62021CJ0205_RES
Kohtuasi C‑205/21
V. S.
(eelotsusetaotlus, mille on esitanud Spetsializiran nakazatelen sad)
Euroopa Kohtu (viies koda) 26. jaanuari 2023. aasta otsus
Eelotsusetaotlus – Füüsiliste isikute kaitse isikuandmete töötlemisel – Direktiiv (EL) 2016/680 – Artikli 4 lõike 1 punktid a–c – Isikuandmete töötlemise põhimõtted – Eesmärgi piirang – Võimalikult väheste andmete kogumine – Artikli 6 punkt a – Eri kategooriasse kuuluvate isikute isikuandmete selge eristamine – Artikkel 8 – Isikuandmete töötlemise seaduslikkus – Artikkel 10 – Ülevõtmine – Biomeetriliste andmete ja geneetiliste andmete töötlemine – Mõiste „liikmesriigi õigusega lubatud töötlemine“ – Mõiste „rangelt vajalik“ – Kaalutlusõigus – Euroopa Liidu põhiõiguste harta – Artiklid 7, 8, 47, 48 ja 52 – Õigus tõhusale kohtulikule kaitsele – Süütuse presumptsioon – Piirang – Tahtlik kuritegu, mille suhtes alustab prokurör kriminaalmenetlust omal algatusel – Isikud, kellele on esitatud kahtlustus – Fotografeerimine ja daktüloskopeerimine andmete registreerimiseks ning bioloogilise proovi võtmine DNA‑profiili koostamiseks – Andmete sunniviisiline kogumine – Kogumise süstemaatilisus
Õigusaktide ühtlustamine – Füüsiliste isikute kaitse isikuandmete töötlemisel kriminaalasjades – Direktiiv 2016/680 – Andmete eriliikide töötlemine – Töötlemise lubamine liikmesriigi õigusega – Riigisisesed õigusnormid, milles on ette nähtud, et liikmesriigi politsei kogub kahtlustuse saanud isikute biomeetrilisi ja geneetilisi andmeid nende registreerimise eesmärgil – Riigisisesed sätted, mis viitavad määrusele 2016/679, kuid samas kordavad direktiivi 2016/680 sisu – Lubatavus – Tingimused
(Euroopa Liidu põhiõiguste harta, artikkel 52; Euroopa Parlamendi ja nõukogu määrus 2016/679, artikkel 9; Euroopa Parlamendi ja nõukogu direktiiv 2016/680, artikli 3 punkt 7 ja artikli 10 punkt a)
(vt punktid 62–67 ja 72–76 ning resolutsiooni punkt 1)
Institutsioonide aktid – Direktiivid – Rakendamine liikmesriikide poolt – Direktiiv, milles on ette nähtud, et selle rakendamiseks tuleb riigisisestes ülevõtmissätetes sellele viidata – Mõju – Liikmesriikide kohustus võtta konkreetne direktiivi ülevõtmise meede – Nõue, et direktiivi tuleb mainida riigisisestes sätetes, mis lubavad töödelda selle direktiivi kohaldamisalasse kuuluvaid isikuandmeid – Puudumine
(ELTL artikli 288 kolmas lõik; Euroopa Parlamendi ja nõukogu direktiiv 2016/680, artikli 63 lõike 1 teine lõige)
(vt punktid 68–71)
Õigusaktide ühtlustamine – Füüsiliste isikute kaitse isikuandmete töötlemisel kriminaalasjades – Direktiiv 2016/680 – Kohustus eristada andmesubjektide eri kategooriaid – Ulatus – Riigisisesed õigusnormid, milles on ette nähtud, et liikmesriigi politsei kogub kahtlustuse saanud isikute biomeetrilisi ja geneetilisi andmeid nende registreerimise eesmärgil – Õigusnormid, milles on ette nähtud sunniviisilise andmete kogumise menetlus – Liikmesriigi kohtu pädevus hinnata, kas seoses andmesubjekti süüga esineb tõsine alus – Puudumine – Lubatavus – Tingimused – Õiguse tõhusale kohtulikule kaitsele ja süütuse presumptsiooni järgimine
(Euroopa Liidu põhiõiguste harta, artiklid 47 ja 48; Euroopa Parlamendi ja nõukogu direktiiv 2016/680, artikli 6 punkt a ja artikkel 54)
(vt punktid 82–110 ja resolutsiooni punkt 2)
