62023CJ0057
ARREST VAN HET HOF (Vijfde kamer)
20 november 2025 (
*1
)
„Prejudiciële verwijzing – Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, en betreffende het vrije verkeer van die gegevens – Richtlijn (EU) 2016/680 – Artikel 4, lid 1, onder c) en e) – Minimale gegevensverwerking – Beperking van de opslag van persoonsgegevens – Artikel 10 – Verzameling en opslag van biometrische en genetische gegevens – Strikte noodzakelijkheid – Artikel 6, onder a) – Verplichting om persoonsgegevens van verschillende categorieën personen te onderscheiden – Nationale wettelijke regeling op grond waarvan biometrische en genetische gegevens kunnen worden verzameld van eenieder die ervan wordt verdacht of beschuldigd opzettelijk een strafbaar feit te hebben gepleegd – Artikel 5 – Passende termijnen voor het wissen van persoonsgegevens of voor de periodieke evaluatie van de noodzaak van de opslag van die gegevens – Geen maximale opslagtermijn – Beoordeling door de politie op basis van interne regels van de noodzaak om biometrische en genetische gegevens op te slaan – Artikel 8, lid 2 – Rechtmatigheid van de verwerking van die gegevens – Begrip ‚lidstatelijk recht’ – Mogelijkheid om de nationale rechtspraak als ‚lidstatelijk recht’ aan te merken”
In zaak C‑57/23,
betreffende een verzoek om een prejudiciële beslissing krachtens artikel 267 VWEU, ingediend door de Nejvyšší správní soud (hoogste bestuursrechter, Tsjechië) bij beslissing van 26 januari 2023, ingekomen bij het Hof op 2 februari 2023, in de procedure
JH
tegen
Policejní prezidium,
wijst
HET HOF (Vijfde kamer),
samengesteld als volgt: M. L. Arastey Sahún, kamerpresident, J. Passer, E. Regan (rapporteur), D. Gratsias en B. Smulders, rechters,
advocaat-generaal: J. Richard de la Tour,
griffier: I. Illéssy, administrateur,
gezien de stukken en na de terechtzitting op 28 november 2024,
gelet op de opmerkingen van:
–
JH, vertegenwoordigd door M. Mandzák, L. Nezpěvák en L. Trojan, advokáti,
–
de Tsjechische regering, vertegenwoordigd door M. Smolek, O. Serdula, J. Vláčil, T. Suchá en L. Březinová als gemachtigden,
–
Ierland, vertegenwoordigd door M. Browne, Chief State Solicitor, A. Joyce en D. O’Reilly als gemachtigden, bijgestaan door A. Mulligan, BL,
–
de Nederlandse regering, vertegenwoordigd door J. Langer als gemachtigde,
–
de Poolse regering, vertegenwoordigd door B. Majczyna als gemachtigde,
–
de Europese Commissie, vertegenwoordigd door A. Bouchagiar, H. Kranenborg, P. Němečková en F. Wilman als gemachtigden,
gehoord de conclusie van de advocaat-generaal ter terechtzitting van 27 februari 2025,
het navolgende
Arrest
1
Het verzoek om een prejudiciële beslissing betreft de uitlegging van artikel 4, lid 1, onder c) en e), artikel 6, artikel 8, lid 2, en artikel 10 van richtlijn (EU) 2016/680 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, en betreffende het vrije verkeer van die gegevens en tot intrekking van kaderbesluit 2008/977/JBZ van de Raad (PB 2016, L 119, blz. 89).
2
Dit verzoek is ingediend in het kader van een geschil tussen JH en het Policejní prezidium (politiedirectoraat, Tsjechië) (hierna: „directoraat van de Tsjechische politie”) over met name het verzamelen van biometrische en genetische gegevens van JH in het kader van een strafprocedure en het opslaan daarvan door de Tsjechische politie.
Toepasselijke bepalingen
Unierecht
3
De overwegingen 1, 2, 26, 33, 37 en 96 van richtlijn 2016/680 zijn als volgt verwoord:
„(1)
De bescherming van natuurlijke personen bij de verwerking van persoonsgegevens is een grondrecht. Krachtens artikel 8, lid 1, van het Handvest van de grondrechten van de Europese Unie [(hierna: ‚Handvest’)] en artikel 16, lid 1, [VWEU] heeft eenieder recht op bescherming van de hem betreffende persoonsgegevens.
(2)
De beginselen en regels betreffende de bescherming van natuurlijke personen bij de verwerking van hun persoonsgegevens dienen, ongeacht hun nationaliteit of verblijfplaats, in overeenstemming te zijn met hun grondrechten en fundamentele vrijheden, met name met hun recht op bescherming van persoonsgegevens. [...]
[...]
(26)
Iedere verwerking van persoonsgegevens dient ten aanzien van de natuurlijke personen in kwestie rechtmatig, behoorlijk en transparant te zijn en uitsluitend te geschieden met het oog op specifieke, bij wet vastgestelde doeleinden. Dit belet als zodanig niet dat de rechtshandhavingsinstanties activiteiten verrichten zoals infiltratieoperaties of videobewaking. Die activiteiten kunnen worden verricht met het oog op de voorkoming, het onderzoek, de opsporing of de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid, voor zover de activiteiten bij wet zijn vastgelegd en in een democratische samenleving, met inachtneming van de legitieme belangen van de betrokken natuurlijke persoon, een noodzakelijke en evenredige maatregel vormen. [...] Natuurlijke personen moeten bewust worden gemaakt van de risico’s, regels, waarborgen en rechten in verband met de verwerking van hun persoonsgegevens, alsook van de wijze waarop zij hun rechten met betrekking tot de verwerking kunnen uitoefenen. Met name dienen de specifieke doeleinden waarvoor de persoonsgegevens worden verwerkt expliciet en legitiem te zijn, en te worden vastgesteld op het ogenblik dat de persoonsgegevens worden verzameld. De persoonsgegevens moeten toereikend en ter zake dienend zijn voor de doeleinden waarvoor zij worden verwerkt. [...] Persoonsgegevens mogen alleen worden verwerkt indien het doel van de verwerking niet redelijkerwijs op een andere manier kan worden verwezenlijkt. Om ervoor te zorgen dat gegevens niet langer worden bewaard dan noodzakelijk is, dient de verwerkingsverantwoordelijke termijnen vast te stellen voor het wissen van gegevens of voor een periodieke toetsing ervan. De lidstaten moeten voorzien in passende waarborgen voor persoonsgegevens die langer worden bewaard voor archivering in het algemeen belang of voor wetenschappelijk of historisch onderzoek of statistische doeleinden.
[...]
(33)
Wanneer in deze richtlijn wordt verwezen naar het lidstatelijke recht, een rechtsgrond of een wetgevingsmaatregel, betekent dit niet noodzakelijk dat een door een parlement vastgestelde wetgevingshandeling nodig is, onverminderd de constitutionele vereisten van de betrokken lidstaat. Dit lidstatelijke recht, die rechtsgrond of die wetgevingsmaatregel moet evenwel duidelijk en nauwkeurig zijn, en de toepassing daarvan moet voorspelbaar zijn voor degenen op wie deze van toepassing is, zoals vereist door de rechtspraak van het Hof van Justitie en het Europees Hof voor de Rechten van de Mens [(EHRM)]. In het lidstatelijke recht dat de verwerking van persoonsgegevens binnen het toepassingsgebied van deze richtlijn regelt, dienen ten minste de doeleinden, de te verwerken persoonsgegevens en de doeleinden van de verwerking te worden gespecificeerd, alsmede de procedures voor het vrijwaren van de integriteit en de vertrouwelijkheid van persoonsgegevens en de procedures voor de vernietiging ervan, zodat voldoende garanties worden geboden tegen het risico op misbruik en willekeur.
[...]
(37)
Persoonsgegevens die door hun aard bijzonder gevoelig zijn wat betreft de grondrechten en fundamentele vrijheden verdienen specifieke bescherming aangezien de context van de verwerking ervan aanzienlijke risico’s voor de grondrechten en fundamentele vrijheden kan meebrengen. Die persoonsgegevens dienen de persoonsgegevens te omvatten waaruit ras of etnische afkomst blijkt, waarbij het gebruik van de term ‚ras’ in deze verordening niet impliceert dat de Unie theorieën aanvaardt die erop gericht zijn vast te stellen dat er verschillende menselijke rassen bestaan. Dergelijke persoonsgegevens mogen slechts worden verwerkt indien bij de verwerking passende bij wet vastgelegde waarborgen gelden wat de rechten en vrijheden van de betrokkene betreft en zij is toegelaten in bij wet bepaalde gevallen; bij ontstentenis van zulke wet, indien de verwerking noodzakelijk is om de vitale belangen van de betrokkene of een andere persoon te beschermen; of indien de verwerking betrekking heeft op gegevens die de betrokkene zelf kennelijk openbaar heeft gemaakt. Passende waarborgen voor de rechten en vrijheden van de betrokkene kunnen bijvoorbeeld inhouden dat die gegevens enkel mogen worden verzameld in samenhang met andere gegevens over de natuurlijke persoon in kwestie, dat de verzamelde gegevens afdoende kunnen worden beveiligd, dat strengere regels gelden voor de toegang van het personeel van de bevoegde autoriteit tot de gegevens, en dat de doorzending van die gegevens wordt verboden. [...]
[...]
(96)
Voor de omzetting van deze richtlijn dienen de lidstaten te beschikken over een termijn van maximaal 2 jaar vanaf de datum van inwerkingtreding ervan. Verwerkingen die reeds gaande zijn op die datum dienen binnen twee jaar na de inwerkingtreding van deze richtlijn daarmee in overeenstemming te worden gebracht. Indien een dergelijke verwerking evenwel in overeenstemming is met het Unierecht dat vóór de datum van inwerkingtreding van deze richtlijn van toepassing is, mogen de voorschriften van deze richtlijn die betrekking hebben op de voorafgaande raadpleging van de toezichthoudende autoriteit, niet worden toegepast op de verwerkingsactiviteiten die reeds van vóór die datum gaande zijn, aangezien die voorschriften vanwege hun aard voorafgaand aan de verwerkingen dienen te worden vervuld. [...]
[...]”
4
Artikel 1 („Onderwerp en doelstellingen”) van deze richtlijn bepaalt in lid 1:
„Bij deze richtlijn worden de regels vastgesteld betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing of de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid.”
