РЕШЕНИЕ НА СЪДА (голям състав)
30 януари 2024 година(*)
„Преюдициално запитване — Защита на физическите лица във връзка с обработването на лични данни за целите на борбата с престъпленията — Директива (ЕС) 2016/680 — Член 4, параграф 1, букви в) и д) — Свеждане на данните до минимум — Ограничаване на съхранението — Член 5 — Подходящи срокове за изтриването или за периодичната проверка на необходимостта от съхранението — Член 10 — Обработване на биометрични и генетични данни — Абсолютна необходимост — Член 16, параграфи 2 и 3 — Право на изтриване — Ограничаване на обработването — Член 52, параграф 1 от Хартата на основните права на Европейския съюз — Осъдено с влязла в сила присъда и впоследствие реабилитирано физическо лице — Срок на съхранение на данните до смъртта — Липса на право на изтриване или на ограничаване на обработването — Пропорционалност“
По дело C‑118/22
с предмет преюдициално запитване, отправено на основание член 267 ДФЕС от Върховен административен съд (България) с акт от 10 януари 2022 г., постъпил в Съда на 17 февруари 2022 г., в рамките на производство по дело
NG
срещу
Директор на Главна дирекция „Национална полиция“ при МВР‑София,
при участието на:
Върховна административна прокуратура,
СЪДЪТ (голям състав),
състоящ се от: K. Lenaerts, председател, L. Bay Larsen, заместник-председател, А. Арабаджиев, A. Prechal, K. Jürimäe, N. Piçarra и O. Spineanu-Matei, председатели на състави, M. Ilešič, J.‑C. Bonichot, L.S. Rossi, I. Jarukaitis, A. Kumin, N. Jääskinen, N. Wahl и D. Gratsias (докладчик), съдии,
генерален адвокат: P. Pikamäe,
секретар: Р. Стефанова‑Камишева, администратор,
предвид изложеното в писмената фаза на производството и в съдебното заседание от 7 февруари 2023 г.,
като има предвид становищата, представени:
– за NG, от П. Куюмджиев, адвокат,
– за българското правителство, от М. Георгиева, T. Митова и Е. Петранова, в качеството на представители,
– за чешкото правителство, от O. Serdula, M. Smolek и J. Vláčil, в качеството на представители,
– за Ирландия, от M. Browne, A. Joyce и M. Tierney, в качеството на представители, подпомагани от D. Fennelly, BL,
– за испанското правителство, от A. Ballesteros Panizo и J. Rodríguez de la Rúa Puig, в качеството на представители,
– за нидерландското правителство, от A. Hanje, в качеството на представител,
– за полското правителство, от B. Majczyna, D. Łukowiak и J. Sawicka, в качеството на представители,
– за Европейската комисия, от A. Bouchagiar, Ц. Георгиева, H. Kranenborg и F. Wilman, в качеството на представители,
след като изслуша заключението на генералния адвокат, представено в съдебното заседание от 15 юни 2023 г.,
постанови настоящото
Решение
1 Преюдициалното запитване се отнася до тълкуването на член 5 във връзка с член 13, параграф 2, буква б) и параграф 3 от Директива (ЕС) 2016/680 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания и относно свободното движение на такива данни, и за отмяна на Рамково решение 2008/977/ПВР на Съвета (ОВ L 119, 2016 г., стр. 89).
2 Запитването е отправено в рамките на спор между NG и директора на Главна дирекция „Национална полиция“ при МВР‑София (България) (наричана по-нататък „ГДНП“) относно отказа на последния да уважи искането на NG за заличаване на данните му от националния регистър, в който българските полицейски органи извършват регистрация на лицата, привлечени като обвиняеми за извършено умишлено престъпление от общ характер (наричан по-нататък „полицейският регистър“), което искане се основава на реабилитацията на NG, след като е бил осъден с влязла в сила присъда.
Правна уредба
Правото на Съюза
3 Съображения 11, 14, 26, 27, 37, 47 и 104 от Директива 2016/680 гласят:
„(11) Поради това е уместно [дейностите в областите на съдебното сътрудничество по наказателноправни въпроси и полицейското сътрудничество] да бъдат предмет на директива, която установява специални правила за защита на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления, или изпълнението на наказания, включително предпазването от заплахи за обществената сигурност и тяхното предотвратяване, като се отчита специфичният характер на тези дейности. […]
[…]
(14) Тъй като настоящата директива не следва да се прилага за обработването на лични данни в рамките на дейност, попадаща извън обхвата на правото на Съюза, дейностите, засягащи националната сигурност, […] не следва да се считат за дейности, попадащи в обхвата на настоящата директива.
[…]
(26) […] [С]ледва да се гарантира, че събраните лични данни не надхвърлят необходимото и че не се съхраняват за период, по-дълъг от необходимото за целите, за които се обработват. Личните данни следва да се обработват единствено ако целта на обработването не може разумно да бъде постигната с други средства. С цел да се гарантира, че срокът на съхранение на данните не е по-дълъг от необходимия, администраторът следва да установи срокове за тяхното изтриване или периодичен преглед. […]
(27) За целите на предотвратяването, разследването и наказателното преследване на престъпленията компетентните органи имат нужда да обработват лични данни, събрани в контекста на предотвратяването, разследването, разкриването или наказателното преследване на конкретни престъпления, извън този контекст, за да достигнат до разбиране на престъпните действия и да установят връзки между различни разкрити престъпления.
