Asunto C‑205/21

V. S.

(Petición de decisión prejudicial planteada por el Spetsializiran nakazatelen sad)

Sentencia del Tribunal de Justicia (Sala Quinta) de 26 de enero de 2023

«Procedimiento prejudicial — Protección de las personas físicas en lo que respecta al tratamiento de datos personales — Directiva (UE) 2016/680 — Artículo 4, apartado 1, letras a) a c) — Principios relativos al tratamiento de datos personales — Limitación de los fines — Minimización de los datos — Artículo 6, letra a) — Distinción clara entre los datos personales de las distintas categorías de personas — Artículo 8 — Licitud del tratamiento — Artículo 10 — Transposición — Tratamiento de datos biométricos y genéticos — Concepto de “tratamiento autorizado por el Derecho del Estado miembro” — Concepto de “estrictamente necesario” — Facultad de apreciación — Carta de los Derechos Fundamentales de la Unión Europea — Artículos 7, 8, 47, 48 y 52 — Derecho a la tutela judicial efectiva — Presunción de inocencia — Limitación — Delito público doloso — Investigados — Recogida de datos fotográficos y toma de huellas dactilares a efectos de su registro y obtención de muestras biológicas para la elaboración de un perfil ADN — Procedimiento de recogida forzosa — Carácter sistemático de la recogida»

1. Aproximación de las legislaciones — Protección de las personas físicas en relación con el tratamiento de datos personales en materia penal — Directiva (UE) 2016/680 — Tratamiento de categorías especiales de datos — Autorización de dicho tratamiento por el Derecho de un Estado miembro — Normativa nacional que obliga a las autoridades policiales de un Estado miembro a recoger datos biométricos y genéticos de los investigados a efectos de su registro — Disposiciones nacionales que se remiten al Reglamento (UE) 2016/679, aunque reproducen el contenido de la Directiva (UE) 2016/680 — Procedencia — Requisitos

   [Carta de los Derechos Fundamentales de la Unión Europea, art. 52; Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, art. 9; Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, arts. 3, punto 7, y 10, letra a)]

   (véanse los apartados 62 a 67, 72 a 76 y el punto 1 del fallo)

2. Actos de las instituciones — Directivas — Ejecución por los Estados miembros — Directiva que establece para su aplicación que se haga referencia a ella en las disposiciones nacionales de transposición — Relevancia — Obligación de que los Estados miembros adopten un acto positivo de transposición de la directiva — Exigencia de que se mencione la directiva en las disposiciones nacionales que autorizan los tratamientos de datos personales comprendidos en el ámbito de aplicación de la misma — Inexistencia

   [Art. 288 TFUE, párr. 3; Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, art. 63, ap. 1, párr. 2]

   (véanse los apartados 68 a 71)

3. Aproximación de las legislaciones — Protección de las personas físicas en relación con el tratamiento de datos personales en materia penal — Directiva (UE) 2016/680 — Obligación de distinguir entre las distintas categorías de interesados — Alcance — Normativa nacional que obliga a las autoridades policiales de un Estado miembro a recoger datos biométricos y genéticos de los investigados a efectos de su registro — Normativa que establece un procedimiento de recogida forzosa — Facultad del juez nacional de apreciar la existencia de motivos fundados en relación con la culpabilidad del interesado — Inexistencia — Procedencia — Requisitos — Respeto del derecho a la tutela judicial efectiva y de la presunción de inocencia

   [Carta de los Derechos Fundamentales de la Unión Europea, arts. 47 y 48; Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, arts. 6, letra a), y 54]

   (véanse los apartados 82 a 110 y el punto 2 del fallo)

4. Aproximación de las legislaciones — Protección de las personas físicas en relación con el tratamiento de datos personales en materia penal — Directiva (UE) 2016/680 — Tratamiento de categorías especiales de datos — Tratamiento permitido solo cuando sea estrictamente necesario — Concepto — Alcance — Condiciones reforzadas de licitud del tratamiento — Limitación de los fines — Minimización de los datos — Normativa nacional que establece la recogida sistemática de datos biométricos y genéticos de cualquier acusado de un delito público doloso a efectos de su registro — Improcedencia

