62022CJ0118_RES
Sprawa C‑118/22
NG
przeciwko
Direktor na Glavna direktsia „Natsionalna politsia” pri Ministerstvo na vatreshnite raboti – Sofia
(wniosek o wydanie orzeczenia w trybie prejudycjalnym złożony przez Varhoven administrativen sad)
Wyrok Trybunału (wielka izba) z dnia 30 stycznia 2024 r.
Odesłanie prejudycjalne – Ochrona osób fizycznych w zakresie przetwarzania danych osobowych do celów zwalczania przestępczości – Dyrektywa (UE) 2016/680 – Artykuł 4 ust. 1 lit. c) i e) – Minimalizacja danych – Ograniczenie przechowywania – Artykuł 5 – Odpowiednie terminy usuwania lub okresowego przeglądu konieczności przechowywania – Artykuł 10 – Przetwarzanie danych biometrycznych i genetycznych – Bezwzględna niezbędność – Artykuł 16 ust. 2 i 3 – Prawo do usunięcia danych – Ograniczenie przetwarzania – Artykuł 52 ust. 1 Karty praw podstawowych Unii Europejskiej – Osoba fizyczna, która została skazana prawomocnym wyrokiem i wobec której nastąpiło później zatarcie skazania – Termin przechowywania danych do chwili śmierci – Brak prawa do usunięcia danych lub do ograniczenia przetwarzania – Proporcjonalność
Zbliżanie ustawodawstw – Ochrona osób fizycznych w zakresie przetwarzania danych osobowych w sprawach karnych – Dyrektywa 2016/680 – Przechowywanie danych osobowych, w szczególności danych biometrycznych i genetycznych, dotyczących osób prawomocnie skazanych za umyślne przestępstwo ścigane z oskarżenia publicznego – Uregulowanie krajowe przewidujące takie przechowywanie do dnia śmierci osoby, której dane dotyczą, również w przypadku zatarcia skazania tej osoby – Brak obowiązku okresowego przeglądu konieczności tego przechowywania – Brak prawa do usunięcia danych lub do ograniczenia przetwarzania – Niedopuszczalność
[Karta praw podstawowych Unii Europejskiej, art. 7, 8, art. 52 ust. 1; dyrektywa Parlamentu Europejskiego i Rady 2016/680, motyw 26, art. 4 ust. 1 lit. c), e), art. 5, 10, art. 13 ust. 2 lit. b), art. 16 ust. 2, 3]
(zob. pkt 39, 41–45, 48–52, 59–61, 66–72; sentencja)
Streszczenie
Wielka izba Trybunału, do którego zwrócił się w trybie prejudycjalnym Varhoven administrativen sad (najwyższy sąd administracyjny, Bułgaria), orzekła w przedmiocie ograniczeń czasowych przechowywania, do celów zwalczania przestępczości, danych osobowych osób, które zostały prawomocnie skazane, w świetle dyrektywy 2016/680 (
1
).
NG został wpisany do rejestru policyjnego w ramach dochodzenia w sprawie złożenia fałszywych zeznań. Po zakończeniu tego dochodzenia przeciwko NG wniesiono akt oskarżenia, a następnie został on uznany za winnego wspomnianego przestępstwa i skazany na karę roku ograniczenia wolności. Po odbyciu tej kary NG skorzystał z zatarcia skazania.
W oparciu o to zatarcie skazania NG złożył wniosek o wykreślenie wpisu jego osoby dokonanego w rejestrze policyjnym. Wniosek ten oddalono ze względu na to, że prawomocny wyrok skazujący, również w przypadku zatarcia skazania, nie należy do podstaw takiego wykreślenia wyczerpująco wymienionych w prawie krajowym. Ponieważ skargę wniesioną przez NG na tę decyzję oddalono, wniósł on skargę kasacyjną do sądu odsyłającego, twierdząc, że z dyrektywy 2016/680 wynika, iż przechowywanie danych osobowych nie może mieć miejsca przez nieograniczony czas. Zdaniem NG jest tak zaś de facto, gdy osoba, której dane dotyczą, nigdy nie może uzyskać takiego usunięcia danych zebranych w związku z przestępstwem, za które została prawomocnie skazana, w tym także po odbyciu kary i po skorzystaniu z zatarcia skazania.
W tych okolicznościach do Trybunału skierowano w trybie prejudycjalnym pytanie, czy dyrektywa 2016/680 (
2
) w świetle art. 7 i 8 Karty praw podstawowych Unii Europejskiej (
3
) stoi na przeszkodzie ustawodawstwu krajowemu przewidującemu przechowywanie przez organy policji – do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar – danych osobowych, w szczególności danych biometrycznych i genetycznych, dotyczących osób, które zostały prawomocnie skazane za umyślne przestępstwo ścigane z oskarżenia publicznego, aż do chwili śmierci osoby, której dane dotyczą, w tym w przypadku zatarcia skazania tej osoby, bez przyznania jej prawa do usunięcia wspomnianych danych lub w stosownym przypadku ograniczenia ich przetwarzania.
