmæssigt svar, som sætter denne i stand til at afgøre den tvist, der verserer for den. Ud fra dette synspunkt påhviler det Domstolen efter omstændighederne at omformulere de spørgsmål, den forelægges. Det påhviler nemlig Domstolen at fortolke alle de bestemmelser i EU-retten, som de nationale retter skal anvende for at træffe afgørelse i de for dem verserende tvister, også selv om disse bestemmelser ikke udtrykkeligt er omtalt i de præjudicielle spørgsmål, der forelægges Domstolen af disse retter (7).

19.      De faktiske omstændigheder i hovedsagen vedrører en anmodning om sletning af en registrering i politiregistret af personoplysninger, der er indgivet af en fysisk person, som efter at være blevet dømt for falsk vidneforklaring har udstået sin straf og er blevet rehabiliteret den 14. marts 2020, dvs. næsten fem år efter førnævnte registrering. Denne anmodning blev afvist ved afgørelse fra den kompetente administrative myndighed og bekræftet i første instans ved den afgørelse fra Administrativen sad Sofia-grad (forvaltningsdomstolen i Sofia), der er blevet appelleret til den forelæggende ret, som nærer tvivl om, hvorvidt den nationale lovgivning er forenelig med direktiv 2016/680 for så vidt angår spørgsmålet om opbevaring af oplysninger i politiregistret. Hovedsagen vedrører derfor åbenbart retten til sletning af personoplysninger uden unødig forsinkelse, som fastsat i artikel 16, stk. 2, i direktiv 2016/680, hvis behandling overtræder de bestemmelser, der vedtages i henhold til dette direktivs artikel 4, 8 eller 10, eller hvis disse oplysninger skal slettes for at overholde en retlig forpligtelse, som den dataansvarlige er underlagt.

20.      I henhold til artikel 4, stk. 1, litra c) og e), i direktiv 2016/680 skal medlemsstaterne fastsætte bestemmelser om, at personoplysninger i overensstemmelse med princippet om dataminimering og princippet om begrænsning af opbevaring af disse data skal være tilstrækkelige, relevante og ikke omfatte mere end, hvad der kræves til opfyldelse af de formål, hvortil de behandles og opbevares på en sådan måde, at det ikke er muligt at identificere de registrerede i et længere tidsrum end det, der er nødvendigt til de formål, hvortil de pågældende personoplysninger behandles (8). Samme direktivs artikel 8 vedrører den lovlige behandling, som er betinget af, at en behandling er nødvendig, for at en kompetent myndighed kan udføre en opgave med henblik på det nævnte direktivs artikel 1, stk. 1, og at den sker på grundlag af EU-retten eller medlemsstaternes nationale ret, idet sidstnævnte som minimum skal angive målene med behandling, de personoplysninger, der skal behandles, og formålene med behandlingen. Endelig fastsætter artikel 10 i direktiv 2016/680 den retlige ordning for behandlingen af særlige kategorier af personoplysninger, såsom biometriske og genetiske data, der anvendes i politiregistret til entydigt at identificere en fysisk person.

21.      Det må fastslås, at de i det foregående punkt anførte bestemmelser ikke er nævnt i det præjudicielle spørgsmål, selv om de tydeligvis er relevante for den besvarelse, som Domstolen er blevet anmodet om i det foreliggende tilfælde. Den forelæggende ret har anmodet om en fortolkning af artikel 5, artikel 13, stk. 2, litra b), og artikel 13, stk. 3, i direktiv 2016/680, der ikke er blandt de bestemmelser, som udtrykkeligt nævnes i dette direktivs artikel 16, stk. 2, idet en tilsidesættelse af disse i national ret kan begrunde anvendelsen af den registreredes ret til sletning. Denne ret anerkendes imidlertid ligeledes, når oplysningerne skal slettes for at overholde en retlig forpligtelse, som den dataansvarlige er underlagt, hvilket kan svare til de situationer, der er omhandlet i nævnte direktivs artikel 5 og artikel 13, stk. 2, litra b), dvs. henholdsvis fastsættelse af den maksimale tidsfrist for opbevaring af oplysninger eller regelmæssig revision af nødvendigheden af en sådan opbevaring (9) og de særlige tilfælde, hvor den dataansvarlige skal give den registrerede yderligere oplysninger ud over de oplysninger, der er omhandlet i artikel 13, stk. 1, for at vedkommende kan udøve sine rettigheder. Stk. 3 i denne artikel 13 vedrører til gengæld medlemsstaternes mulighed for under visse forudsætninger at vedtage lovgivningsmæssige foranstaltninger, der udsætter, begrænser eller afskærer meddelelse af oplysninger til de registrerede i medfør af stk. 2, eller ikke at meddele dem, hvilket ikke kan henhøre under den dataansvarliges retlige forpligtelse.

22.      Det fremgår under alle omstændigheder ikke af forelæggelsesafgørelsen, at spørgsmålet om oplysning til NG om dennes rettigheder er blevet rejst i hovedsagen, idet den berørte person tydeligvis har kunnet udøve disse, hvilket ses af den klage vedrørende opbevaringen af hans oplysninger, som han har indgivet til de administrative myndigheder og dernæst til de judicielle myndigheder. Spørgsmålet til Domstolen synes derfor ikke at kræve en fortolkning af artikel 13, stk. 2, litra b), og artikel 13, stk. 3, i direktiv 2016/680. Det er imidlertid navnlig artikel 16, stk. 2, i direktiv 2016/680 og direktivets artikel 4, 5, 8 og 10, der er på tale i hovedsagen.

23.      Som det er anført i 104. betragtning til direktiv 2016/680, overholder dette direktiv de grundlæggende rettigheder og principper, der anerkendes i chartret som forankret i EUF-traktaten, navnlig retten til respekt for privatliv og familieliv og retten til beskyttelse af personoplysninger. Ifølge 46. betragtning til dette direktiv skal enhver begrænsning af den registreredes rettigheder overholde chartret og den europæiske konvention til beskyttelse af menneskerettigheder og grundlæggende frihedsrettigheder, undertegnet i Rom den 4. november 1950 (herefter »EMRK«) som fortolket i retspraksis henholdsvis ved Domstolen og ved Den Europæiske Menneskerettighedsdomstol (herefter »Menneskerettighedsdomstolen«) og navnlig respekten for det væsentlige indhold i disse rettigheder og frihedsrettigheder. Det skal påpeges, at de grundlæggende rettigheder til respekt for privatlivet og til beskyttelse af personoplysninger, der er fastsat i chartrets artikel 7 og 8, ikke er absolutte rettigheder, men skal ses i sammenhæng med deres funktion i samfundet og afvejes i forhold til andre grundlæggende rettigheder. Der kan således indføres begrænsninger, forudsat at de i overensstemmelse med chartrets artikel 52, stk. 1, er fastlagt i lovgivningen og respekterer de grundlæggende rettigheders væsentligste indhold samt proportionalitetsprincippet. I medfør af sidstnævnte princip kan der kun indføres begrænsninger, såfremt disse er nødvendige og faktisk svarer til mål af almen interesse, der er anerkendt af Unionen, eller et behov for beskyttelse af andres rettigheder og friheder. De skal holdes inden for det strengt nødvendige, og den lovgivning, som indebærer indgrebet, skal fastsætte klare og præcise regler, der regulerer rækkevidden og anvendelsen af den pågældende foranstaltning (10).

24.      På denne baggrund skal det fastslås, at den forelæggende ret nærmere bestemt ønsker oplyst, om artikel 4, 5, 8 og 10 samt artikel 16, stk. 2, i direktiv 2016/680, sammenholdt indbyrdes og med chartrets artikel 52, stk. 1, skal fortolkes således, at disse bestemmelser er til hinder for en national lovgivning, hvorefter opbevaringen af personoplysninger i et politiregister, herunder den registreredes biometriske og genetiske data, indtil dennes død, og den registrerede ikke kan få slettet disse oplysninger efter den rehabilitering, som vedkommende har opnået efter sin straffedom (11).

C.      Opbevaring af personoplysninger med henblik på retshåndhævelse

25.      Inden jeg undersøger foreneligheden af den nationale lovgivning vedrørende det omhandlede politiregister, finder jeg det nødvendigt at se nærmere på problemstillingen om opbevaring af personoplysninger med henblik på retshåndhævelse i lyset af visse bestemmelser i direktiv 2016/680 og af Domstolens og Menneskerettighedsdomstolens praksis.

26.      For det første skal det nævnes, at direktiv 2016/680 har til formål at bidrage til skabelsen af et område med frihed, sikkerhed og retfærdighed inden for Unionen, samtidig med at der fastsættes en solid og sammenhængende ramme for beskyttelse af personoplysninger med henblik på at sikre overholdelsen af den grundlæggende ret til beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger, der er anerkendt i chartrets artikel 8, stk. 1, og i artikel 16, stk. 1, TEUF, idet denne ret er tæt knyttet til retten til respekt for privatlivet, som er fastsat i chartrets artikel 7 (12). Med henblik herpå fastsætter kapitel II og III i direktiv 2016/680 henholdsvis principperne for behandling af personoplysninger og den registreredes rettigheder, som enhver behandling af sådanne oplysninger skal overholde. Enhver behandling af personoplysninger skal navnlig overholde de principper for behandling af oplysninger og for lovlig behandling, der er fastsat i dette direktivs artikel 4 og 8. Da kravene i sidstnævnte bestemmelse er et udtryk for de krav, der følger af chartrets artikel 52, stk. 1, skal de fortolkes i lyset af denne artikel (13).

27.      I besvarelsen til den forelæggende ret skal der derfor tages hensyn til princippet om »dataminimering« i artikel 4, stk. 1, litra c), i direktiv 2016/680, som er udtryk for proportionalitetsprincippet (14). Det samme gælder for princippet om opbevaringsbegrænsning i dette direktivs artikel 4, stk. 1, litra e), som indebærer, at der skal foretages en bedømmelse af forholdsmæssigheden af behandlingen i forhold til dens formål henset til den tid, der er gået. Det vil være i strid med dette princip at opbevare oplysningerne i et længere tidsrum end det, der er nødvendigt af hensyn til de formål, hvortil de pågældende oplysninger er blevet lagret (15). Det følger heraf, at en behandling af oplysninger, der oprindeligt var lovlig, med tiden kan blive uforenelig med direktiv 2016/680, når disse oplysninger ikke længere er nødvendige af hensyn til de formål, hvortil de er blevet indsamlet, og at oplysningerne skal slettes, når disse formål er opfyldt (16).

28.      Tidsaspektet i forbindelse med opbevaring af oplysninger behandles ligeledes i artikel 5 i direktiv 2016/680 i form af et supplement til og en præcisering af kravene i direktivets artikel 4 (17). Som anført i 26. betragtning til det nævnte direktiv bør den dataansvarlige for at sikre, at oplysningerne ikke opbevares i længere tid end nødvendigt, indføre tidsfrister for sletning eller regelmæssig revision. Det må fastslås, at artikel 5 i direktiv 2016/680 dels overlader det til medlemsstaterne at bedømme og fastsætte den relevante varighed af opbevaringen, og dels hjemler regelmæssig revision af behovet for opbevaring af oplysningerne som alternativ til fastlæggelse a priori af en maksimal opbevaringsperiode. Denne anden mulighed forekommer mig at være af en vis betydning i den foreliggende sag, eftersom den er udtryk for, at EU-lovgiver anerkender en mulig opbevaring på ubestemt tid af oplysninger med henblik på retshåndhævelse (18). Denne konstatering skal ses sammen med bestemmelserne i artikel 16, stk. 3, i direktiv 2016/680, der hjemler mulighed for at begrænse behandlingen af oplysninger som alternativ til sletning af disse, navnlig i bestemmelsens litra b), når personoplysningerne skal bevares »som bevismiddel«, hvilket viser, at der ikke findes en absolut ret til sletning (19).