5
Artikel 2 („Toepassingsgebied”) van deze richtlijn bepaalt in lid 1:
„Deze richtlijn is van toepassing op de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de doeleinden van artikel 1, lid 1.”
6
Artikel 3 („Definities”) van die richtlijn luidt als volgt:
„Voor de toepassing van deze richtlijn wordt verstaan onder:
1.
‚persoonsgegevens’: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon (‚de betrokkene’); als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificatiemiddel zoals een naam, een identificatienummer, locatiegegevens, een online identificatiemiddel of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon;
2.
‚verwerking’: een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, bekendmaking door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens;
[...]
12.
‚genetische gegevens’: persoonsgegevens die verband houden met de overgeërfde of verworven genetische kenmerken van een natuurlijke persoon die unieke informatie verschaffen over de fysiologie of de gezondheid van die natuurlijke persoon en die met name voortkomen uit een analyse van een biologisch monster van die natuurlijke persoon;
13.
‚biometrische gegevens’: persoonsgegevens die het resultaat zijn van een specifieke technische verwerking met betrekking tot de fysieke, fysiologische of gedragsgerelateerde kenmerken van een natuurlijke persoon op grond waarvan eenduidige identificatie van die natuurlijke persoon mogelijk is of wordt bevestigd, zoals gezichtsafbeeldingen of vingerafdrukgegevens;
[...]”
7
Artikel 4 („Beginselen inzake verwerking van persoonsgegevens”) van richtlijn 2016/680 bepaalt in lid 1:
„De lidstaten schrijven voor dat persoonsgegevens:
a)
rechtmatig en eerlijk worden verwerkt;
b)
voor welbepaalde, uitdrukkelijk omschreven en legitieme doeleinden worden verzameld en niet op een met die doeleinden onverenigbare wijze worden verwerkt;
c)
toereikend, ter zake dienend en niet bovenmatig in verhouding tot de doeleinden waarvoor zij worden verwerkt, zijn;
d)
juist zijn en zo nodig worden geactualiseerd; alle redelijke maatregelen moeten worden genomen om de persoonsgegevens die, gelet op de doeleinden waarvoor zij worden verwerkt, onjuist zijn, onverwijld te wissen of te rectificeren;
e)
worden bewaard in een vorm die het mogelijk maakt de betrokkenen niet langer te identificeren dan noodzakelijk is voor de doeleinden waarvoor de persoonsgegevens worden verwerkt;
[...]”
8
Artikel 5 („Termijnen voor opslag en evaluatie”) van deze richtlijn luidt:
„De lidstaten voorzien erin dat passende termijnen worden vastgelegd voor het wissen van persoonsgegevens of voor een periodieke evaluatie van de noodzaak van de opslag van persoonsgegevens. De naleving van die termijnen wordt met procedurele maatregelen gewaarborgd.
9
Artikel 6 van deze richtlijn („Onderscheid tussen verschillende categorieën van betrokkenen”) luidt:
„De lidstaten schrijven voor dat de verwerkingsverantwoordelijke, in voorkomend geval en voor zover mogelijk, een duidelijk onderscheid maakt tussen persoonsgegevens betreffende verschillende categorieën van betrokkenen, zoals:
a)
personen ten aanzien van wie gegronde vermoedens bestaan dat zij een strafbaar feit hebben gepleegd of zullen plegen;
b)
personen die voor een strafbaar feit zijn veroordeeld;
c)
slachtoffers van een strafbaar feit, of personen ten aanzien van wie bepaalde feiten aanleiding geven tot het vermoeden dat zij het slachtoffer zouden kunnen worden van een strafbaar feit; en
d)
andere personen die bij een strafbaar feit betrokken zijn, zoals personen die als getuige kunnen worden opgeroepen in een onderzoek naar strafbare feiten of een daaruit voortvloeiende strafrechtelijke procedure, personen die informatie kunnen verstrekken over strafbare feiten, of personen die contact hebben of banden onderhouden met een van de personen als bedoeld onder a) en b).”
10
Artikel 8 („Rechtmatigheid van de verwerking”) van die richtlijn luidt:
„1.   De lidstaten zorgen ervoor dat verwerking alleen rechtmatig is indien en voor zover die verwerking noodzakelijk is voor de uitvoering door een bevoegde autoriteit van een taak voor de in artikel 1, lid 1, bedoelde doeleinden, en dat die verwerking gebaseerd is op het Unierecht of het lidstatelijke recht.
2.   In het lidstatelijke recht dat verwerking binnen het toepassingsgebied van deze richtlijn regelt, worden ten minste de verwerkingsdoeleinden, de te verwerken persoonsgegevens en de doeleinden van de verwerking gespecificeerd.”
11
Artikel 10 („Verwerking van bijzondere categorieën van persoonsgegevens”) van richtlijn 2016/680 bepaalt:
„Verwerking van persoonsgegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, of het lidmaatschap van een vakbond blijkt, en verwerking van genetische gegevens, biometrische gegevens met het oog op de unieke identificatie van een natuurlijke persoon, gegevens over gezondheid of gegevens over seksueel gedrag of seksuele gerichtheid van een natuurlijke persoon zijn slechts toegelaten wanneer de verwerking strikt noodzakelijk is, geschiedt met inachtneming van passende waarborgen voor de rechten en vrijheden van de betrokkene, en:
a)
bij het Unierecht of het lidstatelijke recht is toegestaan;
b)
noodzakelijk is om vitale belangen van de betrokkene of een andere natuurlijke persoon te beschermen; of
c)
die verwerking betrekking heeft op gegevens die kennelijk door de betrokkene zelf openbaar zijn gemaakt.”
12
Krachtens artikel 63, lid 1, van die richtlijn dienen de lidstaten uiterlijk op 6 mei 2018 de nodige wettelijke en bestuursrechtelijke bepalingen vast te stellen en bekend te maken teneinde aan de richtlijn te voldoen. Voorts moeten de lidstaten die bepalingen vanaf die datum toepassen.
13
Die richtlijn is overeenkomstig artikel 64 ervan op 5 mei 2016 in werking getreden.
Tsjechisch recht
14
§ 11 („Evenredigheid van handelingen”) van de zákon č. 273/2008 Sb., o Policii České republiky (wet nr. 273/2008 betreffende de politie van Tsjechië), in de op het hoofdgeding toepasselijke versie ervan (hierna: „wet betreffende de Tsjechische politie”), is in de volgende bewoordingen gesteld:
„Politieambtenaren en -medewerkers zijn verplicht om
[...]
c)
op zodanige wijze op te treden dat de eventuele inmenging in de rechten en vrijheden van de personen op wie de handeling betrekking heeft of van niet-betrokken personen niet verder gaat dan nodig is om het met die handeling nagestreefde doel te bereiken.”
15
§ 65 van de wet betreffende de Tsjechische politie bepaalt:
„(1)   Bij de uitoefening van haar taken kan de politie, met het oog op latere identificatie, in het geval van
a)
personen die ervan worden beschuldigd opzettelijk een strafbaar feit te hebben gepleegd of personen die ervan in kennis zijn gesteld dat zij ervan worden verdacht een dergelijk strafbaar feit te hebben gepleegd,
b)
personen die een vrijheidsstraf ondergaan wegens een opzettelijk gepleegd strafbaar feit,
c)
personen die onderworpen zijn aan medische dwangmaatregelen of veiligheidsdetentie, of
d)
gezochte personen die zijn gevonden en wier handelingsbekwaamheid beperkt is,
vingerafdrukken afnemen, fysieke kenmerken identificeren, lichaamsmetingen verrichten, video- en audio-opnamen alsmede soortgelijke opnamen maken en biologische monsters nemen om informatie over het genetisch materiaal van de betrokkene te verkrijgen.
(2)   Indien een in lid 1 bedoelde handeling niet kan worden uitgevoerd omdat de persoon zich daartegen verzet, heeft de politieambtenaar het recht dat verzet terzijde te schuiven nadat hij die persoon tevergeefs heeft verzocht zich aan de betrokken handeling te onderwerpen. De manier waarop de politieambtenaar dit verzet terzijde schuift, moet in verhouding staan tot de intensiteit van het verzet. Politieambtenaren mogen het verzet van een persoon in het geval van een bloedafname of een andere soortgelijke handeling waarbij de lichamelijke integriteit wordt aangetast, niet terzijde schuiven.
(3)   Indien een in lid 1 bedoelde handeling niet ter plaatse kan worden uitgevoerd, heeft de politieambtenaar het recht de betrokkene te doen verschijnen teneinde die handeling uit te voeren. Politieambtenaren laten die persoon vrij zodra die handeling is uitgevoerd.
(4)   Politieambtenaren stellen een verslag op over de uitgevoerde handelingen.
(5)   De politie wist de overeenkomstig lid 1 verkregen persoonsgegevens indien de verwerking van deze gegevens niet onontbeerlijk is voor het voorkomen, onderzoeken, opsporen of vervolgen van strafbare feiten of voor het waarborgen van de veiligheid van Tsjechië, de openbare orde of de binnenlandse veiligheid.”
16
§ 79 („Fundamentele bepalingen inzake de verwerking van persoonsgegevens bij de uitvoering van bepaalde politietaken”) bepaalt:
„(1)   De leden 2 tot en met 6 en de §§ 79a tot en met 88 zijn van toepassing op de verwerking van persoonsgegevens met het oog op het voorkomen, onderzoeken, opsporen en vervolgen van strafbare feiten, teneinde de veiligheid van Tsjechië of de openbare orde en de binnenlandse veiligheid te waarborgen, alsook met het oog op het opsporen van personen en zaken.
(2)   De politie mag persoonsgegevens verwerken indien dit noodzakelijk is om de in lid 1 genoemde doelstellingen te verwezenlijken. De politie kan ook persoonsgegevens verwerken ter bescherming van de zwaarwegende belangen van een betrokkene die verband houden met de in lid 1 genoemde doelstellingen.
[...]”
17
In § 82 van die wet („Evaluatie van de noodzaak tot verdere verwerking van persoonsgegevens”) is bepaald:
„(1)   De politie evalueert ten minste om de drie jaar of de persoonsgegevens die voor de in § 79, lid 1, bedoelde doeleinden zijn verwerkt, nog steeds noodzakelijk zijn voor de uitvoering van haar taken op dit gebied.
(2)   Met het oog op de in lid 1 bedoelde evaluatie kan de politie een uittreksel uit het strafregister verlangen.
