Voorlopige editie
ARREST VAN HET HOF (Grote kamer)
30 januari 2024 (*)
„Prejudiciële verwijzing – Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens met het oog op de bestrijding van strafbare feiten – Richtlijn (EU) 2016/680 – Artikel 4, lid 1, onder c) en e) – Minimale gegevensverwerking – Beperking van de opslag – Artikel 5 – Passende termijnen voor het wissen van de gegevens of voor de periodieke evaluatie van de noodzaak van de opslag ervan – Artikel 10 – Verwerking van biometrische en genetische gegevens – Absolute noodzaak – Artikel 16, leden 2 en 3 – Recht op gegevenswissing – Beperking van de verwerking – Artikel 52, lid 1, van het Handvest van de grondrechten van de Europese Unie – Natuurlijke persoon die bij onherroepelijk vonnis is veroordeeld en nadien is gerehabiliteerd – Opslag van de gegevens totdat de betrokkene overlijdt – Geen recht op gegevenswissing of beperking van de verwerking – Evenredigheid”
In zaak C‑118/22,
betreffende een verzoek om een prejudiciële beslissing krachtens artikel 267 VWEU, ingediend door de Varhoven administrativen sad (hoogste bestuursrechter, Bulgarije) bij beslissing van 10 januari 2022, ingekomen bij het Hof op 17 februari 2022, in de procedure
NG
tegen
Direktor na Glavna direktsia „Natsionalna politsia” pri Ministerstvo na vatreshnite raboti – Sofia,
in tegenwoordigheid van:
Varhovna administrativna prokuratura,
wijst
HET HOF (Grote kamer),
samengesteld als volgt: K. Lenaerts, president, L. Bay Larsen, vicepresident, A. Arabadjiev, A. Prechal, K. Jürimäe, N. Piçarra en O. Spineanu-Matei, kamerpresidenten, M. Ilešič, J.‑C. Bonichot, L. S. Rossi, I. Jarukaitis, A. Kumin, N. Jääskinen, N. Wahl en D. Gratsias (rapporteur), rechters,
advocaat-generaal: P. Pikamäe,
griffier: R. Stefanova-Kamisheva, administrateur,
gezien de stukken en na de terechtzitting op 7 februari 2023,
gelet op de opmerkingen van:
– NG, vertegenwoordigd door P. Kuyumdzhiev, advokat,
– de Bulgaarse regering, vertegenwoordigd door M. Georgieva, T. Mitova en E. Petranova als gemachtigden,
– de Tsjechische regering, vertegenwoordigd door O. Serdula, M. Smolek en J. Vláčil als gemachtigden,
– Ierland, vertegenwoordigd door M. Browne, A. Joyce en M. Tierney als gemachtigden, bijgestaan door D. Fennelly, BL,
– de Spaanse regering, vertegenwoordigd door A. Ballesteros Panizo en J. Rodríguez de la Rúa Puig als gemachtigden,
– de Nederlandse regering, vertegenwoordigd door A. Hanje als gemachtigde,
– de Poolse regering, vertegenwoordigd door B. Majczyna, D. Łukowiak en J. Sawicka als gemachtigden,
– de Europese Commissie, vertegenwoordigd door A. Bouchagiar, C. Georgieva, H. Kranenborg en F. Wilman als gemachtigden,
gehoord de conclusie van de advocaat-generaal ter terechtzitting van 15 juni 2023,
het navolgende
Arrest
1 Het verzoek om een prejudiciële beslissing betreft de uitlegging van artikel 5, lid 1, van richtlijn (EU) 2016/680 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, en betreffende het vrije verkeer van die gegevens en tot intrekking van kaderbesluit 2008/977/JBZ van de Raad (PB 2016, L 119, blz. 89), gelezen in samenhang met artikel 13, lid 2, onder b), en lid 3, van deze richtlijn.
2 Dit verzoek is ingediend in het kader van een geding tussen NG en de Direktor na Glavna direktsia „Natsionalna politsia” pri Ministerstvo na vatreshnite raboti – Sofia (directeur van het directoraat-generaal „Nationale politie” bij het ministerie van Binnenlandse Zaken, Bulgarije) (hierna: „DGNP”) over de afwijzing door deze laatste van het verzoek van NG om te worden geschrapt uit het nationale bestand waarin de Bulgaarse politiediensten personen registreren die worden vervolgd wegens een ambtshalve vervolgbaar opzettelijk gepleegd strafbaar feit (hierna: „politiebestand”), welk verzoek berust op het feit dat hij na een onherroepelijke strafrechtelijke veroordeling is gerehabiliteerd.
Toepasselijke bepalingen
Unierecht
3 De overwegingen 11, 14, 26, 27, 37, 47 en 104 van richtlijn 2016/680 luiden:
„(11) [Het is] aangewezen dat [de justitiële samenwerking in strafzaken en de politiële samenwerking] worden behandeld in een richtlijn waarin specifieke regels worden vastgesteld betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing of de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid, daarbij rekening houdend met de specifieke aard van die activiteiten. [...]
[...]
(14) Aangezien deze richtlijn niet mag gelden voor de verwerking van persoonsgegevens in de loop van een activiteit die buiten het toepassingsgebied van het Unierecht valt, mogen activiteiten die de nationale veiligheid betreffen, [...] niet als binnen het toepassingsgebied van deze richtlijn vallende activiteiten worden beschouwd.
[...]
(26) [...] [Er moet voor] worden gezorgd dat niet bovenmatig veel gegevens worden verzameld en dat zij niet langer worden bewaard dan noodzakelijk is voor het doel waarvoor zij worden verwerkt. Persoonsgegevens mogen alleen worden verwerkt indien het doel van de verwerking niet redelijkerwijs op een andere manier kan worden verwezenlijkt. Om ervoor te zorgen dat gegevens niet langer worden bewaard dan noodzakelijk is, dient de verwerkingsverantwoordelijke termijnen vast te stellen voor het wissen van gegevens of voor een periodieke toetsing ervan. [...]
(27) Met het oog op de voorkoming, het onderzoek en de vervolging van strafbare feiten is het noodzakelijk dat bevoegde autoriteiten de persoonsgegevens die zij in het kader van de voorkoming, het onderzoek, de opsporing en de vervolging van bepaalde strafbare feiten hebben verzameld, ook buiten dat kader verwerken, teneinde inzicht te verwerven in criminele activiteiten en verbanden te leggen tussen verschillende opgespoorde strafbare feiten.
[...]
(37) Persoonsgegevens die door hun aard bijzonder gevoelig zijn wat betreft de grondrechten en fundamentele vrijheden verdienen specifieke bescherming aangezien de context van de verwerking ervan aanzienlijke risico’s voor de grondrechten en fundamentele vrijheden kan meebrengen. [...]
[...]
(47) [...] Een natuurlijke persoon dient tevens recht te hebben op verwerkingsbeperking [...] wanneer de persoonsgegevens moeten worden bewaard als bewijsmateriaal. Meer bepaald moeten persoonsgegevens niet worden gewist maar moet de verwerking worden beperkt indien in een specifiek geval redelijkerwijs kan worden aangenomen dat het wissen van de gegevens de legitieme belangen van de betrokkene zou kunnen schaden. In een dergelijk geval moeten de aan beperkingen onderworpen gegevens alleen worden verwerkt voor het doel dat aan het wissen in de weg staat. [...]
[...]
