WYROK TRYBUNAŁU (wielka izba)
z dnia 30 stycznia 2024 r.(*)
Odesłanie prejudycjalne – Ochrona osób fizycznych w zakresie przetwarzania danych osobowych do celów zwalczania przestępczości – Dyrektywa (UE) 2016/680 – Artykuł 4 ust. 1 lit. c) i e) – Minimalizacja danych – Ograniczenie przechowywania – Artykuł 5 – Odpowiednie terminy usuwania lub okresowego przeglądu konieczności przechowywania – Artykuł 10 – Przetwarzanie danych biometrycznych i genetycznych – Bezwzględna niezbędność – Artykuł 16 ust. 2 i 3 – Prawo do usunięcia danych – Ograniczenie przetwarzania – Artykuł 52 ust. 1 Karty praw podstawowych Unii Europejskiej – Osoba fizyczna, która została skazana prawomocnym wyrokiem i wobec której nastąpiło później zatarcie skazania – Termin przechowywania danych do chwili śmierci – Brak prawa do usunięcia danych lub do ograniczenia przetwarzania – Proporcjonalność
W sprawie C‑118/22
mającej za przedmiot wniosek o wydanie, na podstawie art. 267 TFUE, orzeczenia w trybie prejudycjalnym, złożony przez Varhoven administrativen sad (najwyższy sąd administracyjny, Bułgaria) postanowieniem z dnia 10 stycznia 2022 r., które wpłynęło do Trybunału w dniu 17 lutego 2022 r., w postępowaniu:
NG
przeciwko
Direktor na Glavna direktsia „Natsionalna politsia” pri Ministerstvo na vatreshnite raboti – Sofia,
przy udziale:
Varhovna administrativna prokuratura,
TRYBUNAŁ (wielka izba),
w składzie: K. Lenaerts, prezes, L. Bay Larsen, wiceprezes, A. Arabadjiev, A. Prechal, K. Jürimäe, N. Piçarra i O. Spineanu‑Matei, prezesi izb, M. Ilešič, J.‑C. Bonichot, L.S. Rossi, I. Jarukaitis, A. Kumin, N. Jääskinen, N. Wahl i D. Gratsias (sprawozdawca), sędziowie,
rzecznik generalny: P. Pikamäe,
sekretarz: R. Stefanova-Kamisheva, administratorka,
uwzględniając pisemny etap postępowania i po przeprowadzeniu rozprawy w dniu 7 lutego 2023 r.,
rozważywszy uwagi, które przedstawili:
– w imieniu NG – P. Kuyumdzhiev, advokat
– w imieniu rządu bułgarskiego – M. Georgieva, T. Mitova i E. Petranova, w charakterze pełnomocników,
– w imieniu rządu czeskiego – O. Serdula, M. Smolek i J. Vláčil, w charakterze pełnomocników,
– w imieniu Irlandii – M. Browne, A. Joyce i M. Tierney, w charakterze pełnomocników, których wspierał D. Fennelly, BL,
– w imieniu rządu hiszpańskiego – A. Ballesteros Panizo i J. Rodríguez de la Rúa Puig, w charakterze pełnomocników,
– w imieniu rządu niderlandzkiego – A. Hanje, w charakterze pełnomocnika,
– w imieniu rządu polskiego – B. Majczyna, D. Łukowiak i J. Sawicka, w charakterze pełnomocników,
– w imieniu Komisji Europejskiej – A. Bouchagiar, C. Georgieva, H. Kranenborg i F. Wilman, w charakterze pełnomocników,
po zapoznaniu się z opinią rzecznika generalnego na posiedzeniu w dniu 15 czerwca 2023 r.,
wydaje następujący
Wyrok
1 Wniosek o wydanie orzeczenia w trybie prejudycjalnym dotyczy wykładni art. 5 dyrektywy Parlamentu Europejskiego i Rady (UE) 2016/680 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w sprawie swobodnego przepływu takich danych oraz uchylającej decyzję ramową Rady 2008/977/WSiSW (Dz.U. 2016, L 119, s. 89) w związku z art. 13 ust. 2 lit. b) i art. 13 ust. 3 tej dyrektywy.
2 Wniosek ten został złożony w ramach sporu pomiędzy NG a Direktor na Glavna direktsia „Natsionalna politsia” pri Ministerstvo na vatreshnite raboti – Sofia (dyrektorem dyrekcji generalnej „Policja Narodowa” przy ministerstwie spraw wewnętrznych, Bułgaria) (zwanym dalej „DGPN”) w przedmiocie oddalenia przez niego wniosku NG o wykreślenie go z rejestru policyjnego, do którego bułgarskie organy policyjne wpisują osoby ścigane za umyślne przestępstwo podlegające ściganiu z oskarżenia publicznego (zwanego dalej „rejestrem policyjnym”), przy czym podstawą tego wniosku było zatarcie skazania, z którego osoba ta skorzystała po wydaniu wobec niej prawomocnego wyroku skazującego.
Ramy prawne
Prawo Unii
3 Motywy 11, 14, 26, 27, 37, 47 i 104 dyrektywy 2016/680 stanowią:
„(11) Należy […] odnieść się do dziedzin [współpracy wymiarów sprawiedliwości w sprawach karnych i współpracy policyjnej] w odrębnej dyrektywie, która stanowi szczególne przepisy o ochronie osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w tym do celów ochrony przed zagrożeniami dla bezpieczeństwa publicznego i zapobiegania takim zagrożeniom, z zachowaniem szczególnego charakteru takich czynności […].
[…]
(14) Niniejsza dyrektywa nie powinna mieć zastosowania do przetwarzania danych osobowych w toku działalności wykraczającej poza zakres prawa Unii, dlatego czynności w zakresie bezpieczeństwa narodowego […] nie należy uznawać za czynności wchodzące w zakres niniejszej dyrektywy.
[…]
(26) […] Należy […] zapewnić, by zebrane dane osobowe nie były nadmierne i by okres ich przechowywania był nie dłuższy, niż jest to niezbędne do osiągnięcia celu ich przetwarzania. Dane osobowe powinny być przetwarzane tylko wtedy, gdy celu przetwarzania nie można rozsądnie osiągnąć innymi sposobami. Aby zapobiec przechowywaniu danych przez okres dłuższy, niż jest to niezbędne, administrator powinien ustalić termin ich usuwania lub okresowego przeglądu […].
(27) Zapobieganie przestępczości, prowadzenie postępowań przygotowawczych, wykrywanie i ściganie czynów zabronionych wymaga, aby właściwe organy przetwarzały dane osobowe – zebrane w kontekście zapobiegania konkretnym czynom zabronionym, prowadzenia postępowań przygotowawczych w ich sprawie, wykrywania ich lub ścigania – w kontekście szerszym, dla lepszego zrozumienia działalności przestępczej oraz ustalenia powiązań pomiędzy różnymi wykrytymi czynami zabronionymi.
[…]
(37) Dane osobowe, które z racji swego charakteru są szczególnie wrażliwe w świetle podstawowych praw i wolności, wymagają szczególnej ochrony, gdyż kontekst ich przetwarzania może powodować poważne ryzyko naruszenia podstawowych praw i wolności […].
[…]
(47) […] Każda osoba fizyczna powinna mieć również prawo do ograniczenia przetwarzania danych osobowych, […] gdy dane osobowe muszą zostać zachowane do celów dowodowych. W szczególności należy ograniczyć przetwarzanie danych osobowych zamiast ich usuwania, jeżeli w konkretnym przypadku uzasadnione przesłanki sugerują, że usunięcie mogłoby wpłynąć na uprawnione interesy osoby, której dane dotyczą. W takim przypadku ograniczone dane należy przetwarzać tylko w celu, który zapobiegł ich usunięciu […].
