UNIONIN TUOMIOISTUIMEN TUOMIO (suuri jaosto)
30 päivänä tammikuuta 2024 (*)
Ennakkoratkaisupyyntö – Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä rikosten torjumista varten – Direktiivi (EU) 2016/680 – 4 artiklan 1 kohdan c ja e alakohta – Tietojen minimointi – Säilyttämisen rajoittaminen – 5 artikla – Asianmukaiset määräajat poistamista tai säilyttämisen tarpeellisuuden säännöllistä tarkistamista varten – 10 artikla – Biometristen ja geneettisten tietojen käsittely – Ehdoton välttämättömyys – 16 artiklan 2 ja 3 kohta – Oikeus poistamiseen – Käsittelyn rajoittaminen – Euroopan unionin perusoikeuskirjan 52 artiklan 1 kohta – Lainvoimaisesti tuomittu ja myöhemmin rehabilitoitu luonnollinen henkilö – Tietojen säilyttämistä kuolemaan saakka koskeva määräaika – Poistamista tai käsittelyn rajoittamista koskevan oikeuden puuttuminen – Oikeasuhteisuus
Asiassa C‑118/22,
jossa on kyse SEUT 267 artiklaan perustuvasta ennakkoratkaisupyynnöstä, jonka Varhoven administrativen sad (ylin hallintotuomioistuin, Bulgaria) on esittänyt 10.1.2022 tekemällään päätöksellä, joka on saapunut unionin tuomioistuimeen 17.2.2022, saadakseen ennakkoratkaisun asiassa
NG
vastaan
Direktor na Glavna direktsia ”Natsionalna politsia” pri Ministerstvo na vatreshnite raboti – Sofia,
jossa asian käsittelyyn osallistuu
Varhovna administrativna prokuratura,
UNIONIN TUOMIOISTUIN (suuri jaosto),
toimien kokoonpanossa: presidentti K. Lenaerts, varapresidentti L. Bay Larsen, jaostojen puheenjohtajat A. Arabadjiev, A. Prechal, K. Jürimäe, N. Piçarra ja O. Spineanu-Matei sekä tuomarit M. Ilešič, J.-C. Bonichot, L. S. Rossi, I. Jarukaitis, A. Kumin, N. Jääskinen, N. Wahl ja D. Gratsias (esittelevä tuomari),
julkisasiamies: P. Pikamäe,
kirjaaja: hallintovirkamies R. Stefanova-Kamisheva,
ottaen huomioon kirjallisessa käsittelyssä ja 7.2.2023 pidetyssä istunnossa esitetyn,
ottaen huomioon huomautukset, jotka sille ovat esittäneet
– NG, edustajaan P. Kuyumdzhiev, advokat
– Bulgarian hallitus, asiamiehinään M. Georgieva, T. Mitova ja E. Petranova,
– Tšekin hallitus, asiamiehinään O. Serdula, M. Smolek ja J. Vláčil,
– Irlanti, asiamiehinään M. Browne, A. Joyce ja M. Tierney, avustajanaan D. Fennelly, BL,
– Espanjan hallitus, asiamiehinään A. Ballesteros Panizo ja J. Rodríguez de la Rúa Puig,
– Alankomaiden hallitus, asiamiehenään A. Hanje,
– Puolan hallitus, asiamiehinään B. Majczyna, D. Łukowiak ja J. Sawicka,
– Euroopan komissio, asiamiehinään A. Bouchagiar, C. Georgieva, H. Kranenborg ja F. Wilman,
kuultuaan julkisasiamiehen 15.6.2023 pidetyssä istunnossa esittämän ratkaisuehdotuksen,
on antanut seuraavan
tuomion
1 Ennakkoratkaisupyyntö koskee luonnollisten henkilöiden suojelusta toimivaltaisten viranomaisten suorittamassa henkilötietojen käsittelyssä rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten sekä näiden tietojen vapaasta liikkuvuudesta ja neuvoston puitepäätöksen 2008/977/YOS kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston direktiivin (EU) 2016/680 5 artiklan, luettuna yhdessä kyseisen direktiivin 13 artiklan 2 kohdan b alakohdan ja 3 kohdan kanssa, tulkintaa.
2 Tämä pyyntö on esitetty asiassa, jossa vastakkain ovat NG ja Direktor na Glavna direktsia ”Natsionalna politsia” pri Ministerstvo na vatreshnite raboti – Sofia (Bulgarian sisäministeriön alaisuudessa toimivan kansallisesta poliisista vastaavan pääosaston johtaja, jäljempänä DGPN) ja jossa on kyse siitä, että DGPN on hylännyt NG:n pyynnön, joka koskee hänen nimensä poistamista kansallisesta rekisteristä, johon Bulgarian poliisiviranomaiset merkitsevät henkilöt, joiden osalta on aloitettu rikosoikeudellinen menettely virallisen syytteen alaisesta tahallisesta rikoksesta (jäljempänä poliisin rekisteri), ja joka perustuu kyseisen henkilön rehabilitointiin sen jälkeen, kun hänet on lainvoimaisesti tuomittu rikoksesta.
Asiaa koskevat oikeussäännöt
Unionin oikeus
3 Direktiivin 2016/680 johdanto-osan 11, 14, 26, 27, 37, 47 ja 104 perustelukappaleessa todetaan seuraavaa:
”(11) On – – asianmukaista kohdistaa [rikosoikeuden alalla tehtävän oikeudellisen yhteistyön ja poliisiyhteistyön aloille] direktiivi, jossa vahvistetaan erityiset säännöt luonnollisten henkilöiden suojelusta toimivaltaisten viranomaisten käsitellessä henkilötietoja rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelua ja tällaisten uhkien ehkäisyä varten, ottaen huomioon näiden toimintojen erityisluonteen. – –
– –
(14) Koska tätä direktiiviä ei ole tarkoitus soveltaa henkilötietojen käsittelyyn, joka suoritetaan sellaisen toiminnan yhteydessä, joka ei kuulu unionin oikeuden soveltamisalaan, kansallista turvallisuutta koskevia toimia – – ei saisi pitää tämän direktiivin soveltamisalaan kuuluvina.
– –
(26) – – Sen vuoksi olisi – – varmistettava, että henkilötietoja ei kerätä liikaa ja että niitä säilytetään ainoastaan niin kauan kuin on tarpeen tietojenkäsittelyn tarkoitusten toteuttamista varten. Henkilötietoja olisi käsiteltävä vain jos käsittelyn tarkoitusta ei voida kohtuullisesti toteuttaa muilla keinoin. Rekisterinpitäjän olisi asetettava määräajat henkilötietojen poistoa tai niiden säilyttämisen tarpeellisuuden säännöllistä tarkistusta varten, jotta voidaan varmistaa, ettei tietoja säilytetä pidempään kuin on tarpeen. – –
(27) Rikosten ennalta estäminen, tutkiminen ja niistä syyttäminen edellyttävät, että toimivaltaiset viranomaiset voivat käsitellä tiettyjen rikosten ennalta estämisen, tutkimisen, paljastamisen tai rikoksiin liittyvien syytetoimien yhteydessä kerättyjä henkilötietoja myös muissa yhteyksissä ymmärtääkseen rikollista toimintaa ja havaitakseen yhteyksiä selvitettävien rikosten välillä.
– –
(37) Henkilötiedot, jotka ovat erityisen arkaluonteisia perusoikeuksien ja ‑vapauksien kannalta, ansaitsevat erityistä suojelua, koska niiden käsittelyn asiayhteys voisi aiheuttaa huomattavia riskejä perusoikeuksille ja ‑vapauksille. – –
– –
(47) – – Luonnollisella henkilöllä olisi oltava myös oikeus rajoittaa tietojen käsittelyä, – – jos henkilötiedot on säilytettävä todistelua varten. Erityisesti henkilötietojen käsittelyä olisi rajoitettava sen sijaan, että henkilötiedot poistetaan, jos erityistapauksessa on perusteltua syytä uskoa, että niiden poistaminen haittaisi rekisteröidyn oikeutettuja etuja. Tällaisessa tapauksessa rajoitettuja tietoja saisi käsitellä ainoastaan siinä tarkoituksessa, joka esti niiden poistamisen. – –
– –
(104) Tässä direktiivissä kunnioitetaan perusoikeuksia ja otetaan huomioon [Euroopan unionin perusoikeuskirjassa (jäljempänä perusoikeuskirja)] tunnustetut periaatteet sellaisina kuin ne on vahvistettu Euroopan unionin toiminnasta tehdyssä sopimuksessa, erityisesti oikeus yksityis- ja perhe-elämän kunnioittamiseen, oikeus henkilötietojen suojaan sekä oikeus tehokkaisiin oikeussuojakeinoihin ja oikeudenmukaiseen oikeudenkäyntiin. Näille oikeuksille asetetut rajoitukset ovat perusoikeuskirjan 52 artiklan 1 kohdan mukaisia, koska rajoitukset ovat välttämättömiä, jotta voidaan saavuttaa unionin tunnustamat yleisen edun mukaiset tavoitteet tai suojella muiden henkilöiden oikeuksia ja vapauksia.”
