1.

La presente petición de decisión prejudicial tiene por objeto la interpretación de los artículos 4, apartado 1, letras c) y e), 6, 8, apartado 2, y 10 de la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos y por la que se deroga la Decisión Marco 2008/977/JAI del Consejo. ( 2 )

2.

Esta petición se ha presentado en el contexto de un litigio entre JH, una persona física, y la Policejní prezidium (Dirección de la Policía, República Checa), en relación, en particular, con la recogida de datos biométricos y genéticos relativos a JH en el marco de un procedimiento penal y con la conservación de dichos datos por la Policie České republiky (Policía de la República Checa; en lo sucesivo, «Policía checa»).

3.

El presente asunto se inscribe, por lo que respecta a la primera cuestión prejudicial planteada por el Nejvyšší správní soud (Tribunal Supremo de lo Contencioso-Administrativo, República Checa), en la estela de las sentencias de 26 de enero de 2023, Ministerstvo na vatreshnite raboti (Registro de datos biométricos y genéticos por la Policía), ( 3 ) y de 28 de noviembre de 2024, Ministerstvo na vatreshnite raboti (Registro de datos biométricos y genéticos II), ( 4 ) en las que el Tribunal de Justicia declaró que una normativa nacional que establece la recogida sistemática de datos biométricos y genéticos de cualquier persona investigada por un delito público doloso a efectos de su registro policial es contraria al requisito de garantizar una mayor protección de las personas con respecto al tratamiento de datos personales sensibles. El órgano jurisdiccional remitente invita al Tribunal de Justicia a precisar su jurisprudencia preguntándole si el artículo 65, apartado 1, de la zákon č. 273/2008 Sb., o Policii České republiky (Ley n.o 273/2008, sobre la Policía de la República Checa), ( 5 ) al limitar su aplicación únicamente a los actos delictivos dolosos, refleja de manera suficiente, a nivel estructural, la necesidad de apreciar la proporcionalidad de la recogida de datos biométricos y genéticos de las personas afectadas o si, por el contrario, procede establecer una distinción adicional entre estas personas en función de la gravedad del acto delictivo.

4.

En cuanto a la segunda cuestión prejudicial planteada por el órgano jurisdiccional remitente, el presente asunto se inscribe en la línea de la sentencia de 30 de enero de 2024, Direktor na Glavna direktsia Natsionalna politsia pri MVR — Sofia, ( 6 ) en la que el Tribunal de Justicia se pronunció por primera vez sobre los límites temporales de la conservación, para fines de lucha contra las infracciones penales, de datos personales de personas que hayan sido objeto de una condena penal firme, a la luz de la Directiva 2016/680. En dicha sentencia, el Tribunal de Justicia declaró que la citada Directiva establece un marco general que permite garantizar que la conservación de datos personales y, más concretamente, su duración se limiten a lo que resulte necesario para los fines para los que se conservan tales datos. ( 7 ) El órgano jurisdiccional remitente invita al Tribunal de Justicia a precisar si esta jurisprudencia es pertinente cuando los datos personales se conservan con fines de prevención, investigación y detección de delitos, que, por su propia naturaleza, son prospectivos y no limitados en el tiempo. A su parecer, tales fines exigen que esos datos se conserven el mayor tiempo posible.

5.

Así pues, en el presente asunto, el Tribunal de Justicia debe precisar, por una parte, los conceptos de «minimización material» y de «minimización temporal» de los datos biométricos y genéticos comprendidos en el ámbito de aplicación de la Directiva 2016/680 cuando se recogen y se conservan en ese contexto.

6.

Por otra parte, en lo que atañe a la tercera cuestión prejudicial, por primera vez se solicita al Tribunal de Justicia que interprete el concepto de «Derecho del Estado miembro» en el sentido del artículo 8, apartado 2, de dicha Directiva, en relación con el artículo 10 de esta. Más concretamente, el órgano jurisdiccional remitente se pregunta si la jurisprudencia nacional que precisa los criterios de recogida y de conservación de los datos biométricos y genéticos puede estar comprendida en dicho concepto y en qué medida los requisitos materiales y procedimentales mínimos para la recogida, conservación y supresión de esos datos deben establecerse en el Derecho de un Estado miembro mediante una disposición de alcance general.

7.

El artículo 11 de la Ley de la Policía checa establece:

«Los agentes de policía y los empleados de la Policía están obligados a:

[…]

8.

Con arreglo al artículo 65 de dicha Ley:

«(1)   En el desempeño de sus funciones, la Policía podrá, a los efectos de una futura identificación, en el caso de

(2)   Si la persona se opone a ello y no puede llevarse a cabo alguno de los actos previstos en el apartado 1, el agente de policía podrá hacer caso omiso de esta objeción tras haber solicitado en vano a la persona que se someta a tales actos. La forma en que se haga caso omiso de esta oposición debe ser proporcional a la intensidad de esta. El agente de policía no podrá hacer caso omiso de la oposición de una persona en el caso de una extracción de sangre u de otro acto similar que afecte a la integridad física.

(3)   Cuando uno de los actos contemplados en el apartado 1 no pueda llevarse a cabo in situ, el agente de policía podrá instar a la persona a comparecer con vistas a la realización del acto. El agente de policía liberará a la persona una vez realizado el acto.

(4)   El agente de policía elaborará un informe sobre los actos realizados.

(5)   La Policía suprimirá los datos personales obtenidos de conformidad con el apartado 1 tan pronto como su tratamiento ya no sea necesario para prevenir, investigar o detectar delitos, para perseguir actos delictivos o para garantizar la seguridad de la República Checa, el orden público o la seguridad interior.»

9.