(3)   Met het oog op de in lid 1 bedoelde evaluatie en binnen de grenzen van hun bevoegdheden stellen de handhavings- en gerechtelijke autoriteiten, de Ministerstvo spravedlnosti (ministerie van Justitie, Tsjechië), de Ústavní soud (grondwettelijk hof, Tsjechië) en de Kancelář prezidenta republiky (kabinet van de president van de Republiek, Tsjechië) de politie voortdurend in kennis van hun onherroepelijke beslissingen, de verjaring van strafvervolgingen, de tenuitvoerlegging van een straf of beslissingen van de president van de Republiek met betrekking tot strafprocedures, straffen of verleende amnestie of gratie.”
Hoofdgeding en prejudiciële vragen
18
Bij besluit van 11 december 2015 heeft de autoriteit voor de opsporing van corruptie en financiële criminaliteit van de groep criminele politie en recherche van de afdeling Pilsen (Tsjechië), een Tsjechische politieautoriteit die nationaal bevoegd is, een strafprocedure tegen JH ingeleid wegens de niet-nakoming van zijn verplichtingen bij het beheren van andermans vermogen.
19
In het kader van de betrokken strafprocedure heeft de Tsjechische politie op 13 januari 2016 om te beginnen JH verhoord en, ondanks het feit dat JH het er niet mee eens was, een aantal identificatiehandelingen gelast en uitgevoerd. Zo heeft zij vingerafdrukken en een wanguitstrijkje van JH afgenomen, aan de hand waarvan zij een DNA-profiel heeft gecreëerd. Daarnaast heeft zij foto’s van JH gemaakt en een beschrijving van hem opgesteld. Vervolgens heeft zij deze gegevens ingevoerd in de relevante databanken.
20
Bij uitspraak van 15 maart 2017 heeft de Městský soud v Praze (rechter voor de stad Praag, Tsjechië) geoordeeld dat JH verplichtingen bij het beheren van andermans vermogen niet was nagekomen, als medeplichtige, en dat hij zijn bevoegdheden als openbaar ambtenaar had misbruikt. Die rechter heeft JH een voorwaardelijke vrijheidsstraf van drie jaar opgelegd en een verbod van vier jaar om binnen de overheid bestuursfuncties uit te oefenen, met inbegrip van het beheer van onroerende en roerende goederen, en ook veroordeeld om de veroorzaakte schade naar zijn vermogen te vergoeden.
21
Op 8 maart 2016 heeft JH beroep ingesteld bij de Městský soud v Praze, strekkende tot vaststelling dat de uitvoering van de identificatiehandelingen overeenkomstig § 65 van de wet betreffende de Tsjechische politie, de opslag van de verkregen informatie en monsters en de inschrijving in de databanken van de Tsjechische politie een onrechtmatige inmenging vormden in zijn grondrecht op eerbiediging van het privéleven.
22
Aangezien de Městský soud v Praze de Ústavní soud (grondwettelijk hof, Tsjechië) reeds in het kader van een andere, reeds aanhangige zaak had gevraagd of § 65 van de wet betreffende de Tsjechische politie grondwettig is, heeft eerstgenoemde het onderzoek van het door JH ingestelde beroep opgeschort.
23
Bij beslissing van 22 maart 2022 heeft de Ústavní soud het verzoek van de Městský soud v Praze dat ertoe strekte § 65 van de wet betreffende de Tsjechische politie ongrondwettig te verklaren, afgewezen. Na die beslissing heeft die laatste rechter het onderzoek van het door JH ingestelde beroep voortgezet.
24
Bij arrest van 23 juni 2022 heeft de Městský soud v Praze het beroep van JH toegewezen en geoordeeld dat de door de Tsjechische politie uitgevoerde handelingen van 13 januari 2016 onrechtmatig waren. Vervolgens heeft deze rechter de Tsjechische politie gelast alle op grond van die handelingen verkregen persoonsgegevens uit haar databanken te wissen.
25
In dat arrest heeft die rechter benadrukt dat de afname van genetisch materiaal een aanzienlijke inmenging vormt in het grondrecht op eerbiediging van het privéleven van de betrokkene, dat met name wordt beschermd door artikel 8 van het op 4 november 1950 te Rome ondertekende Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden (EVRM) en door artikel 10, lid 3, van de Listina základních práv a svobod (handvest van de grondrechten en fundamentele vrijheden van de Tsjechische Republiek). § 65 van de wet betreffende de Tsjechische politie bevat onvoldoende aanknopingspunten om de evenredigheid van deze inmenging te beoordelen. Vóór de afname van genetisch materiaal gaat de Tsjechische politie overeenkomstig § 65 immers slechts na of het strafbare feit „opzettelijk” is gepleegd.
26
Die rechter heeft er bovendien op gewezen dat JH er slechts van werd beschuldigd een licht strafbaar feit te hebben gepleegd, dat wil zeggen een minder ernstig strafbaar feit, dat zijn vrijheidsstraf voorwaardelijk was, wat de minder ernstige aard van de ten last gelegde feiten bevestigt, dat hij nooit eerder was veroordeeld in een strafprocedure, dat recidive onwaarschijnlijk was en dat het niet zeker was dat de gepleegde strafbare feiten van dien aard waren dat de daders in de toekomst een strafbaar feit zouden plegen waarbij de in de databanken opgeslagen persoonsgegevens zouden kunnen bijdragen tot de identificatie van de daders. Hij heeft hieruit afgeleid dat de identificatiehandelingen die de Tsjechische politie had uitgevoerd en waarop het hoofdgeding betrekking had, niet voldeden aan het evenredigheidsvereiste.
27
Het directoraat van de Tsjechische politie heeft tegen deze uitspraak cassatieberoep ingesteld bij de Nejvyšší správní soud (hoogste bestuursrechter, Tsjechië), de verwijzende rechter.
28
Ter ondersteuning van zijn cassatieberoep heeft het directoraat van de Tsjechische politie aangevoerd dat het doel van de verwerking van persoonsgegevens duidelijk in § 65 van de wet betreffende de Tsjechische politie is geformuleerd. Voorts heeft het verklaard dat de bevoegde autoriteiten van de Tsjechische politie in casu de evenredigheid van de verzameling en de opslag van de persoonsgegevens van JH hadden beoordeeld, rekening houdend met de recidivefactor, met de mogelijke escalatie van de betreffende gedragingen en met het feit dat JH in het verleden reeds meerdere overtredingen heeft begaan.
29
In antwoord hierop heeft JH met name erop gewezen dat de Tsjechische politieautoriteiten de identificatiehandelingen hadden uitgevoerd zonder eerst de evenredigheid van de betrokken inmenging te beoordelen. JH heeft ook kritiek geuit op het feit dat de richtsnoeren van de Tsjechische politie betreffende de uitvoering van identificatiehandelingen niet openbaar worden gemaakt.
30
De verwijzende rechter beklemtoont dat het krachtens zijn meest recente rechtspraak niet volstaat om louter de formele vereisten van § 65, lid 1, van de wet betreffende de Tsjechische politie, in het bijzonder het vereiste inzake de kwalificatie als „opzettelijk” gepleegd strafbaar feit, in acht te nemen om het verzamelen en het opslaan van de in de dit artikel bedoelde persoonsgegevens als rechtmatig te kunnen beschouwen. Zo zijn de politieautoriteiten verplicht om in elk concreet geval te beoordelen of de verzameling van persoonsgegevens evenredig is, waarbij zij met name rekening moeten houden met het strafrechtelijke verleden van de betrokkene, de persoonlijkheid en het gedrag van de betrokkene, de ernst van het strafbare feit waarvoor deze persoon is opgeroepen met het oog op de uitvoering van identificatiehandelingen en, in het kader van een verzoek tot gegevenswissing achteraf, de tijd die is verstreken sinds het strafbare feit is gepleegd.
31
Op grond van deze rechtspraak hebben de nationale rechters geoordeeld dat identificatiehandelingen, zoals het verzamelen van biometrische en genetische gegevens, onrechtmatig waren, met name in het geval van strafbare feiten die zonder geweld werden gepleegd door niet eerder veroordeelde personen.
32
In die omstandigheid stelt de verwijzende rechter zich vragen over de verenigbaarheid van de wettelijke regeling die is vastgesteld in § 65 van de wet betreffende de Tsjechische politie met richtlijn 2016/680.
33
In de eerste plaats vraagt deze rechter zich af of de voorschriften van die richtlijn zich verzetten tegen het ongedifferentieerd verzamelen van biometrische en genetische gegevens van eenieder die ervan wordt verdacht opzettelijk een strafbaar feit te hebben gepleegd.
34
Ten eerste vloeit uit de rechtspraak van het EHRM inzake het grondrecht op eerbiediging van het privéleven, zoals gewaarborgd door artikel 8 EVRM, voort dat de verdragsluitende partijen een onderscheid moeten maken tussen strafbare feiten waarvoor monsters van desoxyribonucleïnezuur (DNA) worden verzameld naargelang van de ernst van de strafbare feiten voor de maatschappij. De verdragsluitende partijen mogen daders van ernstige strafbare feiten, zoals die welke met geweld zijn gepleegd, en waarvoor de afname en bewaring van DNA-monsters legitiem is, niet op dezelfde wijze behandelen als daders van minder ernstige strafbare feiten.
35
Ten tweede doen de vereisten die voortvloeien uit het evenredigheidsbeginsel, zoals met name de vereisten die binnen de werkingssfeer van richtlijn 2016/680 zijn geconcretiseerd in de vorm van het beginsel van minimale gegevensverwerking en de verplichting om een onderscheid te maken tussen verschillende categorieën van betrokkenen, zoals respectievelijk neergelegd in artikel 4, lid 1, onder c), en artikel 6 ervan, de vraag rijzen of het voldoende is om een abstract onderscheid in te voeren op wetgevend niveau naargelang van met name de ernst van de betreffende strafbare feiten, dan wel of in elk specifiek geval concreet moet worden beoordeeld of de afname evenredig was.
36
In de tweede plaats vraagt de verwijzende rechter zich af of de voorschriften van richtlijn 2016/680 zich verzetten tegen de opslag van biometrische en genetische gegevens zonder dat in dat verband uitdrukkelijk in een beperking in de tijd is voorzien. Bovendien stelt de toepasselijke nationale regeling geen maximumtermijn voor de bewaring van identificatiegegevens vast. Volgens de lezing van de rechtspraak van het EHRM door de verwijzende rechter vereist die rechtspraak dat een dergelijke maximumtermijn wordt gesteld.
