A BÍRÓSÁG ÍTÉLETE (nagytanács)
2024. január 30.(*)
„Előzetes döntéshozatal – A természetes személyek védelme a személyes adatok bűncselekmények elleni küzdelem céljából végzett kezelése tekintetében – (EU) 2016/680 irányelv – A 4. cikk (1) bekezdésének c) és e) pontja – Adattakarékosság – A tárolás korlátozása – 5. cikk – A törlésre vagy a tárolás szükségességének rendszeres felülvizsgálatára vonatkozó megfelelő határidők – 10. cikk – Biometrikus és genetikai adatok kezelése – Feltétlen szükségesség – A 16. cikk (2) és (3) bekezdése – A törléshez való jog – Az adatkezelés korlátozása – Az Európai Unió Alapjogi Chartája 52. cikkének (1) bekezdése – Jogerős ítélettel elítélt, majd mentesítésben részesült természetes személy – Az adatoknak a személy haláláig történő tárolása – A törléshez vagy az adatkezelés korlátozásához való jog hiánya – Arányosság”
A C‑118/22. sz. ügyben,
az EUMSZ 267. cikk alapján benyújtott előzetes döntéshozatal iránti kérelem tárgyában, amelyet a Varhoven administrativen sad (legfelsőbb közigazgatási bíróság, Bulgária) a Bírósághoz 2022. február 17‑én érkezett, 2022. január 10‑i határozatával terjesztett elő az
NG
és
a Direktor na Glavna direktsia „Natsionalna politsia” pri Ministerstvo na vatreshnite raboti – Sofia
között,
a Varhovna administrativna prokuratura
részvételével folyamatban lévő eljárásban,
A BÍRÓSÁG (nagytanács),
tagjai: K. Lenaerts elnök, L. Bay Larsen elnökhelyettes, A. Arabadjiev, A. Prechal, K. Jürimäe, N. Piçarra és O. Spineanu‑Matei tanácselnökök, M. Ilešič, J.‑C. Bonichot, L. S. Rossi, I. Jarukaitis, A. Kumin, N. Jääskinen, N. Wahl és D. Gratsias (előadó) bírák,
főtanácsnok: P. Pikamäe,
hivatalvezető: R. Stefanova‑Kamisheva tanácsos,
tekintettel az írásbeli szakaszra és a 2023. február 7‑i tárgyalásra,
figyelembe véve a következők által előterjesztett észrevételeket:
– NG képviseletében P. Kuyumdzhiev advokat,
– a bolgár kormány képviseletében M. Georgieva, T. Mitova és E. Petranova, meghatalmazotti minőségben,
– a cseh kormány képviseletében O. Serdula, M. Smolek és J. Vláčil, meghatalmazotti minőségben,
– Írország képviseletében M. Browne, A. Joyce és M. Tierney, meghatalmazotti minőségben, segítőjük: D. Fennelly BL,
– a spanyol kormány képviseletében A. Ballesteros Panizo és J. Rodríguez de la Rúa Puig, meghatalmazotti minőségben,
– a holland kormány képviseletében A. Hanje, meghatalmazotti minőségben,
– a lengyel kormány képviseletében B. Majczyna, D. Łukowiak és J. Sawicka, meghatalmazotti minőségben,
– az Európai Bizottság képviseletében A. Bouchagiar, C. Georgieva, H. Kranenborg és F. Wilman, meghatalmazotti minőségben,
a főtanácsnok indítványának a 2023. június 15‑i tárgyaláson történt meghallgatását követően,
meghozta a következő
Ítéletet
1 Az előzetes döntéshozatal iránti kérelem a személyes adatoknak az illetékes hatóságok által a bűncselekmények megelőzése, nyomozása, felderítése, a vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása céljából végzett kezelése tekintetében a természetes személyek védelméről és az ilyen adatok szabad áramlásáról, valamint a 2008/977/IB tanácsi kerethatározat hatályon kívül helyezéséről szóló, 2016. április 27‑i (EU) 2016/680 európai parlamenti és tanácsi irányelv (HL 2016. L 119., 89. o.; helyesbítések: HL 2018. L 127., 7. o.; HL 2021. L 74., 39. o.) 13. cikke (2) bekezdésének b) pontjával és (3) bekezdésével összefüggésben értelmezett 5. cikkének értelmezésére irányul.
2 Ezt a kérelmet az NG és a Direktor na Glavna direktsia „Natsionalna politsia” pri Ministerstvo na vatreshnite raboti – Sofia (a belügyminisztérium „Nemzeti rendőrség” főigazgatóságának igazgatója, Bulgária; a továbbiakban: DGPN) között NG arra irányuló – a jogerős büntetőítéletet követően a büntetett előélethez fűződő hátrányos jogkövetkezmények alóli mentesülésén alapuló – kérelmének a DGPN általi elutasítása tárgyában folyamatban lévő jogvita keretében terjesztették elő, hogy NG‑t töröljék azon nemzeti nyilvántartásból, amelybe a bolgár rendőrhatóságok a közvádra üldözendő szándékos bűncselekmény miatt büntetőeljárás alá vont személyeket bejegyzik (a továbbiakban: rendőrségi nyilvántartás).
Jogi háttér
Az uniós jog
3 A 2016/680 irányelv (11), (14), (26), (27), (37), (47) és (104) preambulumbekezdése a következőképpen rendelkezik:
„(11) Ezért helyénvaló, hogy [a büntetőügyekben folytatott igazságügyi együttműködés és a rendőrségi együttműködés területének] szabályozása irányelvben történjen, amelyben meg kell határozni azokat a különleges szabályokat, amelyek a személyes adatok bűncselekmények megelőzése, nyomozása, felderítése, a vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása – többek között a közbiztonságot fenyegető veszélyekkel szembeni védelem és e veszélyek megelőzése – céljából az illetékes hatóságok általi kezelése tekintetében a természetes személyek védelmére vonatkoznak, tiszteletben tartva e tevékenységek jellegét. […]
[…]
(14) Mivel ez az irányelv nem alkalmazandó a személyes adatoknak az uniós jog hatályán kívül eső tevékenységek keretében végzett kezelésére, a nemzetbiztonsággal kapcsolatos tevékenységek […] során végzett személyesadat‑kezelés nem tekinthető az ezen irányelv hatálya alá tartozó tevékenységnek.
[…]
(26) […] Biztosítani kell […] azt, hogy a gyűjtött személyes adatok mennyisége ne legyen túlzott mértékű, és az adatokat csak az adatkezelés célja szempontjából szükséges ideig tárolják. Személyes adatokat abban az esetben lehet csak kezelni, ha az adatkezelés célját egyéb eszközzel nem lehetséges észszerű módon elérni. Annak biztosítása érdekében, hogy a személyes adatok tárolása a szükséges időtartamra korlátozódjon, az adatkezelőnek törlési vagy rendszeres felülvizsgálati határidőket kell megállapítania. […]
(27) A bűncselekmények megelőzése, nyomozása és a vádeljárás lefolytatása érdekében szükséges, hogy az illetékes hatóságok azokat a személyes adatokat, amelyeket konkrét bűncselekmények megelőzésével, nyomozásával, felderítésével vagy üldözésével összefüggésben gyűjtöttek, ennél szélesebb összefüggésben is kezeljék annak érdekében, hogy megértsék a bűnözői tevékenységeket és a különböző felderített bűncselekmények közötti összefüggéseket feltárják.
