62021CJ0205_RES
Mål C‑205/21
V.S.
(begäran om förhandsavgörande från Spetsializiran nakazatelen sad)
Domstolens dom (femte avdelningen) av den 26 januari 2023
”Begäran om förhandsavgörande – Skydd för fysiska personer med avseende på behandling av personuppgifter – Direktiv 2016/680 – Artikel 4.1 a, b och c – Principer för behandling av personuppgifter – Begränsning av ändamål – Uppgiftsminimering – Artikel 6 a – Klar åtskillnad mellan personuppgifter från olika kategorier av personer – Artikel 8 – Laglig behandling av personuppgifter – Artikel 10 – Införlivande – Behandling av biometriska och genetiska uppgifter – Begreppet 'behandling som är tillåten enligt medlemsstaternas nationella rätt' – Begreppet 'absolut nödvändigt' – Utrymme för skönsmässig bedömning – Europeiska unionens stadga om de grundläggande rättigheterna – Artiklarna 7, 8, 47, 48 och 52 – Rätt till ett effektivt domstolsskydd – Oskuldspresumtion – Begränsning – Uppsåtligt brott som omfattas av allmänt åtal – Misstänkta personer – Insamling av uppgifter genom fotografering och fingeravtryck för att registrera dem och biologisk provtagning för att fastställa en DNA-profil – Förfarande för att genomföra insamlingen med tvång – Behandling av systematisk karaktär”
Tillnärmning av lagstiftning – Skydd för fysiska personer med avseende på behandling av personuppgifter i samband med straffrättsliga förfaranden – Direktiv 2016/680 – Behandling av särskilda kategorier av uppgifter – Behandling som tillåts av en medlemsstats nationella rätt – Nationell lagstiftning enligt vilken polismyndigheterna i en medlemsstat ska samla in misstänkta personers biometriska och genetiska uppgifter för att registrera dem – Nationella bestämmelser som hänvisar till förordning 2016/679 samtidigt som de återger innehållet i direktiv 2016/680 – Tillåtet – Villkor
(Europeiska unionens stadga om de grundläggande rättigheterna, artikel 52; Europaparlamentets och rådets förordning 2016/679, artikel 9, Europaparlamentets och rådets direktiv 2016/680, artiklarna 3.7 och 10 a)
(se punkterna 62‐67 och 72‐76 samt punkt 1 i domslutet)
Institutionernas rättsakter – Direktiv – Medlemsstaternas genomförande – Direktiv i vilket föreskrivs att de nationella bestämmelserna varigenom det införlivas ska innehålla en hänvisning till det – Av betydelse – Medlemsstaternas skyldighet att anta uttryckliga införlivandebestämmelser avseende ett direktiv – Krav på att direktivet omnämns i de nationella bestämmelserna enligt vilka behandling tillåts av sådana personuppgifter som omfattas av direktivets tillämpningsområde – Föreligger inte
(Artikel 288 tredje stycket FEUF; Europaparlamentets och rådets direktiv 2016/680, artikel 63.1 andra stycket)
(se punkterna 68‐71)
Tillnärmning av lagstiftning – Skydd för fysiska personer med avseende på behandling av personuppgifter i samband med straffrättsliga förfaranden – Direktiv 2016/680 – Skyldighet att göra åtskillnad mellan olika kategorier av registrerade – Räckvidd – Nationell lagstiftning enligt vilken polismyndigheterna i en medlemsstat ska samla in misstänkta personers biometriska och genetiska uppgifter för att registrera dem – Lagstiftning enligt vilken insamlingen kan ske med tvång – Den nationella domstolens behörighet att pröva huruvida det föreligger tungt vägande skäl att anta att den berörda personen har begått ett brott – Saknas – Tillåtet – Villkor – Iakttagande av rätten till ett effektivt domstolsskydd och av oskuldspresumptionen
(Europeiska unionens stadga om de grundläggande rättigheterna, artiklarna 47 och 48; Europaparlamentets och rådets direktiv 2016/680, artiklarna 6 a och 54)
(se punkterna 82–110 samt punkt 2 i domslutet)
Tillnärmning av lagstiftning – Skydd för fysiska personer med avseende på behandling av personuppgifter i samband med straffrättsliga förfaranden – Direktiv 2016/680 – Behandling av särskilda kategorier av uppgifter – Behandling som tillåts endast om det är absolut nödvändigt – Begrepp – Räckvidd – Strängare villkor för att behandlingen ska vara laglig – Begränsning av ändamål – Uppgiftsminimering – Nationell lagstiftning enligt vilken föreskrivs en systematisk insamling av biometriska och genetiska personuppgifter för registrering från varje person som är misstänkt för uppsåtlig brottslighet som omfattas av allmänt åtal – Otillåtet
(Europaparlamentets och rådets direktiv 2016/680, skälen 26 och 37 samt artiklarna 4.1 a och c, 8.1, 8.2 och 10)
(se punkterna 116–135 samt punkt 3 i domslutet)
Resumé
Systematisk insamling av varje misstänkt persons biometriska och genetiska uppgifter för polisregistrering strider mot kravet på utökat skydd vid behandling av känsliga personuppgifter.
