1.

Anmodningen om præjudiciel afgørelse vedrører fortolkningen af artikel 4, stk. 1, litra c) og e), artikel 6, artikel 8, stk. 2, og artikel 10 i Europa-Parlamentets og Rådets direktiv (EU) 2016/680 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med de kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger og om ophævelse af Rådets rammeafgørelse 2008/977/RIA ( 2 ).

2.

Denne anmodning er blevet fremsat som led i en tvist mellem JH, en fysisk person, og policejní prezidium (politipræsidium, Den Tjekkiske Republik) angående bl.a. indsamling af biometriske og genetiske data om JH i forbindelse med en straffesag og om Policie České republikys (politiet i Den Tjekkiske Republik, herefter det »tjekkiske politi«) opbevaring af disse data.

3.

Den foreliggende sag ligger for så vidt angår det første præjudicielle spørgsmål forelagt af Nejvyšší správní soud (øverste domstol i forvaltningsretlige sager, Den Tjekkiske Republik) i forlængelse af dom af 26. januar 2023, Ministerstvo na vatreshnite raboti (Politiets registrering af biometriske og genetiske data) ( 3 ) og af 28. november 2024, Ministerstvo na vatreshnite raboti (Registrering af biometriske og genetiske data II) ( 4 ), i hvilke Domstolen fastslog, at en national lovgivning om systematisk indsamling af biometriske og genetiske data fra alle personer, der sigtes for en forsætlig strafbar handling, som retsforfølges ex officio, med henblik på politimæssig registrering var i strid med kravet om at sikre en øget beskyttelse af de registrerede i forbindelse med behandling af følsomme personoplysninger. Den forelæggende ret har anmodet om en præcisering af Domstolens praksis med spørgsmålet om, hvorvidt § 65, stk. 1, i zákon č. 273/2008 Sb., o Policii České republiky (lov nr. 273/2008 om Den Tjekkiske Republiks politi) ( 5 ), der begrænser anvendelsen alene til forsætlige strafbare handlinger, på et strukturelt plan i tilstrækkelig grad afspejler behovet for at vurdere, om det er forholdsmæssigt at indsamle de registreredes biometriske og genetiske data, eller om der tværtimod skal foretages en yderligere sondring mellem disse personer afhængigt af den strafbare handlings grovhed.

4.

Hvad angår det andet præjudicielle spørgsmål, som den forelæggende ret har forelagt, ligger den foreliggende sag i forlængelse af dom af 30. januar 2024, Direktor na Glavna direktsia »Natsionalna politsia« pri MVR – Sofia ( 6 ), hvori Domstolen for første gang udtalte sig om tidsgrænserne for opbevaring af personoplysninger om personer, der er blevet endelig domfældt, med henblik på bekæmpelse af strafbare handlinger i lyset af direktiv 2016/680. I denne dom fastslog Domstolen, at direktivet fastsætter en generel ramme, der gør det muligt at sikre, at opbevaringen af personoplysninger, og nærmere bestemt varigheden heraf, begrænses til, hvad der er nødvendigt til opfyldelse af de formål, hvortil de opbevares ( 7 ). Den forelæggende ret har anmodet Domstolen om at præcisere, om denne retspraksis er relevant, når personoplysningerne opbevares med henblik på forebyggelse, efterforskning og afsløring af strafbare handlinger, der i sagens natur er fremadrettet og tidsubegrænset. Et sådant formål nødvendiggør nemlig, at oplysningerne opbevares længst muligt.

5.

I den foreliggende sag er Domstolen således foranlediget til for det første at præcisere begreberne »materiel minimering« og »tidsmæssig minimering« af biometriske og genetiske data, der er omfattet af anvendelsesområdet for direktiv 2016/680, når de indsamles og opbevares inden for denne ramme.

6.

For det andet anmodes Domstolen med det tredje præjudicielle spørgsmål for første gang om at fortolke begrebet »medlemsstaternes nationale ret« som omhandlet i direktivets artikel 8, stk. 2, sammenholdt med direktivets artikel 10. Den forelæggende ret ønsker nærmere bestemt oplyst, om national retspraksis, der præciserer kriterierne for indhentning og opbevaring af biometriske og genetiske data, kan være omfattet af dette begreb, og i hvilket omfang de materielle og processuelle minimumsbetingelser for indhentning, opbevaring og sletning af disse data skal fastsættes i en medlemsstats nationale ret gennem vedtagelsen af en almengyldig bestemmelse.

7.

Politilovens § 11 bestemmer:

»Politiet og ansatte i politiet skal:

[...]

8.

Denne lovs § 65 er affattet således:

»(1)   Under udførelsen af dets opgaver kan politiet med henblik på fremtidig identifikation i forhold til

(2)   Såfremt en af handlingerne i stk. 1 ikke kan udføres, fordi personen modsætter sig det, kan politiet undlade at tage hensyn til denne modstand efter forgæves at have anmodet personen om at underlægge sig handlingen. Den måde, hvorpå der undlades at tage hensyn til denne modstand, skal stå i forhold til modstandens styrke. Politiet kan ikke undlade at tage hensyn til en persons modstand mod udtagelse af en blodprøve eller en tilsvarende handling, der går ud over personens fysiske integritet.

(3)   Såfremt en af de handlinger, der er omhandlet i stk. 1, ikke kan gennemføres på stedet, har politiet ret til at fremstille personen med henblik på gennemførelse af denne handling. Politiet frigiver personen, når handlingen er udført.

(4)   Politiet udarbejder rapport om de udførte handlinger.

(5)   Politiet sletter personoplysninger indhentet i overensstemmelse med stk. 1, så snart behandlingen af dem ikke længere er nødvendig med henblik på forebyggelse, efterforskning eller afsløring af kriminalitet eller retsforfølgning af strafbare handlinger eller med henblik på at garantere Den Tjekkiske Republiks sikkerhed, offentlige orden eller indre sikkerhed.«

9.