29.      Spørgsmålet om lovligheden af opbevaringen af oplysningerne indbefatter nødvendigvis spørgsmålet om arten af disse, der i det foreliggende tilfælde navnlig omfatter fingeraftryk, fotografier, en DNA-test af den person, der er mistænkt for at have begået en lovovertrædelse eller er idømt straf herfor, idet denne type oplysninger indebærer, at behandlingen er omfattet af anvendelsesområdet for artikel 10 i direktiv 2016/680. Det skal fremhæves, at selv om den retlige ordning, der er fastlagt i denne bestemmelse, til forskel fra ordningen i databeskyttelsesforordningens artikel 9 ikke indebærer et principielt forbud mod en behandling af sådanne oplysninger, må sidstnævnte behandling »kun tillades, når det er strengt nødvendigt«, forudsat at behandlingen er omfattet af de fornødne garantier for den registreredes rettigheder og frihedsrettigheder, og navnlig når de er hjemlet i EU-retten eller en medlemsstats ret.

30.      Ifølge retspraksis er formålet med artikel 10 i direktiv 2106/680 at sikre en øget beskyttelse med hensyn til disse behandlinger, der som følge af disse oplysningers særligt følsomme karakter og den sammenhæng, hvori de behandles, kan, således som det fremgår af 37. betragtning til dette direktiv, indebære betydelige risici for grundlæggende rettigheder og frihedsrettigheder, såsom retten til respekt for privatliv og retten til beskyttelse af personoplysninger, der er sikret ved chartrets artikel 7 og 8. Således som det fremgår af selve ordlyden af artikel 10 i direktiv 2016/680, skal kravet om, at behandlingen af sådanne oplysninger »kun [må] tillades, når det er strengt nødvendigt«, fortolkes således, at det definerer strengere betingelser for, at behandlingen af følsomme oplysninger er lovlig, i forhold til de betingelser, der følger af dette direktivs artikel 4, stk. 1, litra b) og c), og artikel 8, stk. 1, som alene henviser til, at en behandling af oplysninger, som generelt er omfattet af det nævnte direktivs anvendelsesområde, er »nødvendig«. Dels indebærer anvendelsen af adverbiet »kun« før udtrykket »når det er strengt nødvendigt«, at behandlingen af særlige kategorier af oplysninger, som omhandlet i artikel 10 i direktiv 2016/680, kun kan anses for nødvendig i et begrænset antal tilfælde. Dels indebærer den omstændighed, at nødvendigheden af en behandling af sådanne oplysninger har »absolut« karakter, at denne nødvendighed skal undergives en særlig streng vurdering (20).

31.      For det andet skal det nævnes, at selv om Domstolen allerede gentagne gange har taget stilling til spørgsmålet om lovligheden af opbevaring af oplysninger med henblik på retshåndhævelse, har den gjort dette i normative og faktiske sammenhænge, der er markant anderledes end i den foreliggende sag. Domstolen har således fastslået (21), at EU-retten, som følger af direktiv 2002/58/EF (22), hvoraf det fremgår, at brugerne af elektroniske kommunikationsmidler principielt med rette kan forvente, at deres kommunikation og de dermed forbundne data forbliver anonyme, så længe de ikke har givet deres samtykke, og ikke kan gøres til genstand for registrering, er til hinder for en forebyggende generel og udifferentieret lagring af trafikdata og lokaliseringsdata med henblik på bekæmpelse af kriminalitet, uanset grovheden heraf, idet denne lagring kun er tilladt under visse betingelser i tilfælde af en trussel mod den nationale sikkerhed, som er alvorlig, reel og aktuel eller forudsigelig. Domstolen har tilføjet, at EU-retten derimod ikke er til hinder for foranstaltninger, der med henblik på bekæmpelse af alvorlig kriminalitet foreskriver generel og udifferentieret lagring af de data, der vedrører identiteten på brugerne, og i en periode, der er tidsmæssigt begrænset til det strengt nødvendige, deres IP-adresser, for målrettet lagring af data, som på grundlag af objektive og ikke-diskriminerende forhold er afgrænset ud fra kategorier af berørte personer eller ved hjælp af et geografisk kriterium, i en periode, der er tidsmæssigt begrænset til det strengt nødvendige, men som kan forlænges, og for hurtig lagring af de data, som udbyderne råder over, i en begrænset periode, idet alle disse foranstaltninger ved klare og præcise regler skal sikre, at lagringen af de omhandlede data er underlagt overholdelsen af de dermed forbundne materielle og proceduremæssige betingelser, og at de berørte personer råder over effektive garantier mod risikoen for misbrug.

32.      Domstolen har ligeledes gjort brug af kriteriet om, at behandlingen af personoplysninger skal holde sig inden for det strengt nødvendige i forbindelse med videregivelse, opbevaring og brug af oplysninger på passagerlister, der er oprettet af luftfartsselskaber, om passagerer på flyvninger uden for EU (herefter »PNR-oplysninger«) med henblik på forebyggelse og afsløring af terrorhandlinger og grov kriminalitet (23). Domstolen har haft anledning til at fremhæve, at idet PNR-oplysningerne i overensstemmelse med PNR-aftalen mellem EU og Canada kan opbevares i op til fem år, gør denne aftale det muligt at råde over oplysninger om flypassagerernes privatliv i usædvanligt lang tid, og at for så vidt angår de flypassagerer, med hensyn til hvilke der ikke er blevet konstateret en risiko for terrorisme eller grov, grænseoverskridende kriminalitet fra deres ankomst til Canada frem til deres udrejse fra dette tredjeland, synes der efter deres udrejse ikke at foreligge nogen forbindelse, selv indirekte, mellem deres PNR-oplysninger og det med den påtænkte aftale forfulgte formål, som kan begrunde en opbevaring af disse oplysninger. Domstolen konkluderede derfor, at en fortsat opbevaring af PNR-oplysningerne for samtlige flypassagerer efter disses afgang fra Canada med henblik på en eventuel adgang til oplysningerne, uafhængigt af, om der foreligger nogen forbindelse til bekæmpelsen af terrorisme og grov, grænseoverskridende kriminalitet, ikke var begrundet (24).

33.      Domstolen har i forbindelse med en præjudiciel forelæggelse taget stilling til gyldigheden og fortolkningen af direktiv (EU) 2016/681 (25), der forpligter luftfartsselskaberne til at videregive oplysningerne om alle passagerer, der benytter en flyvning uden for EU mellem et tredjeland og Den Europæiske Union, til passageroplysningsenheden i bestemmelses- eller afgangsmedlemsstaten for den pågældende flyvning med henblik på at bekæmpe terrorisme og alvorlig kriminalitet. De således overførte PNR-oplysninger underkastes en forudgående vurdering af passageroplysningsenheden i en periode på seks måneder og opbevares derefter i fem år med henblik på en eventuel efterfølgende vurdering foretaget af medlemsstaternes kompetente myndigheder, hvilket kan føre til, at der foretages analyser i et betydeligt og – for personer, der rejser med fly mere end én gang hvert femte år – endda ubegrænset tidsrum. Domstolen fandt, at dette direktiv indebærer indgreb af en klart alvorlig karakter i de rettigheder, som er sikret ved chartrets artikel 7 og 8, for så vidt som det bl.a. har til formål at indføre et system til kontinuerlig, ikke-målrettet og systematisk overvågning, der omfatter automatisk vurdering af personoplysninger vedrørende samtlige personer, der benytter lufttransporttjenester, og anlagt en fortolkning, der er i overensstemmelse med chartrets artikel 7, 8 og 21 samt artikel 52, stk. 1. Domstolen præciserede, at efter udløbet af den indledende opbevaringsperiode på seks måneder syntes opbevaringen af PNR-oplysningerne ikke at være begrænset til det strengt nødvendige hvad angår flypassagerer, med hensyn til hvilke hverken den forudgående vurdering, eventuelle kontroller foretaget i den indledende opbevaringsperiode på seks måneder, eller nogen anden omstændighed har afsløret, at der foreligger objektive forhold, som kan godtgøre en risiko i forbindelse med terrorhandlinger eller grov kriminalitet, der har en – i det mindste indirekte – objektiv forbindelse med disse passagerers flyrejse. Derimod fandt Domstolen, at opbevaring af PNR-oplysninger vedrørende samtlige flypassagerer, som er omfattet af det system, der er indført ved dette direktiv, i den indledende periode på seks måneder, principielt ikke synes at gå ud over grænserne for det strengt nødvendige.

34.      Til forskel fra den ovenfor anførte retspraksis skal det på den ene side fremhæves, at i modsætning til hvad der er fastsat om behandling af oplysninger i direktiv 2002/58 (26), udgør den registreredes samtykke ikke et retsgrundlag for de kompetente myndigheders behandling af personoplysninger med henblik på de formål, der er nævnt i artikel 1, stk. 1, i direktiv 2016/680. Som det præciseres i 35. betragtning til dette direktiv, gør udførelsen af opgaverne med at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger, som institutionelt er tillagt de kompetente myndigheder ved lov, det muligt for disse myndigheder at kræve, at fysiske personer efterlever de anmodninger, der fremsættes. På den anden side er der i den foreliggende sag ikke tale om opbevaring og automatiseret analyse af et »hav af data« (27), der er genereret i den elektroniske kommunikationssektor eller i lufttransportsektoren, opbevares af private operatører og videregives til efterforskningsmyndigheder, men om ét enkelt politiregister, der alene kontrolleres af en offentlig myndighed og er strengt fortroligt, og som indeholder oplysninger om personer, om hvilke der er væsentlig grund til at tro, at de har begået en lovovertrædelse, idet de er mistænkt eller dømt i en straffesag.

35.      De specifikke forhold i den normative og faktiske kontekst i den ovenfor anførte retspraksis er efter min opfattelse til hinder for, at løsningerne heri på nogen måde uden forbehold kan overføres på det foreliggende præjudicielle spørgsmål, der navnlig vedrører sondringen mellem formålene med opbevaring af oplysninger (beskyttelse af den nationale sikkerhed, bekæmpelse af grov kriminalitet eller af lovovertrædelser, der ikke henregnes herunder) og den nødvendige sammenhæng mellem betydningen af disse formål og strengheden af de indgreb i de grundlæggende rettigheder, der kan begrundes (28). Argumentet om, at generel bekæmpelse af kriminalitet alene kan begrunde indgreb, der ikke er alvorlige (29), kan med andre ord ikke anvendes i det foreliggende tilfælde, uden at det i høj grad vil svække den effektive virkning af direktiv 2016/680 og de nationale redskaber til efterforskning og beskyttelse af den nationale sikkerhed, såsom det omhandlede politiregister, der falder ind under anvendelsesområdet for dette direktiv, hvis formål netop er udtryk for behovet for på forholdsmæssig vis at kunne behandle oplysningerne med henblik på politimæssige formål. Det skal nævnes, således som det fremgår af 10. og 11. betragtning til direktiv 2016/680, at EU-lovgiver har haft til hensigt at vedtage regler, der tager hensyn til den særlige karakter af det område, der er omfattet af dette direktiv. I denne forbindelse anføres det i 12. betragtning til direktivet, at de aktiviteter, der udføres af politiet eller andre retshåndhævende myndigheder, hovedsageligt er fokuseret på at forebygge og efterforske strafbare handlinger, uden yderligere præcisering, og at afsløre eller retsforfølge disse, herunder politiaktiviteter uden forudgående viden om, hvorvidt et forhold udgør en strafbar handling eller ej (30).

