Дело C‑57/23
JH
срещу
Policejní prezidium
(Преюдициално запитване, отправено от Nejvyšší správní soud)
Решение на Съда (пети състав) от 20 ноември 2025 година
„ Преюдициално запитване — Защита на физическите лица във връзка с обработването на личните им данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказателни санкции и относно свободното движение на такива данни — Директива (ЕС) 2016/680 — Член 4, параграф 1, букви в) и д) — Свеждане до минимум на обработването на лични данни — Ограничаване на съхранението на личните данни — Член 10 — Събиране и съхранение на биометрични и генетични данни — Абсолютна необходимост — Член 6, буква а) — Задължение за разграничение между личните данни на различните категории субекти на данни — Национално законодателство, предвиждащо събирането на биометрични и генетични данни на всяко лице, привлечено като обвиняем за извършването на умишлено престъпление или заподозряно в извършване на такова престъпление — Член 5 — Подходящи срокове за изтриване или редовна проверка на необходимостта от съхраняване на тези данни — Липса на максимален срок за съхранение — Оценка на необходимостта от съхранение на биометрични и генетични данни от полицията въз основа на вътрешните правила — Член 8, параграф 2 — Законосъобразност на обработването на тези данни — Понятие „разпоредба на правото на държава членка“ — Възможност да се квалифицира националната съдебна практика като „право на държава членка“.
1.        Сближаване на законодателствата — Защита на физическите лица във връзка с обработването на лични данни в областта на наказателното право — Директива 2016/680 — Обработване на специални категории данни — Разрешаване на обработването от правото на държава членка — Понятие за право на държава членка — Национална съдебна практика за тълкуване на разпоредба с общо приложение — Включване — Условия
(Харта на основните права на Европейския съюз, член 8, параграф 2 и член 52; Директива 2016/680 на Европейския парламент и на Съвета, съображение 33 и членове 4, 8 и 10)
(вж. т. 50—60; т. 1 от диспозитива)
2.        Сближаване на законодателствата — Защита на физическите лица във връзка с обработването на лични данни в областта на наказателното право — Директива 2016/680 — Обработване на специални категории данни — Национална правна уредба, позволяваща събирането на биометрични и генетични данни на всяко лице, привлечено като обвиняем за извършването на умишлено престъпление или заподозряно в извършване на такова престъпление — Допустимост — Условия
(Директива 2016/680 на Европейския парламент и на Съвета, член 1, параграф 1, член 4, параграф 1, букви б) и в), член 6, член 8, параграф 2 и член 10)
(вж. т. 70, 71, 75, 77, 78, 80, 81, 83—89 и 94; т. 2 от диспозитива)
3.        Сближаване на законодателствата — Защита на физическите лица във връзка с обработването на лични данни в областта на наказателното право — Директива 2016/680 — Обработване на специални категории данни — Национална правна уредба, която установява преценката на необходимостта от продължаващо съхранение на биометрични и генетични данни от полицейските служби въз основа на вътрешни правила — Национална правна уредба, която не предвижда максимален срок на съхранение на тези данни — Допустимост — Условия
(Харта на основните права на Европейския съюз, член 52; Директива 2016/680 на Европейския парламент и на Съвета, член 4, параграф 1, букви в) и д), член 6, член 8, параграф 2 и член 16, параграфи 2 и 3)
(вж. т. 101—104 и 110; т. 3 от диспозитива)
Резюме
Сезиран с преюдициално запитване от Nejvyšší správní soud (Върховен административен съд, Чешка република), Съдът се произнася по законосъобразността съгласно Директива 2016/680(1) на събирането и съхраняването на биометрични и генетични данни на всяко лице, срещу което е образувано производство за извършването на умишлено престъпление или които са заподозрени в извършването на такова престъпление.
На 11 декември 2015 г. чешката полиция образува наказателно производство срещу JH за престъплението неизпълнение на задължения във връзка с управлението на чуждо имущество. Впоследствие тя изслушва JH в рамките на наказателното производство и в рамките на наказателното производство, въпреки несъгласието му, извършва следните действия по идентифициране, включително снемане на пръстовите му отпечатъци, проба от лигавицата на устата с цел създаване на генетичен профил(2). Чешката полиция въвежда тази информация в съответните бази данни.
