CONCLUSIONES DEL ABOGADO GENERAL

SR. GIOVANNI PITRUZZELLA

presentadas el 30 de junio de 2022 ( )

Asunto C‑205/21

Procedimiento penal

seguido contra

V.S.,

con intervención de:

Ministerstvo na vatreshnite raboti, Glavna direktsia za borba s organiziranata prestapnost

[Petición de decisión prejudicial planteada por el Spetsializiran nakazatelen sad (Tribunal Penal Especial, Bulgaria)]

«Procedimiento prejudicial — Protección de las personas físicas en lo que respecta al tratamiento de datos personales — Directiva (UE) 2016/680 — Persona investigada — Registro policial de datos personales — Datos sensibles — Datos biométricos y genéticos — Realización forzosa del registro — Objetivo de prevención y detección de infracciones penales — Procedimiento penal en curso — Comparación con datos personales recogidos en investigaciones anteriores — Tutela judicial efectiva — Tratamiento de datos — Principios — Minimización de datos — Estricta necesidad»





1. Cuando se pone al servicio de la justicia penal, la evolución tecnológica resulta tan fascinante como amenazadora por lo que respecta a los derechos fundamentales. ( ) La presente petición de decisión prejudicial brinda de nuevo al Tribunal de Justicia la oportunidad de interpretar un instrumento del Derecho de la Unión en materia de protección de datos personales concebido como salvaguardia de una política penal que persigue un objetivo de eficacia total, aun cuando una sociedad democrática, que se rige por el Estado de Derecho, debería, paradójicamente, hallar cierto valor en la debilidad de tal política. En cierto modo, este asunto constituye la aplicación, en el ámbito de la protección de datos personales, del principio según el cual vale más libertar un reo que condenar un inocente. ( )

I. Marco jurídico

A. Directiva 2016/680

2. El artículo 4 de la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos y por la que se deroga la Decisión Marco 2008/977/JAI del Consejo, ( ) enuncia los principios relativos al tratamiento de datos personales. Con arreglo a este artículo:

«1. Los Estados miembros dispondrán que los datos personales sean:

a) tratados de manera lícita y leal;

b) recogidos con fines determinados, explícitos y legítimos, y no ser tratados de forma incompatible con esos fines;

c) adecuados, pertinentes y no excesivos en relación con los fines para los que son tratados;

[…]».

3. El artículo 6, letra a), de la Directiva 2016/680 dispone:

«Los Estados miembros dispondrán que el responsable del tratamiento, cuando corresponda y en la medida de lo posible, establezca una distinción clara entre los datos personales de las distintas categorías de interesados, tales como:

a) personas respecto de las cuales existan motivos fundados para presumir que han cometido o van a cometer una infracción penal».

4. El artículo 8 de la Directiva 2016/680 versa sobre la licitud del tratamiento y está redactado en los siguientes términos:

«1. Los Estados miembros dispondrán que el tratamiento solo sea lícito en la medida en que sea necesario para la ejecución de una tarea realizada por una autoridad competente, para los fines establecidos en el artículo 1, apartado 1, y esté basado en el Derecho de la Unión o del Estado miembro.

2. El Derecho del Estado miembro que regule el tratamiento dentro del ámbito de aplicación de la presente Directiva, deberá indicar al menos los objetivos del tratamiento, los datos personales que vayan a ser objeto del mismo y las finalidades del tratamiento.»

5. Según el artículo 10 de la Directiva 2016/680:

«El tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, así como el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o a la vida sexual o las orientaciones sexuales de una persona física solo se permitirá cuando sea estrictamente necesario, con sujeción a las salvaguardias adecuadas para los derechos y libertades del interesado y únicamente cuando:

a) lo autorice el Derecho de la Unión o del Estado miembro;

b) sea necesario para proteger los intereses vitales del interesado o de otra persona física, o

c) dicho tratamiento se refiera a datos que el interesado haya hecho manifiestamente públicos.»

B. Derecho búlgaro

6. El artículo 68 de la zakon sa Ministerstvo na vatreshnite raboti (Ley del Ministerio del Interior; ( ) en lo sucesivo, «ZMVR») tiene el siguiente tenor:

«1. Las autoridades policiales incluirán en un registro policial a las personas investigadas por un delito público doloso. Las autoridades del procedimiento previo deberán adoptar las medidas necesarias para que las autoridades policiales procedan a la inscripción en el registro.

2. El registro policial constituye un tratamiento de datos personales de las personas a que se refiere el apartado 1 y deberá llevarse a cabo con arreglo a lo dispuesto en la presente Ley.

3. A efectos del registro policial, las autoridades policiales deberán:

1) recoger los datos personales mencionadosen el artículo 18 de la Zakon za balgaskite lichni dokumenti; [( )]

2) realizar fotografías del investigado y tomar sus huellas dactilares;

3) obtener muestras para la elaboración de un perfil de ADN.

4. A efectos de lo dispuesto en el punto 1 del apartado 3, no se requiere el consentimiento del investigado.

5. El investigado deberá colaborar y abstenerse de obstruir el procedimiento o de impedir que las autoridades policiales lleven a cabo las actuaciones mencionadas en el apartado 3 anterior. Si el investigado se niega a colaborar, las actuaciones mencionadas en los puntos 2 y 3 del apartado 3 se llevarán a cabo por la fuerza, previa autorización del juez del tribunal de primera instancia competente para conocer del delito público del que se le acusa.

6. La inscripción en el registro policial se cancelará previa decisión escrita del responsable del tratamiento de los datos personales o de un funcionario, autorizado por dicho responsable, de oficio o previa solicitud escrita motivada de la persona inscrita, cuando:

1) tal inscripción se haya realizado con inobservancia de la ley;

2) el procedimiento penal se interrumpa por un motivo diferente a los previstos en el artículo 24, apartado 3, del [nakazatelno-protsesualen kodeks (Código de Procedimiento Penal, en lo sucesivo, “NPK”)];

3) una resolución absolutoria definitiva ponga fin al procedimiento penal;

4) no se considere a la persona penalmente responsable y se le imponga una sanción administrativa;

5) se produzca el fallecimiento del investigado, en cuyo caso sus sucesores podrán solicitar la cancelación de los datos.

7. Las modalidades de inscripción y supresión de datos en el registro policial se desarrollarán mediante un reglamento del Consejo de Ministros.»

7. El artículo 2, apartado 1, del naredba za reda za izvarshvane i snemane na politseyska registratsia (Reglamento por el que se regulan los Pormenores del Registro Policial; en lo sucesivo, «NRISPR») ( ) establece que «el registro policial es una actividad de tratamiento de datos personales […] que se lleva a cabo conforme a las disposiciones [de la ZMVR] con fines de protección de la seguridad nacional, lucha contra la delincuencia y mantenimiento del orden público».

II. Litigio principal, cuestiones prejudiciales y procedimiento ante el Tribunal de Justicia

8. V.S. es objeto de un procedimiento penal por fraude en la liquidación y el pago de deudas tributarias de dos sociedades mercantiles. El 1 de marzo de 2021, se abrió una investigación en su contra por su participación en una organización criminal con ánimo de lucro. El auto por el que se decretan diligencias policiales fue entregado a V. S. el 15 de marzo de 2021. En esta misma fecha, se le instó a colaborar en el registro policial de sus huellas dactilares, ( ) de su fotografía, ( ) y de muestras para su perfil de ADN. Al negarse, cumplimentó un formulario de declaración en el que indicó que había sido informada de la existencia de una base legal que permitía realizar ese registro pero que no estaba de acuerdo con la obtención ni con el registro de sus datos.