Õigusaktide ühtlustamine – Füüsiliste isikute kaitse isikuandmete töötlemisel kriminaalasjades – Direktiiv 2016/680 – Andmete eriliikide töötlemine – Töötlemine, mis on lubatud üksnes siis, kui see on rangelt vajalik – Mõiste – Ulatus – Töötlemise seaduslikkuse tugevdatud tingimused – Eesmärgi piirang – Võimalikult väheste andmete kogumine – Riigisisesed õigusnormid, milles on ette nähtud biomeetriliste ja geneetiliste andmete süstemaatiline kogumine nende registreerimise eesmärgil iga isiku puhul, kellele on esitatud kahtlustus sellise tahtliku kuriteo toimepanemises, mille suhtes alustab prokurör kriminaalmenetlust omal algatusel – Lubamatus
(Euroopa Parlamendi ja nõukogu direktiiv 2016/680, põhjendused 26 ja 37 ning artikli 4 lõike 1 punktid a–c, artikli 8 lõiked 1 ja 2 ning artikkel 10)
(vt punktid 116–135 ja resolutsiooni punkt 3)
Kokkuvõte
Iga kahtlustuse saanud isiku biomeetriliste ja geneetiliste andmete süstemaatiline kogumine nende politseis registreerimise eesmärgil on vastuolus nõudega tagada tugevam kaitse tundlike isikuandmete töötlemisel.
Kriminaalmenetluses, mille Bulgaaria asutused algatasid maksupettuse suhtes, esitati V. Sile kahtlustus tema väidetavas osalemises kuritegelikus ühenduses, mis oli loodud rikastumise eesmärgil Bulgaaria territooriumil süütegude kooskõlastatult toimepanemiseks. Pärast kahtlustuse esitamist palus Bulgaaria politsei V. Sil alluda tema daktüloskoopiliste ja fotograafiliste andmete kogumisele nende registreerimise eesmärgil ja proovi võtmisele DNA‑profiili koostamiseks. V. S. ei nõustunud andmete kogumisega.
Tuginedes riigisisestele õigusnormidele, milles on ette nähtud „politseis registreerimine“ isikute puhul, kellele on esitatud kahtlustus sellise tahtliku kuriteo toimepanemises, mille suhtes alustab prokurör kriminaalmenetlust omal algatusel, palus politsei Spetsializiran nakazatelen sadil (kriminaalasjade erikohus, Bulgaaria) anda luba V. Si geneetiliste ja biomeetriliste andmete sunniviisiliseks kogumiseks. Politsei taotlusele olid lisatud üksnes koopiad V. S‑le kahtlustuse esitamise määrusest ja avaldusest, millega ta keeldus võimaldamast oma andmeid koguda.
Nimetatud kohtul tekkis kahtlus, kas „politseis registreerimisele“ kohaldatavad Bulgaaria õigusnormid on kooskõlas direktiiviga 2016/680 (
1
), tõlgendatuna lähtuvalt Euroopa Liidu põhiõiguste hartast (edaspidi „harta“), mistõttu esitas ta Euroopa Kohtule eelotsusetaotluse.
Euroopa Kohus täpsustas oma kohtuotsuses kõigepealt tingimusi, mille kohaselt biomeetriliste ja geneetiliste andmete töötlemist politsei poolt võib pidada direktiivi 2016/680 tähenduses liikmesriigi õigusega lubatuks. Seejärel võttis ta seisukoha direktiivis sätestatud selle nõude rakendamise kohta, mis puudutab selliste isikute andmete töötlemist, kelle puhul on tõsine alus arvata, et nad on kuriteo toimepanemises osalenud, ning õiguse tõhusale kohtulikule kaitsele ja süütuse presumptsiooni põhimõtte järgimise kohta olukorras, kus riigisisesed õigusnormid lubavad pädeval liikmesriigi kohtul anda loa nende andmete sunniviisiliseks kogumiseks, mida liidu seadusandja käsitab „tundlikena“. Lõpuks kaalus Euroopa Kohus küsimust, kas riigisisesed õigusnormid, milles on ette nähtud nende andmete süstemaatiline kogumine, on kooskõlas direktiivi 2016/680 sätetega, mis käsitlevad nende töötlemist, võttes arvesse sellele kohaldatavaid põhimõtteid.