С решение от 2017 г. на Městský soud v Praze (Градски съд Прага, Чешка република) JH е признат за виновен по повдигнатите обвинения. През 2022 г. същата юрисдикция уважава жалбата, подадена от JH през 2016 г., като приема, че действията по идентифициране, съхранение и въвеждане на информацията за JH от чешката полиция са незаконосъобразни. При това тя разпорежда на полицията да заличи всички произтичащи от тези действия лични данни на JH. Чешката полиция подава касационна жалба срещу това решение пред запитващата юрисдикция.
Именно в този контекст Съдът следва да изясни с оглед на Директива 2016/680 дали националната съдебна практика може да бъде квалифицирана като „право на държавата членка“, за да регламентира обработването на чувствителни лични данни, дали е допустима национална правна уредба, която позволява събирането на биометрични и генетични данни от всяко лице, срещу което е образувано производство за извършването на умишлено престъпление или които са заподозрени в извършването на такова престъпление, и дали може да се приеме национална правна уредба, която не предвижда максимален срок за съхранение на такива данни.
Съображения на Съда
На първо място, Съдът внася уточнения относно понятието „право на държава членка“ по смисъла на членове 8 и 10 от Директива 2016/680, в които са предвидени условията за законосъобразност на обработването на лични данни, включително на чувствителни данни, и които предвиждат, че такова обработване може да бъде разрешено от правото на държава членка.
В този контекст Съдът припомня, че всяко обработване на лични данни, което не се извършва въз основа на съгласието на заинтересованото лице, трябва да се извършва по силата на друго предвидено от „закона“ легитимно основание(3), като този термин трябва да се разбира в своето материално, а не формално значение(4) и като отнасящо се до текста, който е в сила, както се тълкува от компетентните съдилища(5). Освен това, поставеното в член 52 от Хартата изискване всяко ограничаване на упражняването на признати от нея основни права да е предвидено в закон, не изключва, от една страна, възможността предвиждащата ограничаването правна уредба да бъде формулирана достатъчно широко, за да може да се адаптира към различни хипотези и променящи се обстоятелства, и от друга страна, компетентният съд да може при необходимост да уточни чрез тълкуване конкретния обхват на посоченото ограничение, като вземе предвид както самия текст на акта, така и общата му структура и преследваните с него цели(6).
Съдът прави извод, че понятието „право на държавата членка“ трябва да се тълкува в смисъл, че може да се отнася до разпоредба, изрично предвиждаща обработването на лични данни в приложното поле на Директива 2016/680, тълкувана в съдебната практика на националните юрисдикции. При това положение, от една страна, това препращане към „правото“ на държава членка, „уреждащо“ обработването, означава, че общите цели, личните данни, които се обработват, и целите на обработването по принцип са предвидени в разпоредба с общо приложение. От друга страна, член 8, параграф 2 от Директива 2016/680 има за цел правото на държавата членка, която отговаря за обработването, да е ясно и точно и прилагането му да бъде предвидимо за правните субекти в съответствие с практиката на Съда(7) и на Европейския съд по правата на човека(8).
Ето защо Съдът констатира, че членове 8 и 10 от Директива 2016/680 трябва да се тълкуват в смисъл, че що се отнася до събирането, съхраняването и изтриването на биометрични и генетични данни, понятието „правото на държава членка“ по смисъла на посочени членове трябва да се разбира като отнасящо се до разпоредба с общо приложение, определяща минималните условия за събирането, съхраняването и изтриването на такива данни, тълкувана в практиката на националните юрисдикции, при условие че тази съдебна практика е достъпна и достатъчно предвидима.
На второ място, Съдът разглежда въпроса дали Директива 2016/680(9) допуска национална правна уредба, която позволява безразборното събиране на биометрични и генетични данни на всяко лице, срещу което е образувано производство за извършването на умишлено престъпление или които са заподозрени в извършването на такова престъпление.