4 Kyseisen direktiivin 1 artiklan, jonka otsikko on ”Kohde ja tavoitteet”, 1 kohdassa säädetään seuraavaa:
”Tässä direktiivissä vahvistetaan säännöt luonnollisten henkilöiden suojelulle toimivaltaisten viranomaisten suorittamassa henkilötietojen käsittelyssä rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelua ja tällaisten uhkien ehkäisyä varten.”
5 Direktiivin 2 artiklan, jonka otsikko on ”Soveltamisala”, 1 ja 3 kohdassa säädetään seuraavaa:
”1. Tätä direktiiviä sovelletaan toimivaltaisten viranomaisten 1 artiklan 1 kohdassa säädettyjä tarkoituksia varten suorittamaan henkilötietojen käsittelyyn.
– –
3. Tätä direktiiviä ei sovelleta henkilötietojen käsittelyyn,
a) jota suoritetaan sellaisen toiminnan yhteydessä, joka ei kuulu unionin oikeuden soveltamisalaan;
– –”
6 Kyseisen direktiivin 3 artiklassa, jonka otsikko on ”Määritelmät”, säädetään seuraavaa:
”Tässä direktiivissä tarkoitetaan
– –
2) ’käsittelyllä’ toimintoa tai toimintoja, joita kohdistetaan henkilötietoihin tai henkilötietoja sisältäviin tietojoukkoihin – – kuten tietojen – – säilyttämistä;
– –”
7 Direktiivin 2016/680 4 artiklan, jonka otsikko on ”Henkilötietojen käsittelyä koskevat periaatteet”, 1 kohdassa säädetään seuraavaa:
”Jäsenvaltioiden on säädettävä siitä, että
– –
c) henkilötiedot ovat asianmukaisia ja olennaisia eivätkä ne ole liian laajoja niihin tarkoituksiin, joita varten niitä käsitellään;
– –
e) henkilötiedot säilytetään muodossa, josta rekisteröity on tunnistettavissa ainoastaan niin kauan kuin on tarpeen henkilötietojen käsittelytarkoitusten toteuttamista varten;
– –”
8 Kyseisen direktiivin 5 artiklassa, jonka otsikko on ”Säilyttämisen ja tarkistamisen määräajat ”, säädetään seuraavaa:
”Jäsenvaltioiden on säädettävä siitä, että henkilötietojen poistamista tai niiden säilyttämisen tarpeellisuuden säännöllistä tarkistamista varten vahvistetaan asianmukaiset määräajat. Määräaikojen noudattaminen on varmistettava menettelysäännöillä.”
9 Direktiivin 2016/680 10 artiklassa, jonka otsikko on ”Erityisiä henkilötietoryhmiä koskeva käsittely”, säädetään seuraavaa:
”– – Geneettisien tietojen [ja] luonnollisen henkilön yksiselitteiseen tunnistamiseen tarkoitettujen biometristen tietojen – – käsittely sallitaan vain, jos se on ehdottoman välttämätöntä ja edellyttäen, että rekisteröidyn oikeuksia ja vapauksia koskevat asianmukaiset suojatoimet on toteutettu – –”
10 Direktiivin 13 artiklan, jonka otsikko on ”Rekisteröidyn saataville asetettavat tai hänelle annettavat tiedot”, 2 kohdassa säädetään, että kyseisen artiklan 1 kohdassa tarkoitettujen tietojen lisäksi jäsenvaltioiden on säädettävä laissa, että rekisterinpitäjä antaa erityistapauksissa rekisteröidylle kyseisessä 2 kohdassa luetellut tiedot, jotta hänen olisi mahdollista käyttää oikeuksiaan. Näihin lisätietoihin kuuluvat muun muassa kyseisen 2 kohdan b alakohdassa mainitut henkilötietojen säilytysaika tai, jos se ei ole mahdollista, tämän ajan määrittämiskriteerit. Direktiivin 2016/680 13 artiklan 3 kohdassa esitetään lisäksi syyt, joiden vuoksi jäsenvaltiot voivat hyväksyä lainsäädäntötoimenpiteitä, joilla viivytetään, rajoitetaan tai jätetään kokonaan tekemättä kyseisen artiklan 2 kohdan mukainen rekisteröidylle ilmoittaminen.
11 Direktiivin 2016/680 14 artiklassa, jonka otsikko on ”Rekisteröidyn oikeus saada pääsy henkilötietoihin”, säädetään seuraavaa:
”Jollei 15 artiklasta muuta johdu, jäsenvaltioiden on säädettävä rekisteröidyn oikeudesta saada rekisterinpitäjältä vahvistus siitä, että häntä koskevia henkilötietoja käsitellään tai että niitä ei käsitellä, ja jos näitä henkilötietoja käsitellään, oikeus saada pääsy henkilötietoihin sekä seuraavat tiedot:
– –
d) mahdollisuuksien mukaan henkilötietojen suunniteltu säilytysaika, tai jos se ei ole mahdollista, tämän ajan määrittämiskriteerit;
– –”
12 Kyseisen direktiivin 16 artiklan, jonka otsikko on ”Oikeus henkilötietojen oikaisemiseen tai poistamiseen sekä käsittelyn rajoittamiseen”, 2 ja 3 kohdassa säädetään seuraavaa:
”2. Jäsenvaltioiden on vaadittava, että rekisterinpitäjä poistaa henkilötiedot ilman aiheetonta viivytystä[,] ja säädettävä rekisteröidyn oikeudesta saada rekisterinpitäjä poistamaan rekisteröityä koskevat henkilötiedot ilman aiheetonta viivytystä, jos tietojen käsittely rikkoo 4, 8 tai 10 artiklan nojalla annettuja säännöksiä tai jos henkilötiedot on poistettava rekisterinpitäjän lakisääteisen velvoitteen noudattamiseksi.
3. Poistamisen sijasta rekisterinpitäjän on rajoitettava käsittelyä, jos
a) rekisteröity kiistää tietojen paikkansapitävyyden eikä tietojen paikkansapitävyyttä tai virheellisyyttä voida todentaa; tai
b) henkilötiedot on säilytettävä todistelua varten;
– –”
13 Direktiivin 20 artiklan, jonka otsikko on ”Sisäänrakennettu ja oletusarvoinen tietosuoja”, mukaan jäsenvaltioiden on säädettävä siitä, että rekisterinpitäjä toteuttaa asianmukaiset tekniset ja organisatoriset toimenpiteet direktiivin vaatimusten täyttämiseksi ja rekisteröityjen oikeuksien suojaamiseksi ja erityisesti sen varmistamiseksi, että oletusarvoisesti käsitellään vain käsittelyn kunkin erityisen tarkoituksen kannalta tarpeellisia henkilötietoja.
14 Direktiivin 2016/680 29 artiklan, jonka otsikko on ”Käsittelyn turvallisuus”, 1 kohdassa säädetään seuraavaa:
”Jäsenvaltioiden on säädettävä siitä, että rekisterinpitäjä ja henkilötietojen käsittelijä, ottaen huomioon uusimman tekniikan ja toteuttamiskustannusten, käsittelyn luonteen, laajuuden, asiayhteyden ja tarkoitusten sekä luonnollisen henkilön oikeuksiin ja vapauksiin kohdistuvan todennäköisyydeltään ja vakavuudeltaan vaihtelevan riskin, toteuttaa asianmukaiset tekniset ja organisatoriset toimenpiteet varmistaakseen riskiä vastaavan turvallisuustason varsinkin 10 artiklassa tarkoitettujen erityisten henkilötietoryhmien osalta.”