Euroopa Kohtu hinnang
Kõigepealt tõdes Euroopa Kohus, et direktiivi 2016/680 tuleb lähtuvalt hartast (
2
) tõlgendada nii, et biomeetriliste ja geneetiliste andmete töötlemine politsei poolt uurimistegevuse tarbeks kuritegevuse vastu võitlemise ja avaliku korra tagamise eesmärgil on liikmesriigi õigusega lubatud, kui selle liikmesriigi õigus sisaldab andmete töötlemise jaoks loa andmiseks piisavalt selget ja täpset õiguslikku alust. Asjaolu, et niisugust õiguslikku alust sisaldav riigisisene õigusakt viitab muu hulgas isikuandmete kaitse üldmäärusele (
3
), mitte direktiivile 2016/680, ei sea iseenesest kahtluse alla sellise loa olemasolu, tingimusel, et kõikide kohaldatavate riigisiseste õigusnormide tõlgendusest nähtub piisavalt selgelt, täpselt ja üheselt mõistetavalt, et kõnealune biomeetriliste ja geneetiliste andmete töötlemine kuulub direktiivi, mitte isikuandmete kaitse üldmääruse kohaldamisalasse.
Selles kontekstis, võttes arvesse, et asjakohastes riigisisestes õigusnormides on viidatud isikuandmete kaitse üldmääruse sätetele, mis reguleerivad tundlike andmete töötlemist, korrates samas direktiivi 2016/680 nende sätete sisu, mis puudutavad samade andmete töötlemist (
4
), märkis Euroopa Kohus, et need sätted ei ole võrdväärsed. Nimelt, kui tundlike andmete töötlemine pädevate asutuste poolt muu hulgas süütegude tõkestamise ja avastamise eesmärgil, mis kuulub direktiivi 2016/680 kohaldamisalasse, võib olla lubatud üksnes siis, kui see on rangelt vajalik, ning selle suhtes peavad kehtima asjakohased kaitsemeetmed ja see peab olema liidu või liikmesriigi õiguses ette nähtud, siis isikuandmete kaitse üldmääruses on kehtestatud nende andmete töötlemise põhimõtteline keeld koos erandite loeteluga. Kuigi liikmesriigi seadusandja võib sama õigusakti raames ette näha isikuandmete töötlemise direktiivi 2016/680 kohaldamisalasse kuuluval eesmärgil ja muudel eesmärkidel, mis kuuluvad isikuandmete kaitse üldmääruse kohaldamisalasse, on ta kohustatud tagama, et puudub ebaselgus küsimuses, kas tundlike andmete kogumise suhtes on kohaldatav üks või teine nendest kahest liidu õigusaktist.
Lisaks, mis puudutab direktiivi 2016/680 võimalikku ebaõiget ülevõtmist, millele viitas eelotsusetaotluse esitanud kohus, siis rõhutas Euroopa Kohus, et direktiiv ei nõua, et riigisisesed õigusnormid, mis lubavad töödelda selle kohaldamisalasse kuuluvaid andmeid, sisaldaksid viidet sellele direktiivile. Kohus täpsustas, et kui liikmesriigi seadusandja näeb ette selliste biomeetriliste ja geneetiliste andmete töötlemise pädevate asutuste poolt, mis võivad kuuluda kas selle direktiivi või isikuandmete kaitse üldmääruse kohaldamisalasse, siis on tal selguse ja täpsuse huvides õigus viidata sõnaselgelt esiteks riigisisestele õigusnormidele, millega võetakse direktiiv üle, ja teiseks isikuandmete kaitse üldmäärusele ilma, et ta oleks kohustatud direktiivi mainima. Siiski, kui esineb ilmne vastuolu riigisiseste sätete vahel, mis lubavad kõnealuseid andmeid töödelda, ja nende vahel, mis näivad selle välistavat, peab liikmesriigi kohus andma neile sätetele tõlgenduse, mis säilitab direktiivi 2016/680 soovitava toime.
