CELEX: 62021CC0205
Language: pl
Date: 2022-06-30
Title: Opinia rzecznika generalnego Pitruzzella przedstawiona w dniu 30 czerwca 2022 r.###

Wydanie tymczasowe
OPINIA RZECZNIKA GENERALNEGO
GIOVANNIEGO PITRUZZELLI
przedstawiona w dniu 30 czerwca 2022 r.(1).

Sprawa C‑205/21

Postępowanie karne

przeciwko

V.S.,

przy udziale:

Ministerstwo na wytresznite raboti, Gławna direkcija za borba s organiziranata prestypnost

[wniosek o wydanie orzeczenia w trybie prejudycjalnym złożony przez Spetsializiran nakazatelen syd (wyspecjalizowany sąd karny, Bułgaria)]
Odesłanie prejudycjalne – Ochrona osób fizycznych w zakresie przetwarzania danych osobowych – Dyrektywa (UE) 2016/680 – Podejrzany – Rejestracja policyjna danych osobowych – Dane wrażliwe – Dane biometryczne i genetyczne – Przymusowe dokonanie – Cel polegający na zapobieganiu i wykrywaniu czynów zabronionych – Wszczęte postępowanie karne – Porównanie z danymi osobowymi zebranymi w ramach poprzednich dochodzeń – Skuteczna ochrona sądowa – Przetwarzanie danych – Zasady – Minimalizacja danych – Bezwzględna niezbędność

1.        Rozwój technologiczny, gdy jest wykorzystywany w egzekwowaniu prawa karnego, jest zarówno fascynujący, jak i groźny dla praw podstawowych(2). Wniosek o wydanie orzeczenia w trybie prejudycjalnym w niniejszej sprawie po raz kolejny daje Trybunałowi możliwość dokonania wykładni instrumentu prawa Unii dotyczącego ochrony danych osobowych jako zabezpieczenia polityki karnej, której celem jest całkowita skuteczność, podczas gdy demokratyczne społeczeństwo prawa powinno, paradoksalnie, znaleźć pewną zaletę w wadliwości takiej polityki. W pewien sposób sprawa ta stanowi w dziedzinie ochrony danych osobowych odmianę zasady, zgodnie z którą lepiej jest uratować winnego niż skazać niewinnego(3).
I.      Ramy prawne

A.      Dyrektywa 2016/680

2.        Artykuł 4 dyrektywy Parlamentu Europejskiego i Rady (UE) 2016/680 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w sprawie swobodnego przepływu takich danych oraz uchylającej decyzję ramową Rady 2008/977/WSiSW(4) jest poświęcony zasadom dotyczącym przetwarzania danych osobowych. Ma on następujące brzmienie:
„1.      Państwa członkowskie zapewniają, by dane osobowe były:
a)      przetwarzane zgodnie z prawem i rzetelnie;
b)      zbierane w konkretnych, wyraźnych i uzasadnionych celach i nieprzetwarzane w sposób niezgodny z tymi celami;
c)      adekwatne, stosowne i nienadmierne do celów, dla których są przetwarzane […]”.

3.        Artykuł 6  lit. a) dyrektywy 2016/680 stanowi, co następuje:
„Państwa członkowskie zapewniają, by administrator – w stosownym przypadku i w miarę możliwości – wyraźnie rozróżniał dane osobowe poszczególnych kategorii osób, których dane dotyczą, takich jak:
a)      osoby, w stosunku do których istnieją poważne podstawy, by przypuszczać, że popełniły lub zamierzają popełnić czyn zabroniony;

4.        Artykuł 8 dyrektywy 2016/680 dotyczy zgodności przetwarzania z prawem i ma następujące brzmienie:
„1.      Państwa członkowskie zapewniają, by przetwarzanie było zgodne z prawem wyłącznie wówczas i w zakresie, w jakim jest ono niezbędne do wykonania zadania realizowanego przez właściwy organ w celach określonych w art. 1 ust. 1 oraz ma podstawę w prawie Unii lub prawie państwa członkowskiego.
2.      Prawo państwa członkowskiego regulujące przetwarzanie w zakresie stosowania niniejszej dyrektywy określa co najmniej powody przetwarzania, dane osobowe mające podlegać przetwarzaniu oraz cele przetwarzania”.

5.        Artykuł 10 dyrektywy 2016/680 stanowi:
„Przetwarzanie danych osobowych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe lub przynależność do związków zawodowych oraz przetwarzanie danych genetycznych, danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej, danych dotyczących zdrowia lub danych dotyczących seksualności i orientacji seksualnej osoby fizycznej jest dozwolone wyłącznie wtedy, jeżeli jest bezwzględnie niezbędne, podlega odpowiednim zabezpieczeniom dla praw i wolności osoby, której dane dotyczą, oraz:
a)      jest dopuszczone prawem Unii lub prawem państwa członkowskiego;
b)      jest niezbędne dla ochrony żywotnych interesów osoby fizycznej, której dane dotyczą, lub innej osoby; lub
c)      takie przetwarzanie dotyczy danych osobowych w sposób oczywisty upublicznionych przez osobę, której dane dotyczą”.
B.      Prawo bułgarskie

6.        Artykuł 68 Zakon za Ministerstwo na wytresznite raboti (ustawy o ministerstwie spraw wewnętrznych(5), zwanej dalej „ZMVR”) ma następujące brzmienie:
„1. Organ policji dokonuje rejestracji policyjnej podejrzanych o popełnienie umyślnego przestępstwa ściganego z oskarżenia publicznego. Organy prowadzące postępowanie przygotowawcze są zobowiązane do podjęcia niezbędnych kroków w celu zapewnienia przeprowadzenia rejestracji przez policję.
2. Rejestracja policyjna stanowi kategorię przetwarzania danych osobowych osób, o których mowa w ust. 1, które odbywa się na warunkach określonych w niniejszej ustawie.
3. Do celów rejestracji policyjnej organ policji: 
1)       zbiera dane osobowe wskazane w art. 18 zakon za byłgarskite liczni dokumenti [(6)];
2)       przeprowadza procedurę daktyloskopii i fotografowania osób;
3)       pobiera próbki w celu ustalenia wzoru profilu DNA osób. 
4. Do wykonywania czynności, o których mowa w ust. 3 pkt 1, nie jest wymagana zgoda danej osoby.
5. Osoby są zobowiązane do współpracy oraz do nieutrudniania czynności i nieustanawiania przeszkód dla organów policji przy wykonywaniu czynności, o których mowa w ust. 3. Jeżeli osoba ta odmawia wykonania tych czynności, o których mowa w ust. 3 pkt 2 i 3, przeprowadza się je z zastosowaniem przymusu, za zgodą sędziego sądu pierwszej instancji właściwego ze względu na przestępstwo ścigane z oskarżenia publicznego, o które osoba jest podejrzana.
6. Zniesienie rejestracji policyjnej następuje na podstawie pisemnej decyzji administratora danych osobowych lub upoważnionych przez niego funkcjonariuszy z urzędu albo na podstawie uzasadnionego pisemnego wniosku osoby zarejestrowanej, w przypadku, gdy:
1)       rejestracja została wykonana z naruszeniem prawa;
2)       postępowanie karne zostało umorzone, z wyjątkiem przypadków, o których mowa w art. 24 ust. 3 [nakazatełno-procesualen kodeks (kodeksu postępowania karnego, zwanego dalej „NPK”)];
3)       prawomocne orzeczenie uniewinniające zakończyło postępowanie karne;
4)       osoba ta nie została pociągnięta do odpowiedzialności karnej i nałożono na nią sankcję administracyjną;
5)       osoba ta nie żyje, w którym to przypadku wniosek może zostać złożony przez jej spadkobierców;
7. Sposób prowadzenia i usuwania rejestracji policyjnej określa rozporządzenie rady ministrów”. 

7.        Artykuł 2 ust. 1 Naredba za reda za izwyrszwane i snemane na policejska registracija (rozporządzenia w sprawie wdrożenia i zniesienia rejestracji policyjnej, zwane dalej „NRISPR”)(7) stanowi, że „[r]ejestracja policyjna jest czynnością polegającą na przetwarzaniu danych osobowych […], która jest wykonywana zgodnie z warunkami [ZMVR] w celu ochrony bezpieczeństwa narodowego, zwalczania przestępczości i utrzymania porządku publicznego”.
II.    Spór w postępowaniu głównym, pytania prejudycjalne i postępowanie przed Trybunałem

8.        Przeciwko V.S. toczy się postępowanie karne w związku z uchylaniem się od ustalenia i zapłaty zobowiązań podatkowych przez dwie spółki handlowe. W dniu 1 marca 2021 r. V.S. postawiono zarzuty uczestnictwa w zorganizowanej grupie przestępczej mającej na celu uzyskanie korzyści majątkowych. Postanowienie, w którym przedstawiono zarzuty V.S. zostało jej doręczone w dniu 15 marca 2021 r. W tym samym dniu wezwano ją do okazania współpracy przy realizacji rejestracji policyjnej, poddania się daktyloskopii(8), fotografowaniu(9) i pobrania wzoru jej profilu DNA. Ze względu na to, że odmówiła, wypełniła formularz oświadczenia, w którym wskazuje, że powiadomiono ją o istnieniu podstawy prawnej do dokonania w odniesieniu do niej tej rejestracji, ale nie zgodziła się na pobranie i rejestrację jej danych.

9.        W dniu 24 marca 2021 r. zastępca dyrektora Gławna direkcija za borba s organiziranata prestypnost (głównej dyrekcji ds. walki ze zorganizowaną przestępczością) przy Ministerstwo na wytresznite raboti (ministerstwie spraw wewnętrznych, Bułgaria) złożył wniosek do sądu odsyłającego Specializiran nakazatelen syd (wyspecjalizowanego sądu karnego, Bułgaria) o zgodę na przymusowe dokonanie rejestracji policyjnej w odniesieniu do V.S., która się od tego uchyla.

10.      We wniosku organ ten wskazał prowadzone postępowanie karne przeciwko V.S. oraz istnienie wystarczających dowodów jej winy. Stwierdza się w nim również, że formalnie przedstawiono V.S. zarzut popełnienia przestępstwa oraz że odmówiła poddania się daktyloskopii, fotografowaniu i pobieraniu wzoru profilu DNA do celów rejestracji policyjnej. Do wniosku załączono tylko dwie kserokopie: postanowienia o przedstawieniu zarzutów oraz oświadczenia, w którym V.S. nie wyraziła zgody na rejestrację policyjną. Pozostałych dokumentów zawartych w aktach sprawy nie przedstawiono sądowi odsyłającemu.