(104) Deze richtlijn eerbiedigt de grondrechten en neemt de beginselen in acht die erkend zijn in het [Handvest van de grondrechten van de Europese Unie (hierna: ‚Handvest’)], zoals vastgelegd in het VWEU, met name het recht op eerbiediging van het privéleven en het familie- en gezinsleven, het recht op bescherming van persoonsgegevens en het recht op een doeltreffende voorziening in rechte en op een onpartijdig gerecht. De beperkingen op de uitoefening van die rechten zijn in overeenstemming met artikel 52, lid 1, van het Handvest, omdat zij noodzakelijk zijn om te voldoen aan door de Unie erkende doeleinden van algemeen belang of aan de noodzaak van bescherming van de rechten en vrijheden van anderen.”
4 Artikel 1 („Onderwerp en doelstellingen”) van richtlijn 2016/680 bepaalt in lid 1:
„Bij deze richtlijn worden de regels vastgesteld betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing of de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid.”
5 Artikel 2 („Toepassingsgebied”) van deze richtlijn bepaalt in leden 1 en 3:
„1. Deze richtlijn is van toepassing op de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de doeleinden van artikel 1, lid 1.
[...]
3. Deze richtlijn is niet van toepassing op de verwerking van persoonsgegevens:
a) in het kader van activiteiten die buiten de werkingssfeer van het Unierecht vallen;
[...]”
6 In artikel 3 („Definities”) van die richtlijn staat te lezen:
„Voor de toepassing van deze richtlijn wordt verstaan onder:
[...]
2) ,verwerking’: een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens [...], zoals het [...] opslaan [...];
[...]”
7 Artikel 4 („Beginselen inzake verwerking van persoonsgegevens”) van richtlijn 2016/680 bepaalt in lid 1:
„De lidstaten schrijven voor dat persoonsgegevens:
[...]
c) toereikend, ter zake dienend en niet bovenmatig in verhouding tot de doeleinden waarvoor zij worden verwerkt, zijn;
[...]
e) worden bewaard in een vorm die het mogelijk maakt de betrokkenen niet langer te identificeren dan noodzakelijk is voor de doeleinden waarvoor de persoonsgegevens worden verwerkt;
[...]”
8 Artikel 5 („Termijnen voor opslag en evaluatie”) van deze richtlijn luidt:
„De lidstaten voorzien erin dat passende termijnen worden vastgelegd voor het wissen van persoonsgegevens of voor een periodieke evaluatie van de noodzaak van de opslag van persoonsgegevens. De naleving van die termijnen wordt met procedurele maatregelen gewaarborgd.”
9 In artikel 10 („Verwerking van bijzondere categorieën van persoonsgegevens”) van die richtlijn is bepaald:
„Verwerking van [...] genetische gegevens [en] biometrische gegevens met het oog op de unieke identificatie van een natuurlijke persoon [...] [is] slechts toegelaten wanneer de verwerking strikt noodzakelijk is [en] geschiedt met inachtneming van passende waarborgen voor de rechten en vrijheden van de betrokkene, [...]”.
10 Artikel 13 („Aan de betrokkene ter beschikking gestelde of verstrekte informatie”) van diezelfde richtlijn, bepaalt in lid 2 dat de lidstaten in aanvulling op de in lid 1 van dat artikel bedoelde informatie bij wet voorschrijven dat de verwerkingsverantwoordelijke de betrokkene in specifieke gevallen de in dat lid 2 genoemde verdere informatie moet verstrekken om hem in staat te stellen zijn rechten uit te oefenen. Deze verdere informatie omvat onder meer de onder b) van datzelfde lid 2 vermelde periode gedurende welke de persoonsgegevens zullen worden opgeslagen of, indien dat niet mogelijk is, de criteria om die termijn te bepalen. Daarnaast wordt in artikel 13, lid 3, van richtlijn 2016/680 vermeld om welke redenen de lidstaten wettelijke maatregelen kunnen treffen om de verstrekking van de in lid 2 van dat artikel bedoelde informatie aan de betrokkene uit te stellen, te beperken of achterwege te laten.
11 Artikel 14 („Recht op inzage van de betrokkene”) van richtlijn 2016/680 bepaalt:
„Behoudens artikel 15 schrijven de lidstaten voor dat de betrokkene het recht heeft om van de verwerkingsverantwoordelijke uitsluitsel te krijgen over de al dan niet verwerking van hem betreffende persoonsgegevens en, wanneer dat het geval is, om die persoonsgegevens in te zien en om de volgende informatie te verkrijgen:
[...]
d) indien mogelijk, de periode gedurende welke de persoonsgegevens naar verwachting zullen worden opgeslagen, of indien dat niet mogelijk is, de criteria om die termijn te bepalen;
[...]”
12 Artikel 16 („Recht op rectificatie of wissing van persoonsgegevens en verwerkingsbeperking”) van deze richtlijn bepaalt in leden 2 en 3:
„2. De lidstaten schrijven voor dat de verwerkingsverantwoordelijke de persoonsgegevens zonder onnodige vertraging wist, en voorzien in het recht voor de betrokkene om van de verwerkingsverantwoordelijke zonder onnodige vertraging wissing van hem betreffende persoonsgegevens te verkrijgen wanneer verwerking indruist tegen artikel 4, 8 of 10 of wanneer de persoonsgegevens moeten worden gewist om te voldoen aan een op de verwerkingsverantwoordelijke rustende wettelijke verplichting.
3. In plaats van tot wissing over te gaan, beperkt de verwerkingsverantwoordelijke de verwerking wanneer:
a) de juistheid van de persoonsgegevens door de betrokkene wordt betwist en de juistheid of onjuistheid niet kan worden geverifieerd; of
b) de persoonsgegevens als bewijsmateriaal moeten worden bewaard.
[...]”
13 Krachtens artikel 20 („Gegevensbescherming door ontwerp en door standaardinstellingen”) van die richtlijn moeten de lidstaten voorschrijven dat de verwerkingsverantwoordelijke passende technische en organisatorische maatregelen treft ter naleving van de voorschriften van deze richtlijn en ter bescherming van de rechten van de betrokkenen, en met name om ervoor te zorgen dat standaard alleen persoonsgegevens worden verwerkt die noodzakelijk zijn voor elk specifiek doel van de verwerking.
14 Artikel 29 („Beveiliging van de verwerking”) van richtlijn 2016/680 bepaalt in lid 1:
„De lidstaten schrijven voor dat de verwerkingsverantwoordelijke en de verwerker, rekening houdend met de stand van de techniek, de uitvoeringskosten en de aard, de reikwijdte, de context en de doeleinden van de verwerking, alsmede met de qua waarschijnlijkheid en ernst uiteenlopende risico’s voor de rechten en vrijheden van personen, passende technische en organisatorische maatregelen treffen om een op het risico afgestemd beveiligingsniveau te waarborgen, met name met betrekking tot de in artikel 10 bedoelde verwerking van bijzondere categorieën van persoonsgegevens.”
Bulgaars recht
Strafwetboek
15 Artikel 82, lid 1, van de Nakazatelen kodeks (strafwetboek, DV nr. 26 van 2 april 1968) in de versie ervan die van toepassing is op het hoofdgeding, bepaalt:
„De opgelegde straf wordt niet meer uitgevoerd na verloop van:
1. twintig jaar indien levenslange gevangenisstraf zonder mogelijkheid tot omzetting in een gevangenisstraf van bepaalde duur of levenslange gevangenisstraf is opgelegd;
2. vijftien jaar indien een gevangenisstraf van meer dan tien jaar is opgelegd;
3. tien jaar indien een gevangenisstraf van drie tot tien jaar is opgelegd;
4. vijf jaar indien een gevangenisstraf van minder dan drie jaar is opgelegd, en
5. twee jaar in alle overige gevallen.”
