CELEX: 62021CJ0205
Procedimiento prejudicial
Protección de las personas físicas en lo que respecta al tratamiento de datos personales
Directiva (UE) 2016/680
Artículo 4, apartado 1, letras a) a c)
Principios relativos al tratamiento de datos personales
Limitación de los fines
Minimización de los datos
Artículo 6, letra a)
Distinción clara entre los datos personales de las distintas categorías de personas
Artículo 8
Licitud del tratamiento
Artículo 10
Transposición
Tratamiento de datos biométricos y genéticos
Concepto de “tratamiento autorizado por el Derecho del Estado miembro”
Concepto de “estrictamente necesario”
Facultad de apreciación
Carta de los Derechos Fundamentales de la Unión Europea
Artículos 7, 8, 47, 48 y 52
Derecho a la tutela judicial efectiva
Presunción de inocencia
Limitación
Delito público doloso
Investigados
Recogida de datos fotográficos y toma de huellas dactilares a efectos de su registro y obtención de muestras biológicas para la elaboración de un perfil ADN
Procedimiento de recogida forzosa
Carácter sistemático de la recogida

La petición de decisión prejudicial tiene por objeto la interpretación, por una parte, de los artículos 4, apartado 1, letras a) y c), 6, letra a), 8 y 10 de la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos y por la que se deroga la Decisión Marco 2008/977/JAI del Consejo (DO 2016, L 119, p. 89), y, por otra parte, de los artículos 3, 8, 48 y 52 de la Carta de los Derechos Fundamentales de la Unión Europea (en lo sucesivo, «Carta»).
Esta petición se ha presentado en el contexto de un procedimiento penal incoado contra V. S., quien, a raíz de ser investigada, se negó a que la policía recogiera sus datos biométricos y genéticos a efectos de su registro.

Marco jurídico

Derecho de la Unió
n

RGPD
El considerando 19 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (DO 2016, L 119, p. 1; en lo sucesivo, «RGPD»), establece:
«La protección de las personas físicas en lo que respecta al tratamiento de datos de carácter personal por parte de las autoridades competentes a efectos de la prevención, investigación, detección o enjuiciamiento de infracciones penales o de la ejecución de sanciones penales, incluida la protección frente a las amenazas contra la seguridad pública y la libre circulación de estos datos y su prevención, es objeto de un acto jurídico específico a nivel de la Unión [Europea]. El presente Reglamento no debe, por lo tanto, aplicarse a las actividades de tratamiento destinadas a tales fines. […]»
El artículo 2 del RGPD, titulado «Ámbito de aplicación material», dispone, en sus apartados 1 y 2:
«1.      El presente Reglamento se aplica al tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero.
2.      El presente Reglamento no se aplica al tratamiento de datos personales:
a)      en el ejercicio de una actividad no comprendida en el ámbito de aplicación del Derecho de la Unión;
[…]
d)      por parte de las autoridades competentes con fines de prevención, investigación, detección o enjuiciamiento de infracciones penales, o de ejecución de sanciones penales, incluida la de protección frente a amenazas a la seguridad pública y su prevención.»
El artículo 9 del RGPD, bajo la rúbrica «Tratamiento de categorías especiales de datos personales», establece lo siguiente, en sus apartados 1, 2 y 4:
«1.      Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física.
2.      El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes:
a)      el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados […];
b)      el tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social […];
c)      el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física […];
d)      el tratamiento es efectuado, en el ámbito de sus actividades legítimas y con las debidas garantías, por una fundación, una asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical […];
e)      el tratamiento se refiere a datos personales que el interesado ha hecho manifiestamente públicos;
f)      el tratamiento es necesario para la formulación, el ejercicio o la defensa de reclamaciones o cuando los tribunales actúen en ejercicio de su función judicial;
g)      el tratamiento es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado;
h)      el tratamiento es necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social […];
i)      el tratamiento es necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios, sobre la base del Derecho de la Unión o de los Estados miembros que establezca medidas adecuadas y específicas para proteger los derechos y libertades del interesado, en particular el secreto profesional[;]
j)      el tratamiento es necesario con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos […]
[…]
4.      Los Estados miembros podrán mantener o introducir condiciones adicionales, inclusive limitaciones, con respecto al tratamiento de datos genéticos, datos biométricos o datos relativos a la salud.»

Directiva 2016/680
A tenor de los considerandos 9 a 12, 14, 26, 27, 31 y 37 de la Directiva 2016/680:
«(9)      […] El [RGPD] establece las normas generales para la protección de las personas físicas en relación con el tratamiento de los datos personales y para garantizar la libre circulación de datos personales dentro de la Unión.
(10)      En la Declaración n.º 21 relativa a la protección de datos de carácter personal en los ámbitos de la cooperación judicial en materia penal y de la cooperación policial, aneja al acta final de la Conferencia Intergubernamental que adoptó el Tratado de Lisboa, la Conferencia reconoció que podrían requerirse normas específicas sobre protección de datos personales y libre circulación de los mismos en los ámbitos de la cooperación judicial en materia penal y de la cooperación policial basada en el artículo 16 del TFUE, en razón de la naturaleza específica de dichos ámbitos.
(11)      Conviene por lo tanto que esos ámbitos estén regulados por una directiva que establezca las normas específicas relativas a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, incluidas la protección y la prevención frente a las amenazas para la seguridad pública. […]
(12)      Las actividades realizadas por la policía u otras fuerzas y cuerpos de seguridad se centran principalmente en la prevención, investigación, detección o enjuiciamiento de infracciones penales, incluidas las actuaciones policiales en las que no hay constancia de si un incidente es o no constitutivo de infracción penal. […] Los Estados miembros pueden encomendar a las autoridades competentes otras funciones que no necesariamente se lleven a cabo con fines de prevención, investigación, detección o enjuiciamiento de infracciones penales, incluidas la protección y la prevención frente a las amenazas para la seguridad pública, en cuyo caso el tratamiento de datos personales con estos otros fines, en la medida en que esté comprendido en el ámbito de aplicación del Derecho de la Unión, entrará dentro del ámbito de aplicación del [RGPD].
[…]
(14)      Puesto que la presente Directiva no debe aplicarse al tratamiento de datos personales en el marco de una actividad que no esté comprendida en el ámbito de aplicación del Derecho de la Unión, no deben considerarse comprendidas en el ámbito de aplicación de la presente Directiva las actividades relacionadas con la seguridad nacional, las actividades de los servicios o unidades que traten cuestiones de seguridad nacional y las actividades de tratamiento de datos personales que lleven a cabo los Estados miembros en el ejercicio de las actividades incluidas en el ámbito de aplicación del título V, capítulo 2, del [TUE].
[…]
(26)      […] Los datos personales deben ser adecuados y pertinentes en relación con los fines para los que se tratan, lo cual requiere, en particular, que se garantice que los datos personales recogidos no son excesivos ni se conservan más tiempo del que sea necesario para los fines con los que se tratan. Los datos personales solo deberían ser objeto de tratamiento si la finalidad del tratamiento no puede lograrse razonablemente por otros medios. […]
(27)      Para la prevención, investigación y enjuiciamiento de las infracciones penales, es necesario que las autoridades competentes traten datos personales recopilados en el contexto de la prevención, la investigación, la detección o el enjuiciamiento de infracciones penales concretas más allá de ese contexto específico, con el fin de adquirir un mejor conocimiento de las actividades delictivas y establecer vínculos entre las distintas infracciones penales detectadas.
[…]
(31)      Es inherente al tratamiento de datos personales en los ámbitos de la cooperación judicial en materia penal y de la cooperación policial que se traten datos personales relativos a diferentes categorías de interesados. Por ello, si procede y siempre que sea posible, se deben diferenciar claramente los datos personales de distintas categorías de interesados, tales como los sospechosos, los condenados por una infracción penal, las víctimas o los terceros, entre los que se incluyen los testigos, las personas que posean información o contactos útiles y los cómplices de sospechosos y delincuentes condenados. Lo anterior no debe impedir la aplicación del derecho a la presunción de inocencia tal como lo garantiza[n] la Carta y el [Convenio Europeo para la Protección de los Derechos Humanos y de las Libertades Fundamentales, hecho en Roma el 4 de noviembre de 1950], según los ha interpretado la jurisprudencia del Tribunal de Justicia y del Tribunal Europeo de Derechos Humanos, respectivamente.
[…]
(37)      Especial protección merecen los datos personales que, por su naturaleza, son particularmente sensibles en relación con los derechos y las libertades fundamentales, ya que el contexto de su tratamiento puede generar riesgos importantes para los derechos y las libertades fundamentales. […]»
El artículo 1 de esta Directiva, titulado «Objeto y objetivos», dispone lo siguiente en sus apartados 1 y 2:
«1.      La presente Directiva establece las normas relativas a la protección de las personas físicas en lo que respecta al tratamiento de los datos personales por parte de las autoridades competentes, con fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, incluidas la protección y la prevención frente a las amenazas contra la seguridad pública.
2.      De conformidad con la presente Directiva, los Estados miembros deberán:
a)      proteger los derechos y libertades fundamentales de las personas físicas y, en particular, su derecho a la protección de los datos personales, […]
b)      garantizar que el intercambio de datos personales por parte de las autoridades competentes en el interior de la Unión, en caso de que el Derecho de la Unión o del Estado miembro exijan dicho intercambio, no quede restringido ni prohibido por motivos relacionados con la protección de las personas físicas en lo que respecta al tratamiento de datos personales.»
El artículo 2 de dicha Directiva, que lleva por título «Ámbito de aplicación», enuncia lo siguiente en sus apartados 1 y 3:
«1.      La presente Directiva se aplica al tratamiento de datos personales por parte de las autoridades competentes a los fines establecidos en el artículo 1, apartado 1.
[…]
3.      La presente Directiva no se aplica al tratamiento de datos personales:
a)      en el ejercicio de una actividad no comprendida en el ámbito de aplicación del Derecho de la Unión;
[…]».
A tenor del artículo 3 de la misma Directiva:
«A efectos de la presente Directiva se entenderá por:
1)      “datos personales”: toda información sobre una persona física identificada o identificable (“el interesado”); se considerará persona física identificable a toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, unos datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;
2)      “tratamiento”: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;
[…]
7)      “autoridad competente”:
a)      toda autoridad pública competente para la prevención, investigación, detección o enjuiciamiento de infracciones penales o la ejecución de sanciones penales, incluidas la protección y prevención frente a amenazas para la seguridad pública, […]
[…]
12)      “datos genéticos”: datos personales relativos a las características genéticas heredadas o adquiridas de una persona física que proporcionen una información única sobre la fisiología o la salud de esa persona, obtenidos en particular del análisis de una muestra biológica de la persona física de que se trate;
13)      “datos biométricos”: los datos personales obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o de conducta de una persona física que permitan o confirmen la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos;
[…]».
El artículo 4 de la Directiva 2016/680, titulado «Principios relativos al tratamiento de datos personales», dispone en su apartado 1:
«Los Estados miembros dispondrán que los datos personales sean:
a)      tratados de manera lícita y leal;
b)      recogidos con fines determinados, explícitos y legítimos, y no se[an] tratados de forma incompatible con esos fines;
c)      adecuados, pertinentes y no excesivos en relación con los fines para los que son tratados;
[…]».
El artículo 6 de esta Directiva, bajo la rúbrica «Distinción entre diferentes categorías de interesados», establece:
«Los Estados miembros dispondrán que el responsable del tratamiento, cuando corresponda y en la medida de lo posible, establezca una distinción clara entre los datos personales de las distintas categorías de interesados, tales como:
a)      personas respecto de las cuales existan motivos fundados para presumir que han cometido o van a cometer una infracción penal;
b)      personas condenadas por una infracción penal;
c)      víctimas de una infracción penal o personas respecto de las cuales determinados hechos den lugar a pensar que puedan ser víctimas de una infracción penal, y
d)      terceras partes involucradas en una infracción penal como, por ejemplo, personas que puedan ser citadas a testificar en investigaciones relacionadas con infracciones penales o procesos penales ulteriores, o personas que puedan facilitar información sobre infracciones penales, o personas de contacto o asociados de una de las personas mencionadas en las letras a) y b).»
El artículo 8 de dicha Directiva, que lleva como epígrafe «Licitud del tratamiento», establece:
«1.      Los Estados miembros dispondrán que el tratamiento solo sea lícito en la medida en que sea necesario para la ejecución de una tarea realizada por una autoridad competente, para los fines establecidos en el artículo 1, apartado 1, y esté basado en el Derecho de la Unión o del Estado miembro.
2.      El Derecho del Estado miembro que regule el tratamiento dentro del ámbito de aplicación de la presente Directiva deberá indicar al menos los objetivos del tratamiento, los datos personales que vayan a ser objeto del mismo y las finalidades del tratamiento.»
El artículo 9 de la misma Directiva, titulado «Condiciones de tratamiento específicas», dispone, en sus apartados 1 y 2:
«1.      Los datos personales recogidos por las autoridades competentes para los fines establecidos en el artículo 1, apartado 1, no serán tratados para otros fines distintos de los establecidos en el artículo 1, apartado 1, salvo que dicho tratamiento esté autorizado por el Derecho de la Unión o del Estado miembro. Cuando los datos personales sean tratados para otros fines, se aplicará el [RGPD] a menos que el tratamiento se efectúe como parte de una actividad que quede fuera del ámbito de aplicación del Derecho de la Unión.
2.      Cuando el Derecho del Estado miembro encomiende a las autoridades competentes el desempeño de funciones que no coincidan con los fines establecidos en el artículo 1, apartado 1, se aplicará el [RGPD] al tratamiento con dichos fines, […] salvo que el tratamiento se lleve a cabo en una actividad que quede fuera del ámbito de aplicación del Derecho de la Unión.»
A tenor del artículo 10 de la Directiva 2016/680:
«El tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, así como el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o a la vida sexual o las orientaciones sexuales de una persona física solo se permitirá cuando sea estrictamente necesario, con sujeción a las salvaguardias adecuadas para los derechos y libertades del interesado y únicamente cuando:
a)      lo autorice el Derecho de la Unión o del Estado miembro;
b)      sea necesario para proteger los intereses vitales del interesado o de otra persona física, o
c)      dicho tratamiento se refiera a datos que el interesado haya hecho manifiestamente públicos.»
El artículo 52 de esa Directiva, bajo el epígrafe «Derecho a presentar una reclamación ante una autoridad de control», enuncia lo siguiente en su apartado 1:
«Sin perjuicio de cualquier otro recurso administrativo o acción judicial, los Estados miembros dispondrán que todo interesado tenga derecho a presentar una reclamación ante una única autoridad de control, si considera que el tratamiento de sus datos personales infringe las disposiciones adoptadas en virtud de la presente Directiva.»
El artículo 53 de dicha Directiva, titulado «Derecho a la tutela judicial efectiva contra una autoridad de control», establece, en su apartado 1:
«Sin perjuicio de cualquier otro recurso administrativo o extrajudicial, los Estados miembros dispondrán que toda persona física o jurídica tenga derecho a la tutela judicial efectiva contra una decisión jurídicamente vinculante de una autoridad de control que le concierna.»
A tenor del artículo 54 de esa Directiva, bajo la rúbrica «Derecho a la tutela judicial efectiva contra el responsable o el encargado del tratamiento»:
«Sin perjuicio de los recursos administrativos o extrajudiciales disponibles, incluido el derecho a presentar una reclamación ante una autoridad de control con arreglo al artículo 52, los Estados miembros reconocerán el derecho que asiste a todo interesado a la tutela judicial efectiva si considera que sus derechos establecidos en disposiciones adoptadas con arreglo a la presente Directiva han sido vulnerados como consecuencia de un tratamiento de sus datos personales no conforme con esas disposiciones.»
El artículo 63 de la Directiva 2016/680, titulado «Transposición», enuncia lo siguiente en sus apartados 1 y 4:
«1.      Los Estados miembros adoptarán y publicarán, a más tardar el 6 de mayo de 2018, las disposiciones legales, reglamentarias y administrativas necesarias para dar cumplimiento a lo establecido en la presente Directiva. […]
Cuando los Estados miembros adopten dichas disposiciones, estas harán referencia a la presente Directiva o irán acompañadas de dicha referencia en su publicación oficial. Los Estados miembros establecerán las modalidades de la mencionada referencia.
[…]
4.      Los Estados miembros comunicarán a la Comisión [Europea] el texto de las principales disposiciones de Derecho interno que adopten en el ámbito regulado por la presente Directiva.»