Bulgarian oikeus
Rikoskoodeksi
15 Rikoskoodeksin (Nakazatelen kodeks; DV nro 26, 2.4.1968) 82 §:n 1 momentissa, sellaisena kuin sitä sovelletaan pääasiassa, säädetään seuraavaa:
”Rangaistusta ei panna täytäntöön, kun on kulunut
1. 20 vuotta, jos rangaistus on elinkautinen vankeus ilman mahdollisuutta rangaistuksen lieventämiseen tai elinkautinen vankeusrangaistus
2. 15 vuotta, jos rangaistukseksi on säädetty yli kymmenen vuotta vankeutta
3. 10 vuotta, jos rangaistus on 3–10 vuotta vankeutta
4. 5 vuotta, jos rangaistus on alle 3 vuotta vankeutta, ja
5. 2 vuotta kaikissa muissa tapauksissa.”
16 Rikoskoodeksin 85 §:n 1 momentissa säädetään seuraavaa:
”Rehabilitaatiolla poistetaan tuomio ja mitätöidään tuomioon itseensä lain mukaan liittyvät vaikutukset tulevaisuuden osalta, jollei laissa tai asetuksessa toisin säädetä.”
17 Kyseisen koodeksin 88a §:ssä säädetään seuraavaa:
”Jos 82 §:n 1 momentissa tarkoitettua määräaikaa vastaava aika on kulunut siitä, kun rangaistus on suoritettu, eikä tuomittu ole tehnyt uutta virallisen syytteen alaista tahallista rikosta, josta on tuomittava vankeusrangaistukseen, tuomio ja sen seuraukset poistetaan muussa laissa tai asetuksessa säädetyistä säännöksistä huolimatta.”
Sisäministeriöstä annettu laki
18 Sisäministeriöstä annetun lain (Zakon za Ministerstvo na vatreshnite raboti; DV nro 53, 27.6.2014), sellaisena kuin sitä sovelletaan pääasiassa (jäljempänä sisäministeriöstä annettu laki), 26 §:ssä säädetään seuraavaa:
”(1) Käsitellessään henkilötietoja kansallisen turvallisuuden suojelemiseen, rikollisuuden torjumiseen, yleisen järjestyksen ylläpitämiseen ja rikosoikeudellisten menettelyjen toteuttamiseen liittyvän toiminnan yhteydessä sisäministeriön virkamiehet
– –
3. voivat käsitellä kaikkia tarvittavia henkilötietoryhmiä
– –
(2) Sisäministeri vahvistaa edellä 1 momentissa tarkoitettujen tietojen säilyttämistä tai tietojen säilyttämisen tarpeellisuuden säännöllistä tarkistamista koskevat määräajat. Kyseiset tiedot voidaan poistaa myös tuomioistuimen toteuttaman toimen tai henkilötietojen suojasta vastaavan lautakunnan päätöksen nojalla.”
19 Sisäministeriöstä annetun lain 27 §:ssä säädetään seuraavaa:
”Tietoja, jotka ovat peräisin henkilöiden merkitsemisestä poliisin rekisteriin 68 §:n perusteella, käytetään ainoastaan kansallisen turvallisuuden suojelemiseen, rikollisuuden torjumiseen ja yleisen järjestyksen ylläpitämiseen.”
20 Kyseisen lain 68 §:ssä säädetään seuraavaa:
”(1) Poliisiviranomaiset merkitsevät henkilöt, joiden osalta on aloitettu esitutkinta virallisen syytteen alaisesta tahallisesta rikoksesta, poliisin rekisteriin. Tutkintaviranomaisten on toteutettava tarvittavat toimenpiteet poliisiviranomaisten tekemää rekisterimerkintää varten.
(2) Poliisin rekisteriin merkitseminen on edellä 1 momentissa tarkoitettujen henkilöiden henkilötietojen käsittelyn yksi muoto, johon sovelletaan tämän lain mukaisia edellytyksiä.
(3) Kun poliisiviranomaiset merkitsevät henkilön poliisin rekisteriin, ne
1. keräävät Bulgarian henkilöasiakirjoja koskevan lain 18 §:ssä luetellut [henkilötiedot]
2. ottavat rekisteröitävän digitaaliset sormenjäljet ja valokuvaavat hänet
3. ottavat näytteen henkilön DNA-profiilin määrittämiseksi.
– –
(6) Poliisin rekisterissä oleva merkintä poistetaan henkilötietojen rekisterinpitäjän tai tämän valtuuttaman virkamiehen kirjallisesta määräyksestä, viran puolesta tai rekisteröidyn esittämästä perustellusta kirjallisesta pyynnöstä, jos
1. rekisterimerkintä on tehty lainvastaisesti
2. rikosoikeudellinen menettely raukeaa, ellei kyse ole [rikosprosessikoodeksin (Nakazatelno-protsesualen kodeks)] 24 §:n 3 momentissa tarkoitetusta tilanteesta
3. rikosasiassa on annettu vapauttava tuomio
4. henkilö on vapautettu rikosoikeudellisesta vastuusta, ja hänelle on määrätty hallinnollinen seuraamus
5. henkilö on kuollut, jolloin hänen perillisensä voivat pyytää merkinnän poistamista.
– –”
Pääasia ja ennakkoratkaisukysymys
21 NG merkittiin poliisin rekisteriin sisäministeriöstä annetun lain 68 §:n nojalla perätöntä lausumaa, joka on rikoskoodeksin 290 §:n 1 momentissa säädetty rikos, koskevassa tutkintamenettelyssä. Kyseisen tutkintamenettelyn päätteeksi NG:tä vastaan nostettiin syyte ja hänet todettiin syylliseksi tähän rikokseen ja tuomittiin yhden vuoden ehdolliseen vankeusrangaistukseen 28.6.2016 annetulla tuomiolla, joka pysytettiin muutoksenhaussa 2.12.2016 annetulla tuomiolla. Tämän rangaistuksen suoritettuaan NG rehabilitoitiin 14.3.2020 rikoskoodeksin 82 §:n 1 momentin ja 88a §:n, kun niitä sovelletaan yhdessä, nojalla.
22 Tämän rehabilitoinnin perusteella NG esitti 15.7.2020 sisäministeriön toimivaltaiselle alueelliselle viranomaiselle pyynnön hänen merkintänsä poistamiseksi poliisin rekisteristä.
23 DGPN hylkäsi tämän pyynnön 2.9.2020 tekemällään päätöksellä, koska se katsoi, että lainvoimainen rikostuomio ei kuulu edes rehabilitaation tapauksessa niihin poliisin rekisteriin tehdyn merkinnän poistamista koskeviin perusteisiin, jotka on lueteltu tyhjentävästi sisäministeriöstä annetun lain 68 §:n 6 momentissa.
24 Administrativen sad Sofia grad (Sofian kaupungin hallintotuomioistuin, Bulgaria) hylkäsi NG:n kyseisestä DGPN:n päätöksestä nostaman kanteen 2.2.2021 antamallaan tuomiolla olennaisilta osin samoista syistä kuin DGPN.
25 NG haki muutosta ennakkoratkaisua pyytäneeltä tuomioistuimelta eli Varhoven administrativen sadilta (ylin hallintotuomioistuin, Bulgaria). Kyseisen valituksen pääasiallisena valitusperusteena on sen direktiivin 2016/680 5, 13 ja 14 artiklasta hänen mielestään ilmenevän periaatteen noudattamatta jättäminen, jonka mukaan henkilötietojen säilyttämiseen perustuva henkilötietojen käsittely ei voi kestää loputtomiin. NG:n mukaan näin on kuitenkin tosiasiallisesti silloin, kun rehabilitaatiotilanteessa sovellettavan, poliisin rekisteriin tehdyn merkinnän poistamista koskevan perusteen puuttuessa rekisteröity ei voi koskaan saada poistetuiksi henkilötietoja, jotka on kerätty sen rikoksen yhteydessä, josta hänet on lainvoimaisesti tuomittu, kun hän on suorittanut rangaistuksensa ja hänet on tällä tavalla rehabilitoitu.
26 Ennakkoratkaisua pyytänyt tuomioistuin huomauttaa tältä osin ensinnäkin, että poliisin rekisteriin merkitseminen on henkilötietojen käsittelyä direktiivin 2016/680 1 artiklan 1 kohdassa säädettyjä tarkoituksia varten ja se kuuluu näin ollen direktiivin soveltamisalaan.
27 Se esittää toiseksi, että rehabilitaatio ei kuulu niihin poliisin rekisteriin tehdyn merkinnän poistamista koskeviin perusteisiin, jotka luetellaan tyhjentävästi sisäministeriöstä annetun lain 68 §:n 6 momentissa, ja ettei mitään muuta näistä perusteista voida soveltaa tässä tapauksessa, joten rekisteröidyn on mahdotonta saada merkintäänsä poistettua tästä rekisteristä tällaisessa tilanteessa.
