62021CJ0205_RES
Sprawa C‑205/21
V.S.
(wniosek o wydanie orzeczenia w trybie prejudycjalnym złożony przez Spetsializiran nakazatelen sad)
Wyrok Trybunału (piąta izba) z dnia 26 stycznia 2023 r.
Odesłanie prejudycjalne – Ochrona osób fizycznych w zakresie przetwarzania danych osobowych – Dyrektywa (UE) 2016/680 – Artykuł 4 ust. 1 lit. a)–c) – Zasady dotyczące przetwarzania danych osobowych – Ograniczenie celów – Minimalizacja danych – Artykuł 6 lit. a) – Wyraźne rozróżnienie danych osobowych poszczególnych kategorii osób – Artykuł 8 – Zgodność przetwarzania z prawem – Artykuł 10 – Transpozycja – Przetwarzanie danych biometrycznych i danych genetycznych – Pojęcie „przetwarzania dozwolonego prawem państwa członkowskiego” – Pojęcie „bezwzględnej niezbędności” – Uprawnienia dyskrecjonalne – Karta praw podstawowych Unii Europejskiej – Artykuły 7, 8, 47, 48 i 52 – Prawo do skutecznej ochrony sądowej – Domniemanie niewinności – Ograniczenie – Umyślne przestępstwo ścigane z oskarżenia publicznego – Osoby, którym przedstawiono zarzuty – Zbieranie danych fotograficznych i daktyloskopijnych dla potrzeb ich rejestracji i pobrania próbki biologicznej w celu określenia wzoru profilu DNA – Procedura przymusowego zbierania danych – Systematyczny charakter zbierania danych
Zbliżanie ustawodawstw – Ochrona osób fizycznych w zakresie przetwarzania danych osobowych w sprawach karnych – Dyrektywa 2016/680 – Przetwarzanie szczególnych kategorii danych – Zezwolenie na to przetwarzanie w prawie państwa członkowskiego – Przepisy krajowe przewidujące zbieranie przez organy policji państwa członkowskiego danych biometrycznych i genetycznych osób, którym przedstawiono zarzuty, dla celów rejestracji tych danych – Przepisy krajowe, które zawierają odniesienie do rozporządzenia 2016/679, przywołując brzmienie dyrektywy 2016/680 – Dopuszczalność – Przesłanki
[Karta praw podstawowych Unii Europejskiej, art. 52; rozporządzenie Parlamentu Europejskiego i Rady 2016/679, art. 9; dyrektywa Parlamentu Europejskiego i Rady 2016/680, art. 3 pkt 7, art. 10 lit. a)]
(zob. pkt 62–67, 72–76; pkt 1 sentencji)
Akty instytucji – Dyrektywy – Wykonanie przez państwa członkowskie – Dyrektywa przewidująca w celu jej wykonania odesłanie do niej w krajowych przepisach transponujących – Wpływ – Ciążący na państwach członkowskich obowiązek przyjęcia odrębnego aktu stanowiącego transpozycję dyrektywy – Wymóg wskazania dyrektywy w przepisach krajowych zezwalających na przetwarzanie danych osobowych objętych zakresem stosowania tej dyrektywy – Brak
(art. 288 akapit trzeci TFUE; dyrektywa Parlamentu Europejskiego i Rady 2016/680, art. 63 ust. 1 akapit drugi)
(zob. pkt 68–71)
Zbliżanie ustawodawstw – Ochrona osób fizycznych w zakresie przetwarzania danych osobowych w sprawach karnych – Dyrektywa 2016/680 – Obowiązek dokonania rozróżnienia poszczególnych kategorii osób, których dane dotyczą – Zakres – Przepisy krajowe przewidujące zbieranie przez organy policji państwa członkowskiego danych biometrycznych i genetycznych osób, którym przedstawiono zarzuty, dla celów rejestracji tych danych – Przepisy przewidujące procedurę przymusowego zbierania danych – Uprawnienie sądu krajowego do dokonania oceny istnienia poważnych podstaw dotyczących winy osoby, której dane dotyczą – Brak – Dopuszczalność – Przesłanki – Poszanowanie prawa do skutecznej ochrony sądowej i domniemania niewinności
[Karta praw podstawowych Unii Europejskiej, art. 47, 48; dyrektywa Parlamentu Europejskiego i Rady 2016/680, art. 6 lit. a), art. 54]
(zob. pkt 82–110; pkt 2 sentencji)