Derecho búlgar
o

NK
En virtud del artículo 11, apartado 2, del Nakazatelen kodeks (Código Penal), en su versión aplicable al litigio principal (en lo sucesivo, «NK»), los delitos serán dolosos cuando el autor sea consciente de la naturaleza de su acto o cuando haya querido o permitido que se produjera el resultado delictual. Son dolosos la gran mayoría de los delitos previstos en el NK.
A tenor del artículo 255 del NK, «quien cometa fraude en la liquidación y en el pago de deudas tributarias por cuantías importantes» de conformidad con la regulación legal, será condenado a una pena privativa de libertad de entre uno y seis años y a una multa de 2 000 levas búlgaras (BGN) (unos 1 000 euros).
Con arreglo a lo dispuesto en el artículo 321, apartados 2 y 3, en relación con el artículo 94, punto 20, del NK, quien participe en una organización criminal con ánimo de lucro con la finalidad de cometer delitos castigados con pena superior a tres años de «privación de libertad», incurrirá en una pena de «privación de libertad» de entre tres y diez años. En dichas disposiciones también se precisa que este delito es doloso y que será perseguido de conformidad con el Derecho común.

NPK
Los artículos 46, apartado 1, y 80 del Nakazatelno-protsesualen kodeks (Código de Enjuiciamiento Penal), en su versión aplicable al litigio principal (en lo sucesivo, «NPK»), establecen que las infracciones penales se perseguirán bien de oficio —es decir, el fiscal ejercerá la acusación—, bien a instancias de la acusación particular. Casi todos los delitos previstos en el NK son públicos.
En virtud del artículo 219, apartado 1, del NPK, «cuando concurran suficientes elementos de prueba de que una persona determinada es culpable de haber cometido un delito público», será investigada, hecho del que será informada. Podrá ser objeto de distintas medidas procesales coercitivas, si bien podrá defenderse, dando explicaciones o presentando pruebas.

ZZLD
En virtud del artículo 51 de la zakon za zashtita na lichnite danni (Ley de Protección de Datos Personales) (DV n.º 1, de 4 de enero de 2002; en lo sucesivo, «ZZLD»), solo se permitirá el tratamiento de datos genéticos y biométricos para identificar a una persona física de manera singularizada cuando sea estrictamente necesario, a condición de que los derechos y libertades del interesado estén debidamente garantizados y si está previsto por el Derecho de la Unión o el Derecho búlgaro. En caso de que ni el Derecho de la Unión ni el Derecho búlgaro prevean ese tratamiento, deben verse afectados intereses vitales para autorizarlo o el interesado debe haber hecho públicos los datos.

ZMVR
A tenor del artículo 6 de la zakon sa Ministerstvo na vatreshnite raboti (Ley del Ministerio del Interior) (DV n.º 53, de 27 de junio de 2014; en lo sucesivo, «ZMVR»), el Ministerio del Interior desarrolla ciertas actividades con carácter principal, entre ellas la actividad de investigación operativa y de vigilancia, las actividades de investigación delictual y la actividad de inteligencia.
Con arreglo al artículo 18, apartado 1, de la ZMVR, la actividad de inteligencia consiste en recabar, tratar, clasificar, conservar y utilizar la información. De conformidad con el artículo 20, apartado 1, de dicha Ley, la actividad de inteligencia se basa en la información reproducida o que puede reproducirse en soportes de grabación elaborados por las autoridades del Ministerio del Interior.
El artículo 25, apartado 1, de la ZMVR faculta al Ministerio del Interior para tratar datos personales en el ejercicio de sus actividades. Habida cuenta del artículo 6 de la ZMVR, se deduce que el Ministerio del Interior trata los datos personales para llevar a cabo sus actividades principales, concretamente su actividad de investigación operativa, de vigilancia y de investigación delictual.
El artículo 25, apartado 3, de la ZMVR establece que el tratamiento de datos personales se efectuará con arreglo a esta Ley, de conformidad con el RGPD y la ZZLD.
En virtud del artículo 25
bis
, apartado 1, de la ZMVR, el tratamiento de datos personales que contengan datos genéticos y biométricos con el fin de identificar a una persona física de manera singularizada solo estará permitido en las circunstancias establecidas en el artículo 9 del RGPD o en el artículo 51 de la ZZLD.
De conformidad con el artículo 27 de la ZMVR, los datos registrados por la policía al amparo del artículo 68 de esta Ley solo serán usados en la protección de la seguridad nacional, la lucha contra la delincuencia y el mantenimiento del orden público.
El artículo 68 de la ZMVR es del siguiente tenor:
«1.      Las autoridades policiales incluirán en un registro policial a las personas investigadas por delitos públicos dolosos. […]
2.      El registro policial constituye un tratamiento de datos personales de las personas a que se refiere el apartado 1 y deberá llevarse a cabo con arreglo a lo dispuesto en la presente Ley.
3.      A efectos del registro policial, las autoridades policiales deberán:
1)      recoger los datos personales mencionados en el artículo 18 de la [zakon za balgarskite lichni dokumenti (Ley relativa a los Documentos de Identidad búlgaros)];
2)      realizar fotografías del investigado y tomar sus huellas dactilares;
3)      obtener muestras para la elaboración de un perfil de ADN.
4.      A efectos de lo dispuesto en el punto 1 del apartado 3 no se requiere el consentimiento del investigado.
5.      El investigado deberá colaborar y abstenerse de obstruir el procedimiento o de impedir que las autoridades policiales lleven a cabo las actuaciones mencionadas en el apartado 3 anterior. Si el investigado se niega a colaborar, las actuaciones mencionadas en los puntos 2 y 3 del apartado 3 se ejecutarán por la fuerza, previa autorización del juez del tribunal de primera instancia competente para conocer del delito público por el que es investigado.
[…]».

NRISPR
El naredba za reda za izvarshvane i snemane na politseyska registratsia (Reglamento por el que se regulan las Modalidades de Inscripción en el Registro Policial) (DV n.º 90, de 31 de octubre de 2014), en su versión aplicable al litigio principal (en lo sucesivo, «NRISPR»), adoptado sobre la base del artículo 68, apartado 7, de la ZMVR, concreta las modalidades de aplicación del registro policial previsto en dicho artículo.
Con arreglo al artículo 2 del NRISPR, los objetivos de la inscripción en el registro policial son la protección de la seguridad nacional, la lucha contra la delincuencia y el mantenimiento del orden público.
En virtud del artículo 11, apartado 2, del NRISPR, se entregará un modelo de declaración a quien deba ser objeto de inscripción en el registro policial en el que podrá manifestar su conformidad o disconformidad con las medidas de fotografía, de toma de huellas dactilares y de obtención de muestras de ADN. A tenor del apartado 4 del artículo 11 del NRISPR, en caso de disconformidad de esa persona, la policía presentará una solicitud al tribunal competente a efectos de que se autorice la ejecución forzosa de tales medidas.

