1.

La presente domanda di pronuncia pregiudiziale verte sull’interpretazione dell’articolo 4, paragrafo 1, lettere c) ed e), dell’articolo 6, dell’articolo 8, paragrafo 2, e dell’articolo 10 della direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati e che abroga la decisione quadro 2008/977/GAI del Consiglio ( 2 ).

2.

Tale domanda è stata presentata nell’ambito di una controversia tra JH, persona fisica, e il policejní prezidium (direzione della polizia, Repubblica ceca) vertente, in particolare, sulla raccolta di dati biometrici e genetici relativi a JH nell’ambito di un procedimento penale e sulla conservazione di tali dati da parte della Policie České republiky (polizia della Repubblica ceca) (in prosieguo: la «polizia ceca»).

3.

La presente causa si colloca, per quanto riguarda la prima questione pregiudiziale formulata dal Nejvyšší správní soud (Corte suprema amministrativa, Repubblica ceca), sulla scia delle sentenze del 26 gennaio 2023, Ministerstvo na vatreshnite raboti (Registrazione di dati biometrici e genetici da parte della polizia) ( 3 ), e del 28 novembre 2024, Ministerstvo na vatreshnite raboti (Registrazione di dati biometrici e genetici II) ( 4 ), nelle quali la Corte ha dichiarato che una normativa nazionale che prevede la raccolta sistematica dei dati biometrici e genetici di qualsiasi persona formalmente accusata di un reato doloso perseguibile d’ufficio ai fini della loro registrazione da parte della polizia era contraria all’esigenza di garantire una tutela rafforzata delle persone riguardo al trattamento di dati personali sensibili. Il giudice del rinvio invita la Corte a precisare la sua giurisprudenza interrogandola sulla questione se l’articolo 65, paragrafo 1, dello zákon č. 273/2008 Sb., o Policii České republiky (legge n. 273/2008 relativa alla polizia della Repubblica ceca) ( 5 ), in quanto limita la propria applicazione ai soli reati intenzionali, rifletta in modo sufficiente, a livello strutturale, la necessità di valutare la proporzionalità del rilevamento dei dati biometrici e genetici delle persone interessate oppure se, al contrario, occorra operare una distinzione supplementare fra tali persone a seconda della gravità del reato.

4.

Per quanto riguarda la seconda questione pregiudiziale formulata dal giudice del rinvio, la presente causa si colloca sulla scia della sentenza del 30 gennaio 2024, Direktor na Glavna direktsia «Natsionalna politsia» pri MVR – Sofia ( 6 ), nella quale la Corte si è pronunciata per la prima volta sui limiti temporali della conservazione, ai fini della lotta contro i reati, dei dati personali di individui che sono stati oggetto di una condanna penale definitiva, alla luce della direttiva 2016/680. In tale sentenza, la Corte ha dichiarato che detta direttiva definisce un quadro generale che consente di garantire che la conservazione dei dati personali e, più in particolare, la durata della stessa siano limitate a quanto necessario alla luce delle finalità per le quali tali dati sono conservati ( 7 ). Il giudice del rinvio invita la Corte a precisare se detta giurisprudenza sia pertinente quando i dati personali sono conservati per finalità di prevenzione, di ricerca e di accertamento dei reati, che, per loro natura, sono prospettiche e di durata illimitata. Tali finalità richiederebbero infatti che detti dati siano conservati il più a lungo possibile.

5.

Pertanto, nella presente causa, la Corte sarà chiamata a precisare, da un lato, le nozioni di «minimizzazione sostanziale» e di «minimizzazione temporale» dei dati biometrici e genetici rientranti nel campo di applicazione della direttiva 2016/680 quando questi ultimi siano raccolti e conservati in detto ambito.

6.

D’altro lato, per quanto riguarda la terza questione pregiudiziale, la Corte è invitata, per la prima volta, ad interpretare la nozione di «diritto dello Stato membro», ai sensi dell’articolo 8, paragrafo 2, di tale direttiva, in combinato disposto con l’articolo 10 della stessa. Più in particolare, il giudice del rinvio si chiede se la giurisprudenza nazionale che precisa i criteri di rilevamento e di conservazione dei dati biometrici e genetici possa rientrare in tale nozione e in quale misura le condizioni sostanziali e procedurali minime di acquisizione, di conservazione e di cancellazione di tali dati debbano essere previste nel diritto di uno Stato membro mediante una disposizione di portata generale.