36.      For det tredje skal det nævnes, at chartrets artikel 7, der vedrører retten til respekt for privatliv og familieliv, indeholder rettigheder svarende til dem, der er sikret ved EMRK’s artikel 8, stk. 1, og beskyttelsen af personoplysninger spiller en grundlæggende rolle for udøvelsen af retten til respekt for privatliv og familieliv, der er fastsat i EMRK’s artikel 8. I overensstemmelse med chartrets artikel 52, stk. 3, skal nævnte artikel 7 derfor tillægges samme betydning og omfang som EMRK’s artikel 8, stk. 1, som fortolket i menneskerettighedsdomstolens praksis (31).

37.      Menneskerettighedsdomstolen har fastslået, at beskyttelsen af personoplysninger spiller en grundlæggende rolle for udøvelsen af retten til respekt for privatliv, der er fastsat i EMRK’s artikel 8, og at ren opbevaring af data, der vedrører den enkeltes privatliv, udgør et indgreb i forhold til artikel 8, uanset om de opbevarede oplysninger anvendes efterfølgende. Ifølge denne retspraksis skal den nationale lovgivning bl.a. sikre, at disse data er relevante og ikke omfatter mere end, hvad der kræves til opfyldelse af de formål, hvortil de er registreret, og at de opbevares på en sådan måde, at det ikke er muligt at identificere de registrerede i et længere tidsrum end det, der er nødvendigt til de formål, hvortil de pågældende personoplysninger er registreret. Den nationale lovgivning skal også indeholde garantier, der effektivt kan beskytte de registrerede personoplysninger mod forkert og uretmæssig brug ved at hjemle en konkret mulighed for at indgive en begæring om sletning af lagrede oplysninger. Menneskerettighedsdomstolen har dog præciseret, at den fuldt ud er opmærksom på, at de nationale myndigheder for at beskytte deres borgere, således som de har pligt til, har mulighed for at oprette registre, der effektivt bidrager til at forhindre og forebygge visse lovovertrædelser, bl.a. de mest alvorlige. Sådanne registre kan imidlertid ikke anvendes ud fra et ønske om at maksimere oplysningerne heri og det tidsrum, i hvilket de opbevares (32). Med hensyn til sidstnævnte punkt har Menneskerettighedsdomstolen fastslået, at den omstændighed, at der ikke er fastsat en maksimal varighed for opbevaringen af personoplysninger om dømte personer, ikke nødvendigvis er uforenelig med EMRK’s artikel 8, men at det i så fald er så meget desto vigtigere, at der findes visse proceduremæssige garantier, og at disse fungerer (33).

D.      Indgrebet i de grundlæggende rettigheder, der er sikret ved chartrets artikel 7 og 8

38.      Som det fremgår af artikel 68 i lov om indenrigsministeriet og den bulgarske regerings bemærkninger i retsmødet, omfatter de i den nationale lovgivning omhandlede oplysninger navnlig den registreredes civilstatus, de ulovlige forhold, som den pågældende er mistænkt for at have begået, eller for hvilke vedkommende er blevet idømt straf, dennes fingeraftryk, fotografier og DNA-test med henblik på profilering. Eftersom disse oplysninger således indeholder oplysninger om identificerede fysiske personer, berører de forskellige behandlinger, som de kan undergives, den grundlæggende ret til respekt for privatlivet, der er sikret ved chartrets artikel 7. Herudover er behandling af disse oplysninger som omhandlet i den nationale lovgivning tillige omfattet af chartrets artikel 8, idet den udgør behandling af personoplysninger i denne artikels forstand og derfor nødvendigvis skal opfylde de i den nævnte artikel fastsatte krav vedrørende beskyttelse af oplysninger (34).

39.      I lighed med Menneskerettighedsdomstolen, ifølge hvilken ren opbevaring af data, der vedrører den enkeltes privatliv, udgør et indgreb i forhold til EMRK’s artikel 8 (35), er Domstolen af den opfattelse, at lagring af data i sig selv udgør et indgreb i den grundlæggende ret til respekt for privatlivet og til beskyttelse af personoplysninger, der er sikret ved chartrets artikel 7 og 8, idet det ikke er afgørende, om de pågældende oplysninger vedrørende privatlivet er følsomme, om dette indgreb har medført eventuelle ubehageligheder for de berørte, eller om de lagrede data efterfølgende anvendes (36).

40.      For så vidt angår alvoren af det indgreb, som opbevaringen udgør, er den påvist, henset til karakteren af visse data, navnlig biometriske og genetiske data i politiregistret, idet Domstolen har kvalificeret de risici, som behandlingen af følsomme oplysninger udgør for de registreredes rettigheder og frihedsrettigheder, som betydelige, navnlig i forbindelse med de opgaver, som de kompetente myndigheder udfører med henblik på de formål, der er nævnt i artikel 1, stk. 1, i direktiv 2016/680 (37). I denne henseende er det præciseret i 23. betragtning til dette direktiv, at i betragtning af genetiske oplysningers kompleksitet og følsomhed er der stor risiko for misbrug og genanvendelse til forskellige formål fra den dataansvarliges side. For så vidt angår 51. betragtning til det nævnte direktiv anføres det heri, at risiciene for fysiske personers rettigheder og frihedsrettigheder kan opstå som følge af behandling af oplysninger, der kan føre til fysisk, materiel eller immateriel skade, navnlig hvis genetiske data eller biometriske data behandles for entydigt at identificere en person, eller hvis oplysninger om straffedomme og lovovertrædelser behandles.

41.      Det tidsrum, hvor oplysningerne opbevares i politiregistret, afspejler også alvoren af indgrebet, for så vidt som denne opbevaring kan opretholdes i hele den straffede persons levetid. Endelig fremgår det af artikel 26, stk. 6, i lov om indenrigsministeriet, at personoplysningerne kan videregives til kompetente myndigheder og til modtagere i EU-medlemsstaterne, til EU-organer, ‑kontorer og ‑agenturer, til tredjelande og til internationale organisationer. Det skal i denne forbindelse erindres, at direktiv 2016/680 har til formål at lette den frie udveksling af personoplysninger mellem kompetente myndigheder med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod og forebygge trusler mod den offentlige sikkerhed i Unionen, og overførsel af sådanne personoplysninger til tredjelande og internationale organisationer, med henblik på at sikre effektiviteten af det retlige samarbejde i straffesager og politisamarbejdet (38). I denne henseende skal det påpeges, at retten til beskyttelse af personoplysninger bl.a. kræver, at det ved EU-retten tillagte høje niveau for beskyttelse af de grundlæggende friheder og rettigheder fortsat sikres i tilfælde af overførsel af personoplysninger fra EU til et tredjeland (39).

42.      Henset til samtlige ovenstående betragtninger må det konkluderes, at den omhandlede nationale lovgivning indebærer indgreb af en klart alvorlig karakter i de rettigheder, som er sikret ved chartrets artikel 7 og 8, for så vidt som det navnlig har til formål at indføre et redskab til kontinuerlig opbevaring af følsomme oplysninger vedrørende personer, der er idømt straf, idet disse oplysninger kan passere den pågældende stats grænser.

E.      Spørgsmålet om, hvorvidt indgrebet er berettiget

43.      Som anført ovenfor synes de grundlæggende rettigheder, der er fastsat i chartrets artikel 7 og 8, ikke at være absolut ufravigelige, og det fremgår af chartrets artikel 52, stk. 1, at dette charter tillader begrænsninger i udøvelsen af disse rettigheder, for så vidt som disse begrænsninger er fastlagt i lovgivningen og respekterer de nævnte rettigheders væsentligste indhold, og for så vidt som disse begrænsninger under iagttagelse af proportionalitetsprincippet er nødvendige og faktisk svarer til mål af almen interesse, der er anerkendt af Unionen, eller et behov for beskyttelse af andres rettigheder og friheder (40). Ifølge 26. betragtning til direktiv 2016/680 kan de retshåndhævende myndigheder udføre disse aktiviteter med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod og forebygge trusler mod den offentlige sikkerhed, så længe de er fastlagt ved lov og udgør en nødvendig og forholdsmæssig foranstaltning i et demokratisk samfund under behørigt hensyn til den berørte fysiske persons legitime interesser.

44.      Hvad angår overholdelsen af proportionalitetsprincippet skal det erindres, at beskyttelsen af den grundlæggende ret til respekt for privatlivet i henhold til Domstolens faste praksis kræver, at undtagelser fra og begrænsninger i beskyttelsen af personoplysninger begrænses til det strengt nødvendige, hvorved det forudsættes, at såfremt det er muligt at vælge mellem flere egnede foranstaltninger i forhold til de tilsigtede legitime mål, skal den mindst bebyrdende foranstaltning vælges. Desuden kan et mål af almen interesse ikke forfølges uden hensyntagen til den omstændighed, at målet skal forenes med de grundlæggende rettigheder, der er berørt af foranstaltningen, ved at foretage en rimelig afvejning mellem på den ene side målet af almen interesse og på den anden side de pågældende rettigheder med henblik på at sikre, at ulemperne ved denne foranstaltning ikke er uforholdsmæssige i forhold til de tilsigtede mål. Muligheden for at begrunde en begrænsning af de rettigheder, der er sikret ved chartrets artikel 7 og 8, skal således vurderes ved at bedømme alvoren af det indgreb, som en sådan begrænsning indebærer, og ved at kontrollere, at betydningen af det mål af almen interesse, der forfølges med denne begrænsning, står i forhold til denne alvor (41).

1.      Overholdelsen af legalitetsprincippet

45.      Kravet om, at enhver begrænsning af udøvelsen af de grundlæggende rettigheder skal være fastlagt i lovgivningen, indebærer, at det retsgrundlag, som tillader et indgreb i disse rettigheder, selv skal definere rækkevidden af begrænsningen af udøvelsen af den pågældende rettighed. I denne henseende har Domstolen desuden fastslået, at den lovgivning, som indebærer en foranstaltning, der tillader et sådant indgreb, skal fastsætte klare og præcise regler, der regulerer rækkevidden og anvendelsen af den pågældende foranstaltning, og som opstiller mindstekrav, således at de personer, hvis personoplysninger er blevet overført, råder over tilstrækkelige garantier, der gør det muligt effektivt at beskytte disse oplysninger mod risikoen for misbrug. Følgelig bør retsgrundlaget for enhver behandling af personoplysninger, der er omfattet af anvendelsesområdet for direktiv 2016/680, således som EU-lovgiver i øvrigt har fremhævet i 33. betragtning til dette direktiv, være klar og præcis, og anvendelse heraf være forudsigelig for personer, der er omfattet af dens anvendelsesområde. Medlemsstaterne skal navnlig være i stand til at identificere de omstændigheder og betingelser, hvorunder rækkevidden af de rettigheder, som det nævnte direktiv tillægger dem, kan begrænses (42).

46.      Undersøgelsen af den omhandlede nationale lovgivning i forelæggelsesafgørelsen suppleret af den bulgarske regerings indlæg gør det efter min opfattelse muligt at lægge til grund, at kravet vedrørende lovens »kvalitet« er opfyldt, idet jeg erindrer om, at loven ikke udelukker, at den pågældende begrænsning formuleres så åbent, at den kan tilpasses forskellige situationer og ændrede omstændigheder (43).