11.      W pierwszej kolejności sąd odsyłający zastanawia się, czy art. 10 dyrektywy 2016/680, który zezwala, pod pewnymi warunkami, na przetwarzanie danych biometrycznych i genetycznych, został prawidłowo transponowany do prawa bułgarskiego. W tym względzie sąd odsyłający zauważa, że przepisy regulujące rejestrację policyjną odnoszą się wyłącznie do rozporządzenia (UE) 2016/679(10), a nie do dyrektywy 2016/680. Zauważa, że zgodnie z art. 2 ust. 2 lit. d) RODO akt ten nie ma zastosowania do przetwarzania danych osobowych przez właściwe organy do celów zapobiegania przestępczości, a także wykrywania i ścigania czynów zabronionych, ponieważ to dyrektywa 2016/680, zgodnie z jej art. 1 ust. 1, reguluje takie przetwarzanie.

12.      W drugiej kolejności, zakładając, że należałoby uznać, iż art. 10 dyrektywy 2016/680 został prawidłowo transponowany do prawa krajowego lub że w prawie tym istnieje ważna podstawa prawna do przetwarzania danych biometrycznych i genetycznych, sąd odsyłający zastanawia się, czy spełniony jest wymóg zawarty w art. 10 lit. a) tej dyrektywy, zgodnie z którym takie przetwarzanie musi być dozwolone przez prawo Unii lub prawo państwa członkowskiego, mimo że istnieje sprzeczność między mającymi zastosowanie przepisami prawa krajowego.

13.      W trzeciej kolejności, sąd odsyłający wskazuje, że zgodnie z art. 6 lit. a) dyrektywy 2016/680 dane osobowe osób, w stosunku do których istnieją poważne podstawy, by przypuszczać, że popełniły czyn zabroniony, mogą być przetwarzane w celu zwalczania przestępczości. Zauważa również, że w motywie 31 zdanie trzecie tej dyrektywy stwierdza się, że przetwarzanie danych osobowych osób podejrzanych o popełnienie czynu zabronionego, ale nieskazanych, nie powinno uniemożliwiać stosowania prawa do domniemania niewinności. Artykuł 48  Karty praw podstawowych Unii Europejskiej (zwanej dalej „kartą”) ma zatem zastosowanie.

14.      Tymczasem sąd odsyłający wskazuje, po pierwsze, że zgodnie z art. 219 ust. 1 NPK konieczne jest zebranie „wystarczających dowodów winy określonej osoby”. Zastanawia się, czy kryterium to odpowiada kryterium „poważnych podstaw, by przypuszczać, że [osoby] popełniły […] czyn zabroniony”, o którym mowa w art. 6 lit. a) dyrektywy 2016/680. Sąd ten jest raczej zdania, że do przetwarzania danych biometrycznych i genetycznych konieczne jest zebranie bardziej przekonujących dowodów niż te, które są niezbędne zgodnie z prawem krajowym do objęcia kogoś dochodzeniem, jeśli celem dochodzenia jest poinformowanie tej osoby o podejrzeniach wobec niej oraz o przysługującej jej możliwości obrony.

15.      Po drugie, sąd odsyłający zauważa, że art. 68 ZMVR nie przewiduje, aby w ramach przymusowego dokonania rejestracji policyjnej sąd rozpatrujący wniosek o taką rejestrację miał dokonywać jakiejkolwiek kontroli występowania poważnych podstaw w rozumieniu art. 6 lit. a) dyrektywy 2016/680, ponieważ wystarczające jest samo stwierdzenie, że dana osoba jest podejrzana o popełnienie umyślnego przestępstwa ściganego z oskarżenia publicznego. Nie posiada zatem kompetencji do oceny, czy istnieją wystarczające lub poważne dowody na poparcie przedstawienia zarzutów, ani nie może w praktyce dokonać takiej oceny, ponieważ dysponuje jedynie kopiami postanowienia o przedstawieniu zarzutów i oświadczenia o odmowie zgody na rejestrację policyjną. Sąd odsyłający zastanawia się, czy w takich warunkach można uznać, że osoba, która odmówiła poddania się takiej rejestracji policyjnej, korzysta ze skutecznej ochrony sądowej, jak również poszanowania domniemania niewinności, gwarantowanej przez art. 47 i 48 karty.

16.      W czwartej kolejności sąd odsyłający zauważa, że art. 4 ust. 1 lit. b) dyrektywy 2016/680 stanowi, iż dane osobowe muszą być zbierane w konkretnych, wyraźnych i uzasadnionych celach, a art. 8 ust. 2 tej dyrektywy przewiduje, że prawo państwa członkowskiego musi określać powody i cele przetwarzania. Ponadto zauważa, że zgodnie z art. 4 ust. 1 lit. c) i art. 8 ust. 1 wspomnianej dyrektywy zbieranie danych osobowych nie może wykraczać poza to, co jest konieczne. Zauważa również, szczególnie w odniesieniu do danych biometrycznych i genetycznych, że zgodnie z art. 10 dyrektywy 2016/680 ich przetwarzanie jest dozwolone wyłącznie wtedy, jeżeli jest „bezwzględnie niezbędne”.

17.      Sąd odsyłający wywodzi z tych przepisów dyrektywy 2016/680, że prawo krajowe powinno przyznawać właściwym organom pewien zakres uznania przy dokonywaniu rejestracji policyjnej, która powinna odnosić się zarówno do kwestii, czy zbieranie danych, o których mowa, musi mieć miejsce, jak i do kwestii, czy zbieranie to musi obejmować wszystkie te dane. Ponadto sąd uważa, że gdy wymóg jest „bezwzględnie niezbędny” należy wywnioskować, że zbieranie takich danych może być dozwolone wyłącznie, gdy istnieje odpowiednie uzasadnienie takiej konieczności. Jednakże rejestracja policyjna ma zastosowanie w sposób bezwzględnie wiążący do wszystkich osób, którym przedstawiono zarzut popełnienia umyślnego przestępstwa ściganego z oskarżenia publicznego oraz do trzech kategorii zbierania danych osobowych, o których mowa w tym artykule, a mianowicie do fotografowania, daktyloskopii i pobierania DNA.

18.      Ponadto sąd odsyłający zauważa, że ZMVR wymienia jedynie cele przetwarzania, a mianowicie prowadzenie poszukiwań, w tym w celu ochrony bezpieczeństwa narodowego, zwalczania przestępczości i utrzymania porządku publicznego. Natomiast ustawodawstwo krajowe nie wymaga stwierdzenia, że istnieje konkretna potrzeba zbierania wszystkich danych biometrycznych i genetycznych lub w stosownych przypadkach, tylko części z nich. Sąd odsyłający zastanawia się zatem, czy warunek przewidziany w prawie krajowym dla rejestracji policyjnej – to jest okoliczność popełnienia umyślnego przestępstwa ściganego z oskarżenia publicznego – jest wystarczający dla spełnienia wymogów dyrektywy 2016/680.

19.      W tych okolicznościach Spetsializiran nakazatelen syd (wyspecjalizowany sąd karny, Bułgaria) zawiesił postępowanie i w postanowieniu, które wpłynęło do sekretariatu Trybunału w dniu 31 marca 2021 r., zwrócił się do Trybunału z następującymi pytaniami prejudycjalnymi: 
„1)        Czy ważnie transponowano art. 10 dyrektywy [2016/680], poprzez powołanie się w prawie krajowym […] na podobny przepis zawarty w art. 9 [RODO]? 
2)        Czy w wypadku sprzecznych przepisów krajowych dotyczących dopuszczenia do przetwarzania danych genetycznych i biometrycznych dla celów rejestracji policyjnej przestrzegany jest wymóg określony w art. 10 lit. a) dyrektywy 2016/680 w związku z art. 52, 3 i 8 [karty] w odniesieniu do przewidzianego w prawie ograniczenia integralności osobistej i ochrony danych osobowych? 
3.       Czy przepis prawa krajowego – art. 68 ust. 4 ZMVR, w którym przewidziano obowiązek sądu zarządzenia przymusowego zbierania danych osobowych (fotografowania, daktyloskopii i pobierania wzorów profilu DNA), jeśli podejrzany o popełnienie umyślnego przestępstwa ściganego z oskarżenia publicznego odmówi dobrowolnej współpracy przy gromadzeniu tych danych osobowych, bez możliwości dokonania przez sąd oceny, czy istnieją poważne podstawy, by przypuszczać, że osoba ta popełniła przestępstwo będące przedmiotem oskarżenia – jest zgodny z art. 6 lit. a) dyrektywy 2016/680 w związku z art. 48 karty? 
4.       Czy przepis prawa krajowego – art. 68 ust. 1–3 ZMVR, w którym przewidziano jako ogólną regułę fotografowanie, daktyloskopię i pobieranie wzorów profilu DNA od wszystkich podejrzanych o popełnienie umyślnego przestępstwa ściganego z oskarżenia publicznego – jest zgodny z art. 10, art. 4 ust. 1 lit. a) i c) oraz art. 8 ust. 1 i 2 dyrektywy 2016/680?”

20.      Rządy bułgarski i francuski oraz Komisja Europejska przedłożyły Trybunałowi uwagi na piśmie. Ministerstwo spraw wewnętrznych, rządy Bułgarii i Francji oraz Komisja przesłały również Trybunałowi odpowiedzi na skierowane do nich pytania na piśmie.