9. El 24 de marzo de 2021, el director adjunto de la Glavna direktsiya za borba s organiziranata prestapnost (Dirección General de Lucha contra la Delincuencia Organizada) del Ministerstvo na vatreshnite raboti (Ministerio del Interior, Bulgaria) presentó un escrito al órgano jurisdiccional remitente, el Spetsializiran nakazatelen sad (Tribunal Penal Especial, Bulgaria) solicitando que autorizase la realización forzosa del registro policial al que V. S. se negaba a someterse.

10. El escrito hace referencia al procedimiento penal en curso incoado contra V. S. así como a la existencia de suficientes pruebas sobre su culpabilidad. En él se señala asimismo que V. S. es objeto de una investigación formal por la comisión de un delito y que se ha opuesto a proporcionar una fotografía, sus huellas dactilares y una muestra para su perfil de ADN para el registro policial. El citado escrito únicamente va acompañado de dos fotocopias: una del auto por el que se decretan las diligencias policiales y otra de la declaración en la que V. S. se opone a prestar su consentimiento al registro policial. No se han entregado al órgano jurisdiccional remitente el resto de documentos del expediente.

11. En primer lugar, el órgano jurisdiccional remitente se pregunta si el artículo 10 de la Directiva 2016/680, que autoriza, con sujeción a ciertos requisitos, el tratamiento de datos biométricos y genéticos, ha sido transpuesto correctamente al Derecho búlgaro. A este respecto, el órgano jurisdiccional remitente señala que las disposiciones que regulan el registro policial se refieren únicamente al Reglamento (UE) 2016/679 ( ) y no a la Directiva 2016/680. Ahora bien, observa que el RGPD, en virtud de su artículo 2, apartado 2, letra d), no se aplica al tratamiento de datos personales por parte de las autoridades competentes, con fines de prevención, investigación, detección o enjuiciamiento de infracciones penales, pues dicho tratamiento está sujeto a la Directiva 2016/680, de conformidad con su artículo 1, apartado 1.

12. En segundo lugar, en el supuesto de que deba considerarse que el artículo 10 de la Directiva 2016/680 fue transpuesto correctamente al Derecho nacional o que existe una base jurídica válida en dicho Derecho para efectuar el tratamiento de datos biométricos y genéticos, el órgano jurisdiccional remitente se pregunta si se cumple el requisito establecido en el artículo 10, letra a), de dicha Directiva, según el cual tal tratamiento debe ser autorizado por el Derecho de la Unión o de un Estado miembro, aunque exista una contradicción entre las disposiciones de Derecho nacional aplicables.

13. En tercer lugar, el órgano jurisdiccional remitente señala que, en virtud del artículo 6, letra a), de la Directiva 2016/680, pueden tratarse con fines de lucha contra la delincuencia datos personales de personas respecto de las cuales existan motivos fundados para presumir que han cometido una infracción penal. Apunta, además, que, de conformidad con el considerando 31, tercera frase, de dicha Directiva, el tratamiento de datos personales de las personas sospechosas de haber cometido una infracción, sin haber sido condenadas por ello, no debe impedir la aplicación del derecho a la presunción de inocencia. En su opinión, el artículo 48 de la Carta de los Derechos Fundamentales de la Unión Europea (en lo sucesivo, «Carta») es, por tanto, aplicable.

14. Pues bien, por un lado, el órgano jurisdiccional remitente observa que, en virtud del artículo 219, apartado 1, del NPK, es indispensable recabar «suficientes pruebas de la culpabilidad de una persona determinada». Se pregunta si este criterio se corresponde con el relativo a los «motivos fundados para presumir que [las personas] han cometido […] una infracción», previsto en el artículo 6, letra a), de la Directiva 2016/680. Además, opina que, a efectos del tratamiento de datos biométricos y genéticos, es indispensable reunir pruebas más convincentes que las que se exigen, en virtud del Derecho nacional, para investigar a una persona, pues la resolución por la que se decretan diligencias policiales tiene el objetivo de informar a la persona de las sospechas que se ciernen sobre ella y de su derecho a defenderse.

15. Por otro lado, el órgano jurisdiccional remitente hace constar que el artículo 68 de la ZMVR no prevé que, en el marco del procedimiento de realización forzosa del registro policial, el tribunal que examina el asunto se cerciore de que existen motivos fundados, en el sentido del artículo 6, letra a), de la Directiva 2016/680, dado que basta con constatar simplemente que la persona está siendo investigada por la comisión de un delito público doloso. Por tanto, dicho órgano jurisdiccional no es competente para apreciar si existen pruebas suficientes o fundadas que respalden esta investigación ni puede tampoco, en la práctica, realizar tal apreciación, en la medida en que solo dispone de una copia del auto por el que se decretan las diligencias policiales y de la declaración de oposición al registro policial. El órgano jurisdiccional remitente se pregunta si, en estas circunstancias, cabe considerar que la persona que se ha negado a someterse a dicho registro policial disfruta de una tutela judicial efectiva y del respeto a la presunción de inocencia, garantizados por los artículos 47 y 48 de la Carta.

16. En cuarto lugar, el órgano jurisdiccional remitente observa que el artículo 4, apartado 1, letra b), de la Directiva 2016/680 dispone que los datos personales son recogidos con fines determinados, explícitos y legítimos, y que el artículo 8, apartado 2, de esta misma Directiva prevé que el Derecho del Estado miembro debe indicar los objetivos y las finalidades del tratamiento. Además, añade que, en virtud del artículo 4, apartado 1, letra c), y del artículo 8, apartado 1, de dicha Directiva, la recogida de datos personales no debe ir más allá de lo necesario. Subraya, asimismo, por lo que respecta más concretamente a los datos biométricos y genéticos, que, a tenor del artículo 10 de la Directiva 2016/680, su tratamiento solo se permitirá cuando sea «estrictamente necesario».

17. El órgano jurisdiccional remitente deduce de estas disposiciones de la Directiva 2016/680 que el Derecho nacional debería conferir a las autoridades competentes cierta facultad de apreciación cuando realizan un registro policial que debe englobar tanto la necesidad de la recogida de los datos en cuestión como si dicha recogida debe abarcar todos esos datos. Por añadidura, dicho órgano jurisdiccional considera asimismo que de la exigencia relativa al carácter «estrictamente necesario» del tratamiento se deduce que la recogida de tales datos solo puede permitirse cuando se motiva de forma adecuada su necesidad. Pues bien, el registro policial se aplica imperativamente a todas las personas investigadas por la comisión de delitos públicos dolosos y a las tres categorías de datos personales mencionadas en dicho artículo, a saber, la toma de fotografías, de huellas dactilares y de muestras de ADN.

18. Por otro lado, el órgano jurisdiccional remitente señala que la ZMVR solo alude a los objetivos de este tratamiento, es decir, el desarrollo de una actividad de investigación, en particular, con vistas a la protección de la seguridad nacional, la lucha contra la delincuencia y el mantenimiento del orden público. En cambio, la legislación nacional no exige que se declare la necesidad concreta de proceder a la recogida de todos o, en su caso, una parte de los datos biométricos y genéticos en cuestión. El órgano jurisdiccional remitente se pregunta, por tanto, si el requisito previsto en el Derecho nacional para realizar el registro policial, es decir, ser investigado por la comisión de un delito público doloso, basta para dar cumplimiento a las exigencias de la Directiva 2016/680.

19. En estas condiciones, el Spetsializiran nakazatelen sad (Tribunal Penal Especial) decidió suspender el procedimiento y, mediante resolución recibida en la Secretaría del Tribunal de Justicia el 31 de marzo de 2021, plantear a este último las siguientes cuestiones prejudiciales:

«1) ¿Se transpone el artículo 10 de la Directiva 2016/680 de forma efectiva a la legislación nacional […] mediante la remisión a la disposición similar del artículo 9 del [RGPD]?