16 Artikel 85, lid 1, van dit wetboek luidt:
„Rehabilitatie wist de veroordeling uit en heft voor de toekomst de gevolgen op die de wetten aan de veroordeling zelf verbinden, tenzij bij wet of besluit anders is bepaald.”
17 Artikel 88a van dat wetboek is als volgt verwoord:
„Wanneer een termijn die gelijk is aan de in artikel 82, lid 1, bedoelde termijn is verstreken sinds de veroordeelde persoon zijn straf heeft ondergaan zonder dat hij opnieuw opzettelijk een ambtshalve vervolgbaar strafbaar feit heeft gepleegd dat wordt bestraft met een gevangenisstraf, worden de veroordeling en de gevolgen ervan ongedaan gemaakt, niettegenstaande wat bij een andere wet of een ander besluit is bepaald.”
Wet betreffende het ministerie van Binnenlandse Zaken
18 Artikel 26 van de Zakon za Ministerstvo na vatreshnite raboti (wet betreffende het ministerie van Binnenlandse Zaken, DV nr. 53 van 27 juni 2014), in de op het hoofdgeding toepasselijke versie ervan (hierna: „WMBZ”), bepaalt:
„(1) Wanneer de autoriteiten van het ministerie van Binnenlandse Zaken persoonsgegevens verwerken in verband met de bescherming van de nationale veiligheid, de bestrijding van criminaliteit, de handhaving van de openbare orde en het voeren van strafprocedures:
[...]
3. mogen zij alle nodige categorieën persoonsgegevens verwerken;
[...]
(2) De termijnen voor de opslag van de in lid 1 bedoelde gegevens of voor de periodieke evaluatie van de noodzaak van de opslag ervan worden vastgesteld door de minister van Binnenlandse Zaken. Tevens worden deze gegevens gewist op grond van een gerechtelijke akte of een besluit van de commissie voor de bescherming van persoonsgegevens.”
19 Artikel 27 WMBZ luidt:
„Gegevens die zijn verkregen bij de politiële registratie van personen op grond van artikel 68, worden uitsluitend gebruikt voor de bescherming van de nationale veiligheid, de bestrijding van criminaliteit en de handhaving van de openbare orde.”
20 Artikel 68 van deze wet bepaalt:
„(1) De politiediensten verrichten een politiële registratie van personen die worden vervolgd wegens een ambtshalve vervolgbaar opzettelijk gepleegd strafbaar feit. De met het onderzoek belaste autoriteiten nemen de maatregelen die nodig zijn voor de politiële registratie door de politiediensten.
(2) De politiële registratie is een vorm van verwerking van persoonsgegevens van de in lid 1 bedoelde personen, die wordt verricht binnen het kader van deze wet.
(3) Met het oog op de politiële registratie gaan de politiediensten over tot:
1. het verzamelen van de in artikel 18 van de wet betreffende de Bulgaarse identiteitsdocumenten genoemde [persoonsgegevens];
2. het nemen van vingerafdrukken en foto’s van de betrokkenen;
3. het nemen van stalen met het oog op DNA-profilering van de betrokkenen.
[...]
(6) De politiële registratie wordt ambtshalve of na een schriftelijk en met redenen omkleed verzoek van de geregistreerde persoon geschrapt op schriftelijk bevel van de verantwoordelijke voor de verwerking van persoonsgegevens of van de door hem gemachtigde ambtenaren, wanneer:
1. de registratie in strijd met de wet heeft plaatsgevonden;
2. de strafprocedure wordt stopgezet, behalve in de gevallen van artikel 24, lid 3, van de [Nakazatelno-protsesualen kodeks (wetboek van strafvordering)];
3. de strafprocedure tot vrijspraak heeft geleid;
4. de persoon is ontheven van zijn strafrechtelijke aansprakelijkheid en hem een administratieve sanctie is opgelegd;
5. de persoon is overleden, in welk geval het verzoek kan worden ingediend door zijn erfgenamen.
[...]”
Hoofdgeding en prejudiciële vraag
21 NG is in het kader van een strafrechtelijk onderzoek wegens meineed – een strafbaar feit als bedoeld in artikel 290, lid 1, van het strafwetboek – overeenkomstig artikel 68 WMBZ geregistreerd in het politiebestand. Na afloop van dat strafrechtelijk onderzoek is NG in verdenking gesteld en bij vonnis van 28 juni 2016, dat in hoger beroep is bevestigd op 2 december 2016, schuldig bevonden aan dat strafbaar feit en veroordeeld tot een voorwaardelijke gevangenisstraf van een jaar. Nadat hij zijn straf had ondergaan, is NG op 14 maart 2020 overeenkomstig artikel 82, lid 1, van het strafwetboek juncto artikel 88a ervan gerehabiliteerd.
22 Op grond van deze rehabilitatie heeft NG op 15 juli 2020 bij de bevoegde plaatselijke dienst van het ministerie van Binnenlandse Zaken een verzoek tot schrapping uit het politiebestand ingediend.
23 Bij besluit van 2 september 2020 heeft het DGNP dit verzoek afgewezen op grond dat een onherroepelijke strafrechtelijke veroordeling niet behoort tot de redenen voor schrapping uit het politiebestand die limitatief zijn opgesomd in artikel 68, lid 6, WMBZ, ook niet wanneer de betrokkene is gerehabiliteerd.
24 Bij beslissing van 2 februari 2021 heeft de Administrativen sad Sofia-grad (bestuursrechter in eerste aanleg Sofia, Bulgarije) het beroep van NG tegen dat besluit van het DGNP verworpen op gronden die in wezen overeenkomen met die waarop het besluit van het DGNP gebaseerd was.
25 NG heeft hogere voorziening ingesteld bij de Varhoven administrativen sad (hoogste bestuursrechter, Bulgarije), de verwijzende rechter. Daarbij heeft hij als voornaamste middel in hogere voorziening aangevoerd dat inbreuk is gemaakt op het beginsel dat volgens hem kan worden afgeleid uit de artikelen 5, 13 en 14 van richtlijn 2016/680, te weten dat de verwerking van persoonsgegevens door opslag ervan niet van onbepaalde duur mag zijn. NG stelt in wezen dat dit echter de facto het geval is indien de betrokken persoon, nadat hij zijn straf heeft ondergaan en is gerehabiliteerd, de persoonsgegevens die zijn verzameld in verband met het strafbaar feit waarvoor hij onherroepelijk is veroordeeld, nooit kan laten wissen omdat rehabilitatie geen reden is voor schrapping uit het politiebestand.
26 Dienaangaande merkt de verwijzende rechter in de eerste plaats op dat de registratie in het politiebestand een verwerking van persoonsgegevens is die wordt verricht voor de in artikel 1, lid 1, van richtlijn 2016/680 genoemde doeleinden, en die dus binnen de werkingssfeer van deze richtlijn valt.
27 In de tweede plaats merkt die rechter op dat rehabilitatie niet behoort tot de redenen voor schrapping uit het politiebestand die limitatief zijn opgesomd in artikel 68, lid 6, WMBZ en dat geen andere van die redenen in dat geval van toepassing is, zodat de betrokken persoon in een dergelijke situatie onmogelijk zijn schrapping uit dat bestand kan verkrijgen.
