DOMSTOLENS DOM (Store Afdeling)
30. januar 2024 (*)
»Præjudiciel forelæggelse – beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger med henblik på bekæmpelse af strafbare handlinger – direktiv (EU) 2016/680 – artikel 4, stk. 1, litra c) og e) – dataminimering – opbevaringsbegrænsning – artikel 5 – hensigtsmæssige tidsfrister for sletning eller for regelmæssig revision af behovet for opbevaring – artikel 10 – behandling af biometriske og genetiske data – streng nødvendighed – artikel 16, stk. 2 og 3 – ret til sletning – begrænsning af behandling – artikel 52, stk. 1, i Den Europæiske Unions charter om grundlæggende rettigheder – fysisk person, der er blevet endeligt domfældt og efterfølgende rehabiliteret – tidsfrist for opbevaring, der løber indtil den registreredes død – manglende ret til sletning eller begrænsning af behandling – proportionalitet«
I sag C-118/22,
angående en anmodning om præjudiciel afgørelse i henhold til artikel 267 TEUF, indgivet af Varhoven administrativen sad (øverste domstol i forvaltningsretlige sager, Bulgarien) ved afgørelse af 10. januar 2022, indgået til Domstolen den 17. februar 2022, i sagen
NG
mod
Direktor na Glavna direktsia »Natsionalna politsia« pri Ministerstvo na vatreshnite raboti – Sofia,
procesdeltager:
Varhovna administrativna prokuratura,
har
DOMSTOLEN (Store Afdeling),
sammensat af præsidenten, K. Lenaerts, vicepræsidenten, L. Bay Larsen, afdelingsformændene A. Arabadjiev, A. Prechal, K. Jürimäe, N. Piçarra og O. Spineanu-Matei samt dommerne M. Ilešič, J.-C. Bonichot, L.S. Rossi, I. Jarukaitis, A. Kumin, N. Jääskinen, N. Wahl og D. Gratsias (refererende dommer),
generaladvokat: P. Pikamäe,
justitssekretær: fuldmægtig R. Stefanova-Kamisheva,
på grundlag af den skriftlige forhandling og efter retsmødet den 7. februar 2023,
efter at der er afgivet indlæg af:
– NG ved advokat P. Kuyumdzhiev,
– den bulgarske regering ved M. Georgieva, T. Mitova og E. Petranova, som befuldmægtigede,
– den tjekkiske regering ved O. Serdula, M. Smolek og J. Vláčil, som befuldmægtigede,
– Irland ved M. Browne, A. Joyce og M. Tierney, som befuldmægtigede, bistået af D. Fennelly, BL,
– den spanske regering ved A. Ballesteros Panizo og J. Rodríguez de la Rúa Puig, som befuldmægtigede,
– den nederlandske regering ved A. Hanje, som befuldmægtiget,
– den polske regering ved B. Majczyna, D. Łukowiak og J. Sawicka, som befuldmægtigede,
– Europa-Kommissionen ved A. Bouchagiar, C. Georgieva, H. Kranenborg og F. Wilman, som befuldmægtigede,
og efter at generaladvokaten har fremsat forslag til afgørelse i retsmødet den 15. juni 2023,
afsagt følgende
Dom
1 Anmodningen om præjudiciel afgørelse vedrører fortolkningen af artikel 5 i Europa-Parlamentets og Rådets direktiv (EU) 2016/680 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger og om ophævelse af Rådets rammeafgørelse 2008/977/RIA (EUT 2016, L 119, s. 89), sammenholdt med dette direktivs artikel 13, stk. 2, litra b), og artikel 13, stk. 3.
2 Anmodningen er blevet indgivet i forbindelse med en tvist mellem NG og Direktor na Glavna direktsia »Natsionalna politsia« pri Ministerstvo na vatresjnite raboti – Sofia (direktør for generaldirektoratet »nationalt politi« under indenrigsministeriet, Bulgarien) (herefter »generaldirektoratet«) vedrørende sidstnævntes afslag på NG’s anmodning om at blive slettet af det nationale register, hvori de bulgarske politimyndigheder registrerer personer, der retsforfølges for en forsætlig strafbar handling, som er undergivet offentlig påtale (herefter »politiregistret«), hvilken anmodning er støttet på det forhold, at NG efter en endelig domfældelse er blevet rehabiliteret.
Retsforskrifter
EU-retten
3 11., 14., 26., 27., 37., 47. og 104. betragtning til direktiv 2016/680 har følgende ordlyd:
»(11) Det er [...] hensigtsmæssigt at [retligt samarbejde i straffesager og politisamarbejde] behandles i et direktiv, der fastsætter særlige regler for beskyttelse af fysiske personer i forbindelse med de kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod og forebygge trusler mod den offentlige sikkerhed, idet disse aktiviteters særlige karakter respekteres. [...]
[...]
(14) Da dette direktiv ikke bør finde anvendelse på behandlingen af personoplysninger i forbindelse med en aktivitet, der falder uden for EU-retten, bør aktiviteter vedrørende statens sikkerhed [...] ikke anses for at være aktiviteter, der falder inden for dette direktivs anvendelsesområde.
[...]
(26) [...] Det bør [...] sikres, at de indsamlede personoplysninger ikke er for omfattende og ikke opbevares i et længere tidsrum end det, der er nødvendigt af hensyn til de formål, hvortil de behandles. Personoplysninger bør kun behandles, hvis formålet med behandlingen ikke med rimelighed kan opfyldes på anden måde. For at sikre, at oplysningerne ikke opbevares i længere tid end nødvendigt, bør den dataansvarlige indføre tidsfrister for sletning eller regelmæssig revision. [...]
(27) Med henblik på forebyggelse, efterforskning og retsforfølgning af strafbare handlinger er det nødvendigt, at de kompetente myndigheder behandler personoplysninger, der er indsamlet i forbindelse med forebyggelse, efterforskning, afsløring eller retsforfølgning af konkrete strafbare handlinger, i en bredere sammenhæng for derved at få en forståelse af kriminelle handlinger og sammenkoble forskellige strafbare handlinger, som er blevet afsløret.
[...]
(37) Personoplysninger, der i kraft af deres karakter er særligt følsomme i forhold til grundlæggende rettigheder og frihedsrettigheder, bør nyde specifik beskyttelse, da sammenhængen for behandlingen af dem kan indebære betydelige risici for grundlæggende rettigheder og frihedsrettigheder. [...]
[...]
(47) [...] En fysisk person bør også have ret til begrænsning af behandlingen, [...] hvis personoplysningerne skal bevares som bevismiddel. I stedet for at slette personoplysninger bør behandling navnlig begrænses, hvis der i et konkret tilfælde er rimelig grund til at tro, at sletning vil kunne påvirke den registreredes legitime interesser. I så fald bør begrænsede oplysninger kun behandles til det formål, der gjorde, at de ikke blev slettet. [...]
[...]