37
In de derde plaats vraagt de verwijzende rechter zich af of de rechtspraak van de Tsjechische bestuursrechters kan worden aangemerkt als „lidstatelijk recht”, in de zin van artikel 8 van deze richtlijn, waarin de voorwaarden voor de rechtmatigheid van de verwerking van persoonsgegevens zijn neergelegd.
38
§ 65 van de wet betreffende de Tsjechische politie preciseert namelijk noch de concrete voorwaarden voor het opslaan en de soorten informatie die uit het afgenomen monster kunnen worden gehaald, noch de voorwaarden voor het opslaan en wissen van biometrische en genetische gegevens, zodat deze bepaling op zich niet voldoet aan de voorschriften van artikel 8, lid 2, van richtlijn 2016/680, gelezen in samenhang met artikel 10 van die richtlijn.
39
§ 65 wordt weliswaar aangevuld met richtsnoeren van het hoofd van de politie waarmee uitvoering wordt gegeven aan die bepaling, maar die richtsnoeren zijn geen regelgevende teksten en zijn evenmin gepubliceerd, zodat zij in geen geval kunnen worden aangemerkt als „lidstatelijk recht” in de zin van artikel 8, lid 2, van richtlijn 2016/680.
40
Bijgevolg rijst de vraag of lidstatelijk recht kan worden geacht te voorzien in voldoende materiële en procedurele waarborgen voor de verwerking van gevoelige gegevens in de zin van artikel 10 van die richtlijn, zoals biometrische en genetische gegevens, wanneer die waarborgen door de rechtspraak worden geboden.
41
In deze omstandigheden heeft de Nejvyšší správní soud de behandeling van de zaak geschorst en het Hof verzocht om een prejudiciële beslissing over de volgende vragen:
„1.
Welke mate van onderscheid dient te worden gemaakt tussen de verschillende betrokkenen krachtens artikel 4, lid 1, onder c), en artikel 6 [van richtlijn 2016/680], gelezen in samenhang met artikel 10 van [deze richtlijn]? Is het verenigbaar met de verplichting om de verwerking van persoonsgegevens tot een minimum te beperken en om een onderscheid te maken tussen verschillende categorieën van betrokkenen dat in de nationale wetgeving wordt toegestaan dat genetische gegevens worden verzameld van eenieder die ervan wordt verdacht of beschuldigd opzettelijk een strafbaar feit te hebben gepleegd?
2.
Is het verenigbaar met artikel 4, lid 1, onder e), van richtlijn 2016/680 dat, gelet op de algemene doelstelling van het voorkomen en opsporen van criminaliteit, de noodzaak om een DNA-profiel langer te bewaren door de politieautoriteiten wordt beoordeeld op basis van hun interne regelgeving, wat in de praktijk vaak inhoudt dat gevoelige persoonsgegevens voor onbepaalde tijd worden bewaard, zonder dat een maximumtermijn voor de bewaring van dergelijke persoonsgegevens wordt vastgesteld? Indien dit niet in overeenstemming is met de genoemde bepaling, volgens welke criteria moet dan de evenredigheid worden beoordeeld wat de duur van de bewaring van voor een dergelijk doel verzamelde en bewaarde persoonsgegevens betreft?
3.
Wat is de minimale draagwijdte van de materiële en procedurele voorwaarden voor het verzamelen, bewaren en wissen van bijzonder gevoelige persoonsgegevens als bedoeld in artikel 10 van richtlijn 2016/680, waarbij die draagwijdte moet worden geregeld in ‚bepalingen van algemene strekking’ van het lidstatelijke recht? Kan ook de rechtspraak worden aangemerkt als ‚lidstatelijk recht’ in de zin van artikel 8, lid 2, gelezen in samenhang met artikel 10 van [deze richtlijn]?”
Beantwoording van de prejudiciële vragen
Derde vraag
42
Met zijn derde vraag, die als eerste moet worden onderzocht, wenst de verwijzende rechter in essentie te vernemen of de artikelen 8 en 10 van richtlijn 2016/680 aldus moeten worden uitgelegd dat, wat het verzamelen, opslaan en wissen van biometrische en genetische gegevens betreft, het begrip „lidstatelijk recht” in de zin van die bepalingen aldus moet worden begrepen dat het enkel betrekking heeft op een bepaling van algemene strekking die de minimale voorwaarden voor het verzamelen, opslaan en wissen van dergelijke gegevens vaststelt, dan wel of de rechtspraak van de nationale rechterlijke instanties die deze voorwaarden nader bepaalt ook onder dat begrip kan vallen.
43
In dat verband zij eraan herinnerd dat overeenkomstig artikel 3, punt 2, van richtlijn 2016/680, gelezen in het licht van artikel 3, punten 12 en 13 ervan, het verzamelen, opslaan en wissen van biometrische en genetische gegevens verwerkingen van persoonsgegevens in de zin van die richtlijn vormen.
44
Artikel 4 van richtlijn 2016/680 bevat verschillende beginselen die op die verwerkingen van toepassing zijn. Zoals blijkt uit de overwegingen 1 en 2 van die richtlijn, geven die beginselen binnen de grenzen van artikel 52 van het Handvest weer hoe de Uniewetgever het grondrecht van natuurlijke personen op bescherming van hun persoonsgegevens, dat is erkend in artikel 8 van het Handvest en nauw samenhangt met het in artikel 7 van het Handvest neergelegde recht op eerbiediging van het privéleven, heeft willen concretiseren in verband met die verwerkingen, rekening houdend met de specifieke aard van de activiteiten bestaande in het voorkomen, onderzoeken, opsporen of vervolgen van strafbare feiten of het tenuitvoerleggen van een straf.
45
Een van deze beginselen is vastgelegd in artikel 4, lid 1, onder a), van richtlijn 2016/680, waarin wordt bepaald dat persoonsgegevens rechtmatig en eerlijk moeten worden verwerkt.
46
Artikel 8, lid 1, van richtlijn 2016/680 geeft in dat verband aan dat de lidstaten ervoor moeten zorgen dat een verwerking van persoonsgegevens die binnen het toepassingsgebied van deze richtlijn valt alleen rechtmatig is indien en voor zover die verwerking noodzakelijk is voor de uitvoering door een bevoegde autoriteit van een taak voor de in artikel 1, lid 1, van deze richtlijn bedoelde doeleinden, en dat die verwerking gebaseerd is op het Unierecht of het lidstatelijke recht.
47
Voorts kunnen krachtens artikel 8, lid 2, van die richtlijn dergelijke gegevens slechts worden verwerkt indien in het lidstatelijke recht dat die verwerking regelt, ten minste de verwerkingsdoeleinden, de te verwerken persoonsgegevens en de doeleinden van de verwerking worden gespecificeerd.
48
Wat bepaalde categorieën persoonsgegevens betreft, zoals biometrische of genetische gegevens, beoogt artikel 10 van richtlijn 2016/680 een versterkte bescherming te bieden door strengere voorwaarden voor de rechtmatigheid van de verwerking van dergelijke gegevens vast te stellen [zie in die zin arresten van 30 januari 2024, Direktor na Glavna direktsia Natsionalna politsia pri MVR – Sofia, C‑118/22, EU:C:2024:97, punt 48, en 4 oktober 2024, Bezirkshauptmannschaft Landeck (Poging tot het verkrijgen van toegang tot op een mobiele telefoon opgeslagen persoonsgegevens), C‑548/21, EU:C:2024:830, punt 107]. Die categorieën van gegevens zijn namelijk, zoals wordt benadrukt in overweging 37 van die richtlijn, door hun aard bijzonder gevoelig wat betreft de grondrechten en fundamentele vrijheden aangezien de context van de verwerking ervan aanzienlijke risico’s voor de grondrechten en fundamentele vrijheden van de betrokkenen kan meebrengen.
49
Overeenkomstig artikel 10 van richtlijn 2016/680 moet dus elke verwerking van persoonsgegevens die onder een van de in dat artikel limitatief opgesomde categorieën (hierna: „gevoelige persoonsgegevens”) vallen, bij het Unierecht of het lidstatelijke recht zijn toegestaan.
50
Hieruit volgt dat de artikelen 8 en 10 van richtlijn 2016/680 ertoe strekken de draagwijdte te preciseren van bepaalde in artikel 4 van die richtlijn neergelegde beginselen, die op het door deze richtlijn bestreken gebied met name het in artikel 8 van het Handvest erkende grondrecht van natuurlijke personen op bescherming van hun persoonsgegevens concretiseren.
51
Het in die artikelen 8 en 10 gebruikte begrip „lidstatelijk recht” moet derhalve aldus worden begrepen dat het op het door richtlijn 2016/680 bestreken gebied uitvoering geeft aan de in artikel 8, lid 2, van het Handvest neergelegde voorwaarde dat elke verwerking van persoonsgegevens die niet op basis van de toestemming van de betrokkene gebeurt, moet gebeuren op basis van een andere gerechtvaardigde grondslag waarin de wet voorziet. Die voorwaarde weerspiegelt slechts het in artikel 52 van het Handvest gestelde vereiste dat beperkingen op de uitoefening van de in het Handvest erkende grondrechten bij wet worden gesteld. Dat begrip heeft dus betrekking op de geldigheid van het gebruik van nationaal recht als rechtsgrond voor de verwerking van persoonsgegevens.
52
Ten eerste heeft Het Hof, zoals de advocaat-generaal heeft beklemtoond in punt 82 van zijn conclusie, rekening houdend met vaste rechtspraak van het EHRM geoordeeld dat het begrip „wet” dat in artikel 8, lid 2, van het Handvest wordt gebruikt in de uitdrukking „grondslag waarin de wet voorziet”, moet worden opgevat in zijn materiële en niet in zijn formele betekenis (arrest van 16 november 2023, Roos e.a./Parlement, C‑458/22 P, niet gepubliceerd, EU:C:2023:871, punt 61). Ten tweede houdt die betekenis van het begrip „wet” in de uitdrukking „bij de wet is voorzien” in artikel 8, lid 2, EVRM volgens die rechtspraak van het EHRM in dat dit begrip ziet op de geldende tekst zoals uitgelegd door de bevoegde rechterlijke instanties (zie in die zin EHRM, 23 januari 2025, H. W. tegen Frankrijk, CE:ECHR:2025:0123JUD 001380521, punt 65).