21.      Zgodnie z żądaniem Trybunału niniejsza opinia koncentruje się na trzecim i czwartym pytaniu prejudycjalnym.
III. Analiza

22.      Na wstępie pragnę przypomnieć, co następuje.

23.      Jeśli chodzi o klasyfikację danych zbieranych i przetwarzanych(11) podczas rejestracji policyjnej, jasne jest, że pobieranie wzoru profilu DNA od osoby, której dane dotyczą, stanowi dane genetyczne w rozumieniu art. 3 pkt 12 dyrektywy 2016/680. Odciski palców(12) stanowią dane biometryczne, co potwierdza art. 3 ust. 13 tej dyrektywy. Jeśli chodzi o fotografie(13), to prawdopodobnie mogą również stanowić dane biometryczne, co przewiduje także art. 3 ust. 13 dyrektywy 2016/680. Rejestracje policyjne dotyczą zatem dwóch kategorii danych osobowych: danych, powiedzmy, klasycznych, takich jak stan cywilny, podlegających ogólnemu reżimowi ustanowionemu dyrektywą 2016/680 oraz tzw. danych „szczególnych”, by nie powiedzieć wrażliwych, takich jak fotografie, odciski palców i pobierany wzór profilu DNA osoby, której dane dotyczą. Zwracam jednak uwagę, że sąd odsyłający w treści swoich pytań odnosi się jedynie do tych „szczególnych” danych. W kontekście środków zmuszających organ prowadzący dochodzenie do zbierania i przetwarzania danych, w tym danych wrażliwych, środki takie wyraźnie stanowią, bez uszczerbku dla możliwości ich ewentualnego uzasadnienia, ingerencje w prawo osoby, której dane dotyczą, do poszanowania jej życia prywatnego i do ochrony jej danych osobowych(14). Ta ingerencja jest tym poważniejsza, że dane są szczególnie chronione(15). Jednak pomimo dobrze znanych prawodawcy Unii zagrożeń związanych z odstępstwami i nadużyciami, przetwarzanie tej szczególnej kategorii danych przez organ policji, zwłaszcza w celu umieszczenia ich w aktach, nie jest zabronione, ponieważ udowodniono skuteczność takiego przetwarzania dla realizacji zadań tych organów(16). W tym przypadku należy więc znaleźć odpowiednią równowagę między imperatywami związanymi z właściwym prowadzeniem dochodzenia a nie mniej pilną potrzebą zapewnienia wyższego poziomu ochrony tego szczególnego rodzaju danych osobowych. 
A.      W przedmiocie trzeciego pytania prejudycjalnego

24.      W swoim trzecim pytaniu prejudycjalnym sąd odsyłający zmierza zasadniczo do ustalenia, czy art. 6 lit. a) dyrektywy 2016/680 w świetle art. 47 i 48 karty należy interpretować w ten sposób, że stoi on na przeszkodzie przepisom krajowym, które przewidują, że w przypadku odmowy współpracy przez podejrzanego o popełnienie umyślnego przestępstwa ściganego z oskarżenia publicznego przy procedurze gromadzenia jej danych osobowych (to jest co najmniej fotografowania, daktyloskopii i pobierania DNA w celu ustalenia wzoru profilu), sąd rozpoznający wniosek w tym zakresie ma obowiązek zarządzić przymusowe zbieranie takich danych bez możliwości oceny istnienia poważnych podstaw do przypuszczenia, że osoba, której dane dotyczą, rzeczywiście popełniła przestępstwo, o które jest podejrzana.

25.      Krajowy kontekst ram ustawowych i wykonawczych charakteryzuje się następującymi cechami. Sąd odsyłający stwierdza, że prawie wszystkie czyny zabronione określone w bułgarskim kodeksie karnym są ścigane z oskarżenia publicznego, tj. ściganie wszczyna prokurator. NPK stanowi, że jeśli istnieją wystarczające dowody na to, że dana osoba jest winna popełnienia przestępstwa ściganego z oskarżenia publicznego, należy uznać ją za podejrzanego(17). Podejrzani o popełnienie przestępstwa za tego typu czyny zabronione podlegają rejestracji policyjnej, co reguluje m.in. art. 68 ZMVR. Rejestracji tej dokonuje organ policji, a nie organy prowadzące postępowanie karne. Rejestrowane dane osobowe są następujące: informacje o stanie cywilnym osoby (imię i nazwisko, data i miejsce urodzenia, płeć, narodowość), dane kontaktowe oraz administracyjny numer identyfikacyjny, a także cechy fizyczne (wzrost, kolor oczu). Rejestrowane będzie także co najmniej jedno zdjęcie osoby, której dane dotyczą, jej odciski palców oraz wzór profilu DNA zarejestrowany po pobraniu próbki. Podejrzany ma obowiązek współpracować i nie utrudniać zbierania jego danych osobowych. Osoba staje się oskarżonym dopiero po wniesieniu przez prokuratora aktu oskarżenia do sądu, po czym postępowanie karne wchodzi w fazę sądową.

26.      W przypadku sprzeciwu, zgoda podejrzanego może nie być wymagana w przypadku przetwarzania danych osobowych związanych z czynnościami w zakresie zwalczania przestępczości, ale może podpisać pisemne oświadczenie, w którym wyrazi swój sprzeciw. Organ policji odpowiedzialny za rejestrację policyjną zwraca się następnie do sądu, który jest właściwy w przypadku, gdyby postępowanie karne dotyczące danego czynu zabronionego weszło w fazę sądową, aby wystąpić o zgodę na przymusowe dokonanie tej rejestracji. Swoboda uznania sądu jest ograniczona, ponieważ ma on obowiązek sprawdzić jedynie, czy dana osoba jest podejrzana o popełnienie umyślnego przestępstwa ściganego z oskarżenia publicznego oraz czy rzeczywiście odmówiła ona poddania się rejestracji policyjnej. Akta postępowania w sprawie przymusowego dokonania rejestracji policyjnej składają się zatem jedynie z kopii postanowienia o przedstawieniu zarzutów i oświadczenia o odmowie zgody na gromadzenia danych. Po ustaleniu, że osoba, której dane dotyczą, jest podejrzana i że sprzeciwiła się ona rejestracji policyjnej, sąd rozpatrujący sprawę ma obowiązek wydać zgodę na przymusowe dokonanie tej rejestracji.

27.      Artykuł 6 dyrektywy 2016/680, który stanowi istotę tego trzeciego pytania, zobowiązuje państwa członkowskie „w stosownym przypadku i w miarę możliwości”, do dokonania wyraźnego rozróżnienia między danymi różnych kategorii osób, których dotyczą, takich jak „osoby, w stosunku do których istnieją poważne podstawy, by przypuszczać, że popełniły lub zamierzają popełnić czyn zabroniony”(18). Celem tego przepisu, jak przypomniała Komisja, jest nieingerowanie w podstawowe prawo do ochrony danych osobowych osób pokrzywdzonych w wyniku czynów zabronionych w taki sam sposób, jak na przykład osób podejrzanych o ich popełnienie(19).

28.      Z samego brzmienia tego przepisu wynika, że intensywność obowiązku nałożonego na państwa członkowskie jest raczej niewielka i nie do końca określona, w zakresie w jakim lista kategorii osób nie jest wyczerpująca, a dyrektywa nakłada na państwa członkowskie obowiązek wyciągnięcia konsekwencji z wyraźnego rozróżnienia, o którego dokonanie zwrócono się do nich. Ze ściśle literalnego punktu widzenia uważam, że na mocy tego przepisu jest całkowicie dopuszczalne, aby państwo członkowskie ustanowiło „wyraźną kategorię” podejrzanych, tj. tych, w odniesieniu do których istnieją wystarczające dowody, że popełniły one czyn zabroniony.

29.      W odniesieniu do sądowego przymusowego dokonania rejestracji policyjnej zauważam z jednej strony, że dyrektywa 2016/680 nie ma na celu uporządkowania warunków proceduralnych zbierania danych osobowych osób objętych art. 6 lit. a)(20) tej dyrektywy oraz że, z drugiej strony, i w każdym razie, jak podkreślił rząd francuski, pozwala właściwym organom wymagać, aby osoby fizyczne zastosowały się do stawianych żądań, a zatem zgoda osoby, której dane dotyczą, nie stanowi podstawy prawnej przetwarzania danych przez te organy(21). Dotyczy to również wrażliwych danych osobowych(22).
1.      W przedmiocie ograniczonej kontroli sądu w ramach postępowania w sprawie udzielenia zgody na przymusowe dokonanie rejestracji policyjnej oraz w przedmiocie przestrzegania prawa do skutecznego środka prawnego

30.      W tych okolicznościach, jako że dyrektywa 2016/680 nie stoi na przeszkodzie przepisom krajowym, które przewidują, że w odniesieniu do podejrzanych, właściwe organy mogą zarządzić pobranie danych biometrycznych i genetycznych w przypadku odmowy tych osób, nie regulując jednak rozwiązań proceduralnych dotyczących takiego przymusowego dokonania, należy zauważyć, za rządem francuskim, że państwa członkowskie mogą rzeczywiście zdecydować się na ustanowienie procedury wiążącej, nadając jej charakter prawny lub administracyjny i przewidując, że uprawnienie do decydowania o przymusowym dokonaniu zbierania danych zostanie powierzone organowi sądowemu lub administracyjnemu.

31.      W rozdziale VIII dyrektywy 2016/680 określono środki odwoławcze, które muszą przysługiwać osobom, których dane były przetwarzane. Środki te obejmują możliwość wniesienia skargi do jedynego organu nadzorczego(23), możliwość wniesienia skutecznego sądowego środka ochrony prawnej od każdej prawnie wiążącej decyzji organu nadzorczego, która dotyczy takiej osoby(24), a także możliwość wniesienia skutecznego środka ochrony prawnej, jeżeli osoba, której dane dotyczą, uzna, że jej prawa wynikające z dyrektywy 2016/680, wdrożonej na szczeblu krajowym, zostały naruszone w wyniku przetwarzania jej danych osobowych dokonanego z naruszeniem tych praw(25). Sytuacja będąca przedmiotem trzeciego pytania prejudycjalnego sytuuje się jednak na etapie wcześniejszym niż te sytuacje, których dotyczą te różne przypuszczenia.

32.      Niemniej jednak, ponieważ art. 68 ZMVR, który określa warunki przymusowego dokonania rejestracji policyjnej nałożonej na szczególną kategorię podejrzanych o popełnienie umyślnego przestępstwa ściganego z oskarżenia publicznego, stanowi implementację prawa Unii(26) w rozumieniu art. 51 ust. 1 karty, należy zatem upewnić się, że respektuje on prawo do skutecznej ochrony sądowej, o którym mowa w art. 47 karty.

33.      Artykuł 47 karty stanowi, że każdy, czyje prawa i wolności zagwarantowane przez prawo Unii zostały naruszone, ma prawo do skutecznego środka prawnego przed sądem, zgodnie z warunkami przewidzianymi w tym artykule. Artykuły 7 i 8 karty ustanawiają prawo do poszanowania życia prywatnego i ochrony danych osobowych. Jak przypomniał niedawno Trybunał, „żadne z tych trzech praw podstawowych nie jest prawem absolutnym i każde z nich należy postrzegać w kontekście jego funkcji społecznej”(27). Ponadto art. 52 ust. 1 karty dopuszcza wprowadzenie ograniczeń w wykonywaniu praw i wolności zagwarantowanych w niej, o ile, po pierwsze, ograniczenia te przewidziane są ustawą, po drugie, szanują istotę tych praw i wolności, a po trzecie, w zgodzie z zasadą proporcjonalności, są one konieczne i rzeczywiście odpowiadają celom interesu ogólnego uznanym przez Unię lub potrzebom ochrony praw i wolności innych osób. Tak więc możliwe jest wprowadzenie ograniczenia w wykonywaniu ustanowionego w art. 47 karty prawa do skutecznego środka prawnego przed sądem przez prawodawcę Unii lub – w braku przepisów Unii w tej dziedzinie – przez państwa członkowskie, jeżeli spełnione są warunki przewidziane w art. 52 ust. 1 karty(28).