Litigio principal y cuestiones prejudiciales
Sobre la base del artículo 255 del NK, las autoridades búlgaras incoaron un procedimiento penal por fraude en la liquidación y pago de deudas tributarias contra dos sociedades mercantiles.
Mediante auto adoptado el 1 de marzo de 2021 al amparo del artículo 219 del NPK y notificado a V. S. el 15 de marzo de 2021, se abrió una investigación en su contra. Se le imputaba, en virtud del apartado 3, punto 2, del artículo 321 del NK, en relación con su apartado 2, la participación, junto con otras tres personas, en una organización criminal con ánimo de lucro, con el fin de cometer en territorio búlgaro de manera concertada delitos tipificados en el artículo 255 del NK.
A raíz de la notificación del auto citado por el que se le abrió una investigación, V. S. fue instada a someterse a inscripción en el registro policial. Cumplimentó un formulario de declaración en el que indicó que había sido informada de la existencia de una base legal que permitía realizarlo y que se negaba a someterse a la recogida de sus datos dactiloscópicos y fotográficos a efectos de su registro y a la obtención de muestras para la elaboración de su perfil ADN. La policía no recogió los datos y se dirigió al tribunal remitente.
El escrito de las autoridades policiales dirigido al tribunal remitente indica que concurrían suficientes pruebas de la culpabilidad de los investigados en el procedimiento penal de que se trata, incluida V. S. En él se precisa que V. S. es objeto de una investigación formal por la comisión de un delito contemplado en el punto 2 del apartado 3 del artículo 321 del NK, en relación con su apartado 2, y que se negó a someterse a la recogida de sus datos dactiloscópicos y fotográficos a efectos de su registro y a la obtención de muestras para la elaboración de su perfil ADN y se cita la base legal de la recogida de tales datos. Por último, en el citado escrito se solicita al tribunal remitente que autorice la recogida forzosa. Solo acompañan a dicho escrito las copias del auto por el que se decretan las diligencias policiales contra V. S. y la declaración en la que se opone a prestar su consentimiento al registro policial.
El tribunal remitente alberga dudas en cuanto a la compatibilidad con el Derecho de la Unión de las disposiciones legislativas y reglamentarias del Derecho búlgaro aplicables al registro policial.
En primer lugar, el tribunal remitente señala que las disposiciones de los artículos 25, apartado 3, y 25
bis
de la ZMVR se remiten al RGPD y no a la Directiva 2016/680. Ahora bien, pone de manifiesto que, si bien, en virtud de su artículo 2, apartado 2, letra d), tal Reglamento no se aplica al tratamiento de datos personales por parte de los órganos competentes con fines de prevención, investigación, detección o enjuiciamiento de infracciones penales, ese tratamiento está sujeto al artículo 1, apartado 1, de la citada Directiva. Observa asimismo que el artículo 9 de dicho Reglamento prohíbe expresamente el tratamiento de datos genéticos y biométricos y que la lucha contra la delincuencia no figura entre las excepciones a esa prohibición previstas en el apartado 2 de ese artículo. Por último, añade que el artículo 51 de la ZZLD no basta por sí solo para fundamentar la legitimidad de un tratamiento de datos biométricos y genéticos, ya que esa legitimidad ha de establecerla el Derecho de la Unión o el Derecho nacional.
A la luz de estos datos, el tribunal remitente se pregunta si es posible considerar que, a pesar de la remisión al artículo 9 del RGPD, es legítimo en Derecho nacional el tratamiento de datos genéticos y biométricos con fines penales, habida cuenta de que el artículo 10 de la Directiva 2016/680 lo permite claramente, aun cuando las disposiciones aplicables de la ZMVR no mencionen esta Directiva.
En segundo lugar, en el supuesto de que deba considerarse que el artículo 10 de la Directiva 2016/680 fue transpuesto correctamente al Derecho nacional o que existe una base jurídica válida en dicho Derecho para efectuar el tratamiento de datos biométricos y genéticos, el tribunal remitente se pregunta si se cumple el requisito establecido en el artículo 10, letra a), de dicha Directiva, según el cual un tratamiento de este tipo debe ser autorizado por el Derecho de la Unión o de un Estado miembro cuando existe contradicción entre las disposiciones de Derecho nacional aplicables.
En efecto, el tribunal remitente considera que existe contradicción entre el artículo 25
bis
de la ZMVR, que, remitiéndose al artículo 9 del RGPD, parece no autorizar la obtención de datos biométricos y genéticos, y el artículo 68 de la ZMVR, que la autoriza sin lugar a dudas.
En tercer lugar, por un lado, el tribunal remitente observa que, en virtud del artículo 219, apartado 1, del NPK, es preciso que concurran suficientes elementos de prueba de la culpabilidad de una persona determinada para que esta sea investigada. A este respecto, se pregunta si el criterio establecido en esa disposición se corresponde con el contemplado en el artículo 6, letra a), de la Directiva 2016/680, que se refiere a las personas respecto de las cuales existan «motivos fundados para presumir que han cometido […] una infracción». Opina que, más bien, a efectos del tratamiento de datos biométricos y genéticos, es indispensable reunir pruebas más convincentes que las que se exigen, en virtud del NPK, para investigar a una persona, pues la resolución por la que se decretan diligencias policiales tiene el objetivo de informar a esa persona de las sospechas que se ciernen sobre ella y de su derecho a defenderse.
Por otro lado, el tribunal remitente hace constar que el artículo 68 de la ZMVR no prevé que, en el marco del procedimiento de inscripción forzosa en el registro policial, deba cerciorarse de que existen motivos fundados, en el sentido del artículo 6, letra a), de la Directiva 2016/680. Por el contrario, en virtud del citado artículo de la ZMVR, le bastaría con constatar que la persona está siendo investigada por la comisión de un delito público doloso. Por tanto, no se considera competente para apreciar si existen pruebas suficientes o fundadas que respalden esta investigación y, por lo demás, en la práctica, tampoco puede realizar tal apreciación, en la medida en que no tiene acceso al expediente, sino únicamente a copias del auto por el que se decretan las diligencias policiales y de la declaración de oposición a la recogida de datos por parte de la policía. Por consiguiente, se pregunta si, en estas circunstancias, la persona que se ha negado a facilitar a la policía sus datos fotográficos, dactiloscópicos y genéticos disfrutará de la tutela judicial efectiva y del respeto del derecho a la presunción de inocencia, garantizados, respectivamente, por los artículos 47 y 48 de la Carta.
En cuarto lugar, el tribunal remitente deduce de los artículos 4, apartado 1, letras b) y c), 8, apartados 1 y 2, y 10 de la Directiva 2016/680 que el Derecho nacional debe conferir a las autoridades competentes cierta facultad de apreciación cuando recogen datos biométricos y genéticos mediante la toma de fotografías y de huellas dactilares, así como mediante la obtención de ADN. A su juicio, esta facultad de apreciación debe englobar tanto la necesidad de esa recogida como si debe abarcar todas las categorías de datos antes citados. Por último, considera que del requisito relativo al carácter «estrictamente necesario» establecido en el artículo 10 de dicha Directiva se deduce que la recogida de tales datos solo puede permitirse cuando se motiva de forma adecuada su necesidad.
El tribunal remitente observa que el registro policial se aplica, no obstante, imperativamente a todas las personas investigadas por la comisión de delitos públicos dolosos y a las tres categorías de datos personales mencionadas en dicho artículo, a saber, las fotografías, las huellas dactilares y las muestras de ADN.
Por otro lado, señala que la ZMVR solo alude a los objetivos de ese tratamiento de datos personales, es decir, el desarrollo de una actividad de investigación, en particular, con vistas a la protección de la seguridad nacional, la lucha contra la delincuencia y el mantenimiento del orden público. En cambio, la normativa nacional no exige que se declare la necesidad concreta de proceder a la recogida de datos biométricos y genéticos ni que se aprecie si bastan todos esos datos o solo una parte de ellos.
El tribunal remitente se pregunta, por tanto, si el requisito previsto en el Derecho nacional para autorizar el registro policial, según el cual el interesado debe haber sido investigado por la comisión de un delito público doloso, basta para dar cumplimiento a los requisitos de los artículos 4, apartado 1, letras a) y c), 8, apartados 1 y 2, y 10 de la Directiva 2016/680.
En estas circunstancias, el Spetsializiran nakazatelen sad (Tribunal Penal Especial, Bulgaria) decidió suspender el procedimiento y plantear al Tribunal de Justicia las cuestiones prejudiciales siguientes:
«1)      ¿Se transpone el artículo 10 de la Directiva 2016/680 de forma efectiva a la legislación nacional —artículos 25, apartado 3, y 25
bis
de la [ZMVR]— mediante la remisión a la disposición similar del artículo 9 del [RGPD]?
2)      ¿Se cumple el requisito previsto en el artículo 10, letra a), de la Directiva 2016/680, en relación con los artículos 52, 3 y 8 de la [Carta], de que una limitación de la integridad de la persona y de la protección de los datos personales debe estar establecida por la ley cuando existen disposiciones nacionales contradictorias relativas a la legitimidad del tratamiento de datos genéticos y biométricos a efectos del registro policial?
3)      ¿Es compatible con el artículo 6, letra a), de la Directiva 2016/680, en relación con el artículo 48 de la [Carta], una ley nacional —artículo 68, apartado 4, de la [ZMVR]— que establece la obligación de que el tribunal ordene recabar forzosamente datos personales (realización de fotografías de identificación, toma de huellas dactilares y obtención de muestras para la elaboración de un perfil de ADN) cuando una persona investigada por un delito público doloso se niega a colaborar voluntariamente en la obtención de dichos datos personales, sin que el tribunal pueda apreciar si existen motivos fundados para presumir que la persona ha cometido la infracción penal por la que es investigado?
4)      ¿Es compatible con los artículos 10, 4, apartado 1, letras a) y c), y 8, apartados 1 y 2, de la Directiva 2016/680 una ley nacional —artículo 68, apartados 1 a 3, de la [ZMVR]— que establece como regla general la realización de fotografías de identificación, la toma de huellas dactilares y la obtención de muestras para la elaboración de un perfil de ADN de todas las personas investigadas por un delito público doloso?»
Mediante escrito de 5 de agosto de 2022, el Sofiyski gradski sad (Tribunal de la Ciudad de Sofía, Bulgaria) informó al Tribunal de Justicia de que, a raíz de una reforma legislativa que entró en vigor el 27 de julio de 2022, el Spetsializiran nakazatelen sad (Tribunal Penal Especial) había sido disuelto y de que algunos asuntos penales planteados ante este último tribunal, incluido el litigio principal, habían sido transferidos desde ese día al Sofiyski gradski sad (Tribunal de la Ciudad de Sofía).

Sobre las cuestiones prejudiciales

Cuestiones prejudiciales primera y segund
a
Mediante sus cuestiones prejudiciales primera y segunda, que procede examinar conjuntamente, el tribunal remitente desea saber, en esencia, si el artículo 10, letra a), de la Directiva 2016/680, a la luz de los artículos 3, 8 y 52 de la Carta, debe interpretarse en el sentido de que el Derecho del Estado miembro autoriza, con arreglo al artículo 10, letra a), de la Directiva 2016/680, a que las autoridades policiales recojan datos biométricos y genéticos para sus actividades de investigación con fines de lucha contra la delincuencia y de mantenimiento del orden público cuando, por una parte, las disposiciones nacionales que constituyen la base jurídica de esa autorización se remiten al artículo 9 del RGPD, aunque reproducen el contenido del artículo 10 de la Directiva 2016/680 citado, y, por otra parte, esas disposiciones nacionales parecen establecer requisitos contradictorios en cuanto a la legitimidad de esa recogida.