[…]
(37) На личните данни, които по своето естество са особено чувствителни от гледна точка на основните права и свободи, се полага специална защита, тъй като контекстът на тяхното обработване би могъл да създаде значителни рискове за основните права и свободи. […]
[…]
(47) […] Физическо лице следва също да има право да ограничи обработването, […] когато личните данни трябва да бъдат запазени за целите на доказването. По-специално обработването на личните данни следва да се ограничи, вместо данните да се заличават, ако в конкретен случай са налице разумни основания да се смята, че изтриването им би могло да засегне легитимните интереси на субекта на данните. В този случай данните, чието обработване е ограничено следва да се обработват само за целта, която е препятствала изтриването им. […]
[…]
(104) Настоящата директива зачита основните права и спазва принципите, признати в Хартата [на основните права на Европейския съюз (наричана по-нататък „Хартата“)] и залегнали в ДФЕС, по-специално правото на зачитане на личния и семейния живот, правото на защита на личните данни, правото на ефективни правни средства за защита и на справедлив съдебен процес. Ограниченията, наложени върху тези права, са в съответствие с член 52, параграф 1 от Хартата, тъй като са необходими, за да се отговори на признати от Съюза цели от общ интерес или на необходимостта да се защитят правата и свободите на други хора“.
4 Член 1 („Предмет и цели“) от тази директива предвижда в параграф 1:
„С настоящата директива се установяват правилата във връзка със защитата на физическите лица по отношение на обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществената сигурност и тяхното предотвратяване“.
5 Член 2 („Обхват“) от посочената директива предвижда в параграфи 1 и 3:
„1. Настоящата директива се прилага за обработването на лични данни от компетентните органи за целите, посочени в член 1, параграф 1.
[…]
3. Настоящата директива не се прилага за обработването на лични данни:
a) в хода на дейности, които са извън обхвата на правото на Съюза;
[…]“.
6 Съгласно член 3 („Определения“) от същата директива:
„За целите на настоящата директива:
[…]
2. „обработване“ означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни […] като […] съхранение […];
[…]“.
7 Член 4 („Принципи, свързани с обработването на лични данни“) от Директива 2016/680 предвижда в параграф 1:
„Държавите членки гарантират, че личните данни са:
[…]
в) подходящи, относими и не надхвърлят необходимото във връзка с целите, за които данните се обработват;
[…]
д) съхранявани във вид, който позволява идентифицирането на субектите на данните за период не по-дълъг от необходимия за целите, за които те се обработват;
[…]“.
8 Член 5 („Срокове за съхранение и проверка“) от тази директива гласи:
„Държавите членки предвиждат да бъдат определени подходящи срокове за изтриването на лични данни или за периодична проверка на необходимостта от съхранението на лични данни. Спазването на тези срокове се гарантира чрез процедурни мерки“.
9 Член 10 („Обработване на специални категории лични данни“) от посочената директива предвижда:
„Обработването на […] генетични [и] биометрични данни с цел уникално идентифициране на физическото лице[…] е разрешено само когато това е абсолютно необходимо и при подходящи гаранции за правата и свободите на субекта на данни […]“.
10 Член 13 („Информация, до която се осигурява достъп или която се предоставя на субекта на данните“) от същата директива предвижда в параграф 2, че освен информацията, посочена в параграф 1, държавите членки предвиждат със закон администраторът да предоставя на субекта на данните, в конкретни случаи и с цел да му се даде възможност да упражни правата си, определена упомената в параграф 2 допълнителна информация. Съгласно параграф 2, буква б) споменатата допълнителна информация включва по-специално срока, за който ще се съхраняват личните данни, а ако това е невъзможно — критериите, използвани за определяне на този срок. Освен това член 13, параграф 3 от Директива 2016/680 посочва съображенията, поради които държавите членки могат да приемат законодателни мерки, които забавят, ограничават или водят до пропускане на предоставянето на информация на субекта на данните съгласно параграф 2 от този член.
11 Съгласно член 14 („Право на достъп на субекта на данни“) от Директива 2016/680:
„При спазване на член 15 държавите членки предвиждат право за субекта на данните да получи от администратора потвърждение дали се обработват лични данни, които го засягат, и ако случаят е такъв, да получи достъп до личните данни и следната информация:
[…]
г) когато е възможно, предвидения срок, за който ще се съхраняват личните данни, или ако това не е възможно, критериите за определяне на този срок;
[…]“.
12 Член 16 („Право на коригиране или изтриване на лични данни и ограничаване на обработването“) от тази директива предвижда в параграфи 2 и 3:
„2. Държавите членки изискват администраторът да изтрие личните данни без излишно забавяне и предвиждат правото на субекта на данните да поиска администраторът да изтрие без излишно забавяне личните данни, които го засягат, когато обработването нарушава разпоредбите, приети съгласно член 4, член 8 или член 10, или когато личните данни трябва да бъдат изтрити с цел спазване на правно задължение, което се прилага спрямо администратора.
3. Вместо да извърши изтриване администраторът ограничава обработването, когато:
а) точността на личните данни се оспорва от субекта на данните и тяхната точност или неточност не може да бъде проверена; или
б) личните данни трябва да бъдат запазени за доказателствени цели.
[…]“.
13 Съгласно член 20 („Защита на данните на етапа на проектирането и по подразбиране“) от посочената директива държавите членки предвиждат администраторът да прилага подходящи технически и организационни мерки, за да се спазят изискванията на същата директива и за да се осигури защита на правата на субектите на данни, и по-конкретно за да се гарантира, че по подразбиране се обработват само лични данни, които са необходими за всяка конкретна цел на обработването.
14 Член 29 („Сигурност на обработването“) от Директива 2016/680 предвижда в параграф 1:
„Държавите членки предвиждат, като отчитат достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекстът и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица, администраторът и обработващият лични данни да прилагат подходящи технически и организационни мерки за осигуряване на съобразено с този риск ниво на сигурност, по-специално по отношение на обработването на специални категории лични данни, посочени в член 10“.
Българското право
Наказателният кодекс
15 Член 82, алинея 1 от Наказателния кодекс (ДВ, бр. 26 от 2 април 1968 г.), в редакцията му, приложима към спора в главното производство, предвижда:
„Наложеното наказание не се изпълнява, когато са изтекли:
1. двадесет години, ако наказанието е доживотен затвор без замяна или доживотен затвор;
2. петнадесет години, ако наказанието е лишаване от свобода повече от десет години;
3. десет години, ако наказанието е лишаване от свобода от три до десет години;
4. пет години, ако наказанието е лишаване от свобода по-малко от три години, и
5. две години за всички останали случаи“.