28 Ennakkoratkaisua pyytänyt tuomioistuin toteaa kolmanneksi, että direktiivin 2016/680 johdanto-osan 26 perustelukappaleessa viitataan takeisiin sen varmistamiseksi, että tietoja ei kerätä liikaa ja että niitä säilytetään ainoastaan niin kauan kuin on tarpeen tietojenkäsittelyn tarkoitusten toteuttamista varten, ja todetaan, että rekisterinpitäjän on asetettava määräajat henkilötietojen poistoa tai niiden säilyttämisen tarpeellisuuden säännöllistä tarkistusta varten. Se päättelee lisäksi kyseisen direktiivin johdanto-osan 34 perustelukappaleesta, että näiden tietojen rajoittamisen, poistamisen tai tuhoamisen olisi kuuluttava direktiivin 1 artiklan 1 kohdassa mainittuihin tarkoituksiin suoritettuun käsittelyyn. Sen mukaan nämä periaatteet ilmenevät kyseisen direktiivin 5 artiklassa sekä 13 artiklan 2 ja 3 kohdassa.
29 Ennakkoratkaisua pyytäneellä tuomioistuimella on tältä osin epäilyjä siitä, ovatko edellisessä kohdassa mainitut tavoitteet esteenä kansalliselle lainsäädännölle, joka johtaa siihen, että toimivaltaisilla viranomaisilla on ”käytännössä rajoittamaton oikeus” käsitellä tietoja direktiivin 2016/680 1 artiklan 1 kohdassa säädettyjä tarkoituksia varten, ja siihen, että rekisteröity menettää oikeutensa tietojensa käsittelyn rajoittamiseen tai niiden poistamiseen.
30 Tässä tilanteessa Varhoven administrativen sad päätti lykätä asian käsittelyä ja esittää unionin tuomioistuimelle seuraavan ennakkoratkaisukysymyksen:
”Voidaanko [direktiivin 2016/680] 5 artiklaa, luettuna yhdessä 13 artiklan 2 kohdan b alakohdan ja 3 kohdan kanssa, tulkita niin, että tulkinta on esteenä sellaisille kansallisille lainsäädäntötoimille, jotka johtavat siihen, että toimivaltaisilla viranomaisilla on käytännössä rajoittamaton oikeus käsitellä henkilötietoja rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten, ja/tai siihen, että rekisteröity menettää oikeutensa tietojensa käsittelyn rajoittamiseen tai niiden poistamiseen tai tuhoamiseen?”
Ennakkoratkaisukysymyksen tarkastelu
31 Vakiintuneen oikeuskäytännön mukaan kansallisten tuomioistuinten ja unionin tuomioistuimen välille SEUT 267 artiklalla luodussa yhteistyömenettelyssä unionin tuomioistuimen tehtävänä on antaa kansalliselle tuomioistuimelle hyödyllinen vastaus, jonka perusteella kansallinen tuomioistuin voi ratkaista siinä vireillä olevan asian. Unionin tuomioistuimen on tätä silmällä pitäen tarvittaessa muotoiltava sille esitetyt kysymykset uudelleen. Unionin tuomioistuin saattaa myös joutua ottamaan huomioon sellaisia unionin oikeussääntöjä, joihin kansallinen tuomioistuin ei ole ennakkoratkaisukysymyksessään viitannut (tuomio 15.7.2021, Ministrstvo za obrambo, C‑742/19, EU:C:2021:597, 31 kohta oikeuskäytäntöviittauksineen).
32 Nyt käsiteltävässä asiassa ennakkoratkaisua pyytäneen tuomioistuimen kysymyksen taustalla on se, että – kuten ennakkoratkaisupyynnöstä ja Bulgarian hallituksen unionin tuomioistuimessa pidetyssä istunnossa esittämistä tiedoista ilmenee – yhtäkään niistä poliisin rekisteriin sisältyvien henkilötietojen poistamisen oikeuttavista perusteista, jotka on lueteltu tyhjentävästi sisäministeriöstä annetussa laissa, ei voida soveltaa pääasiassa kyseessä olevassa tilanteessa, jossa henkilö on lainvoimaisesti tuomittu, ja tämä pätee myös hänen rehabilitoimisensa jälkeen, joten kyseiset tiedot säilytetään tässä rekisterissä ja viranomaiset, joilla on pääsy niihin, voivat käsitellä niitä ilman mitään muuta ajallista rajoitusta kuin kyseisen henkilön kuolema.
33 Tältä osin on aluksi todettava, että ennakkoratkaisupyynnöstä – etenkin tämän tuomion 27 kohdassa tiivistetysti esitetyistä seikoista – ja itse ennakkoratkaisukysymyksen sanamuodosta ilmenee, että ennakkoratkaisua pyytänyt tuomioistuin pohtii erityisesti pääasiassa kyseessä olevan kansallisen säännöstön yhteensopivuutta suhteellisuusperiaatteen kanssa. Kuten direktiivin 2016/680 johdanto-osan 104 perustelukappaleessa korostetaan, tällä direktiivillä käyttöön otettuja rajoituksia perusoikeuskirjan 8 artiklassa määrättyyn henkilötietojen suojaa koskevaan oikeuteen sekä perusoikeuskirjan 7 ja 47 artiklassa suojattuihin yksityis- ja perhe-elämän kunnioittamista sekä tehokkaita oikeussuojakeinoja ja puolueetonta tuomioistuinta koskeviin oikeuksiin on tulkittava perusoikeuskirjan 52 artiklan 1 kohdan vaatimusten mukaisesti, ja näihin vaatimuksiin kuuluu kyseisen periaatteen noudattaminen.
34 Tämän jälkeen ennakkoratkaisua pyytänyt tuomioistuin viittaa kysymyksessään perustellusti mainitun direktiivin 5 artiklaan, joka koskee asianmukaisia määräaikoja henkilötietojen poistamista tai näiden tietojen säilyttämisen tarpeellisuuden säännöllistä tarkistamista varten. Koska mainittu 5 artikla liittyy läheisesti sekä kyseisen direktiivin 4 artiklan 1 kohdan c ja e alakohtaan että sen 16 artiklan 2 ja 3 kohtaan, ennakkoratkaisukysymyksen on ymmärrettävä koskevan myös näitä kumpaakin säännöstä.
35 Koska pääasiassa kyseessä olevassa kansallisessa lainsäädännössä säädetään niin ikään muun muassa sellaisten biometristen ja geneettisten tietojen säilyttämisestä, jotka kuuluvat erityisiin henkilötietoryhmiin, joiden käsittelyä säännellään erityisesti direktiivin 2016/680 10 artiklassa, on katsottava, että esitetty kysymys koskee myös tämän säännöksen tulkintaa.
36 Lopuksi on todettava, että direktiivin 2016/680 13 artiklan tulkinnan merkityksellisyys ilmenee ennakkoratkaisupyynnöstä selvästi ainoastaan sen 2 kohdan b alakohdan osalta. Kuten ennakkoratkaisua pyytänyt tuomioistuin huomauttaa, 13 artikla 3 kohta kuvastaa tosin myös muun muassa kyseisen direktiivin johdanto-osan 26 perustelukappaleessa esitettyjä periaatteita. Unionin tuomioistuimelle toimitetusta asiakirja-aineistosta ei kuitenkaan ilmene, että pääasiassa olisi kyse myös kyseisessä 3 kohdassa tarkoitetusta lainsäädäntötoimenpiteestä, jolla viivytetään tai rajoitetaan rekisteröidylle ilmoittamista.
37 Edellä esitetyn perusteella on katsottava, että ennakkoratkaisua pyytänyt tuomioistuin tiedustelee kysymyksellään lähinnä, onko direktiivin 2016/680 4 artiklan 1 kohdan c ja e alakohtaa, luettuna yhdessä sen 5 ja 10 artiklan, 13 artiklan 2 kohdan b alakohdan ja 16 artiklan 2 ja 3 kohdan kanssa sekä perusoikeuskirjan 7 ja 8 artiklan valossa, tulkittava siten, että se on esteenä kansalliselle lainsäädännölle, jonka mukaan poliisiviranomaisten on säilytettävä rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten henkilötietoja ja etenkin biometrisiä ja geneettisiä tietoja henkilöistä, joiden osalta on annettu lainvoimainen rikostuomio virallisen syytteen alaisesta tahallisesta rikoksesta, asianomaisen henkilön kuolemaan saakka, myös silloin, kun hänet on rehabilitoitu, antamatta hänelle myöskään oikeutta kyseisten tietojen poistamiseen tai tarvittaessa niiden käsittelyn rajoittamiseen.