Sobre la admisibilidad
En sus observaciones escritas, la Comisión cuestiona la admisibilidad de las dos primeras cuestiones prejudiciales, debido a que considera que el tribunal remitente, por un lado, trata únicamente de saber si el Derecho nacional transpuso efectivamente el artículo 10 de la Directiva 2016/680, sin plantear dudas ni formular preguntas en cuanto al sentido exacto de dicho artículo y, por otro, no expone los motivos que lo llevaron a preguntarse sobre la interpretación o la validez de las disposiciones del Derecho de la Unión de que se trata, infringiendo el artículo 94 del Reglamento de Procedimiento del Tribunal de Justicia.
A este respecto, es preciso recordar que, según reiterada jurisprudencia del Tribunal de Justicia, corresponde exclusivamente al juez nacional que conoce del litigio y que debe asumir la responsabilidad de la decisión judicial que ha de adoptarse apreciar, a la luz de las particularidades del asunto, tanto la necesidad de una decisión prejudicial para poder dictar sentencia como la pertinencia de las cuestiones que plantea al Tribunal de Justicia. Por consiguiente, cuando las cuestiones formuladas se refieren a la interpretación o a la validez de una norma del Derecho de la Unión, el Tribunal de Justicia está, en principio, obligado a pronunciarse. De ello se deduce que las cuestiones planteadas por los órganos jurisdiccionales nacionales disfrutan de una presunción de pertinencia. El Tribunal de Justicia solo puede abstenerse de pronunciarse sobre una cuestión prejudicial planteada por un órgano jurisdiccional nacional cuando la interpretación solicitada no tenga relación alguna con la realidad o con el objeto del litigio principal, cuando el problema sea de naturaleza hipotética o cuando el Tribunal de Justicia no disponga de los elementos de hecho y de Derecho necesarios para dar una respuesta útil a las cuestiones que se le hayan formulado (sentencia de 20 de octubre de 2022, Digi, C‑77/21, EU:C:2022:805, apartado 17 y jurisprudencia citada).
A tal efecto, a fin de que el Tribunal de Justicia pueda proporcionar una interpretación del Derecho de la Unión que sea útil para el juez nacional, la petición de decisión prejudicial ha de indicar, de conformidad con el artículo 94, letra c), del Reglamento de Procedimiento, las razones que han llevado al órgano jurisdiccional remitente a preguntarse sobre la interpretación o la validez de determinadas disposiciones del Derecho de la Unión, así como la relación que a su juicio existe entre dichas disposiciones y la normativa nacional aplicable en el litigio principal (véase, en este sentido, la sentencia de 2 de julio de 2015, Gullotta y Farmacia di Gullotta Davide & C., C‑497/12, EU:C:2015:436, apartado 17 y jurisprudencia citada).
Por lo que respecta a las dos primeras cuestiones prejudiciales, de la resolución de remisión se desprende que, en el litigio principal, el tribunal remitente se pregunta si, por lo que respecta al registro policial controvertido en ese litigio, concurre la condición establecida en el artículo 10, letra a), de la Directiva 2016/680, según la cual el Derecho de la Unión o del Estado miembro deben autorizar el tratamiento de los datos genéticos y biométricos a los que se refiere ese artículo.
Como en esencia indica el tribunal remitente en dicha petición, solicita al Tribunal de Justicia orientaciones en cuanto a la interpretación de esa condición en el contexto citado. Por un lado, mediante su primera cuestión prejudicial, desea saber si el mencionado artículo 10 puede considerarse correctamente transpuesto por una disposición de Derecho nacional que se remite únicamente al artículo 9 del RGPD, pero cuyo tenor coincide con el del mencionado artículo 10. Por otro lado, en caso de respuesta afirmativa, mediante su segunda cuestión prejudicial, pretende que se dilucide si cabe considerar «[autorizada por] el Derecho del Estado miembro», con arreglo a la letra a) de ese artículo, es decir, «establecida por la ley», en el sentido del artículo 52, apartado 1, de la Carta, la recogida por parte de la policía de datos genéticos y biométricos a efectos de su registro cuando las disposiciones de Derecho nacional que constituyen la base jurídica de ese tratamiento parecen establecer normas contradictorias en cuanto a la legitimidad de ese tratamiento.
Por consiguiente, el tribunal remitente ha identificado claramente, en la petición de decisión prejudicial, las disposiciones del Derecho de la Unión aplicables, las dudas que tiene en lo que respecta a la interpretación de este Derecho y los motivos que lo han llevado a plantear al Tribunal de Justicia las dos primeras cuestiones prejudiciales. Además, de tal petición se desprende con claridad que la interpretación de las citadas disposiciones guarda relación con el objeto del litigio principal, puesto que, en caso de que el tribunal remitente, a la vista de las orientaciones facilitadas por el Tribunal de Justicia, declarase que las disposiciones de Derecho nacional controvertidas incumplen la condición establecida en el artículo 10, letra a), de la Directiva 2016/680, puede llevarlo a desestimar el escrito de las autoridades policiales que le fue presentado para recabar forzosamente los datos biométricos y genéticos de V. S. a efectos de su registro.
De ello se desprende la admisibilidad de las cuestiones prejudiciales primera y segunda.

