Hotărârea Curții (Camera a cincea) din 20 noiembrie 2025.#JH împotriva Policejní prezidium.#Cererea de decizie preliminară formulată de Nejvyšší správní soud.#Trimitere preliminară – Protecția persoanelor fizice referitor la prelucrarea datelor lor cu caracter personal de către autoritățile competente în scopul prevenirii, identificării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor și la libera circulație a acestor date – Directiva (UE) 2016/680 – Articolul 4 alineatul (1) literele (c) și (e) – Reducerea la minimum a prelucrării datelor – Limitări legate de stocarea datelor cu caracter personal – Articolul 10 – Colectarea și stocarea datelor biometrice și genetice – Necesitate strictă – Articolul 6 litera (a) – Obligația de a se face distincție între datele cu caracter personal ale diferitelor categorii de persoane – Legislație națională care prevede colectarea datelor biometrice și genetice de la orice persoană suspectată sau acuzată de săvârșirea cu intenție a unei infracțiuni – Articolul 5 – Termene corespunzătoare pentru ștergerea sau pentru o revizuire periodică a necesității de stocare a acestor date – Lipsa unui termen maxim de stocare – Evaluarea necesității de stocare a datelor biometrice și genetice de către poliție pe baza normelor interne – Articolul 8 alineatul (2) – Legalitatea prelucrării acestor date – Noțiunea de «[dispoziție de] drept intern» – Posibilitate de a califica jurisprudența națională ca fiind «drept intern».#Cauza C-57/23.

Prezenta cerere de decizie preliminară privește interpretarea articolului 4 alineatul (1) literele (c) și (e), a articolului 6, a articolului 8 alineatul (2) și a articolului 10 din Directiva (UE) 2016/680 a Parlamentului European și a Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, depistării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor și privind libera circulație a acestor date și de abrogare a Deciziei‑cadru 2008/977/JAI a Consiliului (JO 2016, L 119, p. 89).

Această cerere a fost formulată în cadrul unui litigiu între JH, pe de o parte, și Policejní prezidium (conducerea Poliției, Republica Cehă) (denumită în continuare „conducerea Poliției cehe”), pe de altă parte, în legătură în special cu colectarea datelor biometrice și genetice referitoare la JH în cadrul unei proceduri penale, precum și cu stocarea lor de către Poliția cehă.

Considerentele (1), (2), (26), (33), (37) și (96) ale Directivei 2016/680 au următorul cuprins: „(1) Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal este un drept fundamental. Articolul 8 alineatul (1) din Carta drepturilor fundamentale a Uniunii Europene (denumită în continuare «carta») și articolul 16 alineatul (1) din Tratatul [FUE] prevăd dreptul oricărei persoane la protecția datelor cu caracter personal care o privesc. (2) Principiile și normele referitoare la protecția persoanelor fizice în ceea ce privește prelucrarea datelor lor cu caracter personal ar trebui, indiferent de cetățenia sau de locul de reședință al persoanelor fizice, să respecte drepturile și libertățile fundamentale ale acestora, în special dreptul la protecția datelor cu caracter personal. […] […] (26) Orice prelucrare a datelor cu caracter personal trebuie să fie legală, echitabilă și transparentă față de persoanele fizice în cauză, iar prelucrarea trebuie să fie făcută numai pentru scopuri specifice prevăzute de lege. Acest lucru nu împiedică, în sine, autoritățile de aplicare a legii să desfășoare activități precum investigațiile sub acoperire sau supravegherea video. Aceste activități pot fi întreprinse în scopul prevenirii, depistării, investigării sau urmăririi penale a infracțiunilor sau al executării sancțiunilor penale, inclusiv al protecției împotriva fraudei și al prevenirii amenințărilor la adresa securității publice, în măsura în care sunt prevăzute de lege și constituie o măsură necesară și proporțională într‑o societate democratică, ținându‑se seama în mod corespunzător de interesele legitime ale respectivei persoane fizice. […] Persoanele fizice ar trebui să fie informate cu privire la riscurile, normele, garanțiile și drepturile în materie de prelucrare a datelor acestora cu caracter personal și cu privire la modul în care să își exercite drepturile respective. În special, scopurile specifice în care datele cu caracter personal sunt prelucrate ar trebui să fie explicite și legitime și să fie determinate la momentul colectării datelor. Datele cu caracter personal ar trebui să fie adecvate și relevante pentru scopurile în care sunt prelucrate. […] Datele cu caracter personal ar trebui prelucrate doar în cazul în care scopul prelucrării nu poate fi îndeplinit, în mod rezonabil, prin alte mijloace. În vederea asigurării faptului că datele nu sunt păstrate mai mult timp decât este necesar, ar trebui să se stabilească de către operator termene pentru ștergere sau revizuire periodică. Statele membre ar trebui să stabilească garanții adecvate pentru datele cu caracter personal care sunt stocate pe o perioadă mai lungă, în scopuri de arhivare în interes public sau în scopuri științifice, statistice sau istorice. […] (33) Atunci când prezenta directivă face trimitere la dreptul intern, la un temei juridic sau la o măsură legislativă, aceasta nu necesită neapărat un act legislativ adoptat de către un parlament, fără a aduce atingere cerințelor care decurg din ordinea constituțională a statului membru în cauză. Cu toate acestea, dreptul intern, temeiul juridic sau măsura legislativă în cauză ar trebui să fie clare și precise, iar aplicarea să fie previzibilă destinatarilor, în conformitate cu jurisprudența Curții de Justiție și a Curții Europene a Drepturilor Omului. Dreptul intern care reglementează prelucrarea datelor cu caracter personal din domeniul de aplicare al prezentei directive ar trebui să precizeze cel puțin obiectivele, datele cu caracter personal care urmează a fi prelucrate, scopurile prelucrării și procedurile de păstrare a integrității și a confidențialității datelor cu caracter personal și procedurile de distrugere a acestora, oferind astfel garanții suficiente împotriva riscurilor de abuzuri și de arbitrar. […] (37) Datele cu caracter personal care sunt, prin natura lor, deosebit de sensibile în ceea ce privește drepturile și libertățile fundamentale necesită o protecție specifică, deoarece contextul prelucrării acestora ar putea genera riscuri considerabile la adresa drepturilor și libertăților fundamentale. Aceste date cu caracter personal ar trebui să includă datele cu caracter personal care dezvăluie originea rasială sau etnică, utilizarea termenului „origine rasială” în prezenta directivă neimplicând o acceptare de către Uniune a teoriilor care urmăresc să stabilească existența unor rase umane separate. Asemenea date cu caracter personal nu ar trebui prelucrate, cu excepția cazului în care prelucrarea face obiectul unor garanții adecvate pentru drepturile și libertățile persoanei vizate prevăzute de lege și este autorizată în cazuri prevăzute de lege; dacă nu este deja autorizată de o astfel de lege, prelucrarea este necesară pentru a proteja interesele vitale ale persoanei vizate sau ale altei persoane; sau prelucrarea se referă la date care sunt făcute publice în mod manifest de către persoana vizată. Garanțiile adecvate pentru drepturile și libertățile persoanei vizate ar putea include posibilitatea de a colecta aceste date numai în legătură cu alte date referitoare la persoana fizică respectivă, posibilitatea de a garanta în mod adecvat datele colectate, reguli mai stricte privind accesul la date al personalului autorității competente și interzicerea transmiterii datelor respective. […] […] (96) Statelor membre ar trebui să le fie acordat un termen de cel mult doi ani de la data intrării în vigoare a prezentei directive în vederea transpunerii sale. Prelucrările în derulare la data menționată ar trebui să fie aduse în conformitate cu prezenta directivă în termen de doi ani de la data intrării în vigoare a prezentei directive. Cu toate acestea, în cazul în care o astfel de prelucrare respectă dreptul Uniunii aplicabil înainte de data intrării în vigoare a prezentei directive, cerințele din prezenta directivă cu privire la consultarea prealabilă a autorității de supraveghere nu ar trebui să se aplice operațiunilor de prelucrare aflate deja în derulare la data menționată, având în vedere că respectivele cerințe, prin însăși natura lor, trebuie să fie îndeplinite înainte de prelucrare. […] […]”

Articolul 1 din această directivă, intitulat „Obiect și obiective”, prevede la alineatul (1): „Prezenta directivă stabilește normele referitoare la protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, depistării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor, inclusiv al protejării împotriva amenințărilor la adresa securității publice și al prevenirii acestora.”

Articolul 2 din directiva menționată, intitulat „Domeniul de aplicare”, prevede la alineatul (1): „Prezenta directivă se aplică prelucrării datelor cu caracter personal de către autoritățile competente în scopurile prevăzute la articolul 1 alineatul (1).”

