62022CC0118
ЗАКЛЮЧЕНИЕ НА ГЕНЕРАЛНИЯ АДВОКАТ
P. PIKAMÄE
представено на 15 юни 2023 година (
1
)
Дело C‑118/22
NG
Административно производство
срещу
Директор на Главна дирекция „Национална полиция“ при МВР‑София,
в присъствието на
Върховна административна прокуратура
(Преюдициално запитване, отправено от Върховен административен съд (България)
„Преюдициално запитване — Защита на физическите лица във връзка с обработването на лични данни — Директива (ЕС) 2016/680 — Членове 4, 5, 8, 10 и 16 — Съхраняване на личните данни на осъдено за умишлено престъпление физическо лице до смъртта му — Осъдено с влязла в сила присъда и впоследствие реабилитирано физическо лице — Отхвърляне на искане за изтриване — Необходимост и пропорционалност на намесата в основните права, закрепени в членове 7 и 8 от Хартата на основните права на Европейския съюз“
1.
Трябва ли да се тревожим от съхраняването на личните данни в базите данни на полицията, където индивидът остава вписан евентуално за цял живот със статут на лице с девиантно социално поведение, опасно завинаги? Не трябва ли, напротив, да се поздравим за тази памет на полицията, когато констатираме, че разследващите органи са разрешили стари неизяснени случаи, по-известни днес като „студени досиета“, за най-голямо облекчение на семействата на пострадалите?
2.
Настоящото дело се вписва точно в това антагонистично поставяне на въпроси, което препраща към съвместяването на обществения интерес, свързан с борбата с престъпността, и този на индивида, свързан със защитата на личните му данни и зачитането на личния му живот. То е повод за Съда да се произнесе по въпроса за обработването на тези данни за целите на репресията в неговото времево измерение с оглед на релевантните разпоредби на Директива (ЕС) 2016/680 (
2
).
I. Правна уредба
А. Правото на Съюза
3.
Релевантни в рамките на настоящото дело са членове 4, 5, 8, 10 и 16 от Директива 2016/680, както и член 52, параграф 1 от Хартата на основните права на Европейския съюз (наричана по-нататък „Хартата“).
Б. Българското право
4.
Член 26, алинеи 1 и 2 от Закона за министерството на вътрешните работи (наричан по-нататък „ЗМВР“) гласи:
„(1)   При обработване на лични данни, свързано с дейностите по защита на националната сигурност, противодействие па престъпността, опазване на обществения ред и провеждане на наказателното производство, органите на МВР:
[…]
3.
могат да обработват всички необходими категории лични данни;
[…]
(2)   Сроковете за съхранение на данните по ал. 1 или за периодична проверка на необходимостта от съхранението им се определят от министъра на вътрешните работи. Тези данни се изтриват и в изпълнение на съдебен акт или решение на Комисията за защита на личните данни“.
5.
Член 27 от ЗМВР гласи:
„Данните от полицейската регистрация на лицата, извършена на основание чл. 68, се използват само за защита на националната сигурност, противодействие на престъпността и опазване на обществения ред“.
6.
Член 68 от ЗМВР предвижда следното:
„(1)   Полицейските органи извършват полицейска регистрация на лица, които са привлечени като обвиняеми за извършено умишлено престъпление от общ характер. Органите на досъдебното производство са длъжни да предприемат необходимите мерки за извършване на регистрацията от полицейските органи.
(2)   Полицейската регистрация е вид обработване на лични данни за лицата по ал. 1, която се осъществява при условията на този закон.
(3)   За целите на полицейската регистрация полицейските органи:
1.
събират за лицата личните им данни, посочени в чл. 18 от Закона за българските лични документи;
2.
дактилоскопират и фотографират лицата;
3.
изземват образци за ДНК профил на лицата.
[…]
(6)   Полицейската регистрация се снема въз основа на писмена заповед на администратора на лични данни или на оправомощени от него длъжностни лица служебно или след писмено мотивирано искане на регистрирания, когато:
1.
регистрацията е извършена в нарушение на закона;
2.
наказателното производство е прекратено с изключение на случаите по чл. 24, ал. 3 от Наказателно-процесуалния кодекс;
3.
наказателното производство е приключило с влязла в сила оправдателна присъда;
4.
лицето е освободено от наказателна отговорност и му е наложено административно наказание;
5.
лицето е починало, като в този случай искането може да бъде направено от неговите наследници.
(7)   Редът за извършване и снемане на полицейската регистрация се определя с наредба на Министерския съвет“.
II. Фактите в основата на спора, главното производство и преюдициалният въпрос
7.
По отношение на NG е извършена полицейска регистрация в рамките на производство за разследване на лъжесвидетелстване, престъпление по член 290, алинея 1 от Наказателния кодекс. В резултат на това производство на 2 юли 2015 г. срещу него е внесен обвинителен акт и с присъда от 28 юни 2016 г., потвърдена във въззивно производство с решение от 2 декември 2016 г., той е признат за виновен и е осъден на пробация за срок от една година. Наказанието е изтърпяно на 14 март 2018 г.
8.
На 15 юли 2020 г. NG подава искане за снемане на тази регистрация до компетентното териториално подразделение на Министерство на вътрешните работи (България), като представя свидетелство за съдимост, удостоверяващо, че той не е осъждан.
9.
С решение от 2 септември 2020 г. компетентният административен орган отхвърля искането с мотива, че осъждане с влязла в сила присъда не е сред основанията за снемане на полицейска регистрация, изчерпателно изброени в член 68, алинея 6 от ЗМВР, включително при реабилитация по смисъла на член 85 от Наказателния кодекс. На 8 октомври 2020 г. NG подава жалба срещу това решение до Административен съд София-град (България). С решение от 2 февруари 2021 г. този съд отхвърля жалбата.
10.
NG подава жалба срещу решението на Административен съд София-град до Върховен административен съд (България). Главното основание на жалбата е нарушаването на принципа, който би могъл да се изведе от членове 5, 13 и 14 от Директива 2016/680, че обработването на лични данни чрез съхраняване не би могло да е с неограничен срок. При липсата на основание за снемане на полицейската регистрация обаче осъдено лице не може да иска след реабилитацията си изтриване на личните си данни, събрани във връзка с престъпление, за което е изтърпяло наказанието си, така че срокът на съхраняването им е неограничен.
11.
Тъй като има съмнения относно съответствието с правото на Съюза на разглежданата национална правна уредба, регламентираща полицейската регистрация, запитващата юрисдикция решава да спре делото в главното производство и да постави на Съда следния преюдициален въпрос:
„Тълкуването на чл. 5 от [Директива 2016/680] във вр. с чл. 13, § 2, б. „б“ и § 3 от същата, допуска ли национални законодателни мерки, които да водят до практически неограничено право на обработка на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления, или изпълнението на наказания и/или отпадане на правото на субекта на данните за ограничаване на обработването, заличаване или унищожаване на данните му?“.
III. Производството пред Съда
12.
Писмени становища представят българското, чешкото, ирландското, испанското и полското правителство, както и Европейската комисия. В съдебното заседание, проведено на 7 февруари 2023 г., са изслушани също устните становища на жалбоподателя в главното производство, както и българското, ирландското, испанското, нидерландското и полското правителство и Комисията.
IV. Анализ
А. По приложимостта на Директива 2016/680
13.
От преюдициалното запитване се установява, че запитващата юрисдикция явно приема за даденост факта, че спорната национална правна уредба попада в приложното поле ratione materiae на Директива 2016/680, становище, което ми се струва, че заслужава няколко забележки.
14.
В съответствие със съвместния прочит на член 1, параграф 1 и член 2, параграф 1 от Директива 2016/680 тя се прилага към обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществената сигурност и тяхното предотвратяване. Член 2, параграф 3, буква а) от Директива 2016/680 изключва от приложното ѝ поле обработването на лични данни „в хода на дейности, които са извън обхвата на правото на Съюза“. Съображение 12 и 14 от тази директива уточняват съдържанието на това изключение за неприложимост, като посочват, че тя обхваща главно дейностите, засягащи националната сигурност, за разлика от дейностите относно опазване на обществения ред като задача, възложена на полицията или други правоприлагащи органи, когато е необходимо да се вземат предпазни мерки и да се предотвратят заплахи за обществената сигурност и основните интереси на обществото, защитени от закона, които могат да доведат до извършването на престъпление.
15.
Като тълкува член 2, параграф 2, буква а) от Регламент (ЕС) 2016/679 (
3
), предвиждащ изключение от приложимостта на този регламент, формулирано по същия начин както в член 2, параграф 3, буква а) от Директива 2016/680, Съдът постановява, че първата посочена разпоредба, разглеждана във връзка със съображение 16 от този регламент, трябва да се разглежда като целяща единствено да изключи от приложното поле на посочения регламент обработването на лични данни, извършвано от държавните органи в рамките на дейност, насочена към запазване на националната сигурност, или на дейност, която може да бъде причислена към същата категория, така че сам по себе си фактът, че дадена дейност е присъща на държавата или на публичен орган, не е достатъчен, за да може това изключение да се прилага автоматично към подобна дейност. Той уточнява, че дейностите, които имат за цел защита на националната сигурност, обхващат по-специално дейностите, които имат за предмет защитата на съществените функции на държавата и на основните интереси на обществото (
4
).
16.
В случая обаче данните са регистрирани и съхранявани от полицията на основание член 68 от ЗМВР в съответствие с член 27 от този закон за целите на защитата на националната сигурност, противодействие на престъпността и опазване на обществения ред. Оказва се, че спорната база данни на полицията представлява една-единствена и хибридна база данни, тъй като в нея е събрана информация, която може да се обработва за цели, различни от тази, свързана със защитата на националната сигурност, която не попада в материалното приложно поле на Директива 2016/680. При тези обстоятелства законосъобразността на съхраняването на данните, съдържащи се в такава база данни, не може да се преценява с оглед на изискванията на тази директива, доколкото тези данни се използват само за целите, посочени в член 1, параграф 1 от тази директива, което запитващата юрисдикция следва да провери (
5
). Като се има предвид представената на Съда преписка, не се установява съхраняването на данните в полицейската регистрация на NG, които той иска да бъдат изтрити, да може да се счита за обработване извън материалното приложно поле на Директива 2016/680.
17.
На този етап е важно да се подчертае, че разглежданата по делото в главното производство национална правна уредба вече е предмет на решение на Съда в отговор на запитване на българска юрисдикция, която е трябвало да прецени отказа на лице, привлечено като обвиняем за престъпление данъчна измама, да даде съгласие за събиране на личните му данни. В това решение Съдът се е произнесъл именно по законосъобразността на събирането на личните данни с оглед на изискванията по член 10 от Директива 2016/680, като е постановил, че тази разпоредба във връзка с член 4, параграф 1, букви а)—в), както и с член 8, параграфи 1 и 2 от тази директива, трябва да се тълкува в смисъл, че не допуска национално законодателство, което предвижда системно събиране за целите на регистрацията им на биометрични и генетични данни от всяко лице, привлечено като обвиняем за умишлено престъпление от общ характер, без да предвижда задължение за компетентния орган да провери и докаже, от една страна, че събирането на тези данни е абсолютно необходимо за постигането на конкретните преследвани цели и от друга страна, че тези цели не могат да бъдат постигнати чрез мерки, които засягат в по-малка степен правата и свободите на съответното лице (
6
). Настоящото дело води до задължение на Съда да разгледа законосъобразността на отделна намеса, а именно, съхраняването на информацията, отнасяща се до осъдените за престъпление физически лица, идентифицирани чрез техните лични и фамилни имена в съответната база данни на полицията, което представлява обработване на лични данни, осъществявано от компетентен държавен орган за целите на предотвратяването и разкриването на престъпленията и на разследвания, тоест българското министерство на вътрешните работи, по смисъла на член 3, параграфи 1 и 2 и член 3, параграф 7, буква а) от Директива 2016/680.
