1.

Onko henkilötietojen säilyttämisestä poliisin rekisterissä syytä huolestua silloin, kun rekisteriin merkityn henkilön katsotaan uhkaavan yhteiskunnan turvallisuutta mahdollisesti jopa hänen loppuelämänsä ajan? Vai onko tälle polisiin rekisterille annettava päinvastoin kiitosta siitä, että sen avulla rikostutkijat onnistuvat ratkaisemaan vanhoja selvittämättömiä tapauksia (”cold cases”) ja uhrien perheet saavat hyvitystä kärsimykselleen?

2.

Nyt käsiteltävässä asiassa on kyseessä nimenomaan tämä vastakkainasettelu, jossa on sovitettava yhteen rikosten torjuntaan liittyvä yleinen etu ja yksilön etu, joka liittyy hänen henkilötietojensa suojaamiseen ja yksityiselämänsä kunnioittamiseen. Unionin tuomioistuin saa nyt tilaisuuden ottaa kantaa tällaisten tietojen käsittelyyn lainvalvontatarkoituksessa ottaen huomioon tähän liittyvän ajallisen ulottuvuuden sekä asian kannalta merkitykselliset direktiivin (EU) 2016/680 ( 2 ) säännökset.

3.

Käsiteltävän asian kannalta merkityksellisiä ovat direktiivin 2016/680 4, 5, 8, 10 ja 16 artikla sekä Euroopan unionin perusoikeuskirjan (jäljempänä perusoikeuskirja) 52 artiklan 1 kohta.

4.

Sisäministeriöstä annetun lain (Zakon za ministerstvo na vatreshnite raboti, jäljempänä ZMVR) 26 §:n 1 ja 2 momentissa säädetään seuraavaa:

”(1)   Käsitellessään henkilötietoja kansallisen turvallisuuden suojelemiseen, rikollisuuden torjumiseen, yleisen järjestyksen ylläpitämiseen ja rikosoikeudenkäyntien toteuttamiseen liittyvän toiminnan yhteydessä sisäministeriön virkamiehet

– –

– –

(2)   Sisäministeri vahvistaa edellä 1 momentissa tarkoitettujen tietojen säilyttämistä tai tietojen säilyttämisen tarpeellisuuden säännöllistä tarkistamista koskevat määräajat. Kyseisiä tietoja voidaan poistaa myös tuomioistuimen toteuttaman toimen tai henkilötietojen suojasta vastaavan lautakunnan päätöksen nojalla.”

5.

ZMVR:n 27 §:ssä säädetään seuraavaa:

”Tietoja, jotka ovat peräisin henkilöiden merkitsemisestä poliisin rekisteriin 68 §:n perusteella, käytetään vain kansallisen turvallisuuden suojelemiseen, rikollisuuden torjumiseen ja yleisen järjestyksen ylläpitämiseen.”

6.

ZMVR:n 68 §:ssä säädetään seuraavaa:

”(1)   Poliisiviranomaiset merkitsevät henkilöt, joiden osalta on aloitettu esitutkinta virallisen syytteen alaisesta tahallisesta rikoksesta, poliisin rekisteriin. Tutkintaviranomaisten on toteutettava tarvittavat toimenpiteet poliisiviranomaisten tekemää rekisterimerkintää varten.

(2)   Poliisin rekisteriin merkitseminen on edellä 1 momentissa tarkoitettujen henkilöiden henkilötietojen käsittelyn yksi muoto, johon sovelletaan tämän lain mukaisia edellytyksiä.

(3)   Kun poliisiviranomaiset merkitsevät henkilön poliisin rekisteriin, ne

– –

(6)   Poliisin rekisterissä oleva merkintä poistetaan henkilötietojen rekisterinpitäjän tai tämän valtuuttaman virkamiehen kirjallisesta määräyksestä, viran puolesta tai rekisteröidyn esittämästä perustellusta kirjallisesta pyynnöstä, jos

(7)   Poliisin rekisteriin merkitsemisessä ja merkinnän poistamisessa noudatettavat yksityiskohtaiset säännöt annetaan ministerineuvoston asetuksella.”

7.

NG on merkitty poliisin rekisteriin erään tutkinnan yhteydessä perättömästä lausumasta, joka on Bulgarian rikoskoodeksin (Nakazatelen Kodeks) 290 §:n 1 momentin mukainen rikos. Kyseisen tutkinnan päätteeksi NG:tä vastaan nostettiin syyte 2.7.2015, hänet todettiin syylliseksi ja hänelle määrättiin yhden vuoden ehdollinen vankeusrangaistus 28.6.2016 annetulla tuomiolla, joka pysytettiin muutoksenhaussa 2.12.2016 annetulla tuomiolla. Rangaistus oli suoritettu 14.3.2018.

8.

NG pyysi 15.7.2020 kyseisen rekisterimerkinnän poistamista Bulgarian sisäministeriön (Ministerstvo na vatreshnite raboti) alaisuudessa toimivalta toimivaltaiselta alueviranomaiselta esittämällä rikosrekisteristään otteen, joka osoitti, ettei häntä ollut tuomittu rikoksesta.

9.

Toimivaltainen hallintoviranomainen hylkäsi kyseisen pyynnön 2.9.2020 antamallaan päätöksellä sillä perusteella, ettei lainvoimainen tuomio kuulu ZMVR:n 68 §:n 6 momentissa tyhjentävästi lueteltuihin perusteisiin, joiden nojalla poliisin rekisterissä oleva merkintä voidaan poistaa, ja näin on myös silloin, kun Bulgarian rikoskoodeksin 85 §:ssä tarkoitettu rehabilitointi on tapahtunut. NG nosti 8.10.2020 kyseistä päätöstä koskevan kanteen Administrativen sad Sofia gradissa (Sofian hallintotuomioistuin, Bulgaria). Kyseinen tuomioistuin hylkäsi kanteen 2.2.2021 antamallaan tuomiolla.

10.

NG valitti Administrativen sad Sofia gradin tuomiosta Varhoven administrativen sadiin (ylin hallintotuomioistuin, Bulgaria). Pääasiallisena valitusperusteena on sen periaatteen noudattamatta jättäminen, joka ilmenee direktiivin 2016/680 5, 13 ja 14 artiklasta ja jonka mukaan henkilötietojen käsittely säilyttämällä ei voi kestää loputtomiin. Jos poliisin rekisterissä olevan merkinnän poistamista koskevaa perustetta ei ole, tuomittu ei voi rehabilitoinnin tapahduttua pyytää niiden henkilötietojensa poistamista, jotka on kerätty sen rikoksen yhteydessä, josta määrätyn rangaistuksen hän on suorittanut, joten tietojen säilyttäminen voi kestää rajoittamattoman ajan.

11.

Ennakkoratkaisua pyytänyt tuomioistuin on epävarma poliisin rekisteriä koskevan kansallisen lainsäädännön unionin oikeuden mukaisuudesta, joten se päätti lykätä pääasian käsittelyä ja esittää unionin tuomioistuimelle seuraavan ennakkoratkaisukysymyksen:

”Voidaanko – – direktiivin – – 2016/680 5 artiklaa, luettuna yhdessä 13 artiklan 2 kohdan b alakohdan ja 3 kohdan kanssa, tulkita niin, että tulkinta on esteenä sellaisille kansallisille lainsäädäntötoimille, jotka johtavat siihen, että toimivaltaisilla viranomaisilla on käytännössä rajoittamaton oikeus käsitellä henkilötietoja rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten, ja/tai siihen, että rekisteröity menettää oikeutensa tietojensa käsittelyn rajoittamiseen tai niiden poistamiseen tai tuhoamiseen?”

12.

Kirjallisia huomautuksia ovat esittäneet Bulgarian, Tšekin, Irlannin, Espanjan ja Puolan hallitukset sekä Euroopan komissio. Pääasian valittajan, Bulgarian, Irlannin, Espanjan, Alankomaiden ja Puolan hallitusten sekä komission suulliset lausumat kuultiin istunnossa, joka pidettiin 7.2.2013.

13.

Ennakkoratkaisupyynnöstä ilmenee, että ennakkoratkaisua pyytänyt tuomioistuin pitää ilmeisen selvänä, että riidanalainen kansallinen lainsäädäntö kuuluu direktiivin 2016/680 soveltamisalaan aineellisesti; tästä näkemyksestä on aiheellista esittää muutamia huomautuksia.

14.

Kun direktiivin 2016/680 1 artiklan 1 kohtaa ja 2 artiklan 1 kohtaa luetaan yhdessä, niiden mukaisesti kyseistä direktiiviä sovelletaan toimivaltaisten viranomaisten suorittamaan henkilötietojen käsittelyyn rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelua ja tällaisten uhkien ehkäisyä varten. Direktiivin 2016/680 2 artiklan 3 kohdan a alakohdassa suljetaan kyseisen direktiivin soveltamisalan ulkopuolelle henkilötietojen käsittely, jota suoritetaan ”sellaisen toiminnan yhteydessä, joka ei kuulu unionin oikeuden soveltamisalaan”. Kyseisen direktiivin johdanto-osan 12 ja 14 perustelukappaleessa täsmennetään kyseisen soveltamatta jättämistä koskevan poikkeuksen sisältöä toteamalla sen kattavan erityisesti kansallista turvallisuutta koskevat toimet, toisin kuin yleisen järjestyksen ylläpitäminen, joka on annettu poliisiviranomaisten tai muiden lainvalvontaviranomaisten tehtäväksi silloin, kun se on tarpeen sellaisilta yleiseen turvallisuuteen ja yhteiskunnan perustavanlaatuisiin lailla suojattuihin etuihin kohdistuvilta uhkilta suojelua ja niiden ehkäisyä varten, jotka voivat johtaa rikokseen.

15.

Tulkitessaan asetuksen (EU) 2016/679 ( 3 ) 2 artiklan 2 kohdan a alakohtaa, jossa säädetään kyseisen asetuksen soveltamista koskevasta poikkeuksesta, joka on muotoiltu täsmälleen saman sisältöisesti kuin direktiivin 2016/680 2 artiklan 3 kohdan a alakohdassa oleva poikkeus, unionin tuomioistuin on todennut, että ensin mainitun säännöksen, luettuna kyseisen asetuksen johdanto-osan 16 perustelukappaleen valossa, ainoana tarkoituksena on katsottava olevan sulkea mainitun asetuksen soveltamisalan ulkopuolelle sellainen henkilötietojen käsittely, jota valtion viranomaiset suorittavat sellaisen toiminnan yhteydessä, jonka tarkoituksena on kansallisen turvallisuuden turvaaminen, tai sellaisen toiminnan yhteydessä, jonka voidaan katsoa kuuluvan samaan ryhmään, joten pelkästään se seikka, että jokin toiminto on valtiolle tai viranomaiselle ominaista, ei ole riittävä, jotta kyseistä poikkeusta voitaisiin soveltaa tällaiseen toimintaan automaattisesti. Unionin tuomioistuin on täsmentänyt, että toiminnat, joiden tarkoituksena on kansallisen turvallisuuden turvaaminen, kattavat erityisesti toiminnat, joiden tarkoituksena on suojata keskeiset valtion tehtävät ja yhteiskunnan perustavanlaatuiset edut. ( 4 )

16.

Nyt käsiteltävässä tapauksessa tiedot, jotka poliisi merkitsee rekisteriin ja säilyttää ZMVR:n 68 §:n nojalla, merkitään rekisteriin ja säilytetään siinä kyseisen lain 27 §:n mukaisesti kansallisen turvallisuuden suojelemiseen, rikollisuuden torjumiseen ja yleisen järjestyksen ylläpitämiseen liittyvissä tarkoituksissa. Vaikuttaa siis siltä, että kyseinen poliisin rekisteri on yksi ainoa yhdistelmätietokanta, sillä siihen koottuja tietoja voidaan käsitellä erilaisissa tarkoituksissa, kuten kansallisen turvallisuuden suojelemiseen liittyvissä tarkoituksissa, jotka eivät kuulu direktiivin 2016/680 aineelliseen soveltamisalaan. Näissä olosuhteissa kyseiseen rekisteriin sisältyvien tietojen säilyttämisen laillisuutta voidaan tutkia suhteessa direktiivin vaatimuksiin vain, jos näitä tietoja käytetään ainoastaan kyseisen direktiivin 1 artiklan 1 kohdassa mainituissa tarkoituksissa, mikä ennakkoratkaisua pyytäneen tuomioistuimen on tarkistettava. ( 5 ) Unionin tuomioistuimelle esitetyn asiakirja-aineiston perusteella niiden NG:tä koskevien tietojen säilyttäminen poliisin rekisterissä, joiden poistamista NG on pyytänyt, voidaan pitää direktiivin 2016/680 aineellisen soveltamisalan ulkopuolelle jäävänä käsittelynä.