Potrivit articolului 3 din aceeași directivă, intitulat „Definiții”: „În sensul prezentei directive: 1. «date cu caracter personal» înseamnă orice informație privind o persoană fizică identificată sau identificabilă (denumită în continuare «persoana vizată»); o persoană fizică identificabilă este o persoană care poate fi identificată, direct sau indirect, în special prin referire la un element de identificare, cum ar fi un nume, un număr de identificare, date de localizare, un identificator online, sau la unul sau mai multe elemente specifice, proprii identității sale fizice, fiziologice, genetice, psihice, economice, culturale sau sociale; 2. «prelucrare» înseamnă orice operațiune sau set de operațiuni efectuate asupra datelor cu caracter personal sau seturilor de date cu caracter personal, cu sau fără utilizarea de mijloace automatizate, cum ar fi colectarea, înregistrarea, organizarea, structurarea, stocarea, adaptarea sau modificarea, extragerea, consultarea, utilizarea, dezvăluirea prin transmitere, diseminarea sau punerea la dispoziție în orice alt mod, alinierea sau combinarea, restricționarea, ștergerea sau distrugerea; […] 12. «date genetice» înseamnă datele cu caracter personal referitoare la caracteristicile genetice moștenite sau dobândite ale unei persoane fizice care oferă informații unice privind fiziologia sau sănătatea respectivei persoane fizice, astfel cum rezultă în special în urma unei analize a unei mostre de material biologic recoltate de la acea persoană fizică; 13. «date biometrice» înseamnă date cu caracter personal care rezultă în urma unor tehnici de prelucrare specifice, referitoare la caracteristicile fizice, fiziologice sau comportamentale ale unei persoane fizice, care permit sau confirmă identificarea unică a respectivei persoane fizice, cum ar fi imaginile faciale sau datele dactiloscopice; […]”

Articolul 4 din Directiva 2016/680, intitulat „Principii referitoare la prelucrarea datelor cu caracter personal”, precizează la alineatul (1): „Statele membre garantează că datele cu caracter personal: (a) sunt prelucrate în mod legal și echitabil; (b) sunt colectate în scopuri determinate, explicite și legitime și nu sunt prelucrate într‑un mod incompatibil cu aceste scopuri; (c) sunt adecvate, relevante și neexcesive în ceea ce privește scopurile în care sunt prelucrate; (d) sunt exacte și, dacă este necesar, sunt actualizate; trebuie să se ia toate măsurile rezonabile pentru a asigura faptul că datele cu caracter personal care sunt inexacte, având în vedere scopurile pentru care sunt prelucrate, să fie șterse sau rectificate fără întârziere; (e) sunt păstrate într‑o formă care permite identificarea persoanelor vizate pe o perioadă care nu depășește perioada necesară îndeplinirii scopurilor pentru care sunt prelucrate datele respective; […]”

Articolul 5 din această directivă, intitulat „Termene pentru stocare și revizuire”, are următoarea redactare: „Statele membre garantează stabilirea unor termene corespunzătoare pentru ștergerea datelor cu caracter personal sau pentru o revizuire periodică a necesității de stocare a datelor cu caracter personal. Respectarea acestor termene este asigurată prin măsuri procedurale.”

Articolul 6 din directiva menționată, intitulat „Distincția între diferite categorii de persoane vizate”, prevede: „Statele membre garantează că, după caz și în măsura posibilului, operatorul face distincție clară între datele cu caracter personal ale diferitelor categorii de persoane vizate, precum: (a) persoane în privința cărora există motive serioase să se creadă că au săvârșit sau că urmează să săvârșească o infracțiune; (b) persoane condamnate pentru săvârșirea unei infracțiuni; (c) victime ale unei infracțiuni sau persoane în privința cărora, în baza anumitor fapte, există motive să se creadă că persoanele respective ar putea fi victimele unei infracțiuni și (d) alte părți care au legătură cu infracțiunea, ca de exemplu persoane care ar putea fi chemate să depună mărturie în cadrul anchetelor legate de infracțiuni sau în cadrul procedurilor penale ulterioare sau persoane care pot oferi informații cu privire la infracțiuni sau persoane care sunt în legătură sau asociate cu persoanele menționate la literele (a) și (b).”

Articolul 8 din aceeași directivă, intitulat „Legalitatea prelucrării”, prevede: „(1) Statele membre garantează legalitatea prelucrării numai dacă și în măsura în care aceasta este necesară pentru îndeplinirea unei sarcini de către o autoritate competentă în scopurile stabilite la articolul 1 alineatul (1) și că aceasta se întemeiază pe dreptul Uniunii sau pe dreptul intern. (2) [O dispoziție] de drept[…] intern care reglementează prelucrarea care intră sub incidența prezentei directive precizează cel puțin obiectivele prelucrării, datele cu caracter personal care urmează să fie prelucrate și scopurile prelucrării.”

Potrivit articolului 10 din Directiva 2016/680, intitulat „Prelucrarea de categorii speciale de date cu caracter personal”: „Prelucrarea datelor cu caracter personal care dezvăluie originea rasială sau etnică, opiniile politice, confesiunea religioasă sau convingerile filozofice, afilierea sindicală, prelucrarea datelor genetice, prelucrarea datelor biometrice pentru identificarea unică a unei persoane fizice sau prelucrarea datelor privind sănătatea sau a datelor privind viața sexuală și orientarea sexuală a unei persoane fizice este autorizată numai atunci când este strict necesară și sub rezerva unor garanții adecvate pentru drepturile și libertățile persoanei vizate și numai atunci când: (a) este autorizată de dreptul Uniunii sau de dreptul intern; (b) este necesară pentru a proteja interesele vitale ale persoanei vizate sau ale unei alte persoane fizice sau (c) prelucrarea respectivă se referă la date care sunt făcute publice în mod manifest de persoana vizată.”

În temeiul articolului 63 alineatul (1) din această directivă, statele membre trebuiau să adopte și să publice, până la 6 mai 2018, actele cu putere de lege și actele administrative necesare pentru a se conforma respectivei directive. În plus, statele membre sunt obligate să aplice aceste dispoziții de la aceeași dată.

Conform articolului 64 din aceeași directivă, aceasta din urmă a intrat în vigoare la 5 mai 2016.

Articolul 11 din zákon č. 273/2008 Sb., o Policii České republiky (Legea nr. 273/2008 privind poliția Republicii Cehe), în versiunea aplicabilă litigiului principal (denumită în continuare „Legea privind poliția cehă”), intitulat „Proporționalitatea actelor”, prevede: „Polițistul și angajatul poliției au obligația de […] c) a acționa astfel încât o eventuală ingerință în drepturile și libertățile persoanelor care fac obiectul actului sau ale persoanelor nevizate să nu depășească ceea ce este necesar pentru atingerea obiectivului urmărit de act.”

Articolul 65 din Legea privind poliția cehă prevede: „(1) În cursul îndeplinirii sarcinilor sale, poliția, în scopul identificării ulterioare, poate, în cazul a) unei persoane urmărite pentru săvârșirea cu intenție a unei infracțiuni sau care a fost informată că este suspectată de săvârșirea unei astfel de infracțiuni, b) unei persoane care execută o pedeapsă privativă de libertate pentru săvârșirea unei infracțiuni cu intenție, c) unei persoane supuse unor măsuri medicale coercitive sau detenției sau d) unei persoane căutate care a fost găsită și a cărei capacitate juridică este limitată, să ia amprentele digitale, să identifice caracteristicile fizice, să ia măsuri ale corpului, să înregistreze imagini, sunete și alte date similare, precum și să preleveze probe biologice pentru a obține informații despre structura genetică. (2) În cazul în care, având în vedere opoziția persoanei, un act prevăzut la alineatul (1) nu poate fi efectuat, polițistul are dreptul să nu ia în considerare această opoziție după ce a solicitat fără succes persoanei să se conformeze. Modul în care nu ia în considerare respectiva opoziție trebuie să fie proporțional cu intensitatea acesteia. Polițistul nu poate ignora opoziția unei persoane în cazul prelevării de sânge sau al altor acte similare care aduc atingere integrității fizice. (3) În cazul în care un act prevăzut la alineatul (1) nu poate fi efectuat la fața locului, polițistul are dreptul de a convoca persoana în vederea realizării actului. Polițistul eliberează persoana după efectuarea actului. (4) Polițistul întocmește un raport cu privire la actele astfel realizate. (5) Poliția șterge datele cu caracter personal obținute în conformitate cu alineatul (1) de îndată ce prelucrarea acestora nu mai este necesară pentru prevenirea, investigarea sau depistarea infracțiunilor sau pentru urmărirea penală ori pentru asigurarea securității Republicii Cehe, ordinii publice sau securității interne.”

Articolul 79 din această lege, intitulat „Dispoziții fundamentale referitoare la prelucrarea datelor cu caracter personal în exercitarea anumitor atribuții polițienești”, prevede: „(1) Alineatele (2)-(6) și articolele 79a-88 se aplică prelucrării datelor cu caracter personal în scopul prevenirii, investigării și depistării infracțiunilor, al urmăririi penale în materie, pentru a asigura securitatea Republicii Cehe sau pentru a garanta ordinea publică, securitatea internă, inclusiv în scopul căutării persoanelor și bunurilor. (2) Poliția poate prelucra date cu caracter personal în cazul în care acest lucru este necesar pentru atingerea obiectivelor menționate la alineatul (1). Poliția poate prelucra date cu caracter personal și pentru a proteja interesele importante ale unei persoane vizate care sunt legate de obiectivele menționate la alineatul (1). […]”

Articolul 82 din legea menționată, intitulat „Verificarea necesității unei prelucrări ulterioare a datelor cu caracter personal”, are următorul cuprins: „(1) Poliția verifică cel puțin o dată la trei ani dacă datele cu caracter personal prelucrate în scopurile menționate la articolul 79 alineatul (1) sunt încă necesare pentru îndeplinirea sarcinilor sale în acest domeniu. (2) În scopul verificării menționate la alineatul (1), poliția este abilitată să solicite un extras din cazierul judiciar. (3) Autoritățile de aplicare a legii și judiciare, Ministerstvo spravedlnosti [Ministerul Justiției, Republica Cehă], Ústavní soud [Curtea Constituțională, Republica Cehă] și Kancelář prezidenta republiky [cabinetul președintelui Republicii, Republica Cehă] informează în permanență poliția, în limitele competențelor lor, în scopul verificării menționate la alineatul (1), cu privire la deciziile lor definitive, prescripția urmăririi penale, executarea unei pedepse sau a deciziilor președintelui Republicii referitoare la procedura penală, la pedepse sau la amnistia sau grațierea acordată.”