38 Aluksi on huomautettava, että esitetty kysymys koskee henkilötietojen käsittelyä tarkoituksiin, jotka kuuluvat direktiivin 2016/680 1 artiklan 1 kohdan mukaan tämän direktiivin soveltamisalaan. Sisäasiainministeriöstä annetun lain 27 §:stä, johon ennakkoratkaisupyynnössä viitataan, ilmenee kuitenkin, että poliisin rekisterissä säilytettyjä tietoja voidaan käsitellä myös suojeltaessa kansallista turvallisuutta; direktiiviä ei kuitenkaan sovelleta sen 2 artiklan 3 kohdan a alakohdan, luettuna sen johdanto-osan 14 perustelukappaleen valossa, mukaan tällaiseen käsittelyyn. Ennakkoratkaisua pyytäneen tuomioistuimen on siis varmistuttava siitä, ettei ole niin, että pääasian kantajan tietoja säilytetään mahdollisesti kansallisen turvallisuuden suojelemiseen liittyviin tarkoituksiin, kun otetaan huomioon, että tämä 2 artiklan 3 kohdan a alakohta koskee unionin oikeuden soveltamiseen tehtävää poikkeusta, jota on tulkittava suppeasti (ks. analogisesti tuomio 22.6.2021, Latvijas Republikas Saeima (Liikennerikkomuspisteet), C‑439/19, EU:C:2021:504, 62 kohta oikeuskäytäntöviittauksineen).
39 Ensimmäiseksi on muistutettava, etteivät yksityiselämän kunnioittamista ja henkilötietojen suojaa koskevat perusoikeudet, jotka taataan perusoikeuskirjan 7 ja 8 artiklassa, ole ehdottomia oikeuksia, vaan ne on suhteutettava niiden tehtävään yhteiskunnassa ja saatettava tasapainoon muiden perusoikeuksien kanssa. Perusoikeuskirjan 52 artiklan 1 kohdan mukaan näiden perusoikeuksien käyttämistä voidaan rajoittaa ainoastaan lailla sekä kyseisten perusoikeuksien keskeistä sisältöä kunnioittaen ja suhteellisuusperiaatetta noudattaen. Viimeksi mainitun periaatteen mukaisesti rajoituksia voidaan tehdä ainoastaan, jos ne ovat välttämättömiä ja vastaavat tosiasiallisesti unionin tunnustamia yleisen edun mukaisia tavoitteita tai tarvetta suojella muiden henkilöiden oikeuksia ja vapauksia. Rajoitukset on toteutettava täysin välttämättömän rajoissa ja kyseessä olevat rajoitukset sisältävässä säännöstössä on säädettävä selvistä ja täsmällisistä näiden rajoitusten laajuutta ja soveltamista koskevista säännöistä (ks. vastaavasti tuomio 22.6.2021, Latvijas Republikas Saeima (Liikennerikkomuspisteet), C‑439/19, EU:C:2021:504, 105 kohta oikeuskäytäntöviittauksineen).
40 Kuten direktiivin 2016/680 johdanto-osan 26 perustelukappaleessa olennaisilta osin korostetaan, nämä vaatimukset eivät täyty, jos asetettu yleisen edun mukainen tavoite voidaan kohtuudella saavuttaa yhtä tehokkaasti muilla rekisteröityjen perusoikeuksia vähemmän rajoittavilla keinoilla (ks. analogisesti tuomio 22.6.2021, Latvijas Republikas Saeima (Liikennerikkomuspisteet), C‑439/19, EU:C:2021:504, 110 kohta oikeuskäytäntöviittauksineen).
41 Toiseksi on aluksi todettava, että direktiivin 2016/680 4 artiklan 1 kohdan c alakohdan mukaan jäsenvaltioiden on säädettävä siitä, että henkilötiedot ovat asianmukaisia ja olennaisia eivätkä ne ole liian laajoja niihin tarkoituksiin, joita varten niitä käsitellään. Tässä säännöksessä edellytetään siten, että jäsenvaltiot noudattavat ”tietojen minimoinnin” periaatetta, joka on ilmaus suhteellisuusperiaatteesta (ks. vastaavasti tuomio 22.6.2021, Latvijas Republikas Saeima (Liikennerikkomuspisteet), C‑439/19, EU:C:2021:504, 98 kohta oikeuskäytäntöviittauksineen).
42 Tästä seuraa, että muun muassa kerättäessä henkilötietoja rikosoikeudellisen menettelyn yhteydessä ja poliisiviranomaisten säilyttäessä niitä kyseisen direktiivin 1 artiklan 1 kohdassa mainittuja tarkoituksia varten on noudatettava näitä vaatimuksia, kuten missä tahansa tämän direktiivin soveltamisalaan kuuluvassa käsittelyssä. Tällainen säilyttäminen merkitsee lisäksi puuttumista yksityiselämän kunnioittamista ja henkilötietojen suojaa koskeviin perusoikeuksiin riippumatta siitä, ovatko säilytetyt tiedot arkaluonteisia, onko asianomaisille mahdollisesti aiheutunut haittaa tästä puuttumisesta tai käytetäänkö säilytettyjä tietoja myöhemmin (ks. analogisesti tuomio 5.4.2022, Commissioner of An Garda Síochána ym., C‑140/20, EU:C:2022:258, 44 kohta oikeuskäytäntöviittauksineen).
43 Siltä osin kuin on kyse erityisesti henkilötietojen säilytysajan oikeasuhteisuudesta on lisäksi todettava, että jäsenvaltioiden on direktiivin 2016/680 4 artiklan 1 kohdan e alakohdan nojalla säädettävä siitä, että henkilötiedot säilytetään muodossa, josta rekisteröity on tunnistettavissa ainoastaan niin kauan kuin on tarpeen henkilötietojen käsittelytarkoitusten toteuttamista varten.
44 Tässä yhteydessä jäsenvaltiot velvoitetaan mainitun direktiivin 5 artiklassa vahvistamaan asianmukaiset määräajat henkilötietojen poistamista tai niiden säilyttämisen tarpeellisuuden säännöllistä tarkistamista varten sekä menettelysäännöt, joilla varmistetaan näiden määräaikojen noudattaminen.
45 Kuten saman direktiivin johdanto-osan 26 perustelukappaleessa todetaan, tällä säännöksellä pyritään kyseisen direktiivin 4 artiklan 1 kohdan e alakohdan vaatimusten mukaisesti varmistamaan, ettei henkilötietoja säilytetä pidempään kuin on tarpeen. Siinä jätetään tosin jäsenvaltioiden tehtäväksi vahvistaa asianmukaiset määräajat säilytykselle ja päättää, koskevatko nämä määräajat mainittujen tietojen poistamista tai niiden säilyttämisen tarpeellisuuden säännöllistä tarkistamista, kunhan näiden määräaikojen noudattaminen varmistetaan asianmukaisilla menettelysäännöillä. Se, että nämä määräajat ovat ”asianmukaisia”, edellyttää kuitenkin joka tapauksessa, että määräajat kyseisen direktiivin 4 artiklan 1 kohdan c ja e alakohdan, luettuna perusoikeuskirjan 52 artiklan 1 kohdan valossa, mukaisesti mahdollistavat tarvittaessa kyseisten tietojen poistamisen, jos niiden säilyttäminen ei ole enää tarpeen käsittelyn oikeuttaneiden tarkoitusten toteuttamista varten.
46 Jotta rekisteröidyt voivat erityisesti tarkistaa tämän ”asianmukaisuuden” ja tarvittaessa pyytää tällaista tietojen poistamista, direktiivin 2016/680 13 artiklan 2 kohdan b alakohdassa ja 14 artiklan d alakohdassa säädetään, että rekisteröidyille on lähtökohtaisesti ilmoitettava mahdollisuuksien mukaan heitä koskevien henkilötietojen säilytysajasta tai, jos se ei ole mahdollista, tämän ajan määrittämiskriteereistä.
47 Seuraavaksi on todettava, että direktiivin 2016/680 10 artikla on erityissäännös, jolla säännellään erityisten henkilötietoryhmien ja muun muassa biometristen ja geneettisten tietojen käsittelyä. Tällä säännöksellä pyritään varmistamaan rekisteröidyn tehostettu suoja siltä osin kuin kyseiset tiedot voivat erityisen arkaluonteisuutensa ja sen asiayhteyden, jossa niitä käsitellään, vuoksi merkitä – kuten kyseisen direktiivin johdanto-osan 37 perustelukappaleesta ilmenee – huomattavia riskejä perusoikeuksille ja ‑vapauksille, kuten yksityiselämän kunnioittamista koskevalle oikeudelle ja henkilötietojen suojaa koskevalle oikeudelle, jotka on taattu perusoikeuskirjan 7 ja 8 artiklassa (tuomio 26.1.2023, Ministerstvo na vatreshnite raboti (Poliisin suorittama biometristen ja geneettisten tietojen rekisteröinti), C‑205/21, EU:C:2023:49, 116 kohta oikeuskäytäntöviittauksineen).
