Asunto C‑57/23

contra

Policejní prezidium

(Petición de decisión prejudicial, planteada por el Nejvyšší správní soud)

Sentencia del Tribunal de Justicia (Sala Quinta) de 20 de noviembre de 2025

«Procedimiento prejudicial — Protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y libre circulación de dichos datos — Directiva (UE) 2016/680 — Artículo 4, apartado 1, letras c) y e) — Minimización del tratamiento de datos — Limitación de la conservación de datos personales — Artículo 10 — Recogida y conservación de datos biométricos y genéticos — Estricta necesidad — Artículo 6, letra a) — Obligación de distinguir entre los datos personales de diferentes categorías de personas — Legislación nacional que prevé la recogida de datos biométricos y genéticos de cualquier persona sospechosa o acusada de haber cometido un delito doloso — Artículo 5 — Plazos apropiados para la supresión de dichos datos o para la revisión periódica de la necesidad de su conservación — Inexistencia de plazo máximo de conservación — Evaluación de la necesidad de la conservación de datos biométricos y genéticos por parte de la Policía sobre la base de reglas internas — Artículo 8, apartado 2 — Licitud del tratamiento de dichos datos — Concepto de “Derecho del Estado miembro” — Posibilidad de calificar la jurisprudencia nacional como “Derecho del Estado miembro”»

Aproximación de las legislaciones — Protección de las personas físicas en lo que respecta al tratamiento de datos personales en materia penal — Directiva (UE) 2016/680 — Tratamiento de categorías especiales de datos — Autorización de dicho tratamiento por el Derecho de un Estado miembro — Concepto de Derecho del Estado miembro — Jurisprudencia nacional que interpreta una norma de alcance general — Inclusión — Requisitos

[Carta de los Derechos Fundamentales de la Unión Europea, arts. 8, ap. 2, y 52; Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, considerando 33, y arts. 4, 8 y 10]

(véanse los apartados 50 a 60 y el punto 1 del fallo)
Aproximación de las legislaciones — Protección de las personas físicas en lo que respecta al tratamiento de datos personales en materia penal — Directiva (UE) 2016/680 — Tratamiento de categorías especiales de datos — Normativa nacional que permite la recogida indiscriminada de datos biométricos y genéticos de cualquier persona sospechosa o acusada de haber cometido un delito doloso — Procedencia — Requisitos

[Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, arts. 1, ap. 1, 4, ap. 1, letras b) y c), 6, 8, ap. 2, y 10]

(véanse los apartados 70, 71, 75, 77, 78, 80, 81, 83 a 89 y 94 y el punto 2 del fallo)
Aproximación de las legislaciones — Protección de las personas físicas en lo que respecta al tratamiento de datos personales en materia penal — Directiva (UE) 2016/680 — Tratamiento de categorías especiales de datos — Normativa nacional que establece que se evalúe la necesidad de mantener la conservación de datos biométricos y genéticos por las autoridades policiales sobre la base de reglas internas — Normativa nacional que no prevé un período máximo de conservación de esos datos — Procedencia — Requisitos

[Carta de los Derechos Fundamentales de la Unión Europea, art. 52; Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, arts. 4, ap. 1, letras c) y e), 6, 8, ap. 2, y 16, aps. 2 y 3]

(véanse los apartados 101 a 104 y 110 y el punto 3 del fallo)

Resumen

En el marco de un procedimiento prejudicial planteado por el Nejvyšší správní soud (Tribunal Supremo de lo Contencioso-Administrativo, República Checa), el Tribunal de Justicia se pronuncia sobre la legalidad, en virtud de la Directiva 2016/680, ( 1 ) de la recogida y conservación de los datos biométricos y genéticos de cualquier persona objeto de un proceso penal por la comisión de un delito doloso o sospechosa de haber cometido tal delito.

El 11 de diciembre de 2015, la Policía checa incoó diligencias penales contra JH por un delito de incumplimiento de deberes en la gestión de bienes ajenos. A continuación, oyó a JH en el marco del proceso penal y, a pesar del desacuerdo de este, llevo a cabo diversos actos de identificación, entre ellos la toma de huellas dactilares y de una muestra de saliva para crear un perfil de ADN. ( 2 ) La Policía checa introdujo esta información en las bases de datos pertinentes.