(104) I dette direktiv overholdes de grundlæggende rettigheder og principper, der anerkendes i [Den Europæiske Unions charter om grundlæggende rettigheder (herefter »chartret«)] som forankret i TEUF, navnlig retten til respekt for privatliv og familieliv, retten til beskyttelse af personoplysninger og adgang til effektive retsmidler og til en retfærdig rettergang. I overensstemmelse med chartrets artikel 52, stk. 1, kan der indføres begrænsninger i udøvelsen af disse rettigheder, såfremt de er nødvendige for at nå mål af almen interesse, der er anerkendt af Unionen, eller et behov for beskyttelse af andres rettigheder og frihedsrettigheder.«
4 Dette direktivs artikel 1 med overskriften »Genstand og formål« bestemmer følgende i stk. 1:
»I dette direktiv fastsættes regler om beskyttelse af fysiske personer i forbindelse med de kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod eller forebygge trusler mod den offentlige sikkerhed.«
5 Direktivets artikel 2 med overskriften »Anvendelsesområde« fastsætter følgende i stk. 1 og 3:
»1. Dette direktiv finder anvendelse på kompetente myndigheders behandling af personoplysninger med henblik på artikel 1, stk. 1.
[...]
3. Dette direktiv gælder ikke for behandling af personoplysninger:
a) under udøvelse af aktiviteter, der falder uden for EU-retten
[...]«
6 Direktivets artikel 3 med overskriften »Definitioner« har følgende ordlyd:
»I dette direktiv forstås ved:
[...]
2. »behandling«: enhver aktivitet eller række af aktiviteter, [...] som personoplysninger eller en samling af personoplysninger gøres til genstand for, f.eks. [...] opbevaring [...]
[...]«
7 Artikel 4 i direktiv 2016/680 med overskriften »Principper for behandling af personoplysninger« bestemmer følgende i stk. 1:
»Medlemsstaterne fastsætter bestemmelser om, at personoplysninger skal:
[...]
c) være tilstrækkelige, relevante og ikke omfatte mere end, hvad der kræves til opfyldelse af de formål, hvortil de behandles
[...]
e) opbevares på en sådan måde, at det ikke er muligt at identificere de registrerede i et længere tidsrum end det, der er nødvendigt til de formål, hvortil de behandles
[...]«
8 Direktivets artikel 5 med overskriften »Tidsfrister for opbevaring og revision« har følgende ordlyd:
»Medlemsstaterne fastsætter bestemmelser om, at der skal fastsættes hensigtsmæssige tidsfrister for sletning af personoplysninger eller for regelmæssig revision af behovet for opbevaring af personoplysninger. Det sikres ved proceduremæssige foranstaltninger, at disse tidsfrister overholdes.«
9 Direktivets artikel 10 med overskriften »Behandling af særlige kategorier af personoplysninger« er affattet således:
»Behandling af [...] genetiske data [og] biometriske data med det formål entydigt at identificere en fysisk person [...] må kun tillades, når det er strengt nødvendigt, forudsat at behandlingen er omfattet af de fornødne garantier for den registreredes rettigheder og frihedsrettigheder [...]«
10 Samme direktivs artikel 13 med overskriften »Oplysninger, der skal stilles til rådighed for eller gives til den registrerede«, bestemmer i stk. 2, at ud over de oplysninger, der er omhandlet i stk. 1, fastsætter medlemsstaterne ved lov bestemmelser om, at den dataansvarlige i særlige tilfælde skal give den registrerede de yderligere oplysninger, der er opregnet i stk. 2, for at vedkommende kan udøve sine rettigheder. Blandt disse yderligere oplysninger er bl.a. nævnt, i stk. 2, litra b), det tidsrum, hvor personoplysningerne vil blive opbevaret, eller, hvis dette ikke er muligt, de kriterier, der anvendes til at fastlægge dette tidsrum. I øvrigt er det i artikel 13, stk. 3, i direktiv 2016/680 angivet, af hvilke grunde medlemsstaterne kan vedtage lovgivningsmæssige foranstaltninger, der udsætter, begrænser eller afskærer meddelelse af oplysninger til den registrerede i henhold til denne artikels stk. 2.
11 Artikel 14 i direktiv 2016/680 med overskriften »Den registreredes indsigtsret« bestemmer følgende:
»Medlemsstaterne fastsætter bestemmelser om, at den registrerede har ret til at få den dataansvarliges bekræftelse på, om personoplysninger vedrørende den pågældende behandles, og i givet fald adgang til personoplysningerne og følgende information, jf. dog artikel 15:
[...]
d) om muligt, det påtænkte tidsrum, hvor personoplysningerne vil blive opbevaret, eller, hvis dette ikke er muligt, de kriterier, der anvendes til at fastlægge dette tidsrum
[...]«
12 Dette direktivs artikel 16 med overskriften »Ret til berigtigelse, sletning og begrænsning af behandling« bestemmer følgende i stk. 2 og 3:
»2. Medlemsstaterne kræver, at den dataansvarlige sletter personoplysninger uden unødig forsinkelse, og fastsætter bestemmelser om, at den registrerede skal have ret til at få personoplysninger om sig selv slettet af den dataansvarlige uden unødig forsinkelse, hvis behandling overtræder de bestemmelser, der vedtages i henhold til artikel 4, 8 eller 10, eller hvis personoplysninger skal slettes for at overholde en retlig forpligtelse, som den dataansvarlige er underlagt.
3. I stedet for sletning begrænser den dataansvarlige behandling, hvis:
a) rigtigheden af personoplysningerne bestrides af den registrerede og deres rigtighed eller urigtighed ikke kan konstateres, eller
b) personoplysningerne skal bevares som bevismiddel.
[...]«
13 I henhold til direktivets artikel 20 med overskriften »Databeskyttelse gennem design og databeskyttelse gennem standardindstillinger« fastsætter medlemsstaterne bestemmelser om, at den dataansvarlige skal gennemføre passende tekniske og organisatoriske foranstaltninger for at opfylde kravene i samme direktiv og beskytte de registreredes rettigheder, og bl.a. gennem standardindstillinger sikre, at kun personoplysninger, der er nødvendige til hvert specifikt formål med behandlingen, behandles.