Zbliżanie ustawodawstw – Ochrona osób fizycznych w zakresie przetwarzania danych osobowych w sprawach karnych – Dyrektywa 2016/680 – Przetwarzanie szczególnych kategorii danych – Przetwarzanie dozwolone wyłącznie wtedy, gdy jest bezwzględnie niezbędne – Pojęcie – Zakres – Bardziej rygorystyczne przesłanki zgodności przetwarzania z prawem – Ograniczenie celów – Minimalizacja danych – Przepisy krajowe przewidujące systematyczne zbieranie danych biometrycznych i genetycznych każdej osoby, której przedstawiono zarzut popełnienia umyślnego przestępstwa ściganego z oskarżenia publicznego, dla celów rejestracji tych danych – Niedopuszczalność
[dyrektywa Parlamentu Europejskiego i Rady 2016/680, motywy 26, 37, art. 4 ust. 1 lit. a)–c), art. 8 ust. 1, 2, art. 10]
(zob. pkt 116–135; pkt 3 sentencji)
Streszczenie
Systematyczne gromadzenie danych biometrycznych i genetycznych każdej osoby, której przedstawiono zarzuty, dla celów ich rejestracji policyjnej jest niezgodne z wymogiem zapewnienia wzmocnionej ochrony w odniesieniu do przetwarzania wrażliwych danych osobowych.
W ramach postępowania karnego dotyczącego oszustwa podatkowego wszczętego przez organy bułgarskie V.S. przedstawiono zarzuty ze względu na zarzucane jej uczestnictwo w zorganizowanej grupie przestępczej utworzonej w celu osiągnięcia korzyści majątkowych dla celów popełniania w sposób zorganizowany przestępstw na terytorium bułgarskim. W następstwie tego przedstawienia zarzutów policja bułgarska wezwała V.S. w celu pobrania jej danych daktyloskopijnych i fotograficznych na potrzeby ich rejestracji oraz pobrania próbek w celu ustalenia jej wzoru profilu DNA.V.S. nie wyraziła zgody na to zbieranie.
Opierając się na ustawodawstwie krajowym przewidującym „rejestrację policyjną” osób, którym przedstawiono zarzut popełnienia umyślnego przestępstwa ściganego z urzędu, organy policji zwróciły się do Spetsializiran nakazatelen sad (wyspecjalizowanego sądu karnego, Bułgaria) o udzielenie zezwolenia na przymusowe wykonanie pobrania danych genetycznych i biometrycznych V.S. Do tego wniosku organy policji załączyły jedynie odpisy postanowienia o przedstawieniu zarzutów V.S. oraz jej oświadczenie o odmowie udzielenia zgody na zbieranie jej danych.
Sąd ten powziął wątpliwości w przedmiocie zgodności ustawodawstwa bułgarskiego mającego zastosowanie do tej „rejestracji policyjnej” z dyrektywą 2016/680 (
1
), rozpatrywaną w świetle Karty praw podstawowych Unii Europejskiej (zwanej dalej „kartą”), i w konsekwencji zwrócił się do Trybunału z odesłaniem prejudycjalnym.
W swoim wyroku Trybunał uściślił przede wszystkim warunki, na jakich przetwarzanie danych biometrycznych i genetycznych przez organy policji może być uznane za dozwolone prawem państwa członkowskiego w rozumieniu dyrektywy 2016/680. Orzekł on następnie w przedmiocie stosowania wskazanego w tej dyrektywie wymogu dotyczącego danych kategorii osób, w odniesieniu do których istnieją poważne podstawy do stwierdzenia, że uczestniczyły one w popełnieniu przestępstwa, a także w przedmiocie poszanowania prawa do skutecznej ochrony sądowej oraz zasady domniemania niewinności, w wypadku gdy ustawodawstwo krajowe umożliwia właściwemu sądowi krajowemu udzielenie zezwolenia na przymusowe zbieranie tych danych, uznanych za „wrażliwe” przez prawodawcę Unii. Wreszcie, rozważył on kwestię zgodności ustawodawstwa krajowego przewidującego systematyczne gromadzenie tych danych z przepisami dyrektywy 2016/680 dotyczącymi ich przetwarzania, biorąc pod uwagę zasady mające zastosowanie do tego przetwarzania.