El artículo 79 de dicha Ley, titulado «Disposiciones básicas relativas al tratamiento de datos personales en el desempeño de determinadas funciones policiales», establece lo siguiente en sus apartados 1 y 2:

«(1)   Los apartados 2 a 6 y los artículos 79a a 88 se aplicarán al tratamiento de datos personales con fines de prevención, investigación, detección y enjuiciamiento de actos delictivos, con el fin de garantizar la seguridad de la República Checa, así como el orden público y la seguridad interior, incluso con fines de localización de personas y de cosas.

(2)   La Policía podrá tratar los datos personales cuando sea necesario para alcanzar los objetivos mencionados en el apartado 1. La Policía también podrá tratar los datos personales para proteger los intereses importantes de un interesado que estén relacionados con los objetivos mencionados en el apartado 1.»

10.

El artículo 82 de la citada Ley tiene el siguiente tenor:

«(1) La Policía verificará al menos una vez cada tres años que los datos personales tratados para los fines mencionados en el artículo 79, apartado 1, siguen siendo necesarios para el desempeño de sus funciones en este ámbito.

(2) A efectos de la verificación a que se refiere el apartado 1, la Policía estará facultada para exigir un certificado de antecedentes penales.

(3) Las autoridades policiales y judiciales, el Ministerstvo spravedlnosti [(Ministerio de Justicia, República Checa)], el Ústavní soud [(Tribunal Constitucional, República Checa)] y el Kancelář prezidenta republiky [(Gabinete del Presidente de la República, República Checa)] informarán continuamente a la Policía, dentro de los límites de sus competencias, a efectos de la verificación a que se refiere el apartado 1, de sus resoluciones firmes, de la prescripción de diligencias penales, de la ejecución de una pena o de las decisiones del presidente de la República relativas a un proceso penal, a la imposición de penas o a una amnistía o un indulto concedidos.»

11.

Mediante decisión de 11 de diciembre de 2015, la Policía checa inició un proceso penal contra JH por un delito de incumplimiento de deberes en la gestión de bienes ajenos.

12.

El 13 de enero de 2016, oyó a JH en el marco del proceso penal y ordenó que se llevaran a cabo actuaciones de identificación. A pesar de la objeción formulada por JH, la Policía checa tomó sus huellas dactilares, una muestra de saliva a partir de la cual creó un perfil de ADN y unas fotografías e hizo una descripción de JH. A continuación, introdujo esta información en las bases de datos pertinentes de la Policía checa.

13.

Mediante sentencia del Městský soud v Praze (Tribunal Municipal de Praga, República Checa) de 15 de marzo de 2017, JH fue declarado finalmente culpable del delito de incumplimiento de deberes en la gestión de bienes ajenos y del delito de abuso de poder por parte de funcionario público. Fue condenado a una pena de privación de libertad de tres años con suspensión de la ejecución de la pena, fue inhabilitado durante un período de cuatro años para ejercer funciones de dirección en la Administración Pública, incluida la gestión de bienes muebles e inmuebles, y se le condenó a reparar los daños causados en la medida de sus posibilidades.

14.

El 8 de marzo de 2016, JH interpuso un recurso ante el Městský soud v Praze (Tribunal Municipal de Praga) en el que solicitaba que se declarase que la realización de los actos de identificación con arreglo al artículo 65 de la Ley de la Policía checa, la conservación de la información y de las muestras así obtenidas y la creación de una entrada en el sistema informático de la Policía checa constituían una injerencia ilícita.

15.

Mediante sentencia de 23 de junio de 2022, dicho órgano jurisdiccional estimó el recurso de JH y declaró que los actos de identificación realizados por la Policía checa y la conservación de esos datos personales en las bases de datos de la Policía checa constituían una injerencia ilícita en el derecho fundamental al respeto de la vida privada. En consecuencia, dicho órgano jurisdiccional ordenó a la Policía checa que suprimiera de sus bases de datos todos los datos personales resultantes de esos actos, con excepción de la muestra de saliva, que ya había sido destruida.

16.

El Městský soud v Praze (Tribunal Municipal de Praga) subrayó que la recogida de material genético representa una injerencia considerable en el derecho fundamental al respeto de la vida privada, protegido, en particular, por el artículo 8 del Convenio Europeo para la Protección de los Derechos Humanos y de las Libertades Fundamentales (CEDH). ( 8 ) Pues bien, el artículo 65 de la Ley de la Policía checa no facilita indicaciones suficientes para apreciar el carácter proporcionado de dicha injerencia. Señala el citado órgano jurisdiccional que la única comprobación efectuada por la Policía checa antes de proceder a tal recogida se refiere al carácter doloso del delito cometido, en el sentido de dicha disposición, requisito que puede considerarse cumplido en el marco del procedimiento principal.

17.

Por consiguiente, el Městský soud v Praze (Tribunal Municipal de Praga) consideró que los actos de identificación llevados a cabo por la Policía checa no cumplían el requisito de proporcionalidad y, por lo tanto, constituían una injerencia ilícita. El citado órgano jurisdiccional señaló, a este respecto, que JH solo estaba acusado de la comisión de un delito, concretamente un delito menos grave, que no había sido condenado anteriormente y que era poco probable que reincidiera. Dicho órgano jurisdiccional también hizo hincapié en el hecho de que la propia Policía checa debe, con arreglo al artículo 65, apartado 5, de la Ley de la Policía checa, examinar internamente a partir de cuándo seguir conservando datos personales «ya no [es] necesario para prevenir, investigar o detectar delitos [o] para perseguir actos delictivos». El mismo órgano jurisdiccional considera que esta normativa deja un margen de reflexión ilimitado a la Policía y tiende a la sobreutilización de una conservación de los datos personales ilimitada en el tiempo.