14 Artikel 29 i direktiv 2016/680 med overskriften »Behandlingssikkerhed« bestemmer følgende i stk. 1:
»Medlemsstaterne fastsætter bestemmelser om, at den dataansvarlige og databehandleren under hensyntagen til det aktuelle tekniske niveau, implementeringsomkostningerne og behandlingens karakter, omfang, sammenhæng og formål samt risiciene af varierende sandsynlighed og alvor for fysiske personers rettigheder og frihedsrettigheder skal gennemføre passende tekniske og organisatoriske foranstaltninger for at sikre et sikkerhedsniveau, der passer til disse risici, navnlig for så vidt angår behandlingen af de særlige kategorier af personoplysninger, der er omhandlet i artikel 10.«
Bulgarsk ret
Straffeloven
15 Artikel 82, stk. 1, i Nakazatelen kodeks (straffeloven, DV nr. 26 af 2.4.1968) i den affattelse, der finder anvendelse på tvisten i hovedsagen, bestemmer følgende:
»Den idømte straf fuldbyrdes ikke efter
1. 20 år, hvis straffen er fængsel på livstid uden mulighed for forvandlingsstraf eller fængsel på livstid
2. 15 år, hvis den idømte straf er fængsel i mere end 10 år
3. 10 år, hvis straffen er fængsel i 3-10 år
4. 5 år, hvis straffen er fængsel i indtil 3 år
5. 2 år i alle andre tilfælde.«
16 Straffelovens artikel 85, stk. 1, fastsætter følgende:
»Ved rehabilitering slettes domfældelsen, og de virkninger, som i henhold til lov følger af selve domfældelsen, ophæves for fremtiden, medmindre andet er bestemt ved lov eller bekendtgørelse.«
17 Nævnte lovs artikel 88a har følgende ordlyd:
»Når der efter afsoning af straffen er forløbet en periode lig den, der er angivet i artikel 82, stk. 1, og den domfældte ikke har begået en ny forsætlig strafbar handling, som er undergivet offentlig påtale og straffes med fængsel, slettes domfældelsen og følgerne heraf uanset anden bestemmelse i lov eller bekendtgørelse.«
Lov om indenrigsministeriet
18 Artikel 26 i Zakon za Ministerstvo na vatreshnite raboti (lov om indenrigsministeriet, DV nr. 53 af 27.6.2014) i den affattelse, der finder anvendelse på tvisten i hovedsagen (herefter »lov om indenrigsministeriet«), bestemmer følgende:
»(1) Når indenrigsministeriets myndigheder behandler personoplysninger i forbindelse med aktiviteter til beskyttelse af den nationale sikkerhed, bekæmpelse af kriminalitet, opretholdelse af den offentlige orden og gennemførelse af straffesager, kan de:
[...]
3. behandle alle nødvendige kategorier af personoplysninger
[...]
(2) Tidsfristerne for opbevaring af de i stk. 1 omhandlede oplysninger eller for regelmæssig revision af nødvendigheden af at lagre disse fastsættes af indenrigsministeriet. Disse oplysninger slettes ligeledes i henhold til et retsligt dokument eller en afgørelse truffet af kommissionen for beskyttelse af personoplysninger.«
19 Artikel 27 i lov om indenrigsministeriet har følgende ordlyd:
»Oplysningerne fra en registrering af personer i politiregistret, der er foretaget på grundlag af artikel 68, anvendes kun med henblik på at beskytte den nationale sikkerhed, bekæmpe kriminalitet og opretholde den offentlige orden.«
20 Denne lovs artikel 68 har følgende ordlyd:
(1) Politimyndighederne registrerer personer, der retsforfølges for en forsætlig lovovertrædelse, som er undergivet offentlig påtale, i politiregistret. De myndigheder, der forestår efterforskningen, har pligt til at træffe de nødvendige foranstaltninger med henblik på, at politimyndighederne foretager registrering i registret.
(2) Registreringen i politiregistret er en form for behandling af personoplysninger om de i stk. 1 omhandlede personer, der foretages inden for rammerne af denne lov.
(3) Med henblik på registreringen i politiregistret skal politimyndighederne:
1. indsamle [personoplysninger] som omhandlet i artikel 18 i lov om bulgarske identitetspapirer
2. optage fingeraftryk fra personerne og fotografere dem
3. udtage prøver med henblik på DNA-profilering af personerne.
[...]
(6) Registreringen i politiregistret fjernes på grundlag af en skriftlig instruks fra den dataansvarlige eller fra embedsmænd, som den dataansvarlige har givet bemyndigelse hertil, ex officio eller efter en skriftlig og begrundet anmodning fra den registrerede, når
1. registreringen er blevet foretaget i strid med loven
2. straffesagen henlægges, med undtagelse af de i artikel 24, stk. 3, i [Nakazatelno-protsesualen kodeks (strafferetsplejelov)] omhandlede tilfælde
3. straffesagen har ført til frifindelse
4. personen er blevet fritaget for strafferetligt ansvar, og den pågældende er blevet pålagt en administrativ sanktion
5. personen er afgået ved døden, i hvilket tilfælde anmodningen kan fremsættes af dennes arvinger.
[...]«
Tvisten i hovedsagen og det præjudicielle spørgsmål
21 NG blev i henhold til artikel 68 i lov om indenrigsministeriet registreret i politiregistret i forbindelse med en efterforskning for afgivelse af falsk vidneforklaring, hvilket er en strafbar handling i henhold til straffelovens artikel 290, stk. 1. Ved afslutningen af efterforskningen blev der rejst tiltale mod NG, og ved dom af 28. juni 2016, der blev stadfæstet ved appelinstansen den 2. december 2016, blev han kendt skyldig i denne strafbare handling og idømt en betinget straf på et år. Da NG havde udstået denne straf, blev han i medfør af straffelovens artikel 82, stk. 1, sammenholdt med artikel 88a heri, rehabiliteret den 14. marts 2020.
22 Den 15. juli 2020 indgav NG med henvisning til denne rehabilitering en anmodning om sletning af sin registrering i politiregistret til den kompetente distriktsadministration under indenrigsministeriet.
23 Ved afgørelse af 2. september 2020 gav generaldirektoratet afslag på denne anmodning med den begrundelse, at en endelig domfældelse ikke er en af de grunde til sletning af en registrering i politiregistret, der er udtømmende opregnet i artikel 68, stk. 6, i lov om indenrigsministeriet, heller ikke i tilfælde af rehabilitering.
24 Ved afgørelse af 2. februar 2021 frifandt Administrativen sad Sofia grad (forvaltningsdomstolen i Sofia, Bulgarien) generaldirektoratet i det søgsmål, som NG havde anlagt til prøvelse af direktoratets afgørelse, af grunde, der i det væsentlige svarede til sidstnævntes argumenter.
25 NG har iværksat appel ved den forelæggende ret, Varhoven administrativen sad (øverste domstol i forvaltningsretlige sager, Bulgarien). Det principale anbringende i denne appel vedrører en tilsidesættelse af det princip, der følger af artikel 5, 13 og 14 i direktiv 2016/680, hvorefter behandling af personoplysninger ved opbevaring ikke kan være af ubegrænset varighed. NG er i det væsentlige af den opfattelse, at dette de facto vil være tilfældet, når en registreret – i mangel af en grund til sletning af en registrering i politiregistret, der finder anvendelse i tilfælde af rehabilitering – aldrig vil kunne opnå sletning af de personoplysninger, der er indsamlet i forbindelse med den strafbare handling, som den pågældende er endeligt dømt for, efter at have udstået sin straf og opnået en sådan rehabilitering.
26 I denne henseende har den forelæggende ret for det første anført, at registrering i politiregistret er en behandling af personoplysninger, der foretages med henblik på de formål, der er angivet i artikel 1, stk. 1, i direktiv 2016/680, og derfor hører under dette direktivs anvendelsesområde.
27 Den forelæggende ret har for det andet anført, at rehabilitering ikke er blandt de grunde til sletning af en registrering i politiregistret, der er udtømmende opregnet i artikel 68, stk. 6, i lov om indenrigsministeriet, og at ingen anden af disse grunde kan finde anvendelse i denne situation, således at det er umuligt for den registrerede at opnå sletning af sin registrering i dette register i et sådant tilfælde.
