Cauza C‑205/21
V.S.
(cerere de decizie preliminară formulată de Spetsializiran nakazatelen sad)
Hotărârea Curții (Camera a cincea) din 26 ianuarie 2023
„Trimitere preliminară – Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Directiva (UE) 2016/680 – Articolul 4 alineatul (1) literele (a)-(c) – Principii referitoare la prelucrarea datelor cu caracter personal – Limitarea scopurilor – Reducere la minimum a datelor – Articolul 6 litera (a) – Distincție clară între datele cu caracter personal ale diferitelor categorii de persoane – Articolul 8 – Legalitatea prelucrării – Articolul 10 – Transpunere – Prelucrare a datelor biometrice și a datelor genetice – Noțiunea de «prelucrare autorizată de dreptul intern» – Noțiunea de «necesitate strictă» – Putere de apreciere – Carta drepturilor fundamentale a Uniunii Europene – Articolele 7, 8, 47, 48 și 52 – Dreptul la protecție jurisdicțională efectivă – Prezumția de nevinovăție – Restricție – Săvârșirea cu intenție a unei infracțiuni pentru care acțiunea penală se pune în mișcare din oficiu – Persoane inculpate – Colectare de date fotografice și dactiloscopice în scopul înregistrării lor și prelevarea unui eșantion biologic pentru stabilirea unui profil ADN – Procedură de executare coercitivă a colectării – Caracterul sistematic al colectării”
1. Apropierea legislațiilor – Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal în materie penală – Directiva 2016/680 – Prelucrarea de categorii speciale de date – Autorizarea acestei prelucrări de dreptul unui stat membru – Legislație națională care impune colectarea de către autoritățile de poliție ale unui stat membru a datelor biometrice și genetice ale persoanelor inculpate, în scopul înregistrării lor – Dispoziții naționale care se referă la Regulamentul 2016/679, dar care reproduc conținutul Directivei 2016/680 – Admisibilitate – Condiții
[Carta drepturilor fundamentale a Uniunii Europene, art. 52; Regulamentul 2016/679 al Parlamentului European și al Consiliului, art. 9; Directiva 2016/680 a Parlamentului European și a Consiliului, art. 3 pct. 7 și art. 10 lit. (a)]
(a se vedea punctele 62-67 și 72-76 și dispozitiv 1)
2. Acte ale instituțiilor – Directive – Executare de către statele membre – Directivă care prevede ca pentru punerea sa în aplicare să se facă trimitere la ea în dispozițiile naționale de transpunere – Incidență – Obligația statelor membre de a adopta un act pozitiv de transpunere a directivei – Cerința menționării directivei în dispozițiile naționale care autorizează prelucrările de date cu caracter personal care intră în domeniul de aplicare al acestei directive – Inexistență
[art. 288 al treilea paragraf TFUE; Directiva 2016/680 a Parlamentului European și a Consiliului, art. 63 alin. (1) al doilea paragraf]
(a se vedea punctele 68-71)
3. Apropierea legislațiilor – Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal în materie penală – Directiva 2016/680 – Obligația de a face distincție între diferitele categorii de persoane vizate – Conținut – Legislație națională care impune colectarea de către autoritățile de poliție ale unui stat membru a datelor biometrice și genetice ale persoanelor inculpate, în scopul înregistrării lor – Legislație care prevede o procedură de executare coercitivă a colectării – Competența instanței naționale de a aprecia existența motivelor serioase privind vinovăția persoanei în cauză – Inexistență – Admisibilitate – Condiții – Respectarea dreptului la protecție jurisdicțională efectivă și a prezumției de nevinovăție
[Carta drepturilor fundamentale a Uniunii Europene, art. 47 și 48; Directiva 2016/680 a Parlamentului European și a Consiliului, art. 6 lit. (a) și art. 54]
(a se vedea punctele 82-110 și dispozitiv 2)
4. Apropierea legislațiilor – Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal în materie penală – Directiva 2016/680 – Prelucrarea de categorii speciale de date – Prelucrare autorizată numai atunci când este strict necesară – Noțiune – Conținut – Condiții mai stricte de legalitate a prelucrării datelor – Limitarea scopurilor – Minimizarea datelor – Reglementare națională care prevede colectarea sistematică a datelor biometrice și genetice ale oricărei persoane inculpate pentru săvârșirea cu intenție a unei infracțiuni pentru care acțiunea penală se pune în mișcare din oficiu, în scopul înregistrării lor – Inadmisibilitate