18.

La Dirección de la Policía interpuso un recurso de casación contra dicha sentencia ante el Nejvyšší správní soud (Tribunal Supremo de lo Contencioso‑Administrativo).

19.

En apoyo de su recurso de casación, la Dirección de la Policía subrayó que la finalidad del tratamiento de datos personales estaba claramente expresada en el artículo 65 de la Ley de la Policía checa. También declaró que había evaluado la proporcionalidad de la recogida y conservación de los datos personales de JH, tomando en consideración el factor de la reincidencia, la posible escalada de su comportamiento y el hecho de que JH hubiera cometido varias ilegalidades en el pasado. Por lo que se refiere a la publicidad supuestamente insuficiente de los criterios aplicados internamente por la Policía checa para decidir seguir conservando datos personales, la Dirección de la Policía indicó que había comunicado dichas normas al público en el marco del derecho a la información.

20.

Como respuesta, JH señaló en particular que las autoridades policiales checas habían llevado a cabo los actos de identificación sin haber examinado previamente el carácter proporcionado de la injerencia. JH también criticó la falta de publicidad de las instrucciones de la Policía checa relativas a la realización de actos de identificación.

21.

En este contexto, el órgano jurisdiccional remitente se pregunta, en primer lugar, si los requisitos establecidos por la Directiva 2016/680 se oponen a la recogida indiscriminada de datos biométricos y genéticos de cualquier persona sospechosa de haber cometido un delito doloso; en segundo lugar, si los requisitos establecidos por dicha Directiva se oponen a la conservación de tales datos sin que se establezca expresamente una limitación temporal, y, en tercer lugar, si la jurisprudencia de los órganos jurisdiccionales nacionales de lo contencioso‑administrativo puede calificarse de «Derecho del Estado miembro», en el sentido del artículo 8 de la citada Directiva, que establece las condiciones de licitud del tratamiento de datos personales.

22.

En estas circunstancias, el Nejvyšší správní soud (Tribunal Supremo de lo Contencioso-Administrativo) decidió suspender el procedimiento y plantear al Tribunal de Justicia las siguientes cuestiones prejudiciales:

23.

Han presentado observaciones escritas JH, el Gobierno checo, Irlanda, el Gobierno polaco y la Comisión Europea.

24.

En la vista celebrada el 28 de noviembre de 2024, JH, el Gobierno checo, Irlanda, el Gobierno neerlandés y la Comisión fueron oídos y, en particular, se les invitó a responder a las preguntas formuladas por el Tribunal de Justicia para su respuesta oral.

25.

Con carácter preliminar, procede recordar que las cuestiones prejudiciales planteadas por el órgano jurisdiccional remitente se refieren a la recogida y la conservación de datos biométricos y genéticos, que son categorías especiales de datos personales, cuyo tratamiento se rige por el artículo 10 de la Directiva 2016/680.

26.

Pues bien, esta disposición pretende garantizar una mayor protección del interesado, en la medida en que, debido a su particular sensibilidad y al contexto en el que son tratados, los datos en cuestión pueden generar, como se desprende del considerando 37 de dicha Directiva, riesgos importantes para las libertades y los derechos fundamentales, como el derecho al respeto de la vida privada y el derecho a la protección de los datos personales, garantizados por los artículos 7 y 8 de la Carta de los Derechos Fundamentales de la Unión Europea. ( 9 )

27.

Más concretamente, el artículo 10 de la Directiva 2016/680 establece el requisito de que el tratamiento de datos sensibles se autorice «solo […] cuando sea estrictamente necesario», requisito que constituye una condición reforzada de licitud del tratamiento de tales datos y que conlleva, en particular, un control especialmente riguroso del respeto del principio de «minimización de datos», tal como se desprende del artículo 4, apartado 1, letra c), de la citada Directiva, que este requisito aplica específicamente a dichos datos sensibles. ( 10 )

28.

A la luz de estas consideraciones, propondré, en las presentes conclusiones, responder al órgano jurisdiccional remitente tratando de determinar si la normativa nacional controvertida en el litigio principal cumple el requisito de que la recogida y la conservación de los datos biométricos y genéticos de los interesados solo se autoricen cuando sea «estrictamente necesario», en el sentido del artículo 10 de la Directiva 2016/680.

29.

Mediante su primera cuestión prejudicial, el órgano jurisdiccional remitente pregunta, en esencia, si el artículo 4, apartado 1, letra c), o el artículo 6 de la Directiva 2016/680, en relación con el artículo 10 de dicha Directiva, deben interpretarse en el sentido de que se oponen a una normativa nacional que permite la recogida de datos biométricos y genéticos de todas las personas sospechosas o acusadas de haber cometido un delito doloso.

30.

En sus observaciones escritas, la Comisión concluyó que la primera cuestión prejudicial era inadmisible debido a que, en el asunto principal, la recogida de los datos genéticos y biométricos de JH por parte de la Policía checa tuvo lugar el 13 de enero de 2016, es decir, antes de la entrada en vigor de la Directiva 2016/680, que se produjo el 5 de mayo de 2016, y antes de la expiración del plazo de transposición, fijado en el 6 de mayo de 2018 por el artículo 63, apartado 1, de dicha Directiva.

31.

Si bien es cierto que la Directiva 2016/680 no establece ninguna disposición transitoria para los datos recogidos antes del 5 de mayo de 2016, me parece pertinente referirse a su considerando 96, con arreglo al cual «todo tratamiento ya iniciado en dicha fecha debe adaptarse a lo establecido en [la referida] Directiva en un plazo de dos años a partir de [su] entrada en vigor […]». ( 11 )

32.