[…]
(37) Azok a személyes adatok természetüknél fogva különösen érzékenyek az alapvető jogok és szabadságok szempontjából, különös védelmet érdemelnek, mivel az alapvető jogokra és szabadságokra nézve a kezelésük körülményei jelentős kockázatot hordozhatnak. […]
[…]
(47) […] A természetes személyek számára biztosítani kell továbbá az adatkezelés korlátozásához való jogot, […] ha a személyes adatokat bizonyítás céljából kell megőrizni. Különösen, ha az adott esetben alapos okkal feltételezhető, hogy a törlés sértheti az érintett jogos érdekeit, a személyes adatok törlése helyett korlátozni kell az adatkezelést. Ilyen esetben a korlátozott adatokat csak abból a célból lehet kezelni, amely megakadályozta a törlésüket. […]
[…]
(104) Ezen irányelv tiszteletben tartja az alapvető jogokat és betartja [az Európai Unió Alapjogi Chartájában (a továbbiakban: Charta)] által elismert, az EUMSZ‑ben rögzített elveket, különösen a magán‑ és a családi élet tiszteletben tartásához való jogot, a személyes adatok védelméhez való jogot, a hatékony jogorvoslathoz és a tisztességes eljáráshoz való jogot. Az e jogokat érintő korlátozások összhangban vannak a Charta 52. cikkének (1) bekezdésével, mivel elengedhetetlenek az Unió által elismert általános érdekű célok megvalósításához, vagy mások jogainak és szabadságainak védelmét szolgálják.”
4 Ezen irányelv „Tárgy és célok” című 1. cikkének (1) bekezdése a következőképpen rendelkezik:
„Ez az irányelv szabályokat állapít meg a természetes személyek védelmére a személyes adatoknak az illetékes hatóságok által a bűncselekmények megelőzése, nyomozása, felderítése, a vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása – így többek között a közbiztonságot fenyegető veszélyekkel szembeni védelem és e veszélyek megelőzése – céljából végzett kezelése tekintetében.”
5 Az említett irányelv „Hatály” című 2. cikkének (1) és (3) bekezdése a következőket írja elő:
„(1) Ez az irányelv a személyes adatoknak az illetékes hatóságok által az 1. cikk (1) bekezdésében meghatározott célokból végzett kezelésére alkalmazandó.
[…]
(3) Ezen irányelv nem alkalmazandó:
a) a személyes adatoknak az uniós jog hatályán kívül eső tevékenységek során végzett kezelésére;
[…]”
6 Ezen irányelv „Fogalommeghatározások” című 3. cikke értelmében:
„Ezen irányelv alkalmazásában:
[…]
2. »adatkezelés«: a személyes adatokon vagy adatállományokon […] végzett bármely művelet vagy műveletek összessége, [mint például] a tárolás […];
[…]”
7 A 2016/680 irányelvnek „A személyes adatok kezelésére vonatkozó elvek” című 4. cikke a következőket írja elő:
„A tagállamok előírják, hogy a személyes adatok:
[…]
c) az adatkezelés céljai szempontjából megfelelőek és relevánsak kell, hogy legyenek, és szükségesre kell korlátozódniuk;
[…]
e) tárolásának olyan formában kell történnie, amely az érintettek azonosítását csak a személyes adatok kezelése céljainak eléréséhez szükséges ideig teszi lehetővé;
[…]”
8 Ezen irányelvnek „A tárolásra és a felülvizsgálatra vonatkozó határidők” című 5. cikkének szövege a következő:
„A tagállamok megfelelő határidőket állapítanak meg a személyes adatok törlésére vagy tárolásuk szükségességének rendszeres felülvizsgálatára. E határidők betartását eljárásjogi intézkedésekkel kell biztosítani.”
9 Az említett irányelvnek „A személyes adatok különleges kategóriáinak kezelése” című 10. cikke a következőképpen szól:
„A […] genetikai adatok [és] a természetes személyek egyedi azonosítását célzó biometrikus adatok […] kezelése csak akkor megengedett, az érintettek jogaira és szabadságaira vonatkozó megfelelő garanciák mellett, ha arra feltétlenül szükség van […]”
10 Ugyanezen irányelvnek „Az érintett rendelkezésére bocsátandó vagy számára nyújtandó információk” című 13. cikkének (2) bekezdése úgy rendelkezik, hogy annak érdekében, hogy az érintett gyakorolni tudja jogait, a tagállamok jogszabályban rendelkeznek arról, hogy az adatkezelőnek meghatározott esetekben az (1) bekezdésben említetteken felül tájékoztatnia kell az érintettet az ezen (2) bekezdésben felsorolt kiegészítő információkról. E kiegészítő információk között szerepel többek között az említett (2) bekezdés b) pontjában a személyes adatok tárolásának időtartama, vagy ha ez nem lehetséges, az ezen időtartam meghatározásának szempontjai. Egyébiránt a 2016/680 irányelv 13. cikkének (3) bekezdése megjelöli azokat az indokokat, amelyek alapján a tagállamok jogszabályi intézkedéseket fogadhatnak el az érintett személy e cikk (2) bekezdése szerinti tájékoztatásának késleltetésére vagy korlátozására, illetve mellőzésére vonatkozóan.
11 A 2016/680 irányelvnek „Az érintett hozzáférési joga” című 14. cikke a következőképpen rendelkezik:
„A 15. cikkre is figyelemmel a tagállamok előírják, hogy az érintett jogosult arra, hogy az adatkezelőtől visszajelzést kapjon arra vonatkozóan, hogy személyes adatainak kezelése folyamatban van‑e és ha ilyen adatkezelés folyamatban van, jogosult arra, hogy a személyes adatokhoz és a következő információkhoz hozzáférést kapjon:
[…]
d) adott esetben, a személyes adatok tárolásának tervezett időtartama, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjai;
[…]”
12 Ezen irányelvnek „A személyes adatok helyesbítéséhez, törléséhez és kezelésének korlátozásához való jog” című 16. cikkének (2) és (3) bekezdésében a következőképpen rendelkezik:
„(2) A tagállamok előírják, hogy az adatkezelőnek indokolatlan késedelem nélkül törölnie kell a személyes adatokat, az érintett pedig jogosult arra, hogy kérésére a rá vonatkozó személyes adatokat az adatkezelő indokolatlan késedelem nélkül törölje, ha az adatkezelés sérti a 4., 8. vagy 10. cikk alapján elfogadott rendelkezéseket, vagy ha a személyes adatokat az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez törölni kell.
(3) Az adatkezelő törlés helyett korlátozza az adatkezelést, ha:
a) az érintett vitatja a személyes adatok pontosságát, és azok pontossága vagy pontatlansága nem állapítható meg egyértelműen; vagy
b) a személyes adatokat bizonyítás céljából meg kell őrizni.
[…]”
13 Az említett irányelv „Beépített és alapértelmezett adatvédelem” című 20. cikke értelmében a tagállamok előírják, hogy az adatkezelőnek megfelelő technikai és szervezési intézkedéseket kell végrehajtania annak érdekében, hogy megfeleljen ugyanezen irányelv követelményeinek, és védje az érintettek jogait, és különösen biztosítsa, hogy alapértelmezés szerint kizárólag olyan személyes adatok kezelésére kerüljön sor, amelyek az adott konkrét adatkezelési cél szempontjából szükségesek.
14 A 2016/680 irányelv „Az adatkezelés biztonsága” című 29. cikkének (1) bekezdése a következőképpen rendelkezik:
„A tagállamok előírják, hogy az adatkezelőnek és az adatfeldolgozónak, hogy a tudomány és a technológia állása és a megvalósítás költségei, továbbá az adatkezelés jellege, hatóköre, körülményei és céljai, valamint a személyek jogaira és szabadságaira jelentett változó valószínűségű és súlyosságú kockázat figyelembevételével megfelelő technikai és szervezési intézkedéseket kell végrehajtania annak érdekében, hogy a kockázat mértékének megfelelő szintű adatbiztonságot garantálja, különösen a személyes adatok 10. cikk szerinti különleges kategóriáinak kezelését illetően.”