Printr‑o decizie din 11 decembrie 2015, Serviciul de depistare a corupției și a criminalității financiare din cadrul Grupului Poliției judiciare și de investigare al secției din Plzeň (Republica Cehă), care este un serviciu al Poliției cehe cu competență națională, a început urmărirea penală împotriva lui JH pentru infracțiunea de încălcare a obligațiilor de serviciu în gestionarea bunurilor altei persoane.

În cadrul procedurii penale în cauză, la 13 ianuarie 2016, Poliția cehă a început prin a‑l audia pe JH, dispunând și realizând totodată următoarele acte de identificare, în pofida obiecției lui JH: prelevarea amprentelor digitale ale lui JH, prelevarea unei probe de salivă de la acesta din care a obținut un profil genetic, fotografierea lui JH și întocmirea unei descrieri a lui JH. Aceasta a introdus apoi informațiile respective în bazele de date corespunzătoare.

Prin hotărârea din 15 martie 2017, Městský soud v Praze (Tribunalul Municipal din Praga, Republica Cehă) a statuat că JH a săvârșit infracțiunea de încălcare a unei obligații în gestionarea bunurilor altei persoane, prin complicitate, precum și o infracțiune de abuz de putere din partea unui funcționar. Instanța menționată l‑a condamnat pe JH la o pedeapsă privativă de libertate de trei ani cu suspendare, la interdicția, timp de patru ani, de a exercita funcții de conducere în administrația publică, inclusiv gestionarea de bunuri imobile și mobile, precum și la repararea prejudiciului cauzat, în limita posibilităților sale.

La 8 martie 2016, JH a introdus o acțiune la Městský soud v Praze (Tribunalul Municipal din Praga) prin care a solicitat să se constate că efectuarea de acte de identificare în conformitate cu articolul 65 din Legea privind poliția cehă, stocarea de informații și de mostre astfel obținute, precum și crearea unei intrări în bazele de date ale Poliției cehe cu această ocazie constituiau o ingerință nelegală în dreptul său fundamental la respectarea vieții private.

Dat fiind că, în cadrul unei alte cauze pendinte la acel moment, el sesizase deja Ústavní soud (Curtea Constituțională, Republica Cehă) cu o cerere de apreciere a constituționalității articolului 65 din Legea privind poliția cehă, Městský soud v Praze (Tribunalul Municipal din Praga) a suspendat examinarea acțiunii introduse de JH.

Printr‑o decizie din 22 martie 2022, Ústavní soud (Curtea Constituțională) a respins cererea formulată de Městský soud v Praze (Tribunalul Municipal din Praga) având ca obiect constatarea neconstituționalității articolului 65 din Legea privind poliția cehă. În urma acestei decizii, această din urmă instanță a reluat examinarea acțiunii introduse de JH.

Prin hotărârea din 23 iunie 2022, Městský soud v Praze (Tribunalul Municipal din Praga) a admis acțiunea formulată de JH, statuând că actele realizate de Poliția cehă la 13 ianuarie 2016 erau nelegale. Ca urmare, această instanță a dispus ca Poliția cehă să șteargă toate datele cu caracter personal rezultate din aceste acte din bazele sale de date.

În această hotărâre, instanța menționată a subliniat că prelevarea de material genetic reprezintă o ingerință considerabilă în dreptul fundamental al persoanei interesate la respectarea vieții private, protejat în special la articolul 8 din Convenția europeană pentru apărarea drepturilor omului și a libertăților fundamentale, semnată la Roma la 4 noiembrie 1950 (denumită în continuare „CEDO”), și la articolul 10 alineatul (3) din Listina základních práv a svobod (Carta drepturilor și libertăților fundamentale a Republicii Cehe). Or, articolul 65 din Legea privind poliția cehă nu ar furniza informații suficiente pentru aprecierea caracterului proporțional al acestei ingerințe. Astfel, singura verificare pe care ar impune‑o acest din urmă articol ar fi ca Poliția cehă să controleze, înainte de efectuarea unei asemenea prelevări, caracterul „intenționat” al infracțiunii săvârșite.

De altfel, aceeași instanță a precizat că JH era urmărit penal numai pentru că săvârșise un așa‑numit delict, și anume o faptă penală de o gravitate mai redusă, că pedeapsa sa privativă de libertate era supusă suspendării, ceea ce ar confirma gravitatea mai redusă a faptelor imputate, că nu fusese niciodată condamnat anterior în cadrul unei proceduri penale, că o recidivă din partea sa era puțin probabilă, precum și că nu este sigur că infracțiunile comise intră în categoria delictelor ale căror autori ar săvârși în viitor o infracțiune la a cărei identificare ar putea contribui datele cu caracter personal stocate în bazele de date. Aceasta a dedus de aici că actele de identificare realizate de Poliția cehă și care fac obiectul litigiului principal nu îndeplineau cerința proporționalității.

Conducerea Poliției cehe a formulat recurs împotriva hotărârii menționate la Nejvyšší správní soud (Curtea Administrativă Supremă, Republica Cehă), care este instanța de trimitere.

În susținerea recursului formulat, conducerea Poliției cehe subliniază că scopul prelucrării datelor cu caracter personal este clar formulat la articolul 65 din Legea privind poliția cehă. Aceasta susține de asemenea că, în speță, serviciile competente ale Poliției cehe au apreciat caracterul proporțional al prelevării și stocării datelor cu caracter personal ale lui JH, luând în considerare factorul recidivei, posibila agravare a actelor și faptul că JH săvârșise în trecut mai multe contravenții.

Ca răspuns, JH subliniază printre altele că autoritățile polițienești au efectuat acte de identificare fără să fi examinat în prealabil caracterul proporțional al ingerinței respective. JH critică de asemenea lipsa de publicitate a instrucțiunilor Poliției cehe referitoare la efectuarea unor acte de identificare.

Instanța de trimitere subliniază că, în temeiul jurisprudenței sale celei mai recente, simpla respectare a cerințelor de formă prevăzute la articolul 65 alineatul (1) din Legea privind Poliția cehă, în special cea referitoare la calificarea drept infracțiune „intenționată”, nu este suficientă pentru ca colectarea și stocarea datelor cu caracter personal prevăzute la acest articol să poată fi considerate legale. Astfel, serviciile de poliție ar avea obligația de a aprecia proporționalitatea prelevării în fiecare caz concret, ținând seama în special de trecutul penal, de personalitatea și de comportamentul persoanei în cauză, de gravitatea infracțiunii pentru care această persoană a fost convocată în vederea realizării unor acte de identificare, precum și, în cadrul unei cereri de eliminare a datelor ex post, de durata scursă de la săvârșirea infracțiunii în cauză.

În temeiul acestei jurisprudențe, instanțele naționale ar fi concluzionat în sensul nelegalității unor acte de identificare, cum este colectarea de date biometrice și genetice, în special în cazul unor infracțiuni care nu implică nicio violență, săvârșite de persoane care nu au fost niciodată condamnate.

Acesta este contextul în care instanța de trimitere ridică problema compatibilității cu Directiva 2016/680 a regimului juridic stabilit la articolul 65 din Legea privind poliția cehă.

În primul rând, această instanță ridică problema dacă cerințele stabilite de această directivă se opun colectării nediferențiate a datelor biometrice și genetice pentru orice persoană suspectată de săvârșirea cu intenție a unei infracțiuni.

Pe de o parte, din jurisprudența Curții Europene a Drepturilor Omului referitoare la dreptul fundamental la respectarea vieții private, astfel cum este garantat la articolul 8 din CEDO, ar rezulta că părțile contractante sunt obligate să stabilească o distincție între infracțiunile pentru care sunt colectate mostre de acid dezoxiribonucleic (ADN) în funcție de gravitatea lor pentru societate. Părțile contractante nu ar putea trata în același mod, pe de o parte, autorii infracțiunilor grave, precum cele săvârșite cu violență, pentru care prelevarea și stocarea de mostre de ADN ar fi legitime, și, pe de altă parte, autorii unor infracțiuni mai puțin grave.

Pe de altă parte, cerințele care decurg din principiul proporționalității, cum sunt în special cea concretizată, în domeniul de aplicare al Directivei 2016/680, sub forma principiului reducerii la minimum a prelucrării datelor și a obligației de a stabili distincții între diferite categorii de persoane vizate, prevăzute la articolul 4 alineatul (1) litera (c) din această directivă și, respectiv, la articolul 6 din aceasta, ar ridica semne de întrebare cu privire la aspectul dacă stabilirea distincțiilor in abstracto la nivel legislativ, în special în funcție de gravitatea infracțiunilor avute în vedere, este suficientă sau dacă este necesar să se aprecieze in concreto caracterul proporțional al unei prelevări în fiecare caz specific.