[…]
(104) Niniejsza dyrektywa nie narusza praw podstawowych i jest zgodna z zasadami uznanymi w [Karcie praw podstawowych Unii Europejskiej (zwanej dalej „Kartą”)] umocowanej [umocowanymi] TFUE, w szczególności z prawem do poszanowania życia prywatnego i rodzinnego, prawem do ochrony danych osobowych oraz prawem do skutecznego środka prawnego i do rzetelnego procesu. Ograniczenia tych praw są zgodne z art. 52 ust. 1 Karty, ponieważ są niezbędne do realizacji celów leżących w interesie ogólnym i uznanych przez Unię lub do ochrony praw i wolności innych osób”.
4 Artykuł 1 tej dyrektywy, zatytułowany „Przedmiot i cele”, stanowi w ust. 1:
„Niniejsza dyrektywa ustanawia przepisy o ochronie osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w tym ochrony przed zagrożeniami dla bezpieczeństwa publicznego i zapobiegania takim zagrożeniom”.
5 Artykuł 2 wspomnianej dyrektywy, zatytułowany „Zakres zastosowania”, stanowi w ust. 1 i 3:
„1. Niniejsza dyrektywa ma zastosowanie do przetwarzania danych osobowych przez właściwe organy do celów określonych w art. 1 ust. 1.
[…]
3. Niniejsza dyrektywa nie ma zastosowania do przetwarzania danych osobowych:
a) w ramach działalności nieobjętej zakresem prawa Unii;
[…]”.
6 Zgodnie z art. 3 tej dyrektywy, zatytułowanym „Definicje”:
„Na użytek niniejszej dyrektywy:
[…]
2. »przetwarzanie« oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych […], takie jak […] przechowywanie […];
[…]”.
7 Artykuł 4 dyrektywy 2016/680, zatytułowany „Zasady dotyczące przetwarzania danych osobowych”, stanowi w ust. 1:
„Państwa członkowskie zapewniają, by dane osobowe były:
[…]
c) adekwatne, stosowne i nienadmierne do celów, dla których są przetwarzane;
[…]
e) przechowywane w formie umożliwiającej identyfikację osób, których dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów ich przetwarzania;
[…]”.
8 Artykuł 5 tej dyrektywy, zatytułowany „Terminy przechowywania i przeglądu”, brzmi następująco:
„Państwa członkowskie zapewniają, by przyjęto odpowiednie terminy usuwania danych osobowych lub okresowego przeglądu konieczności przechowywania danych osobowych. Przestrzeganiu tych terminów powinny służyć odpowiednie środki proceduralne”.
9 Artykuł 10 wspomnianej dyrektywy, zatytułowany „Przetwarzanie szczególnych kategorii danych osobowych”, ma następujące brzmienie:
„Przetwarzanie danych […] genetycznych [i] danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej […] jest dozwolone wyłącznie wtedy, jeżeli jest bezwzględnie niezbędne, podlega odpowiednim zabezpieczeniom dla praw i wolności osoby, której dane dotyczą […]”.
10 Artykuł 13 tej dyrektywy, zatytułowany „Informacje udostępniane lub przekazywane osobie, której dane dotyczą”, stanowi w ust. 2, że państwa członkowskie zapewniają, by oprócz informacji, o których mowa w ust. 1, w konkretnych przypadkach administrator przekazywał osobie, której dane dotyczą, wymienione w tym ust. 2 dalsze informacje umożliwiające wykonywanie przysługujących tej osobie praw. Wśród tych dalszych informacji ujęto w szczególności, w lit. b) wspomnianego ustępu 2, okres przechowywania danych osobowych lub, gdy nie jest to możliwe, kryteria służące określeniu tego okresu. Ponadto art. 13 ust. 3 dyrektywy 2016/680 wskazuje powody, dla których państwa członkowskie mogą przyjąć akty prawne pozwalające opóźnić, ograniczyć lub pominąć informowanie osoby, której dane dotyczą, przewidziane w ust. 2 tego artykułu.
11 Artykuł 14 dyrektywy 2016/680, zatytułowany „Prawo dostępu przysługujące osobie, której dane dotyczą”, stanowi:
„Z zastrzeżeniem art. 15 państwa członkowskie zapewniają osobie, której dane dotyczą, prawo do uzyskania od administratora potwierdzenia, czy przetwarzane są dane osobowe jej dotyczące, a jeżeli takie dane są przetwarzane, prawo dostępu do danych osobowych i do następujących informacji:
[…]
d) w miarę możliwości planowany okres przechowywania danych osobowych lub, gdy nie jest to możliwe, kryteria służące określeniu tego okresu;
[…]”.
12 Artykuł 16 tej dyrektywy, zatytułowany „Prawo do sprostowania lub usunięcia danych osobowych oraz ograniczenia ich przetwarzania”, przewiduje w ust. 2 i 3:
„2. Państwa członkowskie nakładają na administratora wymóg usunięcia bez zbędnej zwłoki danych osobowych i zapewniają, by osoba, której dane dotyczą, miała prawo uzyskać od administratora usunięcie bez zbędnej zwłoki jej danych osobowych, jeżeli przetwarzanie narusza przepisy przyjęte na podstawie art. 4, 8 i 10 lub jeżeli dane osobowe muszą zostać usunięte w celu wypełnienia obowiązku prawnego ciążącego na administratorze.
3. Zamiast usunięcia administrator ogranicza przetwarzanie, jeżeli:
a) osoba, której dane dotyczą, kwestionuje prawidłowość danych osobowych, a ich prawidłowości lub nieprawidłowości nie można stwierdzić; lub
b) dane osobowe muszą zostać zachowane do celów dowodowych.
[…]”.
13 Na mocy art. 20 wspomnianej dyrektywy, zatytułowanego „Uwzględnianie ochrony danych w fazie projektowania oraz domyślna ochrona danych”, państwa członkowskie zapewniają, by administrator miał obowiązek wdrożenia odpowiednich środków technicznych i organizacyjnych, tak aby spełnić wymogi tej dyrektywy oraz chronić prawa osób, których dane dotyczą, a w szczególności aby domyślnie przetwarzane były wyłącznie te dane osobowe, które są niezbędne dla każdego konkretnego celu przetwarzania.
14 Artykuł 29 dyrektywy 2016/680, zatytułowany „Bezpieczeństwo przetwarzania”, stanowi w ust. 1:
„Państwa członkowskie zapewniają, by – uwzględniając stan wiedzy technicznej i koszt wdrożenia i charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie i wadze zagrożenia – administrator i podmiot przetwarzający mieli obowiązek wdrożenia odpowiednich środków technicznych i organizacyjnych dla zagwarantowania poziomu bezpieczeństwa odpowiadającego zagrożeniu, zwłaszcza jeżeli chodzi o przetwarzanie szczególnych kategorii danych osobowych, o których mowa w art. 10”.
Prawo bułgarskie
Kodeks karny
15 Artykuł 82 ust. 1 Nakazatelen kodeks (kodeksu karnego, DV nr 26 z dnia 2 kwietnia 1968 r.), w brzmieniu mającym zastosowanie do sporu w postępowaniu głównym, stanowi:
„Orzeczona kara nie podlega wykonaniu po upływie:
1. dwudziestu lat, jeżeli orzeczono karę dożywotniego pozbawienia wolności bez możliwości zamiany lub dożywotniego pozbawienia wolności;
2. piętnastu lat, jeżeli wymierzono karę pozbawienia wolności powyżej dziesięciu lat;
3. dziesięciu lat, jeżeli orzeczono karę pozbawienia wolności od trzech do dziesięciu lat;
4. pięciu lat, jeżeli orzeczono karę pozbawienia wolności do trzech lat; oraz
5. dwóch lat we wszystkich pozostałych przypadkach”.