28 In de derde plaats wijst de verwijzende rechter erop dat er volgens overweging 26 van richtlijn 2016/680 voor moet worden gezorgd dat er niet bovenmatig veel gegevens worden verzameld en dat zij niet langer worden bewaard dan noodzakelijk is voor het doel waarvoor zij worden verwerkt en de verwerkingsverantwoordelijke termijnen dient vast te stellen voor het wissen van gegevens of een periodieke toetsing ervan. Voorts leidt hij uit overweging 34 van deze richtlijn af dat de verwerking voor de in artikel 1, lid 1, ervan genoemde doeleinden zich tevens dient uit te strekken tot de beperking van de verwerking, het wissen of de vernietiging van die gegevens. Deze beginselen komen volgens de verwijzende rechter tot uitdrukking in artikel 5 en artikel 13, leden 2 en 3, van die richtlijn.
29 In dit verband vraagt hij zich af of de in het vorige punt vermelde doeleinden in de weg staan aan een nationale wettelijke regeling die ertoe leidt dat de bevoegde autoriteiten een „nagenoeg onbeperkt recht” hebben op gegevensverwerking voor de in artikel 1, lid 1, van richtlijn 2016/680 genoemde doeleinden, alsmede dat de betrokken persoon zijn recht op verwerkingsbeperking of wissing van zijn gegevens verliest.
30 In deze omstandigheden heeft de Varhoven administrativen sad de behandeling van de zaak geschorst en het Hof verzocht om een prejudiciële beslissing over de volgende vraag:
„Staat de uitlegging van artikel 5 van [richtlijn 2016/680], gelezen in samenhang met artikel 13, lid 2, onder b), en [lid 3], ervan, in de weg aan nationale wettelijke maatregelen die ertoe leiden dat de bevoegde autoriteiten een nagenoeg onbeperkt recht op verwerking van persoonsgegevens hebben met oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, en/of tot gevolg hebben dat het recht van de betrokkene op beperking van de verwerking, op wissing of op vernietiging van zijn gegevens tenietgaat?”
Beantwoording van de prejudiciële vraag
31 Volgens vaste rechtspraak is het in het kader van de bij artikel 267 VWEU ingestelde procedure van samenwerking tussen de nationale rechterlijke instanties en het Hof de taak van het Hof om de nationale rechter een nuttig antwoord te geven aan de hand waarvan hij het bij hem aanhangige geding kan beslechten. Daartoe dient het Hof in voorkomend geval de voorgelegde vragen te herformuleren. Daarnaast kan het Hof Unierechtelijke bepalingen in aanmerking nemen waarvan de nationale rechter geen melding heeft gemaakt bij de formulering van zijn vraag (arrest van 15 juli 2021, Ministrstvo za obrambo, C‑742/19, EU:C:2021:597, punt 31 en aldaar aangehaalde rechtspraak).
32 Zoals blijkt uit het verzoek om een prejudiciële beslissing en de informatie die de Bulgaarse regering ter terechtzitting aan het Hof heeft verstrekt, vloeit de vraag van de verwijzende rechter voort uit het feit dat geen van de redenen voor schrapping van persoonsgegevens uit het politiebestand die limitatief zijn opgesomd in de WMBZ van toepassing is op de situatie in het hoofdgeding, waarin een persoon onherroepelijk is veroordeeld, zelfs nadat hij is gerehabiliteerd, zodat die gegevens tot zijn overlijden gedurende onbepaalde tijd in dat bestand bewaard worden en door de autoriteiten die daar toegang toe hebben kunnen worden verwerkt.
33 Allereerst blijkt in dit verband uit de verwijzingsbeslissing – meer bepaald uit de overwegingen die in punt 27 van het onderhavige arrest zijn samengevat – en uit de bewoordingen van de prejudiciële vraag zelf dat de verwijzende rechter zich met name afvraagt of de in het hoofdgeding aan orde zijnde nationale regeling strookt met het evenredigheidsbeginsel. Zoals in overweging 104 van richtlijn 2016/680 wordt onderstreept, moeten de beperkingen die deze richtlijn stelt aan het in artikel 8 van het Handvest neergelegde recht op bescherming van persoonsgegevens, alsmede aan het recht op eerbiediging van het privéleven en het familie- en gezinsleven en het recht op een doeltreffende voorziening in rechte en op een onpartijdig gerecht, die worden beschermd door respectievelijk de artikelen 7 en 47 van het Handvest, namelijk worden uitgelegd in overeenstemming met de vereisten van artikel 52, lid 1, van het Handvest, waartoe onder meer de eerbiediging van het evenredigheidsbeginsel behoort.
34 Voorts refereert de verwijzende rechter in zijn vraag terecht aan artikel 5 van richtlijn 2016/680, dat gaat over passende termijnen voor het wissen van persoonsgegevens of voor de periodieke evaluatie van de noodzaak van de opslag van deze gegevens. Aangezien dat artikel 5 nauw verband houdt met zowel artikel 4, lid 1, onder c) en e), van die richtlijn als artikel 16, leden 2 en 3, ervan, dient de prejudiciële vraag aldus te worden opgevat dat zij eveneens betrekking heeft op deze twee bepalingen.
35 Evenzo dient de prejudiciële vraag aldus te worden opgevat dat zij tevens betrekking heeft op de uitlegging van artikel 10 van richtlijn 2016/680, aangezien de in het hoofdgeding aan de orde zijnde nationale wettelijke regeling onder meer voorziet in de opslag van biometrische en genetische gegevens, die behoren tot de bijzondere categorieën van persoonsgegevens waarvan de verwerking specifiek in dat artikel wordt geregeld.
36 Ten slotte komt de relevantie van de uitlegging van artikel 13 van richtlijn 2016/680 enkel met betrekking tot lid 2, onder b), ervan duidelijk naar voren uit het verzoek om een prejudiciële beslissing. Zoals de verwijzende rechter opmerkt, komen de met name in overweging 26 van deze richtlijn genoemde beginselen weliswaar ook tot uitdrukking in lid 3 van artikel 13, maar uit het aan het Hof overgelegde dossier blijkt niet dat in het hoofdgeding ook een wettelijke maatregel aan de orde is die ertoe strekt de verstrekking van informatie aan de betrokkene uit te stellen of te beperken in de zin van dat lid 3.
37 Gelet op het voorgaande dient te worden aangenomen dat de verwijzende rechter met zijn vraag in wezen wenst te vernemen of artikel 4, lid 1, onder c) en e), van richtlijn 2016/680, gelezen in samenhang met de artikelen 5 en 10, artikel 13, lid 2, onder b), en artikel 16, leden 2 en 3, ervan en in het licht van de artikelen 7 en 8 van het Handvest, aldus moet worden uitgelegd dat het in de weg staat aan een nationale wettelijke regeling op grond waarvan de politiediensten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen persoonsgegevens, waaronder biometrische en genetische gegevens, bewaren van personen die onherroepelijk strafrechtelijk zijn veroordeeld wegens een ambtshalve vervolgbaar opzettelijk gepleegd strafbaar feit, en dit tot het overlijden van de betrokken persoon, zelfs indien hij gerehabiliteerd is, zonder dat hem het recht op wissing van die gegevens of in voorkomend geval op beperking van de verwerking ervan wordt toegekend.