Sobre el fondo
Con carácter preliminar, es preciso observar que, si bien la segunda cuestión prejudicial versa sobre los artículos 3, 8 y 52 de la Carta, de la petición de decisión prejudicial se desprende que las dudas del tribunal remitente se refieren únicamente al cumplimiento por parte de la normativa nacional controvertida en el litigio principal del requisito, contemplado en el apartado 1 de este último artículo, en virtud del cual cualquier limitación del ejercicio de los derechos y libertades reconocidos por la Carta deberá ser establecida por la ley. Por consiguiente, las dos primeras cuestiones prejudiciales deben examinarse únicamente de conformidad con el citado artículo 52 de la Carta.
En primer lugar, procede señalar que, a la luz del considerando 19 del RGPD y de los considerandos 9 a 12 de la Directiva 2016/680 y en virtud de los artículos 2, apartado 1, y 9, apartados 1 y 2, de dicha Directiva, en función de que el tratamiento de datos personales por una «autoridad competente», en el sentido de su artículo 3, apartado 7, responda a los fines, a los que se refiere su artículo 1, apartado 1, de prevención, investigación, detección o enjuiciamiento de infracciones penales, incluidas la protección y la prevención frente a las amenazas para la seguridad pública, o a otras finalidades, puede estar comprendido en el ámbito de aplicación de las normas específicas de dicha Directiva o en el de las normas generales del Reglamento, al margen de las excepciones a tales ámbitos de aplicación que se relacionan con carácter limitativo en el artículo 2, apartado 3, de la misma Directiva y en el artículo 2, apartado 2, del citado Reglamento.
En particular, hay que observar que tanto el artículo 9 del RGPD como el artículo 10 de la Directiva 2016/680 contienen disposiciones que regulan el tratamiento relativo a categorías especiales de datos personales, considerados datos sensibles, incluidos los datos genéticos y biométricos.
A este respecto, el artículo 10 de la Directiva 2016/680 establece que el tratamiento de esos datos sensibles «solo» se permitirá «cuando sea estrictamente necesario, con sujeción a las salvaguardias adecuadas para los derechos y libertades del interesado» y únicamente en tres supuestos, en particular, en virtud de la letra a) de dicho artículo, cuando ese tratamiento lo autorice el Derecho de la Unión o del Estado miembro. En cambio, el apartado 1 del artículo 9 del RGPD establece una prohibición de principio del tratamiento de dichos datos sensibles, acompañada de una lista de situaciones, que se relacionan en su apartado 2, en las que cabe exceptuar esa prohibición, lista que no menciona ninguna situación que se corresponda con la de un tratamiento de datos para fines como los establecidos en el artículo 1, apartado 1, de dicha Directiva y que satisfaga el requisito que figura en su artículo 10, letra a). De ello resulta que, aunque se puede permitir el tratamiento de datos biométricos y genéticos por parte de las autoridades competentes para los fines comprendidos en la Directiva 2016/680 siempre que, de conformidad con los requisitos establecidos en su artículo 10, sea estrictamente necesario, esté delimitado por las salvaguardas adecuadas y esté previsto por el Derecho de la Unión o del Estado miembro, no será necesariamente el caso de un tratamiento de esos mismos datos comprendido en el ámbito de aplicación del RGPD.
En segundo lugar, el alcance del requisito establecido en el artículo 10, letra a), de la Directiva 2016/680, según el cual el tratamiento de datos personales debe haber sido «[autorizado por] el Derecho de la Unión o del Estado miembro», se ha de determinar a la luz del requisito establecido en el artículo 52, apartado 1, de la Carta, según el cual, cualquier limitación del ejercicio de un derecho fundamental debe ser «establecida por la ley».
A este respecto, de la jurisprudencia del Tribunal de Justicia se desprende que este requisito implica que la base jurídica que autoriza tal limitación habrá de definir con suficiente claridad y precisión su alcance [véase, en este sentido, la sentencia de 6 de octubre de 2020, État luxembourgeois (Derecho de recurso contra una solicitud de información en materia fiscal),  C‑245/19 y C‑246/19, EU:C:2020:795, apartado 76 y jurisprudencia citada].
Además, de la jurisprudencia recordada en el apartado anterior de la presente sentencia resulta que no puede haber equívocos en cuanto a las disposiciones del Derecho de la Unión en virtud de las cuales el Derecho nacional puede autorizar un tratamiento de datos biométricos y genéticos, como el controvertido en el litigio principal, ni en cuanto a las condiciones aplicables que delimitan esa autorización. En efecto, los interesados y los órganos jurisdiccionales competentes deben poder determinar con precisión, en particular, las condiciones en las que puede tener lugar ese tratamiento y los objetivos que puede satisfacer legalmente. Pues bien, las normas del RGPD y las de la Directiva aplicables a tales requisitos pueden diferir.
Así pues, si bien el legislador nacional está facultado para establecer, en un mismo instrumento legislativo, el tratamiento de datos personales para fines comprendidos en el ámbito de aplicación de la Directiva 2016/680 y para otros fines comprendidos en el RGPD, está obligado, no obstante, de conformidad con los requisitos expuestos en el apartado anterior de la presente sentencia, a cerciorarse de que no hay ambigüedad en cuanto a la aplicabilidad de uno u otro de esos dos actos de la Unión a la recogida de datos biométricos y genéticos.
En tercer lugar, por lo que respecta a las dudas del tribunal remitente en cuanto a una eventual transposición incorrecta de la Directiva 2016/680, es preciso distinguir entre las disposiciones de Derecho nacional que transponen esa Directiva, en particular su artículo 10, y aquellas en virtud de las cuales se puede autorizar, en el sentido de la letra a) de dicho artículo 10, un tratamiento de datos pertenecientes a las categorías especiales contempladas en ese artículo, en particular los datos biométricos y genéticos.
A este respecto, si bien, como se desprende de su artículo 63, apartado 1, párrafo segundo, la directiva 2016/680 prevé expresamente que los Estados miembros están obligados a garantizar que las disposiciones necesarias para su cumplimiento hagan referencia a dicha Directiva o vayan acompañadas de tal referencia en su publicación oficial, lo que implica, en todo caso, la adopción de un acto positivo de transposición de dicha Directiva [véase, en este sentido, la sentencia de 25 de febrero de 2021, Comisión/España (Directiva datos personales   — Ámbito penal), C‑658/19, EU:C:2021:138, apartado 16 y jurisprudencia citada], no exige que las disposiciones de Derecho nacional que autorizan los tratamientos de datos comprendidos en el ámbito de aplicación de esa Directiva contengan tal referencia. Así, el artículo 63, apartado 4, de la Directiva 2016/680 se limita a establecer que los Estados miembros comunicarán a la Comisión el texto de las principales disposiciones de Derecho interno que adopten en el ámbito regulado por esta Directiva.
Por último, procede señalar que, cuando se ha transpuesto correctamente una Directiva, sus efectos alcanzan a los particulares por medio de las medidas de aplicación adoptadas por el Estado miembro a que concierna (véase, en este sentido, la sentencia de 15 de mayo de 1986, Johnston, 222/84, EU:C:1986:206, apartado 51), a diferencia de un reglamento, cuyas disposiciones tienen, por lo general, un efecto inmediato en los ordenamientos jurídicos nacionales, sin necesidad de que las autoridades nacionales adopten medidas de aplicación (véase, en este sentido, la sentencia de 7 de abril de 2022, IFAP, C‑447/20 y C‑448/20, EU:C:2022:265, apartado 88 y jurisprudencia citada). De ello se desprende que, cuando el legislador nacional prevé el tratamiento de datos biométricos y genéticos por parte de las autoridades competentes, en el sentido del artículo 3, punto 7, de la Directiva 2016/680, que pueden estar comprendidos bien en el ámbito de aplicación de esta Directiva, bien en el del RGPD, puede remitirse expresamente, en aras de una mayor claridad y precisión, por una parte, a las disposiciones de Derecho nacional que transponen el artículo 10 de esta Directiva y, por otra parte, al artículo 9 de dicho Reglamento. En cambio, esa exigencia de claridad y precisión no requiere que se mencione además dicha Directiva.
En cuarto lugar, procede recordar que la obligación de los Estados miembros de adoptar todas las medidas necesarias para alcanzar el resultado prescrito por una directiva, impuesta por el artículo 288 TFUE, párrafo tercero, se impone a todas las autoridades de los Estados miembros, incluidas, en el marco de sus competencias, las autoridades judiciales. De ello se desprende que, al aplicar el Derecho interno, los jueces nacionales están obligados a interpretarlo, en la medida de lo posible, a la luz de la letra y de la finalidad de la directiva en cuestión, para alcanzar el resultado que esta persigue (véase, en este sentido, la sentencia de 7 de noviembre de 2019, Profi Credit Polska, C‑419/18 y C‑483/18, EU:C:2019:930, apartados 73 y 75 y jurisprudencia citada).
Por consiguiente, ante una contradicción aparente, como la descrita por el tribunal remitente en la segunda cuestión prejudicial, entre, por una parte, las disposiciones de una normativa nacional que parecen excluir el tratamiento por parte de las autoridades competentes de datos genéticos y biométricos para fines comprendidos en la Directiva 2016/680 y, por otra parte, otras disposiciones de esa normativa que autorizan ese tipo de tratamiento, el tribunal está obligado a dar a esas disposiciones una interpretación que respete el efecto útil de la Directiva. En particular, cuando aprecie la existencia de disposiciones que pueden satisfacer el requisito contemplado en el artículo 10, letra a), de dicha Directiva, le corresponderá comprobar si, en realidad, tales disposiciones no tienen un ámbito de aplicación diferente al de las disposiciones con las que parecen contradecirse.
Hay que subrayar al respecto, en particular, que el artículo 9, apartado 2, de la Directiva 2016/680 no excluye el tratamiento de datos biométricos y genéticos por parte de las autoridades competentes, en el sentido del artículo 3, punto 7, de dicha Directiva, en tareas distintas de las desempeñadas para los fines establecidos en el artículo 1, apartado 1, de dicha Directiva. Asimismo, como resulta del apartado 63 de la presente sentencia, el artículo 9 del RGPD, que se aplica al tratamiento de tales datos, siempre que este tratamiento no esté comprendido en las excepciones que se relacionan con carácter limitativo en su artículo 2, apartado 2, no prohíbe dicho tratamiento de modo absoluto, a condición de que se corresponda con alguna de las situaciones expuestas en el artículo 9, apartado 2, de dicho Reglamento. En tales circunstancias, corresponde al tribunal remitente comprobar si la remisión al RGPD en esas disposiciones nacionales no tiene, en realidad, por objeto tratamientos de datos efectuados por las autoridades competentes para fines distintos de los comprendidos en la Directiva 2016/680, de modo que las citadas disposiciones no se contradigan con las que, de conformidad con el artículo 10, letra a), de esa Directiva, contemplan el tratamiento de tales datos para fines comprendidos en dicha Directiva.
En el caso de autos, de la resolución de remisión se desprende, por una parte, que las disposiciones de Derecho nacional que suscitaron las cuestiones prejudiciales planteadas por el tribunal remitente son disposiciones de Derecho material que regulan las actividades del Ministerio del Interior. La primera de estas disposiciones establece que el tratamiento de datos personales por parte de ese Ministerio se efectuará con arreglo a esa Ley, de conformidad con el RGPD y con el acto de Derecho nacional que transpone la Directiva 2016/680, y según la segunda de esas disposiciones, el tratamiento de datos personales que contengan datos genéticos y biométricos con el fin de identificar a una persona física de manera singularizada solo estará permitido en las condiciones previstas en el artículo 9 de dicho Reglamento o en la disposición de Derecho nacional que transponga el artículo 10 de la citada Directiva. Por otra parte, de esa resolución también se desprende que la disposición de Derecho material que proporciona una base legal expresa a la recogida de datos biométricos y genéticos, en el marco del registro policial, responde únicamente a los fines de protección de la seguridad nacional, de lucha contra la delincuencia y de mantenimiento del orden público.
Por consiguiente, corresponde al tribunal remitente controlar si la doble referencia al artículo 9 del RGPD y a la disposición de Derecho nacional que transpone dicho artículo 10 puede justificarse por el hecho de que el ámbito de aplicación de la disposición de Derecho material que contiene esa doble referencia abarca todas las actividades de los servicios del Ministerio del Interior, las cuales, según indica el Gobierno búlgaro, incluyen tanto las actividades establecidas en el artículo 1, apartado 1, de la referida Directiva como otras actividades que pueden incluirse en el citado Reglamento. Además, incumbe a ese tribunal cerciorarse de que, en particular por lo que respecta a la disposición de Derecho material que proporciona una base legal a la recogida de datos biométricos y genéticos en el marco del registro policial, todas las disposiciones de Derecho nacional pertinentes pueden interpretarse, de conformidad con el Derecho de la Unión, en el sentido de que de ellas resulta, de manera suficientemente clara, precisa e inequívoca, en qué supuestos se aplican las normas de Derecho nacional que transponen la Directiva de que se trata y en qué supuestos son pertinentes las normas del RGPD.
A la vista de todo lo anterior, se ha de responder a las cuestiones prejudiciales primera y segunda que el artículo 10, letra a), de la Directiva 2016/680, a la luz del artículo 52 de la Carta, debe interpretarse en el sentido de que el Derecho del Estado miembro autoriza, con arreglo al artículo 10, letra a), de dicha Directiva, el tratamiento de datos biométricos y genéticos por parte de las autoridades policiales a efectos de sus actividades de investigación, con fines de lucha contra la delincuencia y de mantenimiento del orden público, siempre que el Derecho de ese Estado miembro contenga una base jurídica suficientemente clara y precisa que lo autorice. El hecho de que el acto legislativo nacional que contiene esa base jurídica se remita, por otra parte, al RGPD y no a la Directiva 2016/680 no puede desvirtuar, en sí mismo, la existencia de esa autorización, siempre que de la interpretación del conjunto de las disposiciones aplicables del Derecho nacional se desprenda, de manera suficientemente clara, precisa e inequívoca, que el tratamiento de datos biométricos y genéticos de que se trata está comprendido en el ámbito de aplicación de esa Directiva y no en el del Reglamento.

Tercera cuestión prejudicia
l
Mediante su tercera cuestión prejudicial, el tribunal remitente pide, en esencia, que se dilucide si el artículo 6, letra a), de la Directiva 2016/680 y los artículos 47 y 48 de la Carta deben interpretarse en el sentido de que se oponen a una normativa nacional que establece que, en caso de que una persona investigada por un delito público doloso se niegue a colaborar voluntariamente en la recogida de sus datos biométricos y genéticos a efectos de su registro, el órgano jurisdiccional penal competente está obligado a autorizar la recogida forzosa, sin poder apreciar si existen motivos fundados para presumir que el interesado ha cometido la infracción penal por la que es investigado.
Con carácter preliminar, procede señalar que el tribunal remitente plantea esta cuestión prejudicial en relación con un procedimiento penal en el que es aplicable una disposición de Derecho nacional que establece que si el interesado se niega a colaborar en la recogida de sus datos biométricos y genéticos a efectos de su registro para los fines comprendidos en el artículo 1, apartado 1, de la Directiva 2016/680, el tribunal competente estará facultado para autorizar esa recogida a fin de pronunciarse sobre la responsabilidad penal de esa persona. Por otra parte, la misma disposición de Derecho nacional se aplica a los datos de los investigados por delitos públicos dolosos. Según indica el tribunal remitente, son dolosos la gran mayoría de los delitos previstos en el Código Penal y casi todos son públicos. De conformidad con las normas del procedimiento penal búlgaro, una persona será investigada cuando concurran suficientes elementos de prueba de que esa persona es culpable de haber cometido un delito público.
Por otra parte, según precisa el Gobierno búlgaro en el contexto de las respuestas escritas a las preguntas formuladas por el Tribunal de Justicia, las normas del procedimiento penal búlgaro establecen que la condición de investigado podrá adquirirse en cualquier momento del procedimiento previo, que constituye la primera fase del proceso penal en la que se llevan a cabo las diligencias de investigación y de obtención de pruebas y, en cualquier caso, antes de la finalización de la instrucción. Como se desprende de la resolución de remisión, y como también precisa el Gobierno búlgaro, una vez que es investigado, el interesado podrá presentar pruebas de descargo, en particular en la fase de comunicación de los elementos de la investigación que tiene lugar después de la finalización de la instrucción.
Sin embargo, el tribunal remitente indica que la normativa nacional controvertida no confiere al órgano jurisdiccional que autoriza la recogida, a efectos de su registro, de datos biométricos y genéticos del investigado competencia para valorar las pruebas en las que se basa esa decisión de someterlo a investigación, competencia que corresponde a las autoridades encargadas de la investigación. Además, precisa que dicho órgano jurisdiccional se pronunciará sobre esa solicitud de autorización únicamente en virtud de una copia del auto por el que se decretan diligencias policiales y de la declaración por la que el interesado deniega la recogida de tales datos.
En este contexto, hay que considerar que la tercera cuestión prejudicial se divide, como sugieren el Gobierno búlgaro y la Comisión, en tres partes. En primer lugar, el tribunal remitente se pregunta si el artículo 6, letra a), de la Directiva 2016/680, que se refiere a la categoría de personas respecto de las que existen motivos fundados para presumir que han cometido o van a cometer una infracción penal, se opone a una normativa nacional que prevé la recogida forzosa, a efectos de su registro, de datos biométricos y genéticos de una persona física respecto de la que concurren suficientes elementos de prueba de que es culpable de haber cometido un delito público doloso, que permiten, en virtud del Derecho nacional, que sea investigada. En segundo lugar, se pregunta si, habida cuenta de los límites de la facultad de apreciación del órgano jurisdiccional que debe resolver sobre esa recogida forzosa, dicho órgano jurisdiccional puede garantizar al interesado la tutela judicial efectiva, de conformidad con el artículo 47 de la Carta. En tercer lugar, se cuestiona si, a pesar de tales límites, se puede garantizar el respeto del derecho a la presunción de inocencia, contemplado en el artículo 48 de la Carta.