16 Artykuł 85 ust. 1 tego kodeksu przewiduje:
„Zatarcie skazania wymazuje wyrok skazujący i uchyla na przyszłość skutki, jakie ustawy wiążą z samym skazaniem, chyba że ustawa lub dekret stanowi inaczej”.
17 Artykuł 88a wspomnianego kodeksu brzmi następująco:
„Jeżeli od odbycia kary upłynął okres odpowiadający okresowi, o którym mowa w art. 82 ust. 1, a osoba skazana nie popełniła nowego umyślnego przestępstwa ściganego z oskarżenia publicznego i zagrożonego karą pozbawienia wolności, skazanie i jego skutki zostają zatarte bez względu na jakikolwiek przepis przewidziany inną ustawą lub innym dekretem”.
Ustawa o ministerstwie spraw wewnętrznych
18 Artykuł 26 Zakon za Ministerstvo na vatreshnite raboti (ustawy o ministerstwie spraw wewnętrznych, DV nr 53 z dnia 27 czerwca 2014 r.), w brzmieniu mającym zastosowanie do sporu w postępowaniu głównym (zwanej dalej „ustawą o ministerstwie spraw wewnętrznych”), stanowi:
„(1) Podczas przetwarzania danych osobowych w związku z ochroną bezpieczeństwa narodowego, zwalczaniem przestępczości, utrzymaniem porządku publicznego i prowadzeniem postępowań karnych organy ministerstwa spraw wewnętrznych:
[…]
3. mogą przetwarzać wszystkie niezbędne kategorie danych osobowych;
[…]
(2) Terminy przechowywania danych, o których mowa w ust. 1, lub okresowego przeglądu konieczności ich przechowywania określa minister spraw wewnętrznych. Dane te są również usuwane na mocy aktu sądowego lub decyzji komisji ds. ochrony danych osobowych”.
19 Zgodnie z art. 27 ustawy o ministerstwie spraw wewnętrznych:
„Dane pochodzące z dokonanego na podstawie art. 68 wpisu osób do rejestru policyjnego są wykorzystywane wyłącznie do celów ochrony bezpieczeństwa narodowego, zwalczania przestępczości i utrzymania porządku publicznego”.
20 Artykuł 68 wspomnianej ustawy brzmi następująco:
„(1) Organy policji wpisują do rejestru policyjnego osoby ścigane za umyślne przestępstwo podlegające ściganiu z oskarżenia publicznego. Organy prowadzące postępowanie przygotowawcze są zobowiązane do podjęcia niezbędnych kroków w celu zapewnienia dokonania przez organy policji wpisu do rejestru.
(2) Wpis do rejestru policyjnego stanowi rodzaj przetwarzania danych osobowych osób, o których mowa w ust. 1, które odbywa się na warunkach określonych w niniejszej ustawie.
(3) Do celów dokonania wpisu do rejestru policyjnego organ policji powinien:
1. gromadzić [dane osobowe], o których mowa w art. 18 ustawy o bułgarskich dokumentach tożsamości;
2. pobierać odciski palców i sfotografować te osoby;
3. pobierać próbki w celu ustalenia profilu DNA osób.
[…]
(6) Wpis w rejestrze policyjnym jest usuwany na podstawie pisemnego nakazu podmiotu odpowiedzialnego za przetwarzanie danych osobowych lub upoważnionych przez niego urzędników, z urzędu lub na uzasadniony pisemny wniosek zarejestrowanej osoby, w przypadku gdy:
1. zarejestrowanie nastąpiło z naruszeniem prawa;
2. postępowanie karne zostało umorzone, z wyjątkiem przypadków, o których mowa w art. 24 ust. 3 [Nakazatelno‑protsesualen kodeks (kodeksu postępowania karnego)];
3. postępowanie karne zakończyło się uniewinnieniem;
4. osoba została uwolniona od odpowiedzialności karnej i nałożono na nią karę administracyjną;
5. osoba zmarła, w którym to przypadku wniosek może zostać złożony przez jej spadkobierców.
[…]”.
Postępowanie główne i pytanie prejudycjalne
21 NG został wpisany do rejestru policyjnego zgodnie z art. 68 ustawa o ministerstwie spraw wewnętrznych w ramach dochodzenia w sprawie złożenia fałszywych zeznań, co stanowi przestępstwo z art. 290 ust. 1 kodeksu karnego. Po zakończeniu tego dochodzenia przeciwko NG wniesiono akt oskarżenia, a wyrokiem z dnia 28 czerwca 2016 r., utrzymanym w mocy w dniu 2 grudnia 2016 r. w postępowaniu odwoławczym, został on uznany za winnego wspomnianego przestępstwa i skazany na karę roku ograniczenia wolności. Po odbyciu tej kary NG skorzystał na podstawie art. 82 ust. 1 w związku z art. 88a kodeksu karnego z zatarcia skazania, które nastąpiło w dniu 14 marca 2020 r.
22 W dniu 15 lipca 2020 r. w oparciu o to zatarcie skazania NG złożył wniosek do właściwego organu terytorialnego ministerstwa spraw wewnętrznych o wykreślenie wpisu jego osoby dokonanego w rejestrze policyjnym.
23 Decyzją z dnia 2 września 2020 r. DGPN oddalił ten wniosek, uznawszy, że prawomocny wyrok skazujący, również w przypadku zatarcia skazania, nie należy do wymienionych w sposób wyczerpujący w art. 68 ust. 6 ustawy o ministerstwie spraw wewnętrznych podstaw wykreślenia wpisu dokonanego w rejestrze policyjnym.
24 Orzeczeniem z dnia 2 lutego 2021 r. Administrativen sad Sofia grad (sąd administracyjny w Sofii, Bułgaria) oddalił skargę wniesioną przez NG na tę decyzję DGPN z powodów w istocie analogicznych do tych wskazanych przez DPGN.
25 NG wniósł skargę kasacyjną do sądu odsyłającego, Varhoven administrativen sad (najwyższego sądu administracyjnego, Bułgaria). Główny zarzut tej skargi dotyczy naruszenia zasady wynikającej z art. 5, 13 i 14 dyrektywy 2016/680, zgodnie z którą nie można przetwarzać danych osobowych poprzez ich przechowywanie przez nieograniczony okres. Zdaniem NG w istocie jest zaś tak de facto, gdy w braku mającej zastosowanie do przypadku zatarcia skazania podstawy wykreślenia wpisu dokonanego w rejestrze policyjnym osoba, której dane dotyczą, po odbyciu kary i po skorzystaniu z takiego zatarcia nigdy nie może uzyskać usunięcia danych osobowych zebranych w związku z przestępstwem, za które została prawomocnie skazana.
26 W tym względzie w pierwszej kolejności sąd odsyłający zauważa, że wpis do rejestru policyjnego stanowi przetwarzanie danych osobowych do celów określonych w art. 1 ust. 1 dyrektywy 2016/680, a zatem jest objęty jej zakresem stosowania.