38 Om te beginnen zij opgemerkt dat de prejudiciële vraag betrekking heeft op een verwerking van persoonsgegevens voor doeleinden die volgens artikel 1, lid 1, van richtlijn 2016/680 binnen de werkingssfeer van deze richtlijn vallen. Uit artikel 27 WMBZ, dat in de verwijzingsbeslissing wordt aangehaald, blijkt evenwel dat de in het politiebestand opgeslagen gegevens ook het voorwerp kunnen zijn van verwerkingen in het kader van de bescherming van de nationale veiligheid, waarop deze richtlijn volgens artikel 2, lid 3, onder a), ervan, gelezen in het licht van overweging 14 ervan, niet van toepassing is. Het staat dus aan de verwijzende rechter om na te gaan of de gegevens van de verzoeker in het hoofdgeding mogelijk worden opgeslagen voor doeleinden die verband houden met de bescherming van de nationale veiligheid, met dien verstande dat dit artikel 2, lid 3, onder a), als uitzondering op de toepasselijkheid van het Unierecht restrictief moet worden uitgelegd [zie naar analogie arrest van 22 juni 2021, Latvijas Republikas Saeima (Strafpunten), C‑439/19, EU:C:2021:504, punt 62 en aldaar aangehaalde rechtspraak].
39 In de eerste plaats zij eraan herinnerd dat de door artikel 7 en 8 van het Handvest gewaarborgde grondrechten op eerbiediging van het privéleven en op bescherming van persoonsgegevens geen absolute gelding hebben, maar moeten worden beschouwd in relatie tot hun functie in de samenleving en moeten worden afgewogen tegen andere grondrechten. Beperkingen op de uitoefening van deze grondrechten moeten overeenkomstig artikel 52, lid 1, van het Handvest bij wet worden gesteld alsook de wezenlijke inhoud van die grondrechten en het evenredigheidsbeginsel eerbiedigen. Krachtens dit beginsel kunnen slechts beperkingen worden gesteld indien zij noodzakelijk zijn en daadwerkelijk beantwoorden aan door de Unie erkende doelstellingen van algemeen belang of aan de eisen die voortvloeien uit de bescherming van de rechten en vrijheden van anderen. Zij moeten binnen de grenzen van het strikt noodzakelijke blijven en de regeling die de beperkingen in kwestie inhoudt moet duidelijke en nauwkeurige regels bevatten over de draagwijdte en de toepassing van deze beperkingen [zie in die zin arrest van 22 juni 2021, Latvijas Republikas Saeima (Strafpunten), C‑439/19, EU:C:2021:504, punt 105 en aldaar aangehaalde rechtspraak].
40 Zoals in wezen in overweging 26 van richtlijn 2016/680 wordt onderstreept, is aan deze vereisten niet voldaan wanneer de beoogde doelstelling van algemeen belang redelijkerwijs op even doeltreffende wijze kan worden bereikt met andere middelen, die minder inbreuk maken op de grondrechten van de betrokken personen [zie naar analogie arrest van 22 juni 2021, Latvijas Republikas Saeima (Strafpunten), C‑439/19, EU:C:2021:504, punt 110 en aldaar aangehaalde rechtspraak].
41 In de tweede plaats moeten de lidstaten er volgens artikel 4, lid 1, onder c), van richtlijn 2016/680 allereerst voor zorgen dat de persoonsgegevens toereikend en ter zake dienend zijn en beperkt blijven tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt. Deze bepaling vereist dus dat de lidstaten het beginsel van de „minimale gegevensverwerking” in acht nemen, dat uitdrukking geeft aan het evenredigheidsbeginsel [zie in die zin arrest van 22 juni 2021, Latvijas Republikas Saeima (Strafpunten), C‑439/19, EU:C:2021:504, punt 98 en aldaar aangehaalde rechtspraak].
42 Hieruit volgt dat met name bij het verzamelen van persoonsgegevens in verband met een strafprocedure en bij de opslag daarvan door de politiediensten voor doeleinden die worden genoemd in artikel 1, lid 1, van richtlijn 2016/680, aan die vereisten moet worden voldaan, net zoals bij elke verwerking die binnen de werkingssfeer van deze richtlijn valt. Die opslag vormt overigens een inmenging in de grondrechten op eerbiediging van het privéleven en bescherming van persoonsgegevens, ongeacht of de opgeslagen gegevens gevoelig zijn, of de betrokkenen door die inmenging enig nadeel hebben ondervonden, en of de opgeslagen gegevens daarna worden gebruikt (zie naar analogie arrest van 5 april 2022, Commissioner of An Garda Síochána e.a., C‑140/20, EU:C:2022:258, punt 44 en aldaar aangehaalde rechtspraak).
43 Wat betreft meer in het bijzonder de evenredigheid van de periode gedurende welke die gegevens worden opgeslagen, moeten de lidstaten er bovendien krachtens artikel 4, lid 1, onder e), van richtlijn 2016/680 voor zorgen dat die gegevens worden bewaard in een vorm die het mogelijk maakt de betrokkenen te identificeren gedurende een periode die niet langer dan noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt.
44 In dit verband bepaalt artikel 5 van richtlijn 2016/680 dat de lidstaten erin moeten voorzien dat er passende termijnen worden vastgelegd voor het wissen van persoonsgegevens of voor een periodieke evaluatie van de noodzaak van de opslag van die gegevens, alsmede dat zij de naleving van die termijnen met procedurele maatregelen moeten waarborgen.
45 Zoals in overweging 26 van richtlijn 2016/680 staat te lezen, strekt artikel 5 van deze richtlijn ertoe te waarborgen dat persoonsgegevens overeenkomstig de vereisten van artikel 4, lid 1, onder e), van die richtlijn niet langer worden bewaard dan noodzakelijk is. Het is juist dat artikel 5 van richtlijn 2016/680 het aan de lidstaten overlaat om passende termijnen vast te leggen gedurende welke de gegevens worden opgeslagen en om te beslissen of het daarbij gaat om termijnen voor de wissing van deze gegevens dan wel voor de periodieke evaluatie van de noodzaak van de opslag ervan, mits de naleving van deze termijnen wordt gewaarborgd door toereikende procedurele maatregelen. Om „passend” te zijn, moeten deze termijnen het evenwel hoe dan ook – overeenkomstig artikel 4, lid 1, onder c) en e), van die richtlijn, gelezen in het licht van artikel 52, lid 1, van het Handvest – in voorkomend geval mogelijk maken dat de gegevens in kwestie worden gewist wanneer de opslag ervan niet meer noodzakelijk is in het licht van de doeleinden waarvoor zij mochten worden verwerkt.
46 Met name om de betrokken personen in staat te stellen na te gaan of de termijnen „passend” zijn, en in voorkomend geval die gegevenswissing te vragen, bepalen artikel 13, lid 2, onder b), en artikel 14, onder d), van richtlijn 2016/680 dat die personen in beginsel – voor zover dit mogelijk is – informatie moeten kunnen krijgen over de periode gedurende welke hun persoonsgegevens zullen worden opgeslagen of – indien dit niet mogelijk is – over de criteria om de duur van die periode te bepalen.
47 Voorts regelt artikel 10 van richtlijn 2016/680 specifiek de verwerking van bijzondere categorieën van persoonsgegevens, waaronder biometrische en genetische gegevens. Deze bepaling strekt ertoe de betrokken persoon een versterkte bescherming te bieden omdat de bijzondere gevoeligheid van de gegevens in kwestie en de context waarin zij worden verwerkt – zoals uit overweging 37 van die richtlijn naar voren komt – aanzienlijke risico’s kunnen meebrengen voor de grondrechten en fundamentele vrijheden, zoals het recht op eerbiediging van het privéleven en het recht op bescherming van persoonsgegevens, die worden gewaarborgd door de artikelen 7 en 8 van het Handvest [arrest van 26 januari 2023, Ministerstvo na vatreshnite raboti (Politiële registratie van biometrische en genetische gegevens), C‑205/21, EU:C:2023:49, punt 116 en aldaar aangehaalde rechtspraak].