28 For det tredje har den forelæggende ret anført, at der i 26. betragtning til direktiv 2016/680 henvises til garantier for, at de indsamlede oplysninger ikke er for omfattende og ikke opbevares i et længere tidsrum end det, der er nødvendigt af hensyn til de formål, hvortil de behandles, og at det i samme betragtning er anført, at den dataansvarlige skal indføre tidsfrister for sletning eller regelmæssig revision af oplysningerne. Den forelæggende ret har endvidere af 34. betragtning til dette direktiv udledt, at behandling med henblik på de formål, der er nævnt i direktivets artikel 1, stk. 1, bør omfatte begrænsning, sletning eller tilintetgørelse af oplysningerne. Ifølge den forelæggende ret er disse principper afspejlet i direktivets artikel 5 og artikel 13, stk. 2 og 3.
29 Den forelæggende ret er i denne henseende i tvivl om, hvorvidt de mål, der er nævnt i den foregående præmis, er til hinder for en national lovgivning, som medfører, at de kompetente myndigheder har en »næsten ubegrænset ret« til at behandle oplysninger til de formål, der er angivet i artikel 1, stk. 1, i direktiv 2016/680, og at den registrerede fortaber sin ret til begrænsning af behandlingen eller sletning af oplysninger om sig selv.
30 På denne baggrund har Varhoven administrativen sad (øverste domstol i forvaltningsretlige sager) besluttet at udsætte sagen og forelægge Domstolen følgende præjudicielle spørgsmål:
»Er artikel 5 [i direktiv 2016/680], sammenholdt med artikel 13, stk. 2, litra b), og [artikel 13,] stk. 3, i [dette direktiv], til hinder for nationale lovgivningsmæssige foranstaltninger, som medfører en i praksis ubegrænset ret for de kompetente myndigheder til at behandle personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner og/eller en [fortabelse] af den registreredes ret til begrænsning af behandling, sletning eller tilintetgørelse af den pågældendes oplysninger?«
Om det præjudicielle spørgsmål
31 Det fremgår af fast retspraksis, at det som led i den samarbejdsprocedure mellem de nationale retter og Domstolen, som er indført ved artikel 267 TEUF, tilkommer denne at give den nationale ret et hensigtsmæssigt svar, som sætter den i stand til at afgøre den tvist, der verserer for den. Ud fra dette synspunkt påhviler det Domstolen efter omstændighederne at omformulere de spørgsmål, den forelægges. Domstolen kan desuden inddrage EU-retlige regler, som den nationale ret ikke har henvist til i sine spørgsmål (dom af 15.7.2021, Ministrstvo za obrambo, C-742/19, EU:C:2021:597, præmis 31 og den deri nævnte retspraksis).
32 Som det fremgår af anmodningen om præjudiciel afgørelse og af de oplysninger, som den bulgarske regering har fremlagt i retsmødet for Domstolen, udspringer den forelæggende rets spørgsmål i den foreliggende sag af den omstændighed, at ingen af de grunde, der begrunder sletning af personoplysninger i politiregistret, og som er udtømmende opregnet i lov om indenrigsministeriet, finder anvendelse i den situation, der er omhandlet i hovedsagen, hvor en person er blevet endeligt dømt, og de finder end ikke anvendelse, efter at den pågældende er blevet rehabiliteret, således at disse oplysninger opbevares i dette register og kan behandles af de myndigheder, der har adgang hertil, uden nogen anden tidsbegrænsning end personens død.
33 I denne henseende fremgår det indledningsvis af forelæggelsesafgørelsen, bl.a. af de betragtninger, der er sammenfattet i denne doms præmis 27, og af ordlyden af selve det præjudicielle spørgsmål, at den forelæggende ret navnlig ønsker oplyst, om den nationale lovgivning, der er omhandlet i hovedsagen, er forenelig med proportionalitetsprincippet. Som fremhævet i 104. betragtning til direktiv 2016/680 skal begrænsningerne i henhold til direktivet af retten til beskyttelse af personoplysninger som fastsat i chartrets artikel 8 og af retten til respekt for privatliv og familieliv og til adgang til effektive retsmidler og en upartisk domstol, der er beskyttet ved henholdsvis chartrets artikel 7 og 47, fortolkes i overensstemmelse med kravene i chartrets artikel 52, stk. 1, der omfatter overholdelse af dette princip.
34 Dernæst har den forelæggende ret i sit spørgsmål med rette henvist til direktivets artikel 5 om hensigtsmæssige tidsfrister for sletning af personoplysninger eller for regelmæssig revision af behovet for opbevaring af disse oplysninger. Da direktivets artikel 5 er nært forbundet med både artikel 4, stk. 1, litra c) og e), og artikel 16, stk. 2 og 3, skal det præjudicielle spørgsmål forstås således, at det også vedrører disse to bestemmelser.
35 Eftersom den i hovedsagen omhandlede nationale lovgivning indeholder bestemmelser om opbevaring af bl.a. biometriske og genetiske data, som hører under de særlige kategorier af personoplysninger, hvis behandling specifikt er reguleret ved artikel 10 i direktiv 2016/680, skal det forelagte spørgsmål på samme måde anses for også at vedrøre fortolkningen af denne bestemmelse.
36 Endelig fremgår relevansen af en fortolkning af artikel 13 i direktiv 2016/680 kun klart af anmodningen om præjudiciel afgørelse for så vidt angår denne artikels stk. 2, litra b). Som anført af den forelæggende ret afspejler artikel 13, stk. 3, ganske vist også de principper, der bl.a. er nævnt i 26. betragtning til direktivet. Det fremgår imidlertid ikke af de sagsakter, der er fremlagt for Domstolen, at hovedsagen ligeledes omhandler en lovgivningsmæssig foranstaltning, der udsætter eller begrænser meddelelse af oplysninger til de registrerede som omhandlet i artikel 13, stk. 3.
37 Henset til det ovenstående må det lægges til grund, at den forelæggende ret med sit spørgsmål nærmere bestemt ønsker oplyst, om artikel 4, stk. 1, litra c) og e), i direktiv 2016/680, sammenholdt med dette direktivs artikel 5 og 10, artikel 13, stk. 2, litra b), og artikel 16, stk. 2 og 3, og i lyset af chartrets artikel 7 og 8, skal fortolkes således, at denne bestemmelse er til hinder for en national lovgivning, hvorefter politimyndighederne med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner kan opbevare personoplysninger, bl.a. biometriske og genetiske data, vedrørende personer, der er blevet endeligt domfældt for en forsætlig strafbar handling, som er undergivet offentlig påtale, indtil den registreredes død, herunder i tilfælde af rehabilitering af den registrerede, uden at vedkommende i øvrigt indrømmes ret til sletning af oplysningerne eller, efter omstændighederne, til begrænsning af behandlingen heraf.