Mediante sentencia dictada en 2017, el Městský soud v Praze (Tribunal Municipal de Praga, República Checa) declaró a JH culpable de los hechos imputados. En 2022, ese mismo órgano jurisdiccional estimó el recurso que JH había interpuesto en 2016, al considerar que los actos de identificación, la conservación y el registro de la información relativa a JH por parte la Policía checa eran ilegales. En consecuencia, ordenó a la policía que suprimiera todos los datos personales de JH resultantes de ello. La policía checa interpuso recurso de casación contra esta resolución ante el órgano jurisdiccional remitente.

En este contexto, se solicita al Tribunal de Justicia que aclare, a la luz de la Directiva 2016/680, si la jurisprudencia nacional puede calificarse de «Derecho del Estado miembro» por lo que atañe a la regulación del tratamiento de datos personales sensibles, si una normativa nacional que permite la recogida de datos biométricos y genéticos de cualquier persona objeto de un proceso penal por la comisión de un delito doloso o sospechosa de haber cometido tal delito es aceptable y si puede admitirse una normativa nacional que no establezca un período máximo de conservación de esos datos.

Apreciación del Tribunal de Justicia

En primer lugar, el Tribunal de Justicia aporta precisiones sobre el concepto de «Derecho del Estado miembro», en el sentido de los artículos 8 y 10 de la Directiva 2016/680, que establecen los requisitos de licitud del tratamiento de datos personales, incluidos los datos sensibles, y que prevén que dicho tratamiento puede ser autorizado por el Derecho de un Estado miembro.

En este contexto, el Tribunal de Justicia recuerda que todo tratamiento de datos personales no realizado sobre la base del consentimiento del interesado debe efectuarse en virtud de otro fundamento legítimo previsto por la «ley», ( 3 ) debiendo entenderse este término en su acepción material y no formal, ( 4 ) y referido al texto en vigor tal como lo hayan interpretado los órganos jurisdiccionales competentes. ( 5 ) Asimismo, la exigencia prevista en el artículo 52 de la Carta de que cualquier limitación del ejercicio de derechos fundamentales reconocidos por dicha Carta debe ser establecida por ley no excluye que, por una parte, la limitación de que se trate se formule en términos lo suficientemente abiertos como para poder adaptarse a supuestos distintos, así como a los cambios de situación, ni, por otra parte, que el juez competente pueda, en su caso, precisar, por vía de interpretación, el alcance concreto de la mencionada limitación en relación tanto con los propios términos de ese acto que permite la injerencia como con la estructura general de dicho acto y los objetivos que este último persigue. ( 6 )

El Tribunal de Justicia deduce de ello que debe entenderse que el concepto de «Derecho del Estado miembro» puede referirse a una norma que contemple expresamente la realización de un tratamiento de datos personales comprendido en el ámbito de aplicación de la Directiva 2016/680, tal como la interprete la jurisprudencia de los órganos jurisdiccionales nacionales. Dicho esto, por una parte, esta referencia al «Derecho» del Estado miembro que «regule» el tratamiento implica que los objetivos, los datos personales que vayan a ser objeto del tratamiento y las finalidades estén previstos, al menos por lo que atañe a sus principios, por una norma de alcance general. Por otra parte, el artículo 8, apartado 2, de la Directiva 2016/680 tiene por objeto que el Derecho del Estado miembro responsable del tratamiento sea claro y preciso y que su aplicación sea previsible para los justiciables, tal y como exige la jurisprudencia del Tribunal de Justicia ( 7 ) y del Tribunal Europeo de Derechos Humanos. ( 8 )

Así pues, el Tribunal de Justicia declara que los artículos 8 y 10 de la Directiva 2016/680 deben interpretarse en el sentido de que, por lo que respecta a la recogida, conservación y supresión de datos biométricos y genéticos, el concepto de «Derecho del Estado miembro», en el sentido de dichos artículos, debe entenderse referido a una norma de alcance general que establezca los requisitos mínimos de recogida, conservación y supresión de esos datos, tal como la interprete la jurisprudencia de los órganos jurisdiccionales nacionales, siempre que dicha jurisprudencia sea accesible y suficientemente previsible.

En segundo lugar, el Tribunal de Justicia aborda la cuestión de si la Directiva 2016/680 ( 9 ) se opone a una normativa nacional que permita indistintamente la recogida de datos biométricos y genéticos de cualquier persona objeto de un proceso penal por la comisión de un delito doloso o sospechosa de haber cometido tal delito.