16 Член 85, алинея 1 от този кодекс предвижда:
„Реабилитацията заличава осъждането и отменя за в бъдеще последиците, които законите свързват със самото осъждане, освен ако в някое отношение със закон или указ е установено противното“.
17 Член 88а от посочения кодекс гласи:
„Когато от изтърпяването на наказанието е изтекъл срок, равен на този по чл. 82, ал. 1 и осъденият не е извършил ново умишлено престъпление от общ характер, за което се предвижда наказание лишаване от свобода, осъждането и последиците му се заличават независимо от предвиденото в друг закон или указ“.
Законът за Министерството на вътрешните работи
18 Член 26 от Закона за Министерството на вътрешните работи (ДВ, бр. 53 от 27 юни 2014 г.), в редакцията му, приложима към спора в главното производство (наричан по-нататък „Законът за МВР“), предвижда:
„(1) При обработване на лични данни, свързано с дейностите по защита на националната сигурност, противодействие на престъпността, опазване на обществения ред и провеждане на наказателното производство, органите на МВР:
[…]
3. могат да обработват всички необходими категории лични данни;
[…]
(2) Сроковете за съхранение на данните по ал. 1 или за периодична проверка на необходимостта от съхранението им се определят от министъра на вътрешните работи. Тези данни се изтриват и в изпълнение на съдебен акт или решение на Комисията за защита на личните данни“.
19 Съгласно член 27 от Закона за МВР:
„Данните от полицейската регистрация на лицата, извършена на основание чл. 68, се използват само за защита на националната сигурност, противодействие на престъпността и опазване на обществения ред“.
20 Член 68 от този закон гласи:
„(1) Полицейските органи извършват полицейска регистрация на лица, които са привлечени като обвиняеми за извършено умишлено престъпление от общ характер. Органите на досъдебното производство са длъжни да предприемат необходимите мерки за извършване на регистрацията от полицейските органи.
(2) Полицейската регистрация е вид обработване на лични данни за лицата по ал. 1, която се осъществява при условията на този закон.
(3) За целите на полицейската регистрация полицейските органи:
1. събират за лицата личните им данни, посочени в чл. 18 от Закона за българските лични документи;
2. дактилоскопират и фотографират лицата;
3. изземват образци за ДНК профил на лицата.
[…]
(6) Полицейската регистрация се снема въз основа на писмена заповед на администратора на лични данни или на оправомощени от него длъжностни лица служебно или след писмено мотивирано искане на регистрирания, когато:
1. регистрацията е извършена в нарушение на закона;
2. наказателното производство е прекратено с изключение на случаите по чл. 24, ал. 3 от Наказателно-процесуалния кодекс;
3. наказателното производство е приключило с влязла в сила оправдателна присъда;
4. лицето е освободено от наказателна отговорност и му е наложено административно наказание;
5. лицето е починало, като в този случай искането може да бъде направено от неговите наследници.
[…]“.
Спорът в главното производство и преюдициалният въпрос
21 По отношение на NG е извършена полицейска регистрация на основание член 68 от Закона за МВР в рамките на производство за разследване на лъжесвидетелстване — престъпление по член 290, алинея 1 от Наказателния кодекс. След приключването на това производство срещу NG е внесен обвинителен акт и с присъда от 28 юни 2016 г., потвърдена във въззивно производство с решение от 2 декември 2016 г., той е признат за виновен и е осъден на пробация за срок от една година. След като изтърпява наказанието, NG е реабилитиран на основание член 82, алинея 1 във връзка с член 88a от Наказателния кодекс, като реабилитацията му настъпва на 14 март 2020 г.
22 Въз основа на тази реабилитация, на 15 юли 2020 г. NG подава искане до компетентното териториално подразделение на Министерство на вътрешните работи за снемане на полицейската му регистрация.
23 С решение от 2 септември 2020 г. ГДНП отхвърля искането с мотива, че осъждането с влязла в сила присъда, включително в случай на реабилитация, не е сред основанията за снемане на полицейска регистрация, изчерпателно изброени в член 68, алинея 6 от Закона за МВР.
24 С решение от 2 февруари 2021 г. Административен съд София‑град (България) отхвърля жалбата на NG срещу това решение по съображения, по същество аналогични на изложените от ГДНП.
25 NG подава жалба пред запитващата юрисдикция — Върховен административен съд (България). Основният довод в жалбата е нарушение на принципа, който се извеждал от членове 5, 13 и 14 от Директива 2016/680, че обработването на лични данни чрез съхранение не може да е с неограничен срок. В случая обаче според NG по същество това de facto е така, тъй като при липса на основание за снемане на полицейската регистрация след настъпване на реабилитация субектът на данни никога не би могъл да поиска изтриване на личните му данни, събрани във връзка с престъпление, за което е осъден с влязла в сила присъда, изтърпял е наказанието си и е реабилитиран.
26 На първо място, в тази насока запитващата юрисдикция отбелязва, че полицейската регистрация представлява обработване на лични данни за целите, посочени в член 1, параграф 1 от Директива 2016/680, и следователно попада в приложното ѝ поле.
27 На второ място, запитващата юрисдикция сочи, че реабилитацията не фигурира сред предпоставките за снемане на полицейска регистрация, изчерпателно изброени в член 68, алинея 6 от Закона за МВР, и че в настоящия случай нито една от тези предпоставки не би могла да бъде приложена, поради което в тази хипотеза не може да се стигне до снемане на полицейската регистрация на субекта на данни.