38 Indledningsvis bemærkes, at det forelagte spørgsmål vedrører en behandling af personoplysninger, der opfylder formål, som i henhold til artikel 1, stk. 1, i direktiv 2016/680 hører under dette direktivs anvendelsesområde. Det fremgår imidlertid af artikel 27 i lov om indenrigsministeriet, hvortil der er henvist i forelæggelsesafgørelsen, at de oplysninger, der opbevares i politiregistret, ligeledes kan gøres til genstand for behandlinger i forbindelse med beskyttelse af den nationale sikkerhed, som direktivet i henhold til artikel 2, stk. 3, litra a), sammenholdt med 14. betragtning hertil, ikke gælder for. Det tilkommer derfor den forelæggende ret at sikre sig, at opbevaringen af appellanten i hovedsagens oplysninger ikke kan opfylde formål, der hører under beskyttelsen af den nationale sikkerhed, idet det bemærkes, at nævnte artikel 2, stk. 3, litra a), omhandler en undtagelse til anvendelsen af EU-retten, der skal fortolkes strengt (jf. analogt dom af 22.6.2021, Latvijas Republikas Saeima (Strafpoint), C-439/19, EU:C:2021:504, præmis 62 og den deri nævnte retspraksis).
39 Det skal for det første bemærkes, at de grundlæggende rettigheder til respekt for privatlivet og til beskyttelse af personoplysninger, som er sikret ved chartrets artikel 7 og 8, ikke er absolutte rettigheder, men skal ses i sammenhæng med deres funktion i samfundet og afvejes i forhold til andre grundlæggende rettigheder. Enhver begrænsning i udøvelsen af disse grundlæggende rettigheder skal således i overensstemmelse med chartrets artikel 52, stk. 1, være fastlagt i lovgivningen og respektere disse rettigheders væsentligste indhold samt proportionalitetsprincippet. I medfør af sidstnævnte princip kan der kun indføres begrænsninger, såfremt disse er nødvendige og faktisk svarer til mål af almen interesse, der er anerkendt af Unionen, eller et behov for beskyttelse af andres rettigheder og friheder. De skal holdes inden for det strengt nødvendige, og den lovgivning, som indebærer begrænsningerne, skal fastsætte klare og præcise regler, der regulerer rækkevidden og anvendelsen af disse begrænsninger (jf. i denne retning dom af 22.6.2021, Latvijas Republikas Saeima (Strafpoint), C-439/19, EU:C:2021:504, præmis 105 og den deri nævnte retspraksis).
40 Som det nærmere bestemt er fremhævet i 26. betragtning til direktiv 2016/680, er disse krav ikke opfyldt, når det omhandlede mål af almen interesse med rimelighed kan nås lige så godt på en anden måde, som er mindre indgribende i de registreredes rettigheder (jf. analogt dom af 22.6.2021, Latvijas Republikas Saeima (Strafpoint), C-439/19, EU:C:2021:504, præmis 110 og den deri nævnte retspraksis).
41 For det andet skal medlemsstaterne først og fremmest ifølge ordlyden af direktivets artikel 4, stk. 1, litra c), fastsætte bestemmelser om, at personoplysninger skal være tilstrækkelige, relevante og ikke omfatte mere end, hvad der kræves til opfyldelse af de formål, hvortil de behandles. Denne bestemmelse kræver således, at medlemsstaterne overholder princippet om »dataminimering«, som er udtryk for proportionalitetsprincippet (jf. i denne retning dom af 22.6.2021, Latvijas Republikas Saeima (Strafpoint), C-439/19, EU:C:2021:504, præmis 98 og den deri nævnte retspraksis).
42 Det følger heraf, at bl.a. indsamling af personoplysninger i forbindelse med en straffesag og politimyndighedernes opbevaring af disse til de formål, der er fastsat i direktivets artikel 1, stk. 1, ligesom enhver behandling, der er omfattet af direktivets anvendelsesområde, skal overholde disse krav. En sådan opbevaring udgør i øvrigt et indgreb i den grundlæggende ret til respekt for privatlivet og til beskyttelse af personoplysninger, uanset om de opbevarede oplysninger er følsomme, om dette indgreb har medført eventuelle ubehageligheder for de berørte, eller om de lagrede data efterfølgende anvendes (jf. analogt dom af 5.4.2022, Commissioner of An Garda Síochána m.fl., C-140/20, EU:C:2022:258, præmis 44 og den deri nævnte retspraksis).
43 Hvad nærmere bestemt angår spørgsmålet om, hvorvidt det tidsrum, hvor oplysningerne vil blive opbevaret, er forholdsmæssigt, skal medlemsstaterne desuden i henhold til artikel 4, stk. 1, litra e), i direktiv 2016/680 fastsætte bestemmelser om, at oplysningerne skal opbevares på en sådan måde, at det ikke er muligt at identificere de registrerede i et længere tidsrum end det, der er nødvendigt til de formål, hvortil de behandles.
44 I denne forbindelse pålægger direktivets artikel 5 medlemsstaterne at fastsætte bestemmelser om fastsættelse af hensigtsmæssige tidsfrister for sletning af personoplysninger eller for regelmæssig revision af behovet for opbevaring af sådanne oplysninger samt proceduremæssige foranstaltninger, der sikrer, at disse tidsfrister overholdes.
45 Som det fremgår af 26. betragtning til direktiv 2016/680, har denne bestemmelse til formål at sikre, at personoplysningerne i overensstemmelse med kravene i dette direktivs artikel 4, stk. 1, litra e), ikke opbevares i længere tid end nødvendigt. Den overlader det ganske vist til medlemsstaterne at fastsætte hensigtsmæssige frister for det tidsrum, hvor personoplysningerne vil blive opbevaret, og afgøre, om disse frister skal vedrøre sletning af oplysningerne eller regelmæssig revision af behovet for at opbevare dem, forudsat at overholdelsen af fristerne sikres ved tilstrækkelige proceduremæssige foranstaltninger. Den »hensigtsmæssige« karakter af disse tidsfrister kræver imidlertid under alle omstændigheder, at de i overensstemmelse med direktivets artikel 4, stk. 1, litra c) og e), sammenholdt med chartrets artikel 52, stk. 1, efter omstændighederne muliggør sletning af de pågældende oplysninger, såfremt opbevaring af dem ikke længere er nødvendig af hensyn til de formål, der har begrundet behandlingen.
46 Det er navnlig med henblik på at gøre det muligt for de registrerede at efterprøve denne »hensigtsmæssige« karakter og efter omstændighederne anmode om sletning, at det i artikel 13, stk. 2, litra b), og artikel 14, litra d), i direktiv 2016/680 er fastsat, at de registrerede, hvis det er muligt, principielt kan få oplysninger om det tidsrum, hvor personoplysningerne om dem vil blive opbevaret, eller, hvis dette ikke er muligt, de kriterier, der anvendes til at fastlægge dette tidsrum.
47 Dernæst udgør artikel 10 i direktiv 2016/680 en specifik bestemmelse, der regulerer behandlingen af særlige kategorier af personoplysninger, bl.a. biometriske og genetiske data. Denne bestemmelse har til formål at sikre en øget beskyttelse af den registrerede, for så vidt som disse oplysninger som følge af deres særligt følsomme karakter og den sammenhæng, hvori de behandles, således som det fremgår af 37. betragtning til det nævnte direktiv, kan indebære betydelige risici for grundlæggende rettigheder og frihedsrettigheder, såsom retten til respekt for privatliv og retten til beskyttelse af personoplysninger, der er sikret ved chartrets artikel 7 og 8 (dom af 26.1.2023, Ministerstvo na vatreshnite raboti (Politiets registrering af biometriske og genetiske data), C-205/21, EU:C:2023:49, præmis 116 og den deri nævnte retspraksis).