48 Erityisesti on todettava, että kyseisessä 10 artiklassa esitetään vaatimus, jonka mukaan arkaluonteisten tietojen käsittely on sallittua ”vain, jos se on ehdottoman välttämätöntä” ja joka on tiukennettu edellytys tällaisten tietojen käsittelyn laillisuudelle ja merkitsee muun muassa erityisen tiukkaa tietojen minimoinnin periaatteen, sellaisena kuin se ilmenee direktiivin 2016/680 4 artiklan 1 kohdan c alakohdasta, noudattamisen valvontaa; tämä vaatimus tarkoittaa kyseisen periaatteen erityistä soveltamista näihin arkaluonteisiin tietoihin (ks. vastaavasti tuomio 26.1.2023, Ministerstvo na vatreshnite raboti (Poliisin suorittama biometristen ja geneettisten tietojen rekisteröinti), C‑205/21, EU:C:2023:49, 117, 122 ja 125 kohta).
49 Lopuksi direktiivin 2016/680 16 artiklan 2 kohdassa säädetään oikeudesta henkilötietojen poistamiseen, jos käsittely rikkoo kyseisen direktiivin 4, 8 tai 10 artiklan nojalla annettuja säännöksiä tai jos henkilötiedot on poistettava rekisterinpitäjän lakisääteisen velvoitteen noudattamiseksi.
50 Kyseisestä 16 artiklan 2 kohdasta ilmenee, että tätä oikeutta tietojen poistamiseen voidaan käyttää muun muassa silloin, kun kyseessä oleva henkilötietojen säilyttäminen ei ole tai ei ole enää tarpeen niihin tarkoituksiin, joita varten niitä käsitellään vastoin niitä kansallisen oikeuden säännöksiä, joilla pannaan täytäntöön mainitun direktiivin 4 artiklan 1 kohdan c ja e alakohta ja mahdollisesti sen 10 artikla, tai kun tietojen poistaminen on tarpeen kansallisessa oikeudessa tätä varten direktiivin 5 artiklan nojalla vahvistetun määräajan noudattamiseksi.
51 Direktiivin 2016/680 16 artiklan 3 kohdan mukaan kansallisessa oikeudessa on kuitenkin säädettävä siitä, että rekisterinpitäjä rajoittaa henkilötietojen käsittelyä niiden poistamisen sijaan, jos rekisteröity kiistää henkilötietojen paikkansapitävyyden eikä henkilötietojen paikkansapitävyyttä tai virheellisyyttä voida todentaa (kyseisen säännöksen a alakohta) tai jos henkilötiedot on säilytettävä todistelua varten (sen b alakohta).
52 Edellä esitetystä seuraa, että tämän tuomion 41–51 kohdassa tarkastelluissa direktiivin 2016/680 säännöksissä vahvistetaan yleiset puitteet, joilla voidaan taata muun muassa se, että henkilötietojen säilyttäminen ja erityisesti sen kesto rajoitetaan siihen, mikä on tarpeen henkilötietojen säilyttämistarkoitusten toteuttamista varten, samalla kun jäsenvaltioiden tehtäväksi annetaan määrittää näitä puitteita noudattaen ne konkreettiset tilanteet, joissa rekisteröidyn perusoikeuksien suojaaminen edellyttää näiden tietojen poistamista, ja se ajankohta, jona tiedot on poistettava. Kuten julkisasiamies on lähinnä ratkaisuehdotuksensa 28 kohdassa todennut, näissä säännöksissä ei sitä vastoin edellytetä, että jäsenvaltiot määrittävät henkilötietojen säilyttämisen ehdottomat ajalliset rajat, joiden ylittyessä henkilötiedot olisi poistettava automaattisesti.
53 Nyt käsiteltävässä asiassa unionin tuomioistuimen käytettävissä olevasta asiakirja‑aineistosta ilmenee, että poliisin rekisterissä sisäasiainministeriöstä annetun lain 68 §:n nojalla olevia henkilötietoja säilytetään yksinomaan operatiivista tutkintaa varten ja erityisesti niiden vertaamiseksi muihin tietoihin, joita on kerätty muita rikoksia koskevissa tutkinnoissa.
54 Tältä osin on ensinnäkin korostettava, että rikoksesta lainvoimaisesti tuomittuja henkilöitä koskevien tietojen säilyttäminen poliisin rekisterissä voi osoittautua tarpeelliseksi edellisessä kohdassa mainittuihin tarkoituksiin myös sen jälkeen, kun kyseinen tuomio on poistettu rikosrekisteristä ja kun siis kansallisessa lainsäädännössä tähän tuomioon liitetyt vaikutukset on poistettu. Nämä henkilöt voivat näet olla osallisina muissa kuin niissä rikoksissa, joista heidät on tuomittu, tai heidät voidaan sitä vastoin todeta syyttömiksi vertaamalla viranomaisten säilyttämiä tietoja näihin muihin rikoksiin liittyvien menettelyjen aikana kerättyihin tietoihin.
55 Tällainen kerääminen voi siis myötävaikuttaa direktiivin 2016/680 johdanto-osan 27 perustelukappaleessa ilmaistuun yleisen edun mukaiseen tavoitteeseen, jonka mukaan rikosten ennalta estäminen, tutkiminen ja niistä syyttäminen edellyttävät, että toimivaltaiset viranomaiset voivat käsitellä tiettyjen rikosten ennalta estämisen, tutkimisen, paljastamisen tai rikoksiin liittyvien syytetoimien yhteydessä kerättyjä henkilötietoja myös muissa yhteyksissä ymmärtääkseen rikollista toimintaa ja havaitakseen yhteyksiä selvitettävien rikosten välillä (ks. vastaavasti tuomio 26.1.2023, Ministerstvo na vatreshnite raboti (Poliisin suorittama biometristen ja geneettisten tietojen rekisteröinti), C‑205/21, EU:C:2023:49, 98 kohta).
56 Toiseksi on todettava unionin tuomioistuimen käytettävissä olevasta asiakirja‑aineistosta ilmenevän, että poliisin rekisterissä säilytetään Bulgarian henkilöasiakirjoja koskevassa lainsäädännössä tarkoitetut rekisteröityä koskevat tiedot, häneltä otetut digitaaliset sormenjäljet, hänen valokuvansa ja näyte DNA‑profilointia varten, joihin – kuten Bulgarian hallitus on istunnossa vahvistanut – lisätään rekisteröidyn tekemiä rikoksia ja hänen osaltaan tältä osin annettuja tuomioita koskevat tiedot. Nämä eri tietoryhmät voivat osoittautua tarpeellisiksi selvitettäessä, onko rekisteröity osallisena muissa kuin niissä rikoksissa, joista hänet on lainvoimaisesti tuomittu. Niitä voidaan siis lähtökohtaisesti pitää direktiivin 2016/680 4 artiklan 1 kohdan c alakohdassa tarkoitetulla tavalla asianmukaisina ja olennaisina niihin tarkoituksiin, joita varten niitä käsitellään.
57 Kolmanneksi on todettava, että tällaisen säilyttämisen oikeasuhteisuutta sen tarkoituksiin nähden on arvioitava ottamalla huomioon myös kansallisessa lainsäädännössä säädetyt asianmukaiset tekniset ja organisatoriset toimenpiteet, joilla on tarkoitus taata kyseisen direktiivin 20 ja 29 artiklan mukaisesti säilytettyjen tietojen luottamuksellisuus ja turvallisuus sellaisen käsittelyn osalta, joka on direktiivin 2016/680 vaatimusten vastaista, ja erityisesti sen 20 artiklan 2 kohdassa tarkoitetut toimenpiteet, joilla varmistetaan, että vain käsittelyn kunkin erityisen tarkoituksen kannalta tarpeellisia henkilötietoja käsitellään.