7.

L’articolo 11 della legge ceca sulla polizia così dispone:

«L’agente e il dipendente di polizia sono tenuti a

(...)

8.

Ai sensi dell’articolo 65 di tale legge:

«1)   Nell’esercizio delle sue funzioni, la polizia può, ai fini di una futura identificazione, nei confronti di

2)   Qualora non sia possibile compiere un atto di cui al paragrafo 1 a causa dell’opposizione della persona interessata, l’agente di polizia ha diritto di superare tale opposizione dopo aver vanamente chiesto a detta persona di sottoporvisi. Il modo in cui egli supera detta opposizione deve essere proporzionato all’intensità della stessa. L’agente di polizia non può superare l’opposizione di una persona per effettuare un prelievo di sangue o un altro atto simile che leda l’integrità fisica.

3)   Se un atto di cui al paragrafo 1 non può essere effettuato sul posto, l’agente di polizia ha diritto di presentare la persona ai fini del compimento dell’atto. L’agente di polizia rilascia la persona una volta compiuto l’atto.

4)   L’agente di polizia redige una relazione sugli atti compiuti.

5)   La polizia cancella i dati personali ottenuti in applicazione del paragrafo 1 non appena il loro trattamento non è più necessario al fine di prevenire, ricercare, accertare o perseguire reati oppure di garantire la sicurezza della Repubblica ceca, l’ordine pubblico o la sicurezza interna».

9.

L’articolo 79 di detta legge, intitolato «Disposizioni fondamentali relative al trattamento dei dati personali nell’ambito dell’esecuzione di talune funzioni di polizia», ai paragrafi 1 e 2 prevede quanto segue:

«1)   I paragrafi da 2 a 6 e gli articoli da 79a a 88 si applicano al trattamento dei dati personali a fini di prevenzione, ricerca, accertamento e perseguimento dei reati, allo scopo di garantire la sicurezza della Repubblica ceca o l’ordine pubblico e la sicurezza interna, anche a fini di ricerca di persone e cose.

2)   La polizia può trattare i dati personali se ciò è necessario per conseguire le finalità di cui al paragrafo 1. La polizia può anche trattare i dati personali al fine di proteggere interessi rilevanti di una persona interessata che siano collegati alle finalità di cui al paragrafo 1».

10.

L’articolo 82 della medesima legge è così formulato:

«1) La polizia verifica almeno una volta ogni tre anni che i dati personali trattati per le finalità di cui all’articolo 79, paragrafo 1, siano ancora necessari per l’esercizio delle sue funzioni in tale ambito.

2) Ai fini della verifica di cui al paragrafo 1, la polizia è autorizzata a richiedere un estratto del casellario giudiziale.

3) Le autorità di polizia e giudiziarie, il Ministerstvo spravedlnosti [Ministero della Giustizia, Repubblica ceca], l’Ustavní soud [Corte costituzionale, Repubblica ceca] e il Kancelář prezidenta republiky [gabinetto del Presidente della Repubblica, Repubblica ceca] informano costantemente la polizia, nei limiti delle loro competenze, ai fini della verifica di cui al paragrafo 1, delle loro decisioni definitive, della prescrizione di azioni penali, dell’esecuzione di una pena o delle decisioni del Presidente della Repubblica relative a un procedimento penale, a una pena o a un’amnistia o una grazia concessa».

11.

Con decisione dell’11 dicembre 2015, la polizia ceca ha avviato un procedimento penale nei confronti di JH per il reato di violazione di un obbligo nella gestione del patrimonio altrui.

12.

Il 13 gennaio 2016, essa ha ascoltato JH nell’ambito del procedimento penale e ha ordinato l’esecuzione di vari atti di identificazione. Nonostante il disaccordo di JH, la polizia ceca ha effettuato su di lui un prelievo delle impronte digitali e un prelievo orale sulla base del quale ha creato un profilo genetico, gli ha scattato alcune foto e ha redatto una descrizione dello stesso. Essa ha poi registrato tali informazioni nelle corrispondenti banche dati della polizia ceca.