48 Meer bepaald schrijft artikel 10 van richtlijn 2016/680 voor dat de verwerking van gevoelige gegevens „slechts” is toegestaan „wanneer [zij] strikt noodzakelijk is”. Dit vereiste van strikte noodzakelijkheid vormt een strengere voorwaarde voor de rechtmatigheid van de verwerking van die gegevens en betekent onder meer dat de naleving van het uit artikel 4, lid 1, onder c), van die richtlijn voortvloeiende beginsel van „minimale gegevensverwerking”, waarvan dat vereiste een specifieke toepassing op die gevoelige gegevens vormt, bijzonder streng moet worden gecontroleerd [zie in die zin arrest van 26 januari 2023, Ministerstvo na vatreshnite raboti (Politiële registratie van biometrische en genetische gegevens), C‑205/21, EU:C:2023:49, punten 117, 122 en 125].
49 Ten slotte wordt bij artikel 16, lid 2, van richtlijn 2016/680 een recht toegekend om persoonsgegevens te doen wissen wanneer de verwerking in strijd is met de artikelen 4, 8 of 10 van deze richtlijn of wanneer die gegevens moeten worden gewist om een op de verwerkingsverantwoordelijke rustende wettelijke verplichting na te komen.
50 Uit die bepaling volgt dat dit recht op gegevenswissing met name kan worden uitgeoefend wanneer de persoonsgegevens in kwestie worden opgeslagen in strijd met de nationaalrechtelijke bepalingen die uitvoering geven aan artikel 4, lid 1, onder c) en e), van richtlijn 2016/680 en in voorkomend geval aan artikel 10 ervan, terwijl dit niet of niet langer noodzakelijk is in het licht van de doeleinden waarvoor deze gegevens zijn verwerkt, of wanneer die gegevens moeten worden gewist om de termijn na te leven die daartoe in het nationale recht is vastgesteld overeenkomstig artikel 5 van die richtlijn.
51 Krachtens artikel 16, lid 3, van richtlijn 2016/680 moet het nationale recht er evenwel in voorzien dat de verwerkingsverantwoordelijke de verwerking van die gegevens beperkt, in plaats van tot wissing ervan over te gaan, wanneer de betrokken persoon – overeenkomstig punt a) van deze bepaling – de juistheid van de persoonsgegevens betwist en de juistheid of onjuistheid niet kan worden geverifieerd, of wanneer de persoonsgegevens – overeenkomstig punt b) van die bepaling – als bewijsmateriaal moeten worden bewaard.
52 Uit het voorgaande volgt dat bij de in de punten 41 tot en met 51 van dit arrest onderzochte bepalingen van richtlijn 2016/680 een algemeen kader wordt vastgesteld om onder meer te kunnen waarborgen dat de opslag van persoonsgegevens en meer in het bijzonder de duur daarvan beperkt blijft tot wat noodzakelijk blijkt te zijn voor de doeleinden waarvoor die gegevens worden opgeslagen, waarbij het aan de lidstaten wordt overgelaten om binnen dat kader te bepalen in welke concrete situaties de bescherming van de grondrechten van de betrokken persoon vereist dat die gegevens worden gewist en op welk tijdstip dit moet geschieden. Zoals de advocaat-generaal in punt 28 van zijn conclusie in wezen heeft opgemerkt, vereisen die bepalingen daarentegen niet dat de lidstaten een absolute maximale opslagtermijn voor persoonsgegevens vaststellen waarna deze gegevens automatisch zouden moeten worden gewist.
53 In casu blijkt uit het dossier waarover het Hof beschikt, dat de persoonsgegevens die krachtens artikel 68 WMBZ in het politiebestand zijn opgenomen, slechts worden opgeslagen voor recherchedoeleinden en meer in het bijzonder om te worden vergeleken met andere gegevens die zijn verzameld in het kader van onderzoeken naar andere strafbare feiten.
54 In zoverre dient in de eerste plaats te worden onderstreept dat de opslag in een politiebestand van gegevens over personen die onherroepelijk strafrechtelijk zijn veroordeeld, noodzakelijk kan blijken te zijn voor de in het vorige punt vermelde doeleinden, zelfs nadat deze veroordeling uit het strafregister is gewist en daardoor de gevolgen zijn opgeheven die de nationale wettelijke regeling aan die veroordeling verbindt. Die personen zouden namelijk betrokken kunnen zijn bij andere strafbare feiten dan die waarvoor zij zijn veroordeeld, of zouden juist kunnen worden vrijgepleit dankzij de vergelijking van de door de politiediensten opgeslagen gegevens met de gegevens die zijn verzameld in het kader van de procedures betreffende die andere strafbare feiten.
55 Die opslag van gegevens kan dus bijdragen tot de doelstelling van algemeen belang die is vermeld in overweging 27 van richtlijn 2016/680 en die inhoudt dat het met het oog op de voorkoming, het onderzoek en de vervolging van strafbare feiten noodzakelijk is dat de bevoegde autoriteiten de persoonsgegevens die zij hebben verzameld in het kader van de voorkoming, het onderzoek, de opsporing of de vervolging van bepaalde strafbare feiten, ook buiten dat kader kunnen verwerken, teneinde inzicht te verwerven in criminele activiteiten en verbanden te leggen tussen verschillende opgespoorde strafbare feiten [zie in die zin arrest van 26 januari 2023, Ministerstvo na vatreshnite raboti (Politiële registratie van biometrische en genetische gegevens), C‑205/21, EU:C:2023:49, punt 98].
56 In de tweede plaats blijkt uit het dossier waarover het Hof beschikt, dat de in de Bulgaarse wettelijke regeling inzake identiteitsdocumenten vermelde persoonsgegevens van de betrokkene, zijn vingerafdrukken, zijn foto en een staal met het oog op DNA-profilering worden opgeslagen in het politiebestand. Zoals de Bulgaarse regering ter terechtzitting heeft bevestigd, worden daaraan de gegevens toegevoegd die betrekking hebben op de strafbare feiten die de betrokken persoon heeft gepleegd en op de veroordelingen die daarvoor tegen hem zijn uitgesproken. Deze verschillende categorieën van gegevens kunnen onontbeerlijk blijken om na te gaan of de betrokken persoon ook betrokken is bij andere strafbare feiten dan het feit waarvoor hij onherroepelijk is veroordeeld. Derhalve kunnen deze gegevens in beginsel worden geacht toereikend en ter zake dienend te zijn voor de doeleinden waarvoor zij worden verwerkt in de zin van artikel 4, lid 1, onder c), van richtlijn 2016/680.
57 In de derde plaats moet bij de beoordeling of die opslag evenredig is in het licht van de doeleinden ervan tevens rekening worden gehouden met de passende technische en organisatorische maatregelen waarin het nationale recht overeenkomstig de artikelen 20 en 29 van richtlijn 2016/680 voorziet om te zorgen voor de vertrouwelijkheid en beveiliging van de gegevens die worden opgeslagen in verband met verwerkingen die niet voldoen aan de vereisten van deze richtlijn, en meer bepaald met de in artikel 20, lid 2, van die richtlijn bedoelde maatregelen die moeten waarborgen dat alleen persoonsgegevens worden verwerkt die noodzakelijk zijn voor elk specifiek doel van de verwerking.