48 Artikel 10 i direktiv 2016/680 fastsætter nærmere bestemt kravet om, at behandling af følsomme oplysninger »kun [må] tillades, når det er strengt nødvendigt«, hvilket krav udgør en strengere betingelse for, at behandlingen af sådanne oplysninger er lovlig, og bl.a. indebærer, at der skal foretages en særlig streng kontrol af overholdelsen af princippet om »dataminimering«, således som dette følger af direktivets artikel 4, stk. 1, litra c), der er udtryk for en specifik anvendelse af dette krav på de nævnte følsomme oplysninger (jf. i denne retning dom af 26.1.2023, Ministerstvo na vatreshnite raboti (Politiets registrering af biometriske og genetiske data), C-205/21, EU:C:2023:49, præmis 117, 122 og 125).
49 Endelig indfører artikel 16, stk. 2, i direktiv 2016/680 en ret til sletning af personoplysninger, hvis behandling overtræder de bestemmelser, der vedtages i henhold til direktivets artikel 4, 8 eller 10, eller hvis disse oplysninger skal slettes for at overholde en retlig forpligtelse, som den dataansvarlige er underlagt.
50 Det følger af artikel 16, stk. 2, at denne ret til sletning bl.a. kan udøves, når opbevaringen af de pågældende personoplysninger – i strid med de bestemmelser i national ret, der gennemfører direktivets artikel 4, stk. 1, litra c) og e), og, efter omstændighederne, artikel 10 – ikke eller ikke længere er nødvendig til opfyldelse af formålene med behandlingen, eller når sletning er påkrævet for at overholde den tidsfrist, der er fastsat herfor i national ret i medfør af samme direktivs artikel 5.
51 I henhold til artikel 16, stk. 3, i direktiv 2016/680 skal der imidlertid i national ret være fastsat bestemmelser om, at den dataansvarlige skal begrænse behandlingen af disse oplysninger i stedet for at slette dem, hvis den registrerede i henhold til denne bestemmelses litra a) bestrider rigtigheden af personoplysningerne, og deres rigtighed eller urigtighed ikke kan konstateres, eller hvis personoplysningerne i henhold til bestemmelsens litra b) skal bevares som bevismiddel.
52 Det følger af det ovenstående, at de bestemmelser i direktiv 2016/680, der er undersøgt i denne doms præmis 41-51, fastsætter en generel ramme, der bl.a. gør det muligt at sikre, at opbevaringen af personoplysninger, og nærmere bestemt varigheden heraf, begrænses til, hvad der er nødvendigt til opfyldelse af de formål, hvortil de opbevares, samtidig med, at det overlades til medlemsstaterne – inden for denne ramme – at afgøre, i hvilke konkrete situationer beskyttelsen af den registreredes grundlæggende rettigheder kræver sletning af disse oplysninger, og hvornår denne sletning skal ske. Som generaladvokaten i det væsentlige har anført i punkt 28 i forslaget til afgørelse, kræver disse bestemmelser derimod ikke, at medlemsstaterne fastsætter absolutte tidsgrænser for opbevaringen af personoplysninger, efter udløbet af hvilke disse oplysninger automatisk skal slettes.
53 I det foreliggende tilfælde fremgår det af sagsakterne for Domstolen, at de personoplysninger, der er registreret i politiregistret i medfør af artikel 68 i lov om indenrigsministeriet, udelukkende opbevares til operationelle efterforskningsformål og nærmere bestemt med henblik på sammenligning med andre oplysninger, der er indsamlet i forbindelse med efterforskning af andre strafbare handlinger.
54 I denne henseende skal det for det første fremhæves, at opbevaring i et politiregister af oplysninger vedrørende personer, som er blevet endeligt domfældt, kan være nødvendig til opfyldelse af de formål, der er anført i den foregående præmis, selv efter at denne domfældelse er blevet slettet i strafferegistret, og dens virkninger efter national ret derfor ophæves. De pågældende personer kan nemlig være involveret i andre strafbare handlinger end dem, de er blevet dømt for, eller de kan modsat blive frikendt ved en sammenligning af data opbevaret af disse myndigheder med data, der indsamles i forbindelse med procedurer vedrørende disse andre strafbare handlinger.
55 En sådan indsamling kan således bidrage til at nå det mål af almen interesse, der er nævnt i 27. betragtning til direktiv 2016/680, hvorefter det med henblik på forebyggelse, efterforskning og retsforfølgning af strafbare handlinger er nødvendigt, at de kompetente myndigheder behandler personoplysninger, der er indsamlet i forbindelse med forebyggelse, efterforskning, afsløring eller retsforfølgning af konkrete strafbare handlinger, i en bredere sammenhæng for derved at få en forståelse af kriminelle handlinger og sammenkoble forskellige strafbare handlinger, som er blevet afsløret (jf. i denne retning dom af 26.1.2023, Ministerstvo na vatreshnite raboti (Politiets registrering af biometriske og genetiske data), C-205/21, EU:C:2023:49, præmis 98).
56 For det andet fremgår det af sagsakterne for Domstolen, at der i politiregistret opbevares de oplysninger om den registrerede, som er omhandlet i den bulgarske lovgivning, med hensyn til identitetspapirer, optagelse af den pågældendes fingeraftryk, foto og udtagning af prøver med henblik på DNA-profilering, hvortil kommer, således som den bulgarske regering har bekræftet i retsmødet, oplysninger om strafbare handlinger begået af den registrerede og dennes domme som følge heraf. Disse forskellige kategorier af oplysninger kan vise sig at være nødvendige med henblik på at efterprøve, om den registrerede er involveret i andre strafbare handlinger end dem, som den pågældende er blevet endeligt dømt for. Følgelig kan de principielt anses for at være tilstrækkelige og relevante til opfyldelse af de formål, hvortil de behandles, som omhandlet i artikel 4, stk. 1, litra c), i direktiv 2016/680.
57 For det tredje skal forholdsmæssigheden af en sådan opbevaring i forhold til formålene hermed vurderes under hensyntagen til også de passende tekniske og organisatoriske foranstaltninger, der er fastsat i national ret, og som skal sikre fortroligheden og sikkerheden af de opbevarede oplysninger med hensyn til behandlinger, der er i strid med kravene i direktiv 2016/680, i overensstemmelse med dette direktivs artikel 20 og 29, og navnlig de foranstaltninger, der er omhandlet i artikel 20, stk. 2, der sikrer, at der kun behandles de personoplysninger, der er nødvendige til opfyldelse af hvert specifikt formål med behandlingen.