2) ¿Se cumple el requisito establecido en el artículo 10, letra a), de la Directiva 2016/680, en relación con los artículos [3, 8 y 52] de la Carta, de que una limitación de la integridad y de la protección de los datos personales debe estar establecida por la ley, cuando existen disposiciones nacionales contradictorias relativas a la legitimidad del tratamiento de datos genéticos y biométricos a efectos del registro policial?

3) ¿Es compatible con el artículo 6, letra a), de la Directiva 2016/680, en relación con el artículo 48 de la Carta, una ley nacional —artículo 68, apartado 4, de la [ZMVR]— que establece la obligación de que el tribunal ordene recabar forzosamente datos personales (realización de fotografías de identificación, toma de la huella dactilar y obtención de muestras para la elaboración de un perfil de ADN) cuando una persona acusada de un delito público doloso se niega a colaborar voluntariamente en la obtención de dichos datos personales, sin que el tribunal pueda apreciar si existen motivos fundados para presumir que la persona ha cometido la infracción penal de la que se le acusa?

4) ¿Es compatible con los artículos 10, 4, apartado 1, letras a) y c), y 8, apartados 1 y 2, de la Directiva 2016/680 una ley nacional —artículo 68, apartados 1 a 3, de la [ZMVR]— que establece como regla general la realización de fotografías de identificación, la toma de la huella dactilar y la obtención de muestras para la elaboración de un perfil de ADN de todas las personas acusadas de un delito público doloso?»

20. Han presentado observaciones escritas ante el Tribunal de Justicia los Gobiernos búlgaro y francés y la Comisión Europea. El Ministerio del Interior, los Gobiernos búlgaro y francés y la Comisión también han enviado al Tribunal de Justicia sus respuestas a las preguntas escritas que este les formuló.

21. A petición del Tribunal de Justicia, las presentes conclusiones se centran en las cuestiones prejudiciales tercera y cuarta.

III. Análisis

22. Con carácter preliminar, procede realizar, a modo de recordatorio, las siguientes observaciones.

23. Por lo que respecta a la calificación de los datos recogidos y tratados ( ) en el registro policial, es obvio que las muestras obtenidas para elaborar el perfil de ADN del interesado constituyen datos genéticos, en el sentido del artículo 3, punto 12, de la Directiva 2016/680. Por su parte, las huellas dactilares ( ) son tratos biométricos, como se desprende del artículo 3, punto 13, de dicha Directiva. En cuanto a las fotografías, ( ) también podrían considerarse datos biométricos, como prevé este último precepto. El registro policial afecta, pues, a dos categorías de datos personales: los datos que podrían calificarse de «clásicos», como el estado civil, sujetos al régimen general establecido por la Directiva 2016/680, y los datos denominados «especiales», por no decir sensibles, tales como fotografías, huellas dactilares y muestras obtenidas para elaborar el perfil de ADN del interesado. He de observar, sin embargo, que el órgano jurisdiccional remitente, en la formulación de sus cuestiones prejudiciales, se refiere exclusivamente a estos datos «especiales». En el contexto de las medidas que imponen la recogida y el tratamiento de datos, incluidos los datos sensibles, por autoridades de investigación, tales medidas constituyen evidentemente, y sin perjuicio de que pueda existir una justificación, una injerencia en el derecho del interesado al respeto de su vida privada y a la protección de los datos de carácter personal que le conciernen. ( ) Esta injerencia es tanto más grave cuanto que los datos son sensibles. ( ) Por tanto, pese a los riesgos de desviación y abuso bien conocidos por el legislador de la Unión, el tratamiento de esta categoría especial de datos por las autoridades policiales, en particular, con fines de archivo no está prohibido, pues la eficacia de tal tratamiento para el desempeño de las funciones de estas autoridades está demostrada. ( ) En este asunto, por tanto, se trata de alcanzar el justo equilibrio entre las exigencias asociadas al correcto desarrollo de la investigación penal y la exigencia, menos imperiosa, de garantizar un grado de protección reforzada de estos datos personales de carácter especial.

A. Sobre la tercera cuestión prejudicial

24. Mediante su tercera cuestión prejudicial, el órgano jurisdiccional remitente desea saber, en esencia, si el artículo 6, letra a), de la Directiva 2016/680, a la luz de los artículos 47 y 48 de la Carta, debe interpretarse en el sentido de que se opone a una legislación nacional que establece la obligación de que el tribunal que examina la solicitud presentada a tal fin ordene recoger forzosamente datos personales (es decir, al menos una fotografía, sus huellas dactilares y su perfil de ADN a partir de muestras) cuando una persona investigada por la comisión de un delito público doloso se niega a colaborar en el procedimiento de registro de dichos datos personales, sin que pueda apreciar si existen motivos fundados para presumir que el interesado ha cometido la infracción penal por la que se le investiga.

25. El contexto legislativo y reglamentario nacional se caracteriza por los elementos que se exponen a continuación. El órgano jurisdiccional remitente señala que casi todos los delitos tipificados en el NPK son delitos públicos, lo que significa que el fiscal se erige en parte acusadora. Por su parte, el Código de Procedimiento Penal prevé que, cuando se recaban suficientes pruebas de que una persona es culpable de la comisión de un delito público, dicha persona debe ser investigada. ( ) Las personas investigadas por este tipo de delitos deben someterse al registro policial regulado, en particular, por el artículo 68 de la ZMVR. La realización de este registro incumbe a las autoridades policiales, y no a las autoridades ante las que se desarrolla el procedimiento penal. Los datos personales que se incluyen en el registro son los relativos al estado civil de la persona (nombre, fecha y lugar de nacimiento, género y nacionalidad), los datos de contacto y el número de identificación administrativa y los rasgos físicos (altura y color de ojos). También se incluyen en el registro al menos una fotografía del interesado, sus huellas dactilares y su perfil de ADN, elaborado tras la obtención de una muestra. El investigado tiene la obligación de colaborar y de no dificultar la recogida de sus datos personales. No adquiere la condición de acusado hasta que el fiscal presenta ante el tribunal el escrito de acusación formal, momento en el que da comienzo la fase judicial del procedimiento penal.

26. En caso de oposición, dado que cuando se tratan datos personales en el ámbito de la lucha contra la delincuencia, no es preceptivo contar con el consentimiento del investigado, este puede firmar una declaración escrita en la que manifieste su desacuerdo. La autoridad policial encargada del registro policial debe entonces acudir ante el tribunal que será competente en caso de que el procedimiento penal relativo al delito en cuestión entre en la fase judicial y solicitarle que autorice la realización forzosa del registro. La facultad de apreciación del tribunal es limitada, dado que únicamente puede comprobar que la persona está siendo investigada por la comisión de un delito público doloso y que, en efecto, se ha negado a someterse al registro policial. El expediente del procedimiento de solicitud de la realización forzosa del registro policial solo contiene, por tanto, una copia del auto por el que se decretan diligencias policiales y de la declaración de oposición a la inclusión de datos en el registro. Una vez que comprueba que el interesado realmente es objeto de una investigación y que se ha opuesto al registro policial, el tribunal que examina la solicitud debe autorizar la realización forzosa del registro.