Б. По преформулирането на преюдициалния въпрос
18.
В началото следва да се припомни, че в рамките на въведеното с член 267 ДФЕС производство за сътрудничество между националните юрисдикции и Съда той трябва да даде на националния съд полезен отговор, който да му позволи да реши спора, с който е сезиран. С оглед на това при необходимост Съдът трябва да преформулира въпросите, които са му зададени. Всъщност задача на Съда е да тълкува всички разпоредби от правото на Съюза, които са необходими на националните юрисдикции, за да се произнасят по споровете, с които са сезирани, дори тези разпоредби да не са изрично посочени във въпросите, отправени от тези юрисдикции до Съда (
7
).
19.
Фактите по делото в главното производство са свързани с искане за снемане на полицейска регистрация на лични данни, подадено от физическо лице, което, след като е било осъдено за лъжесвидетелстване, е изтърпяло наказанието си и е било реабилитирано на 14 март 2020 г., тоест почти пет години след споменатата по-горе регистрация. Искането е отхвърлено с решение на компетентния административен орган, потвърдено в първоинстанционното производство с решението на Административен съд София, обжалвано пред запитващата юрисдикция, която има съмнения относно съвместимостта на националната правна уредба с Директива 2016/680, що се отнася до въпроса за съхраняването на личните данни в базата данни на полицията. Следователно делото в главното производство очевидно се отнася до правото на изтриване на личните данни без излишно забавяне, както е предвидено в член 16, параграф 2 от Директива 2016/680, когато обработването нарушава разпоредбите, приети съгласно член 4, 8 или 10, или когато личните данни трябва да бъдат изтрити с цел спазване на правно задължение, което се прилага спрямо администратора.
20.
Член 4, параграф 1, букви в) и д) от Директива 2016/680 гласи, че държавите членки гарантират, че съобразно с принципите съответно на свеждане на личните данни до минимум и на ограничаване на съхраняването на личните данни, те са подходящи, относими и не надхвърлят необходимото във връзка с целите, за които данните се обработват, и са съхранявани във вид, който позволява идентифицирането на субектите на данните за период не по-дълъг от необходимия за целите, за които те се обработват (
8
). Колкото до член 8 от тази директива, той е посветен на законосъобразността на обработването, което е такова само ако и доколкото то е необходимо за изпълнението на задача, осъществявана от компетентен орган, за целите, определени в член 1, параграф 1 от посочената директива, и е въз основа на правото на Съюза или правото на държава членка, като следва да се посочват най-малко общите цели на обработването, личните данни, които се обработват, и конкретните цели на обработването. Накрая, що се отнася до член 10 от Директива 2016/680, той определя правния режим на обработване на специални категории лични данни, като биометричните и генетичните данни, използвани в базата данни на полицията с цел уникално идентифициране на физическото лице.
21.
Налага се констатацията, че споменатите в предходната точка разпоредби не са посочени в преюдициалния въпрос, въпреки че очевидно са релевантни за отговора, който Съдът трябва да даде в случая. Запитващата юрисдикция иска тълкуване на член 5 и на член 13, параграф 2, буква б) и параграф 3 от Директива 2016/680, които не са сред изрично посочените в член 16, параграф 2 от тази директива разпоредби, нарушаването на които от националната правна уредба обосновава прилагането на правото на изтриване, предоставено на субекта на данните. Това право обаче е признато и когато личните данни трябва да бъдат изтрити, за да бъде изпълнено законово задължение, наложено на администратора, което може да съответства на положенията, посочени в член 5 и член 13, параграф 2, буква б) от посочената директива, а именно и съответно: определяне на максимални срокове за съхраняване на лични данни или за периодична проверка на необходимостта от съхраняването на лични данни (
9
) и за предоставяне от администратора на субекта на данните, в конкретни случаи, на допълнителна информация освен посочената в член 13, параграф 1, с цел да му се даде възможност да упражни правата си. Член 13, параграф 3 обаче се отнася до възможността за държавите членки при определени условия да приемат законодателни мерки, които забавят или ограничават предоставянето на информация на субекта на данните съгласно параграф 2, дори водят до пропускане на предоставянето на информация, което не може да бъде част от законово задължение, наложено на администратора.
22.
При всяко положение от акта за запитване не се установява по делото в главното производство да се е поставял въпросът за информирането на NG относно правата му, тъй като субектът на данните очевидно е могъл да ги упражни, което личи от жалбата относно съхраняването на личните му данни, с която е сезирал административните, след това съдебните органи. Поради това не изглежда с отправения до Съда въпрос да се иска тълкуване на член 13, параграф 2, буква б) и параграф 3 от Директива 2016/680. Следователно по делото в главното производство става въпрос по-специално за член 16, параграф 2 от Директива 2016/680, както и за членове 4, 5, 8 и 10 от нея.
23.
От друга страна, както гласи съображение 104 от нея, Директива 2016/680 зачита основните права и спазва принципите, признати в Хартата и залегнали в Договора за функционирането на Европейския съюз, по-специално правото на зачитане на личния и семейния живот, правото на защита на личните данни. Съгласно съображение 46 от тази директива всяко ограничаване на правата на субекта на данни трябва да бъде в съответствие с Хартата и с Европейската конвенция за защита на правата на човека и на основните свободи, подписана в Рим на 4 ноември 1950 г. (наричана по-нататък „ЕКПЧ“), както се тълкуват съответно в практиката на Съда и от Европейския съд по правата на човека (наричан по-нататък „ЕСПЧ“), и по-специално като се зачита същността на тези права и свободи. Следва да се припомни, че основните права на неприкосновеност на личния живот и на защита на личните данни, гарантирани от членове 7 и 8 от Хартата, не са абсолютни прерогативи, а трябва да се вземат предвид във връзка с тяхната социална функция и да бъдат претеглени спрямо други основни права. Поради това е възможно да се налагат ограничения, стига в съответствие с член 52, параграф 1 от Хартата те да са предвидени в закон и да зачитат основното съдържание на основните права, както и принципа на пропорционалност. Освен това при спазване на последния посочен принцип ограничения могат да бъдат налагани само ако са необходими и ако действително отговарят на признати от Съюза цели от общ интерес или на необходимостта да се защитят правата и свободите на други хора. Те трябва да се въвеждат в границите на строго необходимото и правната уредба, включваща намесата, трябва да предвижда ясни и точни правила, уреждащи обхвата и прилагането на съответната мярка (
10
).
24.
При тези условия следва да се счита, че запитващата юрисдикция по същество иска да установи дали членове 4, 5, 8, 10 и член 16, параграф 2 от Директива 2016/680, взети заедно и с оглед на член 52, параграф 1 от Хартата, трябва да се тълкуват в смисъл, че не допускат национално законодателство, което предвижда съхраняване на лични данни в база данни на полицията, включително биометрични и генетични данни на субекта на данните, до неговата смърт, като не му позволява да постигне изтриването на тези данни след реабилитацията, от която се е ползвал след осъждането му за престъпление (
11
).
В. По съхраняването на личните данни за репресивни цели
25.
Струва ми се, че преди да разгледаме съвместимостта на националната правна уредба относно спорната база данни на полицията, трябва да се разгледа проблематиката на съхраняването на личните данни за репресивни цели с оглед на някои разпоредби от Директива 2016/680, както и на практиката на Съда и на ЕСПЧ.
26.
На първо място следва да се отбележи, че целта на Директива 2016/680 е да допринесе за изграждането на пространство на свобода, сигурност и правосъдие в рамките на Съюза, като същевременно създаде стабилна и съгласувана рамка за защита на личните данни, за да осигури зачитането на основното право на защита на физическите лица при обработването на лични данни, признато в член 8, параграф 1 от Хартата и в член 16, параграф 1 ДФЕС, като това право е тясно свързано с правото на зачитане на личния живот, закрепено в член 7 от Хартата (
12
). За тази цел в глави II и III от Директива 2016/680 се обявяват съответно принципите, уреждащи обработването на личните данни, и правата на субекта на данни, които трябва да се спазват при това обработване. По-специално, всяко обработване на лични данни трябва да съответства на принципите относно обработването на данните и на условията за законосъобразност на обработването по членове 4 и 8 от тази директива. Тъй като изискванията, съдържащи се в последната посочена разпоредба, са израз на изискванията, произтичащи от член 52, параграф 1 от Хартата, те трябва да се тълкуват предвид тази разпоредба (
13
).
27.
Следователно в отговора, който следва да се предостави на запитващата юрисдикция, трябва да се вземе предвид принципът на „свеждане на данните до минимум“, съдържащ се в член 4, параграф 1, буква в) от Директива 2016/680, който дава израз на принципа на пропорционалност (
14
). Същото се отнася и за принципа на ограничаване на съхраняването, съдържащ се в член 4, параграф 1, буква д) от тази директива, който предполага да се прави преценка на пропорционалността на обработването спрямо неговата цел с оглед на минаването на времето. Ще противоречи на този принцип съхраняването на данните за срок, превишаващ необходимото, тоест превишаващ срока, необходим за постигането на целите, за които тези данни са били съхранени (
15
). От това следва, че дори обработване на данни, което първоначално е било законосъобразно, може с времето да стане несъвместимо с Директива 2016/680, когато данните вече не са необходими за осъществяването на такива цели и че данните трябва да се заличат, когато въпросните цели са осъществени (
16
).
28.
Проблематиката във връзка с времето на съхраняване на личните данни се разглежда и в член 5 от Директива 2016/680 под формата на допълнение и уточнение към изискванията по член 4 от нея (
17
). Както се споменава в съображение 26 от посочената директива, с цел да се гарантира, че срокът на съхранение на данните не е по-дълъг от необходимия, администраторът следва да установи срокове за тяхното изтриване или периодичен преглед. Налага се изводът, че член 5 от Директива 2016/680, от една страна, оставя на държавите членки преценката и определянето на релевантния срок на съхраняване и от друга страна, предвижда периодична проверка на необходимостта от съхраняването на лични данни, като алтернатива на определянето a priori на максимален период на съхраняване. Струва ми се, че тази втора забележка със сигурност е важна за настоящото дело, тъй като изразява признанието на законодателя на Съюза за възможна неопределена продължителност на съхраняването на личните данни за репресивни цели (
18
). Тази констатация трябва да се свърже с текста на член 16, параграф 3 от Директива 2016/680, който предвижда възможността за ограничаване на обработването на данните като алтернатива на тяхното изтриване, по-специално в буква б), когато личните данни трябва да бъдат запазени „за доказателствени цели“, което показва, че не съществува абсолютно право на изтриване (
19
).
29.
Въпросът за законосъобразността на съхраняването на личните данни по необходимост включва този за тяхното естество, което в случая обхваща по-специално пръстовите отпечатъци, фотографии, образци за ДНК профил на заподозряното или осъдено за престъпление лице, като заради този вид лични данни обработването попада в приложното поле на член 10 от Директива 2016/680. Важно е да се подчертае, че макар правният режим, определен от тази разпоредба, за разлика от този, предвиден в член 9 от ОРЗД, да не съдържа принципна забрана на обработването по отношение на такива лични данни, последното е разрешено „само когато това е абсолютно необходимо“ и при подходящи гаранции за правата и свободите на субекта на данни и само ако е разрешено съгласно правото на Съюза или правото на държава членка.
30.