Inom ramen för ett straffrättsligt förfarande avseende skattebedrägeri som inletts av de bulgariska myndigheterna påbörjades en förundersökning gällande V.S. Hon misstänktes för att ha deltagit i en organiserad kriminell grupp som bildats i syfte att berika sig genom att tillsammans begå brott i Bulgarien. Till följd av denna förundersökning anmodade den bulgariska polisen V.S. att samarbeta vid insamling av hennes personuppgifter genom att lämna sina fingeravtryck, låta sig fotograferas och genomgå en provtagning för att fastställa hennes DNA-profil. V.S. motsatte sig denna insamling.
Polismyndigheten ansökte vid Spetsializiran nakazatelen sad (specialiserad brottmålsdomstol, Bulgarien) om att denna insamling av V.S. biometriska och genetiska uppgifter skulle få ske med tvång, med stöd av den nationella lagstiftning enligt vilken ”polisregistrering” föreskrivs för personer som misstänks för ett uppsåtligt brott som omfattas av allmänt åtal. Till polismyndighetens ansökan bifogades endast kopior av beslutet att inleda förundersökningen och det formulär i vilket hon uppgav att hon inte samtyckte till insamlingen av uppgifterna.
Den hänskjutande domstolen hyser tvivel huruvida den bulgariska lagstiftning som är tillämplig på denna ”polisregistrering” är förenlig med direktiv 2016/680 (
1
), tolkad mot bakgrund av Europeiska unionens stadga om de grundläggande rättigheterna (nedan kallad stadgan). Den beslutade följaktligen att hänskjuta en begäran om förhandsavgörande till EU-domstolen.
I sin dom klargör EU-domstolen först de villkor under vilka polismyndigheternas behandling av biometriska och genetiska uppgifter kan anses tillåten enligt en medlemsstats nationella rätt, i den mening som avses i direktiv 2016/680. Domstolen uttalar sig därefter om det villkor som enligt detta direktiv gäller för behandling av uppgifter från den kategori av personer avseende vilka det finns tungt vägande skäl att anta att de har begått ett brott. Den uttalar sig även om iakttagandet av rätten till ett effektivt domstolsskydd och av oskuldspresumtionen när den behöriga nationella domstolen enligt den nationella lagstiftningen kan tillåta att dessa uppgifter, vilka unionslagstiftaren betraktar som ”känsliga”, samlas in med tvång. Domstolen tar slutligen ställning till frågan huruvida den nationella lagstiftning enligt vilken föreskrivs en systematisk insamling av dessa uppgifter är förenlig med de bestämmelser i direktiv 2016/680 som avser behandlingen av dessa uppgifter, med beaktande av de principer som därvid är tillämpliga.
Domstolens bedömning
Domstolen konstaterade inledningsvis att direktiv 2016/680, jämförd med stadgan (
2
), ska tolkas så, att polismyndigheternas behandling av biometriska och genetiska uppgifter i sin utredningsverksamhet, för att bekämpa brott och upprätthålla allmän ordning, är tillåten enligt en medlemsstats nationella rätt, om denna nationella rätt innehåller en tillräckligt klar och tydlig rättslig grund för att tillåta denna behandling. Den omständigheten att den nationella rättsakt som innehåller en sådan rättslig grund för övrigt hänvisar till dataskyddsförordningen (
3
), och inte till direktiv 2016/680 kan inte i sig påverka förekomsten av ett sådant tillstånd, förutsatt att det på ett tillräckligt klart, precist och otvetydigt sätt framgår av tolkningen av samtliga tillämpliga bestämmelser i nationell rätt att behandlingen av de aktuella biometriska och genetiska uppgifterna omfattas av tillämpningsområdet för detta direktiv och inte av tillämpningsområdet för förordningen
Med beaktande av att det i den relevanta nationella lagstiftningen hänvisades till bestämmelserna i dataskyddsförordningen som gäller behandling av känsliga uppgifter, samtidigt som innehållet i bestämmelserna i direktiv 2016/680 som gäller behandling av samma uppgifter återges (
4
), konstaterar domstolen att dessa bestämmelser inte är likvärdiga. Behöriga myndigheters behandling av känsliga uppgifter, bland annat i syfte att förebygga och upptäcka brott, vilken omfattas av direktiv 2016/680, är tillåten endast om det är absolut nödvändigt, under förutsättning att det finns lämpliga skyddsåtgärder och att behandlingen är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt. Dataskyddsförordningen innehåller däremot ett principiellt förbud mot behandling av känsliga uppgifter, åtföljt av en förteckning över situationer där undantag från detta förbud är tillåtet. Den nationella lagstiftaren kan visserligen i samma lagstiftning föreskriva behandling av personuppgifter för ändamål som omfattas av direktiv 2016/680 och för andra ändamål som omfattas av dataskyddsförordningen. Lagstiftaren är emellertid skyldig att försäkra sig om att det inte föreligger några tvetydigheter vad gäller tillämpligheten av den ena eller den andra av dessa båda unionsrättsakter på insamlingen av känsliga uppgifter.