17.

Tässä vaiheessa on korostettava, että pääasiassa kyseessä olevaa kansallista lainsäädäntöä on käsitelty jo unionin tuomioistuimen tuomiossa, joka on annettu bulgarialaisen tuomioistuimen pyydettyä ennakkoratkaisua käsiteltäväkseen saatetussa asiassa, jossa sen piti arvioida veropetoksen vuoksi esitutkinnan kohteeksi joutuneen henkilön kieltäytymistä suostumasta tietojensa keräämiseen. Unionin tuomioistuin otti kyseisessä tuomiossa kantaa muun muassa tietojen keräämisen lainmukaisuuteen direktiivin 2016/680 10 artiklan vaatimukset huomioon ottaen, ja se totesi, että direktiivin 2016/680 10 artiklaa, luettuna yhdessä sen 4 artiklan 1 kohdan a, b ja c alakohdan sekä 8 artiklan 1 ja 2 kohdan kanssa, on tulkittava siten, että se on esteenä kansalliselle lainsäädännölle, jossa säädetään henkilön, jonka osalta on aloitettu esitutkinta virallisen syytteen alaisesta tahallisesta rikoksesta, biometristen ja geneettisten tietojen järjestelmällisestä keräämisestä niiden rekisteröintiä varten ja jossa ei säädetä toimivaltaisen viranomaisen velvollisuudesta yhtäältä tarkastaa, onko tietojen kerääminen ehdottoman välttämätöntä tavoiteltujen konkreettisten tavoitteiden saavuttamiseksi, ja osoittaa tätä ja toisaalta tarkastaa, voitaisiinko nämä tavoitteet saavuttaa toimenpiteillä, joilla puututaan vähemmän kyseisen henkilön oikeuksiin ja vapauksiin, ja osoittaa tätä. ( 6 ) Nyt käsiteltävässä asiassa unionin tuomioistuimen on tutkittava toisenlaisen oikeuksiin puuttumisen lainmukaisuutta eli tilannetta, jossa rikoksesta tuomittua luonnollista henkilöä, jonka etunimi ja sukunimi on merkitty kyseiseen poliisin rekisteriin, koskevia tietoja säilytetään, kun kyseinen säilyttäminen katsotaan direktiivin 2016/680 3 artiklan 1 ja 2 kohdan sekä 3 artiklan 7 kohdan a alakohdan mukaisesti toimivaltaisen viranomaisen eli Bulgarian sisäministeriön suorittamaksi henkilötietojen käsittelyksi rikosten ennalta estämistä, tutkimista ja paljastamista varten.

18.

Aluksi on huomautettava, että kansallisten tuomioistuinten ja unionin tuomioistuimen välille SEUT 267 artiklalla luodussa yhteistyömenettelyssä unionin tuomioistuimen tehtävänä on antaa kansalliselle tuomioistuimelle hyödyllinen vastaus, jonka perusteella kansallinen tuomioistuin voi ratkaista siinä vireillä olevan asian. Unionin tuomioistuimen on tämän vuoksi tarvittaessa muotoiltava sille esitetyt kysymykset uudelleen. Unionin tuomioistuimen tehtävänä on nimittäin tulkita kaikkia unionin oikeuden säännöksiä, joita kansalliset tuomioistuimet tarvitsevat ratkaistessaan niiden käsiteltäväksi saatettuja asioita, vaikka näitä säännöksiä ei olisi nimenomaisesti mainittu kansallisten tuomioistuinten unionin tuomioistuimelle esittämissä kysymyksissä. ( 7 )

19.

Pääasian tosiseikat koskevat luonnollisen henkilön esittämää pyyntöä poliisin rekisteriin merkittyjen henkilötietojen poistamiseksi, kun kyseinen luonnollinen henkilö on perättömästä lausumasta saamansa tuomion jälkeen suorittanut rangaistuksensa ja rehabilitaatio on tapahtunut 14.3.2020 eli lähes viisi vuotta edellä mainitun rekisterimerkinnän tekemisen jälkeen. Kyseinen pyyntö hylättiin toimivaltaisen viranomaisen päätöksellä, jonka Administrativen sad Sofia grad pysytti ensimmäisessä oikeusasteessa antamallaan tuomiolla, josta on tehty valitus ennakkoratkaisua pyytäneelle tuomioistuimelle, joka epäilee kansallisen lainsäädännön yhteensopivuutta direktiivin 2016/680 kanssa tietojen säilyttämistä poliisin rekisterissä koskevan kysymyksen osalta. Pääasiassa on siis selvästi kyse oikeudesta henkilötietojen poistamiseen ilman aiheetonta viivytystä, sellaisena kuin siitä säädetään direktiivin 2016/680 16 artiklan 2 kohdassa, jos tietojen käsittely rikkoo kyseisen direktiivin 4, 8 tai 10 artiklan nojalla annettuja säännöksiä tai jos kyseiset tiedot on poistettava rekisterinpitäjän lakisääteisen velvoitteen noudattamiseksi.

20.

Direktiivin 2016/680 4 artiklan 1 kohdan c ja e alakohdassa säädetään, että jäsenvaltioiden on varmistettava, että henkilötiedot ovat kyseisten tietojen minimoinnin ja niiden säilyttämisen rajoittamisen periaatteiden mukaisesti asianmukaisia ja olennaisia eivätkä ne ole liian laajoja niihin tarkoituksiin, joita varten niitä käsitellään, ja että ne säilytetään muodossa, josta rekisteröity on tunnistettavissa, ainoastaan niin kauan kuin on tarpeen henkilötietojen käsittelytarkoitusten toteuttamista varten. ( 8 ) Kyseisen direktiivin 8 artikla koskee käsittelyn lainmukaisuutta, joka edellyttää, että käsittely on tarpeen toimivaltaisen viranomaisen tehtävän suorittamiseksi kyseisen direktiivin 1 artiklan 1 kohdan tarkoitusta varten ja että se perustuu unionin oikeuteen tai jäsenvaltion lainsäädäntöön, jossa on täsmennettävä ainakin käsittelyn tavoitteet, käsiteltävät henkilötiedot ja käsittelyn tarkoitukset. Direktiivin 2016/680 10 artiklassa määritetään vielä erityisiä henkilötietoryhmiä, kuten poliisin rekisterissä luonnollisen henkilön yksilölliseen tunnistamiseen käytettäviä biometrisiä ja geneettisiä tietoja, koskevassa käsittelyssä noudatettava oikeudellinen säännöstö.

21.

On todettava, että edellisessä kohdassa esille otettuja säännöksiä ei mainita ennakkoratkaisukysymyksessä, vaikka ne ovat ilmeisen merkityksellisiä sen vastauksen kannalta, jota unionin tuomioistuimelta pyydetään nyt käsiteltävässä asiassa. Ennakkoratkaisua pyytänyt tuomioistuin pyytää direktiivin 2016/680 5 artiklan, 13 artiklan 2 kohdan b alakohdan ja 13 artiklan 3 kohdan tulkintaa, eivätkä nämä säännökset kuulu niihin kyseisen direktiivin 16 artiklan 2 kohdassa nimenomaisesti mainittuihin säännöksiin, joiden rikkominen kansallisella lainsäädännöllä oikeuttaa käyttämään rekisteröidylle kuuluvaa oikeutta saada tietonsa poistettua. Kyseinen oikeus myönnetään kuitenkin myös silloin, kun tiedot on poistettava rekisterinpitäjälle kuuluvan lakisääteisen velvoitteen noudattamiseksi, mikä voi vastata kyseisen direktiivin 5 artiklassa ja 13 artiklan 2 kohdan b alakohdassa tarkoitettuja tilanteita eli tietojen enimmäissäilytysajan tai säilyttämistarpeen tutkimista koskevien määräaikojen vahvistamista ( 9 ) sekä sitä, että rekisterinpitäjä toimittaa rekisteröidylle tietyissä tilanteissa muitakin tietoja kuin niitä, jotka mainitaan 13 artiklan 1 kohdassa, jotta tämä voi käyttää oikeuksiaan. Sitä vastoin 13 artiklan 3 kohta koskee jäsenvaltioiden mahdollisuutta antaa tietyin edellytyksin lainsäädäntötoimia, joilla pyritään viivästyttämään tai rajoittamaan tietojen toimittamista rekisteröidylle 2 kohdan mukaisesti tai jopa jättämään ne toimittamatta, mikä ei voi kuulua rekisterinpitäjälle asetettuun lakisääteiseen velvoitteeseen.

22.

Ennakkoratkaisupyynnöstä ei kuitenkaan ilmene, että NG:n tietoja koskeva kysymys olisi otettu pääasiassa esille NG:n oikeuksien kannalta, vaan asianosainen on ilmeisesti pystynyt käyttämään oikeuksiaan, minkä osoittaa ensin hallintoviranomaisille esitetty oikaisuvaatimus ja sitten oikeusviranomaisille tehty muutoksenhaku, joka koskee hänen tietojensa säilyttämistä. Unionin tuomioistuimelle esitetty kysymys ei vaikuta siis edellyttävän direktiivin 2016/680 13 artiklan 2 kohdan b alakohdan ja 13 artiklan 3 kohdan tulkintaa. Pääasiassa on siten kyse erityisesti direktiivin 2016/680 16 artiklan 2 kohdasta sekä saman direktiivin 4, 5, 8 ja 10 artiklasta.

23.

Lisäksi, kuten direktiivin 2016/680 johdanto-osan 104 perustelukappaleessa todetaan, kyseisessä direktiivissä kunnioitetaan perusoikeuksia ja otetaan huomioon perusoikeuskirjassa tunnustetut periaatteet, sellaisina kuin ne on vahvistettu Euroopan unionin toiminnasta tehdyssä sopimuksessa, erityisesti oikeus yksityis- ja perhe-elämän kunnioittamiseen ja oikeus henkilötietojen suojaan. Direktiivin johdanto-osan 46 perustelukappaleen mukaan kaikkien rekisteröityjen oikeuksien rajoitusten on oltava perusoikeuskirjan ja Roomassa 4.11.1950 allekirjoitetun, ihmisoikeuksien ja perusvapauksien suojaamiseksi tehdyn eurooppalaisen yleissopimuksen (jäljempänä Euroopan ihmisoikeussopimus) mukaisia unionin tuomioistuimen ja Euroopan ihmisoikeustuomioistuimen oikeuskäytäntöjen tulkitsemalla tavalla, ja on noudatettava erityisesti kyseisten oikeuksien ja vapauksien olennaista sisältöä. On muistutettava, etteivät yksityiselämän kunnioittamista ja henkilötietojen suojaa koskevat perusoikeudet, jotka taataan perusoikeuskirjan 7 ja 8 artiklassa, ole ehdottomia oikeuksia, vaan ne on suhteutettava niiden tehtävään yhteiskunnassa ja saatettava tasapainoon muiden perusoikeuksien kanssa. Perusoikeuskirjan 52 artiklan 1 kohdan mukaan rajoituksia voidaan siis tehdä, jos niistä säädetään lailla ja niissä kunnioitetaan perusoikeuksien keskeistä sisältöä sekä suhteellisuusperiaatetta. Viimeksi mainitun periaatteen mukaisesti rajoituksia voidaan tehdä ainoastaan, jos ne ovat välttämättömiä ja vastaavat tosiasiallisesti unionin tunnustamia yleisen edun mukaisia tavoitteita tai tarvetta suojella muiden henkilöiden oikeuksia ja vapauksia. Rajoitukset on toteutettava täysin välttämättömän rajoissa, ja säännöstössä, joka merkitsee puuttumista henkilötietojen suojaan, on säädettävä selvistä ja täsmällisistä asianomaisen toimenpiteen laajuutta ja soveltamista koskevista säännöistä. ( 10 )

24.