Sobre el alcance del artículo  6, letra a), de la Directiva 2016/680
El artículo 6 de la Directiva 2016/680 obliga a los Estados miembros a que dispongan que el responsable del tratamiento establezca, «cuando corresponda y en la medida de lo posible», una distinción clara entre los datos personales de las distintas categorías de interesados, como las mencionadas en las letras a) a d) de dicho artículo, en concreto, las personas respecto de las cuales existan motivos fundados para presumir que han cometido o van a cometer una infracción penal, las personas condenadas por una infracción penal, las víctimas de una infracción penal o las personas respecto de las cuales determinados hechos den lugar a pensar que puedan ser víctimas de una infracción penal y, por último, las terceras partes involucradas en una infracción penal como, por ejemplo, las personas que puedan ser citadas a testificar en investigaciones relacionadas con infracciones penales o procesos penales ulteriores o las personas que puedan facilitar información sobre infracciones penales o las personas de contacto o asociados de una de las personas mencionadas en las letras a) y b) de dicho artículo, respectivamente.
Así, los Estados miembros deben velar por que se distinga claramente entre los datos de las distintas categorías de interesados a fin de que, como subrayó el Abogado General en el punto 27 de sus conclusiones, no se les imponga de modo indiferenciado la misma injerencia en su derecho fundamental a la protección de sus datos personales cualquiera que sea la categoría a la que pertenecen. A este respecto, como se deduce del considerando 31 de la Directiva 2016/680, la categoría de personas definida en el artículo 6, letra a), de esta Directiva se corresponde con la de los sospechosos de haber cometido una infracción penal.
No obstante, del tenor del artículo 6 de la Directiva 2016/680 se desprende que la obligación que esta disposición impone a los Estados miembros no es absoluta. En efecto, por una parte, la expresión «cuando corresponda y en la medida de lo posible» que en él figura indica que corresponde al responsable del tratamiento determinar, en cada caso concreto, si puede distinguirse claramente entre los datos personales de las distintas categorías de interesados. Por otra parte, la expresión «tales como» que figura en ese artículo indica que las categorías de personas que en él se relacionan no tienen carácter exhaustivo.
Por lo demás, hay que observar que la existencia de un número suficiente de elementos de prueba de la culpabilidad de una persona constituye, en principio, un motivo fundado para presumir que ha cometido la infracción de que se trata. Por tanto, una normativa nacional que establezca la recogida forzosa de datos biométricos y genéticos de personas físicas a efectos de su registro, una vez que concurran pruebas suficientes de que el interesado es culpable de haber cometido un delito, parece conforme con el objetivo del artículo 6, letra a), de la Directiva 2016/680.
De todo lo anterior resulta que el artículo 6, letra a), de la Directiva 2016/680 no se opone a una normativa nacional que establece la recogida forzosa, a efectos de su registro, de datos biométricos y genéticos de personas respecto de las cuales concurren suficientes elementos de prueba de que son culpables de haber cometido un delito público doloso perseguido y que hayan sido investigadas por ello.

Sobre el respeto del derecho a la tutela judicial efectiva
En primer lugar, procede recordar que el derecho a la tutela judicial efectiva, establecido en el artículo 47 de la Carta, ha de reconocerse a toda persona que se ampare en derechos o libertades garantizados por el Derecho de la Unión contra una decisión que le sea lesiva y que pueda menoscabar tales derechos o libertades [véase, en este sentido, la sentencia de 6 de octubre de 2020, État luxembourgeois (Derecho de recurso contra una solicitud de información en materia fiscal),   C‑245/19 y C‑246/19, EU:C:2020:795, apartados 55, 57 y 58 y jurisprudencia citada].
Por consiguiente, cualquier investigado que se haya opuesto a la recogida de sus datos fotográficos, dactiloscópicos y genéticos en un procedimiento como el registro policial, recogida que debe cumplir los requisitos del artículo 10 de la Directiva 2016/680, debe poder gozar, como exige el artículo 47 de la Carta, del derecho a la tutela judicial efectiva contra la decisión de autorizar esa recogida forzosa a efectos de invocar los derechos que le confieren las garantías establecidas en esa disposición y, en particular, en virtud del artículo 10, letra a), de la citada Directiva, la garantía resultante de que la recogida de los datos biométricos y genéticos se realice de conformidad con la normativa nacional que la autoriza. En particular, esta garantía conlleva que el órgano jurisdiccional competente pueda controlar que la medida de investigación que constituye la base legal de ese registro policial se haya adoptado, conforme a las normas del procedimiento penal nacional, con arreglo a elementos de prueba suficientes de que el interesado es culpable de haber cometido un delito público doloso.
A este respecto, debe recordarse que el derecho a la tutela judicial efectiva no constituye una prerrogativa absoluta y que, de conformidad con el artículo 52, apartado 1, de la Carta, podrá ser objeto de limitaciones, con la condición de que tales limitaciones estén establecidas por la ley, respeten el contenido esencial de los derechos y libertades en cuestión y, con sujeción al principio de proporcionalidad, sean necesarias y respondan efectivamente a objetivos de interés general reconocidos por la Unión o a la necesidad de protección de los derechos y libertades de los demás [véase, en este sentido, la sentencia de 6 de octubre de 2020, État luxembourgeois (Derecho de recurso contra una solicitud de información en materia fiscal),   C‑245/19 y C‑246/19, EU:C:2020:795, apartados 49 y 51 y jurisprudencia citada].
Por otra parte, hay que señalar que el artículo 54 de la Directiva 2016/680 impone a los Estados miembros la obligación de reconocer el derecho a la tutela judicial efectiva a quien considere que sus derechos establecidos en disposiciones adoptadas con arreglo a dicha Directiva han sido vulnerados como consecuencia de un tratamiento de sus datos personales no conforme con esas disposiciones. De ello se deduce que el legislador de la Unión no ha limitado el ejercicio del derecho a la tutela judicial efectiva consagrado en el artículo 47 de la Carta y que los Estados miembros pueden limitar dicho ejercicio, siempre que satisfagan las exigencias establecidas en el artículo 52, apartado 1, de la Carta [véase, en este sentido, la sentencia de 6 de octubre de 2020, État luxembourgeois (Derecho de recurso contra una solicitud de información en materia fiscal), C‑245/19 y C‑246/19, EU:C:2020:795, apartados 63 y 64].
Por consiguiente, es preciso determinar si, sin perjuicio de la vía del recurso judicial establecida por el Derecho nacional con arreglo al artículo 54 de la Directiva 2016/680, el hecho de que el órgano jurisdiccional competente, con el fin de autorizar una medida de recogida forzosa de datos biométricos y genéticos de los investigados, no pueda controlar, en cuanto al fondo, las condiciones de la investigación en la que se basa dicha medida de ejecución forzosa, constituye una limitación permitida del derecho a la tutela judicial efectiva consagrado en el artículo 47 de la Carta.
Por lo que respecta a la primera condición mencionada en el apartado 89 de la presente sentencia, de conformidad con la jurisprudencia recordada en el apartado 65 de la presente sentencia, corresponde al tribunal remitente comprobar si, en el marco de una solicitud para que autorice la recogida forzosa de datos biométricos y genéticos de un investigado a efectos de su registro, los límites que el Derecho nacional fija con respecto a su facultad de apreciación vienen establecidos en él de manera suficientemente clara y precisa.
Por lo que respecta a la segunda condición, de la jurisprudencia se desprende que el contenido esencial del derecho a la tutela judicial efectiva incluye, en particular, el derecho de su titular a acceder a un tribunal que tenga competencia para garantizar el respeto de los derechos que el Derecho de la Unión reconoce a aquel y, a tal efecto, para examinar todas las cuestiones de hecho y de Derecho relevantes para pronunciarse sobre el litigio de que conoce [sentencia de 6 de octubre de 2020, État luxembourgeois (Derecho de recurso contra una solicitud de información en materia fiscal),C‑245/19 y C‑246/19, EU:C:2020:795, apartado 66 y jurisprudencia citada].
No obstante, de la jurisprudencia del Tribunal de Justicia también se desprende que esta condición de por sí no implica que el titular del derecho a la tutela judicial efectiva disponga de una vía de recurso directa que tenga por objeto, con carácter principal, impugnar una medida determinada, siempre que existan una o varias vías de recurso que le permitan obtener, con carácter incidental, ante los diferentes tribunales nacionales competentes un control judicial de dicha medida que garantice la observancia de los derechos y libertades que el Derecho de la Unión le reconoce [véase, en este sentido, la sentencia de 6 de octubre de 2020, État luxembourgeois (Derecho de recurso contra una solicitud de información en materia fiscal), C‑245/19 y C‑246/19, EU:C:2020:795, apartado 79 y jurisprudencia citada].
En particular, como puso de relieve, en esencia, el Abogado General en el punto 36 de sus conclusiones, la tercera cuestión prejudicial se basa en la hipótesis de que la fase preliminar del procedimiento penal en la que tiene lugar la recogida forzosa de datos biométricos y genéticos de un investigado a efectos de su registro va seguida de una fase judicial. Pues bien, si no se puede controlar en el momento en que se solicita la autorización de ejecución forzosa, la existencia de un número suficiente de pruebas de cargo —condición para que el interesado pueda verse obligado a someterse a la recogida de sus datos biométricos y genéticos— deberá poder comprobarse necesariamente en esa fase judicial, durante la cual el órgano jurisdiccional que conoce del asunto debe tener la posibilidad de examinar todas las cuestiones de hecho y de Derecho pertinentes, en particular para comprobar que esos datos biométricos y genéticos no se han obtenido conculcando derechos garantizados al interesado por el Derecho de la Unión [véase, en este sentido, la sentencia de 6 de octubre de 2020, État luxembourgeois (Derecho de recurso contra una solicitud de información en materia fiscal), C‑245/19 y C‑246/19, EU:C:2020:795, apartados 81 a 83 y jurisprudencia citada].
En cualquier caso, de conformidad con el artículo   54 de la Directiva 2016/680, el Derecho nacional debe ofrecer al interesado la posibilidad de impugnar válidamente la recogida forzosa de sus datos biométricos y genéticos en un recurso judicial, basado en la supuesta vulneración de los derechos que le confiere esta Directiva como consecuencia de la recogida, sin perjuicio de los recursos administrativos o extrajudiciales disponibles, incluido el derecho a presentar una reclamación ante una autoridad de control. Por consiguiente, incluso en el supuesto de que la fase preliminar del procedimiento penal no vaya seguida de una fase judicial, en particular porque no haya enjuiciamiento, el interesado debe poder obtener un control jurisdiccional completo de la legalidad del tratamiento de los datos en cuestión. Por tanto, cuando, para cumplir con la obligación contemplada en el citado artículo 54, el Derecho nacional ofrece tales garantías, extremo que corresponde comprobar al tribunal remitente, se ha de presumir que se respeta el contenido esencial del derecho a la tutela judicial efectiva, incluso si el propio órgano jurisdiccional que autoriza la recogida forzosa controvertida no dispone, en el momento en que se pronuncie sobre ella, de la facultad de apreciación necesaria para conceder tal tutela.
Por lo que respecta a la tercera condición, es preciso observar, en primer lugar, que la recogida de datos genéticos y biométricos de los investigados en un procedimiento penal a efectos de su registro persigue las finalidades establecidas en el artículo 1, apartado 1, de la Directiva 2016/680, en particular las relativas a la prevención, investigación, detección o enjuiciamiento de infracciones penales, que son objetivos de interés general reconocidos por la Unión.
Procede subrayar al respecto que esa recogida puede contribuir al objetivo enunciado en el considerando 27 de la Directiva 2016/680, según el cual, para la prevención, investigación y enjuiciamiento de las infracciones penales, es necesario que las autoridades competentes traten datos personales recopilados en el contexto de la prevención, la investigación, la detección o el enjuiciamiento de infracciones penales concretas más allá de ese contexto específico, con el fin de adquirir un mejor conocimiento de las actividades delictivas y establecer vínculos entre las distintas infracciones penales detectadas.
En el caso de autos, como indicó el Gobierno búlgaro en sus observaciones escritas y precisó en una respuesta escrita a una pregunta formulada por el Tribunal de Justicia, el registro policial instituido por el Derecho nacional persigue dos finalidades esenciales. Por una parte, esos datos se recogen y tratan para contrastarlos con otros datos recopilados en investigaciones relativas a otras infracciones. Según dicho Gobierno, esta finalidad incluye asimismo el contraste con datos recogidos en otros Estados miembros. Por otra parte, los datos citados también pueden ser tratados a efectos del procedimiento penal en el que es investigado el interesado.
Pues bien, el hecho de sustraer temporalmente del control judicial la apreciación de las pruebas en las que se basa la investigación del interesado y, por tanto, la recogida de sus datos biométricos y genéticos, puede resultar justificado durante la fase preliminar del proceso penal. En efecto, tal control, en esa fase, podría obstaculizar el desarrollo de la investigación penal durante la cual se recogen los datos citados y limitar en exceso la capacidad de los investigadores para explicar otros delitos en virtud de una comparación de esos datos con datos recopilados en otras investigaciones. Por tanto, esta limitación de la tutela judicial efectiva no es desproporcionada, siempre que el Derecho nacional garantice posteriormente un control jurisdiccional efectivo.
De todo lo anterior resulta que el artículo 47 de la Carta no se opone a que un órgano jurisdiccional nacional, cuando se pronuncie sobre una solicitud de autorización para proceder a la recogida forzosa de datos biométricos y genéticos de un investigado a efectos de su registro, no pueda apreciar las pruebas en las que se basa esa investigación, siempre que el Derecho nacional garantice posteriormente un control jurisdiccional efectivo de las condiciones de la mencionada investigación, de la que deriva la autorización para la recogida.