Seejärel leidis Euroopa Kohus, et direktiivi 2016/680 (
5
) ja hartaga (
6
) ei ole vastuolus riigisisesed õigusnormid, milles on ette nähtud, et juhul, kui isik, kellele on esitatud kahtlustus sellise tahtliku kuriteo toimepanemises, mille suhtes alustab prokurör kriminaalmenetlust omal algatusel, keeldub tegemast vabatahtlikult koostööd oma biomeetriliste ja geneetiliste andmete kogumisel nende registreerimise eesmärgil, on pädeval kriminaalasju lahendaval kohtul kohustus anda luba nende andmete sunniviisiliseks kogumiseks, ilma et tal oleks pädevust hinnata, kas esineb tõsine alus arvata, et andmesubjekt on pannud toime kuriteo, mille toimepanemises on talle kahtlustus esitatud, tingimusel, et riigisisene õigus tagab hiljem tõhusa kohtuliku kontrolli kahtlustuse esitamise – millel põhineb luba andmeid koguda – tingimuste üle.
Sellega seoses tuletas Euroopa Kohus meelde, et vastavalt direktiivile 2016/680 (
7
) peavad liikmesriigid tagama, et eri kategooriatesse kuuluvate andmesubjektide andmeid eristatakse selgelt nii, et neile ei kehtestataks vahet tegemata nende isikuandmete kaitse põhiõiguse sama tasemega riivet, olenemata sellest, millisesse kategooriasse nad kuuluvad. See kohustus ei ole siiski absoluutne. Lisaks, kuivõrd direktiivis on nimetatud selliste isikute kategooriat, kelle puhul on tõsine alus arvata, et nad on toime pannud süüteo, siis täpsustas Euroopa Kohus, et isiku süü kohta piisava hulga tõendite olemasolu on üldjuhul tõsine alus arvata, et ta on asjaomase süüteo toime pannud. Seega ei ole direktiiviga 2016/680 vastuolus riigisisesed õigusnormid, milles on ette nähtud selliste isikute andmete sunniviisiline kogumine, kelle puhul on piisavalt tõendeid selle kohta, et nad on süüdi sellise tahtliku kuriteo toimepanemises, mille suhtes alustab prokurör kriminaalmenetlust omal algatusel, ja kellele on seetõttu esitatud kahtlustus.
Mis puudutab õiguse tõhusale kohtulikule kaitsele järgimist, kui pädev liikmesriigi kohus ei saa selleks, et anda luba kahtlustuse saanud isiku tundlike andmete sunniviisiliseks kogumiseks, sisuliselt kontrollida talle kahtlustuse esitamise tingimusi, siis rõhutas Euroopa Kohus muu hulgas, et asjaolu, et nende tõendite hindamine, millel põhineb andmesubjektile kahtlustuse esitamine, jääb ajutiselt kohtu kontrolli alt välja, võib osutuda kriminaalmenetluse kohtueelses staadiumis põhjendatuks. Nimelt võib selline kontroll selles staadiumis takistada kriminaaluurimise kulgu, mille käigus andmeid kogutakse, ning piirata liigselt uurijate võimalust tuvastada muid süütegusid nende andmete võrdlemise põhjal andmetega, mis on kogutud teiste uurimiste käigus. Niisugune tõhusa kohtuliku kaitse piiramine ei ole seega ebaproportsionaalne, kui riigisisene õigus tagab hiljem tõhusa kohtuliku kontrolli.
Mis puudutab seda, kas kohtulahend, millega antakse luba koguda kõnealuseid andmeid, tagab õiguse süütuse presumptsioonile, siis märkis Euroopa Kohus ühelt poolt, et kuivõrd kõnealuses asjas piirdus andmete kogumine nende isikute kategooriaga, kelle kriminaalvastutust ei ole veel tuvastatud, ei saa niisugust andmete kogumist iseenesest pidada selliseks, millest kumab läbi ametiasutuste tunne, et need isikud on süüdi. Teiselt poolt kujutab asjaolu, et kohus, kes peab otsustama andmesubjekti süü üle, ei saa kriminaalmenetluse selles staadiumis hinnata isikule kahtlustuse esitamise aluseks olevate tõendite piisavust, endast tagatist, et on järgitud tema õigust süütuse presumptsioonile.