Lovens § 79 med overskriften »Grundlæggende bestemmelser om behandling af personoplysninger i forbindelse med udførelsen af bestemte politiopgaver« bestemmer i stk. 1 og 2:

»(1)   Stk. 2-6 og § 79a-88 finder anvendelse på behandling af personoplysninger med henblik på forebyggelse, efterforskning og afsløring af strafbare handlinger, og retsforfølgning af disse med henblik på at garantere Den Tjekkiske Republiks sikkerhed eller opretholde den offentlige orden og den indre sikkerhed, herunder med henblik på efterforskning af personer eller ting.

(2)   Politiet kan behandle personoplysninger, såfremt det er nødvendigt for at nå de i stk. 1 nævnte mål. Politiet kan behandle personoplysninger med henblik på beskyttelse af den registreredes væsentlige interesser i tilknytning til de i stk. 1 nævnte mål.«

10.

Lovens § 82 er affattet således:

»(1) Politiet kontrollerer mindst en gang hvert tredje år, at de personoplysninger, der behandles med henblik på de i § 79, stk. 1, nævnte mål, fortsat er nødvendige for udførelsen af dets opgaver på dette område.

(2) Med henblik på den i stk. 1 nævnte kontrol kan politiet kræve en udskrift af straffeattesten.

(3) De retshåndhævende og dømmende myndigheder, Ministerstvo spravedlnosti [justitsministeriet, Den Tjekkiske Republik], Ustavní soud [forfatningsdomstol, Den Tjekkiske Republik] og Kancelář prezidenta republiky [republikkens præsidents kabinet, Den Tjekkiske Republik] informerer løbende politiet inden for rammerne af deres kompetencer med henblik på den i stk. 1 nævnte kontrol om deres endelige afgørelser, forældelse, fuldbyrdelse af en straf eller afgørelser truffet af republikkens præsident vedrørende en straffesag, strafudmåling eller en indrømmet amnesti eller benådning.«

11.

På grundlag af en afgørelse af 11. december 2015 indledte det tjekkiske politi retsforfølgning af JH for en forseelse i form af tilsidesættelse af en forpligtelse i forbindelse med forvaltningen af tredjemands ejendom.

12.

Den 13. januar 2016 afhørte det tjekkiske politi JH og beordrede foretagelse af identifikationshandlinger. Til trods for JH’s modstand tog det tjekkiske politi digitale fingeraftryk og et mundskrab, på grundlag af hvilket det udarbejdede en genetisk profil, og der blev taget fotos og udarbejdet en beskrivelse af JH. Disse oplysninger blev efterfølgende registreret i det tjekkiske politis databaser.

13.

Ved dom af 15. marts 2017 afsagt af Městský soud v Praze (byretten i Prag, Den Tjekkiske Republik) blev JH endelig dømt for både tilsidesættelse af en forpligtelse i forbindelse med forvaltningen af tredjemands ejendom og magtmisbrug af en offentlig embedsmands beføjelser. Han blev idømt en betinget frihedsstraf på tre år og et forbud mod at varetage ledelsesopgaver i den offentlige forvaltning i fire år, herunder forvaltning af fast ejendom og løsøre, og han blev ligeledes pålagt at betale erstatning for den lidte skade i det omfang, det var muligt.

14.

Den 8. marts 2016 anlagde JH sag ved Městský soud v Praze (byretten i Prag) med påstand om, at foretagelsen af identifikationshandlinger i henhold til politilovens § 65, opbevaringen af de således opnåede oplysninger og prøver samt registreringen heraf i det tjekkiske politis databaser udgjorde et ulovligt indgreb.

15.

Ved dom af 23. juni 2022 tog denne ret JH’s påstand til følge og fastslog, at de identifikationshandlinger, som det tjekkiske politi havde foretaget, og opbevaringen af disse personoplysninger i det tjekkiske politis databaser udgjorde et ulovligt indgreb i den grundlæggende ret til respekt for privatliv. Den nævnte ret pålagde derfor det tjekkiske politi at slette alle de personoplysninger, der stammede fra disse handlinger, fra dets databaser, med undtagelse af mundskrabet, der i mellemtiden var blevet tilintetgjort.

16.

Městský soud v Praze (byretten i Prag) påpegede, at udtagning af genetisk materiale udgør et betydeligt indgreb i den grundlæggende ret til respekt for privatliv, der bl.a. er beskyttet ved artikel 8 i konventionen til beskyttelse af menneskerettigheder og grundlæggende frihedsrettigheder ( 8 ). Politilovens § 65 indeholder imidlertid ikke tilstrækkelige retningslinjer for vurdering af dette indgrebs forholdsmæssige karakter. Den eneste kontrol, som det tjekkiske politi foretager, inden det foretager en sådan udtagning, vedrører den begåede strafbare handlings forsætlige karakter i henhold til denne bestemmelse, idet denne betingelse kan anses for at være opfyldt i hovedsagen.

17.

Følgelig skønnede Městský soud v Praze (byretten i Prag), at de identifikationshandlinger, som det tjekkiske politi foretog, ikke opfyldte kravet om proportionalitet og dermed udgjorde et ulovligt indgreb. Retten anførte i denne henseende, at JH kun var blevet retsforfulgt for at have begået en forseelse, altså en mindre grov strafbar handling, at han aldrig tidligere var blevet dømt, og at det var meget lidt sandsynligt, at han ville begå en ny strafbar handling. Retten påpegede desuden den omstændighed, at det tjekkiske politi selv i medfør af politilovens § 65, stk. 5, internt skal undersøge, hvornår opbevaring af personoplysninger »ikke er absolut nødvendig med henblik på at forebygge, efterforske eller afsløre strafbare handlinger«. Den samme ret var af den opfattelse, at lovgivningen giver politiet en ubegrænset skønsmargen og medfører en for udbredt anvendelse af tidsubegrænset opbevaring af personoplysninger.

18.

Politimyndigheden iværksatte en kassationsanke til prøvelse af denne dom ved Nejvyšší správní soud (øverste domstol i forvaltningsretlige sager).

19.