58 Wat in de vierde plaats de periode betreft gedurende welke de in het hoofdgeding aan de orde zijnde persoonsgegevens worden opgeslagen, blijkt in casu uit het verzoek om een prejudiciële beslissing dat die gegevens slechts tot het overlijden van de betrokken persoon worden bewaard wanneer deze persoon onherroepelijk is veroordeeld wegens een ambtshalve vervolgbaar opzettelijk gepleegd strafbaar feit, terwijl de nationale wettelijke regeling er in de overige gevallen in voorziet dat de gegevens van personen die wegens een dergelijk strafbaar feit zijn vervolgd worden geschrapt.
59 In dit verband dient evenwel te worden geconstateerd dat het begrip „ambtshalve vervolgbaar opzettelijk gepleegd strafbaar feit” zeer algemeen is en van toepassing kan zijn op een groot aantal strafbare feiten, ongeacht de aard en de ernst ervan [zie in die zin arrest van 26 januari 2023, Ministerstvo na vatreshnite raboti (Politiële registratie van biometrische en genetische gegevens), C‑205/21, EU:C:2023:49, punt 129].
60 Zoals ook de advocaat-generaal in de punten 73 en 74 van zijn conclusie in wezen heeft opgemerkt, is het risico op betrokkenheid bij andere strafbare feiten niet even groot bij alle personen die onherroepelijk zijn veroordeeld wegens strafbare feiten die onder dat begrip vallen, zodat het niet gerechtvaardigd is de gegevens van al die personen even lang op te slaan. Zo zal de veroordeelde persoon in sommige gevallen, gelet op onder meer de aard en de ernst van het gepleegde strafbare feit of het feit dat er geen sprake is van recidive, niet noodzakelijk een zodanig risico opleveren dat zijn gegevens tot zijn overlijden moeten worden bewaard in het daartoe bestemde politiebestand. In die gevallen zal er geen sprake meer zijn van de noodzakelijke band tussen de bewaarde gegevens en de nagestreefde doelstelling [zie naar analogie advies 1/15 (PNR-Overeenkomst EU-Canada) van 26 juli 2017, EU:C:2017:592, punt 205]. De bewaring van deze gegevens zal dan ook niet stroken met het in artikel 4, lid 1, onder c), van richtlijn 2016/680 bedoelde beginsel van minimale gegevensverwerking en zal – in strijd met artikel 4, lid 1, onder e), van deze richtlijn – langer duren dan noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt.
61 In dit verband dient te worden verduidelijkt dat de rehabilitatie van een dergelijke persoon, die zoals in het hoofdgeding met zich meebrengt dat zijn veroordeling in het strafregister wordt gewist, weliswaar op zichzelf beschouwd niet de noodzaak wegneemt om zijn gegevens in het politiebestand te bewaren, aangezien met deze bewaring andere doeleinden worden nagestreefd dan de opneming van zijn gerechtelijke antecedenten in het strafregister – zoals de advocaat-generaal in punt 70 van zijn conclusie in wezen heeft opgemerkt – maar dat deze rehabilitatie, wanneer ze zoals in casu op grond van de toepasselijke bepalingen van het nationale strafrecht slechts mogelijk is indien de betrokkene gedurende een bepaalde tijd nadat hij zijn straf heeft ondergaan niet opnieuw een ambtshalve vervolgbaar opzettelijk strafbaar feit heeft gepleegd, een aanwijzing kan zijn dat de betrokken persoon een minder groot risico oplevert ten aanzien van de doelstellingen van bestrijding van criminaliteit en handhaving van de openbare orde, en dus een element kan vormen dat die bewaring minder lang noodzakelijk maakt.
62 In de vijfde plaats impliceert het in artikel 52, lid 1, van het Handvest genoemde evenredigheidsbeginsel met name een afweging van het belang van het nagestreefde doel en de ernst van de beperking op de uitoefening van de grondrechten in kwestie (zie in die zin arrest van 22 november 2022, Luxembourg Business Registers, C‑37/20 en C‑601/20, EU:C:2022:912, punt 66).
63 Zoals in punt 35 van het onderhavige arrest in herinnering is gebracht, strekt de opslag van persoonsgegevens in het betrokken politiebestand zich mede uit tot biometrische en genetische gegevens. Er dient dan ook te worden onderstreept dat – gelet op de aanzienlijke risico’s die de verwerking van dergelijke gevoelige gegevens oplevert voor de rechten en vrijheden van de betrokkenen, met name in de context van de taken van de bevoegde autoriteiten voor de in artikel 1, lid 1, van richtlijn 2016/680 genoemde doeleinden – bij de beoordeling van het bijzondere belang van de nagestreefde doelstelling rekening moet worden gehouden met een geheel van relevante elementen. Zo kan deze beoordeling onder meer worden verricht aan de hand van de vraag of de verwerking een concreet doel dient dat verband houdt met de voorkoming van strafbare feiten of enigszins ernstige bedreigingen voor de openbare veiligheid, de bestrijding van dergelijke strafbare feiten of de bescherming tegen dergelijke bedreigingen, alsmede in het licht van de specifieke omstandigheden waarin die verwerking plaatsvindt [arrest van 26 januari 2023, Ministerstvo na vatreshnite raboti (Politiële registratie van biometrische en genetische gegevens), C‑205/21, EU:C:2023:49, punt 127].
64 In dit verband heeft het Hof geoordeeld dat een nationale wettelijke regeling die voorziet in het systematisch verzamelen van biometrische en genetische gegevens van eenieder die in verdenking is gesteld van een ambtshalve vervolgbaar opzettelijk gepleegd strafbaar feit, in beginsel in strijd is met het in artikel 10 van richtlijn 2016/680 genoemde en in punt 48 van het onderhavige arrest in herinnering gebrachte vereiste van strikte noodzakelijkheid. Een dergelijke wettelijke regeling kan er namelijk toe leiden dat op ongedifferentieerde en algemene wijze biometrische en genetische gegevens van de meeste in verdenking gestelde personen worden verzameld [zie in die zin arrest van 26 januari 2023, Ministerstvo na vatreshnite raboti (Politiële registratie van biometrische en genetische gegevens), C‑205/21, EU:C:2023:49, punten 128 en 129].
65 Het Europees Hof voor de Rechten van de Mens (EHRM) heeft op zijn beurt geoordeeld dat de algemene en ongedifferentieerde aard van de bevoegdheid om vingerafdrukken, biologische monsters en DNA-profielen te bewaren van personen die verdacht worden van maar niet veroordeeld zijn voor strafbare feiten, zoals deze bevoegdheid wordt toegekend bij de nationale regeling die aan de orde was in de aan dat Hof voorgelegde zaak, geen billijk evenwicht tot stand bracht tussen de conflicterende openbare en particuliere belangen, zodat de bewaring van die gegevens op onevenredige wijze inbreuk zou maken op het recht van de verzoekers op eerbiediging van hun privéleven en niet kon worden geacht noodzakelijk te zijn in een democratische samenleving, wat bijgevolg in strijd was met artikel 8 van het op 4 november 1950 te Rome ondertekende Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden (EHRM, 4 december 2008, S en Marper tegen Verenigd Koninkrijk, CE:ECHR:2008:1204JUD 003056204, §§ 125 en 126).
66 Het is juist dat de opslag van biometrische en genetische gegevens van personen die reeds onherroepelijk strafrechtelijk zijn veroordeeld, zelfs tot hun overlijden, strikt noodzakelijk kan zijn in de zin van artikel 10 van richtlijn 2016/680, met name om te kunnen nagaan of zij betrokken zijn bij andere strafbare feiten en aldus de plegers van die feiten te kunnen vervolgen en te veroordelen. Er moet namelijk rekening worden gehouden met het belang van dit soort gegevens voor strafonderzoeken, zelfs vele jaren na de feiten, in het bijzonder wanneer het gaat om ernstige misdrijven (zie in die zin EHRM, 13 februari 2020, Gaughran tegen Verenigd Koninkrijk, CE:ECHR:2020:0213JUD004524515, § 93).