27 W drugiej kolejności sąd odsyłający wskazuje, że zatarcie skazania nie należy do wymienionych w sposób wyczerpujący w art. 68 ust. 6 ustawy o ministerstwie spraw wewnętrznych podstaw wykreślenia wpisu dokonanego w rejestrze policyjnym i że żadna inna z tych podstaw nie może mieć zastosowania w tym przypadku, wobec czego w takiej sytuacji nie jest możliwe uzyskanie przez osobę, której dane dotyczą, wykreślenia dotyczącego jej wpisu dokonanego w tym rejestrze.
28 W trzeciej kolejności sąd odsyłający zauważa, że motyw 26 dyrektywy 2016/680 odnosi się do zapewnienia, by zebrane dane nie były nadmierne i by okres ich przechowywania był nie dłuższy, niż jest to niezbędne do osiągnięcia celu ich przetwarzania, i wskazuje, że administrator powinien ustalić termin ich usuwania lub okresowego przeglądu. Ponadto z motywu 34 tej dyrektywy sąd wywodzi, że przetwarzanie do celów określonych w jej art. 1 ust. 1 powinno obejmować operacje ograniczania, usuwania lub niszczenia tych danych. Jego zdaniem zasady te znajdują odzwierciedlenie w art. 5 oraz w art. 13 ust. 2 i 3 wspomnianej dyrektywy.
29 W tym względzie sąd odsyłający ma wątpliwości co do tego, czy cele wymienione w poprzednim punkcie stoją na przeszkodzie ustawodawstwu krajowemu prowadzącemu do „praktycznie nieograniczonego prawa” do przetwarzania danych przez właściwe organy do celów określonych w art. 1 ust. 1 dyrektywy 2016/680, oraz do utraty przez osobę, której dane dotyczą, prawa do ograniczenia przetwarzania lub usunięcia jej danych.
30 W tych okolicznościach Varhoven administrativen sad (najwyższy sąd administracyjny) postanowił zawiesić postępowanie i zwrócić się do Trybunału z następującym pytaniem prejudycjalnym:
„Czy wykładnia art. 5 w związku z art. 13 ust. 2 lit. b) i art. 13 ust. 3 [dyrektywy 2016/680] zezwala na stosowanie krajowych aktów prawnych prowadzących do praktycznie nieograniczonego prawa do przetwarzania danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar lub do zniesienia prawa osoby, której dane dotyczą, do ograniczenia przetwarzania, usunięcia lub zniszczenia jej danych?”.
W przedmiocie pytania prejudycjalnego
31 Zgodnie z utrwalonym orzecznictwem w ramach ustanowionej w art. 267 TFUE procedury współpracy między sądami krajowymi a Trybunałem do tego ostatniego należy udzielenie sądowi krajowemu użytecznej odpowiedzi, która umożliwi mu rozstrzygnięcie zawisłego przed nim sporu. Mając to na uwadze, Trybunał powinien w razie potrzeby przeformułować przedłożone mu pytania. Ponadto Trybunał może wziąć pod rozwagę normy prawa Unii, na które sąd krajowy nie powołał się w swoich pytaniach prejudycjalnych (wyrok z dnia 15 lipca 2021 r., Ministrstvo za obrambo, C‑742/19, EU:C:2021:597, pkt 31 i przytoczone tam orzecznictwo).
32 W niniejszej sprawie źródłem pytania sądu odsyłającego jest to, że – jak wynika z wniosku o wydanie orzeczenia w trybie prejudycjalnym i z informacji dostarczonych przez rząd bułgarski na rozprawie przed Trybunałem – żadna z podstaw uzasadniających usunięcie danych osobowych ujętych w rejestrze policyjnym, wymienionych enumeratywnie w ustawie o ministerstwie spraw wewnętrznych, nie ma zastosowania do sytuacji rozpatrywanej w postępowaniu głównym, w której osoba została prawomocnie skazana, i to nawet po zatarciu skazania, wobec czego dane te są przechowywane w tym rejestrze i mogą być przetwarzane przez organy, które mają do niej dostęp, bez żadnego ograniczenia czasowego do chwili śmierci wspomnianej osoby.
33 W tym względzie z postanowienia odsyłającego, a w szczególności z rozważań streszczonych w pkt 27 niniejszego wyroku oraz z brzmienia samego pytania prejudycjalnego wynika, że sąd odsyłający zastanawia się w szczególności nad zgodnością uregulowania krajowego rozpatrywanego w postępowaniu głównym z zasadą proporcjonalności. Jak zaś podkreślono w motywie 104 dyrektywy 2016/680, ograniczenia wprowadzone tą dyrektywą w odniesieniu do prawa do ochrony danych osobowych przewidzianego w art. 8 Karty, a także praw do poszanowania życia prywatnego i rodzinnego oraz do skutecznego środka prawnego i do rzetelnego procesu, chronionych, odpowiednio, w art. 7 i 47 Karty, należy interpretować zgodnie z wymogami art. 52 ust. 1 tej Karty, które obejmują poszanowanie tej zasady.
34 Następnie w treści swego pytania sąd odsyłający słusznie odnosi się do art. 5 wspomnianej dyrektywy, dotyczącego odpowiednich terminów usuwania danych osobowych lub okresowego przeglądu konieczności ich przechowywania. Ponieważ wspomniany art. 5 pozostaje w ścisłym związku zarówno z art. 4 ust. 1 lit. c) i e) tej dyrektywy, jak i z jej art. 16 ust. 2 i 3, należy rozumieć, że pytanie prejudycjalne dotyczy również tych dwóch przepisów.
35 Podobnie, ponieważ rozpatrywane w postępowaniu głównym uregulowanie krajowe przewiduje przechowywanie w szczególności danych biometrycznych i genetycznych, które należą do szczególnych kategorii danych osobowych, których przetwarzanie jest uregulowane konkretnie w art. 10 dyrektywy 2016/680, należy uznać, że zadane pytanie dotyczy również wykładni tego przepisu.
36 Wreszcie istotność wykładni art. 13 dyrektywy 2016/680 wynika jasno z wniosku o wydanie orzeczenia w trybie prejudycjalnym jedynie w odniesieniu do jego ust. 2 lit. b). Jest prawdą, jak wskazuje sąd odsyłający, że jego ust. 3 odzwierciedla również zasady wymienione w szczególności w motywie 26 tej dyrektywy. Jednakże z akt sprawy przedłożonych Trybunałowi nie wynika, że przedmiotem postępowania głównego miałby być również akt prawny pozwalający opóźnić lub ograniczyć informowanie osoby, której dane dotyczą, w rozumieniu tego ust. 3.
37 W świetle powyższych rozważań należy stwierdzić, że poprzez swoje pytanie sąd odsyłający dąży w istocie do ustalenia, czy art. 4 ust. 1 lit. c) i e) dyrektywy 2016/680 w związku z art. 5 i 10, art. 13 ust. 2 lit. b), a także art. 16 ust. 2 i 3 tej dyrektywy oraz w świetle art. 7 i 8 Karty należy interpretować w ten sposób, że stoi on na przeszkodzie ustawodawstwu krajowemu przewidującemu przechowywanie przez organy policji – do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar – danych osobowych, w szczególności danych biometrycznych i genetycznych, dotyczących osób, które zostały prawomocnie skazane za umyślne przestępstwo ścigane z oskarżenia publicznego, aż do chwili śmierci osoby, której dane dotyczą, w tym w przypadku zatarcia skazania tej osoby, bez przyznania jej ponadto prawa do usunięcia wspomnianych danych lub w stosownym przypadku ograniczenia ich przetwarzania.