47.      Registreringen og opbevaringen af oplysninger i politiregistret synes således ifølge artikel 27 i lov om indenrigsministeriet at have beskyttelse af den nationale sikkerhed, bekæmpelse af kriminalitet og opretholdelse af den offentlige orden som udtømmende formål, idet denne behandling tager sigte på at lette den operationelle efterforskningsaktivitet, der er detaljeret beskrevet i artikel 8 i lov om indenrigsministeriet (44). Rækkevidden af behandlingen med hensyn til lovovertrædelsernes art, de pågældende data, betingelserne for modtagelse af disse, den samling af oplysninger, hvori de behandles, og det tidsrum, hvori de opbevares, er fastsat tilstrækkeligt nøjagtigt i artikel 68 i lov om indenrigsministeriet og i artikel 28 i Naredba za reda za izvarshvane i snemane na politseyska registratsia (bekendtgørelse om gennemførelsesbestemmelserne for registrering i politiregistret og sletning af denne registrering, herefter »bekendtgørelsen«). Den nationale bekendtgørelse fastsætter udtrykkeligt og i overensstemmelse med 26. betragtning til direktiv 2016/680 procedurer for sikring af personoplysningernes integritet og fortrolighed samt procedurerne for deres tilintetgørelse med de oplysninger, der meddeles den registrerede, i overensstemmelse med artikel 54 og 55 i zakon za zasjtjita na litjnite danni (lov om beskyttelse af personoplysninger), bl.a. med hensyn til dennes ret til at anmode den dataansvarlige om aktindsigt i oplysningerne, berigtigelse eller sletning heraf. I denne forbindelse er grundene til sletning, proceduren og virkningerne heraf præciseret i artikel 68 i lov om indenrigsministeriet og i artikel 18 ff. i bekendtgørelsen. Disse bestemmelser er affattet tilstrækkeligt præcist og klart til, at lovens adressater kan tilpasse deres adfærd, og dermed opfylder kravet om forudsigelighed, som er fastslået i Menneskerettighedsdomstolens praksis (45).

2.      Respekten for det væsentligste indhold af de grundlæggende rettigheder, der er sikret ved chartrets artikel 7 og 8

48.      For så vidt angår det væsentligste indhold af den grundlæggende ret til respekt for privatliv, der er fastsat i chartrets artikel 7, er arten af oplysningerne i politiregistret begrænset til et specifikt aspekt af dette privatliv, vedrørende den registreredes kriminelle fortid, hvilket ikke gør det muligt at drage generelle konklusioner om den pågældendes privatliv, såsom dennes vaner i dagligdagen, midlertidige eller varige opholdssteder, daglige eller andre rejser, hvilke aktiviteter der udøves, den pågældendes sociale relationer og de sociale miljøer, denne frekventerer, og således fastlægge dennes profil. For så vidt angår det væsentligste indhold af den grundlæggende ret til respekt for privatliv, der er fastsat i chartrets artikel 8, fremgår det af ovenstående betragtninger, at den omhandlede nationale lovgivning afgrænser formålene med behandlingen af dataene og indeholder en udtømmende opregning af de lagrede data og af regler med henblik på at sikre adgangen til disse og berigtigelse eller sletning heraf. På denne baggrund skader det indgreb, som opbevaringen af oplysninger i henhold til denne lovgivning medfører, ikke det væsentligste indhold af de grundlæggende rettigheder, der er sikret ved chartrets artikel 7 og 8 (46).

3.      Målet af almen interesse og spørgsmålet om, hvorvidt behandlingen af de omhandlede oplysninger er egnet i forhold til dette mål

49.      Således som det er blevet fastslået i dette forslag til afgørelse, anvendes oplysningerne fra en registrering af personer i politiregistret, der er foretaget på grundlag af artikel 68 i lov om indenrigsministeriet, med henblik på at beskytte den nationale sikkerhed, at bekæmpe kriminalitet og at opretholde den offentlige orden. Den bulgarske regering har oplyst, at oplysningerne indsamles og behandles med henblik på den straffesag, inden for rammerne af hvilken der er rejst sigtelse mod den registrerede, og for at blive sammenholdt med andre oplysninger, der er indsamlet i forbindelse med efterforskningen af andre lovovertrædelser. Dette formål vedrører også den situation, hvor oplysningerne sammenholdes med oplysninger, der er indsamlet i andre medlemsstater (47).

50.      Denne behandling vedrører ifølge den bulgarske regering den operationelle efterforskningsaktivitet, der er beskrevet i artikel 8 i lov om indenrigsministeriet, hvis formål er defineret som følger: forebyggelse og afsløring af straffelovsovertrædelser, trusler mod den nationale sikkerhed og angreb mod den offentlige orden, eftersøgning af personer, der unddrager sig deres strafferetlige ansvar, eller som har unddraget sig fuldbyrdelsen af en straf vedrørende strafbare handlinger, som er underlagt offentlig påtale, samt eftersøgning af savnede personer, eftersøgning af genstande, der har været genstand for eller er blevet anvendt til en strafbar handling, eller som kan tjene som beviser, samt udarbejdelse og opbevaring af materielle beviser og fremlæggelse af disse for de kompetente retlige myndigheder.

51.      Domstolen har fastslået, at formålet om beskyttelse af den offentlige sikkerhed udgør et mål af almen interesse for EU, der kan begrunde endog alvorlige indgreb i de grundlæggende rettigheder, som er sikret ved chartrets artikel 7 og 8. En sådan beskyttelse bidrager desuden ligeledes til beskyttelsen af andres rettigheder og friheder. I denne henseende fastslår chartrets artikel 6, at enhver har ret til ikke alene frihed, men også personlig sikkerhed, idet denne bestemmelse sikrer rettigheder, der svarer til dem, som er sikret ved EMRK’s artikel 5 (48). I sagen vedrørende foreneligheden af indsamlingen af de opregnede data i det samme bulgarske politiregister fastslog Domstolen klart, at denne behandling vedrørende sigtede personer i straffesager med henblik på deres registrering forfølger de formål, der er nævnt i artikel 1, stk. 1, i direktiv 2016/680, navnlig formålene om at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger, som udgør mål af almen interesse, der er anerkendt i Unionen. Domstolen tilføjede, at en sådan indsamling kan bidrage til det formål, der er nævnt i 27. betragtning til direktiv 2016/680, hvorefter det med henblik på forebyggelse, efterforskning og retsforfølgning af strafbare handlinger er nødvendigt, at de kompetente myndigheder behandler personoplysninger, der er indsamlet i forbindelse med forebyggelse, efterforskning, afsløring eller retsforfølgning af konkrete strafbare handlinger, i en bredere sammenhæng for derved at få en bedre forståelse af kriminelle handlinger og sammenkoble forskellige strafbare handlinger, som er blevet afsløret (49). Disse betragtninger gælder naturligvis også for foranstaltningen vedrørende lagring af data.

52.      Det forekommer mig vanskeligt at anfægte, at den omstændighed, at opbevaringen af data i politiregistret er en behandling, der gør det muligt at nå målene af almen interesse om at afsløre og dermed forebygge forbrydelser. Det er åbenbart, at et politiregister indeholdende identificerede enkeltpersoners identiteter, fotografier, biometriske og genetiske data, og dermed en persons unikke fysiske kendetegn, der ikke kan forfalskes, udgør et særdeles relevant efterforskningsredskab for sikkerhedsmyndighederne med henblik på at opklare lovovertrædelser og identificere gerningsmændene. I denne forstand opfylder den nationale lovgivning objektive kriterier, som fastlægger et forhold mellem de data, der skal lagres, og det forfulgte mål (50).

4.      Det omhandlede indgrebs nødvendighed og forholdsmæssighed

53.      Selv om opbevaringen af data i det omhandlede politiregister klart er egnet til at nå det tilsigtede mål af almen interesse, står det tilbage at undersøge, om det indgreb i de rettigheder, der er sikret ved chartrets artikel 7 og 8, som følger af en sådan opbevaring, er begrænset til det strengt nødvendige i den forstand, at formålet ikke med rimelighed kan nås lige så effektivt ved andre midler, der er mindre indgribende i de berørte personers grundlæggende rettigheder, og om indgrebet er uforholdsmæssigt i forhold til dette formål, hvilket indebærer en afvejning mellem vigtigheden af dette formål og alvoren af det nævnte indgreb (51).

54.      Ved udøvelsen af denne kontrol skal der i den foreliggende sag tages hensyn til formålet med politiregistret, arten af de omhandlede overtrædelser og antallet af personer, der kan være registreret i registret, de indsamlede personoplysningers særlige følsomhed og det tidsrum, i hvilket de opbevares, de retsgarantier og/eller tekniske garantier, der er fastsat i den nationale lovgivning vedrørende indsigt i registret, og kontrollen af den fortsatte opbevaring af dataene heri.

a)      Formålet med registret

55.      I sit skriftlige indlæg har Irland i det væsentlige gjort gældende, at opbevaringen af oplysninger kan være nødvendig med henblik på relaterede kontroller, der tjener offentlighedens interesser med hensyn til forebyggelse af kriminalitet og beskyttelse af den offentlige sikkerhed. Oplysningerne i et politiregister bør derfor være tilgængelige, ikke blot med henblik på at eftersøge gerningsmændene til lovovertrædelser, men også med henblik på administrative politimæssige formål i forbindelse med undersøgelser forud for afgørelser om ansættelse eller egnethed vedrørende stillinger i det offentlige eller følsomme stillinger, idet formålet er at kontrollere, at ansøgernes adfærd ikke er uforenelig med udøvelsen af de pågældende funktioner.

56.      I retsmødet har den bulgarske regering bekræftet det, der kan udledes af den udtrykkelige ordlyd af artikel 27 i lov om indenrigsministeriet, nemlig at det omhandlede politiregister er et redskab til brug for retlige undersøgelser og ikke administrative. Denne konstatering har en vis betydning med hensyn til følgerne af registreringen af en person i et register over tidligere straffede, for så vidt som genen ved at være registreret ikke samtidig gør det umuligt at få adgang til visse erhvervsmæssige aktiviteter (52). Registreringen i det omhandlede politiregister er hverken en straf eller en tillægsstraf, dens formål er klart afgrænset til retlige undersøgelser, og anvendelsen heraf er forbeholdt myndigheder, der er underlagt tavshedspligt.

57.      Det forholder sig ikke desto mindre således, at der er tale om ét enkelt register, der anvendes til en særdeles lang række af kriminalpolitiets formål, indeholder forskelligartede oplysninger – fra enkle oplysninger om civilstatus til biometriske og genetiske data – og identificerer enkeltpersoner, der ikke har samme processuelle status. Snarere end en enkelt behandling, der omfatter alle oplysninger, er det i andre lovgivninger blevet foretrukket at fastsætte bestemmelser om flere politiregistre med specifikke formål, en enkelt anvendelse og en type oplysninger.

b)      Lovovertrædelserne og de registrerede

58.      Opbevaringen af data i politiregistret vedrører personer, der er sigtet og dømt for forsætlige lovovertrædelser, som retsforfølges ex officio, for så vidt som anklagemyndigheden fremsætter anklagen. Ifølge den bulgarske regerings oplysninger er ikke-forsætlige lovovertrædelser, lovovertrædelser og strafbare handlinger af privat karakter og visse lovovertrædelser, der har været genstand for en administrativ sanktion, udelukket fra denne kategori. Som allerede nævnt kræver langt størstedelen af de lovovertrædelser, der er fastsat i straffeloven, forsæt, og de retsforfølges stort set alle ex officio (53).

59.      Det må fastslås, at den nationale lovgivning ikke tager sigte på udtømmende opregnede lovovertrædelser, ikke indeholder en sondring mellem lovovertrædelser efter deres art, der er knyttet til forholdenes grovhed og straffen herfor, og ej heller indeholder noget kriterium vedrørende en præcis varighed af en fængselsstraf. Dermed samles forskellige ulovlige forhold i én enkelt og omfattende enhed, ganske vist med et forbehold med hensyn til kravet om forsæt, hvilket a priori fører til udelukkelse af mindre alvorlige lovovertrædelser, for hvilke det er tilstrækkeligt, at de strafbare handlinger blot materielt er blevet begået (54), og lovovertrædelser, der begås ved simpel uagtsomhed. Da den bulgarske regering i retsmødet blev opfordret til at præcisere indholdet af den omhandlede kategori af lovovertrædelser, oplyste denne desværre blot, at der ikke kun er tale om overtrædelser, der kan straffes med fængsel i mindst fem år.