În al doilea rând, instanța de trimitere ridică problema dacă cerințele stabilite de Directiva 2016/680 se opun stocării datelor biometrice și genetice fără a se prevedea în mod explicit o limitare în timp în această privință. Pe de altă parte, reglementarea națională aplicabilă nu ar stabili o limită maximă a perioadei de stocare a datelor de identificare. Or, potrivit interpretării date de instanța de trimitere jurisprudenței Curții Europene a Drepturilor Omului, aceasta ar impune stabilirea unei asemenea limite maxime.

În al treilea rând, instanța de trimitere ridică problema dacă jurisprudența instanțelor administrative cehe poate fi calificată ca fiind „drept intern”, în sensul articolului 8 din Directiva 2016/680, care stabilește condițiile de legalitate a prelucrării datelor cu caracter personal.

Astfel, articolul 65 din Legea privind Poliția cehă nu ar preciza nici condițiile concrete de stocare și tipurile de informații care pot fi extrase din mostra prelevată, nici condițiile de stocare și de ștergere a datelor biometrice și genetice, astfel încât acest articol nu poate îndeplini, ca atare, cerințele prevăzute la articolul 8 alineatul (2) din Directiva 2016/680 coroborat cu articolul 10 din aceasta.

Este adevărat că acest articol 65 ar fi completat de instrucțiuni ale președintelui Poliției de punere în aplicare a acestuia, însă, întrucât acestea din urmă nu sunt nici texte normative și nici nu sunt publicate, nu li s‑ar putea recunoaște în niciun caz calitatea de „drept intern”, în sensul articolului 8 alineatul (2) din Directiva 2016/680.

Prin urmare, s‑ar ridica problema dacă se poate considera că dreptul intern prevede garanții materiale și procedurale suficiente pentru prelucrarea unor date sensibile, în sensul articolului 10 din această directivă, cum sunt datele biometrice și genetice, atunci când aceste garanții sunt aduse de jurisprudență.

În aceste condiții, Nejvyšší správní soud (Curtea Administrativă Supremă) a hotărât să suspende judecarea cauzei și să adreseze Curții următoarele întrebări preliminare: „1) Ce grad de distincție între diferitele persoane vizate este impus de articolul 4 alineatul (1) litera (c) sau de articolul 6 din Directiva 2016/680 coroborat cu articolul 10 din aceasta? Este compatibil cu principiul de a reduce la minimum prelucrarea datelor cu caracter personal, precum și cu obligația de a face distincție între diferitele categorii de persoane vizate, ca legislația națională să permită colectarea de date genetice de la toate persoanele suspectate sau acuzate de comiterea cu intenție a unei infracțiuni? 2) Este compatibilă cu articolul 4 alineatul (1) litera (e) din Directiva 2016/680 situația în care, pentru scopul general de prevenire sau de depistare a infracțiunilor, necesitatea de a stoca în continuare un profil ADN este evaluată de către autoritățile polițienești pe baza reglementărilor lor interne, ceea ce, în practică, înseamnă adesea stocarea datelor cu caracter personal sensibile pentru o perioadă nedeterminată, fără a se preciza o perioadă maximă de stocare a acestor date cu caracter personal? În cazul în care această situație nu este conformă cu dispoziția respectivă, pe baza căror criterii, dacă există, ar trebui să se evalueze proporționalitatea în ceea ce privește durata de stocare a datelor cu caracter personal colectate și stocate în acest scop? 3) Care este cadrul minim al condițiilor de fond sau de procedură pentru colectarea, stocarea și ștergerea datelor cu caracter personal sensibile, în sensul articolului 10 din Directiva 2016/680, care trebuie să fie reglementat prin «dispoziții de aplicare generală» din legislația unui stat membru? Poate fi considerată, la rândul său, jurisprudența instanțelor ca fiind «drept intern» în sensul articolului 8 alineatul (2) din Directiva 2016/680 coroborat cu articolul 10 din aceasta?”

Prin intermediul celei de a treia întrebări, care trebuie analizată în primul rând, instanța de trimitere solicită în esență să se stabilească dacă articolele 8 și 10 din Directiva 2016/680 trebuie interpretate în sensul că, în ceea ce privește colectarea, stocarea și ștergerea datelor biometrice și genetice, noțiunea de „drept intern”, în sensul acestor dispoziții, trebuie înțeleasă ca vizând numai o dispoziție cu aplicabilitate generală care prevede condițiile minime pentru colectarea, stocarea și ștergerea unor astfel de date sau dacă jurisprudența instanțelor naționale, care precizează aceste condiții, poate intra de asemenea sub incidența acestei noțiuni.

În această privință, trebuie amintit că, în conformitate cu articolul 3 punctul 2 din Directiva 2016/680, interpretat în lumina articolului 3 punctele 12 și 13 din aceasta, colectarea, stocarea și ștergerea datelor biometrice și genetice constituie prelucrare de date cu caracter personal, în sensul acestei directive.

Articolul 4 din Directiva 2016/680 enunță diferite principii cărora le sunt supuse aceste prelucrări, care reflectă, astfel cum reiese din considerentele (1) și (2) ale acestei directive, modul în care, în limitele prevăzute la articolul 52 din cartă, legiuitorul Uniunii a intenționat să concretizeze, în privința prelucrărilor menționate, dreptul fundamental al persoanelor fizice la protecția datelor lor cu caracter personal, recunoscut la articolul 8 din cartă, el însuși strâns legat de dreptul la respectarea vieții private, consacrat la articolul 7 din aceasta, ținând seama de natura specifică a activităților de prevenire, depistare, investigare și urmărire penală a infracțiunilor sau de executare a unei pedepse.

Printre aceste principii, articolul 4 alineatul (1) litera (a) din Directiva 2016/680 prevede că orice date cu caracter personal trebuie prelucrate în mod legal și echitabil.

Articolul 8 alineatul (1) din Directiva 2016/680 precizează, în această privință, că statele membre trebuie să garanteze legalitatea prelucrării datelor cu caracter personal care intră sub incidența acestei directive numai dacă și în măsura în care aceasta este necesară pentru îndeplinirea unei sarcini de către o autoritate competentă în scopurile stabilite la articolul 1 alineatul (1) din directiva menționată și în măsura în care aceasta se întemeiază pe dreptul Uniunii sau pe dreptul intern.

În plus, în temeiul articolului 8 alineatul (2) din aceeași directivă, prelucrarea unor astfel de date este posibilă numai în cazul în care o dispoziție de drept intern care reglementează această prelucrare precizează cel puțin obiectivele acestei prelucrări, datele cu caracter personal care urmează să fie astfel prelucrate și scopurile acesteia.

În ceea ce privește anumite categorii de date cu caracter personal, precum datele biometrice sau genetice, articolul 10 din Directiva 2016/680 urmărește să le asigure o protecție sporită prin definirea unor condiții consolidate de legalitate a prelucrării unor astfel de date [a se vedea în acest sens Hotărârea din 30 ianuarie 2024, Direktor na Glavna direktsia „Natsionalna politsia” pri MVR – Sofia, C‑118/22, EU:C:2024:97, punctul 48, și Hotărârea din 4 octombrie 2024, Bezirkshauptmannschaft Landeck (Tentativă de accesare a datelor cu caracter personal stocate pe un telefon mobil), C‑548/21, EU:C:2024:830, punctul 107]. Într‑adevăr, după cum subliniază considerentul (37) al acestei directive, aceste categorii de date sunt, prin natura lor, deosebit de sensibile în ceea ce privește drepturile și libertățile fundamentale, deoarece contextul prelucrării unor asemenea date poate genera riscuri semnificative la adresa drepturilor și libertăților persoanelor vizate.

Așadar, conform articolului 10 din Directiva 2016/680, orice prelucrare a datelor cu caracter personal care se încadrează în una dintre categoriile enumerate limitativ la acest articol (denumite în continuare „date cu caracter personal sensibile”) trebuie să fie autorizată de dreptul Uniunii sau de dreptul intern.

Rezultă că articolele 8 și 10 din Directiva 2016/680 urmăresc să precizeze sfera de aplicare a unora dintre principiile enunțate la articolul 4 din această directivă, care concretizează, în domeniul reglementat de directiva menționată, în special dreptul fundamental al persoanelor fizice la protecția datelor lor cu caracter personal recunoscut la articolul 8 din cartă.

Prin urmare, noțiunea de „drept intern” utilizată la aceste articole 8 și 10 trebuie înțeleasă în sensul că urmărește să materializeze, în domeniul reglementat de Directiva 2016/680, condiția prevăzută la articolul 8 alineatul (2) din cartă, potrivit căreia orice prelucrare de date cu caracter personal care nu este efectuată pe baza consimțământului persoanei interesate trebuie efectuată în temeiul unui alt motiv legitim prevăzut de lege, condiție care nu face decât să reflecte cerința prevăzută la articolul 52 din cartă, potrivit căreia orice restrângere a exercițiului drepturilor fundamentale recunoscute prin aceasta trebuie să fie prevăzută de lege. Această noțiune se referă, așadar, la validitatea recurgerii la dreptul național ca temei juridic al unei prelucrări de date cu caracter personal.