13.

Con sentenza del Městský soud v Praze (Corte regionale di Praga capitale, Repubblica ceca) del 15 marzo 2017, JH è stato giudicato in via definitiva colpevole del reato di violazione di un obbligo nella gestione del patrimonio altrui e del reato di abuso di potere da parte di un funzionario. Egli è stato condannato a una pena detentiva di tre anni con sospensione condizionale, a un divieto, per un periodo di quattro anni, di esercitare nella pubblica amministrazione funzioni di direzione comprendenti la gestione di un patrimonio immobiliare e mobiliare nonché a risarcire il danno causato nei limiti delle sue possibilità.

14.

L’8 marzo 2016, JH ha proposto un ricorso dinanzi al Městský soud v Praze (Corte regionale di Praga capitale) volto a far dichiarare che il compimento degli atti di identificazione conformemente all’articolo 65 della legge ceca sulla polizia, la conservazione delle informazioni e dei campioni così ottenuti nonché la creazione di una registrazione nel sistema informatico della polizia ceca costituivano un’ingerenza illegittima.

15.

Con sentenza del 23 giugno 2022, tale organo giurisdizionale ha accolto il ricorso di JH, dichiarando che gli atti di identificazione compiuti dalla polizia ceca e la conservazione di detti dati personali nelle banche dati della polizia ceca costituivano un’ingerenza illegittima nel diritto fondamentale al rispetto della vita privata. Di conseguenza, detto organo giurisdizionale ha ordinato alla polizia ceca di cancellare dalle sue banche dati tutti i dati personali risultanti da tali atti, ad eccezione del prelievo orale, nel frattempo distrutto.

16.

Il Městský soud v Praze (Corte regionale di Praga capitale) ha sottolineato che il prelievo di materiale genetico costituisce una notevole ingerenza nel diritto fondamentale al rispetto della vita privata, protetto segnatamente dall’articolo 8 della Convenzione per la salvaguardia dei diritti dell’uomo e delle libertà fondamentali ( 8 ). Orbene, l’articolo 65 della legge ceca sulla polizia non fornirebbe indicazioni sufficienti per valutare la proporzionalità di tale ingerenza. Infatti, l’unica verifica compiuta dalla polizia ceca, prima di effettuare un siffatto prelievo, verterebbe sul carattere intenzionale del reato commesso ai sensi di detta disposizione, condizione che può essere considerata soddisfatta nell’ambito del procedimento principale.

17.

Di conseguenza, il Městský soud v Praze (Corte regionale di Praga capitale) ha ritenuto che gli atti di identificazione compiuti dalla polizia ceca non soddisfacessero il requisito di proporzionalità e, pertanto, costituissero un’ingerenza illegittima. A questo proposito, tale organo giurisdizionale ha rilevato che JH era accusato di aver commesso soltanto un reato di minore gravità, che lo stesso non era mai stato condannato in precedenza e che una recidiva da parte sua era poco probabile. Detto organo giurisdizionale ha inoltre sottolineato il fatto che la polizia ceca deve, di propria iniziativa, ai sensi dell’articolo 65, paragrafo 5, della legge ceca sulla polizia, esaminare internamente a partire da quale momento il mantenimento della conservazione di dati personali «non è più necessario al fine di prevenire, ricercare [o] accertare (...) reati». Lo stesso organo giurisdizionale ritiene che tale normativa lasci alla polizia un margine di valutazione illimitato e tenda ad un ricorso eccessivo alla conservazione illimitata nel tempo dei dati personali.

18.

La direzione della polizia ha proposto un ricorso per cassazione avverso tale sentenza dinanzi al Nejvyšší správní soud (Corte suprema amministrativa).

19.

A sostegno della sua impugnazione, la direzione della polizia ha sottolineato che la finalità del trattamento dei dati personali era chiaramente espressa all’articolo 65 della legge ceca sulla polizia. Essa ha altresì affermato di aver valutato la proporzionalità del prelievo e della conservazione dei dati personali di JH, prendendo in considerazione il fattore della recidiva, il possibile aggravamento degli atti e il fatto che JH avesse commesso in passato diversi reati. Per quanto riguarda la pubblicità asseritamente insufficiente dei criteri applicati internamente dalla polizia ceca per decidere di continuare a conservare dati personali, la direzione della polizia ha affermato di aver comunicato tali criteri al pubblico nell’ambito del diritto all’informazione.