38 Na wstępie należy zauważyć, że zadane pytanie dotyczy przetwarzania danych osobowych, które odpowiada celom objętym, zgodnie z art. 1 ust. 1 dyrektywy 2016/680, zakresem stosowania tej dyrektywy. Z art. 27 ustawy o ministerstwie spraw wewnętrznych, przytoczonego w postanowieniu odsyłającym, wynika jednak, że dane przechowywane w rejestrze policyjnym mogą również być przetwarzane w ramach ochrony bezpieczeństwa narodowego, do czego zgodnie z art. 2 ust. 3 lit. a) tej dyrektywy w świetle jej motywu 14 dyrektywa ta nie ma zastosowania. Do sądu odsyłającego będzie zatem należało upewnienie się, że przechowywanie danych skarżącego w postępowaniu głównym nie może służyć celom związanym z ochroną bezpieczeństwa narodowego, przy zastrzeżeniu, iż ów art. 2 ust. 3 lit. a) dotyczy wyjątku od stosowania prawa Unii, który musi podlegać ścisłej wykładni [zob. analogicznie wyrok z dnia 22 czerwca 2021 r., Latvijas Republikas Saeima (Punkty karne) (C‑439/19, EU:C:2021:504, pkt 62 i przytoczone tam orzecznictwo].
39 W pierwszej kolejności należy przypomnieć, że gwarantowane w art. 7 i 8 Karty podstawowe prawa do poszanowania życia prywatnego i ochrony danych osobowych nie są prerogatywami absolutnymi, lecz należy je postrzegać w kontekście ich funkcji społecznej i wyważyć względem innych praw podstawowych. Wszelkie ograniczenia w korzystaniu z tych praw podstawowych muszą zgodnie z art. 52 ust. 1 Karty być przewidziane ustawą i szanować istotę wspomnianych praw podstawowych oraz zasadę proporcjonalności. Na podstawie tej ostatniej zasady ograniczenia mogą być wprowadzone wyłącznie wtedy, gdy są konieczne i rzeczywiście odpowiadają celom interesu ogólnego uznawanym przez Unię lub potrzebom ochrony praw i wolności innych osób. Powinny one mieścić się w granicach tego, co absolutnie konieczne, a uregulowanie dotyczące rozpatrywanych ograniczeń musi zawierać jasne i precyzyjne zasady regulujące zakres i stosowanie tych ograniczeń [zob. podobnie wyrok z dnia 22 czerwca 2021 r., Latvijas Republikas Saeima (Punkty karne) (C‑439/19, EU:C:2021:504, pkt 105 i przytoczone tam orzecznictwo].
40 Jak podkreślono w istocie w motywie 26 dyrektywy 2016/680, wymogi te nie są spełnione, jeżeli zamierzony cel interesu ogólnego można racjonalnie osiągnąć w sposób równie skuteczny za pomocą innych środków, w mniejszym stopniu naruszających prawa podstawowe osób, których dane dotyczą [zob. analogicznie wyrok z dnia 22 czerwca 2021 r., Latvijas Republikas Saeima (Punkty karne) (C‑439/19, EU:C:2021:504, pkt 110 i przytoczone tam orzecznictwo].
41 W drugiej kolejności, zgodnie z art. 4 ust. 1 lit. c) wspomnianej dyrektywy, państwa członkowskie powinny zapewnić, by dane osobowe były adekwatne, stosowne i nienadmierne do celów, dla których są przetwarzane. Przepis ten wymaga zatem przestrzegania przez państwa członkowskie zasady „minimalizacji danych”, która wyraża zasadę proporcjonalności [zob. podobnie wyrok z dnia 22 czerwca 2021 r., Latvijas Republikas Saeima (Punkty karne) (C‑439/19, EU:C:2021:504, pkt 98 i przytoczone tam orzecznictwo].
42 Wynika z tego w szczególności, że zbieranie danych osobowych w ramach postępowania karnego i przechowywanie ich przez organy policji do celów określonych w art. 1 ust. 1 tej dyrektywy powinno być zgodne z tymi wymogami, podobnie jak każde przetwarzanie objęte zakresem stosowania tej dyrektywy. Takie przechowywanie stanowi zresztą ingerencję w prawa podstawowe do poszanowania życia prywatnego i do ochrony danych osobowych, niezależnie od tego, czy przechowywane informacje są danymi wrażliwymi, czy nie, ani czy osoby, których dane dotyczą, ucierpiały z powodu ewentualnych niedogodności wynikających z tej ingerencji, jak również bez względu na to, czy zatrzymane dane są następnie wykorzystywane (zob. analogicznie wyrok z dnia 5 kwietnia 2022 r., Commissioner of An Garda Síochána i in., C‑140/20, EU:C:2022:258, pkt 44 i przytoczone tam orzecznictwo).
43 Ponadto, co się tyczy konkretniej proporcjonalnego charakteru okresu przechowywania wspomnianych danych, państwa członkowskie powinny na podstawie art. 4 ust. 1 lit. e) dyrektywy 2016/680 zapewnić, by dane te były przechowywane w formie umożliwiającej identyfikację osób, których dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów ich przetwarzania.
44 W tych ramach art. 5 tej dyrektywy nakłada na państwa członkowskie obowiązek przyjęcia odpowiednich terminów usuwania danych osobowych lub okresowego przeglądu konieczności przechowywania takich danych oraz odpowiednich środków proceduralnych służących przestrzeganiu tych terminów.
45 Jak stanowi motyw 26 dyrektywy 2016/680, przepis ten ma na celu zapobieżenie, zgodnie z wymogami art. 4 ust. 1 lit. e) tej dyrektywy, przechowywaniu danych osobowych przez okres dłuższy, niż jest to niezbędne. Jest prawdą, że pozostawia on państwom członkowskim zadanie przyjęcia odpowiednich terminów w odniesieniu do okresu przechowywania i podjęcie decyzji, czy terminy te dotyczą usuwania wspomnianych danych, czy też okresowego przeglądu konieczności ich przechowywania, z zastrzeżeniem, by przestrzeganiu tych terminów służyły odpowiednie środki proceduralne. Jednakże „odpowiedni” charakter tych terminów wymaga w każdym razie, by zgodnie z art. 4 ust. 1 lit. c) i e) wspomnianej dyrektywy w świetle art. 52 ust. 1 Karty wspomniane terminy umożliwiały w stosownym przypadku usunięcie odnośnych danych, w sytuacji gdy ich przechowywanie nie jest już niezbędne do celów, które uzasadniały przetwarzanie.
46 To w szczególności w celu umożliwienia osobom, których dane dotyczą, sprawdzenia tego „odpowiedniego” charakteru i w stosownym przypadku zwrócenia się o takie usunięcie art. 13 ust. 2 lit. b) i art. 14 lit. d) dyrektywy 2016/680 przewidują poinformowanie co do zasady tych osób, gdy jest to możliwe, o okresie przechowywania danych osobowych ich dotyczących lub, gdy nie jest to możliwe, o kryteriach służących określeniu tego okresu.
47 Następnie art. 10 dyrektywy 2016/680 stanowi przepis szczególny regulujący przetwarzanie szczególnych kategorii danych osobowych, w tym danych biometrycznych i genetycznych. Przepis ten służy zapewnieniu wzmocnionej ochrony osoby, której dane dotyczą, ponieważ ze względu na ich szczególną wrażliwość i kontekst, w jakim są one przetwarzane, rozpatrywane dane mogą powodować, jak wynika z motywu 37 wspomnianej dyrektywy, poważne ryzyko naruszenia podstawowych praw i wolności, takich jak prawo do poszanowania życia prywatnego i prawo do ochrony danych osobowych, zagwarantowane w art. 7 i 8 Karty [wyrok z dnia 26 stycznia 2023 r., Ministerstvo na vatreshnite raboti (Rejestracja danych biometrycznych i genetycznych przez policję), C‑205/21, EU:C:2023:49, pkt 116 i przytoczone tam orzecznictwo].