27. Por su parte, el artículo 6 de la Directiva 2016/680, que está en el centro de la tercera cuestión prejudicial, obliga a los Estados miembros, «cuando corresponda y en la medida de lo posible» a establecer una distinción clara entre los datos personales de las distintas categorías de interesados, tales como las «personas respecto de las cuales existan motivos fundados para presumir que han cometido o van a cometer una infracción penal». ( ) El objetivo de esta disposición es, como ha recordado la Comisión, que las víctimas de infracciones penales no sufran la misma injerencia en su derecho fundamental a la protección de datos que, por ejemplo, los sospechosos de haber cometido tales infracciones. ( )

28. Del mero tenor de esta disposición se desprende que la intensidad de la obligación impuesta a los Estados miembros es más bien débil y no está del todo definida, en la medida en que la lista de categorías de personas no es exhaustiva y en que la Directiva reserva a los Estados la responsabilidad de extraer las consecuencias de la distinción clara que se les exige establecer. Desde un punto de vista estrictamente literal, considero totalmente admisible a la vista de esta disposición que un Estado miembro establezca como «categoría clara» la de las personas investigadas, es decir, aquellas respecto de las cuales existen suficientes pruebas de la comisión de una infracción.

29. Por lo que respecta a la realización forzosa del registro policial, autorizada por el juez, he de observar, por un lado, que la Directiva 2016/680 no tiene por objeto regular los requisitos procedimentales de la recogida de los datos personales de las personas mencionadas en el artículo 6, letra a), ( ) de esta Directiva y, por otro, y en cualquier caso, como ha señalado el Gobierno francés, que las autoridades competentes pueden ordenar a las personas físicas que cumplan los requerimientos que se les realicen, de modo que el consentimiento del interesado no constituye una base jurídica para el tratamiento de los datos por dichas autoridades. ( ) Esta constatación es extrapolable a los datos personales sensibles. ( )

1. Limitado control del juez en el procedimiento de autorización de la realización forzosa del registro policial y respeto del derecho a la tutela judicial efectiva

30. En estas circunstancias, dado que la Directiva 2016/680 no se opone a una legislación nacional que permite que las autoridades competentes ordenen la obtención de datos biométricos y genéticos de una persona investigada cuando esta última se opone a ello, pero que no regula, sin embargo, las modalidades procesales de tal obtención forzosa, es preciso señalar, al igual que el Gobierno francés, que los Estados miembros pueden, en efecto, decidir establecer un procedimiento coercitivo otorgándole carácter judicial o administrativo y atribuyendo a una autoridad —judicial o administrativa— la facultad de ordenar la recogida forzosa de datos.

31. La Directiva 2016/680 precisa, en su capítulo VIII, los recursos que deben asistir a las personas cuyos datos han sido tratados. Estos recursos incluyen la posibilidad para el interesado de presentar una reclamación ante una única autoridad de control, ( ) de ejercitar el derecho a la tutela judicial efectiva contra una decisión jurídicamente vinculante de una autoridad de control que le concierna ( ) y de ejercitar el derecho a la tutela judicial efectiva si considera que los derechos que le asisten con arreglo a la Directiva 2016/680, aplicados en el ámbito nacional, han sido vulnerados como consecuencia de un tratamiento de sus datos personales no conforme con esos derechos. ( ) Sin embargo, los hechos que constituyen el objeto de esta tercera cuestión prejudicial son previos a aquellos a los que se refieren estos distintos supuestos.

32. No obstante, toda vez que el artículo 68 de la ZMVR, que establece los requisitos para la realización forzosa de un registro policial a las personas comprendidas en la categoría especial integrada por los investigados por la comisión de un delito público doloso, aplica el Derecho de la Unión, ( ) en el sentido del artículo 51, apartado 1, de la Carta, es preciso asegurarse que dicho precepto respeta el derecho a la tutela judicial efectiva, consagrado en el artículo 47 de la Carta.

33. El artículo 47 de la Carta dispone que toda persona cuyos derechos y libertades garantizados por el Derecho de la Unión hayan sido violados tiene derecho a la tutela judicial efectiva respetando las condiciones establecidas en dicho artículo. Los artículos 7 y 8 de la Carta garantizan el derecho al respeto de la vida privada y a la protección de datos de carácter personal. Como ha recordado recientemente el Tribunal de Justicia, «ninguno de esos tres derechos fundamentales constituye una prerrogativa absoluta, ya que cada uno de ellos debe ser tomado en consideración en relación con su función en la sociedad». ( ) Por otra parte, el artículo 52, apartado 1, de la Carta establece que pueden introducirse limitaciones al ejercicio de los derechos y libertades reconocidos por ella, con la condición de que, en primer lugar, tales limitaciones estén establecidas por la ley; en segundo lugar, respeten el contenido esencial de los derechos y libertades en cuestión, y, en tercer lugar, dentro del respeto del principio de proporcionalidad, sean necesarias y respondan efectivamente a objetivos de interés general reconocidos por la Unión o a la necesidad de protección de los derechos y libertades de los demás. Así pues, el legislador de la Unión o, a falta de normativa de la Unión en la materia, los Estados miembros pueden establecer una limitación al ejercicio del derecho a la tutela judicial efectiva consagrado en el artículo 47 de la Carta si se cumplen los requisitos del artículo 52, apartado 1, de esta. ( )

34. En cuanto atañe al primer requisito, la propia ZMVR, desarrollada por el NRISPR, impone a los investigados por la comisión de un delito público doloso la obligación inexcusable de cooperar en el registro policial, en su caso mediando una orden del órgano jurisdiccional de primera instancia competente. La competencia reglada de dicho órgano jurisdiccional y la imposibilidad de comprobar, en esta fase del procedimiento, la existencia de suficientes pruebas para acreditar que la persona ha cometido el delito por el que se le investiga, al tiempo que el procedimiento dirigido a ordenar la realización forzosa del registro policial se caracteriza, además, por la necesidad de resolver con cierta urgencia y por su naturaleza no contradictoria, están, en efecto, establecidos por la ley, en el sentido del artículo 52, apartado 1, de la Carta.

35. En lo tocante al segundo requisito, el Tribunal de Justicia ha declarado en reiteradas ocasiones que el contenido esencial del derecho a la tutela judicial efectiva consagrado en el artículo 47 de la Carta incluye, en particular, el derecho de su titular a acceder a un tribunal que tenga competencia para garantizar el respeto de los derechos que el Derecho de la Unión reconoce a aquel y, a tal efecto, para examinar todas las cuestiones de hecho y de Derecho relevantes para pronunciarse sobre el litigio de que conoce. ( ) El deber de respetar el contenido esencial del derecho a la tutela judicial efectiva no implica, sin embargo, que el titular de ese derecho disponga de una vía de recurso directo que tenga por objeto, con carácter principal, impugnar una medida determinada, siempre que existan una o varias vías de recurso que le permitan obtener, con carácter incidental, ante los diferentes tribunales nacionales competentes un control judicial de dicha medida que garantice la observancia de los derechos y libertades que el Derecho de la Unión le reconoce. ( )

36. A este respecto, he de observar, en línea con las observaciones del Gobierno búlgaro, que la orden de realizar el registro policial se dicta durante la fase preliminar del procedimiento penal que constituye la etapa en la que se llevan a cabo las diligencias de investigación y de obtención de pruebas que permiten determinar si se ha cometido un delito, quién es su autor y si este último ha incurrido en responsabilidad penal. Una vez finalizada la instrucción y notificadas las pruebas, el fiscal debe optar por desistir del ejercicio de la acción penal, suspender el procedimiento, proponer que se exima al investigado de responsabilidad penal y se le imponga una multa administrativa, proponer un acuerdo extrajudicial o formular una acusación formal. La presentación del escrito de acusación formal ante el tribunal da comienzo a la fase judicial del proceso penal.