Con arreglo al artículo 3, punto 2, de la Directiva 2016/680, se entenderá por «tratamiento», «cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales […], como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción». ( 12 )

33.

Pues bien, a excepción de la muestra de saliva, que ya había sido destruida, los datos personales de JH obtenidos antes del 5 de mayo de 2016 siguen almacenados en las bases de datos de la Policía checa. Por lo tanto, estos datos siguen siendo tratados después de esa fecha, es decir, después de la entrada en vigor de la Directiva 2016/680.

34.

Por ello, me parece que los datos personales recogidos de manera lícita en virtud de la Decisión Marco 2008/977/JAI, ( 13 ) pero que se habrían recogido violando los principios establecidos por la Directiva 2016/680 si tal recogida hubiera tenido lugar después de la fecha de entrada en vigor de dicha Directiva, no deberían seguir siendo tratados y, por lo tanto, conservados en virtud de la citada Directiva.

35.

En estas circunstancias, considero que la primera cuestión prejudicial planteada por el órgano jurisdiccional remitente es admisible.

36.

El órgano jurisdiccional remitente se pregunta si el artículo 65, apartado 1, de la Ley de la Policía checa es compatible con la obligación que el artículo 6 de la Directiva 2016/680 impone a los Estados miembros de establecer una distinción entre diferentes categorías de interesados y con el principio de minimización del tratamiento de datos personales enunciado en el artículo 4, apartado 1, letra c), de dicha Directiva.

37.

Más concretamente, el referido órgano jurisdiccional se pregunta si el único requisito establecido por la normativa nacional para autorizar la recogida de los datos biométricos y genéticos de una persona física, a saber, la existencia de un delito doloso, establece una distinción suficiente entre las diferentes categorías de interesados o si se exige un grado adicional de individualización, de tal modo que habría que distinguir en función de la gravedad de los delitos dolosos para los que podrían recogerse automáticamente tales datos.

38.

Para responder a esta cuestión, procede, por una parte, recordar que, si bien el artículo 6 de la Directiva 2016/680 obliga a los Estados miembros a establecer una distinción clara entre los datos de las diferentes categorías de interesados a fin de que no se les imponga de modo indiferenciado la misma injerencia en su derecho fundamental a la protección de sus datos personales, ( 14 ) la expresión «cuando corresponda y en la medida de lo posible» utilizada en dicho artículo indica claramente que no siempre es posible establecer esta distinción entre tales datos. ( 15 )

39.

Por lo tanto, la obligación que dicho artículo 6 impone a los Estados miembros no es absoluta y la expresión «tales como» que figura en este artículo indica que las categorías de personas que en él se relacionan no tienen carácter exhaustivo. ( 16 )

40.

Por otra parte, es esencial retomar las enseñanzas que deben extraerse de la sentencia Registro de datos biométricos y genéticos I, en la medida en que el Tribunal de Justicia interpreta en ella el artículo 4, apartado 1, letra c), de la Directiva 2016/680, en virtud del cual los datos personales tratados deben ser adecuados, pertinentes y no excesivos habida cuenta de los fines perseguidos por su tratamiento.

41.

En dicha sentencia, el Tribunal de Justicia concluyó que una normativa nacional que establece la recogida sistemática de datos biométricos y genéticos de cualquier persona investigada por un delito público doloso ( 17 ) es, en principio, contraria al requisito establecido en el artículo 10 de la Directiva 2016/680, según el cual el tratamiento de las categorías especiales de datos a las que se refiere ese artículo «solo» se permitirá «cuando sea estrictamente necesario». ( 18 ) En efecto, una normativa de esas características puede conducir, de manera indiferenciada y generalizada, a la recogida de datos biométricos y genéticos de la mayoría de los investigados, dado que el concepto de «delito público doloso» tiene un carácter especialmente genérico y puede aplicarse a un gran número de delitos, con independencia de su naturaleza y gravedad. ( 19 )

42.

Pues bien, en el presente asunto, el artículo 65, apartado 1, de la Ley de la Policía checa establece que los datos biométricos y genéticos de una persona pueden ser recabados no solo cuando dicha persona haya sido acusada de cometer un delito doloso, sino también cuando sea sospechosa de haber cometido tal delito. Por lo tanto, esta disposición no solo se refiere a un número reducido de situaciones, sino que abarca, de manera excesivamente amplia, una mayoría de delitos para los que pueden recogerse tales datos.

43.

Ciertamente, he de señalar que dicha disposición únicamente concede una facultad a las autoridades policiales de llevar a cabo tal recogida, mientras que el registro policial previsto en la normativa búlgara controvertida en el asunto que dio lugar a la sentencia Registro de datos biométricos y genéticos I se aplicaba de manera imperativa a todas las personas investigadas por delitos públicos dolosos. ( 20 ) Esto podría sugerir que la normativa checa, al dejar un mayor margen de maniobra a las autoridades policiales, permitiría circunscribir mejor los casos en los que podrían recogerse los datos biométricos y genéticos de los interesados.

44.

Sin embargo, es preciso observar que ni el artículo 65, apartado 1, de la Ley de la Policía checa ni el artículo 11 de dicha Ley —en virtud del cual las autoridades policiales deben llevar a cabo un simple control de proporcionalidad— imponen a dichas autoridades la obligación de apreciar el carácter estrictamente necesario de recoger datos biométricos y genéticos de los interesados. Esto plantea problemas desde dos puntos de vista.

45.