53
Zoals volgt uit de rechtspraak van het Hof, houdt voorts het vereiste dat elke beperking op de uitoefening van de in het Handvest erkende grondrechten bij wet wordt gesteld, weliswaar in dat de handeling die de inmenging in die rechten toestaat zelf de reikwijdte van die beperking bepaalt, maar verzet dit vereiste er zich niet tegen dat, ten eerste, de betrokken beperking in voldoende open bewoordingen is geformuleerd om te kunnen worden toegepast op verschillende gevallen en aangepast aan veranderende omstandigheden en, ten tweede, de bevoegde rechter in voorkomend geval via uitlegging de concrete reikwijdte van die beperking kan verduidelijken aan de hand van de bewoordingen zelf van de handeling die de inmenging toestaat alsook de algemene opzet van die handeling en de erdoor nagestreefde doelstellingen (zie naar analogie arrest van 21 juni 2022, Ligue des droits humains, C‑817/19, EU:C:2022:491, punt 114).
54
Bijgevolg moet het begrip „lidstatelijk recht” in de zin van de artikelen 8 en 10 van richtlijn 2016/680, gelezen in het licht van artikel 8, lid 2, van het Handvest, aldus worden begrepen dat het kan verwijzen naar een bepaling die uitdrukkelijk voorziet in een verwerking van persoonsgegevens binnen het toepassingsgebied van die richtlijn, zoals die bepaling wordt uitgelegd in de rechtspraak van de nationale rechterlijke instanties.
55
Zoals in punt 47 van dit arrest is opgemerkt, bepaalt artikel 8, lid 2, van richtlijn 2016/680 hoe dan ook dat een verwerking van persoonsgegevens binnen het toepassingsgebied van deze richtlijn slechts mogelijk is indien in het lidstatelijke recht dat die verwerking regelt ten minste de verwerkingsdoeleinden, de te verwerken persoonsgegevens en de doeleinden van de verwerking worden gespecificeerd.
56
In dat verband dient er ten eerste op te worden gewezen dat de verwijzing naar het lidstatelijke „recht” dat de betrokken verwerking „regelt” impliceert dat de verwerkingsdoeleinden, de te verwerken persoonsgegevens en de doeleinden van de verwerking op zijn minst in beginsel zijn neergelegd in een bepaling van algemene strekking. Ten tweede beoogt artikel 8, lid 2, van richtlijn 2016/680, zoals uitdrukkelijk voortvloeit uit overweging 33 van die richtlijn, dat het recht van de voor de verwerking verantwoordelijke lidstaat duidelijk en nauwkeurig is, en dat de toepassing daarvan voorspelbaar is voor degenen op wie deze van toepassing is, zoals vereist door de rechtspraak van het Hof en het EHRM.
57
Volgens de rechtspraak van het EHRM moet elke maatregel die de rechtsgrondslag vormt voor een verwerking van persoonsgegevens bepaalde kenmerken hebben. Die maatregel moet in essentie om te beginnen in overeenstemming zijn met hogere normen, vervolgens toegankelijk zijn en tot slot voldoende voorzienbaar zijn, dat wil zeggen in een mate die in de omstandigheden van het geval redelijk is, om de betrokken personen in staat te stellen hun handelwijze te bepalen, wat veronderstelt dat deze maatregel de strekking en de wijze van uitoefening van de aan de bevoegde autoriteiten verleende bevoegdheid voldoende duidelijk omschrijft (zie in die zin met name EHRM, 26 april 1979, Sunday Times tegen Verenigd Koninkrijk, CE:ECHR:1979:0426JUD00065387, §§ 25 en 52; EHRM, 1 juli 2008, Liberty e.a. tegen Verenigd Koninkrijk, CE:ECHR:2008:0701JUD005824300, §§ 62 en 63; EHRM, 4 december 2008, S. en Marper tegen Verenigd Koninkrijk, CE:ECHR:2008:1204JUD003056204, § 95).
58
Evenzo blijkt uit de rechtspraak van het Hof dat een regeling die een inmenging in de door de artikelen 7 en 8 van het Handvest gewaarborgde grondrechten met zich brengt, om te voldoen aan het in artikel 52 van het Handvest neergelegde vereiste dat zij bij wet is gesteld, duidelijke en precieze regels betreffende de draagwijdte en de toepassing van een maatregel moet bevatten die minimale vereisten opleggen, zodat de personen van wie de persoonsgegevens aan de orde zijn, over voldoende garanties beschikken dat hun gegevens doeltreffend worden beschermd tegen het risico van misbruik en tegen elke onrechtmatige raadpleging en elk onrechtmatig gebruik van deze gegevens (zie arresten van 8 april 2014, Digital Rights Ireland e.a., C‑293/12 en C‑594/12, EU:C:2014:238, punt 54, en 6 oktober 2015, Schrems, C‑362/14, EU:C:2015:650, punt 91).
59
Aangezien artikel 8, lid 2, van richtlijn 2016/680 de naleving van de in de punten 56 en 57 van het onderhavige arrest in herinnering gebrachte vereisten beoogt te waarborgen, volgt hieruit dat voor een verwerking binnen het toepassingsbied van deze richtlijn de verwerkingsdoeleinden, de betrokken persoonsgegevens en de doeleinden ervan voldoende duidelijk en nauwkeurig moeten blijken uit het recht dat die verwerking zelf regelt, opdat die verwerking kan worden geacht te voldoen aan het vereiste dat zij bij wet is gesteld in de zin van de rechtspraak van het EHRM en van artikel 52 van het Handvest.
60
Gelet op het voorgaande moet op de derde vraag worden geantwoord dat de artikelen 8 en 10 van richtlijn 2016/680 aldus moeten worden uitgelegd dat, wat het verzamelen, opslaan en wissen van biometrische en genetische gegevens betreft, het begrip „lidstatelijk recht” in de zin van die bepalingen aldus moet worden begrepen dat het betrekking heeft op een bepaling van algemene strekking die de minimale voorwaarden voor het verzamelen, opslaan en wissen van dergelijke gegevens vaststelt, zoals die bepaling wordt uitgelegd in de rechtspraak van de nationale rechterlijke instanties, voor zover die rechtspraak toegankelijk en voldoende voorzienbaar is.
Eerste vraag
Ontvankelijkheid
61
In haar schriftelijke opmerkingen heeft de Europese Commissie aangevoerd dat de eerste vraag niet-ontvankelijk is daar het afnemen van genetisch materiaal van en het uitvoeren van biometrische metingen bij JH door de Tsjechische politie heeft plaatsgevonden op 13 januari 2016, dat wil zeggen vóór de inwerkingtreding van richtlijn 2016/680 op 5 mei 2016 en vóór het verstrijken – op 6 mei 2018 – van de in artikel 63, lid 1, van deze richtlijn vastgestelde omzettingstermijn.
62
Dienaangaande zij eraan herinnerd dat het Hof slechts kan weigeren uitspraak te doen op een prejudiciële vraag van een nationale rechterlijke instantie wanneer duidelijk blijkt dat de gevraagde uitlegging van het Unierecht geen verband houdt met een reëel geschil of met het voorwerp van het hoofdgeding, het vraagstuk van hypothetische aard is, of het Hof niet beschikt over de gegevens, feitelijk en rechtens, die noodzakelijk zijn om een nuttig antwoord te geven op de gestelde vragen (arrest van 20 maart 2025, Anib e.a., C‑728/22–C‑730/22, EU:C:2025:200, punt 48).
63
Wat de onderhavige zaak betreft, bepaalt artikel 64 van richtlijn 2016/680 dat die richtlijn in werking treedt op 5 mei 2016, terwijl artikel 63 van die richtlijn preciseert dat de lidstaten uiterlijk op 6 mei 2018 de nodige wettelijke en bestuursrechtelijke bepalingen moeten vaststellen en bekendmaken teneinde aan deze richtlijn te voldoen.
64
Uit het dossier waarover het Hof beschikt blijkt evenwel dat de persoonsgegevens die op 13 januari 2016 aan de hand van genetische afnamen en biometrische gegevens bij JH zijn verzameld, in de databanken van de Tsjechische politie bewaard zijn gebleven en dus ook na 6 mei 2018 zijn verwerkt.
65
Onverminderd de in artikel 4, lid 2, van richtlijn 2016/680 bedoelde situaties volgt uit artikel 4, lid 1, onder b), van die richtlijn dat persoonsgegevens niet mogen worden verwerkt indien het verzamelen ervan niet door legitieme doeleinden is gerechtvaardigd.
66
Zoals de advocaat-generaal in punt 34 van zijn conclusie heeft beklemtoond, mogen persoonsgegevens die onder richtlijn 2016/680 vallen en die vóór de inwerkingtreding ervan rechtmatig zijn verzameld maar die in strijd met de beginselen van die richtlijn zouden zijn verzameld indien dat was gebeurd na de datum waarop die richtlijn is omgezet of, bij gebreke daarvan, na de uiterste datum waarop zij had moeten zijn omgezet, namelijk op 6 mei 2018, derhalve niet worden opgeslagen na de datum waarop die richtlijn is omgezet of, bij gebreke daarvan, na de uiterste datum waarop zij had moeten zijn omgezet.
67
In casu blijkt dus niet duidelijk dat de eerste vraag kennelijk geen verband houdt met een reëel geschil of met het voorwerp van het hoofdgeding, of dat het vraagstuk van hypothetische aard is, op grond van het door de Commissie aangevoerde argument dat die vraag betrekking heeft op biometrische en genetische gegevens die vóór de inwerkingtreding van richtlijn 2016/680 zijn verzameld.
68
Aangezien het Hof voorts over alle feitelijke en juridische gegevens beschikt die nodig zijn om een nuttig antwoord te kunnen geven op de eerste vraag, moet die vraag ontvankelijk worden verklaard.
Ten gronde
69
Met zijn eerste vraag wenst de verwijzende rechter in essentie te vernemen of artikel 6 of artikel 4, lid 1, onder c), van richtlijn 2016/680, gelezen in samenhang met artikel 10 van deze richtlijn, aldus moet worden uitgelegd dat het zich verzet tegen een nationale regeling op grond waarvan zonder onderscheid biometrische en genetische gegevens kunnen worden verzameld van eenieder die ervan wordt verdacht of beschuldigd opzettelijk een strafbaar feit te hebben gepleegd.