Sobre la observancia de la presunción de inocencia
Con carácter preliminar, procede recordar que, según el artículo 48, apartado 1, de la Carta, cuyo contenido coincide con el del artículo 6, apartado 2, del Convenio Europeo para la Protección de los Derechos Humanos y de las Libertades Fundamentales, todo acusado se presume inocente mientras su culpabilidad no haya sido declarada legalmente.
En particular, el Tribunal de Justicia ha reconocido que de la jurisprudencia del Tribunal Europeo de Derechos Humanos resulta, en particular, que la presunción de inocencia se vulnera si una resolución judicial sobre un encausado trasluce la opinión de que este es culpable, a pesar de que su culpabilidad no haya sido acreditada previamente con arreglo a la ley (véase, en ese sentido, la sentencia de 25 de febrero de 2021, Dalli/Comisión, C‑615/19 P, EU:C:2021:133, apartado 224 y jurisprudencia citada).
Por otra parte, como se desprende del considerando 31 de la Directiva 2016/680, el establecimiento de diferentes categorías de personas con distintos tratamientos de sus datos personales, con arreglo al artículo 6 de dicha Directiva, no impide la aplicación del derecho a la presunción de inocencia garantizado por la Carta y por el Convenio Europeo para la Protección de los Derechos Humanos y de las Libertades Fundamentales.
Por lo que respecta a las dudas del tribunal remitente en cuanto a la observancia del derecho a la presunción de inocencia por una resolución judicial que autoriza la recogida de datos biométricos y genéticos de los investigados a efectos de su registro, hay que señalar, en primer lugar, que, dado que el Derecho nacional establece que esa recogida se limita a la categoría de los investigados, es decir, a una categoría de personas cuya responsabilidad penal aún no ha quedado acreditada, no puede considerarse que dicha recogida trasluzca en sí misma la opinión de las autoridades de que esas personas son culpables, en el sentido de la jurisprudencia citada en el apartado 103 de la presente sentencia.
En segundo lugar, procede declarar que una resolución judicial que autoriza la recogida de datos biométricos y genéticos de los investigados a efectos de su registro, dado que se limita a dejar constancia de la condición de investigado del interesado y de la negativa de este a someterse a dicha recogida, no puede interpretarse como un posicionamiento acerca de su culpabilidad ni, por tanto, en el sentido de que vulnere la presunción de inocencia de dicha persona.
En efecto, el hecho de que el órgano jurisdiccional que debe dictar esa resolución judicial no pueda apreciar, en esta fase del procedimiento penal, la suficiencia de los elementos de prueba en los que se basa la investigación del interesado constituye para él una garantía de que se respeta el derecho a la presunción de inocencia.
Tal garantía se impone con mayor razón cuando el Derecho nacional, como la disposición controvertida en el litigio principal, establece que el órgano jurisdiccional competente para pronunciarse sobre la recogida forzosa de datos biométricos y genéticos de los investigados a efectos de su registro es aquel que, en la fase judicial del procedimiento penal, habrá de pronunciarse sobre la responsabilidad penal de dicha persona. En efecto, el respeto del derecho a la presunción de inocencia exige que dicho órgano jurisdiccional esté exento de toda parcialidad y de cualquier idea preconcebida cuando realice ese examen (véase, en este sentido, la sentencia de 16 de noviembre de 2021, Prokuratura Rejonowa w Mińsku Mazowieckim y otros, C‑748/19 a C‑754/19, EU:C:2021:931, apartado 88).
De lo anterior resulta que el derecho a la presunción de inocencia, establecido en el artículo 48 de la Carta, no se opone a que los investigados sean objeto, en la fase preliminar del procedimiento penal, de una medida de recogida de sus datos biométricos y genéticos a efectos de su registro, autorizada por un órgano jurisdiccional que no está facultado para valorar, en esta fase, las pruebas en las que se basa esa investigación.
De todo lo anterior resulta que procede responder a la tercera cuestión prejudicial que el artículo 6, letra a), de la Directiva 2016/680 y los artículos 47 y 48 de la Carta deben interpretarse en el sentido de que no se oponen a una normativa nacional que establece que, en caso de que la persona investigada por un delito público doloso se niegue a colaborar voluntariamente en la recogida de sus datos biométricos y genéticos a efectos de su registro, el órgano jurisdiccional penal competente está obligado a autorizar una medida de recogida forzosa, sin poder apreciar si existen motivos fundados para presumir que el interesado ha cometido la infracción penal por la que es investigado, siempre que el Derecho nacional garantice posteriormente el control jurisdiccional efectivo de las condiciones de esa investigación, de la que deriva la autorización para la recogida.