Tämän perusteella on katsottava, että ennakkoratkaisua pyytänyt tuomioistuin tiedustelee lähinnä, onko direktiivin 2016/680 4, 5, 8 ja 10 artiklaa sekä 16 artiklan 2 kohtaa, luettuina yhdessä sekä perusoikeuskirjan 52 artiklan 1 kohdan valossa, tulkittava siten, että ne ovat esteenä kansalliselle lainsäädännölle, jossa säädetään henkilötietojen – myös rekisteröityä koskevien biometristen tietojen ja geneettisten tietojen – säilyttämisestä poliisin rekisterissä rekisteröidyn kuolemaan saakka ja jossa ei anneta rekisteröidylle mahdollisuutta saada kyseisiä tietoja poistettua rikostuomion jälkeisen rehabilitaation jälkeen. ( 11 )

25.

Ennen kuin tutkitaan kyseessä olevaa poliisin rekisteriä koskevan kansallisen lainsäädännön unionin oikeuden mukaisuus, on nähdäkseni tarpeen tarkastella tietojen säilyttämiseen lainvalvontatarkoituksessa liittyvää problematiikkaa muutamien direktiivin 2016/680 säännösten sekä unionin tuomioistuimen oikeuskäytännön ja Euroopan ihmisoikeustuomioistuimen oikeuskäytännön pohjalta.

26.

Ensinnäkin on tuotava esille, että direktiivillä 2016/680 pyritään tukemaan vapauden, turvallisuuden ja oikeuden alueen kehittämistä unionissa siten, että samalla luodaan vahva ja johdonmukainen henkilötietojen suojakehys sen varmistamiseksi, että kunnioitetaan luonnollisten henkilöiden suojelua henkilötietojen käsittelyssä koskevaa perusoikeutta, joka tunnustetaan perusoikeuskirjan 8 artiklan 1 kohdassa ja SEUT 16 artiklan 1 kohdassa ja joka liittyy läheisesti perusoikeuskirjan 7 artiklassa vahvistettuun yksityiselämän kunnioittamista koskevaan oikeuteen. ( 12 ) Tätä varten direktiivin 2016/680 II ja III luvussa esitetään periaatteet, jotka koskevat henkilötietojen käsittelyä ja niitä rekisteröidyn oikeuksia, joita näiden tietojen käsittelyssä on kunnioitettava. Erityisesti on todettava, että kaikessa henkilötietojen käsittelyssä on noudatettava niitä tietojen käsittelyä koskevia periaatteita ja käsittelyn lainmukaisuuden edellytyksiä, jotka luetellaan kyseisen direktiivin 4 ja 8 artiklassa. Koska viimeksi mainittuun säännökseen sisältyvät vaatimukset ovat ilmaus perusoikeuskirjan 52 artiklan 1 kohdasta johtuvista vaatimuksista, niitä on tulkittava viimeksi mainitun määräyksen valossa. ( 13 )

27.

Ennakkoratkaisua pyytäneelle tuomioistuimelle annettavassa vastauksessa on siis otettava huomioon direktiivin 2016/680 4 artiklan 1 kohdan c alakohdassa vahvistettu tietojen minimoinnin periaate, joka on ilmaus suhteellisuusperiaatteesta. ( 14 ) Sama pätee kyseisen direktiivin 4 artiklan 1 kohdan e alakohdassa olevaan säilytyksen rajoittamisen periaatteeseen, joka edellyttää käsittelyn oikeasuhteisuuden arviointia käsittelyn tarkoitukseen nähden ajan kuluminen huomioon ottaen. Tämän periaatteen vastaista on säilyttää tietoja kauemmin kuin on tarpeen eli pidempään kuin on tarpeen niiden tarkoitusten toteuttamiseksi, joita varten tietoja on säilytetty. ( 15 ) Tästä seuraa, että jopa tietojen alun perin laillinen käsittely voi ajan myötä muuttua yhteensopimattomaksi direktiivin 2016/680 kanssa, jos kyseiset tiedot eivät ole enää tarpeen tällaisten tarkoitusten toteuttamiseksi, ja että tiedot on hävitettävä, kun mainitut tarkoitukset on toteutettu. ( 16 )

28.

Tietojen säilytysaikaan liittyvää ajallista problematiikkaa käsitellään myös direktiivin 2016/680 5 artiklassa, jolla täydennetään ja täsmennetään kyseisen direktiivin 4 artiklan vaatimuksia. ( 17 ) Kuten kyseisen direktiivin johdanto-osan 26 perustelukappaleessa mainitaan, rekisterinpitäjän olisi asetettava määräajat henkilötietojen poistoa tai niiden säännöllistä tarkistusta varten, jotta voidaan varmistaa, ettei henkilötietoja säilytetä pidempään kuin on tarpeen. On todettava, että direktiivin 2016/680 5 artiklassa jätetään yhtäältä jäsenvaltioiden tehtäväksi arvioida ja vahvistaa tarkoituksenmukainen säilytysaika ja toisaalta siinä säädetään tietojen säilyttämisen tarpeellisuuden säännöllisestä tarkistamisesta vaihtoehtona ennalta määritetylle enimmäissäilytysajalle. Jälkimmäinen vaihtoehto vaikuttaa mielestäni jokseenkin merkitykselliseltä käsiteltävässä asiassa, koska se osoittaa unionin lainsäätäjän myöntävän mahdollisuuden tietojen säilyttämiseen ajallisesti rajoittamattoman ajan lainvalvontatarkoituksessa. ( 18 ) Tämä toteamus on yhdistettävä direktiivin 2016/680 16 artiklan 3 kohtaan, jonka b alakohdassa säädetään erityisesti mahdollisuudesta rajoittaa tietojen käsittelyä vaihtoehtona tietojen poistamiselle, jos henkilötiedot on säilytettävä ”todistelua varten”, mikä osoittaa, ettei ehdotonta oikeutta tietojen poistamiseen ole olemassa. ( 19 )

29.

Tietojen säilyttämisen lainmukaisuutta koskevaan kysymykseen sisältyy väistämättä kysymys kyseisten tietojen luonteesta, joka käsittää tässä tapauksessa muun muassa rikoksesta epäillyn tai tuomitun henkilön digitaaliset sormenjäljet, valokuvia ja DNA-näytteen; tämäntyyppisten tietojen käsittely kuuluu direktiivin 2016/680 10 artiklan soveltamisalaan. On korostettava, että vaikka kyseisen artiklan muodostamaan säännöstöön ei sisälly tällaisten tietojen käsittelyn lähtökohtaista kieltoa, toisin kuin yleisen tietosuoja-asetuksen 9 artiklaan, tällainen käsittely sallitaan ”vain, jos se on ehdottoman välttämätöntä” ja edellyttäen, että rekisteröidyn oikeuksia ja vapauksia koskevat asianmukaiset suojatoimet on toteutettu, ja vain, jos käsittely sallitaan unionin oikeudessa tai jäsenvaltion lainsäädännössä.

30.

Oikeuskäytännön mukaan direktiivin 2016/680 10 artiklan tarkoituksena on varmistaa parempi suoja näitä käsittelyjä vastaan, jotka kyseisten tietojen erityisen arkaluonteisuuden ja sen asiayhteyden, jossa niitä käsitellään, vuoksi voivat merkitä – kuten kyseisen direktiivin johdanto-osan 37 perustelukappaleesta ilmenee – huomattavia riskejä perusoikeuksille ja ‑vapauksille, kuten yksityiselämän kunnioittamista koskevalle oikeudelle ja henkilötietojen suojaa koskevalle oikeudelle, jotka on taattu perusoikeuskirjan 7 ja 8 artiklassa. Vaatimusta, jonka mukaan tällaisten tietojen käsittely on sallittua ”vain, jos se on ehdottoman välttämätöntä”, on, kuten jo ilmenee siitä sanamuodosta, jolla se on esitetty direktiivin 2016/680 10 artiklassa, tulkittava siten, että siinä määritellään arkaluonteisten tietojen käsittelyn laillisuuden edellytykset, jotka ovat tiukemmat kuin edellytykset, joista säädetään direktiivin 4 artiklan 1 kohdan b ja c alakohdassa ja 8 artiklan 1 kohdassa, joissa viitataan ainoastaan direktiivin soveltamisalaan yleisesti kuuluvien tietojen käsittelyn ”tarpeellisuuteen”. Näin ollen yhtäältä adverbin ”vain” käyttö ennen ilmaisua ”ehdottoman välttämätöntä” korostaa, että direktiivin 2016/680 10 artiklassa tarkoitettujen erityisten tietoluokkien käsittelyä voidaan pitää välttämättömänä vain rajoitetussa määrässä tapauksia. Toisaalta tällaisten tietojen käsittelyä koskevan välttämättömyyden ”ehdoton” luonne merkitsee, että tätä välttämättömyyttä on arvioitava erityisen tiukasti. ( 20 )

31.

Tuon toiseksi esille, että vaikka unionin tuomioistuin on ottanut jo monta kertaa kantaa kysymykseen lainvalvontatarkoituksissa tapahtuvan tietojen säilyttämisen lainmukaisuudesta, kyseisten asioiden taustalla ollut normatiivinen asiayhteys ja tosiseikasto ovat poikenneet selvästi nyt käsiteltävästä asiasta. Unionin tuomioistuin on todennut, ( 21 ) että direktiiviin 2002/58/EY ( 22 ) perustuva unionin oikeus, jonka perusteella sähköisten viestintävälineiden käyttäjillä on oikeus odottaa lähtökohtaisesti, että heidän viestintänsä ja siihen liittyvät tiedot säilyvät nimettöminä eikä niitä voida tallentaa, jos he eivät ole antaneet siihen suostumustaan, on esteenä liikenne- ja paikkatietojen säilyttämiselle yleisesti ja erotuksetta ennakoivasti vakavan rikollisuuden torjumiseksi vakavuuden asteesta riippumatta, ja tällainen säilyttäminen on sallittua tietyin edellytyksin vain tilanteissa, joissa kansalliseen turvallisuuteen kohdistuu vakava uhka, joka on todellinen ja olemassa oleva tai ennakoitavissa oleva. Se on lisännyt, että unionin oikeus ei sitä vastoin ole esteenä lainsäädännöllisille toimenpiteille, joissa säädetään vakavan rikollisuuden torjumiseksi käyttäjien henkilöllisyyttä koskevien tietojen yleisestä ja erotuksetta tapahtuvasta säilyttämisestä ja heidän IP-osoitteidensa kohdennetusta säilyttämisestä ajanjaksoksi, joka on rajattu täysin välttämättömään ja joka on objektiivisten ja syrjimättömien seikkojen perusteella rajattu rekisteröityjen muodostamien ryhmien mukaan tai maantieteellisen kriteerin avulla ajanjaksoksi, joka on rajoitettu täysin välttämättömään mutta jota voidaan jatkaa, ja siitä, että palvelujen tarjoajat varmistavat nopeasti niiden käytössä olevien tällaisten tietojen säilyttämisen tietyn ajan, ja kaikilla näillä toimenpiteillä on varmistettava selvin ja täsmällisin säännöin, että kyseessä olevien tietojen säilyttämisen ehtona on, että näihin toimenpiteisiin liittyviä aineellisia ja menettelyllisiä edellytyksiä noudatetaan, ja että rekisteröidyillä on tehokkaat takeet väärinkäytön vaaroja vastaan.

32.