20.

In risposta, JH ha sottolineato, in particolare, che le autorità di polizia ceche avevano compiuto gli atti di identificazione senza aver previamente esaminato la proporzionalità dell’ingerenza. JH ha inoltre criticato l’assenza di pubblicità delle istruzioni della polizia ceca relative al compimento di atti di identificazione.

21.

In tale contesto, il giudice del rinvio si chiede, in primo luogo, se i requisiti stabiliti dalla direttiva 2016/680 ostino alla raccolta indifferenziata di dati biometrici e genetici per qualsiasi persona sospettata di aver commesso un reato doloso; in secondo luogo, se i requisiti stabiliti da tale direttiva ostino alla conservazione di tali dati senza che sia espressamente previsto un limite di tempo, e, in terzo luogo, se la giurisprudenza dei giudici amministrativi nazionali possa essere qualificata come «diritto dello Stato membro» ai sensi dell’articolo 8 di detta direttiva, il quale stabilisce le condizioni di liceità dei trattamenti di dati personali.

22.

In tali circostanze, il Nejvyšší správní soud (Corte suprema amministrativa) ha deciso di sospendere il procedimento e di sottoporre alla Corte le seguenti questioni pregiudiziali:

23.

JH, il governo ceco, l’Irlanda, il governo polacco nonché la Commissione europea hanno presentato osservazioni scritte.

24.

All’udienza tenutasi il 28 novembre 2024, JH, il governo ceco, l’Irlanda, il governo dei Paesi Bassi nonché la Commissione hanno svolto osservazioni orali e sono stati segnatamente invitati a rispondere oralmente ai quesiti formulati dalla Corte.

25.

In via preliminare, occorre ricordare che le questioni pregiudiziali sollevate dal giudice del rinvio vertono sulla raccolta e sulla conservazione di dati biometrici e genetici, che sono categorie particolari di dati personali, il cui trattamento è disciplinato dall’articolo 10 della direttiva 2016/680.

26.

Orbene, tale disposizione mira a garantire una maggiore protezione dell’interessato, in quanto i dati di cui trattasi, a causa della loro particolare sensibilità e del contesto nel quale sono trattati, possono comportare, come risulta dal considerando 37 di detta direttiva, rischi significativi per le libertà e i diritti fondamentali, quali il diritto al rispetto della vita privata e il diritto alla protezione dei dati personali, garantiti dagli articoli 7 e 8 della Carta dei diritti fondamentali dell’Unione europea ( 9 ).

27.

Più in particolare, l’articolo 10 della direttiva 2016/680 enuncia il requisito secondo cui il trattamento dei dati sensibili è autorizzato «solo se strettamente necessario», che definisce una condizione rafforzata di liceità del trattamento di tali dati e implica, segnatamente, un controllo particolarmente rigoroso del rispetto del principio della «minimizzazione dei dati», quale derivante dall’articolo 4, paragrafo 1, lettera c), della citata direttiva, del quale tale requisito costituisce un’applicazione specifica a detti dati sensibili ( 10 ).

28.

È alla luce di tali considerazioni che proporrò, nelle presenti conclusioni, di rispondere al giudice del rinvio cercando di determinare se la normativa nazionale di cui trattasi nel procedimento principale soddisfi il requisito secondo cui la raccolta nonché la conservazione dei dati biometrici e genetici delle persone interessate siano autorizzate «solo se strettamente necessario», ai sensi dell’articolo 10 della direttiva 2016/680.

29.

Con la sua prima questione il giudice del rinvio chiede, in sostanza, se l’articolo 4, paragrafo 1, lettera c), o l’articolo 6 della direttiva 2016/680, in combinato disposto con l’articolo 10 di quest’ultima, debba essere interpretato nel senso che esso osta a una normativa nazionale che consenta la raccolta di dati biometrici e genetici di tutte le persone sottoposte a procedimento penale per un reato doloso o sospettate di aver commesso un siffatto reato.

30.