60.      For så vidt angår de berørte enkeltpersoner skal det noteres, at den anfægtede behandling af oplysningerne er begrænset med hensyn til de pågældendes alder, eftersom det fremgår af bekendtgørelsens artikel 4, at mindreårige ikke er omfattet af registreringen i politiregistret, hvilket reducerer antallet af personer, der registreres i dette register, tilsvarende. Den omhandlede foranstaltning sondrer mellem to kategorier af personer, nemlig sigtede personer og personer, der er dømt i en straffesag. De således omhandlede personer er på forhånd inden for rammerne af de gældende nationale procedurer og på grundlag af objektive og ikke-diskriminerende forhold blevet identificeret som en trussel mod den offentlige sikkerhed eller opretholdelsen af lov og orden. Medlemsstaterne kan træffe lagringsforanstaltninger vedrørende personer, der i forbindelse med en sådan identifikation er blevet sigtet, dvs. en kategori af personer, om hvem der er væsentlig grund til at tro, at de har begået en strafbar handling, eller som er blevet dømt som følge af, at deres straffeansvar er blevet fastslået, hvilket er situationer, der kan indebære en høj risiko for gentagelse (55). Tilbagefald til kriminalitet, i den bredere forstand som gentagelse af lovovertrædelse, er et fænomen, som alle medlemsstater forsøger at måle og opnå en forståelse af de afgørende faktorer for, hvilket er en følsom opgave, idet den afhænger af, at der findes objektive og pålidelige statistiske data vedrørende kriminaliteten. Såfremt sådanne data foreligger, kan de vise, at en kriminel fortid er en væsentlig afgørende faktor for tilbagefald til kriminalitet (56).

61.      Det skal ligeledes fremhæves, at de sigtede personer og deres oplysninger skal »forsvinde« fra politiregistret, såfremt straffesagen mod dem afsluttes med en henlæggelse eller frifindelse i henhold til artikel 68 i lov om indenrigsministeriet, hvilket naturligvis påvirker det antal af personer, der er registreret i registret, som den bulgarske regering ikke har kunnet oplyse (57).

c)      Oplysningernes art og opbevaringens varighed

62.      For så vidt angår de omhandlede oplysninger har Domstolen fastslået, at henset til den øgede beskyttelse, som de registrerede skal ydes i forbindelse med behandling af følsomme oplysninger, skal den dataansvarlige sikre sig, at dette formål ikke kan opfyldes ved at anvende andre kategorier af oplysninger end dem, der er opregnet i artikel 10 i direktiv 2016/680 (58). Som anført skal de data, som foreskrives lagret, klart kunne bidrage til forebyggelse, afsløring og retsforfølgning af lovovertrædelser, der henhører under bekæmpelse af kriminalitet og opretholdelse af den offentlige orden. Ligeledes kan det efter min opfattelse næppe antages, at disse formål kan opfyldes lige så effektivt alene på grundlag af oplysninger om den berørte persons civilstand eller fotografier af denne uden i overdreven grad at begrænse efterforskernes mulighed for at opklare lovovertrædelserne på grundlag af en sammenligning af de oplysninger, der er indsamlet under efterforskningen, med de oplysninger, der er registreret i registret i forbindelse med tidligere efterforskninger (59). Den tid, hvor en tilståelse blev anset for det ypperste bevis, er til alt held omme, idet de beviser, der indsamles af de kriminaltekniske enheder, med fordel har erstattet et tvivlsomt bevis i bevismaterialets hierarki. Det kan derfor konkluderes, at de omhandlede data både er relevante og ikke omfatter mere end, hvad der kræves til opfyldelse af de formål, hvortil de behandles.

63.      Det skal i øvrigt nævnes, at der i den omhandlede nationale lovgivning ikke er fastsat et præcis maksimalt tidsrum for opbevaring af de oplysninger, der er registreret i registret, idet oplysninger kun opbevares under sagen, såfremt denne afsluttes med henlæggelse eller frifindelse for visse sigtede personer, eller i hele deres levetid for personer, der har fået en endelig dom. Ifølge den bulgarske regerings oplysninger i retsmødet, som det tilkommer den forelæggende ret at efterprøve, sker fjernelsen ex officio ved den registreredes død, idet arvingerne desuden har ret til at anmode om sletning af registreringen i henhold til artikel 68, stk. 6, i lov om indenrigsministeriet. Skal denne situation anses for, sammenholdt med ordlyden af artikel 5 i direktiv 2016/680, at svare til en manglende fastsættelse af rimelige frister for sletning af personoplysninger, i den forstand, at fristen nødvendigvis skal svare til et tidsrum udtrykt i år, måneder eller dage? I bekræftende fald indebærer den nævnte bestemmelse som alternativ, at der i den nationale lovgivning kan fastsættes frister for den regelmæssige revision af nødvendigheden af at opbevare disse oplysninger (60).

64.      For så vidt angår oplysninger om sigtede personer og henset til, at den bulgarske lovgiver har valgt ikke at opbevare oplysningerne, såfremt de ikke idømmes en straffedom i deres sag, efterlader varigheden af denne sag, som nødvendigvis er ukendt, ingen anden mulighed, bortset fra at formalisere en forældelsesfrist for at forebygge en for lang sagsbehandlingstid. For så vidt angår dømte personer er det min opfattelse, at angivelsen af dødsfald er en tidsbegrænsning, der er knyttet til den registreredes biologiske liv, hvilket helt udelukker, at opbevaringen af oplysningerne kan kvalificeres som ubestemt eller ubegrænset (61). Opbevaringens udløb er fastsat på forhånd, selv om den nøjagtige dato herfor pr. definition er ubestemt. Under alle omstændigheder har den bulgarske ret i retsmødet oplyst, at der findes en intern regelmæssig revision af registreringerne i registret, der i det foreliggende tilfælde foretages hver tredje måned, hvilket opfylder kravene i artikel 5 i direktiv 2016/680.

65.      Tilbage står, at det er ubestrideligt, at opbevaringen, afhængigt af den registreredes alder ved registreringen i registret og ved dennes død, kan vise sig at være af meget lang varighed, længere end den, der er fastsat med henblik på at konstatere tilbagefald, eller forældelsesfristen for offentlig tiltale for den groveste lovovertrædelse (62). Denne opbevaringsperiode har imidlertid sin begrundelse i kriminalpolitiets formål med behandlingen, som er at indsamle indicier og beviser med henblik på at identificere tidligere og fremtidige gerningsmænd, da risikoen i forbindelse med strafbare handlinger, hvad enten de er grove eller ej, er af generel og vedvarende karakter (63). Den omstændighed, at uopklarede sager i visse tilfælde opklares meget senere, vidner både om den meget vanskelige opgave, som efterforskningsmyndighederne står over for, og relevansen af at opbevare de biometriske og genetiske data, der er indsamlet i registrene, over længere tid (64).

d)      Spørgsmålet, om der findes retsgarantier og tekniske garantier med hensyn til opbevaring af og adgang til oplysningerne

66.      Forholdsmæssigheden af indgrebet, der indebærer, at oplysningerne i politiregistret opbevares, kan ikke undersøges uafhængigt at reglerne for adgangen til dette register og kontrollen af begrundelsen for den fortsatte opbevaring af oplysningerne i registreret. Menneskerettighedsdomstolen har fastslået, at når en stat har tildelt sig selv størst mulig beføjelse til opbevaring på ubestemt tid, er det afgørende, at der findes effektive garantier, og at de fungerer. Den nationale lovgivning skal således indeholde garantier, der effektivt kan beskytte de registrerede personoplysninger mod forkert og uretmæssig brug og give mulighed for at få slettet disse oplysninger, så snart den fortsatte opbevaring af disse bliver uforholdsmæssig, navnlig ved at hjemle en konkret mulighed for at indgive en begæring om sletning af lagrede oplysninger (65).

1)      Betingelserne for indsigt i registret

67.      Det fremgår af 28., 56. og 57. betragtning til direktiv 2016/680 og af samme direktivs artikel 24, 25 og 29, at medlemsstaterne skal træffe forholdsregler med henblik på, at personoplysninger behandles på en måde, der garanterer et tilstrækkeligt niveau af sikkerhed og fortrolighed, herunder hindring af uautoriseret adgang til eller anvendelse af personoplysninger og af det udstyr, der anvendes til behandlingen. Disse foranstaltninger omfatter, at den dataansvarlige fører registre, således at denne på opfordring fra kontrolmyndigheden kan fremlægge en vis række oplysninger om den foretagne behandling af oplysningerne for denne myndighed og logs for visse behandlingsaktiviteter såsom søgning, overførsel og sletning. Ifølge 60. betragtning til direktiv 2016/680 skal den dataansvarlige gennemføre foranstaltninger, der kan begrænse de forlods vurderede risici, som en behandling indebærer, idet disse risici navnlig omfatter videregivelse og uautoriseret adgang til oplysninger.

68.      I retsmødet påpegede den bulgarske regering, at den nationale lovgivning overholder disse krav, idet den anførte, at der findes et regelsæt, der navnlig fastsætter, at der skal udarbejdes lister over navnene på de ansatte, der har adgang til oplysningerne, og at hver enkelt bruger skal angive begrundelsen for sin adgangsret, sin identitet og dato og tidspunkt for adgangen (66). Disse garantier vedrørende den kreds af personer, der har beføjelse til at søge i registret, og betingelserne for disse søgninger synes at kunne forhindre enhver uretmæssig eller svigagtig brug af en adgang til registrene og dermed et overdrevent indgreb i de grundlæggende rettigheder, der er sikret ved chartrets artikel 7 og 8, hvilket det tilkommer den forelæggende ret at efterprøve.

2)      Kontrollen af den fortsatte opbevaring af oplysninger i registret

69.      Det er ubestridt, at den ovennævnte kontrol, som fastsat i artikel 68, stk. 6, i lov om indenrigsministeriet, er af dobbeltsidet karakter, eftersom den foretages ex officio af de kompetente myndigheder i form af en egenkontrol og efter en begrundet anmodning fra den registrerede eller dennes arvinger, hvorved grundene til sletning af en registrering i registret i begge tilfælde er opregnet udtømmende i denne bestemmelse. Disse grunde omfatter ikke en situation, hvor en person er blevet rehabiliteret, hvilket fører til, at den omhandlede domfældelse slettes fra dennes straffeattest, og det er alene begrundelsen i artikel 68, stk. 6, nr. 1, i lov om indenrigsministeriet vedrørende en registrering, der er sket i strid med loven, der kan danne grundlag for en anmodning om sletning af en person, der er dømt i en straffesag, når en sådan anmodning, som i den foreliggende sag, fremsættes i den pågældendes levetid, og dermed inden at den ved lov fastsatte opbevaringsperiode udløber ved den pågældendes død.

70.      Da den bulgarske regering i retsmødet blev adspurgt om rækkevidden af artikel 68, stk. 6, i lov om indenrigsministeriet med hensyn til, hvordan denne anvendes af de kompetente domstole, præciserede den, at denne bestemmelse gør det muligt at ændre en registrering vedrørende en sigtet person, der er blevet ukorrekt, efter at retten har omklassificeret lovovertrædelsen. Den udelukker enhver mulighed for sletning af en registrering i registret efter en rehabilitering af den domfældte. Jeg minder i denne forbindelse om, at det omhandlede register udgør et efterforskningsredskab, der har til formål at lette kriminalpolitiets operationelle virksomhed, og ikke egentlig et register over tidligere straffede som strafferegistret. Disse to instrumenter opfylder ikke samme formål, det ene er en registrering, der udelukkende står til rådighed for efterforskerne med henblik på, på længere sigt, at gøre det muligt for dem at opklare tidligere og fremtidige lovovertrædelser, det andet har til formål at fungere som vejledning for domstolenes arbejde, når de fastsætter en strafferetlig sanktion i en given sag. Som følge af rehabiliteringen, der har bevirket, at den omhandlede domfældelse er blevet slettet fra strafferegistret, kan den pågældende således i givet fald få status som førstegangskriminel, der kan drage fordel af mildere straffe eller tilpasning af straf. Opbevaringen af dennes oplysninger i registret er imidlertid principielt fortsat nødvendig, henset til det generelle formål med dette register vedrørende opdagelse, opklaring og forebyggelse af lovovertrædelser.