28 На трето място, запитващата юрисдикция отбелязва, че съображение 26 от Директива 2016/680 изисква гаранции, че събраните данни не надхвърлят необходимото и не се съхраняват за период, по-дълъг от необходимото за целите, за които се обработват, и определя, че администраторът следва да установи срокове за тяхното изтриване или периодичен преглед. Освен това от съображение 34 от тази директива запитващата юрисдикция прави извод, че обработването за целите, посочени в член 1, параграф 1 от цитираната директива, следва да включва операции по ограничаване на обработването, заличаване или унищожаване на данните. Според нея тези принципни положения са намерили израз в член 5 и член 13, параграфи 2 и 3 от посочената директива.
29 В тази насока запитващата юрисдикция намира, че не е ясно дали посочените в предходната точка цели допускат национално законодателство, което води до „практически неограничено право“ на обработване на данни от компетентните органи за целите, посочени в член 1, параграф 1 от Директива 2016/680, и отпадане на правото на субекта на данните за ограничаване на обработването, заличаване или унищожаване на данните му.
30 При тези обстоятелства Върховният административен съд решава да спре производството и да постави на Съда следния преюдициален въпрос:
„Тълкуването на чл. 5 от [Директива 2016/680] във вр. с чл. 13, § 2, б. „б“ и § 3 от същата, допуска ли национални законодателни мерки, които да водят до практически неограничено право на обработка на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления, или изпълнението на наказания и/или отпадане на правото на субекта на данните за ограничаване на обработването, заличаване или унищожаване на данните му?“.
По преюдициалния въпрос
31 Съгласно постоянната съдебна практика в рамките на въведеното с член 267 ДФЕС производство за сътрудничество между националните юрисдикции и Съда задачата на последния е да даде на националния съд полезен отговор, който да му позволи да реши спора, с който е сезиран. С оглед на това при необходимост Съдът може да преформулира въпросите, които са му зададени. Освен това може да се наложи Съдът да вземе предвид норми от правото на Съюза, които националният съд не е посочил във въпроса си (решение от 15 юли 2021 г., Ministrstvo za obrambo, C‑742/19, EU:C:2021:597, т. 31 и цитираната съдебна практика).
32 В случая въпросът на запитващата юрисдикция възниква, поради факта че, видно от преюдициалното запитване и от информацията, представена от българското правителство в заседанието пред Съда, нито едно от изчерпателно изброените в Закона за МВР основания за изтриване на лични данни от полицейския регистър не е приложимо в разглежданата по главното производство хипотеза на лице, осъдено с влязла в сила присъда, дори след като то е реабилитирано, поради което тези данни се съхраняват в съответния регистър и могат да бъдат обработвани от имащите достъп до тях органи без никакви ограничения във времето, до смъртта на това лице.
33 Най-напред, от акта за преюдициално запитване, и по-специално от обобщените в точка 27 от настоящото решение съображения и от текста на самия преюдициален въпрос, в това отношение следва, че запитващата юрисдикция иска по-конкретно да се установи дали процесната по главното производство национална правна уредба е съвместима с принципа на пропорционалност. Както се подчертава в съображение 104 от Директива 2016/680, наложените с тази директива ограничения на правото на защита на личните данни, предвидено в член 8 от Хартата, и на правото на зачитане на личния и семейния живот и на ефективни правни средства за защита и на справедлив съдебен процес, защитени съответно с членове 7 и 47 от Хартата, трябва да се тълкуват в съответствие с изискванията на член 52, параграф 1 от нея, сред които е зачитането на споменатия принцип.
34 По-нататък, в текста на въпроса си запитващата юрисдикция правилно се позовава на член 5 от посочената директива, който се отнася до подходящите срокове за изтриването на лични данни или за периодична проверка на необходимостта от съхранението на тези данни. Тъй като член 5 е тясно свързан както с член 4, параграф 1, букви в) и д) от същата директива, така и с член 16, параграфи 2 и 3 от нея, преюдициалният въпрос следва да се разбира в смисъл, че визира и тези две разпоредби.
35 Също така, доколкото процесното по главното производство национално законодателство предвижда съхранение в частност на биометрични и генетични данни, които спадат към специалните категории лични данни, чието обработване е конкретно уредено в член 10 от Директива 2016/680, следва да се приеме, че поставеният въпрос визира тълкуването и на тази разпоредба.
36 Накрая, от преюдициалното запитване е ясно видна релевантността на тълкуването на член 13 от Директива 2016/680 само що се отнася до член 13, параграф 2, буква б). Действително, както отбелязва запитващата юрисдикция, в параграф 3 от този член са намерили израз и принципите, прогласени по-специално в съображение 26 от същата директива. От предоставената на Съда преписка по делото обаче не личи в главното производство да се разглежда и законодателна мярка, която да забавя или ограничава предоставянето на информация на субекта на данните по смисъла на член 13, параграф 3.
37 С оглед на предходното се налага изводът, че с въпроса си запитващата юрисдикция по същество иска да се установи дали член 4, параграф 1, букви в) и д) от Директива 2016/680, разглеждан във връзка с членове 5 и 10, член 13, параграф 2, буква б) и член 16, параграфи 2 и 3 от тази директива и в светлината на членове 7 и 8 от Хартата, трябва да се тълкува в смисъл, че не допуска национално законодателство, което за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания предвижда съхранение от полицейските органи на лични данни, и по-конкретно на биометрични и генетични данни за лица, осъдени с влязла в сила присъда за умишлено престъпление от общ характер, и то до смъртта на субекта на данни, включително когато той е реабилитиран, без освен това да му признава правото на изтриване на тези данни или евентуално правото на ограничаване на обработването им.