En primer término, el mero hecho de que una persona haya cometido o sea sospechoso de haber cometido un delito doloso no puede considerarse, en todos los casos, un dato que permita presumir, por sí solo, que la recogida de sus datos biométricos y genéticos es estrictamente necesaria a la vista de los fines que persigue. ( 21 )

46.

En efecto, el Tribunal de Justicia ya ha declarado que ese carácter «estrictamente necesario» solo puede determinarse a la luz de todos los datos pertinentes, como, en particular, la naturaleza y gravedad de la presunta infracción por la que se investiga a una persona, las circunstancias concretas de esa infracción, el eventual vínculo de dicha infracción con otros procedimientos en curso, los antecedentes judiciales o el perfil individual de la persona en cuestión. ( 22 )

47.

Por lo tanto, limitar la recogida de datos biométricos y genéticos únicamente a los casos de delitos que presenten un elemento intencional no es suficiente para cumplir el requisito establecido en el artículo 10 de la Directiva 2016/680, según el cual el tratamiento de las categorías especiales de datos a que se refiere dicho artículo «solo [debe permitirse] cuando sea estrictamente necesario».

48.

En segundo lugar, procede señalar que el Tribunal de Justicia ha declarado que, a falta de obligación de la autoridad competente, en virtud del Derecho nacional, de apreciar si el tratamiento de datos personales que ha efectuado o que pretende efectuar es «estrictamente necesario», un órgano jurisdiccional ante el que se haya acudido para que conozca de tal tratamiento de datos personales efectuado por dicha autoridad competente no puede garantizar, en lugar de esta, el cumplimiento de la obligación que incumbe a la referida autoridad en virtud del artículo 10 de la Directiva 2016/680. ( 23 )

49.

Pues bien, el marco jurídico vigente en la República Checa conduce a situaciones en las que, por un lado, las autoridades policiales no realizan un control de proporcionalidad estricto antes de recoger los datos biométricos y genéticos de los interesados y, por otro, los órganos jurisdiccionales de lo contencioso-administrativo deben sustituir a las autoridades policiales en la aplicación de tal control.

50.

Así pues, dado que la normativa checa no impone a las autoridades policiales nacionales la obligación de apreciar el carácter estrictamente necesario, en el sentido del artículo 10 de la Directiva 2016/680, de la recogida de los datos biométricos y genéticos de los interesados en cada caso concreto, dicha normativa no se ajusta al principio de minimización del tratamiento de datos personales que impone esta disposición.

51.

De las consideraciones anteriores se desprende que los artículos 4, apartado 1, letra c), y 6 de la Directiva 2016/680, en relación con su artículo 10, deben interpretarse en el sentido de que se oponen a una normativa nacional que permite la recogida de datos biométricos y genéticos de todas las personas sospechosas o acusadas de haber cometido un delito doloso cuando dicha normativa no impone a la autoridad competente la obligación de apreciar, en cada caso concreto, el carácter «estrictamente necesario» del tratamiento que ha efectuado o que pretende efectuar.

52.

Mediante su segunda cuestión prejudicial, el órgano jurisdiccional remitente pregunta, en esencia, si el artículo 4, apartado 1, letra e), de la Directiva 2016/680 debe interpretarse en el sentido de que se opone a una normativa nacional en virtud de la cual, con el fin de prevenir o de detectar delitos, las autoridades policiales examinan la necesidad de seguir conservando datos biométricos y genéticos sobre la base de normas internas, sin que dicha normativa establezca un plazo máximo de conservación, con la consecuencia de que, en la mayoría de los casos, estos datos se conservan por tiempo indefinido. El citado órgano jurisdiccional pregunta asimismo cuáles son los criterios a la luz de los cuales debe evaluarse la proporcionalidad en cuanto a la duración de la conservación de los datos personales recogidos y conservados con tal fin.

53.

El Tribunal de Justicia preguntó al órgano jurisdiccional remitente si consideraba necesario mantener esta cuestión a la luz de la sentencia DGPN, que fue dictada después de que presentara su petición de decisión prejudicial. El órgano jurisdiccional remitente, tras invitar a las partes del litigio principal a presentar sus observaciones, quiso mantener sus cuestiones y expresó sus dudas en cuanto a la posibilidad de transponer plenamente las conclusiones extraídas por el Tribunal de Justicia en dicha sentencia a la segunda cuestión prejudicial.

54.

En la sentencia DGPN, el Tribunal de Justicia se pronunció por primera vez sobre los límites temporales que rigen la conservación, para fines de lucha contra las infracciones penales, de los datos personales relativos a personas que hayan sido objeto de una condena penal firme, a la luz de la Directiva 2016/680, en el caso de una normativa nacional que prevé la conservación, hasta el fallecimiento de esas personas, de tales datos, incluidos los datos sensibles, sin posibilidad de reevaluar ese período en función de las circunstancias.

55.

Por lo que respecta al carácter proporcionado del plazo de conservación de los datos personales, el Tribunal de Justicia ha precisado que el considerando 26 de la Directiva 2016/680 y los artículos 4, apartado 1, letra e), y 5 de esta establecen un marco general que obliga a los Estados miembros, por una parte, a prever que estos datos se conserven durante un período no superior al necesario para los fines para los que son tratados ( 24 ) y, por otra parte, a disponer que se fijen plazos apropiados para la supresión de dichos datos o para una revisión periódica de la necesidad de conservación de tales datos, así como normas de procedimiento que garanticen el cumplimiento de esos plazos, ( 25 ) al tiempo que dejan a los Estados miembros la tarea de determinar, respetando ese marco, las situaciones concretas en las que la protección de los derechos fundamentales del interesado requiere la supresión de los datos personales y el momento en el que esta debe producirse. ( 26 )

56.