Vad vidare gäller ett eventuellt felaktigt införlivande av direktiv 2016/680, vilket åberopats av den hänskjutande domstolen, påpekar domstolen att det enligt direktivet inte krävs att de nationella bestämmelser, enligt vilka behandling av sådana uppgifter som omfattas av direktivets tillämpningsområde tillåts, innehåller en hänvisning till direktivet. Domstolen har preciserat att när den nationella lagstiftaren föreskriver att behöriga myndigheters behandling av biometriska och genetiska uppgifter kan omfattas antingen av tillämpningsområdet för direktivet eller av dataskyddsförordningen, är det lämpligt att lagstiftaren av tydlighets- och precisionsskäl uttryckligen hänvisar dels till de bestämmelser i nationell rätt genom vilka detta direktiv införlivas, dels till dataskyddsförordningen, utan att vara skyldig att nämna direktivet. När det föreligger en uppenbar motsägelse mellan nationella bestämmelser enligt vilka behandling av dessa uppgifter tillåts och bestämmelser enligt vilka den förefaller utesluten, ska den nationella domstolen emellertid tolka dessa bestämmelser på ett sätt som bevarar direktivets ändamålsenliga verkan.
Domstolen har därefter slagit fast att varken direktiv 2016/680 (
5
) eller stadgan (
6
) utgör hinder för nationell lagstiftning enligt vilken den behöriga brottmålsdomstolen, när den person som misstänks för ett brott som omfattas av allmänt åtal vägrar att frivilligt samarbeta vid insamlingen av biometriska och genetiska uppgifter om honom eller henne för polisregistrering, är skyldig att tillåta att denna insamling sker med tvång, trots att den saknar behörighet att pröva huruvida det föreligger tungt vägande skäl att anta att den berörda personen har begått det brott för vilket den misstänks, under förutsättning att det i nationell rätt garanteras en senare effektiv domstolsprövning av villkoren för den förundersökning som ligger till grund för tillståndet att genomföra insamlingen.
I detta avseende erinrar domstolen om att medlemsstaterna enligt direktiv 2016/680 (
7
) ska säkerställa att det görs en klar åtskillnad mellan personuppgifter som rör olika kategorier av registrerade på ett sådant sätt att de inte likgiltigt utsätts för samma ingripande i deras grundläggande rätt till skydd av sina personuppgifter oberoende av vilken kategori de tillhör. Detta är emellertid inte någon absolut skyldighet. I den mån direktivet avser den kategorin av personer avseende vilka det finns tungt vägande skäl att anta att de har begått ett brott, har domstolen för övrigt angett att förekomsten av tillräcklig bevisning för en persons skuld i princip utgör tungt vägande skäl att anta att personen har begått det ifrågavarande brottet. Direktiv 2016/680 utgör således inte hinder för nationell lagstiftning enligt vilken personuppgifter ska samlas in med tvång vad beträffar personer avseende vilka det föreligger tillräcklig bevisning för att de är skyldiga till uppsåtlig brottslighet som omfattas av allmänt åtal när de av denna anledning har blivit föremål för en förundersökning.