A bolgár jog
A büntető törvénykönyv
15 A Nakazatelen kodeks (büntető törvénykönyv, a DV 1968. április 2‑i 26. száma,) alapeljárásra alkalmazandó változata 82. cikkének (1) bekezdése a következőképpen rendelkezik:
„A kiszabott büntetés nem hajtható végre, ha eltelt:
(1) húsz év, ha a büntetés életfogytig tartó szabadságvesztés az átváltoztatás lehetősége nélkül vagy életfogytig tartó szabadságvesztés;
(2) tizenöt év, ha a büntetés tíz évet meghaladó szabadságvesztés;
(3) tíz év, ha a büntetés három évtől tíz évig terjedő szabadságvesztés;
(4) öt év, ha a büntetés három évet meg nem haladó szabadságvesztés, és
(5) minden egyéb esetben két év.”
16 E törvénykönyv 85. cikkének (1) bekezdése előírja:
„A mentesítés eltörli az elítélést, és a jövőre nézve – a törvény vagy rendelet eltérő rendelkezése hiányában – megszünteti a büntetett előélethez fűződő hátrányos jogkövetkezményeket.”
17 Az említett törvény 88a. cikke a következőképpen szól:
„Amennyiben a 82. cikk (1) bekezdése szerinti időtartam a büntetés letöltése óta már eltelt, és az elítélt nem követett el újabb, szabadságvesztés‑büntetéssel büntetendő, közvádra üldözendő szándékos bűncselekményt, az elítélést és a büntetett előélethez fűződő hátrányos jogkövetkezményeket más törvény vagy rendelet bármely rendelkezése ellenére törölni kell.”
A belügyminisztériumról szóló törvény
18 A Zakon za Ministerstvoto na vatreshnite raboti (a belügyminisztériumról szóló törvény, a DV 2014. június 27‑i 53. száma) alapügyre alkalmazandó változatának (a továbbiakban: a belügyminisztériumról szóló törvény) 26. cikke előírja:
„(1) A személyes adatoknak a nemzetbiztonság védelmével, a bűnözés elleni küzdelemmel, a közrend fenntartásával és a büntetőeljárás lefolytatásával kapcsolatos kezelése során a Belügyminisztérium hatóságai:
[…]
3. a személyes adatok valamennyi szükséges kategóriáját kezelhetik;
[…]
(2) Az (1) bekezdésben említett adatok tárolásának, illetve a tárolás szükségességének időszakos felülvizsgálatára vonatkozó határidőket a belügyminiszter határozza meg. Az ilyen adatokat bírósági aktus vagy a Személyes adatok védelmével foglalkozó bizottság határozata alapján is törölni kell.”
19 A belügyminisztériumról szóló törvény 27. cikke értelmében:
„A 68. cikk alapján a személyek rendőrségi nyilvántartásba történő bejegyzéséből származó adatokat kizárólag a nemzetbiztonság védelme, a bűnözés elleni küzdelem és a közrend fenntartása céljából lehet felhasználni.”
20 E törvény 68. cikkének szövege a következő:
„(1) A rendőrhatóságok rendőrségi nyilvántartásba veszik azokat a személyeket, akiket közvádra üldözendő szándékos bűncselekmény elkövetésével gyanúsítanak. A nyomozó hatóságok kötelesek megtenni a szükséges lépéseket annak érdekében, hogy a rendőrhatóságok nyilvántartásba vegyék az adatokat.
(2) A rendőrségi nyilvántartás az (1) bekezdés szerinti személyek személyes adatai kezelésének egyik kategóriáját képezi, amely a jelen törvény feltételei szerint történik.
(3) A rendőri hatóságok a rendőrségi nyilvántartásba vétel céljából:
1. rögzítik a bolgár személyazonosító okmányokról szóló törvény 18. cikkében megjelölt személyes adatokat;
2. leveszik a személyek ujjlenyomatait, és fényképeket készítenek róluk;
3. mintákat vesznek a személyek DNS‑profiljának rögzítése érdekében.
[…]
(6) A rendőrségi nyilvántartásba vételt a személyes adatok kezelője vagy az általa felhatalmazott tisztviselő hivatalból vagy a nyilvántartásba vett személy indokolt írásbeli kérelmére megszünteti, ha:
1. a nyilvántartásba vételre a törvény megsértésével került sor;
2. a büntetőeljárást a [Nakazatelno‑protsesualen kodeks (büntetőeljárásról szóló törvény)] 24. cikkének (3) bekezdésében említett esetek kivételével megszüntették;
3. a büntetőeljárás felmentő ítélettel zárult;
4. a személyt mentesítették a büntetőjogi felelősség alól, és közigazgatási szankciót szabtak ki vele szemben;
5. a személy elhunyt, amely esetben a kérelmet az örökösei terjeszthetik elő.
[…]”
Az alapeljárás és az előzetes döntéshozatalra előterjesztett kérdés
21 NG‑t a büntető törvénykönyv 290. cikkének (1) bekezdése szerinti hamis tanúzásnak minősülő bűncselekmény miatti nyomozás keretében a belügyminisztériumról szóló törvény 68. cikkének megfelelően felvették a rendőrségi nyilvántartásba. E nyomozás eredményeként vád alá helyezték, és a 2016. június 28‑i ítélettel – amelyet fellebbezés folytán a 2016. december 2‑án helybenhagytak –, megállapították a bűnösségét, és egy év próbaidőre felfüggesztett szabadságvesztésre ítélték. A büntetés letöltését követően NG a büntető törvénykönyv 82. cikkének (1) bekezdése és 88a. cikke alapján 2020. március 14‑én mentesülésben részesült.
22 2020. július 15‑én NG e mentesítés alapján kérelmet nyújtott be a Belügyminisztérium illetékes területi hivatalához a rendőrségi nyilvántartásból való törlés iránt.
23 2020. szeptember 2‑i határozatával a DGPN elutasította ezt a kérelmet, mivel úgy ítélte meg, hogy a jogerős büntetőítélet, ideértve a mentesítés esetét is, nem tartozik a belügyminisztériumról szóló törvény 68. cikkének (6) bekezdésében kimerítően felsorolt, a rendőrségi nyilvántartásból való törlés indokai közé.
24 2021. február 2‑i határozatával az Administrativen sad Sofia grad (szófiai közigazgatási bíróság, Bulgária) az NG által a DGPN e határozatával szemben benyújtott keresetet lényegében az utóbbi által megállapítottakhoz hasonló indokok alapján elutasította.
25 NG felülvizsgálati kérelmet nyújtott be a kérdést előterjesztő bírósághoz, a Varhoven administrativen sadhoz (legfelsőbb közigazgatósági bíróság, Bulgária). E felülvizsgálati kérelem elsődleges jogalapja a 2016/680 irányelv 5., 13. és 14. cikkéből levezethető azon elv megsértésén alapul, hogy a személyes adatok tárolás útján történő kezelése nem lehet korlátlan időtartamú. Márpedig NG szerint de facto erről van szó, ha a büntetés letöltését és a büntetett előélethez fűződő hátrányos jogkövetkezmények alóli mentesítést követően – a rendőrségi nyilvántartásból való törlést meglapozó indok hiányában – az érintett egyáltalán nem kérheti azon adatainak törlését, amelyeket a letöltött büntetés alapjául szolgáló bűncselekmény kapcsán gyűjtöttek.
26 E tekintetben a kérdést előterjesztő bíróság elsősorban megjegyzi, hogy a rendőrségi nyilvántartásba vétel a 2016/680 irányelv 1. cikkének (1) bekezdésében foglalt célokból végzett személyesadat‑kezelés, ennélfogva ezen irányelv hatálya alá tartozik.
27 Másodsorban rámutat arra, hogy a mentesítés nem szerepel a rendőrségi nyilvántartásból való törlésnek a belügyminisztériumról szóló törvény 68. cikkének (6) bekezdésében kimerítően felsorolt indokai között, és hogy a többi indok egyike sem alkalmazható ebben az esetben, így az érintett személy számára ilyen esetben lehetetlen elérni a nyilvántartásból való törlést.