Unionin tuomioistuin on käyttänyt myös arviointiperustetta, jonka mukaan henkilötietojen käsittelyn on pysyttävä ehdottoman välttämättömän rajoissa, kun kyseessä on ollut lentoliikenteen harjoittajien suorittama henkilötietojen käsittely siirrettäessä, säilytettäessä ja käytettäessä unionin ulkopuolisten lentomatkojen matkustajarekisteriin sisältyviä tietoja (jäljempänä PNR-tiedot) terrorismirikosten ja vakavan rikollisuuden ennalta estämiseksi ja paljastamiseksi. ( 23 ) Unionin tuomioistuin on korostanut, että koska PNR-tietojen säilyttämisaika voi olla EU:n ja Kanadan välisen PNR-sopimuksen mukaisesti jopa viisi vuotta, kyseinen sopimus mahdollistaa, että lentomatkustajien yksityiselämästä on käytettävissä tietoja erityisen pitkän ajan, ja että kun kyse on lentomatkustajista, joihin liittyvää terrorismin tai vakavan kansainvälisen rikollisuuden riskiä ei ole tunnistettu heidän Kanadaan saapumisensa ajankohdasta siihen asti, kun he lähtevät tästä kolmannesta maasta, heidän PNR-tietojensa ja kyseisen sopimuksen tavoitteen välillä ei vaikuta olevan heidän kyseisestä maasta lähdettyään edes sellaista välillistä yhteyttä, joka oikeuttaisi kyseisten tietojen säilyttämisen. Unionin tuomioistuin on siis todennut, että kaikkien lentomatkustajien PNR-tietojen sellainen jatkuva säilytys heidän lähdettyään Kanadasta, jolla voidaan taata mahdollinen pääsy kyseisiin tietoihin mutta joka on riippumaton siitä, onko olemassa yhteyttä terrorismin ja vakavan kansainvälisen rikollisuuden torjuntaan, ei ollut oikeutettua. ( 24 )

33.

Unionin tuomioistuin on ottanut ennakkoratkaisumenettelyssä kantaa direktiivin (EU) 2016/681 ( 25 ) pätevyyteen ja tulkintaan, kun kyseisellä direktiivillä velvoitetaan lentoliikenteen harjoittajat siirtämään tiedot kaikista kolmannen maan ja unionin jäsenvaltion välisten EU:n ulkopuolisten lentojen matkustajista sen jäsenvaltion matkustajatietoyksikölle, josta asianomainen lento lähtee tai johon se saapuu, terrorismin ja vakavan rikollisuuden torjumiseksi. Matkustajatietoyksikkö arvioi näin siirretyt PNR-tiedot kuuden kuukauden aikana, minkä jälkeen tietoja säilytetään viiden vuoden ajan siltä varalta, että jäsenvaltioiden toimivaltaiset viranomaiset tekevät niistä arvioinnin jälkikäteen, mikä voi johtaa siihen, että tietoja arvioidaan huomattavan pitkän ajan aikana ja jopa loputtomiin niiden henkilöiden osalta, jotka matkustavat lentokoneella useammin kuin kerran viidessä vuodessa. Unionin tuomioistuin katsoi, että kyseiseen direktiiviin sisältyy selvästi vakavia puuttumisia perusoikeuskirjan 7 ja 8 artiklassa taattuihin oikeuksiin erityisesti siltä osin kuin sen tarkoituksena on ottaa käyttöön jatkuva, kohdentamaton ja järjestelmällinen valvontajärjestelmä, johon kuuluu kaikkien lentoliikennepalveluja käyttävien henkilöiden henkilötietojen automaattinen arviointi, mutta direktiiviä voidaan tulkita perusoikeuskirjan 7, 8 ja 21 artiklan sekä 52 artiklan 1 kohdan mukaisesti. Unionin tuomioistuin täsmensi, että kuuden kuukauden alkuperäisen säilytysjakson jälkeen PNR-tietojen säilyttäminen ei vaikuta rajoittuvan siihen, mikä on ehdottoman välttämätöntä, sellaisten lentomatkustajien kohdalla, joiden osalta etukäteisarviointi, kuuden kuukauden jakson aikana suoritetut mahdolliset tarkistukset tai mikään muukaan seikka ei ole osoittanut sellaisten objektiivisten seikkojen olemassaoloa, joiden perusteella voitaisiin todeta terrorismirikoksiin tai vakavaan rikollisuuteen liittyvä riski, jolla on ainakin välillinen objektiivinen yhteys kyseisten matkustajien suorittamaan lentomatkaan. Sen sijaan unionin tuomioistuin katsoi, että kaikkien kyseisellä direktiivillä käyttöön otetun järjestelmän soveltamisalaan kuuluvien lentomatkustajien PNR-tietojen säilyttäminen kuuden kuukauden alkuperäisen jakson ajan ei lähtökohtaisesti näytä ylittävän ehdottomasti välttämättömän rajoja.

34.

Edellä läpi käydyn oikeuskäytännön vastineeksi on korostettava yhtäältä, että toisin kuin tietojen käsittelyssä direktiivissä 2002/58 säädetyn mukaisesti, ( 26 ) rekisteröidyn antama suostumus ei ole oikeusperusta sille, että toimivaltaiset viranomaiset suorittavat henkilötietojen käsittelyä direktiivin 2016/680 1 artiklan 1 kohdassa luetelluissa tarkoituksissa. Kuten kyseisen direktiivin johdanto-osan 35 perustelukappaleessa täsmennetään, rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa koskevan tehtävän suorittaminen on institutionaalisesti ja lain nojalla annettu toimivaltaisille viranomaisille, mikä antaa näille mahdollisuuden vaatia luonnollisilta henkilöiltä esitettyjen pyyntöjen noudattamista. Toisaalta nyt käsiteltävässä asiassa ei ole kyse sähköisen viestinnän tai lentoliikenteen alalla syntyvän sellaisen ”tietomeren” ( 27 ) säilyttämisestä ja automaattisesta analysoinnista, jonka varastoinnista huolehtivat yksityiset toimijat ja joihin sisältyviä tietoja siirretään tutkintaviranomaisille, vaan yhdestä ainoasta poliisin rekisteristä, johon sisältyy sellaisten henkilöiden tietoja, joiden osalta on olemassa vakavaa syytä epäillä heidän tehneen rikoksen tai joita epäillään tai jotka on tuomittu rikoksesta, ja tästä rekisteristä, joka on ehdottoman salassa pidettävä, vastaa yksin viranomainen.

35.

Edellä mainitun oikeuskäytännön erityisen normatiivisen asiayhteyden ja tosiseikaston vuoksi siinä tehtyjä päätelmiä ei voida nähdäkseni soveltaa pelkästään sellaisinaan nyt käsiteltävään ennakkoratkaisukysymykseen vastattaessa, erityisesti kun kyseessä on tietojen säilyttämistavoitteiden erittely (kansallisen turvallisuuden suojeleminen, vakavan rikollisuuden torjuminen tai muiden kuin vakavaan rikollisuuteen kuuluvien rikosten torjuminen) sekä kyseisten tavoitteiden tärkeyden ja oikeutettavissa olevan perusoikeuksiin puuttumisen vakavuuden välinen tarvittava vastaavuus. ( 28 ) Toisin sanoen toteamusta, jonka mukaan rikollisuuden torjuntaa yleisesti koskevalla tavoitteella voidaan oikeuttaa ainoastaan puuttumiset, jotka eivät ole vakavia, ( 29 ) ei voida soveltaa käsiteltävässä asiassa, tai muussa tapauksessa heikennettäisiin merkittävästi sekä direktiivin 2016/680 että tutkintaan ja yleiseen turvallisuuteen liittyvien kansallisten välineiden, kuten kyseessä olevan poliisin rekisterin, tehokasta vaikutusta; tämä poliisin rekisteri kuuluu edellä mainitun direktiivin soveltamisalaan, ja direktiivin nimenomaiseksi tavoitteeksi ilmoitetaan tarve pystyä käsittelemään tietoja lainvalvontatarkoituksissa oikeasuhteisella tavalla. On tuotava esille, että – kuten direktiivin 2016/680 johdanto-osan 10 ja 11 perustelukappaleesta ilmenee – unionin lainsäätäjän tarkoituksena on ollut ottaa käyttöön sääntöjä, joissa otetaan huomioon kyseisen direktiivin kattaman alan erityisluonne. Tältä osin johdanto-osan 12 perustelukappaleessa todetaan, että poliisiviranomaisten tai muiden lainvalvontaviranomaisten suorittamat toimet keskittyvät lähinnä rikosten (ilman tarkempaa täsmennystä) ennalta estämiseen, tutkimiseen, paljastamiseen tai rikoksiin liittyviin syytetoimiin, mukaan lukien poliisin toimet, jotka koskevat häiriöitä, joista ei ennakkoon tiedetä, onko kyse rikoksesta. ( 30 )

36.

Kolmanneksi on tuotava esille, että perusoikeuskirjan 7 artiklaan, joka koskee oikeutta yksityis- ja perhe-elämän kunnioittamiseen, sisältyvät oikeudet vastaavat Euroopan ihmisoikeussopimuksen 8 artiklan 1 kappaleeseen sisältyviä oikeuksia ja että henkilötietojen suojalla on perustavanlaatuisen tärkeä tehtävä Euroopan ihmisoikeussopimuksen 8 artiklassa vahvistetun yksityis- ja perhe-elämän kunnioittamista koskevan oikeuden käyttämisessä. Perusoikeuskirjan 52 artiklan 3 kohdan mukaan mainitulle 7 artiklalle on siis annettava sama merkitys ja ulottuvuus kuin Euroopan ihmisoikeussopimuksen 8 artiklan 1 kappaleelle, sellaisena kuin Euroopan ihmisoikeustuomioistuin on sitä tulkinnut. ( 31 )

37.

Euroopan ihmisoikeustuomioistuin katsoo, että henkilötietojen suojalla on perustavan tärkeä merkitys Euroopan ihmisoikeussopimuksen 8 artiklassa vahvistetun yksityiselämän kunnioituksesta nauttimista koskevan oikeuden käyttämisen kannalta ja että pelkkä yksittäisen henkilön yksityiselämään liittyvien tietojen tallentaminen on kyseisessä 8 artiklassa tarkoitettua oikeuden käyttämiseen puuttumista, eikä sillä seikalla ole merkitystä, käytetäänkö tallennettuja tietoja myöhemmin vai ei. Euroopan ihmisoikeustuomioistuimen mukaan kansallisella lainsäädännöllä on varmistettava erityisesti, että kyseiset tiedot ovat merkityksellisiä eikä niitä ole liikaa suhteessa niiden tallentamistarkoitukseen ja että kyseisiä tietoja säilytetään muodossa, jonka avulla asianomaiset henkilöt voidaan tunnistaa, enintään niin pitkään kuin on tietojen tallentamistarkoituksen kannalta tarpeen. Kansalliseen lainsääntöön on sisällyttävä myös tallennettujen henkilötietojen tehokkaaseen suojaamiseen soveltuvia suojatoimia epäasianmukaista käyttöä ja väärinkäyttöä vastaan niin, että samalla tarjotaan konkreettinen mahdollisuus pyytää tallennettujen tietojen poistamista. Euroopan ihmisoikeustuomioistuin on kuitenkin täsmentänyt olevansa täysin tietoinen siitä, että suojatakseen väestöä velvollisuutensa mukaisesti kansallisten viranomaisten on perustettava rekistereitä, jotka edesauttavat tehokkaasti tiettyjen rikosten, erityisesti vakavimpien rikosten, estämistä ja ennalta ehkäisemistä. Tällaisia välineitä ei pitäisi kuitenkaan ottaa käyttöön niin, että rekisteriin tallennetaan tietoja mahdollisimman paljon ja niitä säilytetään mahdollisimman pitkään. ( 32 ) Euroopan ihmisoikeustuomioistuin on katsonut tästä viimeksi mainitusta seikasta, että tuomittujen henkilöiden henkilötietojen säilyttämistä koskevan enimmäisajan puuttuminen ei ole välttämättä ristiriidassa Euroopan ihmisoikeussopimuksen 8 artiklan kanssa, mutta tiettyjen menettelyllisten takeiden olemassaolo ja toimivuus on tällaisessa tilanteessa sitäkin tähdellisempää. ( 33 )

38.

Kuten ZMVR:n 68 §:stä ja Bulgarian hallituksen istunnossa esittämistä huomautuksista ilmenee, kansallisessa lainsäädännössä tarkoitetut tiedot käsittävät erityisesti asianomaisten henkilöiden henkilötiedot; rikokset, joista henkilöä epäillään tai joista hänet on tuomittu; henkilön digitaaliset sormenjäljet; valokuvia henkilöstä sekä henkilön DNA-näytteen profiilin määrittämistä varten. Koska kyseisiin tietoihin sisältyy näin ollen tunnistettuja luonnollisia henkilöitä koskevia tietoja, niihin kohdistuvat erilaiset käsittelyt vaikuttavat perusoikeuskirjan 7 artiklassa vahvistettuun yksityiselämän kunnioittamista koskevaan perusoikeuteen. Lisäksi kansallisessa lainsäädännössä säädetyn kaltaiset kyseisten tietojen käsittelyt kuuluvat myös perusoikeuskirjan 8 artiklan soveltamisalaan, koska ne merkitsevät tässä artiklassa tarkoitettuja henkilötietojen käsittelyjä ja niiden on näin ollen välttämättä täytettävä kyseisessä artiklassa määrätyt tietosuojan vaatimukset. ( 34 )

39.