   [Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, considerandos 26 y 37 y arts. 4, ap. 1, letras a) a c), 8, aps. 1 y 2, y 10]

   (véanse los apartados 116 a 135 y el punto 3 del fallo)

Resumen

La recogida sistemática de datos biométricos y genéticos de cualquier persona investigada a efectos de su inscripción en el registro policial es contraria al requisito de garantizar una mayor protección con respecto al tratamiento de datos personales sensibles

En un proceso penal por fraude fiscal incoado por las autoridades búlgaras, se abrió una investigación a V. S. en relación con su supuesta participación en una organización criminal con ánimo de lucro, con el fin de cometer delitos en territorio búlgaro de manera concertada. A raíz de la apertura de esa investigación, la policía búlgara instó a V. S. a someterse a la recogida de sus datos dactiloscópicos y fotográficos a efectos de su registro y a la obtención de muestras para la elaboración de su perfil ADN. V. S. se opuso a dicha recogida.

Basándose en la normativa nacional que prevé la «inscripción en el registro policial» de investigados por delitos públicos dolosos, las autoridades policiales solicitaron al Spetsializiran nakazatelen sad (Tribunal Penal Especial, Bulgaria) que autorizara la recogida forzosa de datos genéticos y biométricos de V. S. Solo acompañaban al escrito de las autoridades policiales las copias del auto por el que se decretan las diligencias policiales contra ella y la declaración en la que se opone a la recogida de sus datos.

Ese tribunal albergaba dudas en cuanto a la compatibilidad de la normativa búlgara aplicable a esa «inscripción en el registro policial» con la Directiva 2016/680, ( 1 ) interpretada a la luz de la Carta de los Derechos Fundamentales de la Unión Europea (en lo sucesivo, «Carta»), y planteó, por consiguiente, una cuestión prejudicial al Tribunal de Justicia.

En su sentencia, el Tribunal de Justicia precisa, en primer lugar, las condiciones en las que puede considerarse autorizado por el Derecho de un Estado miembro, en el sentido de la Directiva 2016/680, el tratamiento de datos biométricos y genéticos por parte de las autoridades policiales. A continuación, se pronuncia sobre la aplicación del requisito, contemplado en dicha Directiva, relativo al tratamiento de datos de una categoría de personas respecto de las cuales existen motivos fundados para considerar que están implicadas en un delito y sobre el respeto del derecho a la tutela judicial efectiva y del principio de la presunción de inocencia en el supuesto de que la normativa nacional permita al órgano jurisdiccional nacional competente autorizar la recogida forzosa de esos datos, considerados «sensibles» por el legislador de la Unión. Por último, se pronuncia sobre la cuestión de la compatibilidad de la normativa nacional que establece la recogida sistemática de dichos datos con las disposiciones de la Directiva 2016/680 que se refieren a su tratamiento, teniendo en cuenta los principios aplicables.

Apreciación del Tribunal de Justicia

En primer lugar, el Tribunal de Justicia declara que la Directiva 2016/680, a la luz de la Carta, ( 2 ) debe interpretarse en el sentido de que el Derecho de un Estado miembro autoriza el tratamiento de datos biométricos y genéticos por parte de las autoridades policiales a efectos de sus actividades de investigación, con fines de lucha contra la delincuencia y de mantenimiento del orden público, siempre que su Derecho contenga una base jurídica suficientemente clara y precisa que lo autorice. El hecho de que el acto legislativo nacional que contiene esa base jurídica se remita, por otra parte, al Reglamento general de protección de datos ( 3 ) y no a la Directiva 2016/680 no puede desvirtuar, en sí mismo, la existencia de esa autorización, siempre que de la interpretación de todas las disposiciones aplicables del Derecho nacional se desprenda, de manera suficientemente clara, precisa e inequívoca, que el tratamiento de datos biométricos y genéticos de que se trata está comprendido en el ámbito de aplicación de esa Directiva y no en el del RGPD.