38 Като начало следва да се отбележи, че поставеният въпрос се отнася до обработване на лични данни, отговарящо на цели, които съгласно член 1, параграф 1 от Директива 2016/680 попадат в приложното поле на тази директива. От цитирания в акта за преюдициално запитване член 27 от Закона за МВР обаче следва, че данните, съхранявани в полицейския регистър, могат да се използват и за обработване в рамките на защитата на националната сигурност, за което посочената директива, както личи от текста на член 2, параграф 3, буква а) в светлината на съображение 14 от нея, не се прилага. Ето защо запитващата юрисдикция следва да се увери, че съхранението на данните на жалбоподателя по главното производство не може да служи за цели, свързани със защитата на националната сигурност, като се има предвид, че споменатият член 2, параграф 3, буква а) се отнася до изключение от прилагането на правото на Съюза и трябва да се тълкува стриктно (вж. по аналогия решение от 22 юни 2021 г., Latvijas Republikas Saeima (Точки за пътнотранспортни нарушения), C‑439/19, EU:C:2021:504, т. 62 и цитираната съдебна практика).
39 На първо място, следва да се припомни, че гарантираните в членове 7 и 8 от Хартата основни права на неприкосновеност на личния живот и на защита на личните данни не са абсолютни прерогативи, а трябва да се вземат предвид във връзка с тяхната социална функция и да бъдат претеглени спрямо други основни права. Всяко ограничение на упражняването на тези основни права трябва съгласно член 52, параграф 1 от Хартата да е предвидено в закон и да зачита основното им съдържание, както и принципа на пропорционалност. Съгласно този принцип ограничения могат да бъдат налагани само ако са необходими и ако действително отговарят на признати от Съюза цели от общ интерес или на необходимостта да се защитят правата и свободите на други хора. Подобни ограничения трябва да се въвеждат в рамките на строго необходимото и правната уредба, която съдържа съответните ограничения, трябва да предвижда ясни и точни правила за обхвата и прилагането им (вж. в този смисъл решение от 22 юни 2021 г., Latvijas Republikas Saeima (Точки за пътнотранспортни нарушения), C‑439/19, EU:C:2021:504, т. 105 и цитираната съдебна практика).
40 Както по същество се подчертава в съображение 26 от Директива 2016/680, тези изисквания не са изпълнени, когато преследваната цел от общ интерес може разумно да се постигне по също толкова ефикасен начин с други средства, които засягат в по-малка степен основните права на субектите на данни (вж. по аналогия решение от 22 юни 2021 г., Latvijas Republikas Saeima (Точки за пътнотранспортни нарушения), C‑439/19, EU:C:2021:504, т. 110 и цитираната съдебна практика).
41 На второ място, съгласно член 4, параграф 1, буква в) от споменатата директива държавите членки трябва преди всичко да гарантират, че личните данни са подходящи, относими и не надхвърлят необходимото във връзка с целите, за които данните се обработват. Така тази разпоредба изисква държавите членки да спазват принципа на „свеждане на данните до минимум“, който дава израз на принципа на пропорционалност (вж. в този смисъл решение от 22 юни 2021 г., Latvijas Republikas Saeima (Точки за пътнотранспортни нарушения), C‑439/19, EU:C:2021:504, т. 98 и цитираната съдебна практика).
42 Ето защо по-конкретно събирането на лични данни в хода на наказателно производство и съхранението им от полицейските органи за целите, посочени в член 1, параграф 1 от тази директива, трябва, както всяко попадащо в приложното ѝ поле обработване на данни, да отговарят на тези изисквания. Впрочем подобно съхранение представлява намеса в основните права на зачитане на личния живот и на защита на личните данни, независимо дали съхраняваната информация има чувствителен характер, дали заинтересованите лица са претърпели евентуални неудобства поради тази намеса или пък дали съхраняваните данни ще бъдат използвани впоследствие (вж. по аналогия решение от 5 април 2022 г., Commissioner of An Garda Síochána и др., C‑140/20, EU:C:2022:258, т. 44 и цитираната съдебна практика).
43 В допълнение, по отношение по-конкретно на пропорционалността на срока, за който се съхраняват посочените данни, по силата на член 4, параграф 1, буква д) от Директива 2016/680 държавите членки трябва да гарантират, че тези данни са съхранявани във вид, който позволява идентифицирането на субектите на данните за период, не по-дълъг от необходимия за целите, за които те се обработват.
44 Във връзка с това член 5 от тази директива задължава държавите членки да предвидят подходящи срокове за изтриването на лични данни или за периодична проверка на необходимостта от съхранението им, както и процедурни мерки за гарантиране на спазването на тези срокове.
45 Както прогласява съображение 26 от Директива 2016/680, посочената разпоредба има за цел да гарантира, че съгласно изискванията по член 4, параграф 1, буква д) от тази директива срокът на съхранение на личните данни не е по-дълъг от необходимото. Действително тази директива оставя на държавите членки да определят подходящи срокове за съхранението и да решат дали тези срокове се отнасят за изтриването на данните или за периодичната проверка на необходимостта от съхранението им, с уговорката спазването на тези срокове да се гарантира чрез съответни процедурни мерки. За да са „подходящи“ тези срокове обаче, член 4, параграф 1, букви в) и д) от споменатата директива в светлината на член 52, параграф 1 от Хартата във всички случаи изисква те да позволяват, според случая, изтриването на съответните данни, когато тяхното съхранение вече не е необходимо с оглед на целите, дали основание за обработването им.
46 За да се даде по-конкретно възможност на субектите на данни да проверят дали сроковете са „подходящи“ и евентуално да поискат такова изтриване на данните, член 13, параграф 2, буква б) и член 14, буква г) от Директива 2016/680 предвиждат, че по правило на субектите на данни може да се предоставя информация, когато е възможно, за предвидения срок, за който ще се съхраняват засягащите ги лични данни, или ако това не е възможно, за критериите за определяне на този срок.
47 По-нататък, член 10 от Директива 2016/680 представлява специална разпоредба, която урежда обработването на специални категории лични данни, в частност на биометричните и генетичните данни. Целта на тази разпоредба е да осигури по-голяма защита на субекта на данни, тъй като поради особената им чувствителност и контекста, в който се обработват, съответните данни могат да породят, както е видно от съображение 37 от цитираната директива, значителни рискове за основните свободи и права, като гарантираните с членове 7 и 8 от Хартата право на зачитане на личния живот и право на защита на личните данни (решение от 26 януари 2023 г., Министерство на вътрешните работи (Регистрация на биометрични и генетични данни от полицията), C‑205/21, EU:C:2023:49, т. 116 и цитираната съдебна практика).