48 W szczególności ów art. 10 ustanawia wymóg, zgodnie z którym przetwarzanie danych wrażliwych jest dopuszczalne „wyłącznie wtedy, jeżeli jest bezwzględnie niezbędne”, co stanowi bardziej rygorystyczny warunek zgodności przetwarzania takich danych z prawem i jest zwłaszcza związane z koniecznością przeprowadzenia szczególnie rygorystycznej kontroli poszanowania wynikającej z art. 4 ust. 1 lit. c) dyrektywy 2016/680 zasady „minimalizacji danych”, której wymóg ten stanowi szczególny przykład zastosowania do wspomnianych danych wrażliwych [zob. podobnie wyrok z dnia 26 stycznia 2023 r., Ministerstvo na vatreshnite raboti (Rejestracja danych biometrycznych i genetycznych przez policję), C‑205/21, EU:C:2023:49, pkt 117, 122, 125].
49 Wreszcie art. 16 ust. 2 dyrektywy 2016/680 ustanawia prawo do usunięcia danych osobowych, jeżeli przetwarzanie narusza przepisy przyjęte na podstawie art. 4, 8 i 10 tej dyrektywy lub jeżeli te dane muszą zostać usunięte w celu wypełnienia obowiązku prawnego ciążącego na administratorze.
50 Z art. 16 ust. 2 wynika, że owo prawo do usunięcia danych może być wykonane w szczególności wówczas, gdy przechowywanie rozpatrywanych danych osobowych nie ma lub nie ma już niezbędnego charakteru w odniesieniu do celów ich przetwarzania, skutkując tym samym naruszeniem przepisów prawa krajowego wdrażających art. 4 ust. 1 lit. c) i e) wspomnianej dyrektywy oraz, w stosownym przypadku, jej art. 10, lub gdy takie usunięcie jest wymagane dla dochowania terminu wyznaczonego w tym celu przez prawo krajowe na podstawie art. 5 tej dyrektywy.
51 Jednakże na podstawie z art. 16 ust. 3 dyrektywy 2016/680 prawo krajowe musi przewidywać, że administrator ogranicza przetwarzanie tych danych zamiast ich usunięcia, jeżeli zgodnie z lit. a) tego przepisu osoba, której dane dotyczą, kwestionuje prawidłowość danych osobowych, a ich prawidłowości lub nieprawidłowości nie można stwierdzić lub jeżeli zgodnie z lit. b) dane osobowe muszą zostać zachowane do celów dowodowych.
52 Z powyższego wynika, że przepisy dyrektywy 2016/680 zbadane w pkt 41–51 niniejszego wyroku ustanawiają ogólne ramy umożliwiające między innymi zagwarantowanie, by przechowywanie danych osobowych, a w szczególności jego czas trwania były ograniczone do tego, co okazuje się niezbędne w świetle celów, dla których dane te są przechowywane, pozostawiając państwom członkowskim zadanie określenia, z poszanowaniem tych ram, konkretnych sytuacji, w których ochrona praw podstawowych osoby, której dane dotyczą, wymaga usunięcia tych danych, oraz momentu, w którym powinno ono nastąpić. Natomiast, jak zauważył rzecznik generalny w istocie w pkt 28 opinii, przepisy te nie wymagają, aby państwa członkowskie określiły bezwzględne ograniczenia czasowe przechowywania danych osobowych, po których przekroczeniu powinny one zostać automatycznie usunięte.
53 W niniejszym przypadku z akt sprawy, którymi dysponuje Trybunał, wynika, że dane osobowe zawarte w rejestrze policyjnym na mocy art. 68 ustawy o ministerstwie spraw wewnętrznych są przechowywane wyłącznie do celów czynności operacyjno-rozpoznawczych, a w szczególności w celu porównania ich z innymi danymi zebranymi podczas dochodzeń dotyczących innych przestępstw.
54 W tym względzie w pierwszej kolejności należy podkreślić, że przechowywanie w rejestrze policyjnym danych dotyczących osób, które zostały prawomocnie skazane, może okazać się niezbędne do celów wskazanych w poprzednim punkcie, nawet po usunięciu tego skazania z rejestru karnego i gdy w konsekwencji skutki, jakie ustawodawstwo krajowe wiąże z tym skazaniem, zostają uchylone. Osoby te mogą bowiem brać udział w popełnieniu przestępstw innych niż te, za które zostały skazane, lub przeciwnie, zostać oczyszczone w drodze porównania danych przechowywanych przez te organy z danymi zebranymi podczas postępowań dotyczących tych innych przestępstw.
55 Takie przechowywanie danych może przyczyniać się do realizacji celu interesu ogólnego wymienionego w motywie 27 dyrektywy 2016/680, zgodnie z którym zapobieganie przestępczości, prowadzenie postępowań przygotowawczych, wykrywanie i ściganie czynów zabronionych wymaga, aby właściwe organy przetwarzały dane osobowe – zebrane w kontekście zapobiegania konkretnym czynom zabronionym, prowadzenia postępowań przygotowawczych w ich sprawie, wykrywania ich lub ścigania – w szerszym kontekście, dla lepszego zrozumienia działalności przestępczej oraz ustalenia powiązań pomiędzy różnymi wykrytymi czynami zabronionymi [zob. podobnie wyrok z dnia 26 stycznia 2023 r., Ministerstvo na vatreshnite raboti (Rejestracja danych biometrycznych i genetycznych przez policję), C‑205/21, EU:C:2023:49, pkt 98].
56 W drugiej kolejności z akt sprawy, którymi dysponuje Trybunał, wynika, że w rejestrze policyjnym przechowywane są dotyczące zainteresowanej osoby dane wskazane w bułgarskim ustawodawstwie z zakresu dokumentów tożsamości, pobrane odciski jej palców, jej fotografia oraz próbka pobrana w celu ustalenia profilu DNA, do których to danych, jak potwierdził rząd bułgarski na rozprawie, dochodzą dane dotyczące przestępstw popełnionych przez zainteresowaną osobę i wyroki skazujące z tego tytułu. Te różne kategorie danych mogą zaś okazać się niezbędne do celów sprawdzenia ewentualnego udziału osoby, której dane dotyczą, w popełnieniu przestępstw innych niż te, za które została prawomocnie skazana. W konsekwencji można je uznać co do zasady za adekwatne i stosowne do celów, dla których są przetwarzane, w rozumieniu art. 4 ust. 1 lit. c) dyrektywy 2016/680.
57 W trzeciej kolejności proporcjonalność takiego przechowywania w świetle jego celów należy oceniać z uwzględnieniem również odpowiednich środków technicznych i organizacyjnych przewidzianych w prawie krajowym, które mają służyć zapewnieniu poufności i bezpieczeństwa przechowywanych danych względem przetwarzania sprzecznego z wymogami dyrektywy 2016/680, zgodnie z art. 20 i 29 tej dyrektywy, a w szczególności środków, o których mowa w jej art. 20 ust. 2, zapewniających, aby przetwarzane były wyłącznie te dane osobowe, które są niezbędne dla każdego konkretnego celu przetwarzania.
58 W czwartej kolejności, co się tyczy okresu przechowywania danych osobowych rozpatrywanych w postępowaniu głównym, w niniejszym wypadku z wniosku o wydanie orzeczenia w trybie prejudycjalnym wynika, że jedynie w sytuacji prawomocnego skazania osoby, której dane dotyczą, za umyślne przestępstwo ścigane z oskarżenia publicznego przechowywanie wspomnianych danych zostaje utrzymane do chwili śmierci tej osoby, ponieważ w innych przypadkach ustawodawstwo krajowe przewiduje wykreślenie wpisów osób ściganych za takie przestępstwo.