W swoim wyroku Trybunał udzielił na to pytanie odpowiedzi twierdzącej.
Ocena Trybunału
W pierwszej kolejności Trybunał wskazał, że dyrektywa 2016/680 ustanawia ogólne ramy umożliwiające między innymi zagwarantowanie, by przechowywanie danych osobowych, a w szczególności jego czas trwania były ograniczone do tego, co okazuje się niezbędne w świetle celów, dla których dane te są przechowywane, pozostawiając państwom członkowskim zadanie określenia, z poszanowaniem tych ram, konkretnych sytuacji, w których ochrona praw podstawowych osoby, której dane dotyczą, wymaga usunięcia tych danych, oraz momentu, w którym powinno ono nastąpić. Natomiast dyrektywa ta nie wymaga, aby państwa członkowskie określiły bezwzględne ograniczenia czasowe przechowywania danych osobowych, po których przekroczeniu powinny one zostać automatycznie usunięte.
Dokładniej rzecz ujmując, przede wszystkim art. 4 ust. 1 lit. c) dyrektywy 2016/680 ustanawia zasadę „minimalizacji danych”, zgodnie z którą państwa członkowskie powinny zapewnić, by dane osobowe były adekwatne, stosowne i nienadmierne do celów, dla których są przetwarzane. Ponadto na podstawie art. 4 ust. 1 lit. e) tej dyrektywy państwa członkowskie powinny zapewnić, by dane te były przechowywane w formie umożliwiającej identyfikację osób, których dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów ich przetwarzania. W tych ramach art. 5 wspomnianej dyrektywy nakłada na państwa członkowskie w szczególności obowiązek przyjęcia odpowiednich terminów usuwania danych osobowych lub okresowego przeglądu konieczności przechowywania takich danych. „Odpowiedni” charakter tych terminów wymaga w każdym razie, by umożliwiały one usunięcie odnośnych danych, gdy ich przechowywanie nie jest już niezbędne do celów, które uzasadniały przetwarzanie.
Następnie art. 10 dyrektywy 2016/680, który reguluje przetwarzanie szczególnych kategorii danych osobowych, w tym danych biometrycznych i genetycznych, dopuszcza przetwarzanie takich danych „wyłącznie wtedy, jeżeli jest bezwzględnie niezbędne”.
Wreszcie art. 16 ust. 2 dyrektywy 2016/680 ustanawia prawo do usunięcia danych osobowych, jeżeli przetwarzanie narusza przepisy przyjęte na podstawie tej dyrektywy (
4
) lub jeżeli te dane muszą zostać usunięte w celu wypełnienia obowiązku prawnego ciążącego na administratorze (
5
). Wynika stąd, że owo prawo do usunięcia danych może być wykonane w szczególności wówczas, gdy przechowywanie rozpatrywanych danych osobowych nie ma lub nie ma już niezbędnego charakteru w odniesieniu do celów ich przetwarzania lub gdy takie usunięcie jest wymagane dla dochowania terminu wyznaczonego w tym celu przez prawo krajowe.
W drugiej kolejności Trybunał zauważył, że w rozpatrywanym przypadku dane osobowe zawarte w rejestrze policyjnym i dotyczące osób ściganych za umyślne przestępstwa są przechowywane wyłącznie do celów czynności operacyjno-rozpoznawczych, a w szczególności w celu porównania ich z innymi danymi zebranymi podczas dochodzeń dotyczących innych przestępstw. W tym względzie jednakże pojęcie „umyślnego przestępstwa ściganego z oskarżenia publicznego” ma wyjątkowo ogólny charakter i może mieć zastosowanie do znacznej liczby czynów zabronionych – niezależnie od ich charakteru i wagi. Nie jest zaś tak, że w stosunku to wszystkich osób prawomocnie skazanych za takie przestępstwo istnieje taki sam stopień ryzyka udziału w popełnieniu innych przestępstw, co uzasadniałoby jednolity okres przechowywania dotyczących ich danych. I tak, w niektórych przypadkach, biorąc pod uwagę czynniki takie jak charakter i waga popełnionego przestępstwa lub brak powrotu do przestępstwa, ryzyko, jakie stanowi osoba skazana, niekoniecznie będzie uzasadniać utrzymanie do chwili jej śmierci dotyczących jej danych w przewidzianym w tym celu krajowym rejestrze policyjnym, wobec czego nie będzie już niezbędnego związku między przechowywanymi danymi a zamierzonym celem. W takich zatem przypadkach ich przechowywanie nie będzie zgodne z zasadą minimalizacji danych i będzie wykraczać poza okres niezbędny do celów, dla których są one przetwarzane.