Ocena Trybunału
Przede wszystkim Trybunał stwierdził, że dyrektywę 2016/680, rozpatrywaną w świetle karty (
2
), należy interpretować w ten sposób, że przetwarzanie danych biometrycznych i genetycznych przez organy policji dla celów prowadzenia czynności dochodzenia, walki z przestępczością i utrzymania porządku publicznego jest dozwolone prawem państwa członkowskiego, gdy prawo tego państwa członkowskiego zawiera wystarczająco jasną i precyzyjną podstawę prawną dla zezwolenia na wspomniane przetwarzanie. Okoliczność, że krajowy akt ustawodawczy zawierający taką podstawę prawną odnosi się, poza tym, do ogólnego rozporządzenia o ochronie danych (
3
), a nie do dyrektywy 2016/680, nie może, sama w sobie, podważyć istnienia takiego zezwolenia, pod warunkiem że z wykładni wszystkich mających zastosowanie przepisów prawa krajowego wynika w sposób wystarczająco jasny, precyzyjny i jednoznaczny, że rozpatrywane przetwarzanie danych biometrycznych i genetycznych jest objęte zakresem stosowania tej dyrektywy, a nie RODO.
W tym kontekście, mając na względzie okoliczność, że istotne ustawodawstwo krajowe zawiera odniesienie do przepisów RODO regulujących przetwarzanie danych wrażliwych, powtarzając brzmienie przepisów dyrektywy 2016/680 dotyczących przetwarzania tych danych (
4
), Trybunał wskazał, że przepisy te nie są równoważne. Podczas gdy przetwarzanie danych wrażliwych przez właściwe organy w szczególności dla celów zapobiegania czynom zabronionym objętym zakresem stosowania dyrektywy 2016/680 i ich wykrywania może być dozwolone wyłącznie wtedy, gdy jest bezwzględnie niezbędne, podlega odpowiednim zabezpieczeniom i powinno być przewidziane prawem Unii lub prawem państwa członkowskiego, w RODO ustanowiono zakaz co do zasady przetwarzania tych danych, w połączeniu z wykazem wyjątków. O ile prawodawca krajowy ma możliwość przewidzenia, w ramach tego samego instrumentu ustawodawczego, przetwarzania danych osobowych dla celów objętych zakresem stosowania dyrektywy 2016/680 oraz dla innych celów objętych zakresem RODO, o tyle ma on obowiązek upewnić się co do braku dwuznaczności w zakresie możności stosowania pierwszego lub drugiego z tych dwóch aktów Unii do zbierania danych wrażliwych.
Ponadto, co się tyczy ewentualnej nieprawidłowej transpozycji dyrektywy 2016/680, na która zwrócił uwagę sąd odsyłający, Trybunał podkreślił, że ta dyrektywa nie wymaga, by przepisy krajowe zezwalające na przetwarzanie danych objętych jej zakresem stosowania zawierały odniesienie do wspomnianej dyrektywy. Doprecyzował on, że gdy prawodawca krajowy przewiduje przetwarzanie danych biometrycznych i genetycznych przez właściwe organy, mogące podlegać albo zakresowi stosowania tej dyrektywy, albo zakresowi stosowania RODO, może on, dla celów jasności i precyzji, odnieść się wyraźnie, po pierwsze, do przepisów krajowych zapewniających transpozycję tej dyrektywy, i po drugie, do RODO, bez konieczności zawarcia odniesienia do wspomnianej dyrektywy. Niemniej w wypadku oczywistej niezgodności przepisów krajowych zezwalających na przetwarzanie przedmiotowych danych z przepisami wydającymi się wykluczać to przetwarzanie, sąd krajowy ma obowiązek dokonania wykładni tych przepisów zapewniającej skuteczność dyrektywy 2016/680.