71.      Det fremgår imidlertid af den bulgarske regerings indlæg, at begrundelsen i artikel 68, stk. 6, nr. 1, i lov om indenrigsministeriet ikke omfatter en vurdering af behovet for at opbevare oplysninger set i et tidsmæssigt perspektiv. Der synes ikke at findes nogen bestemmelse i den nationale lovgivning, og ej heller en administrativ eller retslig praksis, der gør det muligt for den kompetente myndighed at slette registreringen i registret i forbindelse med den kvartalsmæssige revision eller for den berørte person at anmode om sletning af denne registrering, selv om det ikke længere forekommer nødvendigt at opbevare personoplysningerne, henset til den tid, der er gået siden registreringen. Den forelæggende ret, der skal tage stilling til lovligheden af afgørelsen om afslag på anmodningen om sletning, synes heller ikke at kunne foretage en sådan vurdering.

F.      Foreløbig konklusion

72.      Kan det fastslås, at de ovenfor beskrevne kriterier, der anvendes med henblik på opbevaring af oplysninger, er tilstrækkeligt målrettede, forholdsmæssige og specifikke, og at behandlingen af de omhandlede personoplysninger holder sig inden for grænserne af det strengt nødvendige eller den absolutte nødvendighed? Domstolen kan vælge at besvare dette spørgsmål benægtende af de nedenfor anførte grunde.

73.      Det skal for det første fremhæves, at problemstillingen om nødvendigheden af opbevaring af personoplysninger er særligt påtrængende, når behandlingen af disse som i det foreliggende tilfælde er tilladt med henblik på forebyggelse. I denne forbindelse er det egentlige kriterium, der kan begrunde registreringen og opbevaringen af oplysningerne i det omhandlede politiregister, de pågældendes farlighed, hvilket indebærer en risikovurdering. I den foreliggende sag må det fastslås, at denne vurdering er begrænset til konstateringen af, at der foreligger mistanke om, eller at det er fastslået, at der er blevet begået en forsætlig lovovertrædelse, hvilket er et lidet specifikt kriterium, eftersom det er et væsentligt element i lovovertrædelser, endda selve grundlaget for det strafferetlige ansvar. Jeg er således af den opfattelse, at den nationale opbevaringsordning tager hensyn til en mindstegrad af grovheden af en lovovertrædelse og omfatter en lang række forskellige indgreb i den offentlige orden, uden at det a priori er et krav, at sanktionen er en fængselsstraf, hvorfor det må antages, at ordningen finder anvendelse uanset lovovertrædelsens art eller grovhed (67). Jeg erindrer om, at Domstolen har fastslået, at den bulgarske lovgivning, som den i hovedsagen omhandlede, hvorefter indsamling af biometriske og genetiske data om enhver, der er blevet sigtet for en forsætlig lovovertrædelse, som retsforfølges ex officio, principielt er i strid med kravet i artikel 10 i direktiv 2016/680, da en sådan lovgivning kan føre til udifferentieret og generel indsamling af biometriske og genetiske data, eftersom begrebet »forsætlig strafbar handling, der retsforfølges ex officio«, har en særlig generel karakter og kan finde anvendelse på et stort antal strafbare handlinger, uanset deres art og grovhed (68).

74.      Selv om statistiske studier kan vise, at en kriminel fortid er en væsentlig afgørende faktor for tilbagefald til kriminalitet, understreger de også, at der findes objektive faktorer, der forøger risikoen for tilbagefald, og som navnlig vedrører typen og arten af den første lovovertrædelse, den alder, hvori den begås, tiden inden gentagelse af den strafbare adfærd og den omstændighed, at den fornyede lovovertrædelse er tæt knyttet til arten af den lovovertrædelse, der lå til grund for frihedsstraffen (69). Når enhver domfældelse for en forsætlig lovovertrædelse, herunder den første (70), anvendes som kriterium for opbevaring af oplysninger indtil den registreredes død, synes den underliggende logik for behandlingen af disse oplysninger dog at være en meget omfattende bekymring for en kriminel løbebane, uanset om der er tale om arten og/eller grovheden af de kriminelle handlinger eller om lovovertræderens alder. I lighed med Menneskerettighedsdomstolen kan man diskutere, om ikke denne form for logik i yderste konsekvens i praksis kan begrunde en lagring af oplysninger om hele befolkningen og dens afdøde slægtninge, hvilket utvivlsomt ville være overdrevent og uden relevans (71). Jeg vil nævne, at Domstolen har fastslået, at den omstændighed alene, at en person sigtes for at have begået en forsætlig strafbar handling, der retsforfølges ex officio, ikke i sig selv anses kan for et element, der gør det muligt at antage, at indsamlingen af biometriske og genetiske data om vedkommende er strengt nødvendig i forhold til de formål, som den omhandler (72).

75.      Det ser for det andet ud til, at oplysningerne lagres, uanset om det er nødvendigt at opbevare disse indtil den registreredes død. Henset til ordlyden af artikel 68, stk. 6, i lov om indenrigsministeriet og den måde, hvorpå bestemmelsen fortolkes, har de kompetente myndigheder kun beføjelse til at slette oplysningerne under ganske særlige omstændigheder, uden nogen forbindelse til udviklingen i den pågældendes situation siden registreringen i registreret. Det samme må logisk set gælde for den nævnte persons klageadgang vedrørende sletning, der er hjemlet i samme tekst, og som ikke er af tilstrækkeligt effektiv karakter, idet den ikke gør det muligt at efterprøve, om perioden for opbevaring af oplysningerne står i et rimeligt forhold til det omhandlede indgreb. Denne vurdering bør tage hensyn til forskellige kriterier, såsom arten og grovheden af de konstaterede forhold, den tid, der er gået siden forholdene, den resterende lovbestemte opbevaringsperiode eller sagsøgerens alder i den pågældende sag, sammenholdt med hans personlige situation for så vidt angår hans alder, da han begik forholdene, hans adfærd siden da (social integration, kompensation til ofrene) og hans personlighed, idet fordelen ved en rehabilitering i denne forbindelse kan udgøre et element i den samlede vurdering. Under disse omstændigheder forekommer den kontrol, som navnlig den person, der er registreret i registret, kan udøve, at være så begrænset, at den næsten er hypotetisk (73).

76.      Konstateringerne ovenfor skal ses i sammenhæng med den omstændighed, at følsomme oplysninger kan opbevares over en meget lang periode, og at det omhandlede register kan give brugerne heraf mulighed for en meget indgribende brug af disse oplysninger, bl.a. med hensyn til identifikation, analyse og sammenstilling. Det skal nævnes, at politimyndighederne i henhold til artikel 68, stk. 3, i lov om indenrigsministeriet med henblik på registrering i politiregistret skal udtage prøver med henblik på »DNA-profilering« af personerne og fotografere disse, hvorved fotografier i givet fald kan anvendes til ansigtsgenkendelse.

V.      Forslag til afgørelse

77.      På grundlag af de anførte betragtninger foreslår jeg Domstolen, at den giver Varhoven administrativen sad (øverste forvaltningsdomstol, Bulgarien) følgende svar:

»Artikel 4, 5, 8 og 10 samt artikel 16, stk. 2, i Europa-Parlamentets og Rådets direktiv (EU) 2016/680 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger og om ophævelse af Rådets rammeafgørelse 2008/977/RIA, sammenholdt med artikel 52, stk. 1, i Den Europæiske Unions charter om grundlæggende rettigheder,

skal fortolkes således, at

disse bestemmelser er til hinder for en national lovgivning, der foreskriver opbevaring af personoplysninger i et politiregister, herunder biometriske og genetiske data, vedrørende enhver person, der er dømt for en forsætlig lovovertrædelse i en straffesag, uden nogen anden differentiering med hensyn til arten eller grovheden af overtrædelsen og indtil dennes død, og uden mulighed for en kontrol af den fortsatte opbevaring af oplysningerne heri, henset til den tid, der er gået, siden oplysningerne blev registreret, og for i givet fald at få slettet disse.

Efterprøvelsen af, om perioden for opbevaring af oplysningerne står i rimeligt forhold til formålet med behandlingen, henset til den domfældtes situation, kan omfatte den omstændighed, at den pågældende er blevet rehabiliteret.«

1 –      Originalsprog: fransk.

2 –      Europa-Parlamentets og Rådets direktiv af 27.4.2016 om beskyttelse af fysiske personer i forbindelse med kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger og om ophævelse af Rådets rammeafgørelse 2008/977/RIA (EUT 2016, L 119, s. 89).

3 –      Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27.4.2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT 2016, L 119, s. 1, herefter »databeskyttelsesforordningen«).

4 –      Jf. i denne retning dom af 22.6.2021, Latvijas Republikas Saeima (Strafpoint) (C-439/19, EU:C:2021:504, præmis 61-67). I dom af 5.4.2022, Commissioner of An Garda Síochána m.fl. (C-140/20, EU:C:2022:258, præmis 61), præciserede Domstolen, at formålet om at opretholde den nationale sikkerhed svarer til den primære interesse i at beskytte statens væsentlige funktioner og grundlæggende samfundsinteresser og omfatter forebyggelse og bekæmpelse af aktiviteter, der alvorligt kan destabilisere et lands grundlæggende forfatningsmæssige, politiske, økonomiske eller sociale strukturer og navnlig direkte true samfundet, befolkningen eller staten som sådan, såsom bl.a. terrorvirksomhed.

5 –      En sådan efterprøvelse kan ganske vist forekomme vanskelig at foretage i praksis, når der er tale om ét enkelt »catch-all« politiregister, eftersom registreringen og opbevaringen af oplysninger følger en logik, der både er bagudrettet og fremadrettet, som ikke nødvendigvis er egnet til at foretage en objektiv sondring mellem de omhandlede behandlinger på grundlag af et nøjagtigt formål.

6 –      Dom af 26.1.2023, Ministerstvo na vatresjnite raboti (Politiets registrering af biometriske og genetiske data) (C-205/21, EU:C:2023:49, præmis 135). Det skal nævnes, at Domstolen tidligere har taget stilling til et spørgsmål om, hvorvidt chartrets artikel 52, stk. 1, er forenelig med den bulgarske lovgivning, der udviser den særegenhed, at den henviser til databeskyttelsesforordningen og til en bestemmelse i national ret til gennemførelse af artikel 10 i direktiv 2016/680, uden at sidstnævnte nævnes formelt. Domstolen fastslog, at den behandling af biometriske og genetiske data, som politimyndighederne i forbindelse med efterforskningsaktiviteter foretager »med henblik på at bekæmpe kriminalitet og opretholde den offentlige orden«, er hjemlet i en medlemsstats nationale ret som omhandlet i dette direktivs artikel 10, litra a), når lovgivningen i denne medlemsstat indeholder et retsgrundlag, som er tilstrækkeligt klart og præcist til at tillade den nævnte behandling, idet den ovennævnte dobbelte henvisning ikke i sig selv kan rejse tvivl om, hvorvidt der foreligger en sådan tilladelse, for så vidt som det på en tilstrækkelig klar, præcis og utvetydig måde fremgår af fortolkningen af samtlige gældende bestemmelser i national ret, at den omhandlede behandling af biometriske og genetiske data er omfattet af dette direktivs anvendelsesområde og ikke af databeskyttelsesforordningen.