Euroopan ihmisoikeustuomioistuin on todennut, että pelkkä yksittäisen henkilön yksityiselämään liittyvien tietojen tallentaminen on Euroopan ihmissoikeussopimuksen 8 artiklassa tarkoitettua oikeuden käyttämiseen puuttumista, ( 35 ) ja unionin tuomioistuin on katsonut vastaavalla tavalla, että tietojen säilyttäminen merkitsee sinänsä puuttumista perusoikeuskirjan 7 ja 8 artiklassa vahvistettuihin yksityiselämän kunnioittamista ja henkilötietojen suojaa koskeviin perusoikeuksiin, eikä merkitystä ole sillä, ovatko kyseessä olevat yksityiselämään liittyvät tiedot arkaluonteisia, tai onko asianomaisille mahdollisesti aiheutunut haittaa tästä puuttumisesta, tai käytetäänkö säilytettyjä tietoja myöhemmin. ( 36 )

40.

Säilytyksestä aiheutuvan oikeuksiin puuttumisen vakavuus ilmenee tiettyjen tietojen luonteen perusteella, etenkin kun kyseessä ovat poliisin rekisteriin sisältyvät biometriset ja geneettiset tiedot, ja unionin tuomioistuin on todennut arkaluonteisten tietojen käsittelystä aiheutuvan huomattavia riskejä rekisteröityjen vapauksille ja oikeuksille erityisesti toimivaltaisten viranomaisten direktiivin 2016/680 1 artiklan 1 kohdassa mainittujen tehtävien yhteydessä. ( 37 ) Kyseisen direktiivin johdanto-osan 23 perustelukappaleessa täsmennetään tältä osin, että ottaen huomioon geneettisten tietojen monimutkaisuuden ja arkaluonteisuuden on olemassa huomattava riski siitä, että rekisterinpitäjä käyttää niitä väärin ja käyttää niitä uudelleen erilaisiin tarkoituksiin. Kyseisen direktiivin johdanto-osan 51 perustelukappaleessa tuodaan esille, että luonnollisten henkilöiden oikeuksia ja vapauksia koskevat riskit voivat aiheutua tietojenkäsittelystä, joka voi aiheuttaa fyysisiä, aineellisia tai aineettomia vahinkoja, erityisesti jos käsitellään geneettisiä tietoja tai biometrisiä tietoja henkilön yksilölliseksi tunnistamiseksi tai jos käsitellään rikostuomioita ja rikkomuksia koskevia tietoja.

41.

Poliisin rekisterissä olevien tietojen säilyttämisaika vastaa myös todettua oikeuksiin puuttumisen vakavuusastetta siten, että niiden säilyttäminen on mahdollista rikoksesta tuomitun henkilön elämän ajan. ZMVR:n 26 §:n 6 momentista ilmenee vielä, että henkilötietoja voidaan siirtää toimivaltaisille viranomaisille ja muille vastaanottajille, jotka sijaitsevat unionin jäsenvaltioissa, unionin toimielimissä tai elimissä, kolmansissa maissa tai kansainvälisissä järjestöissä. Tältä osin on muistettava, että direktiivin 2016/680 tavoitteena on helpottaa henkilötietojen vapaata kulkua toimivaltaisten viranomaisten kesken unionissa rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelua ja tällaisten uhkien ehkäisyä varten, sekä tällaisten tietojen siirtämistä kolmansiin maihin ja kansainvälisille järjestöille, jotta varmistetaan rikosasioissa tehtävän oikeudellisen yhteistyön ja poliisiyhteistyön tehokkuus. ( 38 ) Muistutan tältä osin, että oikeus henkilötietojen suojaan edellyttää muun muassa, että unionin oikeudessa myönnetyn perusvapauksien ja ‑oikeuksien suojan korkean tason jatkuvuus varmistetaan siirrettäessä henkilötietoja unionista kolmanteen maahan. ( 39 )

42.

Kaiken edellä esitetyn perusteella on katsottava, että pääasiassa kyseessä olevalla kansallisella lainsäädännöllä puututaan perusoikeuskirjan 7 ja 8 artiklassa vahvistettuihin oikeuksiin jokseenkin vakavalla tavalla erityisesti siltä osin kuin kyseisellä lainsäädännöllä otetaan käyttöön väline, jota käytetään rikoksesta tuomittujen henkilöiden arkaluonteisten tietojen jatkuvaan säilytykseen ja mahdolliseen siirtämiseen asianomaisen valtion rajojen ulkopuolelle.

43.

Kuten edellä on tuotu esille, perusoikeuskirjan 7, 8, ja 11 artiklassa vahvistetut oikeudet eivät kuitenkaan ole ehdottomia, ja kuten perusoikeuskirjan 52 artiklan 1 kohdasta ilmenee, siinä sallitaan näiden oikeuksien käyttämisen rajoittaminen, kunhan näistä rajoituksista säädetään lailla mainittujen oikeuksien keskeistä sisältöä kunnioittaen ja kunhan ne suhteellisuusperiaatteen mukaisesti ovat tarpeellisia ja vastaavat tosiasiallisesti unionin tunnustamia yleisen edun mukaisia tavoitteita tai tarvetta suojella muiden henkilöiden oikeuksia ja vapauksia. ( 40 ) Direktiivin 2016/680 johdanto-osan 26 perustelukappaleen mukaan lainvalvontaviranomaiset voivat suorittaa toimia rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelua ja tällaisten uhkien ehkäisyä varten, edellyttäen, että niistä on säädetty laissa ja ne ovat välttämättömiä ja oikeasuhteisia toimenpiteitä demokraattisessa yhteiskunnassa ottaen asianmukaisesti huomioon kyseisen luonnollisen henkilön oikeutetut edut.

44.

Suhteellisuusperiaatteen noudattamisesta on muistettava, että yksityiselämän kunnioittamista koskevan perusoikeuden suoja edellyttää unionin tuomioistuimen vakiintuneen oikeuskäytännön mukaan, että poikkeukset henkilötietojen suojaan ja sitä koskevat rajoitukset toteutetaan täysin välttämättömän rajoissa, ja silloin, kun on mahdollista valita usean legitiimisti tavoiteltujen päämäärien toteuttamiseen soveltuvan toimenpiteen välillä, on valittava vähiten rajoittava. Yleisen edun mukaiseen tavoitteeseen ei myöskään voida pyrkiä ottamatta huomioon sitä, että se on sovitettava yhteen niiden perusoikeuksien kanssa, joita toimenpide koskee, saattamalla yhtäältä yleisen edun mukainen tavoite ja toisaalta kyseessä olevat oikeudet keskenään harmoniseen tasapainoon, jotta varmistetaan, että tästä toimenpiteestä aiheutuvat haitat eivät ole liian suuria tavoiteltuihin päämäärin nähden. Mahdollisuutta oikeuttaa perusoikeuskirjan 7 ja 8 artiklassa taattujen oikeuksien rajoittaminen on siis arvioitava tutkimalla tällaiseen rajoittamiseen sisältyvän puuttumisen vakavuutta ja tarkastamalla, että kyseisen rajoituksen yleisen edun mukaisen tavoitteen tärkeys on oikeassa suhteessa tähän vakavuuteen. ( 41 )

45.

Edellytys, jonka mukaan perusoikeuksien käyttämistä voidaan rajoittaa ainoastaan lailla, tarkoittaa sitä, että itse siinä oikeusperustassa, joka mahdollistaa puuttumisen näihin oikeuksiin, on määritettävä asianomaisen oikeuden käyttämiselle asetettavien rajoitusten laajuus. Unionin tuomioistuin on todennut tältä osin lisäksi, että säännöstössä, joka sisältää toimenpiteen, jossa tällainen puuttuminen sallitaan, on säädettävä selkeistä ja täsmällisistä kyseessä olevan toimenpiteen laajuutta ja soveltamista koskevista säännöistä, joissa asetetaan vähimmäisvaatimukset, jotta henkilöillä, joiden henkilötietoja on siirretty, on riittävät takeet, joiden avulla heidän henkilötietojaan voidaan tehokkaasti suojata väärinkäytön vaaroilta. Näin ollen kaikkien direktiivin 2016/680 soveltamisalalla toteutettujen henkilötietojen käsittelyjen on oltava selkeitä ja täsmällisiä, kuten unionin lainsäätäjä on lisäksi korostanut kyseisen asetuksen johdanto-osan 33 perustelukappaleessa, ja niiden soveltamisen on oltava yksityisten ennakoitavissa. Viimeksi mainittujen on erityisesti voitava tunnistaa olosuhteet, joissa heille kyseisellä direktiivillä annettujen oikeuksien ulottuvuutta voidaan rajoittaa, ja edellytykset, joiden täyttyessä näin voidaan tehdä. ( 42 )

46.

Ennakkoratkaisupyynnössä esitetyn ja Bulgarian hallituksen huomautuksissa täydennetyn kyseessä olevan kansallisen lainsäädännön tutkimisen perusteella voidaan nähdäkseni katsoa, että lain ”laatua” koskeva vaatimus täyttyy, kun muistetaan, ettei kyseinen edellytys sulje pois sitä, että rajoitus muotoillaan riittävän avoimesti niin, että se voi mukautua erilaisiin tapauksiin ja tilanteiden muutoksiin. ( 43 )

47.

Vaikuttaa siten siltä, että tarkoitukset, joita varten tietoja merkitään poliisin rekisteriin ja säilytetään siinä, on lueteltu tyhjentävästi, ja ne ovat ZMVR:n 27 §:n mukaan kansallisen turvallisuuden suojeleminen, rikollisuuden torjuminen ja yleisen järjestyksen ylläpitäminen, ja kyseisellä käsittelyllä pyritään helpottamaan kyseisen lain 8 §:ssä yksityiskohtaisesti kuvattua rikostutkintaa. ( 44 ) Käsittelyn laajuus, kun otetaan huomioon asiaankuuluvien rikosten luonne, asianomaiset tiedot, tietojen keräämisen edellytykset, tietojen käsittelyssä käytetyt tietolähteet ja tietojen säilyttämisaika, on määritetty riittävän tarkasti ZMVR:n 68 §:ssä sekä poliisin rekisteriin merkitsemisessä ja merkinnän poistamisessa noudatettavista yksityiskohtaisista säännöistä annetun asetuksen (Naredba za reda za izvarshvane i snemane na politseyska registratsia, jäljempänä NRISPR) 28 §:ssä. Kansallisessa lainsäädännössä säädetään nimenomaisesti ja direktiivin 2016/680 johdanto-osan 26 perustelukappaleen mukaisesti menettelyistä, joilla taataan henkilötietojen eheys ja luottamuksellisuus sekä henkilötietojen tuhoaminen, antamalla rekisteröidylle näistä tietoja henkilötietojen suojasta annetun lain (Zakon za zashtita na lichnite danni) 54 ja 55 §:n mukaisesti etenkin siltä osin kuin on kyse rekisteröidyn oikeuksista pyytää rekisterinpitäjältä tietoja tutustuttavaksi, oikaistavaksi tai poistettavaksi. Tältä osin poistamisen perusteet, poistamisessa noudatettava menettely ja poistamiseen liittyvät vaikutukset täsmennetään ZMVR:n 68 §:ssä sekä NRISPR:n 18 §:ssä ja sitä seuraavissa pykälissä. Kyseiset säännökset ovat sanamuodoltaan riittävän täsmällisiä ja selkeitä, jotta lain adressaatit voivat toimia niiden mukaisesti, joten ne vastaavat Euroopan ihmisoikeustuomioistuimen oikeuskäytäntöön perustuvaa ennakoitavuutta koskevaa edellytystä. ( 45 )

48.