[Directiva 2016/24 a Parlamentului European și a Consiliului, considerentele (26) și (37) și art. 4 alin. (1) lit. (a)-(c), art. 8 alin.(1) și (2) și art. 10]
(a se vedea punctele 116-135 și dispozitiv 3)
Rezumat
Colectarea sistematică a datelor biometrice și genetice ale oricărei persoane inculpate în scopul înregistrării lor de către poliție este contrară cerinței de a asigura o protecție sporită în privința prelucrării datelor cu caracter personal sensibile
În cadrul unei proceduri penale pentru fraudă fiscală inițiate de autoritățile bulgare, V.S. a fost inculpată pentru presupusa sa participare la un grup infracțional organizat, constituit în scopul obținerii de foloase pentru săvârșirea în mod concertat de infracțiuni pe teritoriul bulgar. În urma punerii în mișcare a acțiunii penale, poliția bulgară a invitat‑o pe V.S. să se supună colectării datelor sale dactiloscopice și fotografice, în scopul înregistrării, și unei prelevări în vederea stabilirii profilului său ADN. V.S. s‑a opus acestei colectări.
Întemeindu‑se pe legislația națională care prevede „înregistrarea polițienească” a persoanelor inculpate pentru săvârșirea cu intenție a unei infracțiuni pentru care acțiunea penală se pune în mișcare din oficiu, autoritățile de poliție au solicitat Spetsializiran nakazatelen sad (Tribunalul Penal Specializat, Bulgaria) să autorizeze colectarea coercitivă a datelor genetice și biometrice ale lui V.S. Cererea autorităților de poliție era însoțită numai de copii ale ordinului de punere în mișcare a acțiunii penale împotriva acesteia și ale declarației sale de refuz al colectării datelor.
Această instanță avea îndoieli cu privire la compatibilitatea legislației bulgare aplicabile acestei „înregistrări polițienești” cu Directiva 2016/680(1), citită în lumina Cartei drepturilor fundamentale a Uniunii Europene (denumită în continuare „carta”), și, prin urmare, a sesizat Curtea cu titlu preliminar.
În hotărârea sa, Curtea precizează mai întâi condițiile în care prelucrarea datelor biometrice și genetice de către autoritățile de poliție poate fi considerată ca fiind autorizată de dreptul intern, în sensul Directivei 2016/680. În continuare, ea se pronunță asupra punerii în aplicare a cerinței, prevăzută de această directivă, privind prelucrarea datelor unei categorii de persoane în privința cărora există motive serioase să se creadă că sunt implicate în săvârșirea unei infracțiuni și asupra respectării dreptului la protecție jurisdicțională efectivă, precum și a principiului prezumției de nevinovăție în cazul în care legislația internă permite instanței naționale competente să autorizeze colectarea coercitivă a acestor date, considerate „sensibile” de legiuitorul Uniunii. Curtea abordează, în sfârșit, chestiunea compatibilității legislației interne care prevede colectarea sistematică a acestor date cu dispozițiile Directivei 2016/680 care privesc prelucrarea lor, ținând seama de principiile aplicabile acestei prelucrări.
Aprecierea Curții
Mai întâi, Curtea constată că Directiva 2016/680, citită în lumina cartei(2), trebuie interpretată în sensul că prelucrarea datelor biometrice și genetice de către autoritățile de poliție în vederea activităților lor de investigare, pentru combaterea criminalității și menținerea ordinii publice, este autorizată de dreptul unui stat membru atunci când acesta conține un temei juridic suficient de clar și de precis pentru a autoriza prelucrarea menționată. Faptul că actul legislativ național care conține un astfel de temei juridic se referă, pe de altă parte, la Regulamentul general privind protecția datelor(3), iar nu la Directiva 2016/680, nu este în sine de natură să repună în discuție existența unei astfel de autorizații, în măsura în care reiese în mod suficient de clar, de precis și de lipsit de echivoc din interpretarea ansamblului dispozițiilor aplicabile din dreptul național că prelucrarea datelor biometrice și genetice în cauză intră în domeniul de aplicare al acestei directive, iar nu al RGPD.