70
Wat in de eerste plaats artikel 6 van richtlijn 2016/680 betreft, zij er dienaangaande aan herinnerd dat deze bepaling de lidstaten verplicht voor te schrijven dat de verwerkingsverantwoordelijke, „in voorkomend geval en voor zover mogelijk”, een duidelijk onderscheid maakt tussen persoonsgegevens betreffende verschillende categorieën van betrokkenen, zoals de categorieën die worden genoemd onder a) tot en met d) van dat artikel, namelijk, respectievelijk personen ten aanzien van wie gegronde vermoedens bestaan dat zij een strafbaar feit hebben gepleegd of zullen plegen, personen die voor een strafbaar feit zijn veroordeeld, slachtoffers van een strafbaar feit, of personen ten aanzien van wie bepaalde feiten aanleiding geven tot het vermoeden dat zij het slachtoffer zouden kunnen worden van een strafbaar feit en, ten slotte, andere personen die bij een strafbaar feit betrokken zijn, zoals personen die als getuige kunnen worden opgeroepen in een onderzoek naar strafbare feiten of een daaruit voortvloeiende strafrechtelijke procedure, personen die informatie kunnen verstrekken over strafbare feiten, of personen die contact hebben of banden onderhouden met een van de personen als bedoeld in artikel 6, onder a) en b).
71
Overeenkomstig die bepaling moeten de lidstaten er dus voor zorgen dat de verwerkingsverantwoordelijke, „in voorkomend geval en voor zover mogelijk”, een duidelijk onderscheid maakt tussen de persoonsgegevens betreffende verschillende categorieën van betrokkenen, zodat die betrokkenen, ongeacht tot welke categorie zij behoren, niet zonder onderscheid in dezelfde mate worden geraakt in hun grondrecht op bescherming van persoonsgegevens, waarbij die categorieën hoofdzakelijk moeten worden vastgelegd op basis van de strafrechtelijke status van de betrokkene.
72
Zoals de uitdrukking „in voorkomend geval en voor zover mogelijk” in artikel 6 van richtlijn 2016/680 benadrukt, is de bij dit artikel aan de lidstaten opgelegde verplichting om een onderscheid te maken tussen bepaalde categorieën van personen niet absoluut, maar hangt zij met name af van de vraag of in elk concreet geval een duidelijk onderscheid tussen die categorieën van personen kan worden gemaakt [zie in die zin arrest van 26 januari 2023, Ministerstvo na vatreshnite raboti (Politiële registratie van biometrische en genetische gegevens), C‑205/21, EU:C:2023:49, punt 84] alsmede van de doeleinden van de verwerking.
73
In casu stelt de Tsjechische regering dat de categorie van verdachten waaraan de verwijzende rechter refereert moet worden begrepen als betrekking hebbend op personen aan wie in het kader van een versnelde voorafgaande procedure een verdenking is meegedeeld, hetgeen in de in het hoofdgeding aan de orde zijnde nationale wetgeving vereist, zoals voor personen die worden vervolgd, dat voldoende bewijs is verzameld waaruit blijkt dat de betrokkenen een strafbaar feit hebben gepleegd.
74
Indien dit het geval is, hetgeen de verwijzende rechter dient na te gaan, kunnen die twee categorieën van personen voor een bepaalde verwerking worden geacht beide te vallen onder de in artikel 6, onder a), van richtlijn 2016/680 bedoelde categorie, voor zover de doeleinden van de betrokken verwerking niet vereisen dat een onderscheid tussen die twee categorieën wordt gemaakt.
75
Bijgevolg moet artikel 6 van richtlijn 2016/680 aldus worden uitgelegd dat het zich niet verzet tegen een nationale regeling op grond waarvan zonder onderscheid biometrische en genetische gegevens kunnen worden verzameld van personen die behoren tot de categorie van personen die „ervan worden beschuldigd opzettelijk een strafbaar feit te hebben gepleegd” alsmede van personen die behoren tot de categorie van personen „die ervan worden verdacht een dergelijk strafbaar feit te hebben gepleegd” in de zin van het nationale recht, wanneer de doeleinden van die verzameling niet vereisen dat een onderscheid wordt gemaakt tussen die twee categorieën van personen van wie de gegevens kunnen worden verzameld op grond van die regeling.
76
Wat in de tweede plaats artikel 4, lid 1, onder c), van richtlijn 2016/680, gelezen in samenhang met artikel 10 van die richtlijn, betreft, bepaalt eerstgenoemd artikel dat de persoonsgegevens toereikend en ter zake dienend moeten zijn en niet bovenmatig mogen zijn in verhouding tot de doeleinden waarvoor zij worden verwerkt. Dat laatste vereiste verlangt dus dat de lidstaten het beginsel eerbiedigen dat de verwerking van gegevens tot een minimum wordt beperkt in verhouding tot de doeleinden waarvoor zij worden verwerkt.
77
Artikel 10 van die richtlijn bepaalt dat wat gevoelige persoonsgegevens betreft, waaronder biometrische en genetische gegevens, de verwerking niet alleen moet voldoen aan de voorwaarde dat zij onder een van de drie onder a) tot en met c), limitatief opgesomde gevallen valt, maar ook aan twee andere voorwaarden, namelijk dat er passende waarborgen gelden voor de rechten en vrijheden van de betrokkene en dat de beoogde verwerking strikt noodzakelijk is.
78
Die laatste voorwaarde houdt om te beginnen in dat deze noodzaak bijzonder streng wordt beoordeeld in het licht van de doeleinden van de betrokken verwerking en dat een dergelijke verwerking bijgevolg alleen in een beperkt aantal gevallen noodzakelijk kan worden geacht [zie in die zin arrest van 26 januari 2023, Ministerstvo na vatreshnite raboti (Politiële registratie van biometrische en genetische gegevens), C‑205/21, EU:C:2023:49, punt 118].
79
Zo mogen de doeleinden van een verwerking van biometrische en genetische persoonsgegevens niet in te algemene bewoordingen worden gesteld, maar moeten zij voldoende nauwkeurig en concreet worden omschreven teneinde te kunnen beoordelen of die verwerking „strikt noodzakelijk” is [arrest van 26 januari 2023, Ministerstvo na vatreshnite raboti (Politiële registratie van biometrische en genetische gegevens), C‑205/21, EU:C:2023:49, punt 124].
80
In dat verband bevat richtlijn 2016/680 weliswaar geen definitie van het begrip „doeleinden van de verwerking”, maar opgemerkt zij dat artikel 8, lid 2, van die richtlijn dat begrip uitdrukkelijk onderscheidt van het begrip „verwerkingsdoeleinden”. Artikel 4, lid 1, onder b), van die richtlijn bepaalt dat de doeleinden van de verwerking van persoonsgegevens met name welbepaald en uitdrukkelijk omschreven moeten zijn en dat die gegevens niet op een met die doeleinden onverenigbare wijze mogen worden verwerkt, terwijl artikel 4, lid 1, onder c), van die richtlijn bepaalt dat in verhouding met die doeleinden moet worden beoordeeld of de persoonsgegevens die worden verwerkt toereikend, ter zake dienend en niet bovenmatig zijn.
81
Bijgevolg kan hieruit worden afgeleid dat het begrip „verwerkingsdoeleinden” in de zin van dat artikel 8, lid 2, verwijst naar de in artikel 1, lid 1, van richtlijn 2016/680 genoemde ruimere doelstellingen die met een verwerking moeten worden nagestreefd om onder die richtlijn te vallen, terwijl het begrip „doeleinden van de verwerking” in de zin van met name artikel 8, lid 2, van die richtlijn moet worden begrepen als een verwijzing naar de specifieke en concrete doelstellingen die met een verwerking van persoonsgegevens worden nagestreefd in het licht van de taak die aan de verwerkingsverantwoordelijke is opgedragen, zoals een specifieke taak in verband met de voorkoming of opsporing van strafbare feiten of met een onderzoek en vervolging ter zake of de tenuitvoerlegging van straffen.
82
Aangezien uit overweging 26 van richtlijn 2016/680, gelezen in het licht van het evenredigheidsbeginsel, voorts blijkt dat voor niet-gevoelige persoonsgegevens aan het noodzakelijkheidsvereiste in de zin van die richtlijn is voldaan wanneer het met de betrokken verwerking nagestreefde doel niet redelijkerwijs even doeltreffend kan worden bereikt op een andere wijze, die minder inbreuk maakt op de grondrechten van de betrokkenen, moet hieruit worden afgeleid dat het vereiste dat de verwerking van gevoelige persoonsgegevens strikt noodzakelijk is, verlangt dat de verwerkingsverantwoordelijke zich er met name van vergewist dat deze doelstelling niet kan worden bereikt aan de hand van andere dan de in artikel 10 van richtlijn 2016/680 opgesomde gegevenscategorieën [zie in die zin arrest van 26 januari 2023, Ministerstvo na vatreshnite raboti (Politiële registratie van biometrische en genetische gegevens), C‑205/21, EU:C:2023:49, punt 126].
83
Bovendien impliceert het vereiste van „strikte noodzakelijkheid”, gelet op de aanzienlijke risico’s die de verwerking van gevoelige persoonsgegevens kan meebrengen voor de rechten en vrijheden van de betrokkenen, met name in de context van de taken van de bevoegde autoriteiten voor de in artikel 1, lid 1, van richtlijn 2016/680 omschreven doelstellingen, dat er rekening wordt gehouden met het bijzondere belang van het met de betrokken verwerking nagestreefde doel. Dat bijzondere belang kan onder meer worden beoordeeld aan de hand van de aard van dat doel, de vraag of die verwerking een specifiek en concreet doel dient dat verband houdt met de voorkoming van strafbare feiten of enigszins ernstige bedreigingen van de openbare veiligheid, de bestrijding van dergelijke strafbare feiten of de bescherming tegen dergelijke bedreigingen, alsook in het licht van de specifieke omstandigheden waarin die verwerking plaatsvindt [zie in die zin arrest van 26 januari 2023, Ministerstvo na vatreshnite raboti (Politiële registratie van biometrische en genetische gegevens), C‑205/21, EU:C:2023:49, punt 127].