Politimyndigheden påpegede til støtte for sin appel, at formålet med behandlingen af personoplysninger var klart angivet i politilovens § 65. Den fastslog ligeledes, at den havde vurderet, om indsamlingen og opbevaringen af JH’s personoplysninger var forholdsmæssig under hensyntagen til muligheden for nye strafbare handlinger, muligheden for grovere forseelser og den omstændighed, at JH tidligere havde begået adskillige forseelser. Hvad angår den angiveligt utilstrækkelige offentliggørelse af de kriterier, der anvendes internt i det tjekkiske politi med henblik på at træffe afgørelse om fortsat opbevaring af personoplysninger, oplyste politimyndigheden, at den havde meddelt offentligheden disse regler inden for rammerne af retten til information.

20.

Som svar herpå anførte JH bl.a., at det tjekkiske politi havde foretaget identifikationshandlingerne uden først at have undersøgt, om dette indgreb var forholdsmæssigt. JH kritiserede ligeledes den manglende offentliggørelse af det tjekkiske politis instrukser vedrørende identifikationshandlinger.

21.

Den forelæggende ret ønsker i denne henseende for det første oplyst, om de krav, der er fastsat i direktiv 2016/680, er til hinder for en udifferentieret indsamling af biometriske og genetiske data for alle personer, der er mistænkt for at have begået en forsætlig strafbar handling, for det andet, om de krav, der er opstillet i dette direktiv, er til hinder for opbevaring af sådanne data, uden at der udtrykkeligt er fastsat en tidsbegrænsning, og for det tredje, om de nationale administrative retsinstansers retspraksis kan betegnes som en »medlemsstats nationale ret« som omhandlet i direktivets artikel 8, hvori er opstillet betingelserne for, at behandlingen af personoplysninger er lovlig.

22.

På denne baggrund har Nejvyšší správní soud (øverste domstol i forvaltningsretlige sager) besluttet at udsætte sagen og forelægge Domstolen følgende præjudicielle spørgsmål:

23.

JH, den tjekkiske regering, Irland og den polske regering samt Europa-Kommissionen har indgivet skriftlige indlæg.

24.

I retsmødet, der blev afholdt den 28. november 2024, blev JH, den tjekkiske regering, Irland og den nederlandske regering samt Kommissionen hørt, og de blev navnlig anmodet om mundtligt at besvare spørgsmål fra Domstolen.

25.

Indledningsvis skal det påpeges, at den forelæggende rets præjudicielle spørgsmål vedrører indsamling såvel som opbevaring af biometriske og genetiske data, der udgør særlige kategorier af personoplysninger, hvis behandling er omfattet af artikel 10 i direktiv 2016/680.

26.

Denne bestemmelse har til formål at sikre en øget beskyttelse af den registrerede, for så vidt som disse oplysninger som følge af deres særligt følsomme karakter og den sammenhæng, hvori de behandles, således som det fremgår af 37. betragtning til det dette direktiv, kan indebære betydelige risici for grundlæggende rettigheder og frihedsrettigheder, såsom retten til respekt for privatliv og retten til beskyttelse af personoplysninger, der er sikret ved artikel 7 og 8 i Den Europæiske Unions charter om grundlæggende rettigheder ( 9 ).

27.

Artikel 10 i direktiv 2016/680 fastsætter nærmere bestemt kravet om, at behandling af følsomme oplysninger »kun [må] tillades, når det er strengt nødvendigt«, hvilket krav udgør en strengere betingelse for, at behandlingen af sådanne oplysninger er lovlig, og bl.a. indebærer, at der skal foretages en særlig streng kontrol af overholdelsen af princippet om »dataminimering«, således som dette følger af direktivets artikel 4, stk. 1, litra c), der er udtryk for en specifik anvendelse af dette krav på de nævnte følsomme oplysninger ( 10 ).

28.

På baggrund af disse betragtninger foreslår jeg, at den forelæggende rets spørgsmål i dette forslag til afgørelse besvares med et forsøg på at afgøre, om den i hovedsagen omhandlede nationale lovgivning opfylder kravet om, at indsamling og opbevaring af de registreredes biometriske og genetiske data udelukkende er tilladt, når det »er strengt nødvendigt« som omhandlet i artikel 10 i direktiv 2016/680.

29.

Med sit første spørgsmål ønsker den forelæggende ret nærmere bestemt oplyst, om artikel 4, stk. 1, litra c), eller artikel 6 i direktiv 2016/680, sammenholdt med direktivets artikel 10, skal fortolkes således, at disse bestemmelser er til hinder for en national lovgivning, der tillader udtræk af biometriske og genetiske data fra alle personer, der er mistænkt eller tiltalt for at have begået en forsætlig strafbar handling.

30.

Kommissionen har i sine skriftlige indlæg nedlagt påstand om afvisning af det første spørgsmål med den begrundelse, at det tjekkiske politis udtagning af JH’s genetiske og biometriske data i hovedsagen fandt sted den 13. januar 2016, dvs. inden ikrafttrædelsen af direktiv 2016/680 den 5. maj 2016 og inden udløbet af gennemførelsesfristen, der i direktivets artikel 63, stk. 1, er fastsat til den 6. maj 2018.

31.

Selv om direktiv 2016/680 ganske vist ikke fastsætter nogen overgangsbestemmelse med hensyn til data, der er udtaget før den 5. maj 2016, finder jeg det relevant at henvise til 96. betragtning til direktivet, hvoraf det fremgår, at »[b]ehandlinger, der allerede er iværksat på denne dato, bør bringes i overensstemmelse med dette direktiv senest to år efter dette direktivs ikrafttræden« ( 11 ).

32.

I henhold til artikel 3, nr. 2), i direktiv 2016/680 forstås ved en »behandling«»enhver aktivitet eller række af aktiviteter [...] som personoplysninger eller en samling af personoplysninger gøres til genstand for, f.eks. indsamling, registrering, organisering, systematisering, opbevaring, tilpasning eller ændring, genfinding, søgning, brug, videregivelse ved transmission, formidling eller enhver anden form for overladelse, sammenstilling eller samkøring, begrænsning, sletning eller tilintetgørelse« ( 12 ).