Според съдебната практика целта на член 10 от Директива 2016/680 е да се осигури по-голяма защита по отношение на подобно обработване, което поради особената чувствителност на тези данни и контекста, в който те се обработват, може да породи, както е видно от съображение 37 от тази директива, значителни рискове за основните права и свободи, като правото на зачитане на личния живот и на защита на личните данни, гарантирани от членове 7 и 8 от Хартата. Както следва от самия текст на член 10 от Директива 2016/680, изискването обработването на такива данни да е разрешено „само когато това е абсолютно необходимо“, трябва да се тълкува в смисъл, че определя по-строги условия за законосъобразност на обработването на чувствителни данни от произтичащите от член 4, параграф 1, букви б) и в) и член 8, параграф 1 от тази директива условия, в които се говори само за „необходимост“ от обработване на данни, които на общо основание попадат в приложното поле на посочената директива. Така, от една страна, употребата на наречието „само“ пред израза „когато това е абсолютно необходимо“ подчертава, че обработването на специални категории данни по смисъла на член 10 от Директива 2016/680 може да се счита за необходимо само в ограничен брой случаи. От друга страна, „абсолютният“ характер на необходимостта от обработване на такива данни предполага тази необходимост да се преценява особено строго (
20
).
31.
На второ място, отбелязвам, че макар Съдът вече да се е произнесъл няколко пъти по въпроса за законосъобразността на съхраняването на данните за репресивни цели, той го е направил в нормативен и фактически контекст, които се различават особено от този по настоящото дело. Така Съдът е постановил (
21
), че правото на Съюза, закрепено в Директива 2002/58/EО (
22
), от която следва, че ползвателите на електронни съобщителни средства по принцип имат право да очакват, че техните съобщения и свързаните с тях данни без тяхно съгласие остават анонимни и няма да могат да бъдат записвани, не допуска общо и неизбирателно запазване с превантивна цел на данните за трафик и на данните за местонахождение за целите на борбата с престъпността, независимо от това колко сериозна е тя, като това запазване се приема само при определени условия, в случай на сериозна заплаха, действителна и настояща или предвидима за националната сигурност. Той добавя, че правото на Съюза обаче допуска мерки, предвиждащи — за целите на борбата с тежката престъпност, общо и неизбирателно запазване на данни относно самоличността на ползвателите и за ограничен до строго необходимото период от време, на техните IP адреси, целево запазване на данни, което да е ограничено въз основа на обективни и недискриминационни критерии в зависимост от категориите засегнати лица или посредством географски критерий, за ограничен до строго необходимото период от време, който може да бъде удължен, бързо запазване на данните, с които разполагат доставчиците на услуги, за определен срок, като всички тези мерки гарантират с ясни и точни правила, че запазването на разглежданите данни е подчинено на спазването на съответните материални и процесуални условия и че засегнатите лица разполагат с ефективни гаранции срещу рисковете от злоупотреби.
32.
Съдът използва също критерия, свързан със зачитане на пределите на строго необходимото за обработването на личните данни в контекста на прехвърлянето, съхраняването и използването на данните, съдържащи се в досиетата на пътниците на полетите извън ЕС, съставени от въздушните превозвачи (наричани по-нататък „PNR данни“), с оглед на предотвратяването и разкриването на терористични престъпления и тежки форми на престъпност (
23
). Съдът е имал повод да подчертае, че тъй като продължителността на съхраняването на PNR данните в съответствие със споразумението PNR ЕС—Канада може да достигне пет години, това споразумение позволява да се разполага с информация за личния живот на пътниците във въздушния транспорт за особено продължителен период от време и че що се отнася до пътниците във въздушния транспорт, за които при пристигането им в Канада и до заминаването им от тази трета държава не е установен риск във връзка с тероризма или тежката транснационална престъпност, след отпътуването им не се установява наличието дори на индиректна връзка между PNR данните им и преследваната с разглежданото споразумение цел, която би обосновала запазването на тези данни. Поради това той заключава, че непрекъснатото съхраняване на PNR данните на всички пътници във въздушния транспорт след заминаването им от Канада с цел евентуален достъп до тези данни, независимо от наличието на каквато и да било връзка с борбата с тероризма и тежката транснационална престъпност, не е обосновано (
24
).
33.
В рамките на преюдициално запитване Съдът се е произнесъл относно валидността и тълкуването на Директива (ЕС) 2016/681 (
25
), която задължава въздушните превозвачи да прехвърлят личните данни на всеки пътник, ползващ полет извън ЕС, осъществяван между трета страна и Европейския съюз, на отдела за информация за пътниците на държавата членка на пристигане или на заминаване на съответния полет, за да се бори с тероризма и тежките форми на престъпност. Така прехвърлените лични PNR данни се подлагат на предварителна оценка от отдела за информация за пътниците за срок от шест месеца и след това се съхраняват в продължение на пет години с оглед на евентуална последваща оценка от компетентните органи на държавите членки, което може да доведе до анализи, осъществявани през един значителен период, дори неопределен, когато става въпрос за лицата, които пътуват със самолет повече от един път на всеки пет години. Съдът приема, че в тази директива има сигурни сериозни намеси в правата, гарантирани в членове 7 и 8 от Хартата, по-специално доколкото тя цели да въведе режим на непрекъснато неизбирателно и систематично наблюдение, включващо автоматизирана оценка на личните данни на всички лица, ползващи услугите на въздушния транспорт, като същевременно подлежи на тълкуване, съответстващо на членове 7, 8 и 21, както и на член 52, параграф 1 от Хартата. Съдът уточнява, че след като изтече периодът на първоначално съхраняване от шест месеца, съхраняването на PNR данните не изглежда да е ограничено до строго необходимото, що се отнася до пътниците във въздушния транспорт, за които нито предварителната оценка, нито възможните проверки, направени през първоначалния период на съхраняване от шест месеца, нито каквото и да е друго обстоятелство са разкрили съществуването на обективни данни, годни да докажат риск във връзка с терористичните престъпления или тежки форми на престъпност с обективна връзка, поне косвена, с осъщественото от тези пътници пътуване с въздушен транспорт. Той счита обаче, че през първоначалния период от шест месеца не изглежда съхраняването на данните PNR на всички пътници във въздушния транспорт, по отношение на които се прилага въведената с посочената директива система, по принцип да превишава границите на строго необходимото.
34.
В противовес на припомнената по-горе съдебна практика е важно да се подчертае, от една страна, че обратно на установеното в областта на обработването на личните данни в Директива 2002/58 (
26
), съгласието на субекта на данните не е правна основа за обработването на личните данни, осъществявано от компетентните органи за целите, посочени в член 1, параграф 1 от Директива 2016/680. Както се уточнява в съображение 35 от нея, изпълнението на задачите по предотвратяване, разследване, разкриване или наказателно преследване на престъпления, институционално възложено със закон на компетентните органи, им позволява да изискват или нареждат на физическите лица да се съобразяват с направените искания. От друга страна, по настоящото дело не става въпрос за съхраняването и автоматизирания анализ на „океан от данни“ (
27
), генерирани в сектора на електронните комуникации или този на въздушния транспорт, събрани от частни оператори и предадени на разследващите служби, а за една-единствена база данни на полицията, съдържаща личните данни на лица, за които има сериозни основания да се смята, че са извършили престъпление, заподозрени и осъдени за престъпление, под изключителния контрол на държавен орган и строго поверителна.
35.
Спецификата на нормативния и фактическия контекст на посочената по-горе съдебна практика според мен е пречка за каквото и да е чисто и просто транспониране на възприетите в нея разрешения, за да се отговори на настоящия преюдициален въпрос, особено що се отнася до разграничението между целите на съхраняването на данните (опазване на националната сигурност, борба с тежката престъпност или срещу престъпленията, които не спадат към нея) и необходимата връзка между значимостта на тези цели и степента на тежест на намесата в основните права, която може да бъде оправдана (
28
). С други думи, твърдението, че борбата с престъпността като цяло може единствено да оправдае намеса, която няма сериозен характер (
29
) не може да се възприеме в случая, за да не бъде сериозно намален полезният ефект на Директива 2016/680 и на националните средства за разследване/обществена безопасност, като разглежданата база данни на полицията, попадащи в приложното поле на тази норма, чийто предмет изразява точно необходимостта от възможност да се обработват пропорционално лични данни за полицейски цели. Следва да се отбележи, че както се установява от съображения 10 и 11 от Директива 2016/680, законодателят на Съюза е искал да приеме норми, които отчитат специфичната природа на обхваната от тази директива област. В това отношение съгласно съображение 12 дейностите, извършвани от полицията или други правоприлагащи органи, включително полицейски дейности, без предварително да е известно дали даден инцидент съставлява престъпление, основно се съсредоточават върху предотвратяването, разследването, разкриването или наказателното преследване на престъпления (
30
).
36.
На трето място, следва да се отбележи, че член 7 от Хартата, който се отнася до правото на зачитане на личния и семейния живот, съдържа права, съответстващи на правата, гарантирани от член 8, параграф 1 от ЕКПЧ, и че защитата на личните данни играе основна роля при упражняването на правото на зачитане на личния и семейния живот, установено в член 8 от ЕКПЧ. Ето защо в съответствие с член 52, параграф 3 от Хартата на посочения член 7 следва да се придадат същият смисъл и обхват като дадените на член 8, параграф 1 от ЕКПЧ, както той е тълкуван в практиката на ЕСЧП (
31
).
37.
ЕСПЧ счита, че защитата на личните данни има основна роля при упражняването на правото на зачитане на личния живот, закрепено в член 8 от ЕКПЧ и че самият факт на запаметяване на данните относно личния живот на дадена личност представлява намеса по смисъла на посочения член 8, без да има значение дали впоследствие запаметената информация ще бъде използвана, или не. Според този съд вътрешното право трябва именно да гарантира, че тези данни са относими и не са прекомерни по отношение на целите, за които са записани, и че се съхраняват във форма, позволяваща да се идентифицират субектите на данните за срок, който не превишава срока, необходим за целите, за които те са записани. Вътрешното право трябва също да съдържа гаранции, годни да защитят ефективно записаните лични данни срещу несвойствено използване и злоупотреба, като същевременно предоставя конкретна възможност за подаване на искане за изтриване на запаметените данни. ЕСПЧ обаче се е постарал да уточни, че е съвсем наясно, че за да защитят населението си така, както са задължени, на националните органи се налага да съставят бази данни, които допринасят ефективно за наказването и предотвратяването на някои престъпления, по-специално най-тежките. При все това такива средства не би трябвало да се прилагат, като се следва логика на прекомерни количества на въвежданите данни и срок на тяхното съхранение (
32
). По този последен въпрос ЕСПЧ счита, че липсата на максимален срок за съхраняването на личните данни на осъдените лица не е непременно несъвместима с член 8 от ЕКПЧ, но съществуването и функционирането на някои гаранции са още по-необходими при тази хипотеза (
33
).
Г. По намесата в основните права, гарантирани в членове 7 и 8 от Хартата
38.
Както се установява от член 68 от ЗМВР и от становището, представено от българското правителство в съдебното заседание, личните данни, посочени в националната правна уредба, включват по-специално личните данни на субектите на данните, наказуемите деяния, за които лицето е заподозряно, че е извършило или за които е осъдено за престъпление, пръстовите му отпечатъци, фотографии, образци за ДНК профил. След като тези данни съдържат информация за идентифицирани физически лица, различните видове обработване, на което те могат да бъдат подложени, засяга основното право на зачитане на личния живот, гарантирано в член 7 от Хартата. Освен това различните видове обработване на тези данни, като предвидените в националната правна уредба, попадат също в обхвата на член 8 от Хартата, тъй като представляват обработване на лични данни по смисъла на този член и поради това трябва задължително да отговарят на изискванията за защита на личните данни, предвидени в този член (
34
).
39.