Nelle sue osservazioni scritte, la Commissione ha concluso per l’irricevibilità della prima questione per il motivo che, nel caso oggetto del procedimento principale, il prelievo dei dati genetici e biometrici di JH da parte della polizia ceca ha avuto luogo il 13 gennaio 2016, ossia prima dell’entrata in vigore della direttiva 2016/680, avvenuta il 5 maggio 2016, e prima della scadenza del termine di recepimento, fissato al 6 maggio 2018 dall’articolo 63, paragrafo 1, di tale direttiva.

31.

Sebbene la direttiva 2016/680 non preveda alcuna disposizione transitoria per quanto riguarda i dati raccolti prima del 5 maggio 2016, mi sembra opportuno fare riferimento al considerando 96 di tale direttiva, ai sensi del quale «[i]l trattamento già in corso a tale data dovrebbe essere reso conforme [a detta] direttiva entro un periodo di due anni dall’entrata in vigore della [stessa]» ( 11 ).

32.

Ai sensi dell’articolo 3, punto 2, della direttiva 2016/680, un «trattamento» consiste in una «qualsiasi operazione o insieme di operazioni, (...) applicate a dati personali o insiemi di dati personali, come la raccolta, la registrazione, l’organizzazione, la strutturazione, la conservazione, l’adattamento o la modifica, l’estrazione, la consultazione, l’uso, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l’interconnessione, la limitazione, la cancellazione o la distruzione» ( 12 ).

33.

Orbene, ad eccezione del prelievo orale nel frattempo distrutto, i dati personali di JH prelevati prima del 5 maggio 2016 continuano ad essere conservati nelle banche dati della polizia ceca. Tali dati continuano quindi ad essere trattati dopo tale data, vale a dire dopo l’entrata in vigore della direttiva 2016/680.

34.

Per tale ragione, a mio avviso, i dati personali che sono stati raccolti lecitamente nella vigenza della decisione quadro 2008/977/GAI ( 13 ), ma la cui raccolta sarebbe avvenuta in violazione dei principi stabiliti dalla direttiva 2016/680 ove essa fosse intervenuta dopo l’entrata in vigore di tale direttiva, non dovrebbero continuare ad essere trattati e, quindi, conservati nella vigenza di detta direttiva.

35.

Alla luce di tali circostanze, ritengo che la prima questione sollevata dal giudice del rinvio sia ricevibile.

36.

Il giudice del rinvio si chiede se l’articolo 65, paragrafo 1, della legge ceca sulla polizia sia compatibile con l’obbligo imposto agli Stati membri dall’articolo 6 della direttiva 2016/680 di operare una distinzione tra diverse categorie di interessati e con il principio di minimizzazione del trattamento dei dati personali enunciato all’articolo 4, paragrafo 1, lettera c), di tale direttiva.

37.

Più precisamente, tale giudice si chiede se l’unica condizione posta dalla normativa nazionale per autorizzare il prelievo dei dati biometrici e genetici di una persona fisica, vale a dire la sussistenza di un reato doloso, operi una distinzione sufficiente tra le diverse persone interessate o se sia richiesto un grado di individualizzazione ulteriore, nel senso che occorrerebbe operare una distinzione in funzione della gravità dei reati dolosi per i quali potrebbero essere automaticamente raccolti siffatti dati.

38.

Al fine di rispondere a tale questione, occorre, da un lato, ricordare che, sebbene l’articolo 6 della direttiva 2016/680 imponga agli Stati membri di operare una chiara distinzione tra i dati delle diverse categorie di interessati, in modo che non sia loro imposta indistintamente un’ingerenza della medesima intensità nel loro diritto fondamentale alla protezione dei propri dati personali ( 14 ), l’espressione «se del caso e nella misura del possibile», utilizzata in tale articolo, indica chiaramente che non è necessariamente possibile operare detta distinzione tra siffatti dati ( 15 ).

39.

L’obbligo che detto articolo 6 impone agli Stati membri non è quindi assoluto e l’espressione «quali», che vi figura, indica che le categorie di persone ivi elencate non hanno carattere tassativo ( 16 ).

40.