58 Neljänneksi on huomautettava pääasiassa kyseessä olevien henkilötietojen säilytysajasta, että nyt käsiteltävässä asiassa ennakkoratkaisupyynnöstä ilmenee, että ainoastaan siinä tapauksessa, että rekisteröidyn osalta on annettu lainvoimainen rikostuomio virallisen syytteen alaisesta tahallisesta rikoksesta, näitä henkilötietoja säilytetään rekisteröidyn kuolemaan saakka, koska kansallisessa lainsäädännössä säädetään tällaisesta rikoksesta syytteeseen asetettuja henkilöitä koskevien merkintöjen rekisteristä poistamisesta muissa tapauksissa.
59 Tältä osin on kuitenkin todettava, että käsite ”virallisen syytteen alainen tahallinen rikos” on erityisen yleinen ja se voi soveltua moniin rikoksiin niiden luonteesta ja vakavuudesta riippumatta (ks. vastaavasti tuomio 26.1.2023, Ministerstvo na vatreshnite raboti (Poliisin suorittama biometristen ja geneettisten tietojen rekisteröinti), C‑205/21, EU:C:2023:49, 129 kohta).
60 Kuten myös julkisasiamies on lähinnä ratkaisuehdotuksensa 73 ja 74 kohdassa todennut, kaikkiin niihin henkilöihin, jotka on lainvoimaisesti tuomittu tämän käsitteen alaan kuuluvasta rikoksesta, ei liity kuitenkaan samansuuruista riskiä siitä, että he ovat osallisina muissa rikoksissa, mikä oikeuttaisi heitä koskevien tietojen yhdenmukaisen säilytysajan. Tietyissä tapauksissa on siis niin, että kun otetaan huomioon tehdyn rikoksen luonteen ja vakavuuden tai rikoksen uusimatta jättämisen kaltaiset tekijät, tuomitun aiheuttama riski ei välttämättä oikeuta häntä koskevien tietojen säilyttämistä tätä varten perustetussa poliisin kansallisessa rekisterissä hänen kuolemaansa saakka. Tällaisissa tapauksissa säilytettyjen tietojen ja kyseessä olevan tavoitteen välillä ei enää ole tarpeellista yhteyttä (ks. analogisesti lausunto 1/15 (EU:n ja Kanadan välinen PNR-sopimus), 26.7.2017, EU:C:2017:592, 205 kohta). Tietojen säilyttäminen ei siis ole direktiivin 2016/680 4 artiklan 1 kohdan c alakohdassa esitetyn tietojen minimoinnin periaatteen mukaista ja ylittää kyseisen direktiivin 4 artiklan 1 kohdan e alakohdan vastaisesti sen ajan, joka on tarpeen henkilötietojen käsittelytarkoitusten toteuttamista varten.
61 Tältä osin on täsmennettävä, että – kuten julkisasiamies on ratkaisuehdotuksensa 70 kohdassa pääosin korostanut – pääasiassa tapahtuneen kaltainen tällaisen henkilön rehabilitointi, joka johtaa hänen tuomionsa poistamiseen hänen rikosrekisteristään, ei voi sellaisenaan merkitä sitä, ettei hänen tietojensa säilyttäminen poliisin rekisterissä ole tarpeen, koska poliisin rekisterillä on eri tarkoitukset kuin hänen rikosrekisterissään olevalla luettelolla hänen aikaisemmasta rikostaustastaan. Silloin, kun – kuten nyt käsiteltävässä asiassa – kansallisen rikosoikeuden sovellettavien säännösten nojalla tällainen rehabilitointi edellyttää, ettei uutta virallisen syytteen alaista tahallista rikosta ole tehty tietyn ajan kuluessa sen jälkeen, kun rangaistus on suoritettu, se voi kuitenkin olla osoitus siitä, että rekisteröity merkitsee rikollisuuden torjumista tai yleisen järjestyksen ylläpitämistä koskevien tavoitteiden kannalta pienempää riskiä, ja näin ollen tekijä, joka on omiaan lyhentämään tällaisen säilyttämisen tarpeellista kestoa.
62 Viidenneksi on todettava perusoikeuskirjan 52 artiklan 1 kohdassa vahvistetusta suhteellisuusperiaatteesta, että se edellyttää muun muassa asetetun tavoitteen tärkeyden ja kyseessä olevien perusoikeuksien käytön rajoittamisen vakavuuden punnintaa (ks. vastaavasti tuomio 22.11.2022, Luxembourg Business Registers, C‑37/20 ja C‑601/20, EU:C:2022:912, 66 kohta).
63 Kuten tämän tuomion 35 kohdassa on muistutettu, nyt käsiteltävässä asiassa kyseessä olevassa poliisin rekisterissä säilytettäviin henkilötietoihin kuuluu biometrisiä ja geneettisiä tietoja. On siis korostettava, että kun otetaan huomioon huomattavat riskit, joita tällaisten arkaluonteisten tietojen käsittely aiheuttaa rekisteröityjen oikeuksille ja vapauksille erityisesti toimivaltaisten viranomaisten direktiivin 2016/680 1 artiklan 1 kohdassa mainittujen tehtävien yhteydessä, asetetun tavoitteen erityistä tärkeyttä on arvioitava kaikkien merkityksellisten seikkojen perusteella. Tällaisia arvioinnissa huomioon otettavia seikkoja ovat muun muassa se, että käsittelyllä on konkreettinen tavoite, joka liittyy rikosten tai yleiseen turvallisuuteen kohdistuvien tietyn vakavuusasteen uhkien estämiseen, tällaisista rikoksista rankaisemiseen tai tällaisilta uhkilta suojelemiseen, sekä ne erityiset olosuhteet, joissa tämä käsittely suoritetaan (tuomio 26.1.2023, Ministerstvo na vatreshnite raboti (Poliisin suorittama biometristen ja geneettisten tietojen rekisteröinti), C‑205/21, EU:C:2023:49, 127 kohta).
64 Tässä yhteydessä unionin tuomioistuin on katsonut, että kansallinen lainsäädäntö, jossa säädetään henkilön, jonka osalta on aloitettu esitutkinta virallisen syytteen alaisesta tahallisesta rikoksesta, biometristen ja geneettisten tietojen järjestelmällisestä keräämisestä, on lähtökohtaisesti ristiriidassa direktiivin 2016/680 10 artiklassa säädetyn ja tämän tuomion 48 kohdassa mainitun ehdotonta välttämättömyyttä koskevan vaatimuksen kanssa. Tällainen lainsäädäntö voi näet johtaa erotuksetta ja yleisesti valtaosan niiden henkilöiden, joiden osalta on aloitettu esitutkinta, biometristen ja geneettisten tietojen keräämiseen (ks. vastaavasti tuomio 26.1.2023, Ministerstvo na vatreshnite raboti (Poliisin suorittama biometristen ja geneettisten tietojen rekisteröinti), C‑205/21, EU:C:2023:49, 128 ja 129 kohta).
65 Euroopan ihmisoikeustuomioistuin on puolestaan katsonut, että se, että rikoksista epäiltyjen, joita ei kuitenkaan ole tuomittu, digitaalisia sormenjälkiä, biologisia näytteitä ja DNA-profiileja voidaan säilyttää yleisesti ja erotuksetta, sellaisena kuin siitä säädettiin Euroopan ihmisoikeustuomioistuimessa vireillä olleessa asiassa kyseessä olleessa kansallisessa säännöstössä, ei ilmentänyt oikeudenmukaista tasapainoa kilpailevien julkisten ja yksityisten etujen välillä ja että näiden tietojen säilyttämistä oli näin ollen tarkasteltava kantajien yksityiselämän kunnioittamista koskevan oikeuden suhteettomana loukkaamisena eikä sitä voitu pitää demokraattisessa yhteiskunnassa tarpeellisena; tällainen loukkaaminen merkitsi siis Roomassa 4.11.1950 allekirjoitetun ihmisoikeuksien ja perusvapauksien suojaamiseksi tehdyn yleissopimuksen 8 artiklan rikkomista (Euroopan ihmisoikeustuomioistuimen tuomio 4.12.2008, S ja Marper v. Yhdistynyt kuningaskunta, CE:ECHR:2008:1204JUD003056204, 125 ja 126 kohta).
66 Sellaisten henkilöiden biometristen ja geneettisten tietojen säilyttäminen, joiden osalta on jo annettu lainvoimainen rikostuomio, näiden henkilöiden kuolemaankin saakka, voi tosin olla ehdottoman välttämätöntä direktiivin 2016/680 10 artiklan merkityksessä, jotta voidaan etenkin tarkistaa, ovatko nämä henkilöt mahdollisesti osallisina muissa rikoksissa, ja jotta näiden rikosten tekijät voidaan siis panna syytteeseen ja tuomita. On näet otettava huomioon se, miten tärkeitä tämäntyyppiset tiedot ovat rikostutkinnoissa useita vuosia tekojen jälkeenkin erityisesti silloin, kun nämä rikokset ovat vakavia rikoksia (ks. vastaavasti Euroopan ihmisoikeustuomioistuimen tuomio 13.2.2020, Gaughran v. Yhdistynyt kuningaskunta, CE:ECHR:2020:0213JUD004524515, 93 kohta).