48 По-конкретно, посоченият член 10 установява изискване обработването на чувствителни данни да бъде разрешено „само когато това е абсолютно необходимо“, което представлява по-строго условие за законосъобразност на обработването на такива данни и в частност означава особено стриктен контрол за спазването на принципа за „свеждане на данните до минимум“, който следва от член 4, параграф 1, буква в) от Директива 2016/680 и на който това изискване представлява специално приложение към споменатите чувствителни данни (вж. в този смисъл решение от 26 януари 2023 г., Министерство на вътрешните работи (Регистрация на биометрични и генетични данни от полицията), C‑205/21, EU:C:2023:49, т. 117, 122 и 125).
49 Накрая, член 16, параграф 2 от Директива 2016/680 установява право на изтриване на личните данни, когато обработването нарушава разпоредбите, приети съгласно членове 4, 8 или 10 от тази директива, или когато тези данни трябва да бъдат изтрити с цел спазване на правно задължение, което се прилага спрямо администратора.
50 От член 16, параграф 2 следва, че това право на изтриване може да се упражни по-конкретно когато разглежданото съхранение на лични данни не е или вече не е необходимо с оглед на целите на обработването им, в разрез с разпоредбите от националното право за привеждане в действие на член 4, параграф 1, букви в) и д) от цитираната директива, както и евентуално на член 10 от нея, или когато изтриването се налага, за да се спази срокът, определен за тази цел от националното право на основание член 5 от същата директива.
51 Съгласно член 16, параграф 3 от Директива 2016/680 обаче националното право трябва да предвижда, че администраторът ограничава обработването на тези данни, вместо да ги изтрие, когато, видно от буква а) от тази разпоредба, точността на личните данни се оспорва от субекта на данните и тяхната точност или неточност не може да бъде проверена или когато, видно от буква б) от същата разпоредба, личните данни трябва да бъдат запазени за доказателствени цели.
52 От предходното следва, че разгледаните в точки 41—51 от настоящото решение разпоредби на Директива 2016/680 създават обща рамка, която позволява по-специално да се гарантира, че съхранението на лични данни, и в частност периодът на това съхранение, се свеждат до необходимото с оглед на целите, за които тези данни се съхраняват, като същевременно на държавите членки се оставя, при спазване на тази рамка, да определят конкретните случаи, в които защитата на основните права на субекта на данни налага изтриването на данните, и момента, в който то трябва да се извърши. Както обаче по същество отбелязва генералният адвокат в точка 28 от заключението си, посочените разпоредби не изискват от държавите членки да определят абсолютни срокове за съхранение на лични данни, след изтичането на които тези данни трябва автоматично да се изтриват.
53 Както личи от преписката, с която разполага Съдът, в случая личните данни от полицейската регистрация, извършена на основание член 68 от Закона за МВР, се съхраняват за целите само на оперативно-издирвателната дейност, и по-специално, за да може да се извършва сравняване с други данни, събрани при разследването на други престъпления.
54 На първо място, в тази насока следва да се подчертае, че съхранението в полицейския регистър на данни на лица, осъдени с влязла в сила присъда, може да се окаже необходимо за целите, упоменати в предходната точка от настоящото решение, дори след като това осъждане е заличено от регистъра за съдимост и съответно са отменени последиците, които националното законодателство свързва със самото осъждане. Възможно е всъщност тези лица да са замесени в престъпления, различни от тези, за които са били осъдени, или обратно, да бъдат оневинени чрез сравняване на данните, съхранявани от тези органи, с данните, събрани при разследването на другите престъпления.
55 В този смисъл подобно съхранение може да допринесе за постигането на целта от общ интерес, прогласена в съображение 27 от Директива 2016/680, съгласно която за предотвратяването, разследването и наказателното преследване на престъпленията компетентните органи имат нужда да обработват лични данни, събрани в контекста на предотвратяването, разследването, разкриването или наказателното преследване на конкретни престъпления, включително извън този контекст, за да достигнат до разбиране на престъпните действия и да установят връзки между различни разкрити престъпления (вж. в този смисъл решение от 26 януари 2023 г., Министерство на вътрешните работи (Регистрация на биометрични и генетични данни от полицията), C‑205/21, EU:C:2023:49, т. 98).
56 На второ място, от преписката по делото, с която разполага Съдът, се установява, че в полицейския регистър за субекта на данни се съхраняват данните, посочени в българската нормативна уредба на личните документи, дактилоскопните му отпечатъци, негова снимка и иззети образци за ДНК профил, а също и, както потвърди българското правителство в съдебното заседание — данни за извършените от субекта на данни престъпления и за съответните му осъждания. Тези различни категории данни биха могли да се окажат особено важни за проверката дали съответният субект на данни е замесен в престъпления, различни от тези, за които вече е осъден с влязла в сила присъда. Ето защо посочените данни по принцип могат да се считат за подходящи и относими във връзка с целите, за които данните се обработват, по смисъла на член 4, параграф 1, буква в) от Директива 2016/680.
57 На трето място, пропорционалността на такова съхранение с оглед на преследваните с него цели трябва да се преценява през призмата и на подходящите технически и организационни мерки, предвидени от националното право, които в съответствие с членове 20 и 29 от Директива 2016/680 трябва да гарантират поверителността и сигурността на съхраняваните данни при обработване в разрез с изискванията на тази директива, и по-специално на мерките по член 20, параграф 2 от нея, които гарантират, че се обработват само лични данни, които са необходими за всяка конкретна цел на обработването.