33.

Med undtagelse af mundskrabet, der i mellemtiden er blevet tilintetgjort, opbevares JH’s personoplysninger, der er udtaget før den 5. maj 2016, fortsat i det tjekkiske politis databaser. Disse data behandles således fortsat efter denne dato, dvs. efter ikrafttrædelsen af direktiv 2016/680.

34.

Jeg er derfor af den opfattelse, at personoplysninger, der er indsamlet lovligt i henhold til rammeafgørelse 2008/977/RIA ( 13 ), men som ville have været i strid med de principper, der er fastsat i direktiv 2016/680, hvis de var blevet indsamlet efter datoen for dette direktivs ikrafttræden, ikke fortsat bør behandles, og dermed opbevares i henhold til dette direktiv.

35.

Under disse omstændigheder er det min opfattelse, at den forelæggende rets første spørgsmål kan antages til realitetsbehandling.

36.

Den forelæggende ret ønsker oplyst, om politilovens § 65, stk. 1, er forenelig med medlemsstaternes forpligtelse i henhold til artikel 6 i direktiv 2016/680 til at sondre mellem forskellige kategorier af registrerede og med princippet om minimering af behandlingen af personoplysninger, der er opstillet i direktivets artikel 4, stk. 1, litra c).

37.

Den forelæggende ret ønsker nærmere bestemt oplyst, om den eneste betingelse i den nationale lovgivning for tilladelse til at udtage en fysisk persons biometriske og genetiske data, nemlig at der er begået en forsætlig strafbar handling, indebærer en tilstrækkelig sondring mellem de forskellige registrerede, eller om der er behov for en supplerende grad af individualisering, således at der skal sondres afhængigt af grovheden af de forsætlige strafbare handlinger, i forbindelse med hvilke der automatisk kan indsamles sådanne data.

38.

Med henblik på en besvarelse af dette spørgsmål skal det for det første anføres, at selv om artikel 6 i direktiv 2016/680 forpligter medlemsstaterne til at foretage en klar sondring mellem oplysningerne om de forskellige kategorier af registrerede, således at den samme grad af indgreb i de registreredes grundlæggende ret til beskyttelse af personoplysninger ikke rammer dem forskelligt ( 14 ), angiver udtrykket »hvor det er relevant og så vidt muligt«, der er anvendt i denne artikel, klart, at det ikke nødvendigvis er muligt at foretage en klar sondring mellem sådanne oplysninger ( 15 ).

39.

Den forpligtelse, som medlemsstaterne pålægges ved nævnte artikel 6, er således ikke absolut, og udtrykket »såsom« heri angiver, at de kategorier af personer, der er opregnet heri, ikke er udtømmende ( 16 ).

40.

For det andet er det afgørende at vende tilbage til den lære, der kan udledes af dommen i sagen Registrering af biometriske og genetiske data I, for så vidt som Domstolen heri fortolker artikel 4, stk. 1, litra c), i direktiv 2016/680, i henhold til hvilken de personoplysninger, der behandles, skal være tilstrækkelige, relevante og ikke omfatte mere end, hvad der kræves til opfyldelse af de formål, hvortil de behandles.

41.

Domstolen konkluderede i denne dom, at en national lovgivning, hvorefter systematisk indsamling af biometriske og genetiske data om enhver, der er blevet sigtet for en forsætlig strafbar handling, som retsforfølges ex officio ( 17 ), principielt er i strid med kravet i artikel 10 i direktiv 2016/680, hvorefter behandling af de særlige kategorier af oplysninger, der er omhandlet i denne artikel, »kun [må] tillades, når det er strengt nødvendigt« ( 18 ). En sådan lovgivning kan nemlig føre til udifferentieret og generel indsamling af biometriske og genetiske data for størstedelen af de personer, over for hvem der rejses sigtelse, eftersom begrebet »forsætlig strafbar handling, der retsforfølges ex officio« har en særlig generel karakter og kan finde anvendelse på et stort antal strafbare handlinger, uanset deres art og grovhed ( 19 ).

42.

I den foreliggende sag bestemmer politilovens § 65, stk. 1, imidlertid, at en persons biometriske og genetiske data kan indsamles, ikke blot når denne person retsforfølges for en forsætlig strafbar handling, men også når en person mistænkes for at have begået en sådan strafbar handling. Denne bestemmelse omhandler således ikke blot et begrænset antal situationer, men omfatter alt for bredt størstedelen af de strafbare handlinger, i forbindelse med hvilke sådanne data kan indsamles.

43.

Det skal ganske vist anføres, at den nævnte bestemmelse blot giver politiet mulighed for at foretage en sådan udtagning, mens den politimæssige registrering, der var omhandlet i den pågældende bulgarske lovgivning, der gav anledning til dommen i sagen Registrering af biometriske og genetiske data I, uden undtagelse fandt anvendelse på alle personer, der sigtes for en forsætlig strafbar handling, som retsforfølges ex officio ( 20 ). Dette kunne foranledige en til at mene, at den tjekkiske lovgivning, idet den giver politiet en større skønsbeføjelse, gør det muligt bedre at afgrænse de tilfælde, i hvilke de registreredes biometriske og genetiske data kan indsamles.

44.

Det skal imidlertid anføres, at hverken politilovens § 65, stk. 1, eller lovens § 11 – i henhold til hvilken politimyndighederne skal foretage en simpel kontrol af proportionaliteten – pålægger disse myndigheder at vurdere, om det er strengt nødvendigt at indsamle de registreredes biometriske og genetiske data. Det indebærer et problem i to henseender.

45.

For det første kan den omstændighed alene, at en person har begået en forsætlig strafbar handling eller mistænkes for at have begået en sådan handling, ikke i alle tilfælde i sig selv anses for et element, der gør det muligt at antage, at indsamlingen af biometriske og genetiske data om vedkommende er strengt nødvendig i forhold til de formål, som den omhandler ( 21 ).

46.