34.      Jeśli chodzi o pierwszy warunek, to właśnie ZMVR doprecyzowany przez NRISPR przewiduje obowiązek, wykonywany bez przymusu lub przymusowo, współpracy podejrzanych o popełnienie umyślnego przestępstwa ściganego z oskarżenia publicznego przy rejestracji policyjnej, w stosownym przypadku  – na mocy postanowienia sądu pierwszej instancji, którego właściwości podlega to przestępstwo. Ograniczona jurysdykcja tego sądu i niemożność sprawdzenia, na tym etapie postępowania, wystarczającego charakteru dowodów mogących wykazać, że dana osoba popełniła przestępstwo, o które jest podejrzana, podczas gdy postępowanie w sprawie przymusowego dokonania rejestracji policyjnej charakteryzuje się ponadto pewną pilnością i niespornym charakterem, są rzeczywiście przewidziane przez prawo w rozumieniu art. 52 ust. 1 karty.

35.      Co się tyczy drugiego warunku, Trybunał wielokrotnie orzekał, że istota prawa do skutecznego środka prawnego ustanowionego w art. 47 karty obejmuje między innymi to, że podmiot tego prawa ma dostęp do właściwego sądu w celu zapewnienia poszanowania praw, jakie gwarantuje mu prawo Unii, i w związku z tym w celu zbadania wszystkich kwestii prawnych i faktycznych istotnych dla rozstrzygnięcia sporu, który został do tego sądu wniesiony(29). Jednakże wymóg poszanowania istoty prawa do skutecznego środka prawnego nie oznacza, że podmiot tego prawa powinien dysponować bezpośrednią skargą, której głównym przedmiotem jest zakwestionowanie danego środka, o ile istnieje przed określonymi sądami krajowymi jeden lub kilka środków zaskarżenia umożliwiających mu uzyskanie w trybie incydentalnym kontroli sądowej tego środka zapewniającej poszanowanie praw i wolności, jakie gwarantuje mu prawo Unii(30).

36.      W związku z tym pragnę zauważyć, zgodnie z wyjaśnieniami rządu bułgarskiego, że nakaz dokonania rejestracji policyjnej ma miejsce w fazie wstępnej postępowania karnego, czyli w fazie, w której przeprowadzane są czynności dochodzeniowe i zbieranie dowodów, po zakończeniu których konieczne jest ustalenie, czy popełniono przestępstwo, kto jest sprawcą i czy ponosi on odpowiedzialność karną. Po zakończeniu dochodzenia i ujawnieniu dowodów prokurator musi zdecydować czy zamknąć postępowanie karne, zawiesić je, zaproponować zwolnienie z odpowiedzialności karnej w zamian za grzywnę administracyjną, zaproponować ugodę czy też wnieść akt oskarżenia. To właśnie wniesienie aktu oskarżenia do sądu rozpoczyna fazę sądową postępowania karnego.

37.      Istnienie dowodów w odniesieniu do osoby, która została zmuszona do poddania się rejestracji policyjnej, musi koniecznie być możliwe do sprawdzenia, gdy postępowanie karne wchodzi w fazę sądową, podczas której sąd rozpatrujący sprawę musi mieć możliwość zbadania wszystkich istotnych kwestii prawnych i faktycznych, w szczególności zbadania, że dowody, na których opiera się ten akt, nie zostały uzyskane lub wykorzystane z naruszeniem praw i wolności zagwarantowanych zainteresowanemu w prawie Unii(31).

38.      Jeśli chodzi o trzeci warunek, przepisy krajowe przedstawione Trybunałowi do zbadania muszą, zgodnie z zasadą proporcjonalności, być konieczne i rzeczywiście odpowiadać celom interesu ogólnego uznanym przez Unię. Artykuł 68 ZMVR porządkuje zbieranie i przetwarzanie konkretnych danych dotyczących określonej kategorii osób i w tym zakresie jest zgodny z dyrektywą 2016/680, która ustanawia szczególny system w odniesieniu do danych osobowych i ich przetwarzania przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych. Tak więc cel założony w przepisach krajowych będących przedmiotem postępowania głównego stanowi cel interesu ogólnego uznany przez Unię(32). Ponadto, konieczność dochodzenia może również tłumaczyć wybór dokonany przez ustawodawcę krajowego, aby wyłączyć procedurę wnioskowania o przymusowe dokonanie rejestracji policyjnej, pomimo poważnej ingerencji w prawa gwarantowane przez art. 7 i 8 karty, z uprawnienia sądu do sprawdzenia zgodności z zakresem podmiotowym tej rejestracji i odroczyć to badanie na późniejszy etap postępowania. Przepisy krajowe wydają się wyraźnie odpowiednie do osiągnięcia zamierzonego celu i nie wydają się być nieproporcjonalne, pod warunkiem, że podejrzany ma możliwość zakwestionowania rejestracji policyjnej na późniejszym etapie, nawet przed sądem, który nakazał jej wykonanie, lub przed innym sądem.
2.      W przedmiocie braku weryfikacji wystarczalności dowodów i poszanowania zasady domniemania niewinności

39.      Wreszcie, sąd odsyłający wyraża szereg wątpliwości dotyczących poszanowania zasady domniemania niewinności, zapisanej w art. 48 karty(33). W szczególności zastanawia się, czy brak możliwości kontroli wystarczalności dowodów, na których opiera się przedstawienie zarzutów, w momencie, gdy właściwy sąd ma zarządzić rejestrację policyjną, nie podważy zasady domniemania niewinności podejrzanego.

40.      W odniesieniu do art. 6 lit. a) dyrektywy 2016/680 motyw 31 tej dyrektywy, który wyjaśnia znaczenie tego przepisu, stanowi, że ustanowienie różnych kategorii osób, którym musi odpowiadać różne przetwarzanie ich danych osobowych, „nie powinno […] uniemożliwiać stosowania […] zasady domniemania niewinności zagwarantowane w karcie oraz w EKPC”. 

41.      Jak wskazano powyżej, sąd odsyłający jest zaniepokojony faktem, że decyzja, na mocy której właściwy sąd ma zarządzić rejestrację policyjną, jest podejmowana w ramach postępowania, które pozwala temu sądowi jedynie ocenić, czy osobie, której dane dotyczą rzeczywiście postawiono zarzuty i czy rzeczywiście sprzeciwiła się ona rejestracji policyjnej. Jeśli chodzi o postępowanie karne, art. 48 karty został wdrożony do prawa Unii dyrektywą Parlamentu Europejskiego i Rady (UE) 2016/343 z dnia 9 marca 2016 r. w sprawie wzmocnienia niektórych aspektów domniemania niewinności i prawa do obecności na rozprawie w postępowaniu karnym(34). Dyrektywa ta ma zastosowanie „do osób fizycznych będących podejrzanymi” i „na wszystkich etapach postępowania karnego od chwili, gdy dana osoba staje się podejrzana lub zostaje oskarżona o popełnienie czynu zabronionego […], aż do uprawomocnienia się orzeczenia w przedmiocie ostatecznego rozstrzygnięcia, czy osoba ta popełniła dany czyn zabroniony”(35). Artykuł 4 ust. 1 dyrektywy 2016/343 zobowiązuje państwa członkowskie do podjęcia „środk[ów] niezbędn[ych] do zapewnienia, by do czasu udowodnienia podejrzanemu lub oskarżonemu winy zgodnie z prawem organy publiczne w swoich wypowiedziach publicznych oraz w orzeczeniach sądowych innych niż rozstrzygające o winie nie odnosiły się do takiej osoby jako do winnej”. Przepis ten stosuje się „z zastrzeżeniem czynności oskarżyciela, które zmierzają do wykazania winy podejrzanego lub oskarżonego, oraz z zastrzeżeniem wstępnych decyzji o charakterze procesowym, które są podejmowane przez organy sądowe lub inne właściwe organy i które opierają się na podejrzeniu lub obciążającym materiale dowodowym”(36). Ponadto art. 7 ust. 3 dyrektywy 2016/343 stanowi, że „[k]orzystanie z prawa do nieobciążania samego siebie nie stanowi przeszkody dla gromadzenia przez właściwe organy materiału dowodowego, który można zgodnie z prawem uzyskać przy zastosowaniu przewidzianych prawem środków przymusu i który istnieje niezależnie od woli podejrzanych lub oskarżonych”.

42.      W tych okolicznościach uważam, że można uznać, iż decyzja, którą właściwy sąd, po zwykłym przyjęciu do wiadomości domniemanego przedstawienia zarzutów, podjął na tym etapie, i która opiera się na wystarczających dowodach udziału podejrzanego o popełnienie umyślnego przestępstwa ściganego z oskarżenia publicznego i wyrażonej przez tę osobę odmowie poddania się rejestracji policyjnej, upoważnia organ policji do przymusowego dokonania tej rejestracji, nie może być interpretowana jako zajęcie stanowiska w sprawie winy tej osoby lub, tym samym, jako naruszenie zasady domniemania niewinności osoby, której dane dotyczą(37).

43.      Przeciwnie, biorąc pod uwagę fakt, że sąd mający nakazać dokonanie rejestracji policyjnej jest sądem, przed którym zostanie ewentualnie wszczęte postępowanie karne na jego sądowym etapie, okoliczność, że nie może on ocenić na tym etapie postępowania karnego, co więcej, w kontekście postępowania, które nie wydaje się kontradyktoryjne, wystarczającego charakteru  dowodów jawi się jako zapewniające podejrzanemu, że sąd, zgodnie z wymogami domniemania niewinności, będzie „jest wolny od wszelkiej stronniczości i wszelkich uprzedzeń, gdy orzeka o odpowiedzialności karnej oskarżonego”(38). W każdym razie, „aby zweryfikować poszanowanie zasady domniemania niewinności, należy zawsze analizować orzeczenie sądowe i jego uzasadnienie w całości i w świetle szczególnych okoliczności, w których zostało ono wydane”(39).