În acest context, ținând seama de faptul că legislația națională relevantă se referea la dispozițiile RGPD care reglementează prelucrarea datelor sensibile, reproducând totodată conținutul dispozițiilor Directivei 2016/680 care vizează prelucrarea acelorași date(4), Curtea arată că aceste dispoziții nu sunt echivalente. Astfel, în timp ce o prelucrare a datelor sensibile de către autoritățile competente în scopul, printre altele, al prevenirii și al depistării infracțiunilor, care intră sub incidența Directivei 2016/680, este susceptibilă să fie autorizată numai în cazul unei necesități absolute și trebuie încadrată de garanții adecvate și prevăzută de dreptul Uniunii sau de dreptul intern, RGPD enunță o interdicție de principiu a prelucrării acestor date, însoțită de o listă de excepții. Deși legiuitorul național are posibilitatea de a prevedea în cadrul aceluiași instrument legislativ prelucrarea datelor cu caracter personal în scopuri care intră sub incidența Directivei 2016/680, precum și în alte scopuri care intră sub incidența RGPD, el are obligația de a se asigura de lipsa de ambiguitate în ceea ce privește aplicabilitatea unuia sau a altuia dintre aceste două acte ale Uniunii la colectarea datelor sensibile.
În plus, în ceea ce privește o eventuală transpunere incorectă a Directivei 2016/680, invocată de instanța de trimitere, Curtea subliniază că această directivă nu impune ca dispozițiile naționale care autorizează prelucrări de date care intră în domeniul său de aplicare să conțină o trimitere la directiva menționată. Ea precizează că, atunci când legiuitorul național prevede prelucrarea datelor biometrice și genetice de către autoritățile competente, care poate intra fie în domeniul de aplicare al acestei directive, fie în cel al RGPD, acesta are posibilitatea, pentru mai multă claritate și precizie, să facă trimitere în mod explicit, pe de o parte, la dispozițiile de drept național care asigură transpunerea acestei directive și, pe de altă parte, la RGPD, fără a fi obligat să menționeze respectiva directivă. Cu toate acestea, în prezența unei contradicții aparente între dispozițiile naționale care autorizează prelucrarea datelor în cauză și cele care par să o excludă, instanța națională trebuie să dea acestor dispoziții o interpretare care să mențină efectul util al Directivei 2016/680.
În continuare, Curtea declară că Directiva 2016/680(5) și carta(6) nu se opun unei legislații naționale care prevede că, în cazul refuzului persoanei inculpate pentru săvârșirea cu intenție a unei infracțiuni pentru care acțiunea penală se pune în mișcare din oficiu de a coopera în mod voluntar la colectarea datelor biometrice și genetice în ceea ce o privește, în scopul înregistrării lor, instanța penală competentă este obligată să autorizeze o măsură de executare coercitivă a acestei colectări, fără a dispune de puterea de a aprecia dacă există motive serioase pentru a considera că persoana în cauză a săvârșit infracțiunea pentru care este inculpată, în măsura în care dreptul național garantează ulterior controlul jurisdicțional efectiv al condițiilor acestei inculpări, din care decurge autorizația de a efectua colectarea menționată.
În această privință, Curtea amintește că, în temeiul Directivei 2016/680(7), statele membre trebuie să se asigure că se face o distincție clară între datele diferitelor categorii de persoane vizate, astfel încât să nu li se impună în mod nediferențiat același grad de ingerință în dreptul lor fundamental la protecția datelor cu caracter personal, indiferent de categoria din care fac parte. Însă această obligație nu este absolută. În definitiv, în măsura în care această directivă vizează categoria de persoane în privința cărora există motive serioase să se creadă că au săvârșit o infracțiune, Curtea precizează că existența unui număr suficient de elemente de probă privind vinovăția unei persoane constituie în principiu un motiv serios de a crede că aceasta a săvârșit infracțiunea în cauză. Astfel, Directiva 2016/680 nu se opune unei legislații naționale care prevede colectarea coercitivă a datelor persoanelor în privința cărora sunt adunate suficiente elemente de probă cu privire la faptul că sunt vinovate de săvârșirea cu intenție a unei infracțiuni pentru care acțiunea penală se pune în mișcare din oficiu și care au fost inculpate pentru acest motiv.