Domstolen har således allerede fastslået, at en sådan »streng nødvendighed« kun kan afgøres på grundlag af alle relevante forhold, såsom bl.a. arten og grovheden af den formodede lovovertrædelse, som den pågældende er blevet sigtet for at have begået, de særlige omstændigheder i forbindelse med denne overtrædelse, den eventuelle forbindelse mellem den nævnte overtrædelse og andre verserende sager, tidligere kriminel adfærd eller den pågældendes individuelle profil ( 22 ).

47.

En begrænsning af indsamlingen af biometriske og genetiske data til kun at omfatte forsætlige strafbare handlinger er således ikke tilstrækkelig til at opfylde det krav, der er opstillet i artikel 10 i direktiv 2016/680, i henhold til hvilket behandlingen af de bestemte kategorier af data, der er omhandlet i denne artikel, »kun [må] tillades, når det er strengt nødvendigt«.

48.

For det andet skal det anføres, at Domstolen har fastslået, at en ret, der anmodes om at tage stilling til en behandling af personoplysninger, der er foretaget af en kompetent myndighed i en situation, hvor denne kompetente myndighed i henhold til national ret ikke er forpligtet til at foretage en vurdering af, om den behandling af personoplysninger, som den har foretaget, eller som den påtænker at foretage, er »strengt nødvendig«, ikke i stedet for denne myndighed kan sikre overholdelsen af den forpligtelse, som påhviler myndigheden i medfør af artikel 10 i direktiv 2016/680 ( 23 ).

49.

Den aktuelle retlige ramme i Den Tjekkiske Republik fører imidlertid til situationer, hvor politiet på den ene side ikke foretager en streng kontrol af, om det er forholdsmæssigt at udtage de registreredes biometriske og genetiske data, og de administrative retsinstanser på anden ene side skal træde i politimyndighedernes sted med hensyn til gennemførelsen af en sådan kontrol.

50.

Da der i den tjekkiske lovgivning ikke findes en forpligtelse for de nationale politimyndigheder til at vurdere, om det som omhandlet i artikel 10 i direktiv 2016/680 er strengt nødvendigt at indsamle de registreredes biometriske og genetiske data i hvert enkelt konkret tilfælde, lever denne lovgivning ikke op til princippet om dataminimering i forbindelse med den behandling af personoplysninger, der foreskrives med denne bestemmelse.

51.

Det fremgår af det ovenstående, at artikel 4, stk. 1, litra c), og artikel 6 i direktiv 2016/680, sammenholdt med direktivets artikel 10, skal fortolkes således, at disse bestemmelser er til hinder for en national lovgivning, der tillader indsamling af biometriske og genetiske data fra alle personer, der retsforfølges for at have begået en forsætlig strafbar handling, eller som mistænkes for at have begået en sådan strafbar handling, når den pågældende lovgivning ikke fastsætter en forpligtelse for den kompetente myndighed til i hvert enkelt konkret tilfælde at vurdere, om den behandling, den har foretaget eller påtænker at foretage, er »strengt nødvendig«.

52.

Med sit andet spørgsmål ønsker den forelæggende ret nærmere bestemt oplyst, om artikel 4, stk. 1, litra e), i direktiv 2016/680 skal fortolkes således, at denne bestemmelse er til hinder for en national lovgivning, i henhold til hvilken behovet for fortsat at opbevare biometriske og genetiske data med henblik på realisering af målet om forebyggelse og afsløring af strafbare handlinger vurderes af politimyndighederne på grundlag af deres interne regler, uden at der i den pågældende lovgivning fastsættes en maksimal opbevaringsperiode, hvilket betyder, at oplysningerne i de fleste tilfælde opbevares på ubestemt tid. Den forelæggende ret ønsker også oplyst, hvilke kriterier der skal lægges til grund for en vurdering af proportionaliteten med hensyn til varigheden af opbevaringen af personoplysninger, der er indsamlet og opbevaret til et sådant formål.

53.

Domstolen har spurgt den forelæggende ret, om den fandt det nødvendigt at bibeholde dette spørgsmål henset til DGPN-dommen, der blev afsagt efter indgivelsen af anmodningen om præjudiciel afgørelse. Efter at have anmodet parterne i hovedsagen om at give deres holdning til kende ønskede den forelæggende ret at bibeholde spørgsmålet, og den gav udtryk for tvivl om, hvorvidt det var muligt at overføre de konklusioner, som Domstolen havde draget i denne dom, fuldt ud på det andet præjudicielle spørgsmål.

54.

I nævnte dom tog Domstolen for første gang stilling til tidsgrænserne for opbevaring af personoplysninger vedrørende personer, som er blevet endeligt domfældt, med henblik på bekæmpelse af strafbare handlinger i lyset af direktiv 2016/680, idet der var tale om en national lovgivning, der indeholdt bestemmelser om, at sådanne oplysninger, herunder følsomme oplysninger, skulle opbevares indtil de pågældende personers død, uden mulighed for fornyet vurdering af denne varighed afhængigt af omstændighederne.

55.

Hvad angår spørgsmålet om, hvorvidt det tidsrum, hvor oplysningerne vil blive opbevaret, er forholdsmæssigt, præciserede Domstolen, at der i 26. betragtning til direktiv 2016/680 samt i direktivets artikel 4, stk. 1, litra e), og artikel 5 fastsættes en generel ramme, der dels pålægger medlemsstaterne at vedtage bestemmelser om, at oplysningerne ikke opbevares i et længere tidsrum end det, der er nødvendigt til de formål, hvortil de behandles ( 24 ), dels at vedtage bestemmelser om, at der skal fastsættes hensigtsmæssige tidsfrister for sletning af oplysningerne eller for regelmæssig revision af behovet for opbevaring af sådanne oplysninger samt proceduremæssige foranstaltninger, der sikrer, at disse tidsfrister overholdes ( 25 ), samtidig med at det overlades til medlemsstaterne – inden for denne ramme – at afgøre, i hvilke konkrete situationer beskyttelsen af den registreredes grundlæggende rettigheder kræver sletning af personoplysninger, og hvornår denne sletning skal ske ( 26 ).