58 На четвърто място, що се отнася до разглеждания в главното производство срок на съхранение на лични данни, от преюдициалното запитване личи, че само в случаите, когато субектът на данни е осъден с влязла в сила присъда за умишлено престъпление от общ характер, тези данни се съхраняват до смъртта му, а в останалите случаи националното законодателство предвижда снемане на полицейската регистрация на лицата, привлечени като обвиняеми за извършено такова престъпление.
59 В тази насока обаче следва да се констатира, че понятието „умишлено престъпление от общ характер“ е особено широко и може да се прилага към голям брой престъпления, независимо от естеството и тежестта им (вж. в този смисъл решение от 26 януари 2023 г., Министерство на вътрешните работи (Регистрация на биометрични и генетични данни от полицията), C‑205/21, EU:C:2023:49, т. 129).
60 Както по същество отбелязва и генералният адвокат в точки 73 и 74 от заключението си, всъщност не за всички лица, осъдени с влязла в сила присъда за престъпление, попадащо в обхвата на това определение, рискът да са замесени в други престъпления е еднакъв, което да обосновава определянето на еднакъв срок на съхранение на засягащите ги данни. Ето защо в някои случаи, с оглед на фактори като естеството и тежестта на престъплението или липсата на рецидив, рискът, който представлява осъденото лице, не дава непременно основание за запазването до смъртта му на неговите данни в предвидения за целта национален полицейски регистър. В такива случаи вече не съществува необходимата връзка между съхраняваните данни и преследваната цел (вж. по аналогия становище 1/15 (Споразумение PNR ЕС—Канада), от 26 юли 2017 г., EU:C:2017:592, т. 205). Поради това съхранението им не съответства на принципа на свеждане на данните до минимум, предвиден в член 4, параграф 1, буква в) от Директива 2016/680, и е за период, по-дълъг от необходимия за целите, за които данните се обработват, което е в разрез с член 4, параграф 1, буква д) от тази директива.
61 В тази насока следва да се уточни, че действително, както по същество подчертава генералният адвокат в точка 70 от заключението си, реабилитация на такова лице като настъпилата в главното производство, в резултат от която осъждането му е изтрито от регистъра за съдимост, сама по себе си не води до отпадане на необходимостта от съхранението на данните му в полицейския регистър, тъй като последното има цели, различни от тези на списъка на миналите му осъждания в регистъра за съдимост. Когато обаче, както в настоящия случай, съгласно приложимите разпоредби на националното наказателно право, за да настъпи реабилитация, трябва през определен период след изтърпяването на наказанието да не е извършено ново умишлено престъпление от общ характер, тя може да е индиция, че субектът на данните представлява по-малък риск от гледна точка на целите за противодействие на престъпността или опазване на обществения ред, и следователно обстоятелство, което може да доведе до скъсяване на необходимия период за такова съхранение.
62 На пето място, принципът на пропорционалност, закрепен в член 52, параграф 1 от Хартата, предполага по-конкретно да се съпоставят важността на преследваната цел и тежестта на ограничението за упражняването на съответните основни права (вж. в този смисъл решение от 22 ноември 2022 г., Luxembourg Business Registers, C‑37/20 и C‑601/20, EU:C:2022:912, т. 66).
63 Както бе припомнено в точка 35 от настоящото решение, в случая съхранението на лични данни в процесния полицейски регистър включва биометрични и генетични данни. Ето защо следва да се подчертае, че с оглед на значителните рискове, свързани с обработването на такива чувствителни данни, за правата и свободите на субектите на данни, по-специално в контекста на задачите на компетентните органи за целите, посочени в член 1, параграф 1 от Директива 2016/680, особената важност на преследваната цел трябва да се прецени въз основа на съвкупност от релевантни фактори. Сред тях по-специално са фактът, че обработването обслужва конкретна цел във връзка с предотвратяването на престъпления или заплахи за обществената сигурност с определена степен на тежест, наказването на такива престъпления или защитата срещу такива заплахи, както и конкретните обстоятелства, при които се извършва това обработване (решение от 26 януари 2023 г., Министерство на вътрешните работи (Регистрация на биометрични и генетични данни от полицията), C‑205/21, EU:C:2023:49, т. 127).
64 Във връзка с това Съдът е постановил, че национално законодателство, което предвижда системно събиране на биометрични и генетични данни от всяко лице, привлечено като обвиняем за умишлено престъпление от общ характер, по принцип е в противоречие с изискването за абсолютна необходимост, прогласено в член 10 от Директива 2016/680 и припомнено в точка 48 от настоящото решение. Всъщност такова законодателство може да доведе до неизбирателно и общо събиране на биометрични и генетични данни за повечето лица, които са привлечени като обвиняеми (вж. в този смисъл решение от 26 януари 2023 г., Министерство на вътрешните работи (Регистрация на биометрични и генетични данни от полицията), C‑205/21, EU:C:2023:49, т. 128 и 129).
65 Европейският съд по правата на човека от своя страна е приел, че общото и бланкетно правомощие за съхранение на пръстови отпечатъци, биологични проби и ДНК профили на лица, които са заподозрени, че са извършили престъпления, но не са осъдени — като предвиденото правомощие в процесната национална правна уредба по делото, поставено за разглеждане пред този съд — не осигурява справедлив баланс между съответните противостоящи обществени и частни интереси и че следователно съхранението на тези данни несъразмерно накърнява правото на зачитане на личния живот на жалбоподателите и не може да се счита за необходимо в едно демократично общество, поради което такова накърняване представлява нарушение на член 8 от Европейската конвенция за защита на правата на човека и основните свободи, подписана в Рим на 4 ноември 1950 г. (ЕСПЧ, 4 декември 2008 г., S и Marper с/у Обединено кралство, CE:ECHR:2008:1204JUD003056204, § 125 и § 126).