28 Harmadsorban, a kérdést előterjesztő bíróság megjegyzi, hogy a 2016/680 irányelv (26) preambulumbekezdése arra vonatkozó garanciákra hivatkozik, hogy a gyűjtött személyes adatok mennyisége ne legyen túlzott mértékű, és az adatokat csak az adatkezelés célja szempontjából szükséges ideig tárolják, és kimondja, hogy az adatkezelőnek törlési vagy rendszeres felülvizsgálati határidőket kell megállapítania. Ezenkívül ezen irányelv (34) preambulumbekezdéséből azt a következtetést vonja le, hogy az irányelv 1. cikkének (1) bekezdésében meghatározott célokból történő adatkezelésnek magában kell foglalnia az ilyen adatkezelés korlátozására, valamint az adatok törlésére, illetve megsemmisítésére irányuló műveleteket. Álláspontja szerint ezek az elvek az említett irányelv 5. cikkében, valamint 13. cikkének (2) és (3) bekezdésében tükröződnek.
29 E tekintetben a kérdést előterjesztő bíróságnak kétségei vannak azon kérdést illetően, hogy az előző pontban kifejtett célokkal ellentétes‑e az olyan nemzeti szabályozás, amely az illetékes hatóságok számára a 2016/680 irányelv 1. cikkének (1) bekezdésében meghatározott célokból végzett adatkezelésre „gyakorlatilag korlátlan jogot” keletkeztet, az érintettnek pedig megszűnik az adatai kezelésének korlátozásához vagy az adatainak törléséhez való joga.
30 E körülmények között a Varhoven administrativen sad (legfelsőbb közigazgatási bíróság) úgy határozott, hogy az eljárást felfüggeszti, és előzetes döntéshozatal céljából a következő kérdést terjeszti a Bíróság elé:
„Lehetővé tesz‑e a [2016/680 irányelv] 13. cikke (2) bekezdésének b) pontjával és (3) bekezdésével összefüggésben értelmezett 5. cikkének értelmezése olyan nemzeti jogalkotási intézkedéseket, amelyek eredményeként gyakorlatilag korlátlan jog keletkezik a személyes adatoknak az illetékes hatóságok által a bűncselekmények megelőzése, nyomozása, felderítése, a vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása céljából végzett kezelésére, és/vagy megszűnik az érintettnek az adatai kezelésének korlátozásához, valamint adatainak törléséhez, illetve megsemmisítéséhez való joga?”
Az előzetes döntéshozatalra előterjesztett kérdésről
31 Az állandó ítélkezési gyakorlat szerint a nemzeti bíróságok és a Bíróság között az EUMSZ 267. cikkel bevezetett együttműködési eljárás keretében a Bíróság feladata, hogy a nemzeti bíróságnak az előtte folyamatban lévő ügy eldöntéséhez hasznos választ adjon. Erre tekintettel a Bíróságnak adott esetben át kell fogalmaznia az elé terjesztett kérdéseket. Ezenkívül előfordulhat, hogy a Bíróságnak olyan uniós jogi szabályokat kell figyelembe vennie, amelyekre a nemzeti bíróság a kérdésében nem hivatkozott (2021. július 15‑i Ministrstvo za obrambo ítélet, C‑742/19, EU:C:2021:597, 31. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
32 A jelen ügyben a kérdést előterjesztő bíróság kérdése abból ered, hogy – amint az az előzetes döntéshozatal iránti kérelemből és a bolgár kormány által a Bíróság előtti tárgyaláson szolgáltatott információkból kitűnik – a belügyminisztériumról szóló törvényben kimerítő jelleggel felsorolt, a rendőrségi nyilvántartásban szereplő személyes adatok törlését igazoló okok egyike sem alkalmazható az alapügyben szóban forgó, az érintett személy jogerős elítélésén alapuló helyzetben, még a mentesítést követően sem, így ezen adatokat e nyilvántartásban tárolják, és azokat a hozzáféréssel rendelkező hatóságok – az említett személy haláláig – korlátlan ideig kezelhetik.
33 E tekintetben mindenekelőtt az előzetes döntéshozatalra utaló határozatból, különösen a jelen ítélet 27. pontjában összefoglalt megfontolásokból, valamint magának az előzetes döntéshozatalra előterjesztett kérdésnek a szövegéből kitűnik, hogy a kérdést előterjesztő bíróság különösen arra keresi a választ, hogy az alapügyben szóban forgó nemzeti szabályozás összeegyeztethető‑e az arányosság elvével. Márpedig, amint azt a 2016/680 irányelv (104) preambulumbekezdése hangsúlyozza, a Charta 8. cikkében előírt, a személyes adatok védelméhez való jog, valamint a Charta 7. és 47. cikke által védett, a magán‑ és a családi élet tiszteletben tartásához, illetve a hatékony jogorvoslathoz és a tisztességes eljáráshoz való jog ezen irányelv által bevezetett korlátozásait a Charta 52. cikkének (1) bekezdésében foglalt – az arányosság elvének tiszteletben tartását is magában foglaló – követelményekkel összhangban kell értelmezni.
34 Továbbá, kérdésének megfogalmazásakor a kérdést előterjesztő bíróság helyesen hivatkozik az említett irányelvnek a személyes adatok törlésére vagy tárolásuk szükségességének rendszeres felülvizsgálatára vonatkozó határidőkkel kapcsolatos 5. cikkére. Mivel az említett 5. cikk szoros kapcsolatban áll ugyanezen irányelv 4. cikke (1) bekezdésének c) és e) pontjával, valamint 16. cikkének (2) és (3) bekezdésével, az előzetes döntéshozatalra előterjesztett kérdést úgy kell érteni, hogy az e két rendelkezésre is vonatkozik.
35 Hasonlóképpen, mivel az alapügyben szóban forgó nemzeti szabályozás többek között a személyes adatok azon különleges kategóriáiba tartozó biometrikus és genetikai adatok tárolását írja elő, amelyek kezelését a 2016/680 irányelv 10. cikke külön szabályozza, úgy kell tekinteni, hogy az előterjesztett kérdés e rendelkezés értelmezésére is vonatkozik.
36 Végül a 2016/680 irányelv 13. cikke értelmezésének relevanciája az előzetes döntéshozatal iránti kérelemből csak a (2) bekezdésének b) pontját illetően tűnik ki egyértelműen. Kétségtelen, hogy – amint arra a kérdést előterjesztő bíróság rámutat – annak (3) bekezdése különösen az ezen irányelv (26) preambulumbekezdésében kimondott elveket is tükrözi. Mindazonáltal a Bírósághoz benyújtott iratokból nem tűnik ki, hogy az alapügyben olyan jogalkotási intézkedésről is szó lenne, amely az e (3) bekezdés értelmében vett „az érintett személy tájékoztatásának késleltetésére vagy korlátozására” irányul.
37 A fentiekre tekintettel meg kell állapítani, hogy kérdésével a kérdést előterjesztő bíróság lényegében arra vár választ, hogy a 2016/680 irányelv 5. és 10. cikkével, 13. cikke (2) bekezdésének b) pontjával, valamint 16. cikkének (2) és (3) bekezdésével összefüggésben értelmezett 4. cikke (1) bekezdésének c) és e) pontját a Charta 7. és 8. cikke fényében úgy kell‑e értelmezni, hogy azzal ellentétes az olyan nemzeti szabályozás, amely előírja a közvádra üldözendő szándékos bűncselekmény miatt jogerősen elítélt személyek személyes adatainak – többek között biometrikus és genetikai adatainak – a rendőrhatóságok által a bűncselekmények megelőzése, nyomozása, felderítése, a vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása céljából történő, akár az érintett személy haláláig való tárolását, még akkor is, ha mentesült a büntetett előélethez fűződő hátrányos jogkövetkezmények alól, anélkül hogy számára egyébként elismerné az említett adatok törléséhez vagy adott esetben a kezelésük korlátozásához való jogot.