7 –      Dom af 8.5.2019, PI (C-230/18, EU:C:2019:383, præmis 42).

8 –      I den foreliggende sag er det ikke omstridt, om artikel 4, stk. 1, litra b), i direktiv 2016/680, hvorefter oplysningerne skal indsamles til udtrykkeligt angivne og legitime formål og ikke behandles på en måde, der er uforenelig med disse formål, er overholdt, for så vidt som formålet med behandlingen efter indsamlingen af oplysningerne, som udgør opbevaringen af disse, er det samme som formålet med indsamlingen.

9 –      Artikel 26 i lov om indenrigsministeriet bestemmer, at tidsfristerne for opbevaring af personoplysninger eller for regelmæssig revision af nødvendigheden af at opbevare disse fastsættes af indenrigsministeriet. I retsmødet oplyste den bulgarske regering, at en sådan kontrol finder sted hver tredje måned.

10 –      Dom af 22.6.2021, Latvijas Republikas Saeima (Strafpoint) (C-439/19, EU:C:2021:504, præmis 105).

11 –      Det skal nævnes, at artikel 18 i direktiv 2016/680, hvorefter medlemsstaterne kan fastsætte bestemmelser om, at udøvelsen af de rettigheder, der bl.a. er omhandlet i artikel 16, skal gennemføres i henhold til medlemsstaternes nationale ret, når personoplysningerne er indeholdt i en retsafgørelse eller et register eller en sagsakt, der behandles i forbindelse med strafferetlige efterforskninger og straffesager, ikke forekommer mig relevant, idet det omhandlede register udgør et redskab, der skal lette efterforskningsmyndighedernes operationelle aktivitet, som indenrigsministeren er ansvarlig for, og ikke et retsligt instrument i egentlig forstand som de ovenfor nævnte.

12 –      Jf. i denne retning dom af 25.2.2021, Kommissionen mod Spanien (Direktivet om personoplysninger – det strafferetlige område) (C-658/19, EU:C:2021:138, præmis 75), og af 1.8.2022, Vyriausioji tarnybinės etikos komisija (C-184/20, EU:C:2022:601, præmis 61).

13 –      Dom af 1.8.2022, Vyriausioji tarnybinės etikos komisija (C-184/20, EU:C:2022:601, præmis 62 og 69).

14 –      Jf. analogt dom af 22.6.2021, Latvijas Republikas Saeima (Strafpoint) (C-439/19, EU:C:2021:504, præmis 98).

15 –      Jf. i denne retning dom af 7.5.2009, Rijkeboer (C-553/07, EU:C:2009:293, præmis 33), og af 13.5.2014, Google Spain og Google (C-131/12, EU:C:2014:317, præmis 92).

16 –      Jf. analogt dom af 20.10.2022, Digi (C-77/21, EU:C:2022:805, præmis 54).

17 –      Dette aspekt er ligeledes nævnt i 26. betragtning til direktiv 2016/680 og i artikel 4, stk. 3, heri, hvoraf det fremgår, at EU-lovgiver tog højde for en mulig langvarig opbevaring af oplysninger, der arkiveres i samfundets interesse eller til videnskabelig, statistisk eller historisk brug med henblik på artikel 1, stk. 1, i dette direktiv, forudsat at behandlingen er omfattet af de fornødne garantier for den registreredes rettigheder og frihedsrettigheder. Det er ikke tilfældet i den foreliggende sag, idet opbevaringen af oplysningerne i politiregistret har et rent operationelt formål, nemlig at lette efterforskningsmyndighedernes aktivitet med henblik på opklaring af lovovertrædelser.

18 –      Det kan diskuteres, om ikke artikel 5 i direktiv 2016/680 indeholder en form for iboende logisk selvmodsigelse. I henhold til denne bestemmelse kan der nemlig være personoplysninger, der behandles af retshåndhævende myndigheder, for hvilke det ikke vil være hensigtsmæssigt at fastsætte tidsfrister for deres sletning, men det vil være et krav, at der i en sådan situation med opbevaring på ubestemt tid fastsættes bestemmelser om, at de kompetente myndigheder regelmæssigt reviderer behovet for opbevaring af disse oplysninger og muligheden for sletning, selv om opbevaringen ikke længere er begrundet henset til formålet med behandlingen. Man kan dog forstå og godtage, at formålet, som er legitimt, er at fastsætte bestemmelser om et korrektiv, der skal forebygge misbrug i forbindelse med gennemførelsen af en indgribende ordning.

19 –      Den foreliggende sag vedrører et fuldstændigt afslag på sletning, for hvilket begrundelsen skal meddeles sagsøgeren i henhold til artikel 16, stk. 4, i direktiv 2016/680, der imidlertid bestemmer, at medlemsstaterne kan vedtage lovgivningsmæssige foranstaltninger, der helt eller delvis begrænser denne forpligtelse, navnlig for at undgå at skade forebyggelsen, afsløringen, efterforskningen eller retsforfølgningen af strafbare handlinger.

20 –      Dom af 26.1.2023, Ministerstvo na vatresjnite raboti (Politiets registrering af biometriske og genetiske data) (C-205/21, EU:C:2023:49, præmis 116-118). Skal disse betragtninger fortolkes således, at Domstolen har gjort lovligheden af behandlingen af følsomme oplysninger inden for rammerne af direktiv 2016/680 betinget af overholdelsen af et kriterium, der går videre end det, der sædvanligvis anvendes for alle typer af oplysninger i Domstolens praksis vedrørende personoplysninger, hvorefter den omhandlede behandling skal holdes inden for »det strengt nødvendige«? Som svar på et indlæg fra den franske regering vedrørende den omstændighed, at visse sprogversioner af artikel 10 i direktiv 2016/680 henviser til tilfælde, hvor behandlingen af oplysninger er »strengt nødvendig«, svarede Domstolen (præmis 119 i den nævnte dom), at disse terminologiske forskelle ikke ændrer karakteren af det således omhandlede kriterium og omfanget af det krav, der skal være opfyldt, eftersom disse sprogversioner ligeledes definerer en strengere betingelse for, at behandlingen af følsomme oplysninger kan tillades, hvilket indebærer en strengere vurdering af, om behandlingen er nødvendig, end i det tilfælde, hvor de behandlede oplysninger ikke er omfattet af den nævnte artikels anvendelsesområde. Tilbage står spørgsmålet om denne begrebsmæssige sondring med hensyn til intensiteten af behandlingen nødvendighed og vanskeligheden med at gennemføre den i en given sag.

21 –      Jf. navnlig dom af 6.10.2020, La Quadrature du Net m.fl. (C-511/18, C-512/18 og C-520/18, EU:C:2020:791), og af 5.4.2022, Commissioner of An Garda Síochána m.fl. (C-140/20, EU:C:2022:258).

22 –      Europa-Parlamentets og Rådets direktiv af 12.7.2002 om behandling af personoplysninger og beskyttelse af privatlivets fred i den elektroniske kommunikationssektor (direktiv om databeskyttelse inden for elektronisk kommunikation) (EFT 2002, L 201, s. 37).

23 –      Udtalelse 1/15 (PNR-aftalen mellem EU og Canada) af 26.7.2017 (EU:C:2017:592) og dom af 21.6.2022, Ligue des droits humains (C-817/19, EU:C:2022:491).

24 –      Udtalelse 1/15 (PNR-aftalen mellem EU og Canada) af 26.7.2017 (EU:C:2017:592, præmis 132, 204 og 205).

25 –      Europa-Parlamentets og Rådets direktiv af 27.4.2016 om anvendelse af passagerlisteoplysninger (PNR-oplysninger) til at forebygge, opdage, efterforske og retsforfølge terrorhandlinger og grov kriminalitet (EUT 2016, L 119, s. 132).

26 –      Dom af 5.4.2022, Commissioner of An Garda Síochána m.fl. (C-140/20, EU:C:2022:258, præmis 35-37). Det samme gælder for sammenligningen med de retlige bestemmelser i databeskyttelsesforordningen.

27 –      R. Tinière, Jurisprudence de la CJUE 2020, décisions et commentaires, Bruylant, Bruxelles, 2021, s. 130-139.

28 –      Dom af 5.4.2022, Commissioner of An Garda Síochána m.fl. (C-140/20, EU:C:2022:258, præmis 56-59), og af 21.6.2022, Ligue des droits humains (C-817/19, EU:C:2022:491, præmis 148).

29 –      Dom af 21.6.2022, Ligue des droits humains (C-817/19, EU:C:2022:491, præmis 148).

30 –      Jf. i denne retning dom af 8.12.2022, Inspektor v Inspektorata kam Visshia sadeben savet (Formål med behandling af personoplysninger – strafferetlig efterforskning) (C-180/21, EU:C:2022:967, præmis 57 og 58).

31 –      Dom af 8.12.2022, Google (Fjernelse af links til et angiveligt urigtigt indhold) (C-460/20, EU:C:2022:962, præmis 59).

32 –      Menneskerettighedsdomstolen, 22.6.2017, Aycaguer mod Frankrig (CE:ECHR:2017:0622JUD000880612, §§ 33, 34 og 38) og Menneskerettighedsdomstolen, 18.9.2014, Brunet mod Frankrig (CE:ECHR:2014:0918JUD002101010, § 35).

33 –      Menneskerettighedsdomstolen, 4.6.2013, Perruzo og Martens mod Tyskland (CE:ECHR:2013:0604DEC000784108, § 46) og Menneskerettighedsdomstolen, 13.2.2020, Gaughran mod Det Forenede Kongerige (CE:ECHR:2020:0213JUD004524515, § 88).

34 –      Jf. analogt udtalelse 1/15 (PNR-aftalen mellem EU og Canada) af 26.7.2017 (EU:C2017:592, punkt 122 og 123), og dom af 21.6.2022, Ligue des droits humains (C-817/19, EU:C:2022:491, præmis 94 og 95).

35 –      Menneskerettighedsdomstolen, 22.6.2017, Aycaguer mod Frankrig (CE:ECHR:2017:0622JUD000880612, § 33).

36 –      Jf. analogt dom af 5.4.2022, Commissioner of An Garda Síochána m.fl. (C-140/20, EU:C:2022:258, præmis 44).

37 –      Dom af 26.1.2023, Ministerstvo na vatresjnite raboti (Politiets registrering af biometriske og genetiske data) (C-205/21, EU:C:2023:49, præmis 127).

38 –      Jf. fjerde og syvende betragtning til direktiv 2016/680.

39 –      Udtalelse 1/15 (PNR-aftalen mellem EU og Canada) af 26.7.2017 (EU:C:2017:592, præmis 134).

40 –      Dom af 6.10.2020, Privacy International (C-623/17, EU:C:2020:790, præmis 63 og 64).

41 –      Jf. i denne retning dom af 6.10.2020, Privacy International (C-623/17, EU:C:2020:790, præmis 67), og af 22.11.2022, Luxembourg Business Registers (C-37/20 og C-601/20, EU:C:2022:912, præmis 64).

42 –      Dom af 6.10.2020, Privacy International (C-623/17, EU:C:2020:790, præmis 65), og af 24.2.2022, Valsts ieņēmumu dienests (Behandling af personoplysninger til skatteformål) (C-175/20, EU:C:2022:124, præmis 54-56). Det er korrekt, at en sådan undersøgelse har fundet sted i Domstolens domme i forbindelse med en detaljeret analyse af begrænsningens forholdsmæssighed, når den ikke har været hjemlet samlet ud fra de to synsvinkler vedrørende overholdelse af legalitetsprincippet og proportionalitetsprincippet (dom af 21.6.2022, Ligue des droits humains, C-817/19, EU:C:2022:491, præmis 114 og117). Jeg vil i denne del af dette forslag til afgørelse behandle efterprøvelsen af kravet om forudsigelighed stricto sensu.