Or, pe de o parte, așa cum a subliniat domnul avocat general la punctul 82 din concluzii, Curtea, ținând seama de o jurisprudență constantă a Curții Europene a Drepturilor Omului, a statuat că termenul „lege”, utilizat la articolul 8 alineatul (2) din cartă, în expresia „temei prevăzut de lege”, trebuie înțeles în accepțiunea sa materială, iar nu formală (Hotărârea din 16 noiembrie 2023, Roos ș.a./Parlamentul, C‑458/22 P, nepublicată, EU:C:2023:871, punctul 61). Pe de altă parte, potrivit acestei jurisprudențe a Curții Europene a Drepturilor Omului, respectiva accepțiune a termenului „lege”, în expresia „prevăzut de lege”, menționată la articolul 8 paragraful 2 din CEDO, implică faptul că acest termen vizează textul în vigoare, astfel cum l‑au interpretat instanțele competente (a se vedea în acest sens Curtea EDO, 23 ianuarie 2025, H.W. împotriva Franței, CE:ECHR:2025:0123JUD001380521, § 65).

Pe de altă parte, așa cum rezultă din jurisprudența Curții, deși este adevărat că cerința potrivit căreia orice restrângere a exercițiului drepturilor fundamentale recunoscute de cartă trebuie să fie prevăzută de lege presupune ca actul care permite ingerința în aceste drepturi să definească el însuși întinderea acestei restrângeri, cerința menționată nu exclude însă ca, pe de o parte, restrângerea în cauză să fie formulată în termeni suficient de deschiși pentru a se putea adapta la situații diferite, precum și la schimbările de situații și, pe de altă parte, ca instanța competentă să poată, dacă este cazul, să precizeze, pe calea interpretării, întinderea concretă a restrângerii menționate atât în raport cu înșiși termenii acestui act care permite ingerința, cât și cu economia generală a actului respectiv și cu obiectivele pe care acesta din urmă le urmărește (a se vedea Hotărârea din 21 iunie 2022, Ligue des droits humains,C‑817/19, EU:C:2022:491, punctul 114).

Prin urmare, noțiunea de „drept intern”, în sensul articolelor 8 și 10 din Directiva 2016/680, citite în lumina articolului 8 alineatul (2) din cartă, trebuie înțeleasă ca fiind susceptibilă să se refere la o dispoziție care are în vedere în mod expres o prelucrare a datelor cu caracter personal care intră sub incidența acestei directive, astfel cum a fost interpretată de jurisprudența instanțelor naționale.

În orice caz, după cum se precizează la punctul 47 din prezenta hotărâre, articolul 8 alineatul (2) din Directiva 2016/680 prevede că o prelucrare a datelor cu caracter personal care intră sub incidența acestei directive este posibilă numai în cazul în care o dispoziție de drept intern care reglementează această prelucrare precizează cel puțin obiectivele, datele cu caracter personal care urmează să fie prelucrate fac obiectul prelucrării și scopurile acesteia.

Or, în această privință, trebuie precizat că, pe de o parte, trimiterea la „dreptul” intern care „reglementează” prelucrarea în cauză presupune ca obiectivele, datele cu caracter personal care urmează să fie prelucrate și scopurile prelucrării să fie, cel puțin în principiu, prevăzute de o dispoziție cu aplicabilitate generală. Pe de altă parte, acest articol 8 alineatul (2) urmărește, așa cum rezultă în mod expres din considerentul (33) al directivei menționate, ca dreptul intern al operatorului responsabil să fie clar și precis, iar aplicarea sa să fie previzibilă pentru destinatari, în conformitate cu jurisprudența Curții și a Curții Europene a Drepturilor Omului.

Potrivit jurisprudenței Curții Europene a Drepturilor Omului, orice măsură care constituie temeiul juridic al unei prelucrări de date cu caracter personal trebuie să aibă anumite calități, și anume, în esență, să fie mai întâi conformă cu normele de rang superior, apoi, să fie accesibilă și, în sfârșit, să fie suficient de previzibilă, cu alte cuvinte la un nivel rezonabil în împrejurările cauzei, pentru a permite persoanelor în cauză să își adapteze comportamentul, ceea ce presupune ca această măsură să definească cu suficientă claritate întinderea și modalitățile de exercitare a puterii conferite autorităților competente (a se vedea în acest sens în special Curtea EDO, 26 aprilie 1979, Sunday Times împotriva Regatului Unit, CE:ECHR:1979:0426JUD00065387, § 25 și 52, Curtea EDO, 1 iulie 2008, Liberty și alții împotriva Regatului Unit, CE:ECHR:2008:0701JUD005824300, § 62 și 63, și Curtea EDO, 4 decembrie 2008, S. și Marper împotriva Regatului Unit, CE:ECHR:2008:1204JUD003056204, § 95).

De asemenea, reiese din jurisprudența Curții că, pentru îndeplinirea cerinței de a fi prevăzută de lege, stipulată la articolul 52 din cartă, o reglementare care implică o ingerință în drepturile fundamentale garantate la articolele 7 și 8 din cartă trebuie să prevadă norme clare și precise care să reglementeze conținutul și aplicarea unei măsuri și care să impună o serie de cerințe minime, astfel încât persoanele ale căror date cu caracter personal sunt vizate să dispună de garanții suficiente care să permită protejarea în mod eficient a datelor lor împotriva riscurilor de abuz, precum și împotriva oricărei accesări și a oricărei utilizări ilicite a acestor date (a se vedea Hotărârea din 8 aprilie 2014, Digital Rights Ireland ș.a., C‑293/12 și C‑594/12, EU:C:2014:238, punctul 54, precum și Hotărârea din 6 octombrie 2015, Schrems,C‑362/14, EU:C:2015:650, punctul 91).

Întrucât articolul 8 alineatul (2) din Directiva 2016/680 urmărește să asigure respectarea cerințelor amintite la punctele 56 și 57 din prezenta hotărâre, rezultă că obiectivele urmărite, datele cu caracter personal vizate și scopurile unei prelucrări care intră sub incidența acestei directive trebuie să reiasă cu suficientă claritate și precizie din dispoziția ce reglementează această prelucrare însăși, pentru a se putea considera că aceasta din urmă îndeplinește cerințele de a fi prevăzută de lege, în sensul jurisprudenței Curții Europene a Drepturilor Omului și al articolului 52 din cartă.

Având în vedere toate cele de mai sus, trebuie să se răspundă la a treia întrebare că articolele 8 și 10 din Directiva 2016/680 trebuie interpretate în sensul că, în ceea ce privește colectarea, stocarea și ștergerea datelor biometrice și genetice, noțiunea de „drept intern”, în sensul acestor articole, trebuie înțeleasă în sensul că vizează o dispoziție cu aplicabilitate generală care prevede condițiile minime de colectare, de stocare și de ștergere a unor asemenea date, astfel cum a fost interpretată de jurisprudența instanțelor naționale, în măsura în care această jurisprudență este accesibilă și suficient de previzibilă.

În observațiile sale scrise, Comisia Europeană conchide în sensul inadmisibilității primei întrebări pentru motivul că prelevarea de material genetic de la JH și măsurile biometrice ale acestuia din urmă efectuate de Poliția cehă au avut loc la 13 ianuarie 2016, respectiv înainte de data intrării în vigoare a Directivei 2016/680, care a avut loc la 5 mai 2016, și înainte de expirarea termenului pentru transpunerea acestei directive stabilit, la articolul 63 alineatul (1) din aceasta, la 6 mai 2018.

În această privință, trebuie amintit că Curtea poate refuza să se pronunțe asupra unei întrebări preliminare adresate de o instanță națională numai dacă este evident că interpretarea solicitată a dreptului Uniunii nu are nicio legătură cu realitatea sau cu obiectul litigiului principal, atunci când problema este de natură ipotetică sau atunci când Curtea nu dispune de elementele de fapt și de drept necesare pentru a răspunde în mod util la întrebările care i‑au fost adresate (Hotărârea din 20 martie 2025, Anib ș.a., C‑728/22-C‑730/22, EU:C:2025:200, punctul 48).

În speță, articolul 64 din Directiva 2016/680 prevede că aceasta intră în vigoare la 5 mai 2016, în timp ce articolul 63 din această directivă precizează că statele membre trebuie să adopte și să publice, până la 6 mai 2018, actele cu putere de lege și actele administrative necesare pentru a se conforma acesteia.

Cu toate acestea, din dosarul aflat la dispoziția Curții reiese că datele cu caracter personal colectate în legătură cu JH din prelevările genetice și din înregistrările biometrice ale acestuia din urmă, la 13 ianuarie 2016, au continuat să fie păstrate în bazele de date ale Poliției cehe și, prin urmare, să fie prelucrate după 6 mai 2018.

Or, sub rezerva situațiilor avute în vedere la articolul 4 alineatul (2) din Directiva 2016/680, din articolul 4 alineatul (1) litera (b) din această directivă reiese că datele cu caracter personal nu pot face obiectul prelucrării în cazul în care colectarea lor nu a fost justificată de scopuri legitime.

În consecință, așa cum a subliniat domnul avocat general la punctul 34 din concluzii, datele cu caracter personal aflate sub incidența Directivei 2016/680 care au fost colectate în mod legal înainte de data intrării în vigoare a acestei directive, dar care ar fi fost colectate cu încălcarea principiilor stabilite de această directivă dacă ar fi fost colectate după data transpunerii directivei menționate sau, în lipsa acesteia, după data limită la care aceasta ar fi trebuit să fie transpusă, și anume 6 mai 2018, nu pot fi păstrate după data transpunerii directivei menționate sau, în lipsa acesteia, după data limită la care aceasta ar fi trebuit să fie transpusă.

Așadar, în speță, nu este evident că prima întrebare este în mod necesar lipsită de orice legătură cu realitatea sau cu obiectul litigiului principal ori că problema ridicată este de natură ipotetică pentru motivul, invocat de Comisie, că ar privi date biometrice și genetice colectate înainte de intrarea în vigoare a Directivei 2016/680.