37. La existencia de pruebas contra la persona que ha sido obligada a someterse al registro policial debe poder comprobarse necesariamente con ocasión de la apertura de la fase judicial del proceso penal, durante el que el tribunal que conoce del litigio debe tener la posibilidad de examinar todas las cuestiones de hecho y de Derecho pertinentes, en particular, para verificar que las pruebas en las que se funda la acusación no se han obtenido ni se han utilizado conculcando derechos y libertades garantizados al interesado por el Derecho de la Unión. ( )

38. En lo concerniente al tercer requisito, la legislación nacional sometida al examen del Tribunal de Justicia debe, dentro del respeto del principio de proporcionalidad, ser necesaria y responder efectivamente a objetivos de interés general reconocidos por la Unión. El artículo 68 de la ZMVR regula la recogida y el tratamiento de datos especiales de una categoría especial de personas y se enmarca, a este respecto, en el contexto de la Directiva 2016/680, que establece un régimen específico en lo que respecta a los datos personales y a su tratamiento por parte de las autoridades competentes con fines de prevención, investigación, detección o enjuiciamiento de infracciones penales. En este sentido, el objetivo perseguido por la legislación nacional controvertida en el litigio principal constituye necesariamente un objetivo de interés general reconocido por la Unión. ( ) Además, las necesidades de la investigación pueden explicar asimismo la elección del legislador nacional de sustraer el procedimiento que tiene por objeto la solicitud de realización forzosa de un registro policial, pese a las injerencias graves en los derechos garantizados por los artículos 7 y 8 de la Carta, de la facultad de comprobación del juez en cuanto al respeto del ámbito de aplicación ratione personae de dicho registro y de aplazar dicho examen a una fase ulterior del procedimiento. La legislación nacional resulta manifiestamente apta para alcanzar el objetivo perseguido y no parece desproporcionada si la persona investigada tiene en efecto la posibilidad de oponerse posteriormente al registro policial, ya sea ante el juez que ordenó su realización forzosa o ante otro órgano jurisdiccional.

2. No comprobación de la existencia de suficientes pruebas y respeto de la presunción de inocencia

39. Por último, el órgano jurisdiccional remitente expresa ciertas preocupaciones en relación con el respeto de la presunción de inocencia consagrada en el artículo 48 de la Carta. ( ) Se pregunta, en particular, si la imposibilidad de controlar la existencia de suficientes pruebas para iniciar una investigación en el momento en el que el órgano jurisdiccional competente debe ordenar el registro policial no menoscaba la presunción de inocencia del investigado.

40. El considerando 31 de la Directiva 2016/680, que aclara el sentido del artículo 6, letra a), de la Directiva 2016/680, precisa, en relación con ese artículo, que el establecimiento de diferentes categorías de personas cuyos datos personales deben recibir tratamientos diferentes «no debe impedir la aplicación del derecho a la presunción de inocencia tal como lo garantizan la Carta y el [CEDH]».

41. Como se ha recordado anteriormente, al órgano jurisdiccional remitente le preocupa que la resolución en virtud de la cual el órgano jurisdiccional competente debe ordenar el registro policial se dicte al término de un procedimiento en el que únicamente está facultado para apreciar si el interesado es realmente objeto de una investigación y se ha opuesto efectivamente a dicho registro. Por lo que respecta a los procesos penales, el artículo 48 de la Carta ha sido aplicado, en el Derecho de la Unión, por la Directiva (UE) 2016/343 del Parlamento Europeo y del Consejo, de 9 de marzo de 2016, por la que se refuerzan en el proceso penal determinados aspectos de la presunción de inocencia y el derecho a estar presente en el juicio. ( ) Esta Directiva se aplica «a las personas físicas que sean sospechosas» y «a todas las fases del proceso penal, desde el momento en que una persona es sospechosa […] de haber cometido una infracción penal […] hasta que adquiera firmeza la resolución final sobre si la persona ha cometido o no la infracción penal en cuestión». ( ) El artículo 4, apartado 1, de la Directiva 2016/343 obliga a los Estados miembros a adoptar «las medidas necesarias para garantizar que, mientras no se haya probado la culpabilidad de un sospechoso o acusado con arreglo a la ley, las declaraciones públicas efectuadas por las autoridades públicas y las resoluciones judiciales que no sean de condena no se refieran a esa persona como culpable». Ahora bien, esta disposición debe entenderse «sin perjuicio de los actos procesales encaminados a demostrar la culpabilidad del sospechoso o acusado, y de las resoluciones preliminares de carácter procesal, adoptadas por las autoridades judiciales u otras autoridades competentes y que se basen en indicios o en pruebas de cargo». ( ) Por otra parte, el artículo 7, apartado 3, de la Directiva 2016/343 precisa que «el ejercicio del derecho a no declarar contra sí mismo no impedirá a las autoridades competentes recabar las pruebas que puedan obtenerse legalmente mediante el ejercicio legítimo de poderes coercitivos y que tengan una existencia independiente de la voluntad de los sospechosos o acusados».

42. En estas circunstancias, en mi opinión, cabe considerar que la resolución en virtud de la cual el órgano jurisdiccional competente, tras constatar simplemente la existencia de la investigación —que, en esta fase, se presume respaldada por suficientes pruebas de la participación del interesado en el delito público— y la negativa de dicha persona a someterse al registro policial, autoriza a las autoridades policiales a realizar forzosamente dicho registro no puede interpretarse como una toma de posición sobre la culpabilidad del interesado ni, por consiguiente, en el sentido de que vulnera su derecho a la presunción de inocencia. ( )

43. Por el contrario, habida cuenta de que el juez que debe ordenar el registro policial es el mismo que aquel ante el que se sustanciará eventualmente el procedimiento penal en su fase judicial, el hecho de que en esta fase del proceso penal, en un procedimiento que además no es contradictorio, no pueda apreciar la existencia de suficientes pruebas parece garantizar a la persona investigada que, tal como exige el principio de presunción de inocencia, ese juez estará «exento de toda parcialidad y de cualquier idea preconcebida al examinar la responsabilidad penal del acusado». ( ) En cualquier caso, «para comprobar que se respeta la presunción de inocencia es preciso analizar siempre una resolución judicial y su motivación en su conjunto y a la luz de las circunstancias particulares que concurren en su adopción». ( )

44. Por tanto, del análisis anterior resulta que el artículo 6, letra a), de la Directiva 2016/680, considerado a la luz de los artículos 47 y 48 de la Carta, debe interpretarse en el sentido de que no se opone a una legislación nacional, como la controvertida en el litigio principal, en virtud de la cual el control del órgano jurisdiccional competente que examina una solicitud de autorización de realización forzosa de un registro policial de datos personales, en particular biométricos y genéticos, al que la persona investigada por la comisión de un delito público doloso se niega a someterse, se limita a comprobar que se ha dictado una resolución por la que se decretan diligencias policiales y que el interesado se ha opuesto, sin que dicho órgano jurisdiccional pueda apreciar si existen suficientes pruebas para ordenar investigar a dicha persona, dado que esta cuestión puede ser planteada debidamente ante el juez, en su caso, en una fase ulterior del procedimiento penal.

B. Sobre la cuarta cuestión prejudicial

45. Mediante su cuarta cuestión prejudicial, el órgano jurisdiccional remitente pregunta al Tribunal de Justicia sobre la interpretación de los artículos 4, apartado 1, letras b) y c), ( ) 8 y 10 de la Directiva 2016/680 para poder apreciar, en última instancia, la conformidad con estas disposiciones del artículo 68 de la ZMVR, que establece como regla general la recogida y el tratamiento de fotografías, huellas dactilares y muestras para la elaboración de un perfil de ADN de todas las personas investigadas por la comisión de un delito público doloso.