44.      Z powyższej analizy wynika zatem, że art. 6 lit. a) dyrektywy 2016/680 w związku z art. 47 i 48 karty należy interpretować w ten sposób, że nie stoi on na przeszkodzie przepisom krajowym, takim jak przepisy będące przedmiotem postępowania głównego, które przewidują, że kontrola ze strony właściwego sądu karnego,  do którego składany jest wniosek o zgodę na przymusowe dokonanie rejestracji policyjnej danych osobowych, w szczególności danych biometrycznych i genetycznych, której poddaniu się odmówił podejrzany o popełnienie umyślnego przestępstwa ściganego z oskarżenia publicznego, ogranicza się do stwierdzenia istnienia postanowienia o przedstawieniu zarzutów i odmowy wyrażonej przez osobę, której dane dotyczą, bez możliwości oceny istnienia wystarczających dowodów, które doprowadziły do podjęcia decyzji o przedstawieniu tej osobie zarzutów, o ile kwestia wystarczalności dowodów do celów przedstawienia zarzutów może zostać skutecznie podniesiona przed sądem, w razie potrzeby na późniejszym etapie postępowania karnego.
B.      W przedmiocie czwartego pytania prejudycjalnego

45.      W swoim czwartym pytaniu prejudycjalnym sąd odsyłający zwrócił się do Trybunału o dokonanie wykładni art. 4 ust. 1 lit. b) i c)(40), art. 8 i art. 10 dyrektywy 2016/680, tak aby mógł on ostatecznie ocenić zgodność z tymi przepisami art. 68 ZMVR, z którego wynika, że fotografie, odciski palców i wzór profilu DNA są systematycznie zbierane i przetwarzane w odniesieniu do podejrzanego o popełnienie umyślnego przestępstwa ściganego z oskarżenia publicznego.

46.      Dyrektywa 2016/680 zawiera przepis szczególny dotyczący przetwarzania szczególnych kategorii danych osobowych, takich jak te, o których mowa w treści czwartego pytania prejudycjalnego, w art. 10, który stanowi, co do istoty, że przetwarzanie danych biometrycznych i genetycznych w celu jednoznacznej identyfikacji osoby fizycznej „jest dozwolone wyłącznie wtedy, jeżeli jest bezwzględnie niezbędne, podlega odpowiednim zabezpieczeniom dla praw i wolności osoby, której dane dotyczą oraz […] jest dopuszczone prawem Unii lub prawem państwa członkowskiego”(41).

47.      Zastosowanie art. 10 nie stoi na przeszkodzie, by przetwarzanie tych szczególnych danych podlegało ponadto i a fortiori innym wymogom określonym w dyrektywie 2016/680, tak że przetwarzanie szczególnych kategorii danych osobowych musi być w szczególności zgodne z art. 4 ust. 1 lit. b) i c) oraz art. 8 tej dyrektywy. Jednak sukcesywna analiza tych przepisów prowadziłaby do zbędnego rezultatu, dlatego wydaje mi się, że możliwe jest włączenie wymogów tych przepisów do analizy przeprowadzonej na podstawie art. 10 dyrektywy 2016/680.

48.      Uważam bowiem, że należy w pierwszej kolejności sprawdzić, czy przetwarzanie danych objętych zakresem art. 10 dyrektywy 2016/680 jest bezwzględnie niezbędne. Oznacza to, z jednej strony, określenie wymaganego poziomu konieczności, a z drugiej strony – wprowadzenie do testu konieczności także zasady minimalizacji danych osobowych zapisanej w art. 4 ust. 1 lit. c) tej dyrektywy(42). Na tym etapie analizy można również przeprowadzić kontrolę korelacji między zastosowanymi środkami a realizowanym celem, który musi być konkretny, wyraźny i zgodny z prawem w rozumieniu art. 4 ust. 1 lit. b) i art. 8 ust. 1 dyrektywy 2016/680. W drugiej kolejności należy upewnić się, że przetwarzanie danych jest rzeczywiście dozwolone przez prawo państwa członkowskiego, co – jak wykażę – odnosi się do jakości prawa w świetle tego, co nakazuje w szczególności art. 8 ust. 2 dyrektywy 2016/680. W trzeciej kolejności trzeba będzie ocenić, czy przetwarzanie podlegające art. 10 tej dyrektywy spełnia wymóg zapewnienia odpowiednich gwarancji praw i wolności osoby, której dane dotyczą.
1.      W przedmiocie bezwzględnej niezbędności przetwarzania danych zebranych podczas rejestracji policyjnej

49.      Pierwszy warunek jest zatem taki, że przetwarzanie danych biometrycznych i genetycznych musi być bezwzględnie niezbędne. Moim zdaniem nie ma wątpliwości, że jest to wymóg wzmocniony, ponieważ art. 8 ust. 1 dyrektywy 2016/680 odwołuje się jedynie do konieczności przetwarzania jako warunku jego legalności. Pragnę jednak zauważyć, że – nie twierdząc, że jest to wyczerpujące – w niemieckiej, angielskiej, włoskiej, hiszpańskiej, portugalskiej, polskiej i rumuńskiej wersji językowej dyrektywy ustalono inny próg w art. 10 dyrektywy, ponieważ wersje te odnoszą się do ściśle niezbędnego przetwarzania(43). Mimo że ten niuans, choć subtelny, istnieje, jestem zdania, że tak naprawdę nie ma on żadnych konsekwencji dla charakteru testu, który z niego wynika. Ponadto art. 10 dyrektywy 2016/680 wyraźnie nakłada wyższy poziom wymagań, konieczny w przypadku poważnej ingerencji w prawo do ochrony danych osobowych(44), niż jest to dozwolone w ramach ogólnego systemu stosowanego do danych nieszczególnych. Idea rygorystycznej konieczności powinna w związku z tym być stałą wytyczną.

50.      Dla zachowania większej spójności tej ostatniej zacznę od analizy celów. Dane osobowe muszą być zbierane dla określonych, jednoznacznych i legalnych celów i nie mogą być przetwarzane w sposób niezgodny z tymi celami, co wymaga zbadania prawa krajowego, które w różnych źródłach tworzy system prawny dotyczący rejestracji policyjnej; badanie to należy do sądu odsyłającego. Samo powołanie się na cel wyrażony w art. 1 ust. 1 dyrektywy 2016/680 nie może wystarczyć do stwierdzenia, że spełniony został wymóg określony w art. 4 ust. 1  lit. b) tej dyrektywy. Podczas gdy dyrektywa 2016/680 uznaje potrzebę przetwarzania przez właściwe organy danych osobowych zbieranych w kontekście zapobiegania konkretnym czynom zabronionym, ich wykrywania, prowadzenia dochodzeń w ich sprawie i ich ścigania, wykraczając poza te ramy, w celu lepszego zrozumienia działalności przestępczej i ustalenia powiązań między różnymi ujawnionymi czynami zabronionymi(45), prawo krajowe regulujące takie przetwarzanie musi określać cele przetwarzania, które muszą być jasno sprecyzowane(46). Jeśli chodzi o cel polegający na zapobieganiu czynom zabronionym, ich dochodzeniu, wykrywaniu i ściganiu „jedynie walka z poważną przestępczością i zapobieganie poważnym zagrożeniom dla bezpieczeństwa publicznego mogą uzasadniać poważne ingerencje w prawa podstawowe ustanowione w art. 7 i 8 karty […]. A zatem jedynie takie ingerencje we wspomniane prawa podstawowe, które nie mają poważnego charakteru, mogą być uzasadnione celem polegającym na zapobieganiu przestępstwom w ogólności, ich dochodzeniu, wykrywaniu i ściganiu”(47).

51.      Przepisy krajowe muszą być jasne i precyzyjne(48), tak by osoby, których dane dotyczą, mogły być informowane o ryzyku, zasadach, zabezpieczeniach i prawach(49) związanych z planowanym przetwarzaniem. Moim zdaniem kontrola zgodnego z prawem charakteru realizowanego celu nie może ograniczać się do badania samego wskazania przez prawo krajowe celu wspólnego z celami dyrektywy 2016/680, przy czym cel ten jest również legitymizowany przez warunki jego realizacji. Ponadto,  kiedy warunki jego praktycznego wdrożenia nie są wystarczająco szczegółowe, zamierzony cel, choć zgodny z prawem, nie może być uznany ani za wyraźny, ani za konkretny, nadal w rozumieniu art. 4 ust. 1 lit. b) dyrektywy 2016/680. Tymczasem wyjaśnienie i określenie celów jest niezbędnym etapem badania bezwzględnej konieczności.

52.      Jeśli chodzi o zasadę, zgodnie z którą zbierane i przetwarzane dane osobowe muszą być adekwatne, stosowne oraz nienadmierne w stosunku do celów, w jakich są przetwarzane, jest to zasada minimalizacji danych(50), wyrażona w art. 4 ust. 1 lit. c) dyrektywy 2016/680.

53.      Adekwatność i stosowność danych nie wydaje się a priori problemem, ponieważ fotografie, odciski palców i wzór profilu DNA są znanymi niepowtarzalnymi czynnikami identyfikacyjnymi, które pozwalają ustalić domniemany udział osoby, której dane dotyczą, w popełnieniu przestępstwa przez porównanie, albo w kontekście bieżącego postępowania karnego, albo przez porównanie z dowodami zebranymi w poprzednich postępowaniach.

54.      Motyw 26 dyrektywy 2016/680 włącza do zasady minimalizacji danych weryfikację niezbędnego okresu zatrzymywania danych i stwierdza, że dane osobowe(51) „powinny być przetwarzane tylko w przypadkach, gdy celu przetwarzania nie można w rozsądny sposób osiągnąć innymi sposobami”(52). Ponadto, ponieważ są to odstępstwa od podstawowego prawa do ochrony danych osobowych i ograniczenia tego prawa, muszą być one ograniczone do tego, co absolutnie niezbędne(53). Należy ustalić racjonalny związek między zatrzymywanymi danymi a realizowanym celem(54). Choć nie chodzi tu o kwestionowanie skutecznego wkładu zbiorów danych, konsultowanych przez organy krajowe, w karanie niektórych przestępstw, czasem tych najpoważniejszych, Europejski Trybunał Praw Człowieka orzekł już, że takie systemy nie mogą być wdrażane zgodnie z przesadną logiką maksymalizacji informacji w nich umieszczanych i czasu ich przechowywania. W istocie, bez zachowania koniecznej proporcjonalności w stosunku do uzasadnionych celów, jakie im się przypisuje, korzyści, jakie przynoszą, zostałyby zniwelowane przez poważne naruszenia praw i wolności, które państwa muszą zapewnić(55).