Perusoikeuskirjan 7 artiklassa vahvistetun, yksityiselämän kunnioittamista koskevan perusoikeuden keskeisestä sisällöstä on todettava, että poliisin rekisteriin sisältyvien tietojen luonne rajoittuu yhteen yksityiselämän näkökohtaan, joka koskee rekisteröidyn rikoshistoriaa, eikä tämän perusteella voida tehdä päätelmiä, jotka koskevat yleisesti kyseisen henkilön yksityiselämää, kuten elämäntapoja, vakituisia tai tilapäisiä oleskelupaikkoja, päivittäistä tai muuta liikkumista, toimintaa ja hänen sosiaalisia suhteitaan ja sosiaalista ympäristöään, eikä siten laatia hänestä profiilia. Perusoikeuskirjan 8 artiklassa vahvistetun, henkilötietojen suojaa koskevan oikeuden keskeisestä sisällöstä on todettava puolestaan, että edellä esitettyjen seikkojen perusteella kyseessä olevassa kansallisessa lainsäädännössä rajataan tietojen käsittelyn tarkoitukset ja luetellaan tyhjentävästi säilytetyt tiedot sekä säännöt, joilla on tarkoitus varmistaa kyseisiin tietoihin tutustuminen, niiden oikaiseminen ja niiden poistaminen. Tämän perusteella kyseisessä lainsäädännössä säädetyn mukainen tietojen säilyttäminen ei loukkaa edellä mainituissa artikloissa vahvistettujen perusoikeuksien keskeistä sisältöä. ( 46 )

49.

Kuten tässä ratkaisuehdotuksessa on todettu, tietoja, jotka ovat peräisin henkilön merkitsemisestä poliisin rekisteriin ZMVR:n 68 §:n perusteella, käytetään kansallisen turvallisuuden suojelemiseen, rikollisuuden torjumiseen ja yleisen järjestyksen ylläpitämiseen liittyvissä tarkoituksissa. Bulgarian hallitus on tuonut esille, että kyseisiä tietoja kerätään ja käsitellään sitä rikosoikeudellista menettelyä varten, jonka yhteydessä kyseistä henkilöä koskeva esitutkinta on aloitettu, sekä kyseisten tietojen vertaamiseksi muihin tietoihin, jotka on kerätty muita rikoksia koskevien tutkimusten yhteydessä. Viimeksi mainittu tarkoitus koskee myös vertailua muissa jäsenvaltioissa kerättyihin tietoihin. ( 47 )

50.

Bulgarian hallituksen mukaan kyseinen käsittely kuuluu ZMVR:n 8 §:ssä kuvattuun rikostutkintaan, jonka tarkoitukset on määritelty seuraavasti: rikosten, kansalliseen turvallisuuteen kohdistuvien uhkien ja yleiseen järjestykseen kohdistuvien häiriöiden ennalta estäminen ja paljastaminen; rikosoikeudellista vastuutaan tai virallisen syytteen alaisesta rikoksesta määrätyn rangaistuksen suorittamista pakoilevien henkilöiden etsintä sekä kadonneiden henkilöiden etsintä; rikoksen kohteena olleiden tai tekovälineenä käytettyjen esineiden tai todistusaineistoon mahdollisesti kuuluvien esineiden etsintä sekä aineellisten todisteiden valmistelu ja säilyttäminen sekä niiden esittäminen toimivaltaisille oikeusviranomaisille.

51.

Unionin tuomioistuin on täsmentänyt, että yleisen turvallisuuden suojaaminen on unionin yleisen edun mukainen tavoite, jolla voidaan oikeuttaa vakavatkin puuttumiset perusoikeuskirjan 7 ja 8 artiklassa vahvistettuihin perusoikeuksiin. Sen suojaaminen myötävaikuttaa lisäksi myös muiden henkilöiden oikeuksien ja vapauksien suojeluun. Perusoikeuskirjan 6 artiklassa vahvistetaan tältä osin jokaisen oikeus paitsi vapauteen myös turvallisuuteen ja taataan Euroopan ihmisoikeussopimuksen 5 artiklassa taattuja oikeuksia vastaavat oikeudet. ( 48 ) Unionin tuomioistuin on todennut selkeästi asiassa, jossa oli kyseessä samaan Bulgarian poliisin rekisteriin sisältyvien tietojen keräämisen unionin oikeuden mukaisuus, että niiden henkilöiden tietojen, joiden osalta on aloitettu esitutkinta rikosoikeudellisessa menettelyssä, kerääminen rekisteriin merkitsemistä varten noudattaa direktiivin 2016/680 1 artiklan 1 kohdassa mainittuja tarkoituksia, erityisesti niitä, jotka liittyvät rikosten ennalta estämiseen ja paljastamiseen sekä rikoksiin liittyvään tutkintaan ja syytetoimiin, jotka ovat unionin tunnustamia yleisen edun mukaisia tavoitteita. Unionin tuomioistuin on lisännyt, että tällainen kerääminen voi myötävaikuttaa direktiivin 2016/680 johdanto-osan 27 perustelukappaleessa ilmaistuun tavoitteeseen, jonka mukaan rikosten ennalta estäminen, tutkiminen ja niistä syyttäminen edellyttävät, että toimivaltaiset viranomaiset voivat käsitellä tiettyjen rikosten ennalta estämisen, tutkimisen, paljastamisen tai rikoksiin liittyvien syytetoimien yhteydessä kerättyjä henkilötietoja myös muissa yhteyksissä ymmärtääkseen paremmin rikollista toimintaa ja havaitakseen yhteyksiä selvitettävien rikosten välillä. ( 49 ) Nämä toteamukset pätevät luonnollisesti tietojen säilyttämiseen.

52.

Sitä seikkaa, että tietojen säilyttäminen poliisin rekisterissä on käsittelyä, jolla voidaan saavuttaa yleisen edun mukaisia tavoitteita, jotka koskevat rikosten paljastamista ja siten niiden ennalta estämistä, on nähdäkseni vaikeaa kiistää. On ilmeistä, että poliisin rekisteri, johon sisältyy tietoja rekisteriin merkityn henkilön henkilöllisyydestä, valokuvia kyseisestä henkilöstä ja hänen biometrisiä ja geneettisiä tietojaan – ja siten tietoja hänen ainutlaatuisista fyysisistä ominaisuuksistaan, joita ei voida väärentää – on tutkinnassa käytetty työkalu, joka on turvallisuudesta vastaaville yksiköille täysin oleellinen rikosten selvittämistä ja rikoksentekijöiden tunnistamista varten. Kyseessä oleva kansallinen lainsäädäntö täyttää näin objektiiviset kriteerit, joilla luodaan yhteys säilytettävien tietojen ja tavoitellun päämäärän välille. ( 50 )

53.

Vaikka tietojen säilyttäminen kyseisessä poliisin rekisterissä on ilmeisen soveltuva päämääränä olevan yleisen edun mukaisen tavoitteen toteuttamiseen, on vielä selvitettävä, rajoittuuko tällaisesta tietojen säilyttämisestä aiheutuva puuttuminen perusoikeuskirjan 7 ja 8 artiklassa taattuihin oikeuksiin täysin välttämättömään siinä mielessä, että päämäärää ei voitaisi kohtuudella saavuttaa yhtä tehokkaasti muilla rekisteröityjen näitä perusoikeuksia vähemmän rajoittavilla keinoilla, ja onko tämä puuttuminen oikeassa suhteessa kyseiseen päämäärään, mikä edellyttää erityisesti tämän päämäärän tärkeyden ja mainitun puuttumisen vakavuuden punnintaa. ( 51 )

54.

Tätä selvitystä tehtäessä käsiteltävässä asiassa on otettava huomioon poliisin rekisterin tarkoitus, asianomaisten rikosten luonne, rekisteriin mahdollisesti merkittävien henkilöiden määrä, kerättävien henkilötietojen erityinen arkaluonteisuus ja niiden säilytysaika, kansallisessa lainsäädännössä säädetyt kyseisiin tietoihin tutustumista koskevat oikeudelliset ja/tai tekniset suojatoimet sekä kyseisten tietojen rekisterissä pitämisen valvonta.

55.

Irlannin hallitus esittää kirjallisissa huomautuksissaan lähinnä, että tietojen säilyttäminen voi olla tarpeen niihin liittyvän yleisen edun mukaisen valvonnan harjoittamiseksi rikollisuuden ennalta estämisen ja yleisen turvallisuuden suojelemisen alalla. Poliisin rekisteriin sisältyviin tietoihin pitäisi siis voida tutustua paitsi rikoksentekijöihin liittyvien hakujen tekemiseksi, myös poliisin hallinnollisiin tehtäviin liittyvissä tarkoituksissa, kuten tiettyihin julkisiin tai arkaluonteisiin työtehtäviin liittyvää työhönottoa tai soveltuvuutta koskevia päätöksiä edeltävästi tehtävien selvitysten yhteydessä, kun tavoitteena on tarkistaa, ettei asianomaisen henkilön käyttäytyminen ole ristiriidassa kyseisissä työtehtävissä toimimisen kanssa.

56.

Bulgarian hallitus vahvisti istunnossa, että kyseinen poliisin rekisteri on rikostutkinnassa, ei hallinnollisessa tutkinnassa, käytettävä työkalu, mikä voidaan päätellä ZMVR:n 27 §:n nimenomaisesta sanamuodosta. Tällä toteamuksella on jonkin verran merkitystä niiden seurausten osalta, joita henkilön rikosrekisterimerkinnästä aiheutuu, sillä rekisterimerkinnän haittapuolena ei ole tiettyyn ammattitoimintaan pääsyn estyminen kokonaan. ( 52 ) Kyseiseen poliisin rekisteriin merkitseminen ei ole rangaistus eikä lisärangaistus, vaan sen tarkoitus on selvästi rajattu rikostutkintaan ja sitä voivat käyttää ainoastaan salassapitovelvolliset yksiköt.

57.

Kyseessä on sitä paitsi yksi ainoa rekisteri, jota rikospoliisi käyttää erittäin laajoissa tarkoituksissa ja johon sisältyy monenlaisia tietoja pelkistä henkilötiedoista biometrisiin ja geneettisiin tietoihin ja johon merkityt henkilöt eivät ole menettelyllisesti samassa asemassa. Sen sijaan, että säädettäisiin kaikki tiedot kattavasta yhdestä ja samasta käsittelystä, on muussa lainsäädännössä pidetty parempana säätää useista poliisin rekistereistä, joilla on omat erityiset tavoitteensa, joita käytetään yhdessä ainoassa tarkoituksessa ja joihin sisältyy yhden tyyppisiä tietoja.

58.

Tietojen säilyttäminen poliisin rekisterissä koskee virallisen syytteen eli syyttäjän nostaman syytteen alaisesta tahallisesta rikoksesta esitutkinnan kohteeksi joutuneita ja tuomittuja henkilöitä. Bulgarian hallituksen antamien tietojen mukaan tähän ryhmään eivät kuulu tahattomat rikokset, asianomistajarikokset tai ‑rikkomukset eivätkä tietyt rikkomukset, joista määrätään rangaistukseksi hallinnollinen seuraamus. On jo tuotu esille, että suurin osa Bulgarian rikoskoodeksin mukaisista rikoksista on tahallisia ja ne ovat lähes kaikki virallisen syytteen alaisia. ( 53 )

59.

On todettava, ettei kansallisessa lainsäädännössä luetella rikoksia tyhjentävästi eikä erotella rikoksia toisistaan niiden luonteen eli teon vakavuuden ja teosta määrättävän rangaistuksen perusteella, eikä siinä sovelleta kriteeriä, joka koskee vankeusrangaistuksen täsmällistä pituutta. Erilaisia rikoksiksi katsottavia menettelyjä on siis koottu yhdeksi laajaksi kokonaisuudeksi, mutta niitä koskee tosin tahallisuuden välttämättömyyttä koskeva varauma, minkä perusteella ulkopuolelle jäävät a priori vähäiset rikkomukset, joiden osalta pelkkä rikkomukseksi katsottavan teon aineellinen toteutuminen on riittävää, ( 54 ) sekä pelkästä varomattomuudesta tai huolimattomuudesta johtuvat rikkomukset. Bulgarian hallitusta pyydettiin täsmentämään istunnossa kyseessä olevien rikosten ryhmää, mutta valitettavasti se ilmoitti ainoastaan, että kyseessä ovat muutkin rikokset kuin ne, joista voidaan määrätä vähintään viiden vuoden vankeusrangaistus.

60.