38 Elöljáróban meg kell jegyezni, hogy az előterjesztett kérdés a személyes adatoknak a 2016/680 irányelv 1. cikkének (1) bekezdése értelmében ezen irányelv hatálya alá tartozó céloknak megfelelő kezelésére vonatkozik. Mindazonáltal a belügyminisztériumról szóló törvénynek az előzetes döntéshozatalra utaló határozatban hivatkozott 27. cikkéből kitűnik, hogy a rendőrségi nyilvántartásban tárolt adatok a nemzetbiztonság védelme céljából is kezelhetők, amelyre ez az irányelv a 2. cikke (3) bekezdésének a (14) preambulumbekezdéssel összefüggésben értelmezett a) pontja értelmében nem alkalmazandó. A kérdést előterjesztő bíróság feladata tehát meggyőződni arról, hogy az alapeljárás felperese adatainak tárolása nem alkalmas arra, hogy a nemzetbiztonság védelmével kapcsolatos célokat szolgáljon, mivel e 2. cikk (3) bekezdésének a) pontja az uniós jog alkalmazása alóli kivételre vonatkozik, amely kivételt szigorúan kell értelmezni (lásd analógia útján: 2021. június 22‑i Latvijas Republikas Saeima [Büntetőpontok] ítélet, C‑439/19, EU:C:2021:504, 62. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
39 Elsősorban emlékeztetni kell arra, hogy a magánélet tiszteletben tartásához és a személyes adatok védelméhez fűződő, a Charta 7. és 8. cikkében biztosított alapvető jogok nem korlátlan jogosultságokat jelentenek, hanem azokat a társadalomban betöltött szerepük alapján kell megítélni, és más alapvető jogokkal szemben kell mérlegelni. Ezen alapvető jogok gyakorlása a Charta 52. cikke (1) bekezdésének megfelelően csak a törvény által, és az említett alapvető jogok lényeges tartalmának, valamint az arányosság elvének tiszteletben tartásával korlátozható. Ezen utóbbi elv értelmében a korlátozásukra csak akkor és annyiban kerülhet sor, ha és amennyiben az elengedhetetlen és ténylegesen az Unió által elismert általános érdekű célkitűzéseket vagy mások jogainak és szabadságainak védelmét szolgálja. A korlátozásoknak a feltétlenül szükséges határokon belül kell maradniuk, és a szóban forgó korlátozásokat tartalmazó szabályozásnak egyértelmű és pontos szabályokat kell tartalmaznia e korlátozások terjedelmére és alkalmazására vonatkozóan (lásd ebben az értelemben: 2021. június 22‑i Latvijas Republikas Saeima [Büntetőpontok] ítélet, C‑439/19, EU:C:2021:504, 105. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
40 Amint azt lényegében a 2016/680 irányelv (26) preambulumbekezdése hangsúlyozza, e követelmények nem teljesülnek, ha a közérdekű cél egyéb olyan eszközzel is észszerűen és hasonló hatékonysággal elérhető, amely nem sérti az érintett alapvető jogait (lásd analógia útján: 2021. június 22‑i Latvijas Republikas Saeima [Büntetőpontok] ítélet, C‑439/19, EU:C:2021:504, 110. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
41 Másodsorban, először is az említett irányelv 4. cikke (1) bekezdésének c) pontja értelmében a tagállamoknak elő kell írniuk, hogy a személyes adatok az adatkezelés céljai szempontjából megfelelőek és relevánsak legyenek, és a szükségesre korlátozódjanak. E rendelkezés tehát megköveteli, hogy a tagállamok tiszteletben tartsák az „adattakarékosság” elvét, amely az arányosság elvét fejezi ki (lásd ebben az értelemben: 2021. június 22‑i Latvijas Republikas Saeima [Büntetőpontok] ítélet, C‑439/19, EU:C:2021:504, 98. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
42 Ebből következik, hogy többek között a személyes adatoknak a büntetőeljárás keretében történő gyűjtése és azoknak a rendőrhatóságok által az ezen irányelv 1. cikkének (1) bekezdésében meghatározott célokból történő tárolása, mint minden, ezen irányelv hatálya alá tartozó adatkezelés, tiszteletben kell, hogy tartsa e követelményeket. Az ilyen tárolás egyébiránt a magánélet tiszteletben tartásához és a személyes adatok védelméhez való alapvető jogba való beavatkozásnak minősül, függetlenül attól, hogy a tárolt információk különleges jellemzőkkel bírnak‑e, vagy hogy az érintetteknek ez a beavatkozás okozott‑e esetleges kellemetlenségeket, vagy sem, illetve hogy a tárolt adatokat később felhasználják‑e, vagy sem (lásd analógia útján: 2022. április 5‑i Commissioner of An Garda Síochána és társai ítélet, C‑140/20, EU:C:2022:258, 44. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
43 Ezenkívül, ami közelebbről az említett adatok tárolási időtatamának arányos jellegét illeti, a tagállamoknak a 2016/680 irányelv 4. cikke (1) bekezdésének e) pontja értelmében elő kell írniuk, hogy ezen adatokat olyan formában tárolják, amely az érintettek azonosítását csak az adatkezelés céljai szempontjából szükséges ideig teszi lehetővé.
44 Ennek keretében ezen irányelv 5. cikke arra kötelezi a tagállamokat, hogy megfelelő határidőket állapítsanak meg a személyes adatok törlésére vagy tárolásuk szükségességének rendszeres felülvizsgálatára, valamint hogy olyan eljárási szabályokat írjanak elő, amelyek biztosítják e határidők betartását.
45 Amint azt a 2016/680 irányelv (26) preambulumbekezdése kimondja, e rendelkezés annak biztosítására irányul, hogy a személyes adatok tárolása az ezen irányelv 4. cikke (1) bekezdésének e) pontjában foglalt követelményeknek megfelelően a szükséges időtartamra korlátozódjon. Bár az irányelv a tagállamokra bízza, hogy megfelelő határidőket állapítsanak meg a tárolás időtartamára vonatkozóan, és döntsenek arról, hogy e határidők az említett adatok törlésére vagy tárolásuk szükségességének rendszeres felülvizsgálatára vonatkoznak‑e, mindazonáltal e határidők betartását megfelelő eljárási intézkedésekkel kell biztosítaniuk. E határidők „megfelelő” jellege azonban mindenesetre megköveteli, hogy az említett irányelvnek a Charta 52. cikkének (1) bekezdésével összefüggésben értelmezett 4. cikke (1) bekezdésének c) és e) pontja értelmében az említett határidők adott esetben lehetővé tegyék az érintett adatok törlését abban az esetben, ha a tárolásuk az adatkezelést igazoló célokra tekintettel már nem szükséges.
46 Annak érdekében, hogy az érintettek ellenőrizhessék a „megfelelő” jelleget, és adott esetben kérhessék a törlést, a 2016/680 irányelv 13. cikke (2) bekezdésének b) pontja és 14. cikkének d) pontja előírja, hogy az érintettek főszabály szerint – amennyiben lehetséges – tájékoztatást kapjanak a személyes adatok tárolásának időtartamáról, vagy ha ez nem lehetséges, az ezen időtartam meghatározásának szempontjairól.