En este contexto, habida cuenta de que la normativa nacional pertinente se remitía a las disposiciones del RGPD que regulan el tratamiento de datos sensibles, aunque reproduce el contenido de las disposiciones de la Directiva 2016/680 referidas al tratamiento de esos mismos datos, ( 4 ) el Tribunal de Justicia señala que tales disposiciones no son equivalentes. En efecto, mientras que el tratamiento de datos sensibles por parte de las autoridades competentes con fines de prevención y detección de las infracciones penales incluido en la Directiva 2016/680 solo puede permitirse cuando sea estrictamente necesario y debe estar delimitado por las salvaguardas adecuadas y previsto por el Derecho de la Unión o del Estado miembro, el RGPD establece una prohibición de principio del tratamiento de dichos datos, acompañada de una lista de excepciones. Si bien el legislador nacional puede establecer, en un mismo instrumento legislativo, el tratamiento de datos personales para fines comprendidos en el ámbito de aplicación de la Directiva 2016/680 y para otros fines comprendidos en el RGPD, está obligado a cerciorarse de que no hay ambigüedad en la aplicabilidad de cualquiera de esos dos actos de la Unión a la recogida de datos sensibles.

Además, por lo que respecta a una posible transposición incorrecta de la Directiva 2016/680, alegada por el tribunal remitente, el Tribunal de Justicia subraya que esta Directiva no exige que las disposiciones nacionales que autorizan los tratamientos de datos comprendidos en su ámbito de aplicación hagan referencia a dicha Directiva. Precisa que, cuando el legislador nacional prevé el tratamiento por parte de las autoridades competentes de datos biométricos y genéticos que pueden estar comprendidos bien en el ámbito de aplicación de esta Directiva, bien en el del RGPD, puede remitirse expresamente, en aras de una mayor claridad y precisión, por una parte, a las disposiciones de Derecho nacional que transponen esta Directiva y, por otra parte, al RGPD, sin estar obligado a mencionar dicha Directiva. No obstante, en caso de una contradicción aparente entre las disposiciones nacionales que autorizan el tratamiento de datos en cuestión y las que parecen excluirlo, el tribunal nacional debe dar a esas disposiciones una interpretación que respete el efecto útil de la Directiva 2016/680.

A continuación, el Tribunal de Justicia declara que la Directiva 2016/680 ( 5 ) y la Carta ( 6 ) no se oponen a una normativa nacional que establece que, en caso de que la persona investigada por un delito público doloso se niegue a colaborar voluntariamente en la recogida de sus datos biométricos y genéticos a efectos de su registro, el órgano jurisdiccional penal competente está obligado a autorizar una medida de recogida forzosa, sin poder apreciar si existen motivos fundados para presumir que el interesado ha cometido la infracción penal por la que es investigado, siempre que el Derecho nacional garantice posteriormente el control jurisdiccional efectivo de las condiciones de esa investigación, de la que deriva la autorización para la recogida.

A este respecto, el Tribunal de Justicia recuerda que, en virtud de la Directiva 2016/680, ( 7 ) los Estados miembros deben velar por que se distinga claramente entre los datos de las distintas categorías de interesados, a fin de que no se les imponga de modo indiferenciado la misma injerencia en su derecho fundamental a la protección de sus datos personales cualquiera que sea la categoría a la que pertenecen. No obstante, esta obligación no es absoluta. Por lo demás, en la medida en que esta Directiva contempla la categoría de personas respecto de las cuales existen motivos fundados para presumir que han cometido una infracción penal, el Tribunal de Justicia precisa que la existencia de un número suficiente de elementos de prueba de la culpabilidad de una persona constituye, en principio, un motivo fundado para presumir que ha cometido la infracción de que se trata. Así pues, la Directiva 2016/680 no se opone a una normativa nacional que establece la recogida forzosa de datos de personas respecto de las cuales concurren suficientes elementos de prueba de que son culpables de haber cometido un delito público doloso y que hayan sido investigadas por ello.

Por lo que se refiere al respeto del derecho a la tutela judicial efectiva, dado que el órgano jurisdiccional nacional competente, con el fin de autorizar una medida de recogida forzosa de datos sensibles de un investigado, no puede controlar, en cuanto al fondo, las condiciones en que es investigado, el Tribunal de Justicia subraya, en particular, que el hecho de sustraer temporalmente del control judicial la apreciación de las pruebas en las que se basa la investigación del interesado puede resultar justificado durante la fase preliminar del proceso penal. En efecto, tal control, en esa fase, podría obstaculizar el desarrollo de la investigación penal durante la cual se recogen los datos citados y limitar en exceso la capacidad de los investigadores para explicar otros delitos en virtud de una comparación de esos datos con datos recopilados en otras investigaciones. Por tanto, esta limitación de la tutela judicial efectiva no es desproporcionada, siempre que el Derecho nacional garantice posteriormente un control jurisdiccional efectivo.