59 W tym względzie należy jednak stwierdzić, że pojęcie „umyślnego przestępstwa ściganego z oskarżenia publicznego” ma wyjątkowo ogólny charakter i może mieć zastosowanie do znacznej liczby czynów zabronionych – niezależnie od ich charakteru i wagi [zob. podobnie wyrok z dnia 26 stycznia 2023 r., Ministerstvo na vatreshnite raboti (Rejestracja danych biometrycznych i genetycznych przez policję), C‑205/21, EU:C:2023:49, pkt 129].
60 Jak zaś również zauważył w istocie rzecznik generalny w pkt 73 i 74 opinii, nie jest tak, że w stosunku to wszystkich osób prawomocnie skazanych za przestępstwo objęte tym pojęciem istnieje taki sam stopień ryzyka udziału w popełnieniu innych przestępstw, co uzasadniałoby jednolity okres przechowywania dotyczących ich danych. I tak, w niektórych przypadkach, biorąc pod uwagę czynniki takie jak charakter i waga popełnionego przestępstwa lub brak powrotu do przestępstwa, ryzyko, jakie stanowi osoba skazana, niekoniecznie będzie uzasadniać utrzymanie do chwili jej śmierci dotyczących jej danych w przewidzianym w tym celu krajowym rejestrze policyjnym. W takich przypadkach nie będzie już niezbędnego związku między przechowywanymi danymi a zamierzonym celem [zob. analogicznie opinia 1/15 (Umowa UE–Kanada o danych PNR) z dnia 26 lipca 2017 r., EU:C:2017:592, pkt 205]. Ich przechowywanie nie będzie zatem zgodne z zasadą minimalizacji danych ustanowioną w art. 4 ust. 1 lit. c) dyrektywy 2016/680 i będzie wykraczać poza okres niezbędny do celów, dla których są one przetwarzane, wbrew art. 4 ust. 1 lit. e) tej dyrektywy.
61 W tym względzie należy uściślić, że jak podkreślił w istocie rzecznik generalny w pkt 70 opinii, jest prawdą, że zatarcie skazania takiej osoby, pociągające za sobą usunięcie wydanego wobec niej wyroku skazującego z rejestru karnego, takie jak to, które nastąpiło w sporze w postępowaniu głównym, nie może samo w sobie czynić zbędnym przechowywania jej danych w rejestrze policyjnym, ponieważ przechowywanie to służy celom innym niż dane o jej uprzedniej karalności we wspomnianym rejestrze karnym. Jednakże jeżeli, jak w niniejszym przypadku, na mocy przepisów mających zastosowanie do krajowego prawa karnego takie zatarcie skazania jest uzależnione od braku popełnienia nowego umyślnego przestępstwa ściganego z oskarżenia publicznego przez pewien okres po odbyciu kary, może ono stanowić wskazówkę co do mniejszego ryzyka, jakie stanowi osoba, której dane dotyczą, w świetle celów zwalczania przestępczości lub utrzymania porządku publicznego, a zatem element mogący skrócić niezbędny okres takiego przechowywania.
62 W piątej kolejności zasada proporcjonalności wyrażona w art. 52 ust. 1 Karty wymaga w szczególności wyważenia znaczenia zamierzonego celu i wagi ograniczenia w korzystaniu z rozpatrywanych praw podstawowych (zob. podobnie wyrok z dnia 22 listopada 2022 r., Luxembourg Business Registers, C‑37/20 i C‑601/20, EU:C:2022:912, pkt 66).
63 W niniejszym przypadku, jak przypomniano w pkt 35 niniejszego wyroku, przechowywanie danych osobowych w rozpatrywanym rejestrze policyjnym obejmuje dane biometryczne i genetyczne. Należy zatem podkreślić, że z uwagi na znaczne ryzyko, jakie stanowi przetwarzanie takich danych wrażliwych dla praw i wolności osób, których dane dotyczą, w szczególności w kontekście powierzonych właściwym organom zadań w celach określonych w art. 1 ust. 1 dyrektywy 2016/680, szczególne znaczenie zamierzonego celu należy oceniać na podstawie wszystkich istotnych elementów. Do takich elementów oceny należą w szczególności fakt, że przetwarzanie służy konkretnemu celowi związanemu z zapobieganiem czynom zabronionym lub zagrożeniom bezpieczeństwa publicznego wykazującym określony poziom istotności, karaniu za popełnienie takich przestępstw lub ochronie przed takimi zagrożeniami, a także szczególne okoliczności, w jakich to przetwarzanie jest dokonywane [wyrok z dnia 26 stycznia 2023 r., Ministerstvo na vatreshnite raboti (Rejestracja danych biometrycznych i genetycznych przez policję), C‑205/21, EU:C:2023:49, pkt 127].
64 W tym kontekście Trybunał uznał, że przepisy krajowe przewidujące systematyczne zbieranie danych biometrycznych i genetycznych każdej osoby, której przedstawiono zarzuty popełnienia umyślnego przestępstwa ściganego z oskarżenia publicznego, jest co do zasady niezgodne z wymogiem bezwzględnej niezbędności, wskazanym w art. 10 dyrektywy 2016/680 i przypomnianym w pkt 48 niniejszego wyroku. Takie przepisy mogą bowiem prowadzić w sposób niezróżnicowany i uogólniony do zbierania danych biometrycznych i genetycznych większości osób, którym przedstawiono zarzuty [zob. podobnie wyrok z dnia 26 stycznia 2023 r., Ministerstvo na vatreshnite raboti (Rejestracja danych biometrycznych i genetycznych przez policję), C‑205/21, EU:C:2023:49, pkt 128, 129].
65 Z kolei Europejski Trybunał Praw Człowieka orzekł, że ogólny i niezróżnicowany charakter uprawnienia do przechowywania odcisków palców, próbek biologicznych i profili DNA osób podejrzanych o popełnienie przestępstw, lecz nieskazanych, takiego jak przewidziane w uregulowaniu krajowym rozpatrywanym w sprawie zawisłej przed tym trybunałem, nie przejawia właściwej równowagi między konkurującymi ze sobą interesami publicznymi i prywatnymi oraz że w związku z tym przechowywanie tych danych sprowadza się do nieproporcjonalnego naruszenia prawa skarżących do poszanowania ich życia prywatnego i nie może uchodzić za niezbędne w społeczeństwie demokratycznym, przy czym naruszenie takie stanowi tym samym pogwałcenie art. 8 europejskiej Konwencji o ochronie praw człowieka i podstawowych wolności, podpisanej w Rzymie dnia 4 listopada 1950 r. (wyrok ETPC z dnia 4 grudnia 2008 r. w sprawie S i Marper przeciwko Zjednoczonemu Królestwu, CE:ECHR:2008:1204JUD 003056204, §§ 125, 126).
66 Jest prawdą, że przechowywanie danych biometrycznych i genetycznych osób, które zostały już prawomocnie skazane, w tym do chwili śmierci tych osób, może być bezwzględnie niezbędne w rozumieniu art. 10 dyrektywy 2016/680, w szczególności w celu umożliwienia weryfikacji ewentualnego udziału tych osób w popełnieniu innych przestępstw, a tym samym ścigania i skazania sprawców tych przestępstw. Należy bowiem wziąć pod uwagę znaczenie, jakie ma ten rodzaj danych dla postępowań przygotowawczych, w tym wiele lat po popełnieniu czynów, w szczególności gdy wspomniane czyny zabronione stanowią poważne przestępstwa (zob. podobnie wyrok ETPC z dnia 13 lutego 2020 r. w sprawie Gaughran przeciwko Zjednoczonemu Królestwu, CE:ECHR:2020:0213JUD004524515, § 93).