84
Bij de beoordeling of het verzamelen van biometrische en genetische gegevens van personen die ervan worden verdacht of beschuldigd opzettelijk een strafbaar feit te hebben gepleegd, strikt noodzakelijk is met het oog op de toekomstige identificatie en vergelijking van die personen, moet hoe dan ook rekening worden gehouden met alle relevante factoren, zoals met name de aard en de ernst van het aan hen ten laste gelegde strafbare feit, de bijzondere omstandigheden van dat strafbare feit, het mogelijke verband van dat strafbare feit met andere lopende procedures, en de gerechtelijke antecedenten of het persoonlijke profiel van de betrokkenen [zie in die zin arrest van 26 januari 2023, Ministerstvo na vatreshnite raboti (Politiële registratie van biometrische en genetische gegevens), C‑205/21, EU:C:2023:49, punt 132].
85
Tot slot betekent het vereiste van „strikte noodzakelijkheid” dat de naleving van het in artikel 4, lid 1, onder c), van die richtlijn neergelegde beginsel van minimale gegevensverwerking bijzonder streng moet worden gecontroleerd [zie arrest van 26 januari 2023, Ministerstvo na vatreshnite raboti (Politiële registratie van biometrische en genetische gegevens), C‑205/21, EU:C:2023:49, punt 125].
86
Wat in het bijzonder de bewaring of het gebruik van gegevens betreft die voor identificatie-of vergelijkingsdoeleinden worden verkregen aan de hand van het DNA van personen, houdt dat beginsel in dat bij de beoordeling of dergelijke verwerkingen strikt noodzakelijk zijn, naar behoren rekening dient te worden gehouden met de mogelijkheid om uitsluitend gebruik te maken van de polymorfismen die aanwezig zijn in de niet-coderende delen van het DNA, te weten delen waarvan wordt aangenomen dat zij geen informatie verstrekken over de etnische afkomst of genetische ziekten van die personen.
87
Bijgevolg kan een lidstaat weliswaar aan richtlijn 2016/680 voldoen ofwel door het aan de bevoegde autoriteiten over te laten om er in elk afzonderlijk geval voor te zorgen dat voor elke verwerking van gevoelige persoonsgegevens is voldaan aan de voorwaarde van strikte noodzakelijkheid, ofwel door op wetgevingsniveau beoordelingscriteria vast te stellen die de autoriteiten vervolgens op niet-discretionaire wijze moeten toepassen, maar dit neemt niet weg dat in die tweede hypothese die criteria moeten voldoen aan alle uit die voorwaarde voortvloeiende vereisten, zoals uiteengezet in de punten 77 tot en met 83 van het onderhavige arrest.
88
Zo heeft het Hof in het arrest van 26 januari 2023, Ministerstvo na vatreshnite raboti (Politiële registratie van biometrische en genetische gegevens) (C‑205/21, EU:C:2023:49, punt 135), geoordeeld dat een nationale wettelijke regeling op grond waarvan de biometrische en genetische gegevens van elke persoon die in verdenking is gesteld van een ambtshalve vervolgbaar en opzettelijk gepleegd strafbaar feit systematisch worden verzameld met het oog op de registratie ervan, zonder dat de bevoegde autoriteit hoeft vast te stellen of aan te tonen dat deze gegevensverzameling strikt noodzakelijk is voor de verwezenlijking van de nagestreefde specifieke doelstellingen en dat deze doelstellingen niet kunnen worden bereikt met maatregelen die de rechten en vrijheden van de betrokkene op minder ernstige wijze aantasten, niet voldoet aan die voorwaarde van strikte noodzakelijkheid.
89
Terwijl de wettelijke regeling die aan de orde was in de zaak die heeft geleid tot dat arrest, voorzag in een gegevensverzameling die verplicht van toepassing was op alle personen die in verdenking waren gesteld van een ambtshalve vervolgbaar en opzettelijk gepleegd strafbaar feit, heeft de eerste vraag evenwel betrekking op een regeling die de politieautoriteiten slechts een bevoegdheid toekent om biometrische en genetische gegevens te verzamelen van personen die ervan worden verdacht of beschuldigd opzettelijk een strafbaar feit te hebben gepleegd.
90
Dat een regeling een dergelijke bevoegdheid toekent aan de politieautoriteiten, impliceert niet dat het recht van de betrokken lidstaat toestaat dat die verzameling systematisch gebeurt of kan worden verricht in strijd met in het bijzonder het in artikel 4, lid 1, onder c), van richtlijn 2016/680 neergelegde beginsel van minimale gegevensverwerking of de in artikel 10 van deze richtlijn gestelde voorwaarde dat de betrokken verwerkingen strikt noodzakelijk zijn, voor zover dat recht, met inbegrip van de rechtspraak van de nationale rechterlijke instanties, op passende en voldoende nauwkeurige wijze de doeleinden van een dergelijke verwerking van biometrische en genetische gegevens omschrijft, dat wil zeggen de specifieke en concrete doelstellingen die met een verwerking van persoonsgegevens worden nagestreefd in het licht van de taak die aan de verwerkingsverantwoordelijke is opgedragen, en voor zover die bevoegdheid wordt uitgeoefend overeenkomstig de in de punten 77 tot en met 83 van het onderhavige arrest uiteengezette vereisten.
91
Aldus blijkt uit de gegevens waarover het Hof beschikt dat in casu in de nationale rechtspraak bepaalde vereisten worden gesteld om de eerbiediging van dat beginsel te waarborgen, zoals de verplichting voor de politie om alvorens een DNA-monster af te nemen, rekening te houden met onder meer het strafrechtelijke verleden van de dader van het strafbare feit, de ernst van dat strafbare feit naargelang van het soort strafbare feit, de specifieke omstandigheden van het strafbare feit die de afname van een monster rechtvaardigen en de persoonlijkheid van de dader van de feiten.
92
In die situatie staat het aan de nationale rechterlijke instanties om in elk concreet geval na te gaan of de verzameling door de politieautoriteiten werd verricht in strijd met de in artikel 4 van richtlijn 2016/680 neergelegde beginselen inzake de verwerking van persoonsgegevens, en met de bijzondere voorschriften die van toepassing zijn op verwerkingen van gevoelige persoonsgegevens en die zijn neergelegd in artikel 10 van die richtlijn, zoals uitgelegd in het licht van de artikelen 7 en 8 van het Handvest.
93
In dat verband moet nog worden beklemtoond dat de enkele omstandigheid dat het strafbare feit dat aan een persoon ten laste wordt gelegd van economische aard is en dat de biometrische en genetische gegevens van die persoon zijn verzameld voordat hij definitief is veroordeeld, niet volstaat om uit te sluiten dat een dergelijke verzameling kan worden geacht strikt noodzakelijk te zijn, aangezien die verzameling, daaronder begrepen het soort betrokken gegevens, rekening houdend met de nagestreefde doeleinden strikt noodzakelijk kan blijken, met name om te kunnen bepalen of die persoon wegens zijn eventuele lidmaatschap van een criminele organisatie mogelijk betrokken is geweest bij andere strafbare feiten waarvoor dergelijke gegevens relevant kunnen zijn, of, indien er een risico op onderduiken bestaat, om zijn identificatie mogelijk te maken.
94
Gelet op het voorgaande moet op de eerste vraag worden geantwoord dat artikel 6 en artikel 4, lid 1, onder c), van richtlijn 2016/680, gelezen in samenhang met artikel 10 van deze richtlijn, aldus moeten worden uitgelegd dat zij zich niet verzetten tegen een nationale regeling op grond waarvan zonder onderscheid biometrische en genetische gegevens kunnen worden verzameld van eenieder die ervan wordt verdacht of beschuldigd opzettelijk een strafbaar feit te hebben gepleegd, voor zover, ten eerste, de doeleinden van die verzameling niet vereisen dat een onderscheid tussen die twee categorieën van personen wordt gemaakt en, ten tweede, de verwerkingsverantwoordelijken overeenkomstig het nationale recht, daaronder begrepen de rechtspraak van de nationale rechterlijke instanties, gehouden zijn om alle in de artikelen 4 en 10 van die richtlijn neergelegde beginselen en bijzondere vereisten in acht te nemen.
Tweede vraag
95
Vooraf zij opgemerkt dat de verwijzende rechter bij de formulering van de tweede vraag weliswaar refereert aan een nationale regeling die tot gevolg heeft dat de betrokken persoonsgegevens in de meeste gevallen voor „onbepaalde tijd” worden opgeslagen, maar dat uit de stukken in het dossier waarover het Hof beschikt blijkt dat die rechter met „onbepaalde tijd” wil verwijzen naar de omstandigheid dat er geen maximale opslagtermijn is bepaald, en niet naar de omstandigheid dat een dergelijke opslag onbeperkt in de tijd is.
96
Dientengevolge moet ervan worden uitgegaan dat de verwijzende rechter met zijn tweede vraag in essentie wenst te vernemen of artikel 4, lid 1, onder e), van richtlijn 2016/680 aldus moet worden uitgelegd dat het zich verzet tegen een nationale regeling op grond waarvan de politieautoriteiten op basis van interne regels beoordelen of het noodzakelijk is om biometrische en genetische gegevens verder op te slaan, zonder dat deze regeling voorziet in een maximale opslagtermijn.
97
Dienaangaande moeten de lidstaten volgens artikel 4, lid 1, onder e), van richtlijn 2016/680 voorschrijven dat persoonsgegevens worden bewaard in een vorm die het mogelijk maakt om de betrokkenen te identificeren gedurende een periode die niet langer dan noodzakelijk is voor de doeleinden waarvoor die gegevens worden verwerkt.
98
Wat in de eerste plaats de omstandigheid betreft dat in de betrokken nationale regeling geen maximale opslagtermijn is vastgesteld, zij eraan herinnerd dat artikel 5 van richtlijn 2016/680, overeenkomstig de voorschriften van artikel 4, lid 1, onder e), van die richtlijn, de lidstaten verplicht om erin te voorzien dat passende termijnen worden vastgelegd voor het wissen van persoonsgegevens of voor een periodieke evaluatie van de noodzaak van de opslag van die gegevens en dat de naleving van die termijnen met procedurele maatregelen wordt gewaarborgd.
99
Artikel 5 van die richtlijn laat het daarentegen aan de lidstaten over om die termijnen vast te leggen, voor zover deze „passend” zijn, en om te beslissen of termijnen worden vastgelegd voor het wissen van die gegevens dan wel voor de periodieke evaluatie van de noodzaak van de opslag ervan.