Както ЕСПЧ, според който самият факт на запаметяването на данни относно личния живот на дадено лице представлява намеса по смисъла на член 8 от ЕКПЧ (
35
), Съдът счита, че запазването на данни съставлява само по себе си намеса в основните права на зачитане на личния живот и на защита на личните данни, закрепени в членове 7 и 8 от Хартата, независимо дали съответните данни за личния живот имат чувствителен характер, дали заинтересованите лица са претърпели евентуални неудобства поради тази намеса и дали запазените данни ще бъдат използвани впоследствие (
36
).
40.
Що се отнася до сериозността на намесата, каквато е съхраняването, тя е установена, с оглед на естеството на някои данни, особено що се отнася до биометричните и генетичните данни, съдържащи се в базата данни на полицията, като Съдът определя като значителни рисковете, свързани с обработването на чувствителните данни, за правата и свободите на субектите на данни, по-специално в контекста на задачите на компетентните органи, за целите, посочени в член 1, параграф 1 от Директива 2016/680 (
37
). В това отношение в съображение 23 от тази директива се уточнява, че като се имат предвид комплексният характер и чувствителността на генетичната информация, има голям риск от злоупотреба и повторна употреба за различни цели от страна на администратора. Колкото до съображение 51 от посочената директива, в него се отбелязва, че рискът за правата и свободите на физическите лица може да произтича от обработване на данни, което би могло да доведе до физически, материални или нематериални вреди, по-специално когато се обработват генетични или биометрични данни с цел уникално идентифициране на дадено лице или когато се обработват данни за присъди и престъпления.
41.
Срокът на съхраняването на данните в базата данни на полицията също има значение за констатацията на сериозността на намесата, в смисъл че това съхраняване е възможно, докато е живо осъденото за престъпление лице. На последно място, от член 26, алинея 6 от ЗМВР следва, че личните данни могат да се обменят с компетентни органи и получатели от държави — членки на Европейския съюз, органи и агенции на Европейския съюз, трети държави или международни организации. Във връзка с това следва да се припомни, че целта на Директива 2016/680 е да улесни свободния поток на лични данни между компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления, или изпълнението на наказания, включително предпазването от заплахи за обществената сигурност и тяхното предотвратяване в рамките на Съюза и предаването на тези лични данни на трети държави и международни организации, за да се осигури ефективно съдебно сътрудничество по наказателноправни въпроси и полицейско сътрудничество (
38
). Нека да припомня във връзка с това, че правото на защита на личните данни изисква по-специално да се осигури непрекъснатост на предоставеното от правото на Съюза високо равнище на защита на основните права и свободи при прехвърляне на лични данни от Съюза към трета държава (
39
).
42.
С оглед на всички изложени по-горе съображения следва да се заключи, че в разглежданата в главното производство национална правна уредба има сигурни сериозни намеси в правата, гарантирани в членове 7 и 8 от Хартата, доколкото по-специално с нея се цели създаването на инструмент за непрекъснато съхраняване на чувствителни данни на осъдените за престъпление лица, които могат да преминат границите на съответната държава.
Д. По обосноваването на намесата
43.
Както беше посочено, основните права, закрепени в членове 7 и 8 от Хартата, не са абсолютни и от член 52, параграф 1 от Хартата се установява, че тя допуска ограничения на упражняването на тези права, стига тези ограничения да са предвидени в закон, да зачитат основното съдържание на посочените права и при спазване на принципа на пропорционалност да са необходими и действително да отговарят на признати от Съюза цели от общ интерес или на необходимостта да се защитят правата и свободите на други хора (
40
). Съгласно съображение 26 от Директива 2016/680 правоприлагащите органи могат да извършват дейности за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления, или изпълнението на наказания, включително предпазването от заплахи за обществената сигурност и тяхното предотвратяване, стига те да са предвидени със закон и да представляват необходима и пропорционална мярка в едно демократично общество, като надлежно се вземат под внимание легитимните интереси на засегнатото физическо лице.
44.
Що се отнася до зачитането на принципа на пропорционалност, следва да се припомни, че защитата на основното право на зачитане на личния живот изисква в съответствие с постоянната практика на Съда дерогациите и ограниченията на защитата на личните данни да се въвеждат в границите на строго необходимото, като се има предвид, че когато съществува избор между няколко подходящи мерки, трябва да се прибегне до мярката, която създава най-малко ограничения. Освен това целта от общ интерес не може да се преследва, без да се отчете фактът, че тя трябва да бъде съвместена с основните права, които се засягат от мярката, като се постигне баланс между, от една страна, целта от общ интерес и от друга страна, разглежданите права, за да се гарантира, че причинените от мярката неблагоприятни последици не са непропорционални на преследваните цели. Следователно възможността за оправдаване на ограничаване на гарантираните с членове 7 и 8 от Хартата права трябва да се прецени, като се измери тежестта на намесата, до която води подобно ограничаване, и като се провери дали значението на преследваната с това ограничаване цел от общ интерес е свързано с тази тежест (
41
).
1.
По спазването на принципа на законосъобразност
45.
Изискването всяко ограничение на упражняването на основни права да бъде предвидено в закон означава, че самото правно основание, позволяващо намеса в тези права, трябва да определя обхвата на ограничението при упражняване на съответното право. Също така в това отношение Съдът е постановил, че правната уредба, съдържаща мярка, която позволява подобна намеса, трябва да предвижда ясни и точни правила, които уреждат обхвата и прилагането на разглежданата мярка, и да налага минимални изисквания, така че лицата, чиито лични данни са предадени, да разполагат с достатъчни гаранции, позволяващи ефикасна защита на тези данни срещу рискове от злоупотреба. Следователно правната основа на всяко обработване на лични данни в рамките на обхвата на Директива 2016/680 следва да бъде ясна и точна, както впрочем подчертава законодателят на Съюза в съображение 33 от нея, и прилагането ѝ да бъде предвидимо за правните субекти. По-конкретно, последните трябва да могат да установят обстоятелствата и условията, при които обхватът на предоставените им с посочената директива права може да бъде ограничаван (
42
).
46.
Прегледът на разглежданата национална правна уредба, предоставена в акта за запитване, допълнена със становището на българското правителство, според мен позволява да се приеме, че изискването, свързано с „качеството“ на закона, е изпълнено, като следва да се припомни, че той не изключва съответното ограничение да бъде формулирано в достатъчно широк смисъл, за да може да се адаптира към различни случаи, както и към измененията на положенията (
43
).
47.
Така се установява, че целите на регистрацията и съхраняването на данните в базата данни на полицията, изчерпателно изброени в член 27 от ЗМВР, са защита на националната сигурност, противодействие на престъпността и опазване на обществения ред, като това обработване цели да се улесни оперативно-издирвателната дейност, подробно описана в член 8 от този закон (
44
). Обхватът на обработването, що се отнася до естеството на престъпленията, за които се отнася, съответните данни, условията за тяхното събиране, документалните информационни фондове, в които се обработват, и срока на тяхното съхраняване, е определен достатъчно точно в член 68 от ЗМВР и в член 28 от Наредба за реда за извършване и снемане на полицейска регистрация (наричана по-нататък „НРИСПР“). Националната правна уредба предвижда изрично и в съответствие със съображение 26 от Директива 2016/680 процедури за гарантиране на пълнотата и поверителността на личните данни, както и унищожаването им, посредством предоставяна на субекта на данните информация в съответствие с членове 54 и 55 от Закона за защита на личните данни, по-специално относно правата на същия да иска от администратора на данните достъп до данните, коригирането на същите или изтриването им. В това отношение основанията за заличаване, процедурата и свързаните с нея последици са уточнени в член 68 от ЗМВР и в член 18 и сл. от НРИСПР. Тези разпоредби са формулирани достатъчно точно и ясно, за да позволят на адресатите на закона да съобразят поведението си, и така отговарят на изискването за предвидимост, изведено от практиката на Съда и на ЕСПЧ (
45
).
2.
По зачитането на основните права, гарантирани от членове 7 и 8 от Хартата
48.
Що се отнася до основното съдържание на основното право на зачитане на личния живот, закрепено в член 7 от Хартата, естеството на информацията, съдържаща се в базата данни на полицията, е ограничено до един конкретен аспект на този личен живот относно осъжданията на субекта на данните, което не позволява да се правят изводи общо относно личния живот на това лице като навиците му в ежедневния живот, мястото на постоянно или временно пребиваване, ежедневните му или други пътувания, упражняваните дейности, социалните връзки и социалните кръгове, в които се движи, и по този начин да се установи профилът му. Що се отнася до основното съдържание на правото на защита на личните данни, закрепено в член 8 от Хартата, изложеното по-горе показва, че разглежданата национална правна уредба очертава целите на обработването на личните данни и предвижда изчерпателно изброяване на съхраняваните данни и правила, предназначени да гарантират достъпа до тях, коригирането или изтриването им. При тези условия предвидената в тази правна уредба намеса, каквато е съхраняването на данните, не засяга основното съдържание на основните права, закрепени в посочените по-горе членове (
46
).
3.
По целта от общ интерес и годността на обработването на съответните лични данни от гледна точка на тази цел
49.
Както беше установено в настоящото заключение, личните данни от полицейската регистрация на лицата, осъществена въз основа на член 68 от ЗМВР, се използват за целите на защита на националната сигурност, противодействие на престъпността и опазване на обществения ред. Българското правителство обясни, че личните данни се събират и обработват за целите на наказателното производство, в което субектът на данните е привлечен като обвиняем, както и за да се сравняват с други лични данни, събрани при разследването на други престъпления. Последната посочена цел включва и съпоставянето с данните, събрани в други държави членки (
47
).
50.
Според посоченото правителство това обработване спада към оперативно-издирвателната дейност по член 8 от ЗМВР, чиито цели са описани, както следва: превенция и разкриване на престъпления, заплахи за националната сигурност и нарушения на обществения ред; издирване на лица, които се укриват от привличане към наказателна отговорност или са се отклонили от изтърпяване на наказание по дела от общ характер, както и издирване на безследно изчезнали лица, издирване на вещи, които са предмет или средство за извършване на престъпление или могат да послужат за доказателство, изготвяне и съхраняване на веществени доказателствени средства и предоставянето им на съответните органи на съдебната власт.
51.
Съдът уточнява, че целта за опазване на обществената сигурност е цел от общ интерес за Съюза, която е годна да обоснове дори сериозна намеса в основните права, закрепени в членове 7 и 8 от Хартата. Наред с това защитата на обществената сигурност допринася и за защитата на правата и свободите на други хора. В това отношение член 6 от Хартата закрепва правото на всекиго не само на свобода, но и на сигурност, като тази разпоредба гарантира права, съответстващи на тези по член 5 от ЕКПЧ (
48
). По делото относно съвместимостта на събирането на личните данни, включени в същата база данни на българската полиция, Съдът ясно постановява, че това обработване във връзка с лицата, привлечени като обвиняеми в рамките на наказателно производство за целите на регистрацията им, преследва посочените в член 1, параграф 1 от Директива 2016/680 цели, и по-специално свързаните с предотвратяването, разкриването, разследването и преследването на престъпления, които представляват признати от Съюза цели от общ интерес. Той добавя, че такова събиране може да допринесе за постигането на целта, посочена в съображение 27 от Директива 2016/680, че за целите на предотвратяването, разследването и наказателното преследване на престъпленията компетентните органи имат нужда да обработват лични данни, събрани в контекста на предотвратяването, разследването, разкриването или наказателното преследване на конкретни престъпления, извън този контекст, за да достигнат до разбиране на престъпните действия и да установят връзки между различни разкрити престъпления (
49
). Очевидно тези съображения се отнасят и до мярката за съхраняване на личните данни.