Następnie Trybunał orzekł, że dyrektywa 2016/680 (
5
) i karta (
6
) nie stoją na przeszkodzie przepisom krajowym przewidującym, że w wypadku odmowy osoby, której przedstawiono zarzut popełnienia umyślnego przestępstwa ściganego z oskarżenia publicznego, dobrowolnej współpracy przy zbieraniu jej danych biometrycznych i genetycznych dla celów ich rejestracji, właściwy sąd karny ma obowiązek zezwolić na przymusowe wykonanie pobrania danych, bez możliwości oceny, czy istnieją poważne podstawy do stwierdzenia, że osoba, której dane dotyczą, popełniła zarzucane jej przestępstwo, pod warunkiem że w prawie krajowym zagwarantowano następnie skuteczną kontrolę sądową przesłanek tego przedstawienia zarzutów, z którego wynika zezwolenie na przeprowadzenie tego zbierania danych.
W tym względzie Trybunał przypomniał, że zgodnie z dyrektywą 2016/680 (
7
) państwa członkowskie powinny zapewnić, by dokonano wyraźnego rozróżnienia danych osobowych poszczególnych kategorii osób, których dane dotyczą, tak aby nie ingerować w podstawowe prawo do ochrony ich danych osobowych w taki sam sposób, bez względu na kategorię, do której te osoby należą. Obowiązek ten nie jest jednak bezwzględnie wiążący. Ponadto w zakresie, w jakim ta dyrektywa odnosi się do kategorii osób, w odniesieniu do których istnieją poważne podstawy, by przypuszczać, że popełniły lub zamierzają popełnić czyn zabroniony, Trybunał uściślił, że istnienie wystarczającej liczby dowodów winy danej osoby stanowi co do zasady poważną podstawę do przypuszczenia, że osoba ta popełniła dane przestępstwo. A zatem dyrektywa 2016/680 nie stoi na przeszkodzie przepisom krajowym przewidującym przymusowe zbieranie danych osób, w odniesieniu do których zgromadzono wystarczające dowody na to, że popełniły one przestępstwo umyślne ścigane z oskarżenia publicznego i są z tego względu podejrzane o jego popełnienie.
Co się tyczy poszanowania prawa do skutecznej ochrony sądowej, biorąc pod uwagę, że właściwy sąd krajowy mający udzielić zezwolenia na przymusowe wykonanie zbierania danych wrażliwych osoby, której przedstawiono zarzuty, nie może przeprowadzić kontroli co do istoty istnienia przesłanek do przedstawienia tych zarzutów, Trybunał podkreślił w szczególności, iż okoliczność, że tymczasowo wyłączono z zakresu kontroli sądu ocenę dowodów, na których oparto przedstawienie zarzutów osobie, której dane dotyczą, może być uzasadniona w postępowaniu przygotowawczym. Taka kontrola w postępowaniu przygotowawczym mogłaby bowiem utrudnić przebieg dochodzenia, w którego toku dane te są zbierane, i nadmiernie ograniczyć możliwość wyjaśnienia przez osoby prowadzące to dochodzenie okoliczności związanych z innymi przestępstwami na podstawie porównania tych danych z danymi zebranymi w toku innych dochodzeń. To ograniczenie skutecznej ochrony sądowej nie jest zatem nieproporcjonalne, ponieważ w prawie krajowym zagwarantowano następnie skuteczną kontrolę sądową.
Co się tyczy poszanowania, w orzeczeniu sądu zezwalającym na zbieranie przedmiotowych danych, prawa do domniemania niewinności, Trybunał wskazał, po pierwsze, że w zakresie, w jakim w niniejszym wypadku zbieranie to jest ograniczone do kategorii osób, których odpowiedzialność karna nie została jeszcze ustalona, wspomniane zbieranie danych nie może być uznane za odzwierciedlające opinię organów, że te osoby są winne. Po drugie, okoliczność, że sąd, który ma orzec w przedmiocie winy osoby, której dane dotyczą, nie może ocenić, w tym stadium postępowania karnego, wystarczającego charakteru dowodów, na których opiera się postanowienie o przedstawieniu zarzutów tej osobie, stanowi gwarancję poszanowania prawa tej osoby do domniemania niewinności.