Rekisteröityjen osalta on huomattava, että riitautettua tietojen käsittelyä on rajoitettu rekisteröidyn iän perusteella, sillä NRISPR:n 4 §:n mukaan alaikäisiä ei merkitä poliisin rekisteriin, mikä vähentää vastaavasti kyseiseen rekisteriin kirjattujen henkilöiden määrää. Kyseisessä toimenpiteessä erotetaan toisistaan kaksi henkilöryhmää: esitutkinnan kohteena olevat henkilöt ja rikoksesta tuomitut henkilöt. Nämä henkilöt on etukäteen tunnistettu sovellettavien kansallisten menettelyiden yhteydessä objektiivisten ja syrjimättömien seikkojen perusteella henkilöiksi, jotka aiheuttavat uhan yleiselle turvallisuudelle tai yleisen järjestyksen ylläpitämiselle. Jäsenvaltioilla on mahdollisuus toteuttaa säilyttämistoimenpiteitä, jotka kohdistuvat henkilöihin, jotka tällaisen tunnistamisen perusteella ovat parhaillaan esitutkinnan kohteena, eli henkilöihin, joiden on vakavaa syytä epäillä tehneen rikoksen, tai henkilöihin, jotka on tuomittu eli joiden rikosoikeudellinen vastuu on todettu, mikä voi merkitä suurta rikoksen uusimisen riskiä. ( 55 ) Rikoksen uusiminen ymmärrettynä laajemmassa yleisessä merkityksessään rikoksen toistamiseksi on ilmiö, jota jokainen jäsenvaltio pyrkii mittaamaan ja johon johtavia tekijöitä ne pyrkivät ymmärtämään, mikä on monimutkaista, sillä se riippuu objektiivisten ja luotettavien rikollisuutta koskevien tilastotietojen saatavuudesta. Jos tällaisia tietoja on olemassa, niistä voi ilmetä rikoshistorian olevan merkittävä rikoksen uusimiseen vaikuttava tekijä. ( 56 )

61.

On vielä korostettava, että esitutkinnan kohteena olleet henkilöt ja heidän tietonsa ”katoavat” poliisin rekisteristä, kun kyseisiä henkilöitä koskeva rikosoikeudellinen menettely raukeaa tai sen päätteeksi annetaan vapauttava tuomio ZMVR:n 68 §:n mukaisesti, mikä vaikuttaa luonnollisesti rekisteriin merkittyjen henkilöiden määrään, jota Bulgarian hallitus ei pystynyt ilmoittamaan. ( 57 )

62.

Unionin tuomioistuin on todennut kyseisten tietojen osalta, että kun otetaan huomioon henkilöiden parempi suoja arkaluonteisten tietojen käsittelyssä, rekisterinpitäjän on varmistuttava siitä, ettei tätä tavoitetta voida saavuttaa turvautumalla muihin kuin direktiivin 2016/680 10 artiklassa lueteltuihin tietoluokkiin. ( 58 ) Kuten edellä on todettu, säilytettäväksi tarkoitetut tiedot voivat selkeästi myötävaikuttaa rikosten ennalta estämiseen ja paljastamiseen sekä syytetoimiin rikollisuuden torjunnan ja yleisen järjestyksen ylläpitämisen aloilla. On myös vaikeaa nähdä, että nämä tavoitteet voitaisiin täyttää yhtä tehokkaasti ainoastaan yksilön henkilöllisyyttä koskevien tietojen tai hänestä otettujen valokuvien perusteella, tai muussa tapauksessa rajoitetaan liikaa tutkijoiden mahdollisuuksia selvittää muita rikoksia vertaamalla rikostutkinnan aikana kerättyjä tietoja aiempien tutkimusten yhteydessä rekisteriin merkittyihin tietoihin. ( 59 ) Se aika on onneksi ollutta ja mennyttä, kun tunnustuksen katsottiin olevan todistusaineiston kärjessä, sillä poliisin rikostutkintayksikön keräämä tekninen ja tieteellinen näyttö on korvannut todistusaineiston hierarkiassa yhä laajemmin sellaisen näytön, johon on suhtauduttava varauksella. Voidaan siis todeta, että asianomaiset tiedot ovat samalla kertaa merkityksellisiä eivätkä liiallisia käsittelylle ilmoitetut tarkoitukset huomioon ottaen.

63.

Lisäksi on tuotava esille, että koska kyseisessä kansallisessa lainsäädännössä ei vahvisteta rekisteriin merkittyjen tietojen täsmällistä enimmäissäilytysaikaa, tietoja säilytetään vain menettelyn keston ajan ja niiden säilyttäminen päättyy menettelyn raukeamiseen tai vapauttavan tuomion antamiseen tiettyjen esitutkinnan kohteena olevien henkilöiden osalta tai se jatkuu lainvoimaisella tuomiolla tuomittujen henkilöiden osalta heidän elämänsä ajan. Bulgarian hallituksen istunnossa antamien tietojen, joiden paikkansapitävyys ennakkoratkaisua pyytäneen tuomioistuimen on selvitettävä, perusteella tiedot poistetaan viran puolesta rekisteröidyn kuollessa ja perillisillä on lisäksi oikeus pyytää merkinnän poistamista ZMVR:n 68 §:n 6 momentin mukaisesti. Kun huomioon otetaan direktiivin 2016/680 5 artiklan sanamuoto, onko kyseisen tilanteen katsottava vastaavan sitä, ettei asianmukaisia määräaikoja henkilötietojen poistamiselle ole vahvistettu, jolloin määräajan käsitteen on ymmärrettävä väistämättä tarkoittavan vuosina, kuukausina tai päivinä ilmaistua ajanjaksoa? Jos vastaus on myöntävä, kyseinen säännös edellyttää vaihtoehtoisesti, että kansallisessa lainsäädännössä vahvistetaan määräajat tietojen säilyttämisen tarpeellisuuden säännöllistä tarkistamista varten. ( 60 )

64.

Kun kyseessä ovat esitutkinnan kohteena olevia henkilöitä koskevat tiedot ja kun otetaan huomioon, että Bulgarian lainsäätäjä on päättänyt olla säilyttämättä kyseisiä tietoja, ellei henkilöä tuomita häntä koskevan rikosoikeudellisen menettelyn päätteeksi, kyseisen menettelyn väistämättä sattumanvarainen kesto ei jätä oikein muuta mahdollisuutta kuin vahvistaa takaraja kohtuuttoman pitkään kestävän menettelyn varalta. Tuomittujen henkilöiden osalta katson, että kuolemaa koskeva maininta on ajallinen rajoitus, joka liittyy rekisteröidyn biologiseen elämään, minkä perusteella tietojen säilyttämisen ei voida väittää jatkuvan loputtomiin tai olevan rajoittamatonta. ( 61 ) Säilyttämisen päättyminen on määritetty ennalta, vaikkei täsmällistä päättymispäivää olekaan lopullisesti määritetty. Huomautan joka tapauksessa Bulgarian hallituksen ilmoittaneen istunnossa, että rekisterimerkinnät tarkistetaan sisäisesti säännöllisin väliajoin, tässä tapauksessa kolmen kuukauden välein, mikä täyttää direktiivin 2016/680 5 artiklan vaatimukset.

65.

On kiistatta niin, että riippuen siitä, minkä ikäinen rekisteröity on rekisteriin merkitsemisen ajankohtana ja minkä ikäisenä hän kuolee, säilyttäminen voi olla hyvin pitkäaikaista ja ylittää kestoltaan sen, mikä on säädetty määräajaksi rikoksen uusimisen toteamiselle tai virallisen syytteen alaisissa vakavimmissa rikoksissa syytteen nostamiselle. ( 62 ) Säilyttämisen kesto voidaan kuitenkin oikeuttaa rikostutkintaan liittyvällä käsittelyn tarkoituksella eli tarkoituksella kerätä aihetodisteita ja näyttöä aiempien tai tulevien rikosten tekijöiden tunnistamiseksi, ja on huomattava, että rikoksiin liittyvä vaara on rikoksen vakavuudesta riippumatta yleinen ja pysyvä. ( 63 ) Selvittämättömien tapausten ratkeaminen toisinaan hyvinkin pitkän ajan kuluttua osoittaa samalla kertaa rikostutkintayksiköiden valtavat vaikeudet ja sen, että rekisteriin kerättyjä biometrisiä ja geneettisiä tietoja on aiheellista säilyttää pitkiä aikoja. ( 64 )

66.

Poliisin rekisterissä olevien tietojen säilyttämisestä aiheutuvan oikeuksiin puuttumisen oikeasuhteisuutta ei voida tarkastella ottamatta huomioon sääntöjä, jotka koskevat kyseiseen rekisteriin pääsyä ja tietojen rekisterissä pitämisen perusteltavuuden valvontaa. Euroopan ihmisoikeustuomioistuimen mukaan tehokkaiden suojatoimien olemassaolo ja toimivuus ovat määräävässä asemassa silloin, kun valtio antaa laajimmat valtuudet säilyttää tietoja määrittämättömän ajan. Kansalliseen lainsäädäntöön on sisällyttävä siten suojatoimia, joilla suojataan tehokkaasti rekisteriin merkittyjä henkilötietoja epäasianmukaiselta käytöltä ja väärinkäytöltä ja joiden ansiosta kyseiset tiedot voidaan poistaa heti, kun niiden säilyttämisen jatkamisesta tulee suhteetonta, erityisesti antamalla konkreettinen mahdollisuus pyytää tallennettujen tietojen poistamista. ( 65 )

67.

Direktiivin 2016/680 johdanto-osan 28, 56 ja 57 perustelukappaleesta sekä sen 24, 25 ja 29 artiklasta ilmenee, että jäsenvaltioiden on toteutettava toimenpiteet, joiden avulla henkilötietoja voidaan käsitellä siten, että varmistetaan asianmukainen turvallisuuden ja luottamuksellisuuden taso muun muassa estämällä luvaton pääsy kyseisiin tietoihin ja niiden käsittelyyn käytettyihin laitteistoihin sekä tällaisten tietojen tai laitteistojen luvaton käyttö. Kyseiset toimenpiteet käsittävät sen, että rekisterinpitäjä ylläpitää selostetta ja antaa valvontaviranomaiselle tämän pyynnöstä tietoja toteutetusta tietojen käsittelystä sekä lokitietoja tietyistä käsittelytoimista, kuten kyselystä, siirtämisestä ja poistamisesta. Direktiivin 2016/680 johdanto-osan 60 perustelukappaleen mukaan rekisterinpitäjän on toteutettava aiemmin arvioitujen, asianomaiseen käsittelyyn liittyvien riskien lieventämiseksi toimenpiteitä, kun kyseiset riskit liittyvät muun muassa tietojen luvattomaan luovuttamiseen tai luvattomaan tietoihin pääsyyn.

68.

Bulgarian hallitus selvitti istunnossa sitä, miten nämä vaatimukset täytetään kansallisessa lainsäädännössä, ja se otti esille säännöstön, jonka mukaan viranhaltijoista, joilla on pääsy tietoihin, on laadittava nimilistoja ja jokaisen käyttäjän osalta on ilmoitettava tietojen käyttöoikeuden peruste, käyttäjän henkilöllisyys ja tietoihin tutustumisen päiväys ja kellonaika. ( 66 ) Nämä suojatoimet, jotka koskevat henkilöitä, joilla on valtuudet tutustua rekisteriin, sekä rekisteriin tutustumista koskevia ehtoja, vaikuttavat estävän kaiken rekisteriin pääsyyn liittyvän väärinkäytön tai vilpillisyyden ja näin jopa liiallisen puuttumisen perusoikeuskirjan 7 ja 8 artiklassa vahvistettuihin perusoikeuksiin, mikä ennakkoratkaisua pyytäneen tuomioistuimen on selvitettävä.

69.