Por lo que respecta, más concretamente, a los datos genéticos y biométricos, como he señalado en particular en el punto 27 de las presentes conclusiones, el artículo 10 de la Directiva 2016/680 establece el requisito de que el tratamiento de datos sensibles se autorice «solo […] cuando sea estrictamente necesario». ( 27 )

57.

Además, el Tribunal de Justicia ha precisado que estas disposiciones no exigen que los Estados miembros establezcan límites temporales absolutos para la conservación de los datos personales, más allá de los cuales deban suprimirse automáticamente. ( 28 )

58.

A pesar de estas enseñanzas, el órgano jurisdiccional remitente subraya que, contrariamente a la cuestión planteada en el asunto que dio lugar a la sentencia DGPN, su segunda cuestión prejudicial se formuló en relación con un objetivo y con una finalidad del tratamiento consistentes en la prevención general de delitos.

59.

El citado órgano jurisdiccional se pregunta, por lo tanto, cómo conciliar, por un lado, el principio de minimización temporal del tratamiento de datos personales y, por otro, dicho objetivo, que es, por su propia naturaleza, prospectivo y no limitado en el tiempo y que supone conservar todo el tiempo posible los datos personales de la máxima cantidad de personas.

60.

Es cierto que, en el asunto que dio lugar a la sentencia DGPN, se preguntó al Tribunal de Justicia en relación con una situación en la que los datos personales, en particular los datos biométricos y genéticos, de una persona condenada mediante sentencia firme por un delito público doloso se conservaban en un registro policial, sin más limitación temporal que la determinada por el fallecimiento de dicha persona, y ello incluso después de que dicha persona hubiera obtenido la rehabilitación. ( 29 )

61.

No obstante, estas circunstancias no se oponen, a mi juicio, a que puedan aplicarse las mismas conclusiones a una situación como la del litigio principal, en la que los datos personales se conservan para el fin de la prevención general de delitos.

62.

En efecto, el Tribunal de Justicia reconoce que la conservación de datos personales puede contribuir al objetivo de interés general enunciado en el considerando 27 de la Directiva 2016/680, según el cual, para la prevención, investigación y enjuiciamiento de las infracciones penales, es necesario que las autoridades competentes traten esos datos recopilados en el contexto de la prevención, la investigación, la detección o el enjuiciamiento de infracciones penales concretas más allá de ese contexto específico, con el fin de adquirir un mejor conocimiento de las actividades delictivas y establecer vínculos entre las distintas infracciones penales detectadas. ( 30 )

63.

Esto implica que las autoridades nacionales tengan la posibilidad de conservar datos personales con fines prospectivos, sin establecer un plazo máximo preciso para la conservación de dichos datos. Sin embargo, la existencia y el funcionamiento de ciertas garantías procesales resultan aún más necesarios en tal situación.

64.

Así, si bien la Directiva 2016/680 no obliga a los Estados miembros a definir límites temporales absolutos para la conservación de los datos personales, más allá de los cuales estos deberían suprimirse automáticamente, la verificación periódica de la necesidad de conservar tales datos me parece de crucial importancia.

65.

A este respecto, es preciso señalar que, por una parte, el artículo 65, apartado 5, de la Ley de la Policía checa prevé la supresión de los datos personales recogidos tan pronto como su procesamiento ya no sea necesario para prevenir, investigar o detectar delitos o para perseguir actos delictivos y, por otra parte, el artículo 82 de dicha Ley obliga a las autoridades policiales a verificar cada tres años la necesidad de seguir tratando los datos personales de los interesados.

66.

Esta normativa, que prevé efectivamente la supresión de tales datos y la revisión, en intervalos regulares, de la necesidad de su conservación, debería, no obstante, estar sujeta a garantías estrictas que permitan proteger eficazmente a los interesados del riesgo de abuso.

67.

En primer lugar, como recuerda el considerando 33 de la Directiva 2016/680, cuando en el Derecho de un Estado miembro se regule la recogida y conservación de datos personales, se deben indicar al menos los procedimientos para la destrucción de dichos datos.

68.

En segundo lugar, en virtud de los artículos 13, apartado 2, letra b), y 14, letra d), de dicha Directiva, todo interesado debe tener derecho a conocer el plazo durante el cual se conservarán sus datos personales o, cuando esto no sea posible, los criterios utilizados para determinar ese plazo. Dicha información es necesaria para que los interesados puedan ejercer los derechos que les confieren los artículos 7 y 8 de la Carta y solicitar el acceso a sus datos personales objeto de tratamiento y, en su caso, la rectificación o supresión de dichos datos, así como para gozar, con arreglo al artículo 47, párrafo primero, de la Carta, de tutela judicial efectiva.

69.

En tercer lugar, en cuanto a la necesidad de conservar datos biométricos y genéticos en particular, la normativa nacional debe establecer disposiciones de las que se desprenda, de manera clara y precisa, que dicha conservación debe limitarse a lo estrictamente necesario para alcanzar el objetivo que persigue, a fin de cumplir los requisitos del artículo 10 de la Directiva 2016/680.

70.

La apreciación del plazo de conservación de estos datos debería atender a diferentes criterios, como la naturaleza y la gravedad de los hechos probados, el tiempo transcurrido desde los hechos, el tiempo restante para que expire el plazo legal de conservación y el nivel de riesgo de que el interesado pueda estar implicado en otros delitos, ( 31 ) o a otras circunstancias, como el contexto específico en el que se cometió el delito, su eventual vínculo con otros procedimientos en curso o incluso los antecedentes o el perfil de dicho interesado.

71.