52.
Струва ми се, че трудно може да бъде оспорен фактът, че съхраняването на данните в базата данни на полицията e обработване, което позволява да бъдат постигнати цели от общ интерес по разкриване и вследствие на това на предотвратяване на престъпленията. Очевидно е, че база данни на полицията, съдържаща данни за гражданско състояние, фотографиите, личните биометрични и генетични данни и следователно уникалните и неподлежащи на подправяне физически белези на регистрираните лица, представлява напълно относимо средство за разследване за службите за сигурност за целите на разкриването на престъпленията и идентифицирането на техните извършители. В този смисъл разглежданата национална правна уредба отговаря на обективни критерии, установяващи връзка между подлежащите на запазване лични данни и преследваната цел (
50
).
4.
По необходимостта и пропорционалността на разглежданата намеса
53.
Макар съхраняването на личните данни в разглежданата база данни на полицията очевидно да е годно за постигане на преследваната цел от общ интерес, остава да се провери дали представляващата следствие от това съхраняване намеса в гарантираните с членове 7 и 8 от Хартата права е ограничена до строго необходимото, в смисъл че целта не би могла разумно да се постигне също толкова ефикасно с други средства, които засягат в по-малка степен тези основни права на съответните лица, и дали намесата не е непропорционална на целта, което налага по-конкретно да се съпоставят значението на целта и тежестта на намесата (
51
).
54.
При осъществяването на тази проверка в настоящия случай следва да се вземе предвид целта на базата данни на полицията, естеството на съответните престъпления и броят на лицата, които могат да бъдат регистрирани, особената чувствителност на събраните лични данни и продължителността на съхраняването им, предвидените от националната правна уредба правни и/или технически гаранции за справка в базата данни и контрола за оставянето на личните данни в нея.
а)
По целта на базата данни
55.
В писменото си становище ирландското правителство изтъква по същество, че съхраняването на личните данни би могло да е необходимо за целите на свързан контрол, обслужващ обществения интерес в областта на предотвратяването на престъпността и опазването на обществената безопасност. Така би трябвало да може в информацията в база данни на полицията да се правят справки не само за да се издирват извършителите на престъпления, но и за цели на организацията на администрацията в рамките на проучвания преди вземането на решения за назначаване или оправомощаване във връзка с някои публични или чувствителни длъжности, като целта е да се провери дали поведението на заинтересованите лица не е несъвместимо с упражняването на тези функции.
56.
В съдебното заседание българското правителство потвърди това, което можеше да се изведе от изричния текст на член 27 от ЗМВР, а именно че разглежданата база данни на полицията е инструмент в помощ на съдебните, а не на административните разследвания. Тази констатация има известно значение, що се отнася до последиците, свързани с регистрацията на лице в база данни за минали престъпления, в смисъл че неудобството да бъдеш регистриран не е съпътствано от невъзможност за достъп до определени професионални дейности (
52
). Регистрацията в базата данни на полицията не е нито наказание, нито допълнителна присъда, целта ѝ е ясно ограничена до съдебното разследване и използването ѝ е запазено за служби, които имат задължение за поверителност.
57.
Все пак става въпрос за уникална база данни, която се използва за особено широки цели на организацията на правораздавателната дейност, съдържаща разнообразна информация от обикновени сведения за гражданско състояние до биометрични и генетични данни и включваща лица, които нямат еднакъв процесуален статут. В други правни уредби е преценено, че е за предпочитане вместо едно-единствено обработване, включващо цялата информация, да се предвидят множество полицейски бази данни, преследващи специфични цели, използвани само за една цел и регистриращи един вид данни.
б)
По престъпленията и субектите на данните
58.
Съхраняването на личните данни в базата данни на полицията се отнася до лицата, привлечени като обвиняеми и осъдени за умишлени престъпления от общ характер, което означава, че обвинението се повдига и поддържа от прокурора. Според обясненията на българското правителство от тази категория са изключени неумишлените престъпления, престъпленията от частен характер, както и някои престъпления, за които е наложено административно наказание. Вече беше отбелязано, че повечето от предвидените в наказателния кодекс престъпления са умишлени и почти всички са от общ характер (
53
).
59.
Налага се изводът, че в националната правна уредба не се визират ограничително изброени престъпления, не се прави разграничение според естеството им, самото то свързано с тежестта на деянието и приложимото наказание, нито се възприема критерий, свързан с точен размер на наказание лишаване от свобода. Следователно в една-единствена обширна съвкупност са групирани различни престъпни поведения, разбира се, с резервата, свързана с необходимостта от умисъл, като форма на вината, което a priori води до изключване на леките престъпления, за които е достатъчно реалното извършване на инкриминираното деяние (
54
) както и престъпленията, за които е характерна вина под формата на обикновена непредпазливост или небрежност. Поканено в съдебното заседание да уточни съдържанието на тази съответна категория престъпления, българското правителство за съжаление само обясни, че не става въпрос само за престъпления, за които се предвижда наказание не по-малко от пет години лишаване от свобода.
60.
Що се отнася до субектите на данни, следва да се отбележи, че инкриминираното обработване на личните данни е ограничено с оглед на възрастта на субектите на данни, тъй като от член 4 от НРИСПР следва, че непълнолетните лица не подлежат на полицейска регистрация, което намалява съответно броя на регистрираните в тази база данни лица. Разглежданата мярка прави разграничение между две категории лица, а именно лицата, привлечени като обвиняеми, и осъдените за престъпление лица. Визираните по този начин лица са предварително идентифицирани в рамките на приложимите национални процедури и въз основа на обективни и недискриминационни критерии като заплаха за обществената сигурност и за опазването на обществения ред. Държавите членки имат възможност да приемат мерки за запазване по отношение на лица, които — във връзка с такова идентифициране — са привлечени като обвиняеми, тоест на една категория лица, за които има сериозни основания да се смята, че са извършили престъпление или са осъдени, което означава, че тяхната наказателна отговорност е доказана, положения, при които може да има висок риск от рецидив (
55
). Рецидивът, разбиран в най-широкия обикновен смисъл като повторение на престъпление, е явление, което всяка държава членка се опитва да измери и да разбере кои са определящите го фактори, деликатна задача, тъй като зависи от наличието на обективни и надеждни статистически данни относно престъпността. Когато съществуват, те могат да разкрият, че криминалното минало е важен определящ фактор за рецидива (
56
).
61.
Важно е също да се подчертае, че лицата, привлечени като обвиняеми, и техните лични данни трябва да „изчезнат“ от базата данни на полицията, когато наказателното производство по отношение на тях приключи с решение за прекратяване или с оправдателна присъда съгласно текста на член 68 от ЗМВР, което, разбира се, се отразява на броя на регистрираните лица в базата данни на полицията, който българското правителство не беше в състояние да съобщи (
57
).
в)
По естеството на данните и срока за съхраняване
62.
Що се отнася до разглежданите данни, Съдът е постановил, че с оглед на засилената защита на лицата при обработването на чувствителни данни администраторът трябва да се увери, че тази цел не може да бъде постигната чрез използване на категории данни, различни от изброените в член 10 от Директива 2016/680 (
58
). Както беше изложено, естеството на данните, които се предвижда да бъдат съхранени, очевидно е такова, че те явно могат да допринесат за предотвратяването, разкриването или преследването на престъпленията, спадащи към борбата с престъпността и опазването на обществения ред. Също така ми се струва трудно да се приеме, че тези цели могат да бъдат постигнати също толкова ефикасно само въз основа на сведения за гражданско състояние или на фотографии на съответното лице, без да се ограничи прекомерно възможността на разследващите органи да разкриват престъпленията въз основа на сравнение на данните, събрани в хода на разследването, с тези, регистрирани в базата данни на полицията по повод на предишни разследвания (
59
). За щастие отдавна е отминало времето, когато самопризнанието се е считало за царица на доказателствата, тъй като данните, събрани от полицейските технически и научни служби, с предимство заместиха в доказателствената йерархия доказателство, което се нуждае от потвърждаване. Може следователно да се заключи, че съответните данни са както относими, така и не прекомерни от гледна точка на възложените на обработването цели.
63.
Следва да се отбележи, от друга страна, липсата в разглежданата националната правна уредба на точно определен максимален срок за съхранение на регистрираната в базата данни информация, като личните данни се съхраняват само докато трае производството, завършващо с решение за прекратяване или с оправдателна присъда, за някои лица, привлечени като обвиняеми, или докато са живи, за осъдените с влязла в сила присъда лица. Според дадените в съдебното заседание обяснения от българското правителство, което юрисдикцията ще трябва да провери, снемането става служебно при смъртта на субекта на данните, като наследниците освен това имат правото да искат снемането на регистрацията съгласно член 68, алинея 6 от ЗМВР. Трябва ли да се счита, че това положение отговаря, във връзка с текста на член 5 от Директива 2016/680, на липсата на определяне на подходящ срок за изтриването на личните данни в смисъл, че понятието за срок трябва задължително да отговаря на период, определен в години, месеци или дни? Ако това е така, същата посочена разпоредба би трябвало да предполага като алтернатива определянето в националната правна уредба на срокове за периодична проверка на необходимостта от съхраняване на тези данни (
60
).
64.
Що се отнася до личните данни на лицата, привлечени като обвиняеми, и с оглед на решението на българския законодател при липсата на осъдителни присъди да не ги съхранява след приключването на образуваното срещу тях производство, срокът му, по необходимост алеаторен, изобщо не дава други възможности освен да се предвиди един формален краен срок, за да се предотврати прекомерна продължителност на производството. Колкото до осъдените лица, считам, че споменаването на смъртта е точно посочване на ограничаване във времето, свързано с биологичния живот на субекта на данните, изключващо всяка квалификация като неопределен или неограничен на срока за съхраняването на личните данни (
61
). Изтичането на срока на съхраняването е предопределено, дори ако точната дата по дефиниция не е определена. При всяко положение отбелязвам, че в съдебното заседание българското правителство обясни, че има периодична вътрешна проверка на регистрацията в базата данни, която в случая се прави на всеки три месеца, което отговаря на изискванията по член 5 от Директива 2016/680.
65.
Остава безспорен фактът, че в зависимост от възрастта, на която съответното лице е регистрирано в базата данни, и на смъртта му съхраняването може да се окаже много дълго, с продължителност, по-голяма от предвидената за установяването на рецидив или от срока на давността за погасяване на наказателното преследване за най-тежкото престъпление (
62
). Тази продължителност на съхраняването обаче е обоснована от целта на обработването във връзка с организирането на правораздавателната дейност, събирането на улики и доказателства с оглед на идентифицирането на извършителите на минали или бъдещи престъпления, като се има предвид, че присъщият на престъпленията риск, независимо дали те са тежки, или не, е общ и постоянен (
63
). Решаването, понякога много закъсняло, на някои неизяснени случаи показва едновременно голямата трудност, с която трябва да се справят разследващите служби, и релевантността на дългосрочното съхраняване на биометричните и генетичните данни, събрани в базите данни (
64
).
г)
По съществуването на правни и технически гаранции в областта на съхраняването и достъпа до личните данни
66.
Пропорционалността на намесата, която предполага съхраняването на личните данни, намиращи се в базата данни на полицията, не може да се изследва независимо от правилата, уреждащи достъпа до тази база данни, и контрола на обосноваването на запазването им в тази база данни. Според ЕСПЧ, когато държава възлага най-широки правомощия за съхраняване за неопределен срок, съществуването и функционирането на някои ефективни гаранции става определящо. Така във вътрешното право трябва да има гаранции, годни да опазят ефективно записаните лични данни от неприсъщо използване и злоупотреба и да позволят премахването на тези данни щом продължаващото им съхраняване стане непропорционално, по-специално като се предостави конкретна възможност за подаване на заявление за изтриване на запаметените данни (
65
).