56.

Hvad nærmere bestemt angår biometriske og genetiske data fastsætter artikel 10 i direktiv 2016/680 – som anført i bl.a. punkt 27 i dette forslag til afgørelse – kravet om, at behandling af følsomme oplysninger »kun [må] tillades, når det er strengt nødvendigt« ( 27 ).

57.

Desuden præciserede Domstolen, at disse bestemmelser ikke kræver, at medlemsstaterne fastsætter absolutte tidsgrænser for opbevaringen af personoplysninger, efter udløbet af hvilke disse oplysninger automatisk skal slettes ( 28 ).

58.

På trods af det ovenstående har den forelæggende ret påpeget, at dens andet præjudicielle spørgsmål i modsætning til det spørgsmål, der gav anledning til DGPN-dommen, er blevet formuleret på baggrund af et mål og et formål med behandlingen, der består i en generel forebyggelse af strafbare handlinger.

59.

Den forelæggende ret ønsker således oplyst, hvordan det er muligt at forene dels princippet om tidsmæssig minimering af behandlingen af personoplysninger, dels et sådant mål, der i sagens natur er fremadrettet og tidsubegrænset, og som forudsætter, at personoplysninger vedrørende det størst mulige antal personer opbevares så længe som muligt.

60.

I den sag, der gav anledning til DGPN-dommen, fik Domstolen ganske vist forelagt et spørgsmål om en situation, i hvilken personoplysninger, bl.a. biometriske og genetiske data, vedrørende en person, der var blevet endeligt dømt for en forsætlig strafbar handling, blev opbevaret i et politiregister uden nogen anden tidsbegrænsning end personens død, selv efter at personen var blevet rehabiliteret ( 29 ).

61.

Efter min opfattelse forhindrer disse omstændigheder imidlertid ikke, at de samme konklusioner kan finde anvendelse på en situation som situationen i hovedsagen, hvor personoplysninger opbevares med henblik på en generel forebyggelse af strafbare handlinger.

62.

Domstolen anerkendte således, at opbevaring af personoplysninger kan bidrage til at nå det mål af almen interesse, der er nævnt i 27. betragtning til direktiv 2016/680, hvorefter det med henblik på forebyggelse, efterforskning og retsforfølgning af strafbare handlinger er nødvendigt, at de kompetente myndigheder behandler sådanne oplysninger, der er indsamlet i forbindelse med forebyggelse, efterforskning, afsløring eller retsforfølgning af konkrete strafbare handlinger, i en bredere sammenhæng for derved at få en bedre forståelse af kriminelle handlinger og sammenkoble forskellige strafbare handlinger, som er blevet afsløret ( 30 ).

63.

Dette forudsætter, at de nationale myndigheder har mulighed for at opbevare personoplysninger til fremadrettede formål uden at fastsætte den nøjagtige maksimale periode, i hvilken dataene må opbevares. Eksistensen og overholdelsen af visse proceduremæssige garantier viser sig imidlertid at være så meget desto vigtigere i en sådan situation.

64.

Eftersom direktiv 2016/680 således ikke pålægger medlemsstaterne at fastsætte absolutte tidsgrænser for opbevaringen af personoplysninger, efter udløbet af hvilke disse oplysninger automatisk skal slettes, får den regelmæssige kontrol af behovet for at opbevare disse oplysninger afgørende betydning.

65.

Det skal i denne henseende anføres, dels at politilovens § 65, stk. 5, bestemmer, at indsamlede personoplysninger skal slettes, når behandlingen af dem ikke er strengt nødvendig med henblik på at forfølge målet om forebyggelse, efterforskning, afsløring eller retsforfølgning af strafbare handlinger, dels at denne lovs § 82 pålægger politimyndighederne at kontrollere behovet for at opretholde behandlingen af de registreredes personoplysninger hvert tredje år.

66.

Denne lovgivning, der således bestemmer, at disse oplysninger skal slettes, og at behovet for at opbevare dem skal tages op til fornyet vurdering med regelmæssige mellemrum, bør imidlertid suppleres med strenge garantier, der gør det muligt effektivt at beskytte de registrerede mod enhver risiko for misbrug.

67.

For det første bør medlemsstatens nationale ret om indsamling og opbevaring af personoplysninger, som det fremgår af 33. betragtning til direktiv 2016/680, som minimum angive procedurerne for tilintetgørelse af disse oplysninger.

68.

For det andet skal den enkelte registrerede i henhold til direktivets artikel 13, stk. 2, litra b), og artikel 14, litra d), have ret til adgang til information om det tidsrum, hvor personoplysningerne vil blive opbevaret, eller, hvis dette ikke er muligt, de kriterier, der anvendes til at fastlægge dette tidsrum. En sådan information er nødvendig for at give de registrerede mulighed for at udøve deres rettigheder i henhold til chartrets artikel 7 og 8, anmode om aktindsigt i de personoplysninger vedrørende dem, der behandles, og i givet fald berigtigelse eller fjernelse af disse samt til at have adgang til effektive retsmidler for en domstol i overensstemmelse med chartrets artikel 47, stk. 1.

69.

Hvad for det tredje angår behovet for at opbevare særlig biometriske og genetiske data bør den nationale lovgivning fastsætte bestemmelser, hvoraf det klart og præcist fremgår, at denne opbevaring skal være begrænset til, hvad der er strengt nødvendigt for at nå det mål, der forfølges hermed, med henblik på at overholde kravene i artikel 10 i direktiv 2016/680.

70.

Vurderingen af varigheden af opbevaringen af sådanne data bør tage hensyn til forskellige kriterier, såsom arten og grovheden af de konstaterede forhold, den tid, der er gået siden forholdene, den resterende lovbestemte opbevaringsperiode og risikoen for, at den registrerede er involveret i andre strafbare handlinger ( 31 ), eller andre omstændigheder, såsom den særlige sammenhæng, hvori handlingen er begået, dens eventuelle forbindelse med andre igangværende procedurer eller den dømte persons tidligere straffe eller profil.

71.