58 Hvad for det fjerde angår varigheden af opbevaringen af de i hovedsagen omhandlede personoplysninger fremgår det i det foreliggende tilfælde af anmodningen om præjudiciel afgørelse, at det kun er i tilfælde af en endelig domfældelse af den registrerede for en forsætlig strafbar handling, som er undergivet offentlig påtale, at de nævnte oplysninger opbevares indtil personens død, idet den nationale lovgivning indeholder bestemmelser om sletning af registreringer vedrørende personer, der retsforfølges for en sådan strafbar handling, i andre tilfælde.
59 I denne henseende skal det imidlertid fastslås, at begrebet »forsætlig strafbar handling, som er undergivet offentlig påtale«, har en særlig generel karakter og kan finde anvendelse på et stort antal strafbare handlinger, uanset deres art og grovhed (jf. i denne retning dom af 26.1.2023, Ministerstvo na vatreshnite raboti (Politiets registrering af biometriske og genetiske data), C-205/21, EU:C:2023:49, præmis 129).
60 Som generaladvokaten ligeledes i det væsentlige har anført i punkt 73 og 74 i forslaget til afgørelse, frembyder ikke alle personer, der er endeligt dømt for en strafbar handling omfattet af dette begreb, den samme risiko for involvering i andre strafbare handlinger, som begrunder en ensartet varighed af opbevaringen af oplysninger om dem. I visse tilfælde kan den risiko, som den domfældte udgør, henset til faktorer såsom arten og grovheden af den begåede strafbare handling eller fraværet af tilbagefald, ikke nødvendigvis begrunde, at oplysningerne om den pågældende person bevares i det nationale politiregister, der er oprettet med henblik herpå, indtil personens død. I sådanne tilfælde vil der ikke længere være den nødvendige forbindelse mellem de oplysninger, der opbevares, og det formål, der forfølges (jf. analogt udtalelse 1/15 (PNR-aftalen mellem EU og Canada) af 26.7.2017, EU:C:2017:592, præmis 205). Opbevaringen af oplysningerne vil derfor ikke være i overensstemmelse med det princip om dataminimering, der er fastsat i artikel 4, stk. 1, litra c), i direktiv 2016/680, og vil vare ud over det tidsrum, der kræves til opfyldelse af de formål, hvortil de behandles, i strid med direktivets artikel 4, stk. 1, litra e).
61 Det skal i denne henseende præciseres, således som generaladvokaten i det væsentlige har fremhævet i punkt 70 i forslaget til afgørelse, at en sådan persons rehabilitering – der medfører, at dennes domfældelse slettes i strafferegistret, således som det er sket i hovedsagen – ganske vist ikke i sig selv kan gøre det unødvendigt at opbevare den pågældendes oplysninger i politiregistret, idet dette opfylder andre formål end oversigten over personens tidligere straffe i strafferegistret. Når en sådan rehabilitering – således som det er tilfældet i denne sag – i henhold til de gældende bestemmelser i national strafferet er betinget af, at der ikke er begået en ny forsætlig strafbar handling, som er undergivet offentlig påtale, i en vis periode, efter at straffen er udstået, kan den imidlertid være et indicium for, at den registrerede udgør en mindre betydelig risiko med hensyn til formålene om bekæmpelse af kriminalitet eller opretholdelse af den offentlige orden, og dermed et element, der kan forkorte den varighed af opbevaringen, der er nødvendig.
62 For det femte indebærer proportionalitetsprincippet, der er fastsat i chartrets artikel 52, stk. 1, bl.a. en afvejning mellem vigtigheden af det formål, der forfølges, og alvoren af den begrænsning, der foretages i udøvelsen af de omhandlede grundlæggende rettigheder (jf. i denne retning dom af 22.11.2022, Luxembourg Business Registers, C-37/20 og C-601/20, EU:C:2022:912, præmis 66).
63 I det foreliggende tilfælde omfatter opbevaringen af personoplysninger i det omhandlede politiregister, således som det er anført i denne doms præmis 35, biometriske og genetiske data. Det skal derfor fremhæves, at når der henses til de betydelige risici, som behandlingen af sådanne følsomme oplysninger udgør for de registreredes rettigheder og frihedsrettigheder, navnlig i forbindelse med de opgaver, som de kompetente myndigheder udfører med henblik på de formål, der er nævnt i artikel 1, stk. 1, i direktiv 2016/680, skal den særlige betydning af det formål, der forfølges, vurderes ud fra en række relevante forhold. Sådanne forhold i forbindelse med vurderingen omfatter bl.a. den omstændighed, at behandlingen tjener et konkret formål i forbindelse med forebyggelse af strafbare handlinger eller trusler mod den offentlige sikkerhed, der frembyder en vis grad af alvor, bekæmpelse af sådanne handlinger eller beskyttelse mod sådanne trusler samt de særlige omstændigheder, hvorunder behandlingen foretages (dom af 26.1.2023, Ministerstvo na vatreshnite raboti (Politiets registrering af biometriske og genetiske data), C-205/21, EU:C:2023:49, præmis 127).
64 I denne sammenhæng har Domstolen fastslået, at en national lovgivning, hvorefter systematisk indsamling af biometriske og genetiske data om enhver, der er blevet sigtet for en forsætlig lovovertrædelse, som retsforfølges ex officio, principielt er i strid med det krav om streng nødvendighed, der er fastsat i artikel 10 i direktiv 2016/680 og nævnt i denne doms præmis 48. En sådan lovgivning kan nemlig føre til udifferentieret og generel indsamling af biometriske og genetiske data for størstedelen af de personer, over for hvem der rejses sigtelse (jf. i denne retning dom af 26.1.2023, Ministerstvo na vatreshnite raboti (Politiets registrering af biometriske og genetiske data), C-205/21, EU:C:2023:49, præmis 128 og 129).
65 Den Europæiske Menneskerettighedsdomstol har for sin del fastslået, at den generelle og udifferentierede karakter af beføjelsen til at opbevare fingeraftryk, biologiske prøver og DNA-profiler for personer, der var mistænkt, men ikke dømt for strafbare handlinger, således som fastsat i den nationale lovgivning, der var omhandlet i den pågældende sag for Menneskerettighedsdomstolen, ikke skabte en rimelig balance mellem de modstridende offentlige og private interesser, der var på spil, og at opbevaringen af disse oplysninger derfor udgjorde et uforholdsmæssigt indgreb i sagsøgernes ret til respekt for deres privatliv og ikke kunne anses for nødvendig i et demokratisk samfund, hvorfor et sådant indgreb følgelig udgjorde en tilsidesættelse af artikel 8 i den europæiske konvention til beskyttelse af menneskerettigheder og grundlæggende frihedsrettigheder, undertegnet i Rom den 4. november 1950 (Menneskerettighedsdomstolen, 4.12.2008, S. og Marper mod Det Forenede Kongerige, CE:ECHR:2008:1204JUD003056204, §§ 125 og 126).