55.      Trybunał przypomniał niedawno, w kontekście RODO i w związku z zasadą minimalizacji, że w celu spełnienia wymogu proporcjonalności, który został wyrażony w przepisie przewidującym tę zasadę „uregulowanie, na podstawie którego ma miejsce przetwarzanie, musi zawierać jasne i precyzyjne przepisy regulujące zakres i sposób stosowania danego środka oraz ustanawiające minimalne wymogi służące temu, aby osoby, o których dane osobowe chodzi, miały wystarczające gwarancje pozwalające na skuteczną ochronę tych danych przed ryzykiem nadużyć. Uregulowanie to musi być prawnie wiążące w prawie wewnętrznym i w szczególności wskazywać, w jakich okolicznościach i pod jakimi warunkami można przyjąć środek przewidujący przetwarzanie takich danych, gwarantując w ten sposób, że ingerencja zostanie ograniczona do tego, co absolutnie niezbędne(56). Regulacje takie winny ponadto „opierać się na obiektywnych kryteriach umożliwiających określenie okoliczności i warunków”(57), w których osoba fizyczna jest zobowiązana do przekazania swoich danych osobowych do przetwarzania przez właściwe organy.
2.      W przedmiocie wymogu, zgodnie z którym przetwarzanie danych musi być dozwolone przez prawo krajowe

56.      Artykuł 10 stanowi – jako jeden z warunków pozwolenia na przetwarzanie szczególnych kategorii danych osobowych – że takie przetwarzanie musi być dozwolone przez prawo Unii lub prawo krajowe. W motywie 33 dyrektywy 2016/680 określono, co należy rozumieć przez „prawo krajowe” i jakie cechy musi ono posiadać. Dlatego prawo krajowe musi być jasne i precyzyjne, a jego stosowanie przewidywalne. Jego treść określa art. 8 ust. 2 tej dyrektywy, który stanowi, że przepis prawa krajowego regulujący przetwarzanie danych osobowych wchodzących w zakres stosowania wspomnianej dyrektywy musi określać „co najmniej powody przetwarzania, dane osobowe mające podlegać przetwarzaniu oraz cele przetwarzania”. Rozróżnienie między powodami operacji przetwarzania danych a ich celami nie jest na pierwszy rzut oka oczywiste. Wydaje mi się jednak, że jeśli powód można sformułować na pewnym poziomie ogólności, to cele powinny określać konkretną i bezpośrednią użyteczność przewidywanego przetwarzania(58). Prawo krajowe musi zatem dostatecznie jasno określać względy, dla których przetwarzanie tej konkretnej kategorii danych zostało dopuszczone.
3.      W przedmiocie istnienia odpowiednich gwarancji dla praw i wolności osoby, której dane dotyczą

57.      Ze względu na ryzyko związane z przetwarzaniem tzw. wrażliwych danych osobowych powinno ono podlegać odpowiednim zabezpieczeniom dla praw i wolności osoby, której dane dotyczą. Zabezpieczenia te, aby były właściwe, muszą – co nie jest zaskakujące – być przewidziane prawem(59). Ocena istnienia tych zabezpieczeń wymaga przeglądu wszystkich warunków, aby można było ocenić dokładny zakres przedmiotowego przetwarzania i zapewnić skuteczną ochronę przed niewłaściwym lub stanowiącym nadużycie przetwarzaniem(60). W motywie 37 dyrektywy 2016/680 jako przykłady takich zabezpieczeń wymienia się bowiem „możliwość zbierania takich danych tylko w połączeniu z innymi danymi dotyczącymi danej osoby fizycznej, możliwość odpowiedniego zabezpieczenia takich danych, ściślejsze uregulowanie dostępu pracowników właściwego organu do danych lub zakaz przesyłania danych”. Jeśli chodzi o przetwarzanie danych wrażliwych, ponieważ jest to poważna ingerencja i ze względu na ryzyko nadużyć związanych z samą istotą tych danych, zasadnicze znaczenie mają kwestie czasu ich przechowywania i dostępu do nich przez właściwe organy. Ocena zgodności przewidywanego przetwarzania z wymogami art. 10 dyrektywy 2016/680 oznacza zatem również rygorystyczne badanie wszystkich aspektów przewidywanego przetwarzania, które muszą być zatem jasno sformułowane w prawie krajowym(61) i spełniać normy określone w prawie Unii.
4.      Wnioski i tymczasowe stosowanie

58.      Z powyższego wynika zatem, że art. 10 dyrektywy 2016/680 w związku z art. 4 ust. 1 lit. b) i c) oraz art. 8 tej dyrektywy, a także interpretowany w świetle art. 7, 8 i art. 52 ust. 1 karty, należy interpretować w ten sposób, że zbieranie i przetwarzanie danych biometrycznych i genetycznych, takich jak fotografie, odciski palców i próbki DNA w celu określenia wzoru jego profilu, jako poważna ingerencja w prawo do ochrony danych osobowych, są dozwolone tylko wtedy, gdy są bezwzględnie konieczne do realizacji celów związanych z poważną przestępczością, które prawo krajowe musi wyraźnie określić. Charakter i liczba przetwarzanych danych osobowych muszą być ściśle adekwatne i zgodne z założonym celem i wskazanymi powodami. W tym względzie prawo krajowe musi realizować jeden z powodów przyjęcia  dyrektywy 2016/680. Musi ono również wskazać, jakie konkretne cele są realizowane, które mogą przyczynić się do realizacji powodów przyjęcia owej dyrektywy. Należy również w konkretny sposób określić względy, dla których przetwarzanie takich danych, a zwłaszcza danych genetycznych, jest bezwzględnie konieczne w tym celu, mimo że jest to poważna ingerencja. Ponadto prawo krajowe musi jasno precyzować warunki przetwarzania danych we wszystkich jego wymiarach, tj. od warunków zbierania po warunki dostępu do danych i ich usuwania, w tym precyzyjne i koniecznie ściśle ograniczone określenie zakresu podmiotowego zbierania i przetwarzania danych. Każdy z tych warunków musi być ograniczony do tego, co jest ściśle niezbędne. Wreszcie, tak zdefiniowany system musi skutecznie chronić jednostki przed ryzykiem nadużyć, jakie niesie ze sobą zwłaszcza przetwarzanie danych genetycznych. Do sądu odsyłającego należy zbadanie, czy wszystkie te wymogi były skrupulatnie przestrzegane.

59.      Wydaje mi się, że Trybunał nie dysponuje wszystkimi informacjami na temat stanu prawa krajowego regulującego rejestrację policyjną, aby móc samodzielnie wypowiedzieć się na temat zgodności rejestracji policyjnej z prawem Unii. Trzeba jednak powiedzieć, że pewne elementy tej rejestracji już teraz budzą pewne pytania, a nawet obawy.

60.      W swoim wniosku o wydanie orzeczenia w trybie prejudycjalnym sąd odsyłający stwierdza, że celem przetwarzania danych są działania analityczne i że stanowi ono część działań podejmowanych przez ministerstwo spraw wewnętrznych. Ponadto z art. 27 ZMVR wynika, że dane zarejestrowane przez policję na mocy art. 68 tej ustawy są wykorzystywane „tylko” do ochrony bezpieczeństwa narodowego, walki z przestępczością i utrzymania porządku publicznego(62). Dane zebrane podczas rejestracji policyjnej będą przetwarzane dla celów postępowania karnego, w którym dana osoba jest podejrzana, ale także „dla innych celów związanych ze zwalczaniem przestępczości”, zgodnie z informacjami przedstawionymi przez rząd bułgarski, a także, w razie potrzeby, dla celów porównawczych. Prima facie cele te wydają się, co prawda, odpowiadać celom wymienionym w art. 1 ust. 1 dyrektywy 2016/680, w szczególności celom wykrywania czynów zabronionych i prowadzenia dochodzeń. Jednak brak precyzyjnego określenia celu, do którego się zmierza, czy nawet wielości celów, na które się powołuje, a także brak wyjaśnienia powodów, dla których taki cel (cele) uzasadnia (uzasadniają) taki środek (mianowicie, przypominam, obowiązkowe i systematyczne gromadzenie i przetwarzanie trzech rodzajów danych osobowych należących do szczególnych kategorii, które powinny korzystać ze wzmocnionej ochrony na mocy art. 10 dyrektywy 2016/680, w tym wzory profilu DNA, podejrzanych o popełnienie umyślnego przestępstwa ściganego z oskarżenia publicznego)(63) wydają się oczywiste i niosą ze sobą ryzyko utrudnienia pozostałych etapów testu, który należy zastosować. W szczególności, jeśli chodzi o zasilanie zautomatyzowanego pliku wzorem profilu DNA osoby, której dane dotyczą, wysiłki prawa krajowego w zakresie wyjaśniania potrzeby uciekania się do takiego przetwarzania muszą być szczególnie wzmożone, aby wykazać, że osiągnięty wynik jest rezultatem poważnie przeprowadzonego wyważenia wchodzących w grę interesów.

61.      Nawet jeśli cele, do których miała zmierzać rejestracja policyjna, wydawały się zgodne z celami, o których mowa w art. 1 ust. 1 dyrektywy 2016/680, prawo krajowe nie ustanawiało ani nie precyzowało powiązań między skalą gromadzenia – czy to pod względem liczby osób, których dane dotyczą, czy też liczby danych zbieranych i przetwarzanych – a realizowanymi celami. 

62.      Ponieważ Trybunał orzekł już, że skuteczność postępowania karnego zależy zasadniczo nie od jednego narzędzia dochodzeniowego, lecz od wszystkich narzędzi dochodzeniowych, którymi dysponują właściwe organy krajowe do tych celów(64), gdy państwo członkowskie upoważnia te organy do zbierania i przetwarzania danych osobowych tak wrażliwych jak wzór profilu DNA, należy wyraźnie określić powody, dla których dane te mają być przetwarzane do celów prowadzonego dochodzenia.

63.      Zwracam również uwagę, że każdy podejrzany o popełnienie umyślnego przestępstwa ściganego z oskarżenia publicznego musi poddać się rejestracji policyjnej. Sąd odsyłający zwraca uwagę, że prawie wszystkie przestępstwa przewidziane w kodeksie karnym mieszczą się w tych kategoriach (umyślne przestępstwo/przestępstwo ścigane z oskarżenia publicznego). Wszystkie dane są gromadzone na etapie przedstawiania zarzutów, kiedy to, zgodnie z wymogami bułgarskiego prawa karnego procesowego, zebrano już wystarczające dowody winy podejrzanego. Z punktu widzenia rejestracji policyjnej osoby, które w wyniku postępowania zostaną uznane za winne, nie są traktowane inaczej niż te, które nie zostaną uznane za takie, z wyjątkiem, jak się wydaje, prawa do usunięcia przetwarzanych danych po uniewinnieniu. Ponieważ jednak chodzi tu o poważną ingerencję i dane wrażliwe wymagające zwiększonej ochrony, zastanawiam się, dlaczego nie odwrócić tej logiki, tzn., dlaczego nie poczekać na wyrok skazujący za zarzucane przestępstwa przed rozpoczęciem rejestracji policyjnej, co przynajmniej wzmocniłoby selektywność tego środka. Trybunał nie posiada jednak informacji o powodach wyboru dokonanego przez ustawodawcę krajowego. 