Det fremgår imidlertid hverken af forelæggelsesafgørelsen eller af indlæggene for Domstolen fra parterne i den foreliggende sag, at den tjekkiske lovgivning vedrørende opbevaring af biometriske og genetiske data fastsætter tilstrækkelige garantier med hensyn til procedurerne for tilintetgørelse af disse data, orientering af de registrerede og vurdering af, om det som omhandlet i artikel 10 i direktiv 2016/680 er »strengt nødvendigt« at opbevare de pågældende data.

72.

Det følger af det ovenstående, at artikel 4, stk. 1, litra e), i direktiv 2016/680, sammenholdt med direktivets artikel 10, skal fortolkes således, at bestemmelsen ikke er til hinder for en national lovgivning, der ikke fastsætter et maksimalt tidsrum for opbevaringen af biometriske og genetiske data, for så vidt som en sådan lovgivning fastsætter krav om, at behovet for at opbevare dataene tages op til fornyet vurdering med regelmæssige mellemrum. Disse bestemmelser kræver imidlertid, at en sådan fornyet vurdering suppleres med strenge proceduremæssige garantier, og at den gør det muligt at sikre, at opbevaringen ikke går ud over det tidsrum, der er strengt nødvendigt for at nå målet med behandlingen af de nævnte data.

73.

Med det tredje spørgsmål ønsker den forelæggende ret nærmere bestemt oplyst, om artikel 8, stk. 2, og artikel 10 i direktiv 2016/680 skal fortolkes således, at der i en almengyldig bestemmelse skal fastsættes visse materielle eller proceduremæssige minimumsbetingelser for indsamling, opbevaring og sletning af biometriske og genetiske data, og om national retspraksis, hvori betingelserne for indsamling, opbevaring og sletning af sådanne oplysninger er præciseret, kan betragtes som en »medlemsstats nationale ret« som omhandlet i disse bestemmelser.

74.

Domstolen anmodes om at besvare dette spørgsmål inden for rammerne af den retlige ordning, der er tale om i hovedsagen, og som er fastsat i politilovens § 65 og har følgende karakteristika.

75.

Først og fremmest gennemføres denne artikel via interne forvaltningsakter i det tjekkiske politi i form af retningslinjer udstedt af den øverste politichef. Det er imidlertid ubestridt, at disse akter ikke kan være en »medlemsstats nationale ret« som omhandlet i artikel 8, stk. 2, i direktiv 2016/680.

76.

Selv om der dernæst ikke kan herske tvivl om, at politilovens § 65 er en »medlemsstats nationale ret«, præciseres de konkrete betingelser for indsamling, opbevaring og sletning af de registreredes biometriske og genetiske data ikke heri.

77.

Endelig suppleres denne lovgivning med forvaltningsdomstolenes retspraksis, i henhold til hvilken politiet skal anvende kriteriet om proportionalitet i hvert enkelt konkret tilfælde, hovedsageligt under hensyntagen til den registreredes kriminelle fortid, alvoren af den specifikke strafbare handling, i forbindelse med hvilken denne person er blevet indkaldt med henblik på gennemførelse af identifikationshandlingerne, gerningsmandens person og i forbindelse med en efterfølgende anmodning om sletning den periode, der er gået, siden den strafbare handling blev begået, samt enhver anden adfærd fra gerningsmandens side ( 32 ). De kriterier, som denne retspraksis er baseret på, er offentliggjort og offentligt tilgængelige.

78.

På baggrund af disse elementer foreslår jeg Domstolen, at den besvarer spørgsmålet således, at selv om retspraksis kan betragtes som en »medlemsstats nationale ret«, jf. direktiv 2016/680, kan en sådan retspraksis imidlertid ikke træde i stedet for de garantier, der skal fastsættes i en generel bestemmelse vedrørende indsamling, opbevaring og sletning af biometriske og genetiske data.

79.

Der er således ganske vist flere ting, der taler for tanken om, at en retspraksis opfylder kravet om en »medlemsstats nationale ret« som omhandlet i direktivets artikel 8, stk. 2.

80.

For det første fremgår det af 33. betragtning til direktiv 2016/680, at »[n]år dette direktiv henviser til medlemsstaternes nationale ret, et retsgrundlag eller en lovgivningsmæssig foranstaltning, kræver det ikke nødvendigvis en lov, der er vedtaget af et parlament«, når blot »et sådant retsgrundlag eller en sådan lovgivningsmæssig foranstaltning [...] [er] klar(t) og præcis(t), og anvendelse heraf [er] forudsigelig for de personer, der er omfattet af dets/dens anvendelsesområde, jf. retspraksis fra Domstolen og Den Europæiske Menneskerettighedsdomstol«.

81.

For det andet har Den Europæiske Menneskerettighedsdomstol i sin dom af 16. april 2022, Société Colas Est m.fl. mod Frankrig ( 33 ), fastslået, at ordet »lov« som omhandlet i EMRK’s artikel 8, stk. 2, skal forstås i dets »materielle« og ikke dets »formelle« betydning. På et område, der er omfattet af den skrevne ret, er »loven« således den gældende tekst, således som de kompetente retsinstanser har fortolket den.

82.

Domstolen har i øvrigt selv fastslået, at ordet »lov« anvendt i udtrykket »i overensstemmelse med loven« i EMRK’s artikel 8, stk. 2, og i udtrykket »ved lov fastsat grundlag« i chartrets artikel 8, stk. 2, skal forstås i dets materielle og ikke dets formelle betydning ( 34 ).

83.

For det tredje har Domstolen i sin dom af 21. juni 2022 i sagen Ligue des droits humains ( 35 ) præciseret, at kravet om, at enhver begrænsning i udøvelsen af de grundlæggende rettigheder skal være fastlagt i lovgivningen, indebærer, at den retsakt, som tillader et indgreb i disse rettigheder, selv skal definere rækkevidden af begrænsningen i udøvelsen af den pågældende rettighed, idet det skal præciseres dels, at dette krav ikke udelukker, at den pågældende begrænsning formuleres så åbent, at den kan tilpasses forskellige situationer og ændrede omstændigheder, dels at Domstolen om nødvendigt ved fortolkning kan præcisere den konkrete rækkevidde af begrænsningen både med hensyn til selve ordlyden af den omhandlede EU-lovgivning og med hensyn til dens almindelige opbygning og de formål, den forfølger, som fortolket i lyset af de grundlæggende rettigheder, som er sikret ved chartret ( 36 ).