66 Opbevaring af biometriske og genetiske data om personer, der allerede er blevet endeligt domfældt, herunder indtil de pågældende personers død, kan ganske vist være strengt nødvendig som omhandlet i artikel 10 i direktiv 2016/680, bl.a. for at gøre det muligt at efterprøve deres eventuelle involvering i andre strafbare handlinger og således retsforfølge og dømme gerningsmændene til disse strafbare handlinger. Der skal nemlig tages hensyn til den betydning, som denne type oplysninger har for strafferetlige efterforskninger, også mange år efter de faktiske omstændigheder, navnlig når de strafbare handlinger udgør alvorlige forbrydelser (jf. i denne retning Menneskerettighedsdomstolen, 13.2.2020, Gaughran mod Det Forenede Kongerige, CE:ECHR:2020:0213JUD004524515, § 93).
67 Opbevaring af biometriske og genetiske data kan imidlertid kun anses for at opfylde kravet om, at en sådan opbevaring kun må tillades, »når det er strengt nødvendigt«, som omhandlet i artikel 10 i direktiv 2016/680, hvis der ved opbevaringen tages hensyn til arten og grovheden af den strafbare handling, der har ført til den endelige domfældelse, eller andre omstændigheder, såsom den særlige sammenhæng, hvori handlingen er begået, dens eventuelle forbindelse med andre igangværende procedurer eller den dømte persons tidligere straffe eller profil. Hvis en national lovgivning, således som den i hovedsagen omhandlede, fastsætter, at biometriske og genetiske data om registrerede i politiregistret i tilfælde af endelig domfældelse opbevares indtil den pågældendes død, er anvendelsesområdet for denne opbevaring, således som det er blevet fastslået i præmis 59 og 60 ovenfor, følgelig for vidtrækkende i forhold til de formål, hvortil disse oplysninger behandles.
68 Hvad for det sjette i første række angår medlemsstaternes forpligtelse i henhold til artikel 5 i direktiv 2016/680 til at fastsætte bestemmelser om fastsættelse af hensigtsmæssige tidsfrister, bemærkes, at en frist – af de grunde, der er anført i denne doms præmis 59, 60 og 67, og henset til kravene i direktivets artikel 4, stk. 1, litra c) og e), og artikel 10 – kun kan anses for »hensigtsmæssig« som omhandlet i artikel 5, bl.a. med hensyn til opbevaring af biometriske og genetiske data om enhver person, der er endeligt domfældt for en forsætlig strafbar handling, som er undergivet offentlig påtale, hvis den tager hensyn til de relevante omstændigheder, der kan gøre en sådan varighed af opbevaringen nødvendig, såsom de omstændigheder, der er nævnt i denne doms præmis 67.
69 Selv om henvisningen i den nationale lovgivning til den registreredes død kan udgøre en »tidsfrist« for sletning af de opbevarede oplysninger som omhandlet i direktivets artikel 5, kan en sådan frist kun anses for at være »hensigtsmæssig« under særlige omstændigheder, som behørigt begrunder dette. Dette er åbenbart ikke tilfældet, når fristen finder generel og udifferentieret anvendelse på enhver person, der er blevet endeligt domfældt.
70 Som anført i denne doms præmis 45 overlader artikel 5 i direktiv 2016/680 det ganske vist til medlemsstaterne at afgøre, om der skal fastsættes frister for sletning af disse oplysninger eller regelmæssig revision af behovet for at opbevare dem. Det fremgår ligeledes af præmis 45, at den »hensigtsmæssige« karakter af fristerne for en sådan regelmæssig revision imidlertid kræver, at disse frister i overensstemmelse med direktivets artikel 4, stk. 1, litra c) og e), sammenholdt med chartrets artikel 52, stk. 1, gør det muligt at opnå sletning af de pågældende oplysninger, såfremt opbevaring af dem ikke længere er nødvendig. Af de grunde, der er anført i den foregående præmis, er et sådant krav imidlertid ikke opfyldt, når den eneste situation, hvori der i henhold til den nationale lovgivning skal foretages sletning af oplysninger om en person, der er endeligt domfældt for en forsætlig strafbar handling, der er undergivet offentlig påtale, er den pågældendes død, således som det er tilfældet i den foreliggende sag.
71 Hvad i anden række angår de garantier, der er fastsat i direktivets artikel 16, stk. 2 og 3, vedrørende betingelserne for retten til sletning og begrænsning af behandling, følger det af denne doms præmis 50 og 51, at disse bestemmelser ligeledes er til hinder for en national lovgivning, der ikke gør det muligt for en person, der er endeligt domfældt for en forsætlig strafbar handling, som er undergivet offentlig påtale, at udøve disse rettigheder.
72 Henset til samtlige ovenstående betragtninger skal det forelagte spørgsmål besvares med, at artikel 4, stk. 1, litra c) og e), i direktiv 2016/680, sammenholdt med dette direktivs artikel 5 og 10, artikel 13, stk. 2, litra b), og artikel 16, stk. 2 og 3, og i lyset af chartrets artikel 7 og 8, skal fortolkes således, at denne bestemmelse er til hinder for en national lovgivning, hvorefter politimyndighederne med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner kan opbevare personoplysninger, bl.a. biometriske og genetiske data, vedrørende personer, der er blevet endeligt domfældt for en forsætlig strafbar handling, som er undergivet offentlig påtale, indtil den registreredes død, herunder i tilfælde af rehabilitering af den registrerede, uden at den dataansvarlige er forpligtet til regelmæssigt at efterprøve, om opbevaringen fortsat er nødvendig, og uden at den registrerede indrømmes ret til sletning af oplysningerne, når opbevaring heraf ikke længere er nødvendig til opfyldelse af de formål, hvortil de er blevet behandlet, eller, efter omstændighederne, til begrænsning af behandlingen heraf.
Sagsomkostninger
73 Da sagens behandling i forhold til hovedsagens parter udgør et led i den sag, der verserer for den forelæggende ret, tilkommer det denne at træffe afgørelse om sagsomkostningerne. Bortset fra de nævnte parters udgifter kan de udgifter, som er afholdt i forbindelse med afgivelse af indlæg for Domstolen, ikke erstattes.
På grundlag af disse præmisser kender Domstolen (Store Afdeling) for ret:
Artikel 4, stk. 1, litra c) og e), i Europa-Parlamentets og Rådets direktiv (EU) 2016/680 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger og om ophævelse af Rådets rammeafgørelse 2008/977/RIA, sammenholdt med dette direktivs artikel 5 og 10, artikel 13, stk. 2, litra b), og artikel 16, stk. 2 og 3, og i lyset af artikel 7 og 8 i Den Europæiske Unions charter om grundlæggende rettigheder,
skal fortolkes således, at
denne bestemmelse er til hinder for en national lovgivning, hvorefter politimyndighederne med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner kan opbevare personoplysninger, bl.a. biometriske og genetiske data, vedrørende personer, der er blevet endeligt domfældt for en forsætlig strafbar handling, som er undergivet offentlig påtale, indtil den registreredes død, herunder i tilfælde af rehabilitering af den registrerede, uden at den dataansvarlige er forpligtet til regelmæssigt at efterprøve, om opbevaringen fortsat er nødvendig, og uden at den registrerede indrømmes ret til sletning af oplysningerne, når opbevaring heraf ikke længere er nødvendig til opfyldelse af de formål, hvortil de er blevet behandlet, eller, efter omstændighederne, til begrænsning af behandlingen heraf.
Underskrifter