47 Továbbá a 2016/680 irányelv 10. cikke a személyes adatok különleges kategóriáinak, többek között a biometrikus és genetikai adatoknak a kezelését szabályozó különös rendelkezésnek minősül. E rendelkezés célja az érintett személy fokozott védelmének biztosítása, amennyiben a szóban forgó adatok különleges érzékenysége és kezelésük körülményei miatt – amint az az említett irányelv (37) preambulumbekezdéséből kitűnik – jelentős kockázatot hordozhatnak az olyan alapvető jogokra és szabadságokra nézve, mint a magánélet tiszteletben tartásához való jog és a személyes adatok védelméhez való jog, amelyeket a Charta 7. és 8. cikke garantál (2023. január 26‑i Ministerstvo na vatreshnite raboti [A biometrikus és genetikai adatok rendőrség általi nyilvántartásba vétele] ítélet, C‑205/21, EU:C:2023:49, 116. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
48 Közelebbről, e 10. cikk kimondja azt a követelményt, amely szerint a különleges adatok kezelése csak akkor megengedett, „ha arra feltétlenül szükség van”, amely az ilyen adatok kezelése jogszerűségének szigorúbb feltételét képezi, és többek között magában foglalja az „adattakarékosság” 2016/680 irányelv 4. cikke (1) bekezdésének c) pontjából következő elvének való megfelelés különösen szigorú ellenőrzését, amelynek e követelmény az említett különleges adatokra való konkrét alkalmazását jelenti (lásd ebben az értelemben: 2023. január 26‑i Ministerstvo na vatreshnite raboti [A biometrikus és genetikai adatok rendőrség általi nyilvántartásba vétele] ítélet, C‑205/21, EU:C:2023:49, 117., 122. és 125. pont).
49 Végül a 2016/680 irányelv 16. cikkének (2) bekezdése bevezeti a személyes adatok törléséhez való jogot, ha az adatkezelés sérti az ezen irányelv 4., 8. vagy 10. cikke alapján elfogadott rendelkezéseket, vagy ha ezeket az adatokat az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez törölni kell.
50 E 16. cikk (2) bekezdéséből következik, hogy a törléshez való ezen jog többek között akkor gyakorolható, ha a személyes adatok tárolása az adatkezelés célja szempontjából nem, vagy már nem szükséges, mivel az ellentétben állna az említett irányelv 4. cikke (1) bekezdésének c) és e) pontját, valamint adott esetben az irányelv 10. cikkét végrehajtó nemzeti jogi rendelkezésekkel, vagy ha e törlés az ugyanezen irányelv 5. cikke alapján a nemzeti jog által e célból meghatározott határidő tiszteletben tartásához szükséges.
51 Ugyanakkor a 2016/680 irányelv 16. cikkének (3) bekezdése alapján a nemzeti jognak elő kell írnia, hogy az adatkezelő törlés helyett korlátozza az ilyen adatok kezelését, ha e rendelkezés a) pontjával összhangban az érintett vitatja a személyes adatok pontosságát, és nem állapítható meg, hogy az adatok pontossága vagy pontatlansága nem állapítható meg egyértelműen, vagy ha a b) pont szerint a személyes adatokat bizonyítás céljából kell tárolni.
52 A fentiekből következik, hogy a 2016/680 irányelvnek a jelen ítélet 41–51. pontjában vizsgált rendelkezései olyan általános keretet állapítanak meg, amely lehetővé teszi többek között annak biztosítását, hogy a személyes adatok tárolása, és különösen annak időtartama az adattárolás céljainak szempontjából szükséges mértékre korlátozódjon, ugyanakkor e keret tiszteletben tartása mellett a tagállamokra bízza azon konkrét helyzetek meghatározását, amelyekben az érintett személy alapvető jogainak védelme megköveteli ezen adatok törlését, és azon időpont meghatározását, amikor e törlésnek meg kell történnie. Ezzel szemben, amint arra a főtanácsnok az indítványának 28. pontjában lényegében rámutatott, e rendelkezések nem követelik meg, hogy a tagállamok olyan abszolút időbeli korlátokat határozzanak meg a személyes adatok tárolására vonatkozóan, amelyen túl azokat automatikusan törölni kellene.
53 A jelen ügyben a Bíróság rendelkezésére álló iratokból kitűnik, hogy a rendőrségi nyilvántartásban a belügyminisztériumról szóló törvény 68. cikke alapján szereplő személyes adatokat kizárólag operatív nyomozási tevékenység céljából, konkrétabban a más bűncselekményekkel kapcsolatos nyomozás során gyűjtött adatokkal való összehasonlítás céljából tárolják.
54 E tekintetben elsősorban hangsúlyozni kell, hogy a jogerős büntetőítélettel elítélt személyekre vonatkozó adatoknak a rendőrségi nyilvántartásban való tárolása a jelen ítélet előző pontjában megjelölt célokból szükséges lehet, még azt követően is, hogy ezt az ítéletet törölték a bűnügyi nyilvántartásból, és következésképpen a nemzeti jogszabályok által az ezen elítéléshez fűzött jogkövetkezmények megszűnnek. E személyek ugyanis más bűncselekményekben is érintettek lehetnek, mint amelyek miatt elítélték őket, vagy éppen ellenkezőleg, az e hatóságok által tárolt adatoknak a más bűncselekményekre vonatkozó eljárások során gyűjtött adatokkal való összehasonlítása révén felmenthetők.
55 Így az ilyen adattárolás hozzájárulhat a 2016/680 irányelv (27) preambulumbekezdésében meghatározott közérdekű célkitűzéshez, amely szerint a bűncselekmények megelőzése, nyomozása és a vádeljárás lefolytatása érdekében szükséges, hogy az illetékes hatóságok azokat a személyes adatokat, amelyeket konkrét bűncselekmények megelőzésével, nyomozásával, felderítésével vagy a vádeljárás lefolytatásával összefüggésben gyűjtöttek, ennél szélesebb összefüggésben is kezeljék annak érdekében, hogy megértsék a bűnözői tevékenységeket és a különböző felderített bűncselekmények közötti összefüggéseket feltárják (lásd ebben az értelemben: 2023. január 26‑i Ministerstvo na vatreshnite raboti [A biometrikus és genetikai adatok rendőrség általi nyilvántartásba vétele] ítélet, C‑205/21, EU:C:2023:49, 98. pont).
56 Másodsorban, a Bíróság rendelkezésére álló iratokból kitűnik, hogy az alapügyben szóban forgó rendőrségi nyilvántartásban az érintett személynek a személyazonosító okmányokra vonatkozó bolgár szabályozásban meghatározott adatait, az ujjlenyomatát, az arcképmását, valamint a DNS‑profilkészítés céljából vett mintát tárolják, amelyekhez – amint azt a bolgár kormány a tárgyaláson megerősítette – hozzáadódnak az érintett személy által elkövetett bűncselekményekre és az e tekintetben hozott ítéletekre vonatkozó adatok. Márpedig e különböző adatkategóriák elengedhetetlennek bizonyulhatnak annak vizsgálatához, hogy az érintett személy más bűncselekményekben is érintett‑e, mint amelyek miatt jogerősen elítélték. Következésképpen főszabály szerint az adatkezelés célja szempontjából megfelelőnek és relevánsnak tekinthetők a 2016/680 irányelv 4. cikke (1) bekezdésének c) pontja értelmében véve.
57 Harmadsorban, az ilyen tárolásnak a céljai szempontjából vett arányosságát a nemzeti jog által előírt megfelelő technikai és szervezési intézkedések figyelembevételével kell értékelni, amelyek célja a 2016/680 irányelv 20. és 29. cikkével összhangban, hogy az ezen irányelv követelményeivel ellentétes adatkezeléssel szemben garantálják a tárolt adatok titkosságát és biztonságát, különösen pedig az ezen irányelv 20. cikkének (2) bekezdésében említett intézkedések figyelembevételével, amelyek biztosítják, hogy kizárólag olyan személyes adatok kezelésére kerüljön sor, amelyek az adott konkrét adatkezelési cél szempontjából szükségesek.