67 Jednakże można uznać, że przechowywanie danych biometrycznych i genetycznych odpowiada wymogowi, zgodnie z którym musi ono być dozwolone wyłącznie „wtedy, jeżeli jest bezwzględnie niezbędne” w rozumieniu art. 10 dyrektywy 2016/680, jedynie w sytuacji, gdy uwzględnia ono charakter i wagę przestępstwa, które skutkowało prawomocnym skazaniem, lub inne okoliczności, takie jak szczególny kontekst, w jakim przestępstwo to zostało popełnione, jego ewentualny związek z innymi toczącymi się postępowaniami czy też uprzednia karalność lub profil osoby skazanej. W związku z tym, w sytuacji gdy ustawodawstwo krajowe przewiduje, tak jak to rozpatrywane w postępowaniu głównym, przechowywanie danych biometrycznych i genetycznych zainteresowanych osób wpisanych do rejestru policyjnego do chwili śmierci tych osób w przypadku ich prawomocnego skazania, zakres stosowania tego przechowywania ma, jak stwierdzono w pkt 59 i 60 powyżej, charakter nadmiernie szeroki względem celów, dla których dane te są przetwarzane.
68 W szóstej kolejności, co się tyczy, po pierwsze, ciążącego na państwach członkowskich obowiązku przyjęcia odpowiednich terminów, o którym mowa w art. 5 dyrektywy 2016/680, należy zauważyć, że ze względów przedstawionych w pkt 59, 60 i 67 niniejszego wyroku i z uwagi na wymogi art. 4 ust. 1 lit. c) i e) oraz art. 10 tej dyrektywy termin można uznać za „odpowiedni” w rozumieniu tego art. 5, w szczególności w odniesieniu do przechowywania danych biometrycznych i genetycznych każdej osoby prawomocnie skazanej za umyślne przestępstwo ścigane z oskarżenia publicznego, tylko wtedy, gdy uwzględnia on istotne okoliczności mogące spowodować, że taki okres przechowywania będzie niezbędny, takie jak te, o których mowa w pkt 67 niniejszego wyroku.
69 W konsekwencji, nawet jeśli poczynione w ustawodawstwie krajowym odniesienie do chwili śmierci osoby, której dane dotyczą, może stanowić „termin” usunięcia przechowywanych danych w rozumieniu wspomnianego art. 5, taki termin można uznać za „odpowiedni” jedynie w szczególnych okolicznościach, które należycie to uzasadniają. Oczywiście nie jest zaś tak w przypadku, gdy stosuje się go w sposób ogólny i niezróżnicowany do każdej osoby prawomocnie skazanej.
70 Jest prawdą, że jak wskazano w pkt 45 niniejszego wyroku, art. 5 dyrektywy 2016/680 pozostawia państwom członkowskim podjęcie decyzji, czy należy przyjąć terminy dotyczące usuwania wspomnianych danych, czy też okresowego przeglądu konieczności ich przechowywania. Jednakże z tego samego punktu wynika również, że „odpowiedni” charakter terminów takiego okresowego przeglądu wymaga, by pozwalały one, zgodnie z art. 4 ust. 1 lit. c) i e) wspomnianej dyrektywy w świetle art. 52 ust. 1 Karty, na doprowadzenie do usunięcia rozpatrywanych danych, w przypadku gdy ich przechowywanie nie jest już niezbędne. Ze względów zaś przypomnianych w poprzednim punkcie wymóg taki nie jest spełniony, gdy – jak w niniejszej sprawie – jedynym przypadkiem, w którym ustawodawstwo krajowe przewiduje takie usunięcie w odniesieniu do osoby prawomocnie skazanej za umyślne przestępstwo ścigane z oskarżenia publicznego, jest jej śmierć.
71 Co się tyczy, po drugie, przewidzianych w art. 16 ust. 2 i 3 tej dyrektywy gwarancji odnoszących się do warunków dotyczących praw do usunięcia danych i ograniczenia przetwarzania, z pkt 50 i 51 niniejszego wyroku wynika, że przepisy te stoją również na przeszkodzie ustawodawstwu krajowemu, które nie pozwala osobie prawomocnie skazanej za umyślne przestępstwo ścigane z oskarżenia publicznego na wykonywanie tych praw.
72 W świetle wszystkich powyższych rozważań na zadane pytanie należy odpowiedzieć, że art. 4 ust. 1 lit. c) i e) dyrektywy 2016/680 w związku z art. 5 i 10, art. 13 ust. 2 lit. b), a także art. 16 ust. 2 i 3 tej dyrektywy oraz w świetle art. 7 i 8 Karty należy interpretować w ten sposób, że stoi on na przeszkodzie ustawodawstwu krajowemu przewidującemu przechowywanie przez organy policji – do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar – danych osobowych, w szczególności danych biometrycznych i genetycznych, dotyczących osób, które zostały prawomocnie skazane za umyślne przestępstwo ścigane z oskarżenia publicznego, aż do chwili śmierci osoby, której dane dotyczą, w tym w przypadku zatarcia skazania tej osoby, bez nałożenia na administratora obowiązku okresowego przeglądu, czy takie przechowywanie jest nadal niezbędne, i bez przyznania wspomnianej osobie prawa do usunięcia tych danych, od chwili gdy ich przechowywanie nie jest już niezbędne do celów, dla których były one przetwarzane, lub w stosownym przypadku do ograniczenia ich przetwarzania.
W przedmiocie kosztów
73 Dla stron w postępowaniu głównym niniejsze postępowanie ma charakter incydentalny, dotyczy bowiem kwestii podniesionej przed sądem odsyłającym, do niego zatem należy rozstrzygnięcie o kosztach. Koszty poniesione w związku z przedstawieniem uwag Trybunałowi, inne niż koszty stron w postępowaniu głównym, nie podlegają zwrotowi.
Z powyższych względów Trybunał (wielka izba) orzeka, co następuje:
Artykuł 4 ust. 1 lit. c) i e) dyrektywy Parlamentu Europejskiego i Rady (UE) 2016/680 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w sprawie swobodnego przepływu takich danych oraz uchylającej decyzję ramową Rady 2008/977/WSiSW w związku z art. 5 i 10, art. 13 ust. 2 lit. b), a także art. 16 ust. 2 i 3 tej dyrektywy oraz w świetle art. 7 i 8 Karty praw podstawowych Unii Europejskiej
należy interpretować w ten sposób, że:
stoi on na przeszkodzie ustawodawstwu krajowemu przewidującemu przechowywanie przez organy policji – do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar – danych osobowych, w szczególności danych biometrycznych i genetycznych, dotyczących osób, które zostały prawomocnie skazane za umyślne przestępstwo ścigane z oskarżenia publicznego, aż do chwili śmierci osoby, której dane dotyczą, w tym w przypadku zatarcia skazania tej osoby, bez nałożenia na administratora obowiązku okresowego przeglądu, czy takie przechowywanie jest nadal niezbędne, ani przyznania wspomnianej osobie prawa do usunięcia tych danych, od chwili gdy ich przechowywanie nie jest już niezbędne do celów, dla których były one przetwarzane, lub w stosownym przypadku do ograniczenia ich przetwarzania.
Podpisy