66 Вярно е, че съхранението на биометрични и генетични данни на вече осъдени с влязла в сила присъда лица, включително до смъртта на тези лица, може да е абсолютно необходимо по смисъла на член 10 от Директива 2016/680 по-специално за проверката дали те евентуално са замесени в други престъпления, и следователно за разследването и осъждането на извършителите на тези престъпления. Всъщност следва да се отчита важността на този вид данни за наказателните разследвания, дори и много години след извършване на деянията, в частност когато тези престъпления са тежки (вж. в този смисъл ЕСПЧ, решение от 13 февруари 2020 г., Gaughran с/у Обединено кралство, CE:ECHR:2020:0213JUD004524515, § 93).
67 Може да се счита, че съхранението на биометрични и генетични данни отговаря на изискването да се допуска единствено когато „това е абсолютно необходимо“ по смисъла на член 10 от Директива 2016/680, обаче само ако то отчита естеството и тежестта на престъплението, за което лицето е осъдено с влязла в сила присъда, или други обстоятелства, като например конкретния контекст, в който е извършено това престъпление, евентуалната му връзка с други течащи производства или пък миналото или профила на осъденото лице. Ето защо, когато съгласно национална правна уредба като тази по главното производство въведените в полицейския регистър биометрични и генетични данни на субектите на данни се съхраняват до смъртта на тези лица, в случай че те са осъдени с влязла в сила присъда, приложното поле на това съхранение, както бе констатирано в точки 59 и 60 по-горе, е твърде широко за целите, за които тези данни се обработват.
68 На шесто място, досежно, от една страна, задължението на държавите членки по член 5 от Директива 2016/680 да предвидят определянето на подходящи срокове, следва да се отбележи, че по съображенията, изложени в точки 59, 60 и 67 от настоящото решение, и с оглед на изискванията на член 4, параграф 1, букви в) и д) и на член 10 от тази директива даден срок може да се счита за „подходящ“ по смисъла на член 5, по-специално за съхранението на биометрични и генетични данни на всяко лице, осъдено с влязла в сила присъда за умишлено престъпление от общ характер, само ако отчита релевантните обстоятелства, които могат да породят необходимост от такъв срок на съхранение, като визираните в точка 67 от настоящото решение.
69 Ето защо, дори посочването в националното законодателство на настъпването на смъртта на субекта на данни да може да представлява „срок“ за изтриване на съхраняваните данни по смисъла на член 5, този срок би могъл да се счита за „подходящ“ само при особени обстоятелства, които го обосновават надлежно. Това обаче очевидно не е така, когато срокът е приложим общо и бланкетно за всички лица, осъдени с влязла в сила присъда.
70 Наистина, както бе отбелязано в точка 45 от настоящото решение, член 5 от Директива 2016/680 оставя на държавите членки да решат дали да определят срокове за изтриването на посочените данни или за периодичната проверка на необходимостта от съхранението им. Пак от същата точка обаче следва, че за да са „подходящи“, сроковете за такава периодична проверка трябва — в съответствие с член 4, параграф 1, букви в) и д) от тази директива в светлината на член 52, параграф 1 от Хартата — в крайна сметка да позволяват изтриване на разглежданите данни, когато съхранението им вече не е необходимо. По припомнените в предходната точка съображения обаче подобно изискване не е изпълнено, когато, както в случая, единствената хипотеза, в която националното законодателство предвижда такова изтриване по отношение на лице, осъдено с влязла в сила присъда за умишлено престъпление от общ характер, е настъпването на смъртта му.
71 От друга страна, колкото до гаранциите, предвидени в член 16, параграфи 2 и 3 от тази директива досежно условията за правото на изтриване и правото на ограничаване на обработването, от точки 50 и 51 от настоящото решение следва, че тези разпоредби не допускат и национално законодателство, което не позволява упражняването на тези права от лице, осъдено с влязла в сила присъда за умишлено престъпление от общ характер.
72 С оглед на изложеното дотук на поставения въпрос следва да се отговори, че член 4, параграф 1, букви в) и д) от Директива 2016/680, разглеждан във връзка с членове 5 и 10, член 13, параграф 2, буква б) и член 16, параграфи 2 и 3 от тази директива и в светлината на членове 7 и 8 от Хартата, трябва да се тълкува в смисъл, че не допуска национално законодателство, което за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания предвижда съхранение от полицейските органи на лични данни, и по-конкретно на биометрични и генетични данни за лица, осъдени с влязла в сила присъда за умишлено престъпление от общ характер, и то до смъртта на субекта на данни, включително когато той е реабилитиран, без да задължава администратора периодично да проверява дали това съхранение все още е необходимо, и без да признава правото на субекта на данни на изтриване на горепосочените данни, щом съхранението им вече не е необходимо за целите, за които те са били обработвани, или евентуално правото на ограничаване на тяхното обработване.
По съдебните разноски
73 С оглед на обстоятелството, че за страните по главното производство настоящото дело представлява отклонение от обичайния ход на производството пред запитващата юрисдикция, последната следва да се произнесе по съдебните разноски. Разходите, направени за представяне на становища пред Съда, различни от тези на посочените страни, не подлежат на възстановяване.
По изложените съображения Съдът (голям състав) реши:
Член 4, параграф 1, букви в) и д) от Директива (ЕС) 2016/680 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания и относно свободното движение на такива данни, и за отмяна на Рамково решение 2008/977/ПВР на Съвета, разглеждан във връзка с членове 5 и 10, член 13, параграф 2, буква б) и член 16, параграфи 2 и 3 от тази директива и в светлината на членове 7 и 8 от Хартата на основните права на Европейския съюз,
трябва да се тълкува в смисъл, че
не допуска национално законодателство, което за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания предвижда съхранение от полицейските органи на лични данни, и по-конкретно на биометрични и генетични данни за лица, осъдени с влязла в сила присъда за умишлено престъпление от общ характер, и то до смъртта на субекта на данни, включително когато той е реабилитиран, без да задължава администратора периодично да проверява дали това съхранение все още е необходимо, и без да признава правото на субекта на данни на изтриване на горепосочените данни, щом съхранението им вече не е необходимо за целите, за които те са били обработвани, или евентуално правото на ограничаване на тяхното обработване.
Подписи