58 Negyedsorban, ami az alapügyben szóban forgó személyes adatok tárolási időtartamát illeti, a jelen ügyben az előzetes döntéshozatal iránti kérelemből kitűnik, hogy az említett adatokat csak abban az esetben tárolják az érintett személy haláláig, ha közvádra üldözendő szándékos bűncselekmény miatt ítélték el jogerősen, mivel a nemzeti szabályozás más esetekben az ilyen bűncselekmény miatt büntetőeljárás alá vont személyek nyilvántartásba vett adatainak törlését írja elő.
59 E tekintetben azonban meg kell állapítani, hogy a „közvádra üldözendő szándékos bűncselekmény” fogalma különösen általános jellegű, és nagyszámú bűncselekményre alkalmazható, azok jellegétől és súlyosságától függetlenül (lásd ebben az értelemben: 2023. január 26‑i Ministerstvo na vatreshnite raboti [A biometrikus és genetikai adatok rendőrség általi nyilvántartásba vétele] ítélet, C‑205/21, EU:C:2023:49, 129. pont).
60 Márpedig, amint arra lényegében a főtanácsnok is rámutatott az indítványának 73. és 74. pontjában, az e fogalom alá tartozó bűncselekmény miatt jogerősen elítélt személyek esetében nem azonos mértékű annak a kockázata, hogy más bűncselekményekben is érintettek, ami igazolhatná az adataik tárolásának egységes időtartamát. Így bizonyos esetekben olyan tényezőkre tekintettel, mint az elkövetett bűncselekmény jellege és súlya, illetve a visszaesés hiánya, az elítélt által jelentett veszély nem feltétlenül igazolja azt, hogy az adatait az e célból létrehozott nemzeti rendőrségi nyilvántartásban a haláláig tárolják. Ilyen esetekben már nem áll fenn a tárolt adatok és az elérni kívánt cél közötti szükséges összefüggés (lásd analógia útján: 2017. július 26‑i 1/15 [EU‑Kanada PNR‑megállapodás] vélemény, EU:C:2017:592, 205. pont). Ennélfogva a tárolásuk nem felel meg az ezen irányelv 4. cikke (1) bekezdésének c) pontjában meghatározott adattakarékosság elvének, és az említett irányelv 4. cikke (1) bekezdésének e) pontjával ellentétben meghaladja a kezelésük céljainak eléréséhez szükséges időtartamot.
61 E tekintetben pontosítani kell, hogy – amint azt a főtanácsnok az indítványának 70. pontjában lényegében hangsúlyozta – kétségtelen, hogy az ilyen személynek az alapügyben bekövetkezetthez hasonló olyan mentesítése, amely az ítéletnek a bűnügyi nyilvántartásból való törlését vonja maga után, önmagában nem szünteti meg az adatai rendőrségi nyilvántartásban való tárolásának szükségességét, mivel ez a nyilvántartás a büntetett előéletet tartalmazó bűnügyi nyilvántartástól eltérő célokat szolgál. Mindazonáltal, amennyiben – mint a jelen ügyben is – a nemzeti büntetőjog alkalmazandó rendelkezései értelmében az ilyen mentesítés attól függ, hogy az érintett a büntetés letöltését követő bizonyos időn belül nem követ el újabb, közvádra üldözendő szándékos bűncselekményt, ez a mentesítés arra utaló valószínűsítő körülménynek minősülhet, hogy az érintett személy a bűnözés elleni küzdelemre vagy a közrend fenntartására irányuló célok szempontjából kevésbé jelent veszélyt, tehát a tárolás szükséges időtartamának csökkentésére alkalmas tényezőnek minősülhet.
62 Ötödsorban, a Charta 52. cikkének (1) bekezdésében kimondott arányosság elve többek között magában foglalja a követett cél jelentőségének és a szóban forgó alapvető jogok gyakorlásába való beavatkozás súlyának egymással szembeni mérlegelését (lásd ebben az értelemben: 2022. november 22‑i Luxembourg Business Registers ítélet, C‑37/20 és C‑601/20, EU:C:2022:912, 66. pont).
63 A jelen ügyben, amint arra a jelen ítélet 35. pontja emlékeztet, a személyes adatoknak a szóban forgó rendőrségi nyilvántartásban való tárolása biometrikus és genetikai adatokra is kiterjed. Hangsúlyozni kell tehát, hogy tekintettel azon jelentős kockázatokra, amelyekkel az ilyen különleges adatok kezelése az érintett személyek jogaira és szabadságaira nézve, különösen az illetékes hatóságoknak a 2016/680 irányelv 1. cikkének (1) bekezdésében meghatározott célokból végzett feladataival összefüggésben jár, a követett cél különös jelentőségét a releváns tényezők összessége alapján kell értékelni. Az értékelendő releváns tényezők közé tartozik különösen az a tény, hogy az adatkezelés a bűncselekmények vagy a közbiztonságot fenyegető, bizonyos fokú súlyosságot mutató fenyegetések megelőzésével, az ilyen bűncselekmények üldözésével vagy az ilyen veszélyekkel szembeni védelemmel kapcsolatos konkrét célt szolgál, valamint azon sajátos körülmények fényében, amelyek között ezen adatkezelést végzik (lásd: 2023. január 26‑i Ministerstvo na vatreshnite raboti [A biometrikus és genetikai adatok rendőrség általi nyilvántartásba vétele] ítélet, C‑205/21, EU:C:2023:49, 127. pont).
64 Ebben az összefüggésben a Bíróság megállapította, hogy az a nemzeti szabályozás, amely előírja a közvádra üldözendő szándékos bűncselekménnyel gyanúsított személy biometrikus és genetikai adatainak nyilvántartásba vételük céljából történő rendszeres gyűjtését, főszabály szerint ellentétes a 2016/680 irányelv 10. cikkében kimondott és a jelen ítélet 48. pontjában felidézett feltétlen szükségesség követelményével. Az ilyen szabályozás ugyanis különbségtétel nélkül és általános jelleggel a gyanúsított személyek többsége biometrikus és genetikai adatainak gyűjtéséhez vezethet (lásd ebben az értelemben: 2023. január 26‑i Ministerstvo na vatreshnite raboti [A biometrikus és genetikai adatok rendőrség általi nyilvántartásba vétele] ítélet, C‑205/21, EU:C:2023:49, 128. és 129. pont).
65 Az Emberi Jogok Európai Bírósága úgy ítélte meg, hogy az előtte folyamatban lévő ügyben szóban forgó nemzeti szabályozás által előírt, a bűncselekmények elkövetésével gyanúsított, de el nem ítélt személyek ujjlenyomatainak, biológiai mintáinak és DNS‑profiljainak általános és különbségtétel nélküli tárolására vonatkozó hatáskör nem tükrözi a szóban forgó köz‑ és magánérdekek közötti megfelelő egyensúlyt, és ezért ezen adatok tárolása aránytalan beavatkozást jelent a felperesek magánéletük tiszteletben tartásához való jogába, és egy demokratikus társadalomban nem tekinthető szükségesnek, ezért e beavatkozás az emberi jogok és alapvető szabadságok védelméről szóló, Rómában 1950. november 4‑én aláírt európai egyezmény (kihirdette: az 1993. évi XXXI. törvény) 8. cikkének a megsértésének minősül (EJEB, 2008. december 4., S és Marper kontra Egyesült Királyság, CE:ECHR:2008:1204JUD003056204, 125. és 126. §).
66 Kétségtelen, hogy a jogerős büntetőítélettel elítélt személyek biometrikus és genetikai adatainak – akár halálukig történő – tárolása a 2016/680 irányelv 10. cikke értelmében véve feltétlenül szükséges lehet, többek között annak érdekében, hogy lehetővé váljon a más bűncselekményekben való esetleges részvételük vizsgálata, és ezáltal e bűncselekmények elkövetőinek büntetőeljárás alá vonása és elítélése. Figyelembe kell venni ugyanis azt, hogy az ilyen típusú adatok milyen jelentőséggel bírnak – akár több évvel a tényállás megvalósítását követően is – a bűnügyi nyomozások szempontjából, különösen akkor, ha az említett bűncselekmények súlyos bűncselekményeknek minősülnek (lásd ebben az értelemben: EJEB, 2020. február 13., Gaughran kontra Egyesült Királyság, CE:ECHR:2020:0213JUD004524515, 93. §).