67 Niettemin kan de opslag van biometrische en genetische gegevens alleen worden geacht te voldoen aan het vereiste dat dit slechts wordt toegestaan wanneer het „strikt noodzakelijk” is, in de zin van artikel 10 van richtlijn 2016/680, indien daarbij rekening wordt gehouden met de aard en de ernst van het strafbare feit dat tot een onherroepelijke veroordeling heeft geleid, of met andere omstandigheden zoals de specifieke context waarin dat feit is gepleegd, het eventuele verband ervan met andere lopende procedures, of de antecedenten dan wel het profiel van de veroordeelde persoon. Wanneer de biometrische en genetische gegevens van de betrokken personen die in het politiebestand zijn geregistreerd, op grond van een nationale wettelijke regeling bij een onherroepelijke strafrechtelijke veroordeling tot de dag van hun overlijden bewaard worden, zoals in het hoofdgeding het geval is, duurt deze bewaring dan ook langer dan noodzakelijk is voor de doeleinden waarvoor die gegevens worden verwerkt, zoals is geconstateerd in de punten 59 en 60 hierboven.
68 In de zesde plaats dient om te beginnen, wat betreft de in artikel 5 van richtlijn 2016/680 genoemde verplichting van de lidstaten om passende termijnen vast te leggen, om de in de punten 59, 60 en 67 van het onderhavige arrest uiteengezette redenen en gelet op de vereisten van artikel 4, lid 1, onder c) en e), en artikel 10 van deze richtlijn, te worden opgemerkt dat een termijn slechts kan worden geacht „passend” te zijn – in de zin van dat artikel 5 – voor met name de opslag van biometrische en genetische gegevens van personen die onherroepelijk zijn veroordeeld wegens een ambtshalve vervolgbaar opzettelijk gepleegd strafbaar feit, indien bij de vaststelling van die termijn rekening wordt gehouden met de relevante omstandigheden die een dergelijke duur van opslag noodzakelijk kunnen maken, zoals de in punt 67 van dit arrest genoemde omstandigheden.
69 Dit betekent dat de verwijzing in de nationale wettelijke regeling naar het overlijden van de betrokken persoon weliswaar een „termijn” kan vormen voor de wissing van de opgeslagen gegevens in de zin van artikel 5 van richtlijn 2016/680, maar dat een dergelijke termijn slechts kan worden geacht „passend” te zijn in specifieke omstandigheden die deze naar behoren rechtvaardigen. Dat is echter kennelijk niet het geval wanneer de termijn in kwestie op algemene en ongedifferentieerde wijze geldt voor eenieder die onherroepelijk is veroordeeld.
70 Het is juist dat artikel 5 van richtlijn 2016/680 het aan de lidstaten overlaat om te beslissen of termijnen moeten worden vastgelegd voor de wissing van die gegevens dan wel voor de periodieke evaluatie van de noodzaak van de opslag ervan, zoals is opgemerkt in punt 45 van dit arrest. Uit datzelfde punt blijkt evenwel tevens dat de termijnen voor die evaluatie slechts „passend” zijn indien zij – overeenkomstig artikel 4, lid 1, onder c) en e), van die richtlijn, gelezen in het licht van artikel 52, lid 1, van het Handvest – ertoe kunnen leiden dat de gegevens in kwestie worden gewist wanneer de opslag ervan niet langer noodzakelijk is. Om de in het vorige punt in herinnering gebrachte redenen is aan dat vereiste echter niet voldaan wanneer de nationale wettelijke regeling, zoals in casu, voor een persoon die onherroepelijk is veroordeeld wegens een ambtshalve vervolgbaar opzettelijk gepleegd strafbaar feit enkel in een dergelijke wissing voorziet in het geval dat die persoon overlijdt.
71 Wat daarnaast de waarborgen van artikel 16, leden 2 en 3, van richtlijn 2016/680 betreft, die betrekking hebben op de voorwaarden die gelden voor het recht op gegevenswissing en het recht op beperking van de verwerking, volgt uit de punten 50 en 51 van dit arrest dat die bepaling ook in de weg staat aan een nationale wettelijke regeling op grond waarvan deze rechten niet kunnen worden uitgeoefend door een persoon die onherroepelijk is veroordeeld wegens een ambtshalve vervolgbaar opzettelijk gepleegd strafbaar feit.
72 Gelet op een en ander dient op de prejudiciële vraag te worden geantwoord dat artikel 4, lid 1, onder c) en e), van richtlijn 2016/680, gelezen in samenhang met de artikelen 5 en 10, artikel 13, lid 2, onder b), en artikel 16, leden 2 en 3, ervan en in het licht van de artikelen 7 en 8 van het Handvest, aldus moet worden uitgelegd dat het in de weg staat aan een nationale wettelijke regeling op grond waarvan de politiediensten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen persoonsgegevens, waaronder biometrische en genetische gegevens, bewaren van personen die onherroepelijk zijn veroordeeld wegens een ambtshalve vervolgbaar opzettelijk gepleegd strafbaar feit, en dit tot het overlijden van de betrokken persoon, zelfs indien hij gerehabiliteerd is, zonder dat de verantwoordelijke voor de verwerking verplicht is om periodiek te evalueren of de opslag van die gegevens nog noodzakelijk is, en zonder dat aan de betrokken persoon het recht wordt toegekend om die gegevens te doen wissen wanneer de opslag ervan niet langer noodzakelijk is voor de doeleinden waarvoor zij zijn verwerkt, of om in voorkomend geval de verwerking ervan te doen beperken.
Kosten
73 Ten aanzien van de partijen in het hoofdgeding is de procedure als een aldaar gerezen incident te beschouwen, zodat de verwijzende rechter over de kosten heeft te beslissen. De door anderen wegens indiening van hun opmerkingen bij het Hof gemaakte kosten komen niet voor vergoeding in aanmerking.
Het Hof (Grote kamer) verklaart voor recht:
Artikel 4, lid 1, onder c) en e), van richtlijn (EU) 2016/680 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, en betreffende het vrije verkeer van die gegevens en tot intrekking van kaderbesluit 2008/977/JBZ van de Raad, gelezen in samenhang met de artikelen 5 en 10, artikel 13, lid 2, onder b), en artikel 16, leden 2 en 3, ervan en in het licht van de artikelen 7 en 8 van het Handvest van de grondrechten van de Europese Unie,
moet aldus worden uitgelegd dat
het in de weg staat aan een nationale wettelijke regeling op grond waarvan de politiediensten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen persoonsgegevens, waaronder biometrische en genetische gegevens, bewaren van personen die onherroepelijk zijn veroordeeld wegens een ambtshalve vervolgbaar opzettelijk gepleegd strafbaar feit, en dit tot het overlijden van de betrokken persoon, zelfs indien hij gerehabiliteerd is, zonder dat de verantwoordelijke voor de verwerking verplicht is om periodiek te evalueren of de opslag van die gegevens nog noodzakelijk is, en zonder dat aan de betrokken persoon het recht wordt toegekend om die gegevens te doen wissen wanneer de opslag ervan niet langer noodzakelijk is voor de doeleinden waarvoor zij zijn verwerkt, of om in voorkomend geval de verwerking ervan te doen beperken.
ondertekeningen