От друга страна, Съдът отбелязва, че член 6 от Директива 2016/680, който задължава държавите членки да гарантират, че администраторът на лични данни „когато е приложимо и доколкото е възможно“, прави ясно разграничение между данните на различните категории субекти на данни основно в зависимост от наказателноправното им положение, допуска национална правна уредба, която позволява безразборното събиране на биометрични и генетични данни за лицата, попадащи в категорията на лицата, „привлечени като обвиняеми за извършване на умишлено престъпление“, както и за лицата, които попадат в категорията на лицата, „заподозрени за извършването на такова престъпление“, по смисъла на националното право, когато целите на това събиране не възлагат задължение за разграничаване между тези две категории лица, чиито данни могат да бъдат събирани на основание на това законодателство.
От друга страна, Съдът се произнася по член 4, параграф 1, буква в) от Директива 2016/680, който предвижда принципите, свързани с обработването на лични данни, във връзка с член 10 от тази директива относно специалните изисквания, приложими към обработването на чувствителни лични данни, сред които биометричните и генетичните данни. Той отбелязва по-специално, че това обработване трябва да отговаря на абсолютна необходимост, която трябва да се преценява особено стриктно с оглед на целите, преследвани с това обработване.
Съдът констатира, че понятието „цели на обработването“, макар да не е определено в Директива 2016/680, трябва да се разбира като отнасящо се до специфични и конкретни цели, преследвани с обработването на лични данни с оглед на задачата, възложена на администратора, като специфична задача, свързана с предотвратяването или разкриването на престъпленията или с осъществяване на разследването и наказателното преследване на престъпленията или изпълнението на наказанията.
В този контекст Съдът припомня изискванията относно условието за „абсолютна необходимост“, по-специално отчитането на особеното значение на преследваната с обработването цел и на всички релевантни данни, както и стриктния контрол за спазването на принципа за свеждане на данните до минимум на съответните данни(10). Съдът прави извод, че макар държава членка да може да се съобрази с Директива 2016/680 както като възложи на компетентните органи задачата да следят във всеки конкретен случай за спазването на условието всяко обработване на чувствителни лични данни да отговаря на абсолютна необходимост, така и като определи на законодателно равнище критерии за преценка, които органите трябва впоследствие да прилагат при обвързана компетентност, това не променя факта, че във втората хипотеза тези критерии трябва да са от такова естество, че да отговарят на всички изисквания, произтичащи от същото това условие.
Поради това Съдът приема, че член 6 и член 4, параграф 1, буква в) от Директива 2016/680, във връзка с член 10, допускат национална правна уредба, която позволява безразборното събиране на биометрични и генетични данни на всяко лице, срещу което е образувано производство за извършването на умишлено престъпление или които са заподозрени в извършването на такова престъпление, при условие че, от една страна, целите на това събиране не възлагат задължение за разграничаване между тези две категории лица, и че от друга страна, администраторите на данни са длъжни в съответствие с национална правна уредба, включително практиката на националните съдилища, да спазват всички конкретни принципи и изисквания, съдържащи се в членове 4 и 10 от тази директива.
На трето и последно място, Съдът разглежда въпроса дали установените с Директива 2016/680 изисквания допускат национална правна уредба, национална правна уредба, по силата на която необходимостта от продължаващо съхранение на биометрични и генетични данни се преценява от полицейските служби въз основа на вътрешни правила, без тази правна уредба да предвижда максимален срок за съхранение.
В това отношение, от една страна, що се отнася до обстоятелството, че съответната национална правна уредба не предвижда максимален срок за съхранение на тези данни, Съдът подчертава, че когато държава членка определя подходящи срокове за периодична проверка на необходимостта от съхранение на лични данни и по повод тази проверка трябва да се прецени абсолютната необходимост от продължаване на това съхранение, трябва да се приеме, че правото на съответната държава членка отговаря на изискванията, определени в Директива 2016/680. Така, дори в случай на съхранение на чувствителни лични данни, държавата членка не е длъжна да определя абсолютни срокове за съхранението на тези данни, след изтичането на които те автоматично трябва да бъдат заличени(11).