Lõpuks järeldas Euroopa Kohus, et direktiiviga 2016/680 (
8
) on vastuolus riigisisesed õigusnormid, milles on ette nähtud biomeetriliste ja geneetiliste andmete süstemaatiline kogumine nende registreerimise eesmärgil iga isiku puhul, kellele on esitatud kahtlustus sellise tahtliku kuriteo toimepanemises, mille suhtes alustab prokurör kriminaalmenetlust omal algatusel, ilma et pädevale asutusele oleks ette nähtud kohustus kontrollida ja tõendada, kas esiteks on andmete kogumine rangelt vajalik konkreetsete taotletavate eesmärkide saavutamiseks ja kas teiseks ei saa neid eesmärke saavutada meetmetega, mis riivaksid andmesubjekti õigusi ja vabadusi vähem.
Sellega seoses rõhutas Euroopa Kohus, et direktiivi 2016/680 eesmärk on muu hulgas tagada tugevam kaitse tundlike andmete – mille hulka kuuluvad biomeetrilised ja geneetilised andmed – töötlemisel, kuna see võib kaasa tuua suure ohu põhiõigustele ja ‑vabadustele. Direktiivis sätestatud nõuet, mille kohaselt selline töötlemine on lubatud „üksnes siis, kui see on rangelt vajalik“, tuleb tõlgendada nii, et sellega määratletakse tundlike andmete töötlemise seaduslikkuse tugevdatud tingimused (
9
). Lisaks peab selle nõude ulatuse kindlakstegemisel arvesse võtma ka andmetöötluse põhimõtteid, nagu eesmärgi piirang ja võimalikult väheste andmete kogumine.
Selles kontekstis on riigisisesed õigusnormid, milles on ette nähtud biomeetriliste ja geneetiliste andmete süstemaatiline kogumine nende registreerimise eesmärgil iga isiku puhul, kellele on esitatud kahtlustus sellise tahtliku kuriteo toimepanemises, mille suhtes alustab prokurör kriminaalmenetlust omal algatusel, üldjuhul selle nõudega vastuolus. Need võivad nimelt kaasa tuua selle, et vahet tegemata ja üldiselt kogutakse enamiku selliste isikute biomeetrilisi ja geneetilisi andmeid, kellele on esitatud kahtlustus, kuna mõiste „tahtlik kuritegu, mille suhtes alustab prokurör kriminaalmenetlust omal algatusel“ on eriti üldine ja seda võib kohaldada suurele hulgale kuritegudele, sõltumata nende laadist, raskusest, kuriteo konkreetsetest asjaoludest, selle võimalikust seosest muude pooleliolevate menetlustega, andmesubjekti varasemast karistatusest või isiklikust profiilist.
(
1
)	Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta direktiiv (EL) 2016/680, mis käsitleb füüsiliste isikute kaitset seoses pädevates asutustes isikuandmete töötlemisega süütegude tõkestamise, uurimise, avastamise ja nende eest vastutusele võtmise või kriminaalkaristuste täitmisele pööramise eesmärgil ning selliste andmete vaba liikumist ning millega tunnistatakse kehtetuks nõukogu raamotsus 2008/977/JSK (ELT 2016, L 119, lk 89).
(
2
)	Direktiivi 2016/680 artikli 10 punkt a tõlgendatuna lähtudes harta artiklist 52.
(
3
)	Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määrus (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) (ELT 2016, L 119, lk 1, edaspidi „isikuandmete kaitse üldmäärus“).
(
4
)	Vastavalt isikuandmete kaitse üldmääruse artikkel 9 ja direktiivi 2016/680 artikkel 10.
(
5
)	Direktiivi 2016/680 artikli 6 punkt a.
(
6
)	Harta artiklid 47 ja 48, millest esimesega on tagatud õigus tõhusale kohtulikule kaitsele ja teisega süütuse presumptsiooni põhimõte.
(
7
)	Direktiivi 2016/680 artikkel 6.
(
8
)	Direktiivi 2016/680 artikkel 10 koostoimes direktiivi artikli 4 lõike 1 punktidega a–c ning artikli 8 lõigetega 1 ja 2.
(
9
)	Direktiivi 2016/680 artikli 4 lõike 1 punktidest b ja c ning artikli 8 lõikest 1 tulenevaid tingimusi silmas pidades.