64.      Nie bierze się również pod uwagę charakteru przestępstwa, w odniesieniu do którego przedstawiono zarzuty. Maksymalnie upraszczając, można twierdzić, że podejrzany o popełnienie wykroczenia drogowego będzie traktowany tak samo jak podejrzany o zabójstwo. Wydaje się, że przepisy nie przewidują przypadków, w których rejestracja policyjna nie dotyczy wszystkich danych. Jednakże, przynajmniej, jeśli chodzi o toczące się postępowania karne, nie wszystkie z nich będą wymagały ustalenia wzoru profilu DNA w celu udowodnienia winy osoby, której dane dotyczą. Chociaż środek ten nie jest sam w sobie uogólniony, ponieważ jest „ograniczony” do osób podejrzanych, jego niezróżnicowane zastosowanie do szerokiej kategorii takich osób wyraźnie budzi wątpliwości. Ponadto, nie wprowadzając rozróżnienia w zależności od wagi przestępstwa, prawo krajowe już w tej kwestii wydaje się trudne do pogodzenia z orzecznictwem, o którym mowa w pkt 50 niniejszej opinii.

65.      Szczególną uwagę należy zwrócić na warunki zatrzymywania danych i dostępu do nich, o których Trybunał ma niewiele informacji. 

66.      Wreszcie, kwestia porównania tak uzyskanych danych skłania mnie do dwóch uwag. Po pierwsze, jeśli chodzi o porównanie z dowodami zebranymi w poprzednich dochodzeniach, ściśle konieczna interpretacja tego celu może uzasadniać jedynie natychmiastowe porównanie śladów, bez potrzeby przechowywania danych podejrzanych przez dłuższy lub krótszy okres czasu. Po drugie, jeśli chodzi o utworzenie bazy danych w celu ułatwienia rozwiązywania przyszłych przestępstw, tj. w przypadku recydywy, to oczywiście nie wydaje się uzasadnione wgrywanie do tej bazy wrażliwych danych osobowych osób, w stosunku do których – choć nie zostały jeszcze uznane za winne – wdrożono już elementy walki z całkowicie hipotetycznym ryzykiem recydywy, jakie wiązałoby się z tymi osobami.
IV.    Wnioski

67.      Mając na względzie całość powyższych rozważań, proponuję Trybunałowi, by na pytania przedstawione przez Spetsializiran nakazatelen sad (wyspecjalizowany sąd karny, Bułgaria) odpowiedział następująco:
„Artykuł 6  lit. a) dyrektywy Parlamentu Europejskiego i Rady (UE) 2016/680 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w sprawie swobodnego przepływu takich danych oraz uchylającej decyzję ramową Rady 2008/977/WSiSW 2016/680 w związku z art. 47 i 48 Karty praw podstawowych Unii Europejskiej należy interpretować w ten sposób, że nie stoją one na przeszkodzie przepisom krajowym, takim jak przepisy będące przedmiotem postępowania głównego, które przewidują, że kontrola ze strony właściwego sądu karnego, do którego składany jest wniosek o zgodę na przymusowe dokonanie rejestracji policyjnej danych osobowych, w szczególności danych biometrycznych i genetycznych, której poddaniu się odmówił podejrzany o popełnienie umyślnego przestępstwa ściganego z oskarżenia publicznego, ogranicza się do stwierdzenia istnienia postanowienia o przedstawieniu zarzutów i odmowy wyrażonej przez osobę, której dane dotyczą, bez możliwości oceny istnienia wystarczających dowodów, które doprowadziły do podjęcia decyzji o przedstawieniu tej osobie zarzutów, o ile kwestia wystarczalności dowodów do celów przedstawienia zarzutów może zostać skutecznie podniesiona przed sądem, w razie potrzeby na późniejszym etapie postępowania karnego.
Artykuł 10 dyrektywy 2016/680 w związku z art. 4 ust. 1 lit. b) i c) oraz art. 8 tej dyrektywy, a także interpretowany w świetle art. 7, 8 i art. 52 ust. 1 karty, należy interpretować w ten sposób, że zbieranie i przetwarzanie danych biometrycznych i genetycznych, takich jak fotografie, odciski palców i próbki DNA w celu określenia wzoru jego profilu, jako poważna ingerencja w prawo do ochrony danych osobowych, są dozwolone tylko wtedy, gdy są bezwzględnie konieczne do realizacji celów związanych z poważną przestępczością, które prawo krajowe musi wyraźnie określić. Charakter i liczba przetwarzanych danych osobowych muszą być ściśle adekwatne i zgodne z założonym celem i wskazanymi powodami. W tym względzie prawo krajowe musi realizować jeden z powodów przyjęcia dyrektywy 2016/680. Musi ono również wskazać, jakie konkretne cele są realizowane, które mogą przyczynić się do realizacji powodów przyjęcia owej dyrektywy. Należy również w konkretny sposób określić względy, dla których przetwarzanie takich danych, a zwłaszcza danych genetycznych, jest bezwzględnie konieczne w tym celu, mimo że jest to poważna ingerencja. Ponadto prawo krajowe musi jasno precyzować warunki przetwarzania danych we wszystkich jego wymiarach, tj. od warunków zbierania po warunki dostępu do danych i ich usuwania, w tym precyzyjne i koniecznie ściśle ograniczone określenie zakresu podmiotowego zbierania i przetwarzania danych. Każdy z tych warunków musi być ograniczony do tego, co jest ściśle niezbędne. Wreszcie, tak zdefiniowany system musi skutecznie chronić jednostki przed ryzykiem nadużyć, jakie niesie ze sobą zwłaszcza przetwarzanie danych genetycznych. Do sądu odsyłającego należy zbadanie, czy wszystkie te wymogi są przestrzegane.

1      Język oryginału: francuski.

2      Zobacz także moją opinię w sprawie Ligue des droits humains (C‑817/19, EU:C:2022:65, pkt 2).

3      Zgodnie z „wielką zasadą”, według której Zadig, zostawszy premierem króla, sprawował swoją służbę (w: Voltaire, Zadig ou la destinée, wyd. Pocket, Paryż, 2020, s. 4).

4      Dz.U. 2016, L 119, s. 89.

5      DV nr 53 z 27 czerwca 2014 r., ostatnio zmieniony i uzupełniony przez CV nr 85 z 2 października 2020 r., uzupełniony przez DV nr 20 z 9 marca 2021 r.

6      Ustawa o bułgarskich dokumentach tożsamości.

7      DV nr 90 z 31 października 2014 r., ostatnio zmieniony przez DV nr 57 z 28 lipca 2015 r.

8      Liczba pobranych odcisków palców nie jest podana w aktach sprawy przed Trybunałem.

9      Z akt sprawy, którymi dysponuje Trybunał, wynika, że treść rejestracji policyjnej została opisana jako zawierająca fotografię lub fotografie, przy czym liczba i treść fotografii nie została bliżej określona. 

10      Rozporządzenie Parlamentu Europejskiego i Rady z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U. 2016, L 119, s. 1, zwane dalej „RODO”).

11      Gromadzenie przez właściwe do tego celu organy w bazach osób poszukiwanych państwa członkowskiego danych osobowych takich jak te, których dotyczy rejestracja policyjna, stanowi przetwarzanie tych danych w rozumieniu dyrektywy 2016/380: zobacz art. 3 pkt 2 i 7 dyrektywy. Zobacz także analogicznie wyrok z dnia 12 maja 2021 r., PL Bundesrepublik Deutschland (Czerwona nota Interpolu) (C‑505/19, EU:C:2021:376, pkt 111).

12      Przypominam, że nie określono liczby odcisków palców pobranych w ten sposób.

13      Również w tym przypadku ich liczba i treść nie zostały sprecyzowane.

14      Zobacz analogicznie wyroki z dnia 16 lipca 2020 r., Facebook Ireland i Schrems (C‑311/18, EU:C:2020:559, pkt 171) i z dnia 6 października 2020 r., État luxembourgeois (Ochrona prawna przed wnioskami o przekazanie informacji w prawie podatkowym) (C‑245/19 i C‑246/19, EU:C:2020:795, pkt 73).

15      W przedmiocie związku między wrażliwym charakterem danych a powagą ingerencji zobacz w szczególności wyroki z dnia 24 września 2019 r., GC i in. (Usunięcie linków do danych wrażliwych) (C‑136/17, EU:C:2019:773, pkt 44) i z dnia 6 października 2020 r., Quadrature du Net i in. (C‑511/18, C‑512/18 i C‑520/18, EU:C:2020:791, pkt 142).

16      Potwierdzają to dane statystyczne przedstawione przez rząd francuski w uwagach na piśmie.

17      Artykuł 219 ust. 1 NPK.

18      Artykuł 6  lit. a) dyrektywy 2016/680. Wyróżnienie moje. Pozostałe kategorie objęte tym przepisem stanowią osoby skazane za czyn zabroniony [art. 6  lit. b) dyrektywy 2016/680], pokrzywdzeni [art. 6  lit. c) dyrektywy 2016/680] oraz osoby trzecie, takie jak świadkowie [art. 6  lit. c) dyrektywy 2016/680].

19      Wspomniany art. 6 jest wynikiem zmiany zasady kategoryzacji danych, zapisanej w zasadzie nr 3 zalecenia nr R (87/15) komitetu ministrów dla państw członkowskich regulującego wykorzystanie danych osobowych w sektorze policji, na której się opiera [zob. uzasadnienie do wniosku dotyczącego dyrektywy COM(2012) 10 final z 25 stycznia 2012 r., pkt 3.4.2] w odniesieniu do zasady kategoryzacji osób, których dane osobowe będą zbierane, a następnie przetwarzane.

20      Z art. 1 dyrektywy 2016/680 wynika bowiem, że jej celem jest ustanowienie „przepisów o ochronie osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar […]”.

21      Zobacz motyw 35 dyrektywy 2016/680.

22      Zobacz motyw 37 dyrektywy 2016/680.

23      Zobacz art. 52 dyrektywy 2016/680.

24      Zobacz art. 53 dyrektywy 2016/680.

25      Zobacz art. 54 dyrektywy 2016/680.

26      W szczególności art. 6 lit. a) dyrektywy 2016/680.

27      Wyrok z dnia 6 października 2020 r., État luxembourgeois (Ochrona prawna przed wnioskami o przekazanie informacji w prawie podatkowym) (C‑245/19 i C‑246/19, EU:C:2020:795, pkt 49).

28      Zobacz wyrok z dnia 6 października 2020 r., État luxembourgeois (Ochrona prawna przed wnioskami o przekazanie informacji w prawie podatkowym) (C‑245/19 i C‑246/19, EU:C:2020:795, pkt 60).

29      Zobacz wyrok z dnia 6 października 2020 r., État luxembourgeois (Ochrona prawna przed wnioskami o przekazanie informacji w prawie podatkowym) (C‑245/19 i C‑246/19, EU:C:2020:795, pkt 66).