43 –      Dom af 21.6.2022, Ligue des droits humains (C-817/19, EU:C:2022:491, præmis 114).

44 –      Jf. punkt 33-35 i den bulgarske regerings indlæg.

45 –      Jf. i denne retning dom af 20.5.2003, Österreichischer Rundfunk m.fl. (C-465/00, C-138/01 og C-139/01, EU:C:2003:294, præmis 77).

46 –      Jf. analogt udtalelse 1/15 (PNR-aftalen mellem EU og Canada) af 26.7.2017 (EU:C:2017:592, præmis 150) og modsætningsvis dom af 22.11.2022, Luxembourg Business Registers (C-37/20 og C-601/20, EU:C:2022:912, præmis 51).

47 –      Dom af 26.1.2023, Ministerstvo na vatresjnite raboti (Politiets registrering af biometriske og genetiske data) (C-205/21, EU:C:2023:49, præmis 99).

48 –      Udtalelse 1/15 (PNR-aftalen mellem EU og Canada) af 26.7.2017 (EU:C:2017:592, præmis 149) og dom af 6.10.2020, La Quadrature du Net m.fl. (C-511/18, C-512/18 og C-520/18, EU:C:2020:791, præmis 123).

49 –      Dom af 26.1.2023, Ministerstvo na vatresjnite raboti (Politiets registrering af biometriske og genetiske data) (C-205/21, EU:C:2023:49, præmis 97 og 98). Menneskerettighedsdomstolen har i sammenhæng med den positive forpligtelse i henhold til EMRK’s artikel 2 anført, at offentlighedens interesse i at efterforske og eventuelt at opnå retsforfølgning og domfældelse af gerningsmænd flere år efter, at forholdene er begået, er blevet anerkendt fuldt ud (Menneskerettighedsdomstolens dom af 12.6.2014, Jelić mod Kroatien, CE:ECHR:2014:0612JUD005785611, § 52).

50 –      Jf. i denne retning dom af 5.4.2022, Commissioner of An Garda Síochána m.fl. (C-140/20, EU:C:2022:258, præmis 55).

51 –      Dom af 22.11.2022, Luxembourg Business Registers (C-37/20 og C-601/20, EU:C:2022:912, præmis 66).

52 –      Generelt er registreringen i registret ikke forbundet med nogen positiv forpligtelse for den registrerede.

53 –      Dom af 26.1.2023, Ministerstvo na vatresjnite raboti (Politiets registrering af biometriske og genetiske data) (C-205/21, EU:C:2023:49, præmis 78).

54 –      Hyppige lovovertrædelser på området for færdselsforseelser.

55 –      Jf. analogt dom af 5.4.2022, Commissioner of An Garda Síochána m.fl. (C-140/20, EU:C:2022:258, præmis 77 og 78). Jeg skal nævne, at Domstolen i dommen af 21.6.2022, Ligue des droits humains (C-817/19, EU:C:2022:491, præmis 198), fastslog, at det følger af PNR-direktivet, at de kriterier, der anvendes ved den forudgående vurdering af passagererne, skal være fastsat således, at de specifikt er målrettet personer, for hvilke der kan foreligge en rimelig mistanke om deltagelse i terrorhandlinger eller grov kriminalitet som omhandlet i dette direktiv.

56 –      Ifølge publikationen Infostat Justice fra det franske justitsministerium, nr. 183, af 2.7.2021, »Mesurer et comprendre les déterminants de la récidive des sortants de prison« [»Måling af og indblik i de afgørende faktorer for løsladtes tilbagefald til kriminalitet«], var 86% af dem, der blev løsladt fra fængsler i 2016, allerede registreret i strafferegistret én gang før den domfældelse, der var årsag til deres frihedsberøvelse. Tilbagefaldsraten steg i takt med antallet af tidligere domfældelser: Kun 14% af dem, der blev løsladt efter frihedsberøvelse, og som ikke havde nogen domme i de seneste fem år forud for den, der førte til deres fængsling, havde tilbagefald i løbet af året, mod 23% af dem, der havde én dom, og 63% af dem, der var blevet domfældt mindst ti gange.

57 –      Denne konstatering er i øvrigt udtryk for, at denne bestemmelse er i overensstemmelse med artikel 6 i direktiv 2016/680, der pålægger den dataansvarlige, hvor det er relevant og så vidt muligt, at foretage en klar sondring mellem oplysningerne om de forskellige kategorier af registrerede, således at den samme grad af indgreb i de registreredes grundlæggende ret til beskyttelse af personoplysninger, ikke rammer dem forskelligt, uanset hvilken kategori de tilhører (dom af 26.1.2023, Ministerstvo na vatresjnite raboti (Politiets registrering af biometriske og genetiske data), C-205/21, EU:C:2023:49, præmis 83).

58 –      Dom af 26.1.2023, Ministerstvo na vatresjnite raboti (Politiets registrering af biometriske og genetiske data) (C-205/21, EU:C:2023:49, præmis 126).

59 –      Jf. analogt dom af 26.1.2023, Ministerstvo na vatresjnite raboti (Politiets registrering af biometriske og genetiske data) (C-205/21, EU:C:2023:49, præmis 100). Det skal ligeledes nævnes, at tidens gang uundgåeligt vil være en hindring med hensyn til at finde frem til vidner og disse vidners evne til at genkalde sig begivenhederne.

60 –      Artikel 31 i Europa-Parlamentets og Rådets forordning (EU) 2016/794 af 11.5.2016 om Europol og om erstatning og ophævelse af Rådets afgørelse 2009/371/RIA, 2009/934/RIA, 2009/935/RIA, 2009/936/RIA og 2009/968/RIA (EUT 2016, L 135, s. 53) foreskriver, at Den Europæiske Unions Agentur for Retshåndhævelsessamarbejde (Europol) ikke må opbevare de personoplysninger, som det behandler, længere end det er nødvendigt og står i rimeligt forhold til de formål, hvortil personoplysningerne behandles. Senest tre år efter, at den oprindelige behandling af personoplysningerne begyndte, skal Europol i alle tilfælde undersøge, om det er nødvendigt fortsat at opbevare dem, og hvis opbevaringen stadig er nødvendig for udførelsen af Europols opgaver, kan Europol beslutte fortsat at opbevare personoplysningerne indtil den følgende undersøgelse, der skal finde sted efter endnu en periode på tre år. Hvis det ikke besluttes fortsat at opbevare personoplysningerne, skal de automatisk slettes efter tre år.

61 –      I dom af 13.2.2020, Gaughran mod Det Forenede Kongerige (CE:ECHR:2020:0213JUD004524515, §§ 79-81), vedrørende en lovgivning, der foreskrev, at oplysningerne skulle opbevares indtil den registreredes død, blev der sondret mellem DNA på den ene side og på den anden side fingeraftryk og fotografier. Menneskerettighedsdomstolen fandt, at det kun var opbevaringsperioden for sidstnævnte data, der kunne sidestilles med en opbevaring på ubestemt tid. Jeg vil gerne tilføje, at ingen af disse data i den foreliggende sag vil kunne anvendes, når den registrerede er afgået ved døden, hvorved det skal nævnes, at opbevaringen af DNA post mortem ville gøre det teknisk muligt at efterforske den registreredes nære slægtninge.

62 –      Bortset fra, at der findes lovovertrædelser, der ikke forældes, skal spørgsmålet om forholdet mellem dataopbevaringsperioden og forældelsesfristen for offentlig tiltale i visse retssystemer relativiseres som følge af ordninger vedrørende suspension eller afbrydelse af forældelsen og i forhold til udgangspunktet for forældelsesfristen for gentagne, vedvarende eller skjulte lovovertrædelser og for visse lovovertrædelser, hvor ofrene er mindreårige (i forhold til, hvornår ofret når myndighedsalderen). Det skal ligeledes tages i betragtning, at seksuelle overgreb er de lovovertrædelser, der bliver afsløret efter længst tid.

63 –      Jf. i denne retning dom af 5.4.2022, Commissioner of An Garda Síochána m.fl. (C-140/20, EU:C:2022:258, præmis 62).

64 –      Jeg skal erindre om, at Menneskerettighedsdomstolen i sammenhæng med den positive forpligtelse i henhold til EMRK’s artikel 2 fuldt ud har anerkendt offentlighedens interesse i at efterforske og eventuelt at opnå retsforfølgning og domfældelse af gerningsmænd flere år, efter at forholdene er begået (Menneskerettighedsdomstolen, 12.6.2014, Jelić mod Kroatien, CE:ECHR:2014:0612JUD005785611, § 52), og har bemærket, at efterforskningen af »cold cases« ligeledes henhører under offentlighedens interesser som bekæmpelse af kriminalitet i generel forstand (Menneskerettighedsdomstolen, 13.2.2020, Gaughran mod Det Forenede Kongerige (CE:ECHR:2020:0213JUD004524515, § 93).

65 –      Menneskerettighedsdomstolen, 22.6.2017, Aycaguer mod Frankrig (CE:ECHR:2017:0622JUD000880612, § 38), og Menneskerettighedsdomstolen, 13.2.2020, Gaughran mod Det Forenede Kongerige (CE:ECHR:2020:0213JUD004524515, § 88).

66 –      Det blev ikke præciseret, hvor længe logs over søgninger i registret opbevares.

67 –      Menneskerettighedsdomstolen, 13.2.2020, Gaughran mod Det Forenede Kongerige (CE:ECHR:2020:0213JUD004524515, § 83).

68 –      Dom af 26.1.2023, Ministerstvo na vatresjnite raboti (Politiets registrering af biometriske og genetiske data) (C-205/21, EU:C:2023:49, præmis 128 og 129).

69 –      Publikationen Infostat Justice fra det franske justitsministerium, nr. 183, af 2.7.2021, »Mesurer et comprendre les déterminants de la récidive des sortants de prison« [»Måling af og indblik i de afgørende faktorer for løsladtes tilbagefald til kriminalitet«].

70 –      Registreringen og den efterfølgende opbevaring af oplysningerne i registret omfatter nemlig enhver førstegangskriminel og ikke personer, der allerede er blevet dømt en eller flere gange.

71 –      Menneskerettighedsdomstolen, 13.2.2020, Gaughran mod Det Forenede Kongerige (CE:ECHR:2020:0213JUD004524515, § 89).

72 –      Dom af 26.1.2023, Ministerstvo na vatresjnite raboti (Politiets registrering af biometriske og genetiske data) (C-205/21, EU:C:2023:49, præmis 130). Domstolen tilføjede (præmis 132 og 133), at det tilkommer den forelæggende ret at efterprøve, om den nationale lovgivning gør det muligt at vurdere, om det er »strengt nødvendigt« at indsamle og registrere såvel biometriske data som genetiske data om den pågældende, henset til arten og grovheden af den lovovertrædelse, som den pågældende er blevet sigtet for at have begået, men også andre relevante elementer, såsom navnlig de særlige omstændigheder i forbindelse med denne overtrædelse, den eventuelle forbindelse mellem den nævnte overtrædelse og andre verserende sager, tidligere kriminel adfærd eller den pågældendes individuelle profil. Det kan diskuteres, om dette krav om en indgående individualisering er forenelig med lovgivningsmæssige bestemmelser og med den systematiske og generelle karakter og det abstraktionsniveau, som de kræver med henblik på at fastlægge en generel ordning for opbevaring af personoplysninger i et register.

73 –      Menneskerettighedsdomstolen, 13.2.2020, Gaughran mod Det Forenede Kongerige (CE:ECHR:2020:0213JUD004524515, § 94).