On riidatonta, että edellä tarkoitettu valvonta, sellaisena kuin siitä säädetään ZMVR:n 68 §:n 6 momentissa, on luonteeltaan kaksitahoista, koska siitä huolehtivat joko toimivaltaiset viranomaiset viran puolesta itsevalvontana tai se tehdään rekisteröidyn tai tämän perillisten perustellusta pyynnöstä, ja näissä kahdessa esimerkkitilanteessa sovellettavat rekisterimerkinnän poistamisen perusteet luetellaan tyhjentävästi kyseisessä säännöksessä. Näihin perusteisiin ei kuulu tilanne, jossa henkilö on rehabilitoitu, minkä perusteella asianomainen tuomio poistetaan kyseisen henkilön rikosrekisteristä, vaan ainoastaan ZMVR:n 68 §:n 6 momentin 1 kohdassa mainittu peruste, joka koskee lainvastaisesti tehtyä rekisterimerkintää, voi olla perusteena rikoksesta tuomitun henkilön poistamista koskevalle pyynnölle, joka on esitetty – kuten nyt käsiteltävässä asiassa – kyseisen henkilön elinaikana ja siten ennen laissa säädetyn säilyttämisen keston päättymistä eli asianomaisen henkilön kuolemaa.

70.

Bulgarian hallitukselta tiedusteltiin istunnossa ZMVR:n 68 §:n 6 momentin ulottuvuudesta ottaen huomioon sen, miten toimivaltaiset viranomaiset ja tuomioistuimet sitä soveltavat, ja Bulgarian hallitus täsmensi, että kyseisen säännöksen perusteella voitiin muuttaa esitutkinnan kohteena olevaa henkilöä koskevaa merkintää, josta on tullut virheellinen sen jälkeen, kun tuomioistuin on määrittänyt rikoksen uudelleen. Mitään mahdollisuutta rekisterimerkinnän poistamiseen tuomitun henkilön rehabilitaation jälkeen ei ole. Muistutan tältä osin, että kyseessä oleva rekisteri on rikostutkinnan työkalu, jolla pyritään helpottamaan rikospoliisin operatiivista toimintaa, eikä se ole varsinainen aiemmat tuomiot sisältävä rikosrekisteri. Näillä kahdella välineellä ei ole sama tarkoitus: ensimmäinen on yksinomaan rikostutkijoiden käytettävissä oleva arkisto, jonka avulla nämä voivat selvittää pitkällä aikavälillä aiempia rikoksia tai myöhempiä rikoksia, ja toisen tehtävänä on antaa osviittaa tuomioistuinten työlle niiden määrätessä rangaistusta tietyssä asiassa. Koska rehabilitaatio on johtanut tuomion poistamiseen rikosrekisteristä, henkilö on saattanut palata tilanteen mukaan ensikertalaiseksi, jolle voidaan määrätä lievempi rangaistus tai helpotuksia sen suorittamisessa. Tietojen säilyttäminen rekisterissä on kuitenkin lähtökohtaisesti tarpeen, kun huomioon otetaan rekisterin laajempi tavoite, joka liittyy rikosten paljastamiseen, selvittämiseen ja ennalta estämiseen.

71.

Bulgarian hallituksen huomautuksista ilmenee vielä, ettei ZMVR:n 68 §:n 6 momentin 1 kohdassa tarkoitettu peruste sisällä tietojen säilyttämistarpeen arviointia ajalliselta kannalta. Vaikuttaa siltä, ettei kansallisessa lainsäädännössä ole pelkän hallinnollisen tai oikeudellisen käytännön ohella säännöstä, jonka perusteella toimivaltainen viranomainen voisi poistaa rekisterimerkinnän kolmen kuukauden välein tapahtuvan tarkistuksen yhteydessä tai asianomainen henkilö voisi pyytää rekisterimerkinnän poistamista, jos henkilötietojen säilyttäminen ei vaikuttaisi olevan enää tarpeen rekisteriin merkitsemisestä kuluneen ajan perusteella. Myöskään ennakkoratkaisua pyytänyt tuomioistuin, jonka on tutkittava poistamispyynnön hylkäämistä koskevan päätöksen laillisuus, ei vaikuta pystyvän tekemään tällaista arviointia.

72.

Voidaanko katsoa, että tietojen säilyttämistä varten käytetyt edellä kuvatut arviointiperusteet ovat riittävän kohdennettuja, oikeasuhteisia ja selkeitä ja että kyseessä oleva henkilötietojen käsittely tapahtuu täysin välttämättömän tai ehdottoman välttämättömän rajoissa? Unionin tuomioistuin voinee vastata tähän kysymykseen kieltävästi seuraavista syistä.

73.

On korostettava ensinnäkin, että henkilötietojen säilyttämisen tarpeellisuutta koskevasta ongelmasta tulee erityisen tähdellinen silloin, kun näiden henkilötietojen käsittely on sallittua ennalta ehkäisevästi, kuten nyt käsiteltävässä asiassa. Tältä osin on todettava, että todellinen peruste tietojen merkitsemiselle kyseiseen poliisin rekisteriin ja siinä säilyttämiselle on se vaara, joka rekisteröidystä aiheutuu; tämä edellyttää riskien arviointia. Käsiteltävässä asiassa on todettava, että tällainen riskien arviointi typistyy pelkkään toteamukseen, jonka mukaan olemassa on epäilys tahallisesta rikoksesta tai tahallinen rikos on tehty, ja tämä on perusteena epämääräinen, koska kyseessä on rikoksen tunnusmerkistötekijä ja jopa itse rikosoikeudellisen vastuun perusta. Säilyttämistä koskevassa kansallisessa säännöstössä otetaan nähdäkseni rikoksen suhteen huomioon tietty vakavuuden vähimmäisaste, ja se kattaa hyvin monenlaisia yhteiskuntajärjestyksen häiriöitä ilman, että ennakkoedellytyksenä olisi vankeusrangaistuksesta koostuva seuraamus, minkä perusteella voidaan katsoa, että säännöstöä sovelletaan rikoksen luonteesta tai vakavuudesta riippumatta. ( 67 ) Muistutan unionin tuomioistuimen katsoneen, että pääasiassa kyseessä olevan kaltainen Bulgarian lainsäädäntö, jossa säädetään henkilön, jonka osalta on aloitettu esitutkinta virallisen syytteen alaisesta tahallisesta rikoksesta, biometristen ja geneettisten tietojen keräämisestä, on lähtökohtaisesti ristiriidassa direktiivin 2016/680 10 artiklassa säädetyn vaatimuksen kanssa, sillä tällainen lainsäädäntö voi johtaa erottelematta ja yleisesti tähän keräämiseen, koska käsite ”virallisen syytteen alainen tahallinen rikos” on erityisen yleinen ja se voi soveltua moniin rikoksiin niiden luonteesta ja vakavuudesta riippumatta. ( 68 )

74.

Vaikka tilastojen tutkimisesta voi ilmetä, että rikoshistoria voi olla merkittävä tekijä rikosten uusimisessa, tilastojen tutkimisessa korostuu myös objektiivisia tekijöitä, jotka lisäävät uusintariskiä ja liittyvät muiden muassa sukupuoleen, ikään, aiemman rikoksen luonteeseen, rikokseksi katsottavan menettelyn toistumisen määräaikoihin tai siihen, että uusittu rikos liittyy läheisesti sen rikoksen luonteeseen, josta vankeusrangaistus on tuomittu. ( 69 ) Kun arviointiperusteena käytetään tietojen säilyttämistä asianomaisen henkilön kuolemaan saakka, vaikuttaa siltä, että kaikkia tahallisesta rikoksesta annettuja tuomioita, myös ensimmäistä tuomiota, ( 70 ) koskevien tietojen käsittelyn taustalla olevana logiikkana on rikostaustan erityisen laaja tarkastelu riippumatta siitä, mikä on kyseisten rikosten luonne ja/tai vakavuus ja rikoksentekijän ikä. Voidaan pohtia Euroopan ihmisoikeustuomioistuimen tavoin, eikö tämäntyyppinen logiikka voisi johtaa käytännössä äärimmilleen vietynä siihen, että sillä voidaan oikeuttaa tietojen säilyttäminen koko väestöstä ja edesmenneistä lähisukulaisista, mikä olisi varmasti liiallista ja merkityksetöntä. ( 71 ) Huomautan unionin tuomioistuimen katsoneen, että pelkästään sitä, että henkilöä koskeva esitutkinta on aloitettu virallisen syytteen alaisesta rikoksesta, ei voida pitää seikkana, joka sellaisenaan olisi peruste olettaa, että hänen biometristen ja geneettisten tietojensa kerääminen on ehdottoman välttämätöntä keräämisen tarkoitusten kannalta. ( 72 )

75.

Toiseksi vaikuttaa siltä, että tietoja säilytetään ottamatta huomioon tarvetta pitää tiedot tallessa rekisteröidyn kuolemaan saakka. Kun huomioon otetaan ZMVR:n 68 §:n 6 momentin sanamuoto ja sen tulkinta, toimivaltaisilla viranomaisilla on valtuudet poistaa kyseiset tiedot vain poikkeustilanteessa, eikä tällä ole yhteyttä kyseisen henkilön tilanteen muuttumiseen rekisteriin merkitsemisen jälkeen. Sama pätee luonnollisesti samassa laissa säädettyyn, kyseisellä henkilöllä olevaan mahdollisuuteen pyytää tietojen poistamista, joka ei ole riittävän tehokas, koska sillä ei voida varmistaa, että tietojen säilyttämisen kesto on oikeassa suhteessa kyseisen oikeuksiin puuttumisen tavoitteeseen nähden. Tässä arvioinnissa olisi otettava huomioon erilaisia arviointiperusteita, kuten todettujen tekojen luonne ja vakavuus, teoista kulunut aika, jäljellä oleva lain mukainen säilytysaika tai käsiteltävän asian kantajan ikä – joka on suhteutettava hänen henkilökohtaiseen tilanteeseensa siltä osin, minkä ikäisenä hän on kyseisen teon tehnyt – hänen käyttäytymisensä teon jälkeen (yhteiskuntaan sopeutuminen, asianomistajille aiheutuneiden vahinkojen korvaaminen), hänen persoonallisuutensa ja rehabilitaatio, jotka voivat tässä asiayhteydessä olla kokonaistarkastelun kohteena. Tässä tilanteessa rekisteriin merkityllä henkilöllä oleva valvontamahdollisuus vaikuttaa niin kapealta, että se on lähes hypoteettinen. ( 73 )

76.

Edellä esitettyjä toteamuksia on tarkasteltava ottaen huomioon, että arkaluonteisia tietoja voidaan säilyttää hyvin pitkän aikaa ja että kyseessä oleva rekisteri tarjoaa käyttäjilleen jopa kyseisten tietojen käyttöön liittyviä toimintoja, kuten tunnistusta, analysointia ja yhteensovittamista, joilla puututaan oikeuksiin hyvin mittavasti. On tuotava esille, että ZMVR:n 68 §:n 3 momentin mukaisesti poliisiviranomaisten on kerättävä poliisin rekisteriin merkitsemistä varten näytteitä henkilöiden DNA-profiilien määrittämiseksi ja otettava heistä valokuvia, joihin voidaan käyttää tarvittaessa kasvojentunnistusteknologiaa.

77.

Edellä esitetyn perusteella ehdotan, että unionin tuomioistuin vastaa Varhoven administrativen sadille seuraavasti:

Luonnollisten henkilöiden suojelusta toimivaltaisten viranomaisten suorittamassa henkilötietojen käsittelyssä rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten sekä näiden tietojen vapaasta liikkuvuudesta ja neuvoston puitepäätöksen 2008/977/YOS kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston direktiivin (EU) 2016/680 4, 5, 8 ja 10 artiklaa sekä 16 artiklan 2 kohtaa, luettuina yhdessä sekä Euroopan unionin perusoikeuskirjan 52 artiklan 1 kohdan valossa,

on tulkittava siten, että

ne ovat esteenä kansalliselle lainsäädännölle, jossa säädetään kaikkien tahallisesta rikoksesta tuomittujen henkilöiden henkilötietojen – myös biometristen tietojen ja geneettisten tietojen – säilyttämisestä poliisin rekisterissä tekemättä muuta eroa rikoksen luonteen tai vakavuuden perusteella kyseisen henkilön kuolemaan asti, ilman että henkilöllä on mahdollisuutta valvoa rekisteriin sisältyvien tietojen pitämistä rekisterissä rekisteriin merkitsemisestä kuluneen ajan suhteen ja saada tarvittaessa tiedot myöhemmin poistettua.

Tuomitun henkilön osalta tapahtunut rehabilitaatio voidaan ottaa huomioon varmistettaessa, että tietojen säilyttämisen kesto on oikeassa suhteessa käsittelyn tarkoitukseen kyseisen henkilön tilanteessa.