Pues bien, ni de la resolución de remisión ni de las observaciones presentadas ante el Tribunal de Justicia por los intervinientes en el presente procedimiento se desprende que la normativa checa en materia de conservación de datos biométricos y genéticos establezca garantías suficientes en relación con los procedimientos de destrucción de esos datos, de información a los interesados y de apreciación del carácter «estrictamente necesario», en el sentido del artículo 10 de la Directiva 2016/680, de la conservación de dichos datos.

72.

De las consideraciones anteriores resulta que el artículo 4, apartado 1, letra e), de la Directiva 2016/680, en relación el artículo 10 de esta Directiva, debe interpretarse en el sentido de que no se opone a una normativa nacional que no establece un plazo máximo de conservación de los datos biométricos y genéticos, siempre que dicha normativa prevea la revisión, en intervalos regulares, de la necesidad de conservar esos datos. Las citadas disposiciones exigen, no obstante, que tal revisión esté sujeta a garantías procesales estrictas y permita garantizar que dicha conservación no vaya más allá de un período estrictamente necesario a la luz de los fines para los que se tratan los datos en cuestión.

73.

Mediante su tercera cuestión prejudicial, el órgano jurisdiccional remitente pregunta, en esencia, si, por una parte, los artículos 8, apartado 2, y 10 de la Directiva 2016/680 deben interpretarse en el sentido de que una norma de alcance general debe establecer determinados requisitos materiales y procedimentales mínimos para la recogida, conservación y supresión de datos biométricos y genéticos y si, por otra parte, la jurisprudencia nacional, que precisa los requisitos para la recogida, conservación y supresión de tales datos, puede considerarse «Derecho del Estado miembro» en el sentido de dichas disposiciones.

74.

Se solicita al Tribunal de Justicia que responda a esta cuestión prejudicial en el contexto del régimen jurídico controvertido en el litigio principal, regulado por el artículo 65 de la Ley de la Policía checa, que presenta las siguientes características.

75.

Antes de nada, dicho artículo se aplica mediante actos internos de gestión de la Policía checa en forma de instrucciones del presidente de la Policía. Pues bien, consta que estos actos no pueden tener la condición de «Derecho del Estado miembro», en el sentido del artículo 8, apartado 2, de la Directiva 2016/680.

76.

A continuación, aunque no cabe duda de que el artículo 65 de la Ley de la Policía checa tiene la condición de «Derecho del Estado miembro», no precisa los requisitos concretos para la recogida, conservación y supresión de los datos biométricos y genéticos relativos a los interesados.

77.

Por último, esta normativa se completa con la jurisprudencia de los órganos jurisdiccionales de lo contencioso-administrativo, según la cual las autoridades policiales deben aplicar el criterio de proporcionalidad en cada caso concreto, teniendo en cuenta principalmente los antecedentes penales del interesado, la gravedad específica del tipo de delito por el que esta persona ha sido citada para la realización de los actos de identificación, la personalidad del autor de los hechos y, en el marco de una solicitud de supresión ex post, el plazo transcurrido desde que se cometió el delito, así como cualquier otro comportamiento del autor de los hechos. ( 32 ) Los criterios en los que se basa esta jurisprudencia han sido publicados y son accesibles al público.

78.

A la luz de estos elementos, propondré al Tribunal de Justicia que responda que, aun cuando pueda considerarse la jurisprudencia «Derecho del Estado miembro» en el sentido de la Directiva 2016/680, dicha jurisprudencia no puede, sin embargo, ocupar el lugar de las garantías que una norma de alcance general está obligada a ofrecer en materia de recogida, conservación y supresión de los datos biométricos y genéticos.

79.

Así, ciertamente existen varios argumentos a favor de la idea de que la jurisprudencia cumple el requisito de «Derecho del Estado miembro», en el sentido del artículo 8, apartado 2, de dicha Directiva.

80.

En primer lugar, el considerando 33 de la Directiva 2016/680 establece que «las referencias de [esta] Directiva al Derecho de un Estado miembro, a una base jurídica o a una medida legislativa no requieren necesariamente la existencia de un acto legislativo adoptado por un Parlamento», siempre que «dicho Derecho de un Estado miembro, base jurídica o medida legislativa [sea] clara y precisa y su aplicación previsible para quienes estén sujetos a la misma, tal y como exige la jurisprudencia del Tribunal de Justicia y del Tribunal Europeo de Derechos Humanos».

81.

En segundo lugar, el Tribunal Europeo de Derechos Humanos reconoció, en su sentencia de 16 de abril de 2002, Société Colas Est y otros c. Francia, ( 33 ) que el término «ley» en el sentido del artículo 8, apartado 2, del CEDH debe entenderse en su acepción «material» y no «formal». Así pues, en un ámbito cubierto por el Derecho escrito, la «ley» es el texto en vigor tal como lo hayan interpretado los órganos jurisdiccionales competentes.

82.

Por lo demás, el propio Tribunal de Justicia ha confirmado que el término «ley», utilizado en la expresión «prevista por la ley» que figura en el artículo 8, apartado 2, del CEDH y en la expresión «fundamento legítimo previsto por la ley» recogida en el artículo 8, apartado 2, de la Carta, debe entenderse en su acepción material y no formal. ( 34 )

83.

En tercer lugar, el Tribunal de Justicia, en su sentencia de 21 de junio de 2022, Ligue des droits humains, ( 35 ) precisó que el requisito de que cualquier limitación del ejercicio de los derechos fundamentales debe ser establecida por ley implica que el propio acto que permita la injerencia en dichos derechos debe definir el alcance de la limitación del ejercicio del derecho de que se trate, con la precisión de que, por una parte, este requisito no excluye que la limitación de que se trate se formule en términos lo suficientemente abiertos como para poder adaptarse a supuestos distintos, así como a los cambios de situación, y de que, por otra parte, el Tribunal de Justicia puede, en su caso, precisar, por vía de interpretación, el alcance concreto de la limitación en relación tanto con los propios términos de la normativa de la Unión de que se trate como con su estructura general y los objetivos que persigue, interpretados a la luz de los derechos fundamentales garantizados por la Carta. ( 36 )

84.