67 Mindazonáltal a biometrikus és genetikai adatok tárolása csak akkor tekinthető olyannak, mint amely megfelel a 2016/680 irányelv 10. cikke értelmében vett azon követelménynek, amely szerint kezelésük csak akkor megengedett, „ha arra feltétlenül szükség van”, ha figyelembe veszi a jogerős büntetőítélet alapjául szolgáló bűncselekmény jellegét vagy súlyát, vagy más olyan körülményeket, mint például e bűncselekmény elkövetésének sajátos körülményeit, más folyamatban lévő eljárásokkal való esetleges kapcsolatát, vagy az elítélt személy előéletét, illetve profilját. Következésképpen abban az esetben, ha a nemzeti szabályozás – az alapügy tárgyát képezőhöz hasonlóan – előírja, hogy az érintett személynek a rendőrségi nyilvántartásba bejegyzett biometrikus és genetikai adatait jogerős elítélése esetén az adott személy haláláig kell tárolni, ezen adattárolás hatálya – amint az a fenti 59. és 60. pontban megállapításra került – az adatkezelés céljai szempontjából túlzott mértékű.
68 Hatodsorban, ami egyrészt a tagállamokat terhelő, a 2016/680 irányelv 5. cikkében foglalt azon kötelezettséget illeti, hogy megfelelő határidőket állapítsanak meg, meg kell jegyezni, hogy a jelen ítélet 59., 60. és 67. pontjában kifejtett okokból, valamint az ezen irányelv 4. cikke (1) bekezdésének c) és e) pontjában, valamint 10. cikkében foglalt követelményekre tekintettel valamely határidő – különösen a közvádra üldözendő szándékos bűncselekmény miatt jogerősen elítélt valamennyi személy biometrikus és genetikai adatainak tárolása tekintetében – csak akkor tekinthető ugyanezen 5. cikk értelmében „megfelelőnek”, ha figyelembe veszi az ilyen tárolási időtartamot szükségessé tevő, a jelen ítélet 67. pontjában említettekhez hasonló releváns körülményeket.
69 Következésképpen, még ha a nemzeti jogszabályban a tárolt adatok törlése kapcsán az érintett személy halálának bekövetkezésére való hivatkozás az említett 5. cikk értelmében vett „határidőnek” minősülhet is, az ilyen határidő csak az azt kellőképpen igazoló különleges körülmények között tekinthető „megfelelőnek”. Márpedig nyilvánvalóan nem ez a helyzet, ha ez általános jelleggel és különbségtétel nélkül alkalmazandó minden jogerősen elítélt személyre.
70 Kétségtelen, hogy – amint az a jelen ítélet 45. pontjában megállapításra került – a 2016/680 irányelv 5. cikke a tagállamokra bízza annak eldöntését, hogy a határidőket az említett adatok törlésére vagy tárolásuk szükségességének rendszeres felülvizsgálatára vonatkozóan határozzák‑e meg. Ugyanezen pontból azonban az is kitűnik, hogy az ilyen rendszeres felülvizsgálat kapcsán meghatározott határidő „megfelelő” jellege megköveteli, hogy e határidő ezen irányelvnek a Charta 52. cikke (1) bekezdésével összefüggésben értelmezett 4. cikke (1) bekezdésének c) és e) pontja értelmében lehetővé tegye a szóban forgó adatok törlését abban az esetben, ha a tárolásuk már nem szükséges. Márpedig az előző pontjában felidézett okokból ez a követelmény nem teljesül, ha – mint a jelen ügyben is – a nemzeti szabályozás a közvádra üldözendő szándékos bűncselekmény miatt jogerősen elítélt személy vonatkozásában az adatok törlését kizárólag halála esetén teszi lehetővé.
71 Másrészt, ami az ezen irányelv 16. cikkének (2) és (3) bekezdésében az adatok törléséhez és kezelésük korlátozásához való jogra vonatkozó feltételeket illetően előírt garanciákat illeti, a jelen ítélet 50. és 51. pontjából az következik, hogy e rendelkezésekkel ellentétes az olyan nemzeti szabályozás is, amely nem teszi lehetővé a közvádra üldözendő szándékos bűncselekmény miatt jogerősen elítélt személy számára e jogok gyakorlását.
72 A fenti megfontolások összességére tekintettel az előterjesztett kérdésre azt a választ kell adni, hogy a 2016/680 irányelv 5. és 10. cikkével, 13. cikke (2) bekezdésének b) pontjával, valamint 16. cikkének (2) és (3) bekezdésével összefüggésben értelmezett 4. cikke (1) bekezdésének c) és e) pontját a Charta 7. és 8. cikkének fényében úgy kell értelmezni, hogy azzal ellentétes az olyan nemzeti szabályozás, amely előírja a közvádra üldözendő szándékos bűncselekmény miatt jogerősen elítélt személyek személyes adatainak – többek között biometrikus és genetikai adatainak – a rendőrhatóságok által a bűncselekmények megelőzése, nyomozása, felderítése, a vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása céljából történő, akár az érintett személy haláláig való tárolását, még akkor is, ha mentesült a büntetett előélethez fűződő hátrányos jogkövetkezmények alól, anélkül hogy az adatkezelőt arra kötelezné, hogy rendszeresen felülvizsgálja e tárolás további szükségességét, vagy az említett személy számára elismerné az ezen adatok törléséhez való jogot, amint az az adatkezelés céljainak szempontjából már nem szükséges, illetve adott esetben az adatkezelés korlátozásához való jogot.
A költségekről
73 Mivel ez az eljárás az alapeljárásban részt vevő felek számára a kérdést előterjesztő bíróság előtt folyamatban lévő eljárás egy szakaszát képezi, ez a bíróság dönt a költségekről. Az észrevételeknek a Bíróság elé terjesztésével kapcsolatban felmerült költségek, az említett felek költségeinek kivételével, nem téríthetők meg.
A fenti indokok alapján a Bíróság (nagytanács) a következőképpen határozott:
A személyes adatoknak az illetékes hatóságok által a bűncselekmények megelőzése, nyomozása, felderítése, a vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása céljából végzett kezelése tekintetében a természetes személyek védelméről és az ilyen adatok szabad áramlásáról, valamint a 2008/977/IB tanácsi kerethatározat hatályon kívül helyezéséről szóló, 2016. április 27‑i (EU) 2016/680 európai parlamenti és tanácsi irányelv 5. és 10. cikkével, 13. cikke (2) bekezdésének b) pontjával, valamint 16. cikkének (2) és (3) bekezdésével összefüggésben értelmezett 4. cikke (1) bekezdésének c) és e) pontját az Európai Unió Alapjogi Chartája 7. és 8. cikkének fényében
a következőképpen kell értelmezni:
azzal ellentétes az olyan nemzeti szabályozás, amely előírja a közvádra üldözendő szándékos bűncselekmény miatt jogerősen elítélt személyek személyes adatainak – többek között biometrikus és genetikai adatainak – a rendőrhatóságok által a bűncselekmények megelőzése, nyomozása, felderítése, a vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása céljából történő, akár az érintett személy haláláig való tárolását, még akkor is, ha mentesült a büntetett előélethez fűződő hátrányos jogkövetkezmények alól, anélkül hogy az adatkezelőt arra kötelezné, hogy rendszeresen felülvizsgálja e tárolás további szükségességét, vagy az említett személy számára elismerné az ezen adatok törléséhez való jogot, amint az az adatkezelés céljainak szempontjából már nem szükséges, illetve adott esetben az adatkezelés korlátozásához való jogot.
Aláírások