Por una parte, el Tribunal de Justicia señala que el artículo 6 de la Directiva 2016/680, que obliga a los Estados miembros a garantizar que el responsable del tratamiento, «cuando corresponda y en la medida de lo posible», establezca una distinción clara entre los datos personales de las distintas categorías de interesados en función esencialmente de su situación penal, no se opone a una normativa nacional que permita, indistintamente, la recogida de datos biométricos y genéticos de las personas comprendidas en la categoría de personas «objeto de un proceso penal por la comisión de un delito doloso» y de las personas comprendidas en la categoría de personas «sospechosas de haber cometido tal delito», en el sentido del Derecho nacional, cuando los fines de esa recogida no impongan establecer una distinción entre esas dos categorías de personas cuyos datos pueden ser recogidos sobre la base de la referida normativa.

Por otra parte, el Tribunal de Justicia se pronuncia sobre el artículo 4, apartado 1, letra c), de la Directiva 2016/680, que establece los principios relativos al tratamiento de datos personales, en relación con el artículo 10 de esta Directiva, que se refiere a los requisitos específicos aplicables al tratamiento de datos personales sensibles, entre los que se encuentran los datos biométricos y genéticos. El Tribunal de Justicia señala, en particular, que ese tratamiento debe ser estrictamente necesario, lo cual debe apreciarse de un modo especialmente riguroso a la luz de los fines perseguidos por dicho tratamiento.

El Tribunal de Justicia constata que el concepto de «fines del tratamiento», si bien no se define en la Directiva 2016/680, debe entenderse referido a las finalidades específicas y concretas perseguidas por una tratamiento de datos personales a la luz de la función encomendada al responsable del tratamiento, como un cometido específico vinculado a la prevención o a la detección de infracciones penales o a la realización de una investigación o enjuiciamiento de infracciones penales o la ejecución de sanciones penales.

En este contexto, el Tribunal de Justicia recuerda las exigencias relativas al requisito del carácter «estrictamente necesario», en particular la consideración de la especial importancia del fin que persigue el tratamiento de que se trate y de todos los elementos pertinentes, así como el riguroso control del respecto del principio de minimización del tratamiento de los datos de que se trate. ( 10 ) Concluye que, si bien un Estado miembro puede dar cumplimiento a lo dispuesto en la Directiva 2016/680, ya sea delegando en las autoridades competentes la tarea de velar, en cada caso concreto, por el cumplimiento del requisito, para cualquier tratamiento de datos personales sensibles, de ser estrictamente necesario, ya sea fijando, a nivel legislativo, criterios de apreciación que las autoridades deben aplicar posteriormente de manera no discrecional, no es menos cierto que, en este segundo supuesto, esos criterios deben poder cumplir todas las exigencias derivadas de este mismo requisito.

El Tribunal de Justicia deduce de ello que los artículos 6 y 4, apartado 1, letra c), de la Directiva 2016/680, en relación con su artículo 10, no se oponen a una normativa nacional que permita, indistintamente, la recogida de datos biométricos y genéticos de cualquier persona objeto de un proceso penal por la comisión de un delito doloso o sospechosa de haber cometido tal delito, siempre que, por una parte, los fines de esa recogida no impongan que se establezca una distinción entre estas dos categorías de personas y que, por otra parte, los responsables del tratamiento estén obligados, con arreglo al Derecho nacional, incluida la jurisprudencia de los órganos jurisdiccionales nacionales, a respetar todos los principios y requisitos específicos enunciados en los artículos 4 y 10 de la mencionada Directiva.

En tercer y último lugar, el Tribunal de Justicia examina si los requisitos establecidos por la Directiva 2016/680 se oponen a una normativa nacional según la cual la necesidad de mantener la conservación de datos biométricos y genéticos es evaluada por las autoridades policiales sobre la base de normas internas, sin que la referida normativa prevea un período máximo de conservación.