În măsura în care, pe de altă parte, Curtea are la dispoziție toate elementele de fapt și de drept necesare pentru a‑i permite să răspundă în mod util la prima întrebare, aceasta din urmă trebuie considerată admisibilă.

Prin intermediul primei întrebări, instanța de trimitere solicită în esență să se stabilească dacă articolul 6 sau articolul 4 alineatul (1) litera (c) din Directiva 2016/680 coroborat cu articolul 10 din această directivă trebuie interpretate în sensul că se opun unei reglementări naționale care permite în mod nediferențiat colectarea de date biometrice și genetice ale oricărei persoane acuzate de săvârșirea cu intenție a unei infracțiuni sau suspectate de săvârșirea unei astfel de infracțiuni.

În acest sens, în ceea ce privește, în primul rând, articolul 6 din Directiva 2016/680, trebuie amintit că acest articol obligă statele membre să garanteze că, „după caz și în măsura posibilului”, operatorul face distincție clară între datele cu caracter personal ale diferitelor categorii de persoane vizate, precum cele menționate la literele (a)-(d) ale articolului respectiv, și anume, respectiv, persoane în privința cărora există motive serioase să se creadă că au săvârșit sau că urmează să săvârșească o infracțiune, persoane condamnate pentru săvârșirea unei infracțiuni, victime ale unei infracțiuni sau persoane în privința cărora, pe baza anumitor fapte, există motive să se creadă că ar putea fi victimele unei infracțiuni, și, în sfârșit, alte părți care au legătură cu infracțiunea, ca de exemplu persoane care ar putea fi chemate să depună mărturie în cadrul anchetelor legate de infracțiuni sau în cadrul procedurilor penale ulterioare, persoane care pot oferi informații cu privire la infracțiuni sau persoane care sunt în legătură sau asociate cu persoanele menționate la literele (a) și (b) ale aceluiași articol.

În conformitate cu această dispoziție, statele membre trebuie deci să se asigure că operatorul, „după caz și în măsura posibilului”, face o distincție clară între datele diferitelor categorii de persoane vizate, astfel încât să nu li se impună în mod nediferențiat același grad de ingerință în dreptul lor fundamental la protecția datelor cu caracter personal, indiferent de categoria căreia îi aparțin, aceste categorii trebuind să fie stabilite în principal în funcție de statutul penal al persoanei interesate.

După cum subliniază expresia „după caz și în măsura posibilului” care figurează la articolul 6 din Directiva 2016/680, obligația de a distinge anumite categorii de persoane pe care acest articol o impune statelor membre nu este absolută, ci depinde în special de aspectul, în fiecare caz în speță, dacă poate fi făcută o distincție clară între aceste categorii de persoane [a se vedea în acest sens Hotărârea din 26 ianuarie 2023, Ministerstvo na vatreshnite raboti (Înregistrarea de date biometrice și genetice de către poliție), C‑205/21, EU:C:2023:49, punctul 84] și de scopurile prelucrării.

În speță, guvernul ceh susține că referirea făcută de instanța de trimitere la categoria persoanelor suspectate trebuie înțeleasă în sensul că vizează persoanele cărora, în cadrul unei proceduri preliminare accelerate, li s‑au comunicat suspiciuni, ceea ce, în legislația națională în discuție în litigiul principal, ar necesita, la fel ca în cazul persoanelor acuzate, reunirea unui număr suficient de elemente care să demonstreze că persoanele interesate au săvârșit o infracțiune.

Or, dacă aceasta ar fi situația, aspect a cărui verificare va reveni instanței de trimitere, aceste două categorii de persoane ar putea fi considerate, în scopul unei anumite prelucrări, ca făcând parte, ambele, din categoria avută în vedere la articolul 6 litera (a) din Directiva 2016/680, cu condiția ca scopurile urmărite de prelucrarea în cauză să nu impună stabilirea unei distincții între cele două categorii menționate.

În consecință, articolul 6 din Directiva 2016/680 trebuie interpretat în sensul că nu se opune unei reglementări naționale care permite, în mod nediferențiat, colectarea de date biometrice și genetice ale persoanelor care fac parte din categoria persoanelor „acuzate de săvârșirea cu intenție a unei infracțiuni”, precum și a persoanelor care fac parte din categoria persoanelor „suspectate că au săvârșit o astfel de infracțiune”, în sensul dreptului național, atunci când scopurile acestei colectări nu impun stabilirea unei distincții între aceste două categorii de persoane ale căror date sunt susceptibile să fie colectate în temeiul acestei reglementări.

În ceea ce privește, în al doilea rând, articolul 4 alineatul (1) litera (c) din Directiva 2016/680 coroborat cu articolul 10 din această directivă, primul dintre aceste articole prevede că datele cu caracter personal trebuie să fie adecvate, relevante și neexcesive în ceea ce privește scopurile în care sunt prelucrate. Această din urmă cerință impune astfel respectarea de către statele membre a principiului reducerii la minimum a prelucrării datelor în raport cu obiectivul și cu scopul urmărite de prelucrarea în cauză.

Articolul 10 din directiva menționată prevede, la rândul său, că, în ceea ce privește datele sensibile cu caracter personal, printre care datele biometrice și genetice, prelucrarea trebuie să îndeplinească, pe lângă condiția de a se încadra în una dintre cele trei situații enumerate limitativ la literele (a)-(c), alte două condiții, și anume, pe de o parte, cea potrivit căreia trebuie să existe garanții adecvate pentru drepturile și libertățile persoanei vizate și, pe de altă parte, cea potrivit căreia prelucrarea preconizată trebuie să fie strict necesară.

Or, în ceea ce privește această din urmă condiție, mai întâi, ea presupune ca această necesitate să fie apreciată într‑un mod deosebit de riguros în raport cu scopurile urmărite de prelucrarea în cauză și ca, prin urmare, o asemenea prelucrare să nu poată fi considerată necesară decât într‑un număr limitat de cazuri [a se vedea în acest sens Hotărârea din 26 ianuarie 2023, Ministerstvo na vatreshnite raboti (Înregistrarea de date biometrice și genetice de către poliție), C‑205/21, EU:C:2023:49, punctul 118].

Așadar, scopurile unei prelucrări de date biometrice și genetice cu caracter personal nu pot fi desemnate în termeni prea generali, ci necesită să fie definite în mod suficient de precis și de concret pentru a permite evaluarea caracterului „strict necesar” al acesteia [Hotărârea din 26 ianuarie 2023, Ministerstvo na vatreshnite raboti (Înregistrarea de date biometrice și genetice de către poliție), C‑205/21, EU:C:2023:49, punctul 124].

În această privință, deși este adevărat că Directiva 2016/680 nu definește noțiunea „scopuri ale prelucrării”, se poate arăta că articolul 8 alineatul (2) din această directivă distinge în mod expres această noțiune de cea de „obiective ale prelucrării”. Or, articolul 4 alineatul (1) litera (b) din directiva menționată prevede că scopurile urmărite prin prelucrarea datelor cu caracter personal trebuie printre altele să fie determinate și explicite și că aceste date nu pot fi prelucrate într‑un mod incompatibil cu aceste scopuri, în timp ce articolul 4 alineatul (1) litera (c) din aceeași directivă prevede că respectivul caracter adecvat, relevant și neexcesiv al datelor cu caracter personal care urmează să fie prelucrate se apreciază în raport cu scopurile menționate.

Prin urmare, se poate deduce de aici că noțiunea de „obiective ale prelucrării”, în sensul acestui articol 8 alineatul (2), face trimitere la scopurile mai generale menționate la articolul 1 alineatul (1) din Directiva 2016/680 pe care trebuie să le urmărească o prelucrare pentru a intra sub incidența acestei directive, în timp ce noțiunea de „scopuri ale prelucrării”, în special în sensul articolului 8 alineatul (2) din directiva menționată, trebuie înțeleasă ca referindu‑se la finalitățile specifice și concrete urmărite de o prelucrare de date cu caracter personal în raport cu misiunea cu care este învestit operatorul, cum ar fi o sarcină specifică legată de prevenirea, depistarea, investigarea sau urmărirea penală a infracțiunilor sau executarea pedepselor.

Apoi, având în vedere că, așa cum reiese din considerentul (26) al Directivei 2016/680, interpretat în lumina principiului proporționalității, pentru datele cu caracter personal nesensibile, condiția privind caracterul necesar, în sensul acestei directive, este îndeplinită atunci când scopul urmărit de prelucrarea în cauză nu poate fi atins în mod rezonabil la fel de eficient prin alte mijloace care să afecteze mai puțin drepturile fundamentale ale persoanelor vizate, trebuie să se deducă de aici că condiția pentru ca prelucrarea datelor cu caracter personal sensibile să fie strict necesară impune, la rândul său, ca operatorul să se asigure că scopul urmărit de prelucrarea în cauză nu poate fi atins într‑un mod la fel de eficient prin recurgerea la alte categorii de date decât cele enumerate la articolul 10 din Directiva 2016/680 [a se vedea în acest sens Hotărârea din 26 ianuarie 2023, Ministerstvo na vatreshnite raboti (Înregistrarea de date biometrice și genetice de către poliție), C‑205/21, EU:C:2023:49, punctul 126].