67 Biometristen ja geneettisten tietojen säilyttämisen voidaan kuitenkin katsoa täyttävän direktiivin 2016/680 10 artiklassa tarkoitetun vaatimuksen, jonka mukaan se on sallittava vain, ”jos se on ehdottoman välttämätöntä”, ainoastaan, jos siinä otetaan huomioon lainvoimaiseen rikostuomioon johtaneen rikoksen luonne ja vakavuus tai muut olosuhteet, kuten erityinen asiayhteys, jossa tämä rikos on tehty, sen mahdollinen yhteys muihin vireillä oleviin menettelyihin taikka tuomitun henkilön tausta tai profiili. Näin ollen tilanteessa, jossa pääasiassa kyseessä olevan kaltaisessa kansallisessa lainsäädännössä säädetään, että poliisin rekisteriin merkityt rekisteröityjen biometriset ja geneettiset tiedot säilytetään rekisteröityjen kuolemaan asti silloin kun heidän osaltaan on annettu lainvoimainen rikostuomio, tämän säilyttämisen soveltamisala on, kuten edellä 59 ja 60 kohdassa on todettu, liian laaja niihin tarkoituksiin nähden, joita varten näitä tietoja käsitellään.
68 Kuudenneksi on todettava yhtäältä jäsenvaltioille direktiivin 2016/680 5 artiklassa asetetusta velvollisuudesta vahvistaa asianmukaiset määräajat, että tämän tuomion 59, 60 ja 67 kohdassa esitetyistä syistä, ja kun otetaan huomioon kyseisen direktiivin 4 artiklan 1 kohdan c ja e alakohdan sekä 10 artiklan vaatimukset, määräaikaa voidaan pitää 5 artiklan tarkoituksessa ”asianmukaisena” etenkin virallisen syytteen alaisesta tahallisesta rikoksesta lainvoimaisesti tuomittujen henkilöiden biometristen ja geneettisten tietojen säilyttämisen osalta vain, jos siinä otetaan huomioon tämän tuomion 67 kohdassa tarkoitetun kaltaiset merkitykselliset olosuhteet, joiden johdosta tällainen säilytysaika voi olla tarpeen.
69 Vaikka kansallisessa lainsäädännössä oleva viittaus rekisteröidyn kuolemaan voi merkitä mainitussa 5 artiklassa tarkoitettua ”määräaikaa” säilytettyjen tietojen poistamista varten, tällaista määräaikaa voidaan siis pitää ”asianmukaisena” vain erityisissä olosuhteissa, jotka oikeuttavat sen asiaan kuuluvalla tavalla. Näin ei selvästikään ole silloin, kun tätä määräaikaa sovelletaan yleisesti ja erotuksetta kaikkiin lainvoimaisesti tuomittuihin henkilöihin.
70 Kuten tämän tuomion 45 kohdassa on huomautettu, direktiivin 2016/680 5 artiklassa annetaan tosin jäsenvaltioiden tehtäväksi päättää, onko näiden tietojen poistamisen tai niiden säilyttämisen tarpeellisuuden säännöllisen tarkistamisen osalta vahvistettava määräaikoja. Tästä samasta kohdasta ilmenee kuitenkin myös, että tällaista säännöllistä tarkistamista varten vahvistettujen määräaikojen ”asianmukaisuus” edellyttää, että määräajat mahdollistavat kyseisen direktiivin 4 artiklan 1 kohdan c ja e alakohdan, luettuna perusoikeuskirjan 52 artiklan 1 kohdan valossa, mukaisesti kyseessä olevien tietojen poistamisen, jos niiden säilyttäminen ei ole enää tarpeen. Edellisessä kohdassa mainituista syistä tällainen vaatimus ei kuitenkaan täyty silloin, kun – kuten nyt käsiteltävässä asiassa – ainoa tapaus, jossa kansallisessa lainsäädännössä säädetään tällaisesta poistamisesta virallisen syytteen alaisesta tahallisesta rikoksesta lainvoimaisesti tuomitun henkilön osalta, on se, että tämä henkilö kuolee.
71 Toisaalta siltä osin kuin on kyse kyseisen direktiivin 16 artiklan 2 ja 3 kohdassa säädetyistä takeista niiden edellytysten osalta, jotka koskevat oikeutta tietojen poistamiseen ja oikeutta käsittelyn rajoittamiseen, on todettava tämän tuomion 50 ja 51 kohdasta ilmenevän, että nämä säännökset ovat esteenä myös kansalliselle lainsäädännölle, jonka nojalla virallisen syytteen alaisesta tahallisesta rikoksesta lainvoimaisesti tuomittu henkilö ei voi käyttää näitä oikeuksia.
72 Kaiken edellä esitetyn perusteella esitettyyn kysymykseen on vastattava, että direktiivin 2016/680 4 artiklan 1 kohdan c ja e alakohtaa, luettuna yhdessä sen 5 ja 10 artiklan, 13 artiklan 2 kohdan b alakohdan ja 16 artiklan 2 ja 3 kohdan kanssa sekä perusoikeuskirjan 7 ja 8 artiklan valossa, on tulkittava siten, että se on esteenä kansalliselle lainsäädännölle, jonka mukaan poliisiviranomaisten on säilytettävä rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten henkilötietoja ja etenkin biometrisiä ja geneettisiä tietoja henkilöistä, joiden osalta on annettu lainvoimainen rikostuomio virallisen syytteen alaisesta tahallisesta rikoksesta, asianomaisen henkilön kuolemaan saakka, myös silloin, kun hänet on rehabilitoitu, asettamatta rekisterinpitäjälle velvollisuutta tarkistaa säännöllisesti, onko tämä säilyttäminen edelleen tarpeen, tai antamatta mainitulle henkilölle oikeutta näiden tietojen poistamiseen, jos niiden säilyttäminen ei ole enää tarpeen niihin tarkoituksiin, joita varten niitä on käsitelty, tai tarvittaessa oikeutta näiden tietojen käsittelyn rajoittamiseen.
Oikeudenkäyntikulut
73 Pääasian asianosaisten osalta asian käsittely unionin tuomioistuimessa on välivaihe kansallisessa tuomioistuimessa vireillä olevan asian käsittelyssä, minkä vuoksi kansallisen tuomioistuimen asiana on päättää oikeudenkäyntikulujen korvaamisesta. Oikeudenkäyntikuluja, jotka ovat aiheutuneet muille kuin näille asianosaisille huomautusten esittämisestä unionin tuomioistuimelle, ei voida määrätä korvattaviksi.
Näillä perusteilla unionin tuomioistuin (suuri jaosto) on ratkaissut asian seuraavasti:
Luonnollisten henkilöiden suojelusta toimivaltaisten viranomaisten suorittamassa henkilötietojen käsittelyssä rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten sekä näiden tietojen vapaasta liikkuvuudesta ja neuvoston puitepäätöksen 2008/977/YOS kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston direktiivin (EU) 2016/680 4 artiklan 1 kohdan c ja e alakohtaa, luettuna yhdessä sen 5 ja 10 artiklan, 13 artiklan 2 kohdan b alakohdan ja 16 artiklan 2 ja 3 kohdan kanssa sekä Euroopan unionin perusoikeuskirjan 7 ja 8 artiklan valossa,
on tulkittava siten, että
se on esteenä kansalliselle lainsäädännölle, jonka mukaan poliisiviranomaisten on säilytettävä rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten henkilötietoja ja etenkin biometrisiä ja geneettisiä tietoja henkilöistä, joiden osalta on annettu lainvoimainen rikostuomio virallisen syytteen alaisesta tahallisesta rikoksesta, asianomaisen henkilön kuolemaan saakka, myös silloin, kun hänet on rehabilitoitu, asettamatta rekisterinpitäjälle velvollisuutta tarkistaa säännöllisesti, onko tämä säilyttäminen edelleen tarpeen, tai antamatta mainitulle henkilölle oikeutta näiden tietojen poistamiseen, jos niiden säilyttäminen ei ole enää tarpeen niihin tarkoituksiin, joita varten niitä on käsitelty, tai tarvittaessa oikeutta näiden tietojen käsittelyn rajoittamiseen.
Allekirjoitukset