1) По условията за справки в базата данни
67.
От съображения 28, 56 и 57 от Директива 2016/680, както и от членове 24, 25 и 29 от нея следва, че държавите членки трябва да вземат мерки личните данни да се обработват по начин, който гарантира подходящо ниво на сигурност и поверителност, включително предотвратяване на неразрешен достъп или използване на личните данни и оборудването, използвано за обработването. Тези мерки включват поддържането от администратора на регистри, въз основа на които при поискване от надзорния орган да може да даде информация относно осъщественото обработване на личните данни, както и записи за някои операции по обработване като справки, предаване и изтриване. Съгласно съображение 60 от Директива 2016/680, след като извърши оценка на рисковете, свързани със съответното обработване, администраторът трябва да прилага мерки за ограничаване на тези рискове, по-специално на тези, свързани с неправомерно разкриване или неправомерен достъп до личните данни.
68.
В съдебното заседание българското правителство съобщи, че тези изисквания се спазват от националната правна уредба, като посочи съществуването на съвкупност от норми, предвиждащи по-специално изготвянето на списъци с имена на служители, които имат достъп до личните данни, необходимостта всеки, който ги ползва, да посочи основанието на правото си на достъп, самоличността си, датата и часа на достъпа (
66
). Тези гаранции относно кръга на лицата, които имат право да правят справки в базата данни, и реда и условията за справки в нея, изглежда, могат да предотвратят злоупотребите и измамите при използването при достъп до базите данни и по този начин прекомерно засягане на основните права закрепени в членове 7 и 8 от Хартата, което запитващата юрисдикция ще следва да провери.
2) По контрола на запазването на личните данни в базата данни
69.
Безспорно е, че посоченият по-горе контрол, така както е предвиден в член 68, алинея 6 от ЗМВР, има двойнствена природа, тъй като се осъществява служебно от компетентните органи под формата на самоконтрол и въз основа на мотивирано искане на заинтересованото лице или на неговите наследници, като основанията за снемане на регистрация в базата данни и в двата случая са изброени изчерпателно в тази разпоредба. Тези основания не включват положението на лице, което е реабилитирано, в резултат на което съответното осъждане е заличено от съдебното му досие и само основанието, посочено в член 68, алинея 6, точка 1 от ЗМВР, относно регистрация, извършена в нарушение на закона, може да обоснове искането за снемане на регистрацията на осъдено за престъпление лице, подадено, както в настоящия случай, приживе и следователно преди изтичане на законния срок за съхраняване, определен като момента на неговата смърт.
70.
Запитано в съдебното заседание относно обхвата на член 68, алинея 6 от ЗМВР, с оглед на прилагането ѝ от компетентните органи и юрисдикции, българското правителство уточни, че тази разпоредба позволява да се измени регистрация на лице, привлечено като обвиняем, станала неточна, след изменение на квалификацията на престъплението от съда. То изключи всяка възможност за изтриване на регистрация в базата данни след реабилитация на осъденото лице. Ще припомня във връзка с това, че тази база данни представлява инструмент за разследване, целящ да улесни оперативната дейност по организацията на правораздавателната дейност, а не, точно казано, база данни за минали осъждания както съдебното досие. Тези два инструмента нямат една и съща цел, единият е памет в услуга изключително на разследващите, за да им позволи в дългосрочен план да разкриват минали или бъдещи престъпления, а предназначението на другия е да насочва работата на съдиите при постановяване на наказателната санкция по конкретно дело. Така, като се ползва от реабилитацията, довела до изтриване на съответното осъждане от съдебното досие, лицето би могло евентуално да се окаже в положението на извършило престъпление за първи път, което може да се ползва от по-леки наказания или от намаляване на наказанието. При все това съхраняването на неговите данни в базата данни остава по принцип необходимо с оглед на по-широката цел на същата относно, разкриването, разрешаването и предотвратяването на престъпленията.
71.
Освен това от становището на българското правителство се установява, че посоченото в член 68, алинея 6, точка 1 от ЗМВР основание не включва преценка на необходимостта от съхраняването на личните данни в неговото времево измерение. Изглежда, че няма никаква разпоредба в националната правна уредба, нито административна или съдебна практика, която да позволява на компетентния орган в рамките на тримесечните проверки да снеме регистрацията в базата данни или на засегнатото лице да поиска изтриването им, ако съхраняването на личните данни вече не изглежда необходимо с оглед на изминалото време от регистрацията. Изглежда, че запитващата юрисдикция, която трябва да разгледа законосъобразността на решението за отхвърляне на искането за снемане, също не е в състояние да направи такава преценка.
Е. Междинно заключение
72.
Може ли да се приеме, че описаните по-горе критерии, използвани за целите на съхраняването на личните данни, са достатъчно определени, пропорционални и конкретни и че разглежданото обработване на личните данни зачита границите на строго необходимото или на абсолютната необходимост? Съдът би могъл да даде отрицателен отговор на този въпрос поради следните причини.
73.
Важно е на първо място да се подчертае, че проблематиката във връзка с необходимостта от съхраняване на личните данни се поставя особено остро, когато обработването им е разрешено, както в случая с превантивни цели. В това отношение истинският критерий, който обосновава регистрацията и съхраняването на личните данни в разглежданата база данни на полицията, е опасността, която представляват съответните лица, което предполага оценка на рисковете. В настоящия случай се налага констатацията, че тази оценка приключва само с установяването на наличието на подозрение или на доказано извършване на умишлено престъпление, не много конкретен критерий, ако изобщо е такъв, що се отнася до елемент от състава на престъпленията, дори до самото основание на наказателната отговорност. Затова ми се струва, че националният режим на съхраняване отчита минимална степен на тежест на престъплението и обхваща едно голямо разнообразие от нарушения на обществения ред, без a priori да се изисква санкция състояща се в наказание лишаване от свобода, което позволява да се смята, че той се прилага независимо от естеството или тежестта на престъплението (
67
). Припомням, че Съдът е приел, че българското законодателство, като разглежданото в главното производство, което предвижда събиране на биометрични и генетични данни от всяко лице, привлечено като обвиняем за умишлено престъпление от общ характер, по принцип е в противоречие с изискването по член 10 от Директива 2016/680, понеже може да доведе до неизбирателно и общо събиране на биометрични и генетични данни за повечето лица, които са привлечени като обвиняеми, тъй като понятието „умишлено престъпление от общ характер“ е особено широко и може да се прилага към голям брой престъпления, независимо от естеството и тежестта им (
68
).
74.
Ако статистически проучвания могат да покажат, че криминалното минало е важна определяща характеристика на рецидива, те подчертават също наличието на обективни фактори, увеличаващи риска от рецидив, свързани по-специално с пола, възрастта и естеството на първото престъпление, със сроковете на повтаряне на престъпното поведение и с факта, че престъплението, което е рецидив, е много свързано с естеството на престъплението довело до задържането (
69
). Като се възприеме обаче като критерий за съхраняването на личните данни до смъртта на заинтересованото лице всяко осъждане за умишлено престъпление, включително първото (
70
), се оказва, че логиката в основата на обработването на тези данни е логика на особено разширено разбиране за пътя на престъпността, независимо дали става въпрос както за естеството и/или тежестта на престъпните деяния, така и за възрастта на престъпника. Както ЕСПЧ, можем да си зададем въпроса дали, доведена по някакъв начин до крайност, този вид логика на практика не оправдава събирането на информация за цялото население и за починалите роднини, което би било със сигурност прекомерно и ирелевантно (
71
). Отбелязвам, че Съдът приема, че обстоятелството, че дадено лице е привлечено като обвиняем за умишлено престъпление от общ характер, само по себе си не позволява да се презумира, че събирането на биометрични и генетични данни е абсолютно необходимо с оглед на целите, които то преследва (
72
).
75.
На второ място, се оказва, че личните данни се съхраняват без оглед на необходимостта да бъдат запомняни до смъртта на съответното лице. С оглед на текста на член 68, алинея 6 от ЗМВР и тълкуването, което му се прави, компетентните органи са оправомощени да изтриват личните данни само при изключителни обстоятелства, без връзка с изменението на положението на това лице след регистрацията в базата данни. Логично същото се отнася за предвиденото в същия текст мотивирано писмено искане за снемане, което има на разположение това лице, което не е достатъчно ефективно, тъй като не позволява да се провери дали срокът на съхраняване на личните данни е пропорционален на съответната цел за намеса. Тази преценка би трябвало да взема предвид различни критерии, като естеството и тежестта на установените факти, изминалото след осъществяването им време, законния срок на съхраняването, който не е изтекъл, или възрастта на заявителя в случая, и то от гледна точка на личното му положение, що се отнася до възрастта, на която е извършил деянието, неговото поведение оттогава (социална интеграция, обезщетяване на пострадалите лица), неговата личност, реабилитацията, която в този контекст може да бъде елемент от общата преценка. При тези обстоятелства контролът, с който разполага по-специално регистрираното в базата данни лице, се оказва толкова ограничен, че е почти хипотетичен (
73
).
76.
Направените по-горе констатации трябва да се свържат с факта, че чувствителни лични данни могат да бъдат съхранявани в продължение на много дълъг срок и че разглежданата база данни може да предложи на ползвателите си функции във връзка с използването им, по-специално за идентифициране, анализ и съпоставяне, представляващи много голяма намеса. Следва да се отбележи, че съгласно член 68, алинея 3 от ЗМВР за целите на полицейската регистрация полицейските органи: изземват образци за „ДНК профил“ на лицата, фотографират ги, като по отношение на снимките може да се приложи техниката на лицево разпознаване.
V. Заключение
77.
С оглед на изложените по-горе съображения предлагам на Съда да отговори на Върховен административен съд (България) както следва:
„Членове 4, 5, 8, 10 и член 16, параграф 2 от Директива (ЕС) 2016/680 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания и относно свободното движение на такива данни, и за отмяна на Рамково решение 2008/977/ПВР на Съвета, във връзка със и в светлината на член 52, параграф 1 от Хартата на основните права на Европейския съюз,
трябва да се тълкуват в смисъл, че
не допускат национално законодателство, което предвижда съхраняването в база данни на полицията на лични данни, включително биометричните и генетичните данни на всяко лице, осъдено за умишлено престъпление, без друга диференциация с оглед на естеството или тежестта на престъплението, и то до смъртта на лицето, без възможност за контрол на запазването на съдържащите се в нея лични данни с оглед на времето, изминало след регистрацията им, и евентуално за последващо уважаване на искане за изтриването им.
Проверката на пропорционалността на продължителността на съхраняването на личните данни спрямо целта на обработването с оглед на положението на осъденото лице, може да включва неговата реабилитация“.
(
1
)	Език на оригиналния текст: френски.
(
2
)	Директива на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването и разкриването или наказателното преследване на престъпления или изпълнението на наказания и относно свободното движение на такива данни, и за отмяна на Рамково решение 2008/977/ПВР на Съвета (ОВ L 119, 2016 г., стр. 89).
(
3
)	Регламент на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) (ОВ L 119, 2016 г., стр. 1, наричан по-нататък „ОРЗД“).
(
4
)	Вж. в този смисъл решение от 22 юни 2021 г., Latvijas Republikas Saeima (Точки за пътнотранспортни нарушения) (C‑439/19, EU:C:2021:504, т. 61—67). В решение от 5 април 2022 г., Commissioner of An Garda Síochána и др. (C‑140/20, EU:C:2022:258, т. 61), Съдът уточнява, че целта за опазване на националната сигурност съответства на първостепенния интерес от защита на съществените функции на държавата и основните интереси на обществото чрез предотвратяването и преследването на дейности, които могат сериозно да дестабилизират основните конституционни, политически, икономически или социални структури на дадена страна, и по-специално да заплашват пряко обществото, населението или самата държава, като например терористични дейности.