Pe de altă parte, având în vedere riscurile importante pe care le prezintă prelucrarea datelor cu caracter personal sensibile pentru drepturile și libertățile persoanelor vizate, în special în contextul atribuțiilor autorităților competente în scopurile prevăzute la articolul 1 alineatul (1) din Directiva 2016/680, condiția de a fi „strict necesară” impune să se țină seama de importanța deosebită a scopului urmărit de prelucrarea în cauză, o asemenea importanță putând fi apreciată în special în funcție de natura acestui scop, de faptul că această prelucrare servește unei finalități specifice și concrete în legătură cu prevenirea infracțiunilor sau a amenințărilor împotriva siguranței publice care prezintă un anumit grad de gravitate, pedepsirea unor astfel de infracțiuni sau protecția împotriva unor astfel de amenințări, precum și în lumina împrejurărilor specifice în care este efectuată prelucrarea menționată [a se vedea în acest sens Hotărârea din 26 ianuarie 2023, Ministerstvo na vatreshnite raboti (Înregistrarea de date biometrice și genetice de către poliție), C‑205/21, EU:C:2023:49, punctul 127].

În orice caz, în ceea ce privește colectarea datelor biometrice și genetice ale persoanelor acuzate de săvârșirea cu intenție a unei infracțiuni sau suspectate de săvârșirea unei astfel de infracțiuni în scopul identificării și al comparării în viitor, caracterul strict necesar al acestei colectări trebuie să țină seama de ansamblul elementelor relevante, cum ar fi printre altele natura și gravitatea presupusei infracțiuni pentru care sunt inculpate, împrejurările specifice ale acestei infracțiuni, eventuala legătură a infracțiunii menționate cu alte proceduri în curs, antecedentele judiciare sau profilul individual al persoanei în cauză [a se vedea în acest sens Hotărârea din 26 ianuarie 2023, Ministerstvo na vatreshnite raboti (Înregistrarea de date biometrice și genetice de către poliție), C‑205/21, EU:C:2023:49, punctul 132].

În sfârșit, condiția caracterului „strict necesar” implică un control deosebit de strict al respectării principiului reducerii la minimum a prelucrării datelor în cauză, enunțat la articolul 4 alineatul (1) litera (c) din această directivă [a se vedea Hotărârea din 26 ianuarie 2023, Ministerstvo na vatreshnite raboti (Înregistrarea de date biometrice și genetice de către poliție), C‑205/21, EU:C:2023:49, punctul 125].

În special, în ceea ce privește stocarea sau utilizarea datelor extrase din ADN‑ul unor persoane în scopul identificării sau al comparării, un astfel de principiu presupune ca, pentru aprecierea caracterului strict necesar al unor astfel de prelucrări, să se țină seama în mod corespunzător de posibilitatea de a se recurge exclusiv la polimorfisme prezente în zonele de non‑codare ale ADN‑ului, și anume zone despre care se admite că nu oferă nicio informație cu privire la etnia sau bolile genetice ale acestor persoane.

În consecință, deși este adevărat că un stat membru se poate conforma Directivei 2016/680 fie delegând autorităților competente sarcina de a asigura, în fiecare caz în parte, respectarea condiției, pentru orice prelucrare a datelor cu caracter personal sensibile, de a fi strict necesară, fie stabilind, la nivel legislativ, criterii de apreciere pe care autoritățile trebuie să le aplice ulterior în mod nediscreționar, nu este mai puțin adevărat că, în această a doua ipoteză, criteriile respective trebuie să fie de natură să îndeplinească toate cerințele care decurg din aceeași condiție, astfel cum sunt enunțate la punctele 77-83 din prezenta hotărâre.

Astfel, în Hotărârea din 26 ianuarie 2023, Ministerstvo na vatreshnite raboti (Înregistrarea de date biometrice și genetice de către poliție) (C‑205/21, EU:C:2023:49, punctul 135), Curtea a statuat că o legislație națională care prevede colectarea sistematică a datelor biometrice și genetice ale oricărei persoane urmărite penal pentru săvârșirea cu intenție a unei infracțiuni pentru care acțiunea penală se pune în mișcare din oficiu, în scopul înregistrării lor, fără a prevedea obligația autorității competente de a verifica și de a demonstra, pe de o parte, că această colectare este absolut necesară pentru realizarea obiectivelor specifice și concrete urmărite și, pe de altă parte, că aceste obiective nu pot fi atinse prin măsuri care constituie o ingerință de o gravitate mai redusă pentru drepturile și libertățile persoanei vizate, este contrară acestei condiții privind caracterul strict necesar al colectării.

Prin urmare, în condițiile în care colectarea prevăzută de reglementarea în discuție în cauza în care s‑a pronunțat această hotărâre se aplica în mod imperativ în privința tuturor persoanelor inculpate pentru săvârșirea cu intenție a unor infracțiuni pentru care acțiunea penală se pune în mișcare din oficiu, prima întrebare din prezenta cauză privește o reglementare care nu acordă serviciilor de poliție decât o posibilitate de a efectua o prelevare de date biometrice și genetice de la persoanele acuzate că au săvârșit cu intenție o infracțiune sau suspectate de săvârșirea unei asemenea infracțiuni.

Or, faptul că o reglementare conferă o asemenea posibilitate serviciilor de poliție nu presupune că dreptul intern în cauză permite ca această colectare să fie sistematică sau să poată fi efectuată cu încălcarea printre altele a principiului reducerii la minimum a prelucrării datelor, prevăzut la articolul 4 alineatul (1) litera (c) din Directiva 2016/680, sau a condiției, pentru prelucrările în cauză, de a fi strict necesare, prevăzută la articolul 10 din această directivă, cu condiția ca acest drept, inclusiv jurisprudența instanțelor naționale, să definească în mod adecvat și suficient de precis scopurile urmărite de o astfel de prelucrare a datelor biometrice și genetice, și anume finalitățile specifice și concrete urmărite de o prelucrare de date cu caracter personal în raport cu misiunea cu care este învestit operatorul, și ca o astfel de posibilitate să fie exercitată în conformitate cu cerințele expuse la punctele 77-83 din prezenta hotărâre.

Astfel, din elementele aflate la dispoziția Curții reiese că, în speță, jurisprudența națională stabilește anumite cerințe care urmăresc să asigure respectarea acestui principiu, cum ar fi obligația poliției, înainte de a proceda la prelevarea unei mostre de ADN, de a ține seama în special de trecutul penal al autorului infracțiunii săvârșite, de gravitatea acesteia din urmă în funcție de tipul de infracțiune în cauză și de împrejurările specifice ale acesteia care implică prelevarea unei mostre, precum și de personalitatea autorului faptelor.

În această situație, revine instanțelor naționale sarcina de a verifica, în fiecare caz, dacă colectarea a fost realizată de serviciile de poliție cu încălcarea principiilor care reglementează prelucrarea datelor cu caracter personal, enunțate la articolul 4 din Directiva 2016/680, și a cerințelor specifice aplicabile prelucrărilor de date cu caracter personal sensibile, enunțate la articolul 10 din această directivă, interpretat în lumina articolelor 7 și 8 din cartă.

În această privință, mai trebuie subliniat că simpla împrejurare că infracțiunea imputată unei persoane este de natură economică și că colectarea datelor biometrice și genetice ale acestei persoane are loc înainte ca aceasta să fie condamnată definitiv nu este suficientă pentru a exclude posibilitatea ca o astfel de colectare să fie considerată a fi strict necesară, din moment ce, ținând seama de scopurile urmărite, această colectare, inclusiv în raport cu tipul de date în cauză, se poate dovedi strict necesară, în special pentru a permite să se stabilească dacă, din cauza eventualei sale apartenențe la o organizație criminală, persoana respectivă este susceptibilă să fi participat la alte infracțiuni pentru care ar putea fi relevante date de acest tip sau, dacă există un risc de sustragere, să permită identificarea ei.

Având în vedere toate cele de mai sus, trebuie să se răspundă la prima întrebare că articolul 6 și articolul 4 alineatul (1) litera (c) din Directiva 2016/680 coroborat cu articolul 10 din această directivă trebuie interpretate în sensul că nu se opun unei reglementări naționale care permite, în mod nediferențiat, colectarea de date biometrice și genetice de la orice persoană acuzată de săvârșirea cu intenție a unei infracțiuni sau suspectată că a săvârșit o astfel de infracțiune, în măsura în care, pe de o parte, scopurile acestei colectări nu impun stabilirea unei distincții între aceste două categorii de persoane și în care, pe de altă parte, operatorii sunt obligați, în conformitate cu dreptul intern, inclusiv cu jurisprudența instanțelor naționale, să respecte toate principiile și cerințele specifice prevăzute la articolele 4 și 10 directiva menționată.

Cu titlu introductiv, trebuie arătat că, deși, în formularea celei de a doua întrebări, instanța de trimitere menționează o reglementare națională care are drept consecință faptul că datele cu caracter personal vizate sunt, în majoritatea cazurilor, stocate pentru o „perioadă nedeterminată”, din elementele dosarului aflat la dispoziția Curții reiese că, prin „perioadă nedeterminată”, această instanță înțelege în definitiv să se refere la împrejurarea că nu este specificată nicio perioadă maximă de stocare, iar nu la aceea că o astfel de stocare ar fi nelimitată în timp.

În consecință, trebuie să se înțeleagă că, prin intermediul celei de a doua întrebări, instanța de trimitere solicită în esență să se stabilească dacă articolul 4 alineatul (1) litera (e) din Directiva 2016/680 trebuie interpretat în sensul că se opune unei reglementări naționale în temeiul căreia necesitatea de a menține stocarea datelor biometrice și genetice este apreciată de serviciile de poliție pe baza unor norme interne, fără ca această reglementare să prevadă o perioadă maximă de stocare.