În ceea ce privește respectarea dreptului la protecție jurisdicțională efectivă, din moment ce instanța națională competentă nu poate efectua, în vederea autorizării unei măsuri de executare coercitivă a colectării datelor sensibile ale unei persoane inculpate, un control pe fond al condițiilor de punere în mișcare a acțiunii penale împotriva sa, Curtea subliniază printre altele că faptul de a sustrage temporar de la controlul instanței aprecierea probelor pe care se întemeiază urmărirea penală a persoanei în cauză se poate dovedi justificat în cursul fazei preliminare a procedurii penale. Astfel, un asemenea control în această fază ar putea împiedica desfășurarea anchetei penale în cursul căreia sunt colectate aceste date și ar putea limita în mod excesiv capacitatea anchetatorilor de a clarifica alte infracțiuni pe baza unei comparații a acestor date cu date adunate în alte anchete. Această limitare a protecției jurisdicționale efective nu este, așadar, disproporționată, din moment ce dreptul național garantează ulterior un control jurisdicțional efectiv.
În ceea ce privește respectarea de o decizie judiciară de autorizare a colectării datelor în cauză a dreptului la respectarea prezumției de nevinovăție, Curtea arată, pe de o parte, că, în măsura în care această colectare este limitată în speță la categoria persoanelor a căror răspundere penală nu a fost încă stabilită, ea nu poate fi considerată ca fiind de natură să reflecte sentimentul autorităților că aceste persoane sunt vinovate. Pe de altă parte, faptul că instanța care trebuie să se pronunțe asupra vinovăției persoanei vizate nu poate aprecia în acest stadiu al procedurii penale caracterul suficient al elementelor de probă pe care se întemeiază inculparea acestei persoane constituie o garanție a respectării dreptului său la prezumția de nevinovăție.
În sfârșit, Curtea concluzionează că Directiva 2016/680(8) se opune unei legislații naționale care prevede colectarea sistematică a datelor biometrice și genetice ale oricărei persoane inculpate pentru săvârșirea cu intenție a unei infracțiuni pentru care acțiunea penală se pune în mișcare din oficiu, în scopul înregistrării lor, fără a prevedea obligația autorității competente de a verifica și de a demonstra, pe de o parte, că această colectare este absolut necesară pentru realizarea obiectivelor concrete urmărite și, pe de altă parte, că aceste obiective nu pot fi atinse prin măsuri care constituie o ingerință de mai mică gravitate pentru drepturile și libertățile persoanei vizate.
În această privință, Curtea subliniază că Directiva 2016/680 urmărește să asigure, printre altele, o protecție sporită în privința prelucrărilor datelor sensibile, între care figurează datele biometrice și genetice, în măsura în care acestea sunt susceptibile să genereze riscuri importante pentru libertățile și pentru drepturile fundamentale. Cerința prevăzută de aceasta potrivit căreia prelucrarea unor astfel de date este autorizată „numai atunci când este strict necesară” trebuie interpretată în sensul că definește condiții mai stricte de legalitate a prelucrării acestor date sensibile(9). În plus, sfera acestei cerințe trebuie stabilită și în raport cu principiile referitoare la prelucrarea datelor, precum limitarea finalităților și minimizarea datelor.
În acest context, o legislație națională care prevede colectarea sistematică a datelor biometrice și genetice ale oricărei persoane inculpate pentru săvârșirea cu intenție a unei infracțiuni pentru care acțiunea penală se pune în mișcare din oficiu, în scopul înregistrării lor, este în principiu contrară acestei cerințe. Într‑adevăr, ea poate conduce, în mod nediferențiat și generalizat, la colectarea datelor majorității persoanelor inculpate, din moment ce noțiunea de „săvârșire cu intenție a unei infracțiuni pentru care acțiunea penală se pune în mișcare din oficiu” are un caracter deosebit de general și se poate aplica unui număr mare de infracțiuni, indiferent de natura și de gravitatea lor, de împrejurările specifice ale acestor infracțiuni, de eventuala lor legătură cu alte proceduri în curs, de antecedentele judiciare ale persoanei în cauză sau de profilul său individual.