En cuanto a la observancia, por una resolución judicial que autoriza la recogida de los datos en cuestión, del derecho a la presunción de inocencia, el Tribunal de Justicia señala, por una parte, que, dado que, en el caso de autos, esa recogida se limita a la categoría de personas cuya responsabilidad penal aún no ha quedado acreditada, no puede considerarse que trasluzca la opinión de las autoridades de que esas personas son culpables. Por otra parte, el hecho de que el órgano jurisdiccional que debe pronunciarse sobre la culpabilidad del interesado no pueda apreciar, en esta fase del procedimiento penal, la suficiencia de los elementos de prueba en los que se basa la investigación de esa persona constituye una garantía de que se respeta su derecho a la presunción de inocencia.

Por último, el Tribunal de Justicia concluye que la Directiva 2016/680 ( 8 ) se opone a una normativa nacional que establece la recogida sistemática de datos biométricos y genéticos de cualquier persona investigada por un delito público doloso a efectos de su registro, sin obligar a la autoridad competente a comprobar y demostrar, por una parte, si esa recogida es estrictamente necesaria para satisfacer los objetivos concretos perseguidos y, por otra parte, si tales objetivos no pueden lograrse mediante medidas que constituyan injerencias menos graves en los derechos y libertades del interesado.

A este respecto, el Tribunal de Justicia subraya que la Directiva 2016/680 pretende garantizar, entre otras cosas, una mayor protección con respecto a los tratamientos de datos sensibles, entre los que figuran los datos biométricos y genéticos, puesto que pueden generar riesgos importantes para las libertades y los derechos fundamentales. El requisito que en ella se menciona de que tales tratamientos «solo» se permitirán «cuando sea estrictamente necesario» debe interpretarse en el sentido de que define unas condiciones reforzadas de licitud del tratamiento de datos sensibles. ( 9 ) Además, se ha de determinar también el alcance de este requisito a la luz de principios relativos al tratamiento de los datos tales como la limitación de los fines y la minimización de los datos.

En este contexto, una normativa nacional que establece la recogida sistemática de datos biométricos y genéticos de cualquier persona investigada por un delito público doloso a efectos de su registro es, en principio, contraria a ese requisito. En efecto, esa normativa puede conducir, de manera indiferenciada y generalizada, a la recogida de datos de la mayoría de los investigados, dado que el concepto de «delito público doloso» tiene un carácter especialmente genérico y puede aplicarse a un gran número de delitos, con independencia de su naturaleza, de su gravedad, de las circunstancias concretas de esos delitos, de su eventual vínculo con otros procedimientos en curso, de los antecedentes judiciales del interesado o incluso de su perfil individual.

( 1 ) Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos y por la que se deroga la Decisión Marco 2008/977/JAI del Consejo (DO 2016, L 119, p. 89).

( 2 ) Artículo 10, letra a), de la Directiva 2016/680, interpretado a la luz del artículo 52 de la Carta.

( 3 ) Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (DO 2016, L 119, p. 1; en lo sucesivo, «RGPD»).

( 4 ) Artículo 9 del RGPD y artículo 10 de la Directiva 2016/680, respectivamente.

( 5 ) Artículo 6, letra a), de la Directiva 2016/680.

( 6 ) Artículos 47 y 48 de la Carta, que consagran, respectivamente, el derecho a la tutela judicial efectiva y el principio de la presunción de inocencia.

( 7 ) Artículo 6 de la Directiva 2016/680.

( 8 ) Artículo 10 de la Directiva 2016/680, en relación con sus artículos 4, apartado 1, letras a) a c), y 8, apartados 1 y 2.

( 9 ) A la luz de las condiciones que resultan de los artículos 4, apartado 1, letras b) y c), y 8, apartado 1, de la Directiva 2016/680.