(
5
)	Наистина, на практика осъществяването на такава проверка може да изглежда деликатно при наличието на една-единствена база данни на полицията, с всякаква информация, тъй като регистрацията и съхраняването на личните данни се подчиняват на едновременно ретроспективна и перспективна логика, като не се поддават задължително на обективна диференциация на разглежданите обработвания въз основа на достатъчно точна цел.
(
6
)	Решение от 26 януари 2023 г., Министерство на вътрешните работи (Регистрация на биометрични и генетични данни от полицията) (C‑205/21, EU:C:2023:49, т. 135). Отбелязвам, че преди това Съдът се е произнесъл по въпрос относно съвместимостта на член 52, параграф 1 от Хартата с българската правна уредба, която има една особеност — позовава се на ОРЗД и на разпоредба от вътрешното право, с която се транспонира член 10 от Директива 2016/680, без последната да се сочи формално. Съдът постановява, че обработването на биометрични и генетични данни от полицейските органи във връзка с тяхната информационна дейност за целите на борбата с престъпността и поддържането на обществения ред е разрешено съгласно правото на държава членка по смисъла на член 10, буква а) от тази директива, когато правото на тази държава членка съдържа достатъчно ясно и точно правно основание за разрешаване на посоченото обработване, като споменатото по-горе двойно позоваване само по себе си не може да постави под въпрос наличието на такова разрешаване, щом от тълкуването на всички приложими разпоредби на националното право достатъчно ясно, точно и недвусмислено следва, че разглежданото обработване на биометрични и генетични данни попада в приложното поле на Директивата, а не на ОРЗД.
(
7
)	Решение от 8 май 2019 г., PI (C‑230/18, EU:C:2019:383, т. 42).
(
8
)	В случая няма спор относно спазването на член 4, параграф 1, буква б) от Директива 2016/680, според който личните данни са събирани за конкретни, изрично указани и легитимни цели и не се обработват по начин, който е несъвместим с тези цели; доколкото целта на следващата събирането на данните обработка, каквото е запазването им, е идентична на целта на събирането им.
(
9
)	Член 26 от ЗМВР гласи, че сроковете за съхранение на данните или за периодична проверка на необходимостта от съхранението им се определят от министъра на вътрешните работи. В съдебното заседание българското правителство обясни, че тази проверка се прави на всеки три месеца.
(
10
)	Решение от 22 юни 2021 г., Latvijas Republikas Saeima (Точки за пътнотранспортни нарушения) (C‑439/19, EU:C:2021:504, т. 105).
(
11
)	Отбелязвам, че член 18 от Директива 2016/680, според който държавите членки могат да предвидят упражняването на правата, посочени по-специално в член 16, да се извършва в съответствие с правото на държава членка, когато личните данни се съдържат в съдебно решение, регистър или досие, обработвани в хода на наказателно разследване и наказателно производство, не ми се струва релевантен, тъй като спорната база данни е инструмент за улесняване на оперативната дейност на разследващите органи, подчинени на министъра на вътрешните работи, а не е инструмент на правораздавателната дейност в тесен смисъл от вида на посочените по-горе.
(
12
)	Вж. в този смисъл решения от 25 февруари 2021 г., Комисия/Испания (Директива за личните данни — Наказателно право) (C‑658/19, EU:C:2021:138, т. 75), и от 1 август 2022 г., Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2022:601, т. 61).
(
13
)	Вж. по аналогия решение от 1 август 2022 г., Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2022:601, т. 62 и 69).
(
14
)	Вж. по аналогия решение от 22 юни 2021 г., Latvijas Republikas Saeima (Точки за пътнотранспортни нарушения) (C‑439/19, EU:C:2021:504, т. 98).
(
15
)	Вж. в този смисъл решения от 7 май 2009 г., Rijkeboer (C‑553/07, EU:C:2009:293, т. 33), и от 13 май 2014 г., Google Spain и Google (C‑131/12, EU:C:2014:317, т. 92).
(
16
)	Вж. по аналогия решение от 20 октомври 2022 г., Digi (C‑77/21, EU:C:2022:805, т. 54).
(
17
)	Тази проблематика се разглежда и в съображение 26 и в член 4, параграф 3 от Директива 2016/680, от които се установява, че законодателят на Съюза е допускал, че е възможно продължително съхраняване на лични данни, архивирани в обществен интерес за научни, статистически или исторически цели, посочени в член 1, параграф 1 от тази директива, при условие че има подходящи гаранции за правата и свободите на субекта на данните. В настоящия случай положението не е такова, тъй като съхраняването на личните данни в базата данни на полицията има чисто оперативно предназначение, а именно улесняване на дейността на разследващите служби за целите на разкриването престъпленията.
(
18
)	Можем да се запитаме дали в член 5 от Директива 2016/680 не се крие форма на вътрешно присъщо логическо противоречие. Всъщност в съответствие с тази разпоредба може да има обработвани от репресивните служби лични данни, за които не би било подходящо да се предвиждат срокове с оглед на тяхното изтриване, но в такова положение на неопределено от гледна точка на времето съхраняване се изисква да се предвиди редовна проверка от компетентните органи на необходимостта да се съхранят тези данни и възможност за изтриване, ако съхраняването вече не е оправдано с оглед на целта на обработването. Може все пак да се разбере и да се приеме, че легитимната цел е да се предвиди коректив, предназначен да предотвратява злоупотребите при прилагането на средства за намеса.
(
19
)	Настоящото дело се отнася до пълен отказ за изтриване, мотивите за който трябва да бъдат съобщени на жалбоподателя съгласно член 16, параграф 4 от Директива 2016/680, който все пак предвижда, че държавите членки могат да приемат законодателни мерки, които ограничават изцяло или частично това задължение, по-специално за да не се допусне неблагоприятно влияние върху предотвратяването, разкриването, разследването или наказателното преследване.
(
20
)	Решение от 26 януари 2023 г., Министерство на вътрешните работи (Регистрация на биометрични и генетични данни от полицията) (C‑205/21, EU:C:2023:49, т. 116—118). Трябва ли с оглед на тези съображения да се разбира, че Съдът обуславя законосъобразността на обработването на чувствителни данни в рамките на Директива 2016/680 от спазването на критерий, който е по-строг от обичайно възприемания за всеки вид данни в практиката на Съда в областта на защитата на личните данни, свързан със зачитането на рамките на „строго необходимото“ от съответното обработване? В отговор на забележка на френското правителство относно обстоятелството, че в текста на член 10 от Директива 2016/680 на някои езици се визират случаите, в които обработването на данни е „строго необходимо“, Съдът отговаря в точка 119 от това решение, че тази разлика в използвания термин не променя естеството на така посочения критерий, нито степента на строгост на изискването, тъй като текстовете на тези езици също определят по-строго условие, за да бъде разрешено обработването на чувствителни данни, което предполага по-строга преценка на необходимостта от него, отколкото когато обработваните данни не попадат в приложното поле на посочения член. Остава възможността да си задаваме въпроси относно това концептуално разграничение в степента на интензивност на необходимостта от обработването и трудността на прилагането по конкретно дело.
(
21
)	Вж. по-специално решения от 6 октомври 2020 г., La Quadrature du Net и др. (C‑511/18, C‑512/18 и C‑520/18, EU:C:2020:791), и от 5 април 2022 г., Commissioner of An Garda Síochána и др. (C‑140/20, EU:C:2022:258).
(
22
)	Директива на Европейския парламент и на Съвета от 12 юли 2002 година относно обработката на лични данни и защита на правото на неприкосновеност на личния живот в сектора на електронните комуникации (Директива за правото на неприкосновеност на личния живот и електронни комуникации) (ОВ L 201, 2002 г., стр. 37; Специално издание на български език, 2007 г., глава 13, том 36, стр. 63).
(
23
)	Становище 1/15 (Споразумение PNR ЕС—Канада) от 26 юли 2017 г. (EU:C:2017:592), и решение от 21 юни 2022 г., Ligue des droits humains (C‑817/19, EU:C:2022:491).
(
24
)	Становище 1/15 (Споразумение PNR ЕС—Канада) от 26 юли 2017 г. (EU:C:2017:592, т. 132, 204 и 205).
(
25
)	Директива на Европейския парламент и на Съвета от 27 април 2016 година относно използването на резервационни данни на пътниците с цел предотвратяване, разкриване, разследване и наказателно преследване на терористични престъпления и тежки престъпления (ОВ L 119, 2016 г., стр. 132)
(
26
)	Решение от 5 април 2022 г., Commissionner of An Garda Síochána и др. (C‑140/20, EU:C:2022:258, т. 35—37). Същото важи и що се отнася до сравнението с предвидения в ОРЗД правен режим.
(
27
)	Tinière, R. Jurisprudence de la CJUE 2020, décisions et commentaires, Bruylant, Bruxelles, 2021, 130—139.
(
28
)	Решения от 5 април 2022 г., Commissionner of An Garda Síochána и др. (C‑140/20, EU:C:2022:258, т. 56—59), и от 21 юни 2022 г., Ligue des droits humains (C‑817/19, EU:C:2022:491, т. 148).
(
29
)	Решение от 21 юни 2022 т., Ligue des droits humains (C‑817/19, EU:C:2022:491, т. 148).
(
30
)	Вж. в този смисъл решение от 8 декември 2022 г., Инспектор в Инспектората на Висшия съдебен съвет (Цели на обработването на лични данни — Разследване на престъпление) (C‑180/21, EU:C:2022:967, т. 57 и 58).
(
31
)	Решение от 8 декември 2022 г., Google (Премахване от резултатите при търсене, на съдържание, за което се твърди, че е неистинно) (C‑460/20, EU:C:2022:962, т. 59).
(
32
)	ЕСПЧ, 22 юни 2017 г., Aycaguer с/у Франция (CE:ECHR:2017:0622JUD000880612, § 33, 34 и 38), и ЕСПЧ, 18 септември 2014 г., Brunet с/у Франция (CE:ECHR:2014:0918JUD002101010, § 35).
(
33
)	ЕСПЧ, 4 юни 2013 г., Peruzzo и Martens с/у Германия (CE:ECHR:2013:0604DEC000784108, § 46), и ЕСПЧ, 13 февруари 2020 г., Gaughran с/у Обединеното кралство (CE:ECHR:2020:0213JUD004524515, § 88).
(
34
)	Вж. по аналогия становище 1/15 (Споразумение PNR EС—Канада) от 26 юли 2017 г. (EU:C:2017:592, т. 122 и 123), и решение от 21 юни 2022 г., Ligue des droits humains (C‑817/19, EU:C:2022:491, т. 94 и 95).
(
35
)	ЕСПЧ, 22 юни 2017 г., Aycaguer с/у Франция (CE:ECHR:2017:0622JUD000880612, § 33).
(
36
)	Вж. по аналогия, решение от 5 април 2022 г., Commissionner of An Garda Síochána и др. (C‑140/20, EU:C:2022:258, т. 44).
(
37
)	Решение от 26 януари 2023 г., Министерство на вътрешните работи (Регистрация на биометрични и генетични данни от полицията) (C‑205/21, EU:C:2023:49, т. 127).
(
38
)	Вж. съображение 4 и 7 от Директива 2016/680.
(
39
)	Становище 1/15 (Споразумение PNR ЕС—Канада) от 26 юли 2017 г. (EU:C:2017:592, т. 134).
(
40
)	Решение от 6 октомври 2020 г., Privacy International (C‑623/17, EU:C:2020:790, т. 63 и 64).