46. La Directiva 2016/680 dedica una disposición específica al tratamiento de categorías especiales de datos personales, como las mencionadas en la cuarta cuestión prejudicial, en su artículo 10, el cual prevé, en esencia, que el tratamiento de datos biométricos y genéticos dirigidos a identificar de manera unívoca a una persona física «solo se permitirá cuando sea estrictamente necesario, con sujeción a las salvaguardias adecuadas para los derechos y libertades del interesado y únicamente cuando […] lo autorice el Derecho de la Unión o del Estado miembro». ( )

47. Además, la aplicación del artículo 10 no impide, a fortiori, que el tratamiento de estos datos especiales esté sujeto a otros requisitos previstos en la Directiva 2016/680, de modo que el tratamiento de categorías especiales de datos personales debe respetar, en particular, los artículos 4, apartado 1, letras b) y c), y 8 de esta Directiva. Sin embargo, dado que un examen sucesivo de estas disposiciones llevaría a un resultado redundante, considero posible integrar las exigencias que imponen esas disposiciones en el análisis basado en el artículo 10 de la Directiva 2016/680.

48. Así pues, considero, en efecto, que debe comprobarse, en primer lugar, que el tratamiento de datos comprendidos en el ámbito de aplicación del artículo 10 de la Directiva 2016/680 es estrictamente necesario. Ello implica, por un lado, definir el nivel de necesidad exigido y, por otro, introducir en el criterio de la necesidad también el principio de minimización de los datos personales consagrado en el artículo 4, apartado 1, letra c), de dicha Directiva. ( ) El control de la correlación entre los medios desplegados y los fines perseguidos, que deben ser determinados, explícitos y legítimos, en el sentido de los artículos 4, apartado 1, letra b), y 8, apartado 1, de la Directiva 2016/680, también puede llevarse a cabo en esta fase del análisis. En segundo lugar, es preciso cerciorarse de que el Derecho del Estado miembro autoriza el tratamiento, lo cual, como demostraré, enlaza con la calidad de la ley a la luz de cuanto establece, en particular, el artículo 8, apartado 2, de la Directiva 2016/680. En tercer lugar, debe apreciarse si el tratamiento sometido al artículo 10 de esta Directiva responde a la exigencia de ofrecer las salvaguardias adecuadas para los derechos y libertades del interesado.

1. Carácter estrictamente necesario del tratamiento de los datos recogidos con ocasión del registro policial

49. El primero de los requisitos es, pues, que el tratamiento de los datos biométricos y genéticos sea estrictamente necesario. No cabe duda, en mi opinión, de que se trata de un requisito reforzado, dado que el artículo 8, apartado 1, de la Directiva 2016/680 se limita a supeditar la licitud del tratamiento únicamente a la necesidad de este. He de observar, sin embargo, sin ánimo de ser exhaustivo, que las versiones en lengua alemana, española, inglesa, italiana, polaca, portuguesa o incluso rumana establecen el umbral previsto en el artículo 10 de la Directiva en términos diferentes a los que se emplean en la versión francesa, pues se refieren a un tratamiento estrictamente necesario [mientras que la versión francesa emplea la expresión «nécessité absolue»]. ( ) Si bien es cierto que, aunque sutil, existe una diferencia de matiz, considero que en realidad no entraña consecuencias sobre la naturaleza del criterio que se deriva del citado precepto. En cambio, el artículo 10 de la Directiva 2016/680 impone claramente un grado de exigencia reforzado, que resulta necesario en presencia de injerencias graves en el derecho a la protección de datos personales, ( ) respecto del nivel admitido en el régimen general aplicado a los datos que no son especiales. Por consiguiente, es preciso tener presente en todo momento la idea de una necesidad rigurosa.

50. En aras de la coherencia, comenzaré por el examen de los fines. Los datos personales deben recogerse con fines determinados, explícitos y legítimos, y no ser tratados de forma incompatible con esos fines, lo que exige examinar el Derecho nacional que, a través de sus distintas fuentes, constituye el régimen jurídico del registro policial, ejercicio que incumbe al órgano jurisdiccional remitente. La mera invocación de uno de los fines perseguidos por el artículo 1, apartado 1, de la Directiva 2016/680 no puede bastar para considerar que se cumple el requisito previsto en el artículo 4, apartado 1, letra b), de esta Directiva. Si bien es cierto que la Directiva 2016/680 reconoce la necesidad de que las autoridades competentes traten datos personales recopilados en el contexto de la prevención, la investigación, la detección o el enjuiciamiento de infracciones penales concretas más allá de ese contexto específico, con el fin de adquirir un mejor conocimiento de las actividades delictivas y establecer vínculos entre las distintas infracciones penales detectadas, ( ) no lo es menos que el Derecho nacional que regula esta actividad ha de identificar los fines del tratamiento, que deben indicarse claramente. ( ) Además, en lo que atañe al objetivo de prevención, investigación, detección y enjuiciamiento de infracciones penales, «solo la lucha contra la delincuencia grave y la prevención de las amenazas graves contra la seguridad pública pueden justificar las injerencias graves en los derechos fundamentales consagrados en los artículos 7 y 8 de la Carta […]. En consecuencia, solo las injerencias en tales derechos fundamentales que no presenten un carácter grave pueden estar justificadas por el objetivo de prevención, investigación, descubrimiento y persecución de delitos en general». ( )

51. Las disposiciones nacionales deben ser claras y precisas ( ) para que los interesados puedan estar informados de los riesgos, reglas, salvaguardias y derechos ( ) aplicables en relación con el tratamiento previsto. En mi opinión, el control del carácter legítimo de los fines perseguidos no puede limitarse al examen de la mera mención, en el Derecho nacional, de una finalidad común a las previstas en la Directiva 2016/680, que queda así legitimada por los requisitos exigidos para considerarse cumplida. Además, un fin insuficientemente detallado por lo que respecta a los requisitos de su aplicación en la práctica, aun siendo legítimo, no puede considerarse explícito ni determinado, a efectos del artículo 4, letra b), de la Directiva 2016/680. Pues bien, el carácter explícito y determinado de los fines es esencial para que pueda examinarse si el tratamiento es estrictamente necesario.

52. En cuanto atañe al principio según el cual los datos personales recogidos y tratados deben ser adecuados, pertinentes y no excesivos en relación con los fines para los que son tratados, se trata del principio de minimización de los datos, ( ) garantizado en el artículo 4, apartado 1, letra c), de la Directiva 2016/680.

53. El carácter adecuado y pertinente de los datos no parece, a priori, plantear ningún problema, puesto que las fotografías, las huellas dactilares y el ADN son elementos conocidos de identificación única que permiten acreditar, por comparación, la presunta participación del interesado en la comisión de la infracción, ya sea en el contexto del procedimiento penal en curso o por comparación con las pruebas recabadas en procedimientos anteriores.