Vad gäller iakttagandet av rätten till ett effektivt domstolsskydd, när den behöriga nationella domstolen, vid prövningen av en ansökan om att med tvång samla in känsliga uppgifter från en misstänkt person, saknar behörighet att i sak pröva grunderna för dessa misstankar har EU-domstolen bland annat understrukit att det kan vara motiverat att under det inledande skedet av det straffrättsliga förfarandet tillfälligt undanta bedömningen av den bevisning som ligger till grund för misstankarna mot den berörda personen från den nationella domstolens prövning. En sådan prövning under detta skede skulle nämligen kunna utgöra hinder för den brottsutredning under vilken uppgifterna samlas in och i hög grad begränsa utredarnas förmåga att avslöja andra brott genom en jämförelse av dessa uppgifter med uppgifter som samlats in under andra utredningar. Denna begränsning av det effektiva domstolsskyddet är således inte oproportionerlig, eftersom nationell rätt senare garanterar en effektiv domstolsprövning.
Vad gäller frågan huruvida oskuldspresumtionen kan anses iakttas genom ett domstolsavgörande om tillstånd att med tvång samla in de ifrågavarande uppgifterna konstaterar EU-domstolen att i den mån denna insamling i förevarande fall är begränsad till den kategori av personer vars straffrättsliga ansvar ännu inte har fastställts, kan insamlingen inte anses återspegla en känsla hos myndigheterna av att dessa personer är skyldiga. Den omständigheten att den domstol som ska pröva den berörda personens skuld i detta skede av det straffrättsliga förfarandet inte kan bedöma huruvida den bevisning som ligger till grund för misstankarna mot den berörda personen är tillräcklig utgör vidare en garanti för att oskuldspresumtionen iakttas.
Domstolen bedömer slutligen att direktiv 2016/680 (
8
) utgör hinder för nationell lagstiftning enligt vilken föreskrivs en systematisk insamling av biometriska och genetiska uppgifter från varje person som är misstänkt för uppsåtlig brottslighet som omfattas av allmänt åtal för registrering, utan att det föreskrivs någon skyldighet för den behöriga domstolen att pröva och visa dels att denna insamling är absolut nödvändig för att uppnå de konkreta mål som eftersträvas, dels att dessa mål inte kan uppnås genom åtgärder som utgör ett mindre allvarligt ingrepp i den berörda personens rättigheter och friheter.
Domstolen erinrar i detta avseende om att syftet med direktiv 2016/680 bland annat är att säkerställa ett utökat skydd med avseende på behandling av känsliga uppgifter, bland vilka ingår biometriska och genetiska uppgifter, eftersom denna kan utgöra ett synnerligen allvarligt hot mot grundläggande rättigheter och friheter. Villkoret enligt vilket behandling av sådana uppgifter är tillåten ”endast om det är absolut nödvändigt” ska tolkas så, att det fastställer strängare villkor för att behandling av känsliga uppgifter ska vara tillåten (
9
). Räckvidden av detta krav ska dessutom fastställas med hänsyn till de principer som gäller behandling av personuppgifter, såsom principerna om begränsning av ändamål och uppgiftsminimering.
Mot denna bakgrund strider nationell lagstiftning, enligt vilken en systematisk insamling av biometriska och genetiska uppgifter för registrering föreskrivs för varje person som misstänks för ett uppsåtligt brott som omfattas av allmänt åtal, i princip mot detta krav. En sådan lagstiftning kan nämligen leda till en insamling av personuppgifter, utan åtskillnad och generellt, om de flesta misstänkta personer, eftersom begreppet ”uppsåtligt brott som omfattas av allmänt åtal” är av särskilt allmän karaktär och kan tillämpas på ett stort antal brott, oberoende av deras art, deras allvar, de särskilda omständigheterna kring brottsligheten, deras eventuella samband med andra pågående förfaranden och personens brottshistorik eller individuella profil.
(
1
)	Europaparlamentets och rådets direktiv (EU) 2016/680 av den 27 april 2016 om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut 2008/977/RIF (EUT L 119, 2016, s. 89).
(
2
)	Artikel 10 i direktiv 2016/680 tolkad mot bakgrund av artikel 52 i stadgan.
(
3
)	Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1).
(
4
)	Artikel 9 i dataskyddsförordningen och artikel 10 i direktiv 2016/680.
(
5
)	Artikel 6 a i direktiv 2016/680.
(
6
)	Artiklarna 47 och 48 i stadgan, i vilka rätten till ett effektivt domstolsskydd respektive principen om oskuldspresumtion säkerställs.
(
7
)	Artikel 6 i direktiv 2016/680.
(
8
)	Artikel 10 i direktiv 2016/680, jämförd med artiklarna 4.1 a‐c, 8.1 och 8.2 i samma direktiv.
(
9
)	Med hänsyn till villkoren i artiklarna 4.1 b och c samt 8.1 i direktiv 2016/680.