(
41
)	Вж. в този смисъл решения от 6 октомври 2020 г., Privacy International (C‑623/17, EU:C:2020:790, т. 67), и от 22 ноември 2022 г., Luxembourg Business Registers (C‑37/20 и C‑601/20, EU:C:2022:912, т. 64).
(
42
)	Решения от 6 октомври 2020 г., Privacy International (C‑623/17, EU:C:2020:790, т. 65), и от 24 февруари 2022 г., Valsts ieņēmumu dienests (Обработка на лични данни за данъчни цели) (C‑175/20, EU:C:2022:124, т. 54—56). Вярно е, че такава проверка намира място в решения на Съда в рамките на подробен анализ на пропорционалността на ограничението, когато не е съвместно разгледано от два различни аспекта, свързани със зачитането на принципите на законосъобразност и на пропорционалност (решение от 21 юни 2022 г., Ligue des droits humains (C‑817/19, EU:C:2022:491, т. 114 и 117). В тази част от настоящото заключение ще се спра на проверката на изискването за предвидимост stricto sensu.
(
43
)	Решение от 21 юни 2022 г., Ligue des droits humains (C‑817/19, EU:C:2022:491, т. 114).
(
44
)	Вж. точки 33—35 от становището на българското правителство.
(
45
)	Вж. в този смисъл решение от 20 май 2003 г., Österreichischer Rundfunk и др. (C‑465/00, C‑138/01 и C‑139/01, EU:C:2003:294, т. 77).
(
46
)	Вж. по аналогия Становище 1/15 (Споразумение PNR ЕС—Канада) от 26 юли 2017 г. (EU:C:2017:592, т. 150) и, a contrario, решение от 22 ноември 2022 г., Luxembourg Business Registers (C‑37/20 и C‑601/20, EU:C:2022:912, т. 51).
(
47
)	Решение от 26 януари 2023 г., Министерство на вътрешните работи (Регистрация на биометрични и генетични данни от полицията) (C‑205/21, EU:C:2023:49, т. 99).
(
48
)	Становище 1/15 (Споразумение PNR ЕС—Канада) от 26 юли 2017 г. (EU:C:2017:592, т. 149), и решение от 6 октомври 2020 г., La Quadrature du Net и др. (C‑511/18, C‑512/18 и C‑520/18, EU:C:2020:791, т. 123).
(
49
)	Решение от 26 януари 2023 г., Министерство на вътрешните работи (Регистрация на биометрични и генетични данни от полицията) (C‑205/21, EU:C:2023:49, т. 97 и 98). В контекста на позитивното задължение, произтичащо от член 2 от ЕКПЧ ЕСПЧ отбелязва, че общественият интерес да се разследват и евентуално да бъдат преследвани и осъдени лицата, извършили незаконни деяния, много години след настъпването на фактите е категорично признато (ЕСПЧ, 12 юни 2014 г., Jelić с/у Хърватия, CE:ECHR:2014:0612JUD005785611, § 52).
(
50
)	Вж. в този смисъл решение от 5 април 2022 г., Commissionner of An Garda Síochána и др. (C‑140/20, EU:C:2022:258, т. 55).
(
51
)	Решение от 22 ноември 2022 г., Luxembourg Business Registers (C‑37/20 и C‑601/20, EU:C:2022:912, т. 66).
(
52
)	Поначало регистрацията в базата данни не води до никакво положително задължение за съответното лице.
(
53
)	Решение от 26 януари 2023 г., Министерство на вътрешните работи (Регистрация на биометрични и генетични данни от полицията) (C‑205/21, EU:C:2023:49, т. 78).
(
54
)	Чести престъпления в областта на свързаната с движението по пътищата престъпност.
(
55
)	Вж. по аналогия решение от 5 април 2022 г., Commissionner of An Garda Síochána и др. (C‑140/20, EU:C:2022:258, т. 77 и 78). Отбелязвам, че в решение от 21 юни 2022 г., Ligue des droits humains (C‑817/19, EU:C:2022:491, т. 198), Съдът приема, че от Директива 2016/681 следва, че критериите, използвани за целите на предварителната оценка на пътниците, трябва да бъдат определени така, че да бъдат насочени конкретно към лицата, за които би могло да има разумно съмнение за участие в терористични престъпления или в посочени в тази директива тежки форми на престъпност.
(
56
)	Според бюлетин Infostat Justice № 183 от 2 юли 2021 г. на френското министерство на правосъдието „Да се измерят и разберат определящите фактори за рецидива на излизащите от затвора“ за 86 % от излизащите от затвора през 2016 г. преди осъждането, заради което са били задържани, вече е имало отразено едно осъждане в съдебното им досие. Равнището на рецидива нараства с броя на предишните осъждания: само 14 % от излизащите след задържане, които не са имали нито една присъда през петте години преди тази, която ги е отвела в затвора, рецидивират в рамките на една година, срещу 23 % от тези, които са имали една присъда, и 63 % от тези, които са били осъдени поне десет пъти.
(
57
)	Впрочем тази констатация отразява зачитането от този разпоредба на член 6 от Директива 2016/680, който задължава администратора, когато е приложимо и доколкото е възможно, да прави ясно разграничение между личните данни на различни категории субекти на данни, така че да не се налага, независимо от категорията към която принадлежат, лицата да понасят една и съща намеса в тяхното основно право на защита на личните им данни (решение от 26 януари 2023 г., Министерство на вътрешните работи (Регистрация на биометрични и генетични данни от полицията) (C‑205/21, EU:C:2023:49, т. 83).
(
58
)	Решение от 26 януари 2023 г., Министерство на вътрешните работи (Регистрация на биометрични и генетични данни от полицията) (C‑205/21, EU:C:2023:49, т. 126).
(
59
)	Вж. по аналогия решение от 26 януари 2023 г., Министерство на вътрешните работи (Регистрация на биометрични и генетични данни от полицията) (C‑205/21, EU:C:2023:49, т. 100). Да отбележим също, че минаването на времето неизбежно ще бъде пречка за намирането на свидетелите и за тяхната способност да си припомнят събитията.
(
60
)	Член 31 от Регламент (ЕС) 2016/794 на Европейския парламент и на Съвета от 11 май 2016 година относно Агенцията на Европейския съюз за сътрудничество в областта на правоприлагането (Европол) и за замяна и отмяна на решения 2009/371/ПВР, 2009/934/ПВР, 2009/935/ПВР, 2009/936/ПВР и 2009/968/ПВР на Съвета (ОВ, L 135, 2016 г., стр. 53), предвижда, че личните данни, обработвани от Европол, се съхраняват от Европол само докато това е необходимо и пропорционално за целите, за които данните се обработват. Европол във всички случаи преразглежда необходимостта от продължаване на съхранението не по-късно от три години след започване на първоначалната обработка на личните данни. Европол може да реши да продължи съхранението на личните данни до следващото преразглеждане, което се извършва след нов тригодишен период, ако съхранението все още е необходимо да продължи с оглед изпълнението на задачите на Европол. Ако не се вземе решение за продължаване на съхранението на личните данни, последните се заличават автоматично след три години.
(
61
)	В решение от 13 февруари 2020 г., Gaughran с/у Обединеното кралство (CE:ECHR:2020:0213JUD004524515, § 79—81), относно правна уредба, предвиждаща край на съхранението на личните данни при смъртта на заинтересованото лице, в което се прави разграничение между, от една страна, ДНК и от друга страна, отпечатъците, както и фотографиите. ЕСПЧ приема, че само за последните лични данни има период на съхранение, който може да се приравни на съхранение за неопределен срок. От своя страна ще отбележа, че нито една от тези данни в случая няма да може да се използва след смъртта на съответното лице, тъй като запазването post mortem на ДНК ще направи технически възможно изследване на близките роднини на субекта на данните.
(
62
)	Освен наличието на престъпления, за които няма давност, въпросът за връзката между срока на съхраняване на личните данни и този за погасяване на наказателното преследване не трябва да се абсолютизира, в някои правни системи поради механизмите за спиране или прекъсване на давността и за отлагането на началото на давностния срок за престъпленията, наричани обикновено продължавани или скрити, както и за някои престъпления, пострадалите от които са непълнолетни (отлагане до пълнолетието на пострадалото лице). Следва също да се вземе предвид фактът, че сексуалното насилие се разкрива най-късно.
(
63
)	Вж. в този смисъл решение от 5 април 2022 г., Commissionner of An Garda Síochána и др. (C‑140/20, EU:C:2022:258, т. 62).
(
64
)	Припомням, че ЕСПЧ в контекста на положителното задължение, произтичащо от член 2 от ЕКПЧ, твърдо признава публичния интерес от разследване и евентуално да постигне преследване и осъждане на извършителите на незаконни действия няколко години след осъществяване на фактите (ЕСПЧ, 12 юни 2014 т., Jelić с/у Хърватия, CE:ECHR:2014:0612JUD005785611, § 52) и обяснява, че разследванията на „студените досиета“ също са от обществен интерес в общия смисъл на борбата с престъпността (ЕСПЧ, 13 февруари 2020 г., Gaughran с/у Обединеното кралство (CE:ECHR:2020:0213JUD004524515, § 93).
(
65
)	ЕСПЧ, 22 юни 2017 г., Aycaguer с/у Франция (CE:ECHR:2017:0622JUD000880612, § 38), и ЕСПЧ, 13 февруари 2020 г., Gaughran с/у Обединеното кралство (CE:ECHR:2020:0213JUD004524515, § 88).
(
66
)	Не беше уточнено какъв е срокът, през който се запазват следите от справката в базата данни.
(
67
)	ЕСПЧ, 13 февруари 2020 г., Gaughran с/у Обединеното кралство (CE:ECHR:2020:0213JUD004524515, § 83).
(
68
)	Решение от 26 януари 2023 г., Министерство на вътрешните работи (Регистрация на биометрични и генетични данни от полицията) (C‑205/21, EU:C:2023:49, т. 128 и 129).
(
69
)	Бюлетин Infostat Justice на френското министерство на правосъдието № 183 от 2 юли 2021 г., „Mesurer et comprendre les déterminants de la récidive des sortants de prison“ (Да се измерят и разберат определящите фактори за рецидива на излизащите от затвора).
(
70
)	Регистрацията и последващото съхраняване на данните в базата данни се отнасят всъщност до всяко лице, извършило престъпление за първи път, а не до вече осъдено един или няколко пъти лице.
(
71
)	ЕСПЧ, 13 февруари 2020 г., Gaughran с/у Обединеното кралство (CE:ECHR:2020:0213JUD004524515, § 89).
(
72
)	Решение от 26 януари 2023 г., Министерство на вътрешните работи (Регистрация на биометрични и генетични данни от полицията) (C‑205/21, EU:C:2023:49, т. 130). Съдът добавя (т. 132 и 133), че запитващата юрисдикция следва да провери дали националното право позволява да се прецени „абсолютната необходимост“ от събирането за целите на регистрацията им както на биометричните, така и на генетичните данни за съответното лице, но също и други релевантни данни, каквито са по-специално конкретните обстоятелства във връзка с това престъпление, евентуалната връзка на посоченото престъпление с други висящи производства, предишни деяния или индивидуалният профил на съответното лице. Можем да си зададем въпроса дали това изискване за задълбочена индивидуализация е съвместимо с разпоредби със законодателен характер, със системния характер и степента на абстрактност и обобщеност, които те изискват, целящи да установят общ режим на съхраняване на личните данни в база данни.
(
73
)	ЕСПЧ, 13 февруари 2020 г., Gaughran с/у Обединеното кралство (CE:ECHR:2020:0213JUD004524515, § 94).