100
Het is juist dat artikel 4, lid 1, onder e), en artikel 5 van richtlijn 2016/680 moeten worden gelezen in samenhang met in het bijzonder artikel 10 ervan, zodat de opslag van biometrische en genetische gegevens strikt noodzakelijk moet zijn en er passende waarborgen moeten worden geboden wat de rechten en vrijheden van de betrokkene betreft.
101
Wanneer een lidstaat passende termijnen vaststelt voor de periodieke evaluatie van de noodzaak van de opslag van persoonsgegevens en bij die evaluatie moet worden beoordeeld of het strikt noodzakelijk is deze opslag te verlengen, moet het recht van de betrokken lidstaat evenwel worden geacht aan die voorschriften te voldoen. Zo is een dergelijke lidstaat, zelfs wanneer de opgeslagen gegevens gevoelige persoonsgegevens zijn, niet verplicht om een absolute maximale opslagtermijn voor persoonsgegevens vast te stellen waarna deze gegevens automatisch zouden moeten worden gewist [zie in die zin arrest van 30 januari 2024, Direktor na Glavna direktsia Natsionalna politsia pri MVR – Sofia, C‑118/22, EU:C:2024:97, punt 52).
102
Daarentegen moeten die termijnen voor periodieke evaluatie, om passend te zijn, om te beginnen overeenkomstig artikel 4, lid 1, onder c) en e), van richtlijn 2016/680, gelezen in samenhang met artikel 52, lid 1, van het Handvest, het mogelijk maken dat die gegevens worden gewist, onder de in artikel 16, leden 2 en 3, van die richtlijn gestelde voorwaarden, indien bij een van de evaluaties blijkt dat de opslag van die gegevens niet langer strikt noodzakelijk is en dus bovenmatig is in verhouding tot de doeleinden [zie in die zin arrest van 30 januari 2024, Direktor na Glavna direktsia Natsionalna politsia pri MVR – Sofia, C‑118/22, EU:C:2024:97, punten 45, 48 en 50 en aldaar aangehaalde rechtspraak).
103
Gelet op het vereiste van artikel 4, lid 1, onder c), van richtlijn 2016/680 dat persoonsgegevens toereikend, ter zake dienend en niet bovenmatig zijn in verhouding tot de doeleinden waarvoor zij worden verwerkt, op de omstandigheid dat die bepaling en artikel 8 van die richtlijn moeten worden gelezen in samenhang met de uit artikel 52 voortvloeiende vereisten, en op de in artikel 6 van die richtlijn neergelegde verplichting voor de verwerkingsverantwoordelijke om in voorkomend geval een duidelijk onderscheid te maken tussen persoonsgegevens betreffende verschillende categorieën van betrokkenen, kunnen die evaluatietermijnen voorts niet worden geacht passend te zijn indien wijzigingen in de strafrechtelijke status van de betrokken persoon, die relevant worden geacht voor het doel van die opslag, voor de verwerkingsverantwoordelijke niet de verplichting meebrengen om binnen een redelijke termijn de noodzaak van de opslag van de gegevens betreffende die persoon opnieuw te onderzoeken.
104
Wat in de tweede plaats de omstandigheid betreft dat de politieautoriteiten op basis van interne regels beoordelen of het noodzakelijk is om biometrische en genetische gegevens verder op te slaan, is een dergelijke omstandigheid op zich niet in strijd met artikel 8, lid 2, van richtlijn 2016/680, voor zover die interne regels de politieautoriteiten verplichten om te zorgen voor de naleving van het vereiste dat de opslag van die gegevens strikt noodzakelijk is en voor zover de beoordelingsmarge van die autoriteiten voldoende is afgebakend in het nationale recht, daaronder begrepen de rechtspraak van de nationale rechterlijke instanties.
105
De omstandigheid dat die regels intern zijn en dus niet toegankelijk zijn voor alle personen wier persoonsgegevens kunnen worden verwerkt, heeft weliswaar tot gevolg dat die regels niet kunnen worden aangevoerd door de bevoegde autoriteiten om aan te tonen dat zij de aan hen opgelegde vereisten naleven, maar deze omstandigheid heeft niet tot gevolg dat verwerkingen van persoonsgegevens waartoe wordt beslist op basis van die regels, automatisch ongeldig zijn; die omstandigheid impliceert dat de politieautoriteiten in voorkomend geval, bij beroep ingesteld tegen het besluit om tot een van die verwerkingen over te gaan, bij de bevoegde rechter los van die interne regels dienen aan te tonen dat de voorwaarde van „strikte noodzakelijkheid” naar behoren in acht is genomen.
106
In casu blijkt volgens de Tsjechische regering met name uit § 65, lid 5, van de wet betreffende de Tsjechische politie, hetgeen de verwijzende rechter dient na te gaan, dat de DNA-profielen van personen die ervan worden verdacht of beschuldigd opzettelijk een strafbaar feit te hebben gepleegd, moeten worden gewist wanneer de opslag ervan niet meer strikt noodzakelijk is in het licht van de nagestreefde doeleinden, te weten wanneer die personen niet meer worden vervolgd of verdacht en wanneer dat evenmin het geval is in het kader van een andere strafprocedure, of wanneer zij niet eerder andere strafbare feiten hebben gepleegd.
107
In dat verband zij er echter aan herinnerd dat de opslag van biometrische en genetische gegevens alleen kan worden geacht te voldoen aan het vereiste dat die opslag slechts wordt toegestaan wanneer het „strikt noodzakelijk” is in de zin van artikel 10 van richtlijn 2016/680, indien daarbij niet enkel rekening wordt gehouden met het eventuele verband van de betrokkene met andere lopende procedures, antecedenten of zijn profiel, maar ook met de aard en de ernst van het strafbare feit dat tot een onherroepelijke strafrechtelijke veroordeling heeft geleid, of met andere omstandigheden zoals de specifieke context waarin dat feit is gepleegd [zie in die zin arrest van 30 januari 2024, Direktor na Glavna direktsia Natsionalna politsia pri MVR – Sofia, C‑118/22, EU:C:2024:97, punt 67).
108
Bovendien is in het Tsjechische recht weliswaar geen maximale termijn vastgesteld voor het opslaan van persoonsgegevens die op grond van § 65, lid 1, van de wet betreffende de Tsjechische politie zijn verzameld, maar § 82, lid 1, van die wet bevat niettemin de verplichting voor de politieautoriteiten om ten minste om de drie jaar te evalueren of de opslag van die gegevens nog steeds noodzakelijk is voor de uitvoering van hun taken.
109
Het staat derhalve aan de verwijzende rechter om na te gaan of een dergelijke evaluatietermijn van drie jaar, gelet op de doelstellingen die worden nagestreefd met de opslag van de betrokken biometrische en genetische gegevens, passend kan worden geacht, met dien verstande dat, indien dit niet het geval is, het wissen van die gegevens niettemin niet vereist zal zijn indien wordt aangetoond dat de verdere opslag ervan hoe dan ook strikt noodzakelijk blijft.
110
Gelet op een en ander moet op de tweede vraag worden geantwoord dat artikel 4, lid 1, onder e), van richtlijn 2016/680 aldus moet worden uitgelegd dat het zich niet verzet tegen een nationale regeling op grond waarvan de politieautoriteiten op basis van interne regels beoordelen of het noodzakelijk is om biometrische en genetische gegevens verder op te slaan, zonder dat deze regeling voorziet in een maximale opslagtermijn, voor zover die regeling passende termijnen vaststelt voor de periodieke evaluatie of de opslag van die gegevens noodzakelijk is en bij die evaluatie wordt beoordeeld of het strikt noodzakelijk is om de opslag ervan te verlengen.
Kosten
111
Ten aanzien van de partijen in het hoofdgeding is de procedure als een aldaar gerezen incident te beschouwen, zodat de verwijzende rechter over de kosten heeft te beslissen. De door anderen wegens indiening van hun opmerkingen bij het Hof gemaakte kosten komen niet voor vergoeding in aanmerking.
Het Hof (Vijfde kamer) verklaart voor recht:
1)
De artikelen 8 en 10 van richtlijn (EU) 2016/680 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, en betreffende het vrije verkeer van die gegevens en tot intrekking van kaderbesluit 2008/977/JBZ van de Raad
moeten aldus worden uitgelegd dat
wat het verzamelen, opslaan en wissen van biometrische en genetische gegevens betreft, het begrip „lidstatelijk recht” in de zin van die bepalingen aldus moet worden begrepen dat het betrekking heeft op een bepaling van algemene strekking die de minimale voorwaarden voor het verzamelen, opslaan en wissen van dergelijke gegevens vaststelt, zoals die bepaling wordt uitgelegd in de rechtspraak van de nationale rechterlijke instanties, voor zover die rechtspraak toegankelijk en voldoende voorzienbaar is.
2)
Artikel 6 en artikel 4, lid 1, onder c), en artikel 6 van richtlijn 2016/680, gelezen in samenhang met artikel 10 van deze richtlijn
moeten aldus worden uitgelegd dat
zij zich niet verzetten tegen een nationale regeling op grond waarvan zonder onderscheid biometrische en genetische gegevens kunnen worden verzameld van eenieder die ervan wordt verdacht of beschuldigd opzettelijk een strafbaar feit te hebben gepleegd, voor zover, ten eerste, de doeleinden van die verzameling niet vereisen dat een onderscheid tussen die twee categorieën van personen wordt gemaakt en, ten tweede, de verwerkingsverantwoordelijken overeenkomstig het nationale recht, daaronder begrepen de rechtspraak van de nationale rechterlijke instanties, gehouden zijn om alle in de artikelen 4 en 10 van die richtlijn neergelegde beginselen en bijzondere vereisten in acht te nemen.
3)
Artikel 4, lid 1, onder e), van richtlijn 2016/680
moet aldus worden uitgelegd dat
het zich niet verzet tegen een nationale regeling op grond waarvan de politieautoriteiten op basis van interne regels beoordelen of het noodzakelijk is om biometrische en genetische gegevens verder op te slaan, zonder dat deze regeling voorziet in een maximale opslagtermijn, voor zover die regeling passende termijnen vaststelt voor de periodieke evaluatie of de opslag van die gegevens noodzakelijk is en bij die evaluatie wordt beoordeeld of het strikt noodzakelijk is om de opslag ervan te verlengen.
ondertekeningen
(
*1
)	Procestaal: Tsjechisch.