54. El considerando 26 de la Directiva 2016/680 incluye, en el principio de minimización de los datos, la comprobación de la duración necesaria del período de conservación de los datos de que se trate ( ) y dispone que los datos «solo deberían ser objeto de tratamiento si la finalidad del tratamiento no puede lograrse razonablemente por otros medios». ( ) Por lo que respecta, además, a las excepciones y restricciones al derecho fundamental a la protección de datos personales, estas excepciones y restricciones deben establecerse sin sobrepasar los límites de lo estrictamente necesario. ( ) Debe establecerse una relación razonable entre los datos que van a conservarse y el objetivo ( ) perseguido. Aunque no se cuestiona que los ficheros de datos, consultados por las autoridades nacionales, contribuyen eficazmente a la represión de ciertas infracciones, en ocasiones las de mayor gravedad, el Tribunal Europeo de Derechos Humanos ya ha declarado, sin embargo, que estos mecanismos no pueden utilizarse con ánimo de maximizar la información que figura en ellos y la duración de su período de conservación. En efecto, si no se observa la necesaria proporcionalidad respecto de los objetivos legítimos que se les atribuyen, las ventajas que ofrecen quedarían distorsionadas por el grave menoscabo que supondrían para los derechos y libertades que los Estados deben garantizar. ( )

55. El Tribunal de Justicia ha recordado recientemente, en el contexto del RGPD y a propósito del principio de minimización, que, para cumplir el requisito de proporcionalidad que se refleja en la disposición en la que se consagra este principio, «la normativa en la que se basa el tratamiento debe establecer reglas claras y precisas que regulen el alcance y la aplicación de la medida en cuestión e impongan unas exigencias mínimas, de modo que las personas cuyos datos personales resulten afectados dispongan de garantías suficientes que permitan proteger de manera eficaz esos datos frente a los riesgos de abuso. Dicha normativa debe ser legalmente imperativa en Derecho interno y, en particular, indicar en qué circunstancias y con arreglo a qué requisitos puede adoptarse una medida que contemple el tratamiento de tales datos, garantizando así que la injerencia se limite a lo estrictamente necesario». ( ) Esta normativa debe, además, «basarse en criterios objetivos para definir las circunstancias y los requisitos» ( ) conforme a los cuales una persona está obligada a suministrar datos personales para que sean tratados por las autoridades competentes.

2. Exigencia de que el tratamiento esté autorizado por el Derecho nacional

56. El artículo 10 de la Directiva 2016/680 prevé, como uno de los requisitos de autorización del tratamiento de categorías especiales de datos personales, que este último esté autorizado por el Derecho de la Unión o el Derecho nacional. El considerando 33 de dicha Directiva precisa el concepto de «Derecho nacional», así como las características que este debe presentar. En este sentido, el Derecho nacional debe ser claro y preciso, y su aplicación previsible. Su contenido está sujeto al artículo 8, apartado 2, de la Directiva 2016/680, según el cual las disposiciones del Derecho nacional que regulen el tratamiento de datos personales comprendido en el ámbito de aplicación de esta Directiva deberán indicar «al menos los objetivos del tratamiento, los datos personales que vayan a ser objeto del mismo y las finalidades del tratamiento». La distinción entre, por un lado, los objetivos, y, por otro, los fines o las finalidades del tratamiento no parece, a simple vista, evidente. No obstante, considero que, mientras que los fines pueden formularse de una forma en cierto modo general, los objetivos deben precisar la utilidad concreta e inmediata del tratamiento previsto. ( ) El Derecho nacional debe, por tanto, ser suficientemente claro en cuanto a las razones por las que se autoriza el tratamiento de esta categoría especial de datos.

3. Existencia de salvaguardias adecuadas para los derechos y libertades del interesado

57. Habida cuenta de los riesgos que entraña el tratamiento de datos personales sensibles, este debe estar supeditado a las garantías adecuadas de protección de los derechos y libertades del interesado. Para ser adecuadas, estas salvaguardias deben, como es de esperar, estar previstas por la ley. ( ) Para apreciar la existencia de estas salvaguardias, es necesario tener una visión de conjunto de todas las condiciones para poder determinar el alcance exacto del tratamiento de que se trate y garantizar una protección eficaz contra los tratamientos inapropiados o abusivos. ( ) En efecto, el considerando 37 de la Directiva 2016/680 menciona, como ejemplo de tales salvaguardias, «la posibilidad de recopilar tales datos únicamente en relación con otros datos de la persona física afectada, la posibilidad de proteger adecuadamente los datos recopilados, el establecimiento de normas más estrictas para el acceso a los datos por parte del personal de la autoridad competente, o la prohibición de transmisión de dichos datos». En cuanto al tratamiento de datos sensibles, dado que se trata de una injerencia grave y habida cuenta de los riesgos de abuso asociados a las características intrínsecas de estos datos, son fundamentales las cuestiones de la duración del período de conservación de los datos y del acceso a estos últimos por las autoridades competentes. Así pues, la apreciación de la conformidad del tratamiento previsto con las disposiciones del artículo 10 de la Directiva 2016/680 implica asimismo un examen riguroso de todos los aspectos de dicho tratamiento que deben, por consiguiente, estar previstos claramente en el Derecho nacional ( ) y responder a las normas establecidas por el Derecho de la Unión.

4. Conclusión y aplicación provisional

58. De las consideraciones que preceden resulta que el artículo 10 de la Directiva 2016/680, en relación con los artículos 4, letras b) y c), y 8 de esta misma Directiva, considerado a la luz de los artículos 7, 8 y 52, apartado 1, de la Carta, debe interpretarse en el sentido de que la recogida y el tratamiento de datos biométricos y genéticos, como las fotografías, las huellas dactilares y las muestras obtenidas para la elaboración de un perfil de ADN, en la medida en que representan una injerencia grave en el derecho a la protección de datos personales, solo se autorizan en caso de que sean estrictamente necesarios para alcanzar objetivos relacionados con la lucha contra la delincuencia grave, que el Derecho nacional debe prever claramente. La naturaleza y el número de datos personales tratados deben ser estrictamente adecuados y coherentes con el objetivo y la finalidad perseguidos. A este respecto, el Derecho nacional debe cumplir con uno de los fines previstos por la Directiva 2016/680. Debe indicar igualmente cuáles son los objetivos concretos perseguidos que pueden contribuir a lograr dicha finalidad. También debe precisar de forma concreta las razones por las que, pese a representar una injerencia grave, el tratamiento de estos datos y, en particular, de los datos genéticos, resulta estrictamente necesario para esa finalidad. Asimismo, el Derecho nacional ha de establecer de forma clara los requisitos del tratamiento en todas sus dimensiones, es decir, los requisitos aplicables desde la recogida o acceso hasta la cancelación, pasando por la determinación precisa y necesariamente muy limitada del ámbito de aplicación personal de la recogida y tratamiento. Cada uno de estos requisitos debe limitarse a lo estrictamente necesario. El régimen así definido debe poder proteger eficazmente a las personas contra los riesgos de abuso que representa, en particular, el tratamiento de datos genéticos. Incumbe al órgano jurisdiccional remitente cerciorarse de que se cumplen escrupulosamente todas estas exigencias.

59. Considero, en efecto, que el Tribunal de Justicia no dispone de toda la información sobre el estado del Derecho nacional que regula el registro policial para poder pronunciarse por sí mismo sobre la compatibilidad de este último con el Derecho de la Unión. No obstante, es preciso señalar que algunas de las características de tal registro generan ciertas dudas o incluso preocupación.

60. El órgano jurisdiccional remitente afirma, en su petición de decisión prejudicial, que el tratamiento tiene por objetivo una actividad de investigación y que se enmarca en el ejercicio de las actividades del Ministerio del Interior. Resulta, además, del artículo 27 de la ZMVR que los datos registrados por la policía en virtud del artículo 68 de esta Ley «únicamente» podrán utilizarse con fines de protección de la seguridad nacional, lucha contra la delincuencia y mantenimiento del orden público. ( ) Los datos recogidos con ocasión del registro policial se tratarán para los fines del procedimiento penal en el que el interesado es investigado, pero también con «otros fines relacionados con la lucha contra la delincuencia», según los escritos del Gobierno búlgaro, y en su caso por comparación. A primera vista, es cierto que estos fines parecen corresponderse con los mencionados en el artículo 1, apartado 1, de la Directiva 2016/680, en particular con los fines de detección e investigación de infracciones penales. Sin embargo, la falta de determinación precisa de la finalidad perseguida, o incluso la acumulación de los fines alegados, así como la no formulación explícita de las razones por las que uno o varios de esos fines justifican ese medio (a saber, a modo de recordatorio, la recogida y el tratamiento obligatorios y sistemáticos de tres tipos de datos personales comprendidos en categorías especiales y que deben gozar de una protección reforzada al amparo del artículo 10 de la Directiva 2016/680, tales como el perfil de ADN de las personas investigadas por la comisión de un delito público doloso) ( ) son manifiestas y pueden obstaculizar otras etapas del análisis del criterio que ha de aplicarse. En particular, por lo que respecta a la inclusión del perfil de ADN del interesado en un fichero automatizado, los esfuerzos del Derecho nacional en cuanto a la indicación explícita de la necesidad de efectuar tal tratamiento deben ser especialmente constantes para que pueda demostrarse que el resultado alcanzado procede de una ponderación cuidadosa de los intereses concurrentes.