Następnie w zakresie, w jakim przechowywanie danych osobowych w rozpatrywanym rejestrze policyjnym obejmuje dane biometryczne i genetyczne, Trybunał uściślił, że jest prawdą, że przechowywanie takich danych osób, które zostały już prawomocnie skazane, w tym do chwili śmierci tych osób, może być bezwzględnie niezbędne (
6
), w szczególności w celu umożliwienia weryfikacji ewentualnego udziału tych osób w popełnieniu innych przestępstw, a tym samym ścigania i skazania sprawców tych przestępstw. Jednakże przechowywanie tych danych odpowiada takiemu wymogowi jedynie w sytuacji, gdy uwzględnia ono charakter i wagę przestępstwa, które skutkowało prawomocnym skazaniem, lub inne okoliczności, takie jak szczególny kontekst, w jakim przestępstwo to zostało popełnione, jego ewentualny związek z innymi toczącymi się postępowaniami czy też uprzednia karalność lub profil osoby skazanej. W związku z tym, gdy – jak to przewiduje prawo krajowe w sprawie głównej – przechowywanie danych biometrycznych i genetycznych zainteresowanych osób wpisanych do rejestru policyjnego następuje do chwili śmierci tych osób w przypadku ich prawomocnego skazania, zakres stosowania tego przechowywania ma charakter nadmiernie szeroki względem celów, dla których dane te są przetwarzane.
Wreszcie, co się tyczy, po pierwsze, obowiązku przyjęcia odpowiednich terminów (
7
), termin można uznać za „odpowiedni”, w szczególności w odniesieniu do przechowywania danych biometrycznych i genetycznych każdej osoby prawomocnie skazanej za umyślne przestępstwo ścigane z oskarżenia publicznego, tylko wtedy, gdy uwzględnia on istotne okoliczności mogące spowodować, że taki okres przechowywania będzie niezbędny. W konsekwencji, nawet jeśli odniesienie do chwili śmierci osoby, której dane dotyczą, może stanowić „termin” usunięcia przechowywanych danych, taki termin można uznać za „odpowiedni” jedynie w szczególnych okolicznościach, które należycie to uzasadniają. Oczywiście nie jest zaś tak w przypadku, gdy stosuje się go w sposób ogólny i niezróżnicowany do każdej osoby prawomocnie skazanej. Jest prawdą, że państwom członkowskim pozostawiono podjęcie decyzji, czy należy przyjąć terminy dotyczące usuwania wspomnianych danych, czy też okresowego przeglądu konieczności ich przechowywania (
8
). Jednakże „odpowiedni” charakter terminów takiego okresowego przeglądu wymaga, by pozwalały one na doprowadzenie do usunięcia rozpatrywanych danych, w przypadku gdy ich przechowywanie nie jest już niezbędne. Wymóg taki nie jest zaś spełniony, gdy jedynym przypadkiem, w którym przewidziane jest takie usunięcie, jest śmierć osoby, której dane dotyczą.
Po drugie, przepisy dyrektywy 2016/680 przewidujące gwarancje odnoszące się do warunków dotyczących praw do usunięcia danych i ograniczenia przetwarzania stoją również na przeszkodzie ustawodawstwu krajowemu, które nie pozwala osobie prawomocnie skazanej za umyślne przestępstwo ścigane z oskarżenia publicznego na wykonywanie tych praw.
(
1
)	Dyrektywa Parlamentu Europejskiego i Rady (UE) 2016/680 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w sprawie swobodnego przepływu takich danych oraz uchylająca decyzję ramową Rady 2008/977/WSiSW (Dz.U. 2016, L 119, s. 89).
(
2
)	Konkretniej art. 4 ust. 1 lit. c) i e) dyrektywy 2016/680 w związku z jej art. 5, 10, art. 13 ust. 2 lit. b) oraz art. 16 ust. 2 i 3 tej dyrektywy.
(
3
)	Artykuły 7 i 8 Karty praw podstawowych Unii Europejskiej ustanawiają, odpowiednio, prawo do poszanowania życia prywatnego i rodzinnego oraz prawo do ochrony danych osobowych.
(
4
)	Konkretniej art. 4, 8 lub 10.
(
5
)	Jednakże na podstawie z art. 16 ust. 3 dyrektywy 2016/680 prawo krajowe musi przewidywać, że administrator ogranicza przetwarzanie tych danych zamiast ich usunięcia, jeżeli osoba, której dane dotyczą, kwestionuje prawidłowość danych osobowych, a ich prawidłowości lub nieprawidłowości nie można stwierdzić lub jeżeli dane osobowe muszą zostać zachowane do celów dowodowych.
(
6
)	Zobacz art. 10 dyrektywy 2016/680.
(
7
)	Zobacz art. 5 dyrektywy 2016/680.
(
8
)	Artykuł 5 dyrektywy 2016/680.