30      Zobacz wyrok z dnia 6 października 2020 r., État luxembourgeois (Ochrona prawna przed wnioskami o przekazanie informacji w prawie podatkowym) (C‑245/19 i C‑246/19, EU:C:2020:795, pkt 79). 

31      Zobacz analogicznie wyrok z dnia 6 października 2020 r., État luxembourgeois (Ochrona prawna przed wnioskami o przekazanie informacji w prawie podatkowym) (C‑245/19 i C‑246/19, EU:C:2020:795, pkt 82 i przytoczone tam orzecznictwo). Kwestia konsekwencji, jakie należy wyciągnąć z ewentualnego stwierdzenia nielegalności dowodów uzyskanych z naruszeniem prawa Unii w zakresie ochrony danych osobowych, jest kwestią późniejszą.

32      Zobacz wyroki: z dnia 2 października 2018 r., Ministerio Fiscal (C‑207/16, EU:C:2018:788, pkt 57) i z dnia 2 marca 2021 r., Prokuratuur (Warunki dostępu do danych dotyczących łączności elektronicznej) (C‑746/18, EU:C:2021:152, pkt 33).

33      Dla przypomnienia, ten artykuł karty opiera się bezpośrednio na art. 6 ust. 2 i 3 europejskiej Konwencji o ochronie praw człowieka i podstawowych wolności, podpisanej w Rzymie w dniu 4 listopada 1950 r. (zwanej dalej „EKPC”), jak wynika z wyjaśnień dotyczących karty. Artykuł 48 karty funkcjonuje jako minimalny próg ochrony i musi być interpretowany w świetle art. 6 ust. 2 i 3 EKPC oraz odpowiedniego orzecznictwa Europejskiego Trybunału Praw Człowieka: zobacz wyrok z dnia 5 września 2019 r., AH i in. (Domniemanie niewinności) (C‑377/18, EU:C:2019:670, pkt 41).

34      Dz.U. 2016, L 65, s. 1.

35      Artykuł 2 dyrektywy 2016/343.

36      Pragnę jednak zauważyć, że – nie przekładając się na konkretny wymóg w treści dyrektywy 2016/343 – kwestia wystarczalności dowodów została poruszona w jej motywie 16, którego ostatnie zdanie stanowi, że „[p]rzed podjęciem wstępnej decyzji o charakterze procesowym właściwy organ może być obowiązany najpierw sprawdzić, czy istnieje materiał dowodowy obciążający podejrzanego lub oskarżonego, który wystarcza do uzasadnienia danej decyzji, a decyzja może zawierać odniesienie do tego materiału” (wyróżnienie moje). 

37      Jest to podobne do tego, co Trybunał stwierdził w odniesieniu do orzeczenia sądu mającego za przedmiot jedynie ewentualne utrzymanie tymczasowego aresztowania osoby, przeciwko której prowadzone jest postępowanie karne, orzeczenia, które w przekonaniu Trybunału dotyczy wyłącznie rozstrzygnięcia kwestii, czy osoba ta powinna zostać zwolniona w świetle wszystkich istotnych okoliczności – bez określania, czy wspomniana osoba ponosi winę za zarzucane jej przestępstwo: zobacz wyrok z dnia 28 listopada 2019 r., Spetsializirana prokuratura (C‑653/19 PPU, EU:C:2019:1024, pkt 35).

38      Wyrok z dnia 16 listopada 2021 r., Prokuratura Rejonowa w Mińsku Mazowieckim i in. (C‑748/19 do C‑754/19, EU:C:2021:931, pkt 88).

39      Wyrok z dnia 5 września 2019 r., AH i in. (Domniemanie niewinności) (C‑377/18, EU:C:2019:670, pkt 46).

40      W świetle uzasadnienia wniosku o wydanie orzeczenia w trybie prejudycjalnym (zobacz w szczególności pkt 57 wniosku), należy przeformułować brzmienie tego pytania czwartego jako dotyczącego wykładni art. 4 ust. 1 lit. b), a nie art. 4 ust. 1 lit. a) dyrektywy 2016/680.

41      Na potrzeby analizy stwierdzam, że rejestracja policyjna mieści się w hipotezie, o której mowa w art. 10 lit. a) dyrektywy 2016/680. Z akt sprawy zdaje się wynikać, że fotografie są wykonywane przez właściwe organy dokonujące rejestracji policyjnej, a zatem nie wykorzystują one fotografii, które mogły zostać w sposób oczywisty upublicznione przez osobę, której dane dotyczą, na przykład na portalach społecznościowych, co wyklucza zastosowanie art. 10 lit. c) dyrektywy.

42      W przedmiocie związku między zasadami konieczności przetwarzania i minimalizacji danych zob. analogicznie wyrok z dnia 11 grudnia 2019 r., Asociaţia de Proprietari bloc M5A-ScaraA (C‑708/18, EU:C:2019:1064, pkt 48).

43      Co do zasady jest wymagane przez Trybunał w przypadku odstępstw i ograniczeń w stosowaniu zasady ochrony danych osobowych: zob. w szczególności wyrok z dnia 11 grudnia 2019 r., Asociaţia de Proprietari bloc M5A-ScaraA (C‑708/18, EU:C:2019:1064, pkt 46 i przytoczone tam orzecznictwo). Takie sformułowanie progu określonego w art. 10 dyrektywy 2016/680 jawi się jako zgodne z tym, czego wymaga Trybunał w przypadku tzw. danych wrażliwych: zobacz w szczególności wyrok z dnia 6 października 2020 r., Privacy International (C‑623/17, EU:C:2020:790, pkt 68 i przytoczone tam orzecznictwo).

44      Zobacz przypis 15 niniejszej opinii.

45      Zobacz motyw 27 dyrektywy 2016/680.

46      Zobacz wyrok z dnia 24 lutego 2022 r., Valsts ieņēmumu dienests (Przetwarzanie danych osobowych do celów podatkowych) (C‑175/20, EU:C:2022:124, pkt 64,  65).

47      Wyrok z dnia 6 października 2020 r., Quadrature du Net i in. (C‑511/18, C‑512/18 i C‑520/18, EU:C:2020:791, pkt 140 i przytoczone tam orzecznictwo). Wyróżnienie moje. Zobacz także wyrok z dnia 5 kwietnia 2022 r., Commissioner of An Garda Síochána i in. (C‑140/20, EU:C:2022:258, pkt 59).

48      Zobacz analogicznie wyrok z dnia 21 grudnia 2016 r., Tele2 Sverige i Watson i in. (C‑203/15 i C‑698/15, EU:C:2016:970, pkt 118).

49      Zobacz motyw 26 dyrektywy 2016/680.

50      Zgodnie z orzecznictwem zasada minimalizacji łączy się z zasadą proporcjonalności: zobacz w tym kontekście rozporządzenie nr 2016/679, wyrok z dnia 22 czerwca 2021 r., Latvijas Republikas Saeima (Punkty karne) (C‑439/19, EU:C:2021:504, pkt 98 i przytoczone tam orzecznictwo). 

51      Dla zilustrowania tej relacji, chociaż w kontekście RODO, zobacz wyrok z dnia 24 lutego 2022 r., Valsts ieņēmumu dienests (Przetwarzanie danych osobowych do celów podatkowych) (C‑175/20, EU:C:2022:124, pkt 79).

52      Aby zapoznać się ze sformułowaniem tego wymogu w orzecznictwie, zobacz wyrok z dnia 11 grudnia 2019 r., Asociaţia de Proprietari bloc M5A-ScaraA (C‑708/18, EU:C:2019:1064, pkt 47).

53      Zobacz wyrok z dnia 24 lutego 2022 r., Valsts ieņēmumu dienests (Przetwarzanie danych osobowych do celów podatkowych) (C‑175/20, EU:C:2022:124, pkt 73 i przytoczone tam orzecznictwo).

54      Na temat rozróżnienia między powodem a celem zobacz pkt 56 niniejszej opinii.

55      Zobacz wyrok ETPC z dnia 22 czerwca 2017 r. w sprawie Aycaguer przeciwko Francji (CE:ECHR:2017:0622JUD000880612, § 34 i przytoczone tam orzecznictwo).

56      Wyrok z dnia 24 lutego 2022 r., Valsts ieņēmumu dienests (Przetwarzanie danych osobowych do celów podatkowych) (C‑175/20, EU:C:2022:124, pkt 83 i przytoczone tam orzecznictwo). Wyróżnienie moje.

57      Wyrok z dnia 24 lutego 2022 r., Valsts ieņēmumu dienests (Przetwarzanie danych osobowych do celów podatkowych) (C‑175/20, EU:C:2022:124, pkt 84).

58      Cel ten można porównać do zadań właściwych organów wymienionych w art. 8 ust. 1 dyrektywy 2016/680.

59      Zobacz motyw 37 dyrektywy 2016/680.

60      Wymóg ten jest również wiążący dla prawodawcy Unii: zob. wyrok z dnia 17 października 2013 r., Schwarz (C‑291/12, EU:C:2013:670).

61      Jeśli chodzi o dostęp do danych, Trybunał orzekł, że prawo krajowe nie może jedynie wymagać, aby dostęp organów do danych odpowiadał celowi, ale musi również przewidywać przesłanki materialne i proceduralne regulujące to wykorzystanie [zob. wyrok z dnia 5 kwietnia 2022 r., Commissioner of An Garda Síochána i in. (C‑140/20, EU:C:2022:258, pkt 104)].

62      Potwierdził to rząd bułgarski w odpowiedzi na pisemne pytanie Trybunału. Jednak cele te, sformułowane w ustawodawstwie bułgarskim w sposób ogólny i łączny, nie uzasadniają, rozpatrywane indywidualnie, takiej samej ingerencji w prawo do ochrony danych osobowych: zobacz wyrok z dnia 5 kwietnia 2022 r., Commissioner of An Garda Síochána i in. (C‑140/20, EU:C:2022:258, pkt 57 i przytoczone tam orzecznictwo).

63      W kontekście zwalczania przestępczości Trybunał orzekł już, że bez względu na zasadność tego celu oraz fakt, że jego skuteczność może w znacznym stopniu zależeć od wykorzystania nowoczesnych technik dochodzeniowo-śledczych, tego rodzaju „cel interesu ogólnego, mimo że ma on fundamentalne znaczenie, nie może sam w sobie uzasadniać stwierdzenia, że środek polegający na uogólnionym i niezróżnicowanym zatrzymywaniu danych o ruchu i danych o lokalizacji […] jest konieczny” (wyrok z dnia 5 kwietnia 2022 r., Commissioner of An Garda Síochána i in., C‑140/20, EU:C:2022:258, pkt 94).

64      Wyrok z dnia 5 kwietnia 2022 r., Commissioner of An Garda Síochána i in. (C‑140/20, EU:C:2022:258, pkt 69).