Cuarta cuestión prejudicia
l
Con carácter preliminar, debe recordarse que, según reiterada jurisprudencia, en el marco del procedimiento de cooperación entre los órganos jurisdiccionales nacionales y el Tribunal de Justicia establecido por el artículo 267 TFUE, corresponde a este último proporcionar al órgano jurisdiccional nacional una respuesta útil que le permita dirimir el litigio del que conoce. Desde este punto de vista, le corresponde reformular en su caso las cuestiones prejudiciales que se le han planteado (sentencia de 15 de julio de 2021, The Department for Communities in Northern Ireland, C‑709/20, EU:C:2021:602, apartado 61 y jurisprudencia citada).
Como se desprende de la resolución de remisión y se ha puesto de manifiesto en los apartados 46 y 49 de la presente sentencia, en la cuarta cuestión prejudicial, el tribunal remitente se pregunta sobre el alcance de los requisitos establecidos en los artículos 4, apartado 1, letras a) a c), 8, apartados 1 y 2, y 10 de la Directiva 2016/680.
Además, como se ha señalado en los apartados 46 a 48 de la presente sentencia, el tribunal remitente indica que, aun cuando le parece que esas disposiciones exigen que las autoridades competentes dispongan de cierto margen de apreciación para determinar la necesidad de la recogida de datos biométricos y genéticos y motiven dicha recogida debidamente, el registro policial previsto por la normativa del litigio principal se aplica imperativamente a todas las personas investigadas por la comisión de delitos públicos dolosos y a las tres categorías de datos biométricos y genéticos mencionadas en la disposición de Derecho nacional controvertida en el litigio principal, sin que esa normativa exija que se declare la necesidad concreta de proceder a la recogida de todas esas categorías de datos.
De ello se deduce que la cuarta cuestión prejudicial debe entenderse en el sentido de que pretende determinar, en esencia, si el artículo 10 de la Directiva 2016/680, en relación con sus artículos 4, apartado 1, letras a) a c), y 8, apartados 1 y 2, debe interpretarse en el sentido de que se opone a una normativa nacional que establece la recogida sistemática de datos biométricos y genéticos de todas las personas investigadas por un delito público doloso a efectos de su registro, sin obligar a la autoridad competente a determinar y demostrar, por una parte, que esa recogida es necesaria para satisfacer los objetivos concretos perseguidos y, por otra parte, que tales objetivos no pueden lograrse mediante una simple recogida parcial de los datos de que se trata.
Más concretamente, procede observar que las dudas del tribunal remitente versan sobre el requisito establecido en el artículo 10 de esa Directiva, según el cual el tratamiento de las categorías especiales de datos a que se refiere dicho artículo «solo» ha de permitirse «cuando sea estrictamente necesario».
A este respecto, en primer lugar, procede recordar que, como se ha indicado en los apartados 62 y 63 de la presente sentencia, el artículo 10 de la Directiva 2016/680 es una disposición específica que regula los tratamientos de categorías especiales de datos personales, incluidos los datos biométricos y genéticos. Según se desprende de la jurisprudencia, la finalidad de este artículo es garantizar una mayor protección con respecto a tales tratamientos, que, en atención a la particular sensibilidad de los datos en cuestión y del contexto en el que son tratados, pueden generar, como se desprende del considerando 37 de dicha Directiva, riesgos importantes para las libertades y los derechos fundamentales, como el derecho al respeto de la vida privada y el derecho a la protección de los datos personales, garantizados por los artículos 7 y 8 de la Carta [véase, por analogía, la sentencia de 24 de septiembre de 2019, GC y otros (Retirada de enlaces a datos sensibles),  C‑136/17, EU:C:2019:773, apartado 44].
En segundo lugar, como resulta del propio tenor con el que se enuncia en el artículo 10 de la Directiva 2016/680, el requisito de que el tratamiento de tales datos «solo» se permitirá «cuando sea estrictamente necesario» debe interpretarse en el sentido de que define unas condiciones reforzadas de licitud del tratamiento de datos sensibles, a la luz de las condiciones que se derivan de los artículos 4, apartado 1, letras b) y c), y 8, apartado 1, de esa Directiva, que se refieren únicamente a la «necesidad» de un tratamiento de datos comprendido, con carácter general, en el ámbito de aplicación de dicha Directiva.
Así, por una parte, el empleo del adverbio «solo» delante de la expresión «cuando sea estrictamente necesario» hace hincapié en que el tratamiento de categorías especiales de datos, en el sentido del artículo 10 de la Directiva 2016/680, solo podrá considerarse necesario en un número limitado de supuestos. Por otra parte, el carácter «estricto» de la necesidad de un tratamiento de tales datos conlleva que esa necesidad se aprecie de un modo especialmente riguroso.
El hecho alegado por el Gobierno francés de que, en ciertas versiones lingüísticas del artículo 10 de la Directiva 2016/680, dicho artículo se refiere a los supuestos en los que el tratamiento de datos sea «absolutamente necesario» no es determinante a este respecto. En efecto, esta variación terminológica no modifica la naturaleza del criterio así contemplado ni el nivel de exigencia preciso, puesto que esas versiones lingüísticas también definen una condición reforzada para que se permita el tratamiento de datos sensibles, lo que conlleva una apreciación más rigurosa de su necesidad que en el supuesto de que los datos tratados no estén comprendidos en el ámbito de aplicación de dicho artículo.
Por otro lado, como también señala la Comisión, el requisito de que solo se permitirá un tratamiento de datos comprendidos en el artículo 10 de la Directiva 2016/680 cuando sea estrictamente necesario no figuraba en la propuesta de Directiva [COM(2012) 10 final] que dio lugar a esta Directiva, sino que fue introducido posteriormente por el legislador de la Unión, quien, de este modo, pretendió claramente imponer una condición reforzada de necesidad del tratamiento de datos, en consonancia con el objetivo que persigue dicho artículo, consistente en una mayor protección de las personas respecto de los tratamientos de datos sensibles.
En tercer lugar, por lo que respecta al contenido del requisito de que el tratamiento de datos sensibles «solo» se permitirá «cuando sea estrictamente necesario», procede señalar que los requisitos específicos del artículo 10 de la Directiva 2016/680 constituyen una concreción particular, aplicable a determinadas categorías de datos, de los principios expuestos en los artículos 4 y 8 de dicha Directiva que debe respetar cualquier tratamiento de datos comprendido en el ámbito de aplicación de esta. Por consiguiente, se ha de determinar el alcance de los distintos requisitos citados a la luz de dichos principios.
En particular, por una parte, hay que determinar el carácter «estrictamente necesario», en el sentido del artículo 10 de la Directiva 2016/680, de la recogida de datos biométricos y genéticos de los investigados, a efectos de su registro, a la luz de los fines de la recogida. De conformidad con el principio de limitación de los fines expuesto en el artículo 4, apartado 1, letra b), de dicha Directiva, esos fines han de ser «determinados, explícitos y legítimos». Por otra parte, aunque el requisito de que el tratamiento de los datos biométricos y genéticos «solo» se permitirá «cuando sea estrictamente necesario» se corresponde, como se ha señalado en los apartados 117 a 119 de la presente sentencia, con una mayor exigencia de protección de determinadas categorías de datos, no deja de ser una aplicación específica a las categorías de datos contempladas en dicho artículo 10 del principio de minimización de los datos, establecido en el artículo 4, apartado 1, letra c), de la citada Directiva, en virtud del cual los datos personales deben ser adecuados, pertinentes y limitados a lo necesario por lo que respecta a los fines para los que son tratados.
Además, a la luz del artículo 4, apartado 1, letra a), de esa misma Directiva, el alcance de este requisito debe determinarse también atendiendo a su artículo 8, apartado 1, —a tenor del cual los Estados miembros deben disponer, en particular, que el tratamiento solo sea lícito en la medida en que sea necesario para la ejecución de una tarea realizada por una autoridad competente, para los fines establecidos en el artículo 1, apartado 1, de dicha Directiva—, y de su artículo 8, apartado 2, —que exige que el Derecho del Estado miembro que regule el tratamiento dentro del ámbito de aplicación de la citada Directiva deberá indicar al menos los objetivos del tratamiento, los datos personales que vayan a ser objeto del mismo y las finalidades del tratamiento—.
A este respecto, las finalidades del tratamiento de datos biométricos y genéticos no se pueden indicar en términos demasiado genéricos y deben ser definidas, por el contrario, de manera suficientemente precisa y concreta como para permitir valorar el carácter «estrictamente necesario» de dicho tratamiento.
Por otro lado, el requisito del carácter «estrictamente necesario» del tratamiento de datos sensibles conlleva un control especialmente riguroso, en este contexto, de la observancia del principio de minimización de los datos.
A este respecto, en primer lugar, debe recordarse que, como se desprende del considerando 26 de la Directiva 2016/680, el requisito de necesidad se cumple cuando el objetivo perseguido por el tratamiento de datos en cuestión no puede alcanzarse razonablemente con igual eficacia por otros medios menos atentatorios respecto de los derechos fundamentales de los interesados, en particular respecto de los derechos al respeto de la vida privada y a la protección de los datos personales, garantizados por los artículos 7 y 8 de la Carta (véase, en este sentido, la sentencia de 1 de agosto de 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, apartado 85 y jurisprudencia citada). En particular, habida cuenta de la mayor protección de las personas respecto del tratamiento de datos sensibles, el responsable de dicho tratamiento debe asegurarse de que no se pueda satisfacer este objetivo recurriendo a categorías de datos distintas de las que se relacionan en el artículo 10 de la Directiva 2016/680.
En segundo lugar, teniendo en cuenta los riesgos importantes que representa el tratamiento de datos sensibles en relación con los derechos y libertades de los interesados, en particular en el contexto de las tareas de las autoridades competentes respecto a los fines establecidos en el artículo 1, apartado 1, de la Directiva 2016/680, el requisito del carácter «estrictamente necesario» implica que se tenga en cuenta la especial importancia del objetivo que persigue un tratamiento de este tipo. Esa importancia puede apreciarse, entre otras cosas, en función de la propia naturaleza del objetivo perseguido, en particular del hecho de que el tratamiento persiga una finalidad concreta en relación con la prevención de infracciones penales o de amenazas contra la seguridad pública que revistan cierto grado de gravedad, con la represión de tales infracciones o con la protección contra esas amenazas, y a la luz de las circunstancias concretas en que se efectúa el tratamiento.
A la vista de lo anterior, procede considerar que la normativa nacional que establece la recogida sistemática de datos biométricos y genéticos de cualquier persona investigada por un delito público doloso es, en principio, contraria al requisito establecido en el artículo 10 de la Directiva 2016/680, según el cual el tratamiento de las categorías especiales de datos a las que se refiere ese artículo «solo» se permitirá «cuando sea estrictamente necesario».
En efecto, esa normativa puede conducir, de manera indiferenciada y generalizada, a la recogida de datos biométricos y genéticos de la mayoría de los investigados, dado que el concepto de «delito público doloso» tiene un carácter especialmente genérico y puede aplicarse a un gran número de delitos, con independencia de su naturaleza y gravedad.
Es cierto que dicha normativa limita el ámbito de aplicación de la recogida de datos biométricos y genéticos a las personas investigadas en la fase de instrucción de un procedimiento penal, es decir, a personas respecto de las cuales existen motivos fundados para presumir que han cometido una infracción penal, en el sentido del artículo 6, letra a), de la Directiva 2016/680. No obstante, el mero hecho de que se investigue a una persona por la comisión de un delito público doloso no puede considerarse un dato que permita presumir, por sí solo, que la recogida de sus datos biométricos y genéticos es estrictamente necesaria a la vista de los fines que persigue y habida cuenta de las vulneraciones de los derechos fundamentales, en particular, de los derechos al respeto de la vida privada y de protección de los datos personales garantizados por los artículos 7 y 8 de la Carta, que de ella se derivan.
Así, por una parte, aunque existan motivos fundados para presumir que la persona en cuestión ha cometido una infracción penal que justifica que sea investigada, lo que supone que ya concurran suficientes elementos de prueba de su implicación en la infracción, podrán darse casos en los que la recogida tanto de datos biométricos como de datos genéticos no obedezca a ninguna necesidad concreta a efectos del procedimiento penal en curso.
Por otra parte, la probabilidad de que los datos biométricos y genéticos de un investigado sean estrictamente necesarios en procedimientos distintos de aquel en el que está siendo investigado solo puede determinarse a la luz de todos los datos pertinentes, como, en particular, la naturaleza y gravedad de la presunta infracción por la que se le investiga, las circunstancias concretas de esa infracción, el eventual vínculo de dicha infracción con otros procedimientos en curso, los antecedentes judiciales o el perfil individual de la persona en cuestión.
En estas circunstancias, corresponde al tribunal remitente comprobar si, para garantizar la efectividad del artículo 10 de la Directiva 2016/680, cabe interpretar la normativa nacional que establece esa ejecución forzosa de conformidad con el Derecho de la Unión. En particular, incumbe al tribunal remitente comprobar si el Derecho nacional permite apreciar el carácter «estrictamente necesario» de recoger tanto datos biométricos como datos genéticos del interesado a efectos de su registro. En particular, habrá que verificar, a este respecto, si la naturaleza y la gravedad de la infracción de la que es sospechoso el interesado en el procedimiento penal principal o si otros elementos pertinentes, como los mencionados en el apartado 132 de la presente sentencia, pueden constituir circunstancias que permitan acreditar ese carácter «estrictamente necesario». Además, habrá que cerciorarse de que la recogida de los datos de estado civil, que también está prevista en el registro policial, como confirmó el Gobierno búlgaro en una respuesta escrita a una pregunta formulada por el Tribunal de Justicia, no permite, por sí sola, satisfacer los objetivos perseguidos.
En el supuesto de que el Derecho nacional no garantice tal control de la medida de recogida de datos biométricos y genéticos, corresponderá al tribunal remitente garantizar la plena eficacia de dicho artículo 10 denegando la solicitud de las autoridades policiales de autorizar esa recogida forzosa.
De todo lo anterior resulta que el artículo 10 de la Directiva 2016/680, en relación con sus artículos 4, apartado 1, letras a) a c), y 8, apartados 1 y 2, debe interpretarse en el sentido de que se opone a una normativa nacional que establece la recogida sistemática de datos biométricos y genéticos de cualquier persona investigada por un delito público doloso a efectos de su registro, sin obligar a la autoridad competente a comprobar y demostrar, por una parte, si esa recogida es estrictamente necesaria para satisfacer los objetivos concretos perseguidos y, por otra parte, si tales objetivos no pueden lograrse mediante medidas que constituyan injerencias menos graves en los derechos y libertades del interesado.

Costas
Dado que el procedimiento tiene, para las partes del litigio principal, el carácter de un incidente promovido ante el órgano jurisdiccional nacional, corresponde a este resolver sobre las costas. Los gastos efectuados por quienes, no siendo partes del litigio principal, han presentado observaciones ante el Tribunal de Justicia no pueden ser objeto de reembolso.
En virtud de todo lo expuesto, el Tribunal de Justicia (Sala Quinta) declara:
1)
El artículo 10, letra a), de la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos y por la que se deroga la Decisión Marco 2008/977/JAI del Consejo, a la luz del artículo 52 de la Carta de los Derechos Fundamentales de la  Unión Europea,
debe interpretarse en el sentido de que
el Derecho del Estado miembro autoriza, con arreglo al artículo 10, letra a), de dicha Directiva, el tratamiento de datos biométricos y genéticos por parte de las autoridades policiales a efectos de sus actividades de investigación, con fines de lucha contra la delincuencia y de mantenimiento del orden público, siempre que el Derecho de ese Estado miembro contenga una base jurídica suficientemente clara y precisa que lo autorice. El hecho de que el acto legislativo nacional que contiene esa base jurídica se remita, por otra parte, al Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos), y no a la Directiva 2016/680 no puede desvirtuar, en sí mismo, la existencia de esa autorización, siempre que de la interpretación del conjunto de las disposiciones aplicables del Derecho nacional se desprenda, de manera suficientemente clara, precisa e inequívoca, que el tratamiento de datos biométricos y genéticos de que se trata está comprendido en el ámbito de aplicación de esa Directiva y no en el del Reglamento.
2)
El artículo 6, letra a), de la Directiva 2016/680 y los artículos 47 y 48 de la Carta de los Derechos Fundamentales de la Unión Europea
deben interpretarse en el sentido de que
no se oponen a una normativa nacional que establece que, en caso de que la persona investigada por un delito público doloso se niegue a colaborar voluntariamente en la recogida de sus datos biométricos y genéticos a efectos de su registro, el órgano jurisdiccional penal competente está obligado a autorizar una medida de recogida forzosa, sin poder apreciar si existen motivos fundados para presumir que el interesado ha cometido la infracción penal por la que es investigado, siempre que el Derecho nacional garantice posteriormente el control jurisdiccional efectivo de las condiciones de esa investigación, de la que deriva la autorización para la recogida.
3)
El artículo 10 de la Directiva 2016/680, en relación con sus artículos 4, apartado 1, letras a) a c), y 8, apartados 1 y 2,
debe interpretarse en el sentido de que
se opone a una normativa nacional que establece la recogida sistemática de datos biométricos y genéticos de cualquier persona investigada por un delito público doloso a efectos de su registro, sin obligar a la autoridad competente a comprobar y demostrar, por una parte, si esa recogida es estrictamente necesaria para satisfacer los objetivos concretos perseguidos y, por otra parte, si tales objetivos no pueden lograrse mediante medidas que constituyan injerencias menos graves en los derechos y libertades del interesado.
Firmas
*
Lengua de procedimiento: búlgaro.