Así pues, suponiendo que exista una base jurídica en Derecho interno, la jurisprudencia que, por una parte, sea accesible y previsible y, por otra parte, sea reiterada y no haya sido cuestionada sistemáticamente presenta características materiales suficientes para estar comprendida en el concepto de «Derecho del Estado miembro», en el sentido del artículo 8, apartado 2, de la Directiva 2016/680. ( 37 )

85.

No obstante, he de subrayar que, en determinados casos, en particular cuando está en juego el derecho a la libertad consagrado en el artículo 6 de la Carta, no basta una jurisprudencia consolidada que sancione una práctica reiterada de la Policía, ( 38 ) y que solo la adopción de disposiciones de alcance general (y, por lo tanto, de disposiciones que tengan las características formales de una ley) ofrece las garantías necesarias, en la medida en que un texto de esa índole establece un marco obligatorio y conocido de antemano que servirá de referencia a las autoridades a la hora de apreciar las circunstancias de cada caso concreto. ( 39 )

86.

El Tribunal Europeo de Derechos Humanos también afirma que toda injerencia de una autoridad pública en el derecho de una persona al respeto de su vida privada debe estar «prevista por la ley». ( 40 ) Esta expresión se refiere a la «calidad de la ley», que, en el marco de la protección de datos personales sensibles, debe cumplir un requisito de mayor previsibilidad. Esto presupone que la ley defina claramente el alcance de la facultad de apreciación de las autoridades públicas ( 41 ) y utilice términos suficientemente claros para indicar a todos de manera suficiente en qué circunstancias y en qué condiciones faculta al poder público para recurrir a medidas que afecten a sus derechos protegidos por el CEDH. ( 42 )

87.

Así pues, el citado Tribunal reconoció que las disposiciones legales que autorizaban el tratamiento de datos biométricos personales, en la medida en que estaban redactadas de forma muy amplia y parecían permitir el tratamiento de esos datos en el marco de cualquier tipo de procedimiento judicial, no respetaban el requisito de «calidad de la ley». En efecto, es esencial disponer de normas detalladas que regulen el alcance y la aplicación de las medidas, así como de garantías sólidas contra el riesgo de abuso y arbitrariedad. ( 43 )

88.

Por lo que respecta al presente asunto, tras recordar, por una parte, que los datos biométricos y genéticos, debido a su particular sensibilidad, pueden generar riesgos importantes para las libertades y los derechos fundamentales de los interesados ( 44 ) y, por otra parte, que el tratamiento de dichos datos debe autorizarse «solo […] cuando sea estrictamente necesario», considero que es particularmente cuestionable proteger los derechos de los interesados únicamente mediante la jurisprudencia nacional cuando la ley, en su acepción formal, contempla un control de proporcionalidad incompleto, que no se corresponde con el grado de protección exigido por el artículo 10 de la Directiva 2016/680.

89.

En efecto, las disposiciones de la Ley de la Policía checa, en particular su artículo 65, están formuladas de manera demasiado amplia y no imponen límites preestablecidos suficientes a la facultad de apreciación de que disponen las autoridades policiales en materia de recogida, conservación y supresión de los datos biométricos y genéticos. A falta de tales límites, las condiciones que regulan el tratamiento de estos datos, que resultan únicamente de la jurisprudencia de los órganos jurisdiccionales de lo contencioso-administrativo checos, no pueden cumplir el requisito de unas garantías suficientemente estrictas recogidas en un acto de contenido obligatorio y de aplicación previsible que debe prevalecer en materia de tratamiento de dichos datos.

90.

Además, si bien la transposición de una directiva no exige necesariamente una acción legislativa en cada Estado miembro, una jurisprudencia, aun cuando se la repute consolidada, que interprete unas disposiciones de Derecho interno en un sentido considerado conforme con las exigencias de la directiva no puede tener la claridad y la precisión necesarias para cumplir la exigencia de seguridad jurídica. ( 45 ) De ello se desprende que una jurisprudencia nacional, aun cuando establezca una lista de criterios que permitan apreciar la proporcionalidad del tratamiento de los datos biométricos y genéticos de los interesados en cada caso concreto, no puede paliar la falta de un control de proporcionalidad estricto previsto por una ley en el sentido formal del término.

91.

De las consideraciones anteriores se deduce que los artículos 8, apartado 2, y 10 de la Directiva 2016/680 deben interpretarse en el sentido de que se oponen a que una jurisprudencia nacional, aun cuando pueda considerarse «Derecho del Estado miembro» en el sentido de dicha Directiva, sustituya a una norma de alcance general que no contempla un control estricto, en cada caso concreto y por parte de las autoridades policiales, de la necesidad de recoger y conservar los datos biométricos y genéticos de los interesados.

92.

Habida cuenta de las consideraciones anteriores, propongo al Tribunal de Justicia que responda a las cuestiones prejudiciales planteadas por el Nejvyšší správní soud (Tribunal Supremo de lo Contencioso-Administrativo, República Checa) del siguiente modo:

«Los artículos 4, apartado 1, letras c) y e), 6, 8, apartado 2, y 10 de la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos y por la que se deroga la Decisión Marco 2008/977/JAI del Consejo,

deben interpretarse en el sentido de que