În această privință, articolul 4 alineatul (1) litera (e) din Directiva 2016/680 dispune că statele membre prevăd dispoziții potrivit cărora datele cu caracter personal sunt păstrate într‑o formă care permite identificarea persoanelor vizate pe o perioadă care nu depășește perioada necesară îndeplinirii scopurilor pentru care sunt prelucrate datele respective.

În ceea ce privește, în primul rând, împrejurarea că reglementarea națională în cauză nu prevede o perioadă maximă de stocare, trebuie amintit că, în conformitate cu cerințele articolului 4 alineatul (1) litera (e) din Directiva 2016/680, articolul 5 din această directivă impune statelor membre să prevadă stabilirea unor termene corespunzătoare pentru ștergerea datelor cu caracter personal sau pentru o revizuire periodică a necesității de stocare a acestor date, precum și a măsurilor procedurale care permit să se asigure respectarea acestor termene.

În schimb, articolul 5 din directiva menționată lasă în sarcina statelor membre stabilirea termenelor menționate, cu condiția ca acestea să fie „corespunzătoare”, și de a decide dacă ele privesc ștergerea datelor respective sau revizuirea periodică a necesității de stocare a acestora.

Este adevărat că articolul 4 alineatul (1) litera (e) și articolul 5 din Directiva 2016/680 trebuie coroborate printre altele cu articolul 10 din aceasta, astfel încât stocarea datelor biometrice sau genetice trebuie să fie strict necesară și să prezinte garanții adecvate pentru drepturile și libertățile persoanei vizate.

Cu toate acestea, atunci când un stat membru stabilește termene corespunzătoare pentru o revizuire periodică a necesității de a stoca astfel de date și când, cu ocazia acestei revizuiri, trebuie apreciat caracterul strict necesar al prelungirii acestei stocări, dreptul intern în cauză trebuie considerat ca îndeplinind astfel de cerințe. Așadar, chiar și atunci când datele păstrate sunt date cu caracter personal sensibile, un stat membru nu are obligația de a defini limite temporale absolute pentru stocarea acestor date, dincolo de care acestea din urmă ar trebui șterse automat (a se vedea în acest sens Hotărârea din 30 ianuarie 2024, Direktor na Glavna direktsia Natsionalna politsia pri MVR – Sofia, C‑118/22, EU:C:2024:97, punctul 52).

În schimb, caracterul corespunzător al unor astfel de termene de revizuire periodică impune ca, pe de o parte, în conformitate cu articolul 4 alineatul (1) literele (c) și (e) din Directiva 2016/680, interpretat în lumina articolului 52 alineatul (1) din cartă, datele cu caracter personal stocate până atunci să fie șterse, în condițiile prevăzute la articolul 16 alineatele (2) și (3) din această directivă, dacă, cu ocazia uneia dintre verificările efectuate, stocarea acelorași date nu mai este strict necesară și, prin urmare, se dovedește excesivă în raport cu scopurile urmărite (a se vedea în acest sens Hotărârea din 30 ianuarie 2024, Direktor na Glavna direktsia Natsionalna politsia pri MVR–Sofia, C‑118/22, EU:C:2024:97, punctele 45, 48 și 50, precum și jurisprudența citată).

Pe de altă parte, având în vedere cerințele, prevăzute la articolul 4 alineatul (1) litera (c) din Directiva 2016/680, pentru orice date cu caracter personal, de a fi adecvate, relevante și neexcesive în ceea ce privește scopurile în care sunt prelucrate, împrejurarea că această dispoziție și articolul 8 din această directivă trebuie interpretate în lumina cerințelor care decurg din articolul 52 din cartă, precum și obligația, prevăzută la articolul 6 din directiva menționată, în sarcina operatorului, de a face, după caz, o distincție clară între datele cu caracter personal ale diferitelor categorii de persoane vizate, aceste termene de revizuire nu pot fi considerate adecvate dacă modificările statutului penal al persoanei vizate, considerate relevante în raport cu scopul urmărit de această stocare, nu determină o obligație a operatorului de a reexamina într‑un termen rezonabil necesitatea stocării datelor referitoare la aceste persoane.

În ceea ce privește, în al doilea rând, împrejurarea că necesitatea de a menține stocarea datelor biometrice și genetice este apreciată de serviciile de poliție pe baza unor norme interne, o asemenea împrejurare nu este, în sine, contrară articolului 8 alineatul (2) din Directiva 2016/680, cu condiția ca aceste norme interne să impună acestor servicii să asigure respectarea condiției privind existența unei necesități stricte de stocare a acestor date și ca marja de apreciere a acestor servicii să fie delimitată suficient de dreptul național, inclusiv de jurisprudența instanțelor naționale.

Într‑adevăr, deși este adevărat că împrejurarea că normele sunt interne și, prin urmare, neaccesibile ansamblului persoanelor ale căror date cu caracter personal sunt susceptibile să fie prelucrate are drept consecință faptul că asemenea norme nu pot fi invocate de autoritățile competente pentru a demonstra că respectă cerințele care li se impun, nu este mai puțin adevărat că această împrejurare nu are drept consecință invalidarea în mod automat a prelucrărilor de date cu caracter personal realizate în conformitate cu aceste norme, ci presupune ca, dacă este cazul, în ipoteza unei căi de atac îndreptate împotriva deciziei de a efectua o asemenea prelucrare, serviciile de poliție să facă dovada în fața instanței competente, independent de aceste norme interne, că condiția „strict[ei] neces[ități]” a fost respectată în mod corespunzător.

În speță, pe de o parte, potrivit guvernului ceh, reiese în special din articolul 65 alineatul (5) din Legea privind poliția cehă, aspect a cărui verificare revine instanței de trimitere, că profilurile ADN ale persoanelor acuzate de săvârșirea cu intenție a unei infracțiuni sau suspectate că au comis o asemenea infracțiune trebuie șterse atunci când stocarea lor nu mai este necesară în raport cu obiectivele urmărite, altfel spus atunci când persoanele în cauză încetează să fie acuzate sau suspectate și când aceste persoane nu sunt acuzate în cadrul unei alte proceduri penale, sau când nu au comis anterior alte infracțiuni grave sau delicte.

În această privință, trebuie amintit însă că stocarea datelor biometrice și genetice nu poate fi considerată ca îndeplinind cerința potrivit căreia ea trebuie să fie autorizată numai „atunci când este strict necesară”, în sensul articolului 10 din Directiva 2016/680, decât dacă ia în considerare nu numai legătura eventuală a persoanei vizate cu alte proceduri în curs sau antecedentele ori profilul acesteia, ci și natura și gravitatea infracțiunii care a condus la condamnarea penală definitivă sau alte împrejurări precum contextul particular în care această infracțiune a fost săvârșită (a se vedea în acest sens Hotărârea din 30 ianuarie 2024, Direktor na Glavna direktsia Natsionalna politsia pri MVR – Sofia, C‑118/22, EU:C:2024:97, punctul 67).

Pe de altă parte, deși dreptul ceh nu prevede o perioadă maximă pentru stocarea datelor cu caracter personal colectate în temeiul articolului 65 alineatul (1) din Legea privind poliția cehă, articolul 82 alineatul (1) din această lege obligă totuși serviciile de poliție să verifice cel puțin o dată la trei ani că stocarea acestor date este încă necesară pentru îndeplinirea sarcinilor lor.

Prin urmare, va reveni instanței de trimitere sarcina de a stabili dacă, având în vedere scopurile urmărite prin stocarea datelor biometrice și genetice în cauză, un asemenea termen de revizuire de trei ani poate fi considerat corespunzător, cu precizarea însă că, în caz contrar, ștergerea acestor date nu ar fi totuși necesară dacă s‑ar stabili că stocarea lor continuă, în orice caz, să rămână strict necesară.

Având în vedere toate cele de mai sus, trebuie să se răspundă la a doua întrebare că articolul 4 alineatul (1) litera (e) din Directiva 2016/680 trebuie interpretat în sensul că nu se opune unei reglementări naționale în temeiul căreia necesitatea de a menține stocarea datelor biometrice și genetice este apreciată de serviciile de poliție pe baza unor norme interne, fără ca această reglementare să prevadă o perioadă maximă de stocare, în măsura în care reglementarea menționată stabilește termene corespunzătoare pentru o revizuire periodică a necesității de stocare a acestor date și în care, cu ocazia acestei revizuiri, se apreciază caracterul strict necesar al prelungirii stocării lor.

Întrucât, în privința părților din litigiul principal, procedura are caracterul unui incident survenit la instanța de trimitere, este de competența acesteia să se pronunțe cu privire la cheltuielile de judecată. Cheltuielile efectuate pentru a prezenta observații Curții, altele decât cele ale părților menționate, nu pot face obiectul unei rambursări.

HOTĂRÂREA CURȚII (Camera a cincea)

20 noiembrie 2025 ( *1 )

Hotărâre

Cadrul juridic

Dreptul Uniunii

Dreptul ceh

Litigiul principal și întrebările preliminare

Cu privire la întrebările preliminare

Cu privire la a treia întrebare

Cu privire la prima întrebare

Cu privire la admisibilitate

Cu privire la fond

Cu privire la a doua întrebare

Cu privire la cheltuielile de judecată