84.

For så vidt som der findes et retsgrundlag i national ret, har en retspraksis, der dels er tilgængelig og forudsigelig, dels er fast, og som der ikke systematisk rejses tvivl om, således tilstrækkelige materielle karakteristika til at kunne henhøre under begrebet en »medlemsstats nationale ret«, jf. artikel 8, stk. 2, i direktiv 2016/680 ( 37 ).

85.

Det skal imidlertid påpeges, at en fast retspraksis, der bekræfter en fast praksis inden for politiet, i visse tilfælde, bl.a. når retten til frihed, der er fastsat i chartrets artikel 6, er på spil, ikke er tilstrækkelig ( 38 ), og at kun vedtagelse af almengyldige bestemmelser (og altså bestemmelser, der opfylder en lovs formelle karakteristika) indebærer de nødvendige garantier, for så vidt som en sådan tekst fastsætter de bindende og på forhånd kendte skønsbeføjelser, som myndighederne har i forbindelse med vurderingen af omstændighederne i hvert enkelt tilfælde ( 39 ).

86.

Den Europæiske Menneskerettighedsdomstol har ligeledes bekræftet, at ethvert indgreb i en persons ret til frihed fra en offentlig myndigheds side skal være »fastsat ved lov« ( 40 ). Dette udtryk vedrører »lovkvalitet«, der i forbindelse med beskyttelse af følsomme personoplysninger skal opfylde et krav om øget forudsigelighed. Dette forudsætter, at loven klart fastsætter omfanget af de offentlige myndigheders skønsbeføjelser ( 41 ), og at der anvendes en ret klar formulering med henblik på at gøre det tilstrækkeligt klart for alle, under hvilke omstændigheder og på hvilke betingelser den giver den offentlige myndighed beføjelse til at iværksætte foranstaltninger, der berører de rettigheder, der er beskyttet ved EMRK ( 42 ).

87.

Menneskerettighedsdomstolen har således anerkendt, at lovbestemmelser, der tillod behandling af biometriske personoplysninger, eftersom de var formuleret meget bredt og så ud til at tillade behandling af disse oplysninger i forbindelse med alle former for retssager, ikke opfyldte kravet om »lovkvalitet«. Det er nemlig afgørende, at der findes detaljerede regler for omfanget af disse foranstaltninger og solide garantier mod risikoen for misbrug og vilkårlighed ( 43 ).

88.

I den foreliggende sag er det min opfattelse, efter at jeg har påpeget, dels at biometriske og genetiske data på grund af deres særlige følsomhed vil kunne medføre alvorlige risici for de registreredes frihedsrettigheder og grundlæggende rettigheder ( 44 ), dels at behandling af disse oplysninger kun bør tillades »når det er strengt nødvendigt«, at det er særlig angribeligt kun at beskytte de registreredes rettigheder via national retspraksis, når loven, i dens formelle betydning, fastsætter en mangelfuld kontrol af proportionaliteten, hvilket ikke svarer til den grad af beskyttelse, der kræves i artikel 10 i direktiv 2016/680.

89.

Politilovens bestemmelser, særlig § 65, er således formuleret for bredt og fastsætter ikke tilstrækkelige på forhånd fastsatte grænser for den skønsbeføjelse, som politimyndighederne har med hensyn til at indhente, opbevare og slette biometriske og genetiske data. Når der ikke findes sådanne grænser, kan de betingelser, der findes for behandling af disse data, der udelukkende stammer fra de tjekkiske administrative myndigheders retspraksis, ikke opfylde kravet om tilstrækkeligt solide garantier i en bindende retsakt, der er forudsigelig i sin anvendelse, der bør være gældende i forbindelse med behandling af disse data.

90.

Selv om gennemførelsen af et direktiv desuden ikke nødvendigvis kræver en lovgivningsmæssig retsakt i de enkelte medlemsstater, kan en retspraksis – forudsat at den godtgøres at foreligge – hvorefter bestemmelser i national ret fortolkes på en måde, der anses for at være i overensstemmelse med de krav, der opstilles i et direktiv, ikke have den klarhed og præcision, der er nødvendig for at opfylde kravet om retssikkerhed ( 45 ). Det følger heraf, at en national retspraksis, selv om den opstiller en liste over kriterier, der gør det muligt at vurdere, om behandlingen af de registreredes biometriske og genetiske data er proportional, i hvert enkelt konkret tilfælde, ikke kan råde bod på fraværet af en streng kontrol af proportionaliteten fastsat i en lov i ordets formelle betydning.

91.

Det fremgår af det ovenstående, at artikel 8, stk. 2, og artikel 10 i direktiv 2016/680 skal fortolkes således, at disse bestemmelser er til hinder for, at en national retspraksis, selv om den kan betragtes som en »medlemsstats ret« som omhandlet i direktivet, kan træde i stedet for en almengyldig bestemmelse, der ikke fastsætter krav om, at politimyndighederne skal foretage en streng kontrol i hvert enkelt konkret tilfælde af nødvendigheden af at indsamle og opbevare de registreredes biometriske og genetiske data.

92.

I lyset af det ovenstående foreslår jeg, at Domstolen besvarer de præjudicielle spørgsmål, som Nejvyšší správní soud (øverste domstol i forvaltningsretlige sager, Den Tjekkiske Republik) har forelagt, således:

»Artikel 4, stk. 1, litra c) og e), artikel 6, artikel 8, stk. 2, og artikel 10 i Europa-Parlamentets og Rådets direktiv (EU) 2016/680 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger og om ophævelse af Rådets rammeafgørelse 2008/977/RIA

skal fortolkes således, at