Wreszcie, Trybunał orzekł, że dyrektywa 2016/680 (
8
) stoi na przeszkodzie przepisom krajowym przewidującym systematyczne zbieranie danych biometrycznych i genetycznych każdej osoby, której przedstawiono zarzuty popełnienia umyślnego przestępstwa ściganego z oskarżenia publicznego, dla celów ich rejestracji, bez przewidzenia obowiązku właściwego organu weryfikacji i wykazania, po pierwsze, czy to zbieranie danych jest bezwzględnie niezbędne dla realizacji zamierzonych konkretnych celów, i po drugie, czy te cele nie mogą być osiągnięte za pomocą środków stanowiących ingerencję mniejszej wagi w prawa i wolności osoby, której dane dotyczą.
W tym względzie Trybunał podkreślił, że dyrektywa 2016/680 zmierza do zapewnienia między innymi wzmocnionej ochrony w odniesieniu do przetwarzania danych wrażliwych, w tym danych biometrycznych i genetycznych w zakresie, w jakim przetwarzanie to może skutkować powstaniem poważnego ryzyka dla wolności i praw podstawowych. Wskazany w tej dyrektywie wymóg, zgodnie z którym to przetwarzanie jest dozwolone „wyłącznie wtedy, jeżeli jest bezwzględnie niezbędne”, powinien być interpretowany jako definiujący bardziej rygorystyczne warunki zgodności z prawem przetwarzania danych wrażliwych (
9
). Co więcej, zakres tego wymogu również powinien być określony przy uwzględnieniu zasad dotyczących przetwarzania danych, takich jak ograniczenie celów i minimalizacja danych.
W tym kontekście przepisy krajowe przewidujące systematyczne zbieranie danych biometrycznych i genetycznych każdej osoby, której przedstawiono zarzut popełnienia umyślnego przestępstwa ściganego z urzędu, dla celów rejestracji tych danych, są co do zasady niezgodne z tym wymogiem. Takie przepisy krajowe mogą bowiem prowadzić, w sposób niezróżnicowany i ogólny, do zbierania danych większości osób, którym przedstawiono zarzuty, ponieważ pojęcie „umyślnego przestępstwa ściganego z oskarżenia publicznego” ma szczególnie ogólny charakter i może mieć zastosowanie do znacznej liczby czynów zabronionych – niezależnie od ich charakteru, wagi, szczególnych okoliczności tych czynów, ich ewentualnego związku z innymi toczącymi się postępowaniami, wcześniejszych spraw sądowych danej osoby lub jej indywidualnego profilu.
(
1
)	Dyrektywa Parlamentu Europejskiego i Rady (UE) 2016/680 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w sprawie swobodnego przepływu takich danych oraz uchylająca decyzję ramową Rady 2008/977/WSiSW (Dz.U. 2016, L 119, s. 89; sprostowanie Dz.U. 2018, L 127, s. 1).
(
2
)	Artykuł 10 lit. a) dyrektywy 2016/680 rozpatrywany w świetle art. 52 karty.
(
3
)	Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U. 2016, L 119, s. 1; sprostowania: Dz.U. 2018, s. L 127, s. 2, Dz.U. 2021, L 74, s. 35, zwane dalej „RODO”).
(
4
)	Odpowiednio art. 9 RODO i art. 10 dyrektywy 2016/680.
(
5
)	Artykuł 6 lit. a) dyrektywy 2016/680.
(
6
)	Artykuły 47 i 48 karty, potwierdzające, odpowiednio, prawo do skutecznej ochrony sądowej i zasadę domniemania niewinności.
(
7
)	Artykuł 6 dyrektywy 2016/680.
(
8
)	Artykuł 10 dyrektywy 2016/680 rozpatrywany w związku z art. 4 ust. 1 lit. a)-c) i art. 8 ust. 1 i 2 tej dyrektywy.
(
9
)	W świetle przesłanek wynikających z art. 4 ust. 1 lit. b) i c) oraz art. 8 ust. 1 dyrektywy 2016/680.