61. Incluso si los fines supuestamente perseguidos por el registro policial parecen ser conformes a los previstos en el artículo 1, apartado 1, de la Directiva 2016/680, el Derecho nacional no ha establecido ni precisado la relación entre el alcance de la recogida —ya sea en cuanto al número de interesados como al número de datos recogidos y tratados— y los fines perseguidos.

62. Dado que el Tribunal de Justicia ya ha declarado que la eficacia de las acciones penales depende generalmente no de un solo medio de investigación, sino de todos los medios de investigación que se hallen a disposición de las autoridades nacionales competentes a los referidos efectos, ( ) cuando un Estado miembro autoriza a estas autoridades a recoger y tratar datos personales tan sensibles como el perfil de ADN, las razones por la que estos datos deben ser objeto de tratamiento para los fines de la investigación en curso deben ser precisadas de forma específica.

63. He de observar asimismo que todos los investigados por la comisión de un delito público doloso deben someterse al registro policial. Pues bien, el órgano jurisdiccional remitente precisa que casi todos los delitos tipificados en el Código Penal están comprendidos en estas categorías (delito doloso/delito público). Todos los datos se obtienen en la fase de investigación, aun cuando, como exige el Derecho procesal penal búlgaro, ya se hayan recabado pruebas suficientes de la culpabilidad de la persona investigada. En cuanto al registro policial, las personas que acaben siendo declaradas culpables al finalizar el procedimiento no reciben, sin embargo, un trato diferente de las personas que no son condenadas, al margen, según parece, de la posibilidad de ejercitar el derecho de cancelación de los datos tratados, una vez que la persona es finalmente absuelta. Pues bien, al tratarse de injerencias graves y de datos sensibles que exigen una protección reforzada, me pregunto por qué no se invierte esta lógica, es decir, por qué no se espera a que la persona sea condenada por los hechos que se le reprochan antes de realizar el registro policial, práctica esta que por lo menos tendría la virtud de reforzar el carácter selectivo de la medida. Dicho esto, el Tribunal de Justicia no dispone de información sobre los motivos en que se basa la elección del legislador nacional.

64. La naturaleza de la infracción por la que se investiga a la persona tampoco se tiene en cuenta. Simplificando esta situación todo lo posible, podría argumentarse que la persona investigada por un delito de tráfico sería tratada del mismo modo que un sospechoso de asesinato. La legislación no parece prever ningún supuesto en el que no se realice el registro policial de todos los datos de que se trata. Pues bien, al menos por lo que respecta a los procedimientos penales en curso, no en todos se precisa la elaboración de un perfil de ADN para acreditar la culpabilidad de la persona. Aunque esa medida, al «limitarse» a las personas investigadas, no es una medida generalizada, su aplicación indiscriminada a la amplia categoría de los investigados plantea serias dudas. Además, al no diferenciar en función de la gravedad de la infracción, el Derecho nacional ya resulta, en este punto, difícilmente compatible con la jurisprudencia recordada en el punto 50 de las presentes conclusiones.

65. Asimismo, debería prestarse especial atención a los requisitos de conservación de los datos y de acceso a los mismos sobre los que el Tribunal de Justicia dispone de escasa información.

66. Finalmente, la cuestión de la comparación de los datos recogidos de este modo suscita dos comentarios. Por un lado, en cuanto atañe a la comparación con las pruebas recabadas durante investigaciones anteriores, una interpretación estrictamente necesaria de este objetivo solo justifica la comparación inmediata de los datos, sin que sea preciso conservar durante más o menos tiempo los datos de los investigados. Por otro lado, si lo que se pretende es elaborar una base de datos para facilitar la resolución de futuras infracciones, es decir, en caso de reincidencia, es evidente que no está justificado introducir en ella datos personales sensibles de personas que, pese a no haber sido todavía declaradas culpables, ya serían objeto de medidas de lucha contra el riesgo de reincidencia, completamente hipotético.

IV. Conclusión

67. A la luz de las consideraciones que preceden, propongo al Tribunal de Justicia que responda del siguiente modo a las cuestiones prejudiciales tercera y cuarta planteadas por el Spetsializiran nakazatelen sad (Tribunal Penal Especial, Bulgaria):

«El artículo 6, letra a), de la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos y por la que se deroga la Decisión Marco 2008/977/JAI del Consejo, considerado a la luz de los artículos 47 y 48 de la Carta de los Derechos Fundamentales de la Unión Europea, debe interpretarse en el sentido de que no se opone a una legislación nacional, como la controvertida en el litigio principal, en virtud de la cual el control del órgano jurisdiccional penal competente que examina una solicitud de autorización de realización forzosa de un registro policial de datos personales, en particular biométricos y genéticos, al que la persona investigada por la comisión de un delito público doloso se niega a someterse, se limita a comprobar que se ha dictado una resolución por la que se decretan diligencias policiales y que el interesado se ha opuesto, sin que dicho órgano jurisdiccional pueda apreciar si existen suficientes pruebas para ordenar investigar a dicha persona, dado que esta cuestión puede ser planteada debidamente ante el juez, en su caso, en una fase ulterior del procedimiento penal.

El artículo 10 de la Directiva 2016/680, en relación con los artículos 4, letras b) y c), y 8 de esta misma Directiva, considerado a la luz de los artículos 7, 8 y 52, apartado 1, de la Carta de los Derechos Fundamentales, debe interpretarse en el sentido de que la recogida y el tratamiento de datos biométricos y genéticos, como fotografías, huellas dactilares y muestras obtenidas para la elaboración de un perfil de ADN, en la medida en que representan una injerencia grave en el derecho a la protección de datos personales, solo se autorizan en caso de que sean estrictamente necesarios para alcanzar objetivos relacionados con la lucha contra la delincuencia grave, que el Derecho nacional debe prever claramente. La naturaleza y el número de datos personales tratados deben ser estrictamente adecuados y coherentes con el objetivo y la finalidad perseguidos. A este respecto, el Derecho nacional debe perseguir uno de los fines previstos por la Directiva 2016/680. Debe indicar igualmente cuáles son los objetivos concretos perseguidos que pueden contribuir a lograr dicha finalidad. También debe precisar de forma concreta las razones por las que, pese a representar una injerencia grave, el tratamiento de estos datos y, en particular, de los datos genéticos, resulta estrictamente necesario para esa finalidad. Asimismo, el Derecho nacional ha de establecer de forma clara los requisitos del tratamiento en todas sus dimensiones, es decir, los requisitos aplicables desde la recogida o acceso hasta la cancelación, pasando por la determinación precisa y necesariamente muy limitada del ámbito de aplicación personal de la recogida y tratamiento. Cada uno de estos requisitos debe limitarse a lo estrictamente necesario. El régimen así definido debe poder proteger eficazmente a las personas contra los riesgos de abuso que representa, en particular, el tratamiento de datos genéticos. Incumbe al órgano jurisdiccional remitente cerciorarse de que se cumplen escrupulosamente todas estas exigencias.»