A este respecto, por una parte, por lo que atañe al hecho de que la normativa nacional de que se trate no establezca un período máximo de conservación de esos datos, el Tribunal de Justicia subraya que, cuando un Estado miembro fija plazos apropiados de revisión periódica de la necesidad de conservar datos personales y, con ocasión de dicha revisión, hay que evaluar la estricta necesidad de prolongar dicha conservación, debe considerarse que el Derecho del Estado miembro de que se trate cumple los requisitos establecidos en la Directiva 2016/680. Así pues, incluso en caso de conservación de datos personales sensibles, un Estado miembro que haya actuado de ese modo no está obligado a establecer límites temporales absolutos para la conservación de esos datos, más allá de los cuales estos últimos deben suprimirse automáticamente. ( 11 )

El Tribunal de Justicia precisa, en cambio, que el carácter apropiado de los plazos de revisión exige que los datos personales hasta entonces conservados se supriman si, con ocasión de una de las revisiones efectuadas, la conservación de los mismos datos ya no es estrictamente necesaria. Además, estos plazos de revisión no pueden considerarse apropiados si los cambios de situación penal del interesado, considerados pertinentes a la luz del fin perseguido por la conservación, no conllevan la obligación del responsable del tratamiento de volver a examinar en un plazo razonable la necesidad de conservar los datos relativos a esa persona.

Por otra parte, por lo que atañe al hecho de que la necesidad de mantener la conservación de datos biométricos y genéticos sea evaluada por las autoridades policiales sobre la base de reglas internas, el Tribunal de Justicia señala que tal hecho no es, en sí mismo, contrario al artículo 8, apartado 2, de la Directiva 2016/680, siempre que esas reglas obliguen a esas autoridades policiales a velar por el cumplimiento del requisito de la estricta necesidad de conservar esos datos y que el margen de apreciación de esas autoridades esté suficientemente delimitado por el Derecho nacional, incluida la jurisprudencia nacional.

Por tanto, el Tribunal de Justicia concluye que el artículo 4, apartado 1, letra e), de la Directiva 2016/680 no se opone a una normativa nacional en virtud de la cual la necesidad de mantener la conservación de datos biométricos y genéticos es evaluada por las autoridades policiales sobre la base de reglas internas, sin que la referida normativa prevea un período máximo de conservación, siempre que tal normativa fije plazos apropiados de revisión periódica de la necesidad de conservar esos datos y que, con ocasión de dicha revisión, se evalúe la estricta necesidad de prolongar su conservación.

( 1 ) Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos y por la que se deroga la Decisión Marco 2008/977/JAI del Consejo (DO 2016, L 119, p. 89).

( 2 ) De conformidad con el artículo 65 de la zákon č. 273/2008 Sb., o Policii České republiky (Ley n.o 273/2008, sobre la Policía de la República Checa), en su versión aplicable al litigio principal.

( 3 ) Artículo 8, apartado 2, de la Carta de los Derechos Fundamentales de la Unión Europea (en lo sucesivo, «Carta»).

( 4 ) Sentencia de 16 de noviembre de 2023, Roos y otros/Parlamento (C‑458/22 P, EU:C:2023:871), apartados 61.

( 5 ) Véase, en este sentido, TEDH, sentencia de 23 de enero de 2025, H. W. c. Francia, CE:ECHR:2025:0123JUD001380521, apartado 65.

( 6 ) Véase, por analogía, la sentencia de 21 de junio de 2022, Ligue des droits humains (C‑817/19, EU:C:2022:491), apartado 114.

( 7 ) À este respecto, véanse las sentencias de 8 de abril de 2014, Digital Rights Ireland y otros (C‑293/12 y C‑594/12, EU:C:2014:238), apartado 54, y de 6 de octubre de 2015, Schrems (C‑362/14, EU:C:2015:650), apartado 91.

( 8 ) Véase, en este sentido, en particular, TEDH, sentencia de 26 de abril de 1979, Sunday Times c. Reino Unido, CE:ECHR:1979:0426JUD00065387), apartados 25 y 52; TEDH, sentencia de 1 de julio de 2008, Liberty y otros c. Reino Unido, CE:ECHR:2008:0701JUD005824300, apartados 62 y 63; TEDH, sentencia de 4 de diciembre de 2008, S. y Marper c. Reino Unido, CE:ECHR:2008:1204JUD003056204, apartado 95.

( 9 ) En concreto, los artículos 6 y 4, apartado 1, letra c), de la Directiva 2016/680, en relación con su artículo 10.

( 10 ) Véase, en este sentido, la sentencia de 26 de enero de 2023, Ministerstvo na vatreshnite raboti (Registro de datos biométricos y genéticos por la Policía) (C‑205/21, EU:C:2023:49), apartados 125, 127 y 132.

( 11 ) Véase, en este sentido, la sentencia de 30 de enero de 2024, Direktor na Glavna direktsia Natsionalna politsia pri MVR — Sofia (C‑118/22, EU:C:2024:97), apartado 52.