Съдът уточнява обаче, че за да са подходящи сроковете за проверка, е необходимо съхранените до този момент лични данни да бъдат изтрити, ако при някоя от извършените проверки съхранението на същите данни вече не изглежда абсолютно необходимо. Освен това тези срокове за проверка не могат да се считат за подходящи, ако промените в наказателноправното положение на субекта на данните, считани за релевантни с оглед на преследваната с това съхранение цел, не водят до задължение за администратора да преразгледа в разумен срок необходимостта от съхранение на данните на това лице.
От друга страна, що се отнася до обстоятелството, че необходимостта от продължаващо съхранение на биометрични и генетични данни се преценява от полицейските служби въз основа на вътрешни правила, Съдът отбелязва, че това обстоятелство само по себе си не противоречи на член 8, параграф 2 от Директива 2016/680, доколкото тези правила задължават въпросните служби да следят за спазването на условието за абсолютна необходимост от съхранение на тези данни, и че свободата на преценка на тези служби е достатъчно уредена в националното право, включително националната съдебна практика.
Ето защо, Съдът приема, че член 4, параграф 1, буква д) от Директива 2016/680 допуска национална правна уредба, по силата на която необходимостта от продължаващо съхранение на биометрични и генетични данни се преценява от полицейските служби въз основа на вътрешни правила, без тази правна уредба да предвижда максимален срок на съхранение, при условие че въпросната правна уредба предвижда подходящи срокове за редовна проверка на необходимостта от съхранение на тези данни и по повод тази проверка се преценява абсолютната необходимост от продължаване на това съхранение.
1      Директива (ЕС) 2016/680 на Европейския парламент и на Съвета от 27 април 2016 година на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания и относно свободното движение на такива данни, и за отмяна на Рамково решение 2008/977/ПВР на Съвета (OB L 119, 2016 г., стр. 89)
2      Съгласно чл. 65 от Zákon č. 273/2008 Sb., o Policii České republiky (Закон № 273/2008 за полицията на Чешката република), в редакцията, приложима към спора в главното производство.
3      Член 8, параграф 2 от Хартата на основните права на Европейския съюз (наричана по-нататък „Хартата“).
4      Решение от 16 ноември 2023 г., Roos и др./Парламент (C‑458/22 P, EU:C:2023:871, т. 61).
5      Вж. в този смисъл ЕСПЧ, решение от 23 януари 2025 г., H. W. с/у Франция, CE:ECHR:2025:0123JUD001380521, § 65.
6      Вж. по аналогия решение от 21 юни 2022 г., Ligue des droits humains, (C‑817/19, EU:C:2022:491, т. 114).
7      Вж. в това отношение решения от 8 април 2014 г., Digital Rights Ireland и др. (C‑293/12 и C‑594/12, EU:C:2014:238, т. 54), и от 6 октомври 2015 г., Schrems (C‑362/14, EU:C:2015:650, т. 91).
8      Вж. в този смисъл по-специално ЕСПЧ, решение от 26 април 1979 г., Sunday Times с/у Обединено кралство (CE:ECHR:1979:0426JUD00065387, § 25 и 52); ЕСПЧ, решение от 1 юли 2008 г., Liberty и др. с/у Обединеното кралство (CE:ECHR:2008:0701JUD005824300, § 62 и 63); ЕСПЧ, решение от 4 декември 2008 г., S. и Marper с/у Обединено кралство (CE:ECHR:2008:1204JUD003056204, § 95).
9      По-конкретно член 6 и член 4, параграф 1, буква в) от Директива 2016/680 във връзка с член 10.
10      Вж. в този смисъл решение от 26 януари 2023 г., Министерство на вътрешните работи (Регистрация на биометрични и генетични данни от полицията), C‑205/21, EU:C:2023:49, т. 125, 127 и 132).
11      Вж. в този смисъл решение от 30 януари 2024 г., Директор на Главна дирекция „Национална полиция“ при МВР София (C‑118/22, EU:C:2024:97, т. 52).