D’altro lato, è essenziale ritornare sugli insegnamenti che devono essere tratti dalla sentenza Registrazione di dati biometrici e genetici I, in quanto la Corte vi interpreta l’articolo 4, paragrafo 1, lettera c), della direttiva 2016/680, in forza del quale i dati personali trattati devono essere adeguati, pertinenti e non eccedenti rispetto alle finalità perseguite mediante il loro trattamento.

41.

In tale sentenza, la Corte ha concluso che una normativa nazionale, che prevede la raccolta sistematica dei dati biometrici e genetici di qualsiasi persona formalmente accusata di un reato doloso perseguibile d’ufficio ( 17 ), è contraria, in linea di principio, al requisito enunciato all’articolo 10 della direttiva 2016/680, secondo cui il trattamento delle categorie particolari di dati di cui a tale articolo deve essere autorizzato «solo se strettamente necessario» ( 18 ). Infatti, una simile normativa può condurre, in modo indifferenziato e generalizzato, alla raccolta dei dati biometrici e genetici della maggior parte delle persone formalmente accusate, dal momento che la nozione di «reato doloso perseguibile d’ufficio» riveste un carattere particolarmente generale e può applicarsi a un gran numero di reati, indipendentemente dalla loro natura e dalla loro gravità ( 19 ).

42.

Orbene, nel caso di specie, l’articolo 65, paragrafo 1, della legge ceca sulla polizia prevede che i dati biometrici e genetici di una persona possano essere raccolti non solo quando quest’ultima è imputata per aver commesso un reato doloso, ma anche quando essa è sospettata di aver commesso un siffatto reato. Tale disposizione non riguarda quindi soltanto un numero limitato di situazioni, ma comprende, in modo ancora troppo ampio, un gran numero di reati per i quali detti dati possono essere raccolti.

43.

Per vero, rilevo che detta disposizione si limita a concedere una facoltà alle autorità di polizia di compiere un simile prelievo, mentre la registrazione di polizia prevista dalla normativa bulgara in questione nella causa che ha dato luogo alla sentenza Registrazione di dati biometrici e genetici I si applicava in modo imperativo a tutte le persone formalmente accusate di reati dolosi perseguibili d’ufficio ( 20 ). Ciò potrebbe indurre a ritenere che la normativa ceca, in quanto concede un più ampio margine di manovra alle autorità di polizia, consenta di circoscrivere meglio i casi in cui i dati biometrici e genetici delle persone interessate possono essere raccolti.

44.

Tuttavia, rilevo che né l’articolo 65, paragrafo 1, della legge ceca sulla polizia, né l’articolo 11 di tale legge – in forza del quale le autorità di polizia devono effettuare un semplice controllo di proporzionalità – prevedono un obbligo, per tali autorità, di valutare la stretta necessità di raccogliere dati biometrici e genetici delle persone interessate. Ciò pone problemi sotto due aspetti.

45.

In primo luogo, il solo fatto che una persona abbia commesso o sia sospettata di aver commesso un reato doloso non può essere considerato, in ogni caso, un elemento che consente, di per sé, di presumere che la raccolta dei suoi dati biometrici e genetici sia strettamente necessaria alla luce delle finalità che essa persegue ( 21 ).

46.

Infatti, la Corte ha già dichiarato che una simile «stretta necessità» può essere determinata solo alla luce dell’insieme degli elementi pertinenti, quali, in particolare, la natura e la gravità del presunto reato del quale essa è formalmente accusata, le circostanze particolari di tale reato, l’eventuale collegamento di detto reato con altri procedimenti in corso, i precedenti giudiziari o il profilo individuale della persona interessata ( 22 ).

47.

Limitare la raccolta dei dati biometrici e genetici ai soli casi di reati che presentano un elemento intenzionale non è quindi sufficiente a soddisfare il requisito previsto all’articolo 10 della direttiva 2016/680, secondo il quale il trattamento delle categorie particolari di dati di cui a tale articolo deve essere autorizzato «solo se strettamente necessario».

48.

In secondo luogo, rilevo che la Corte ha dichiarato che, in assenza di un obbligo per l’autorità competente, in forza del diritto nazionale, di procedere alla valutazione del carattere «strettamente necessario» del trattamento di dati personali che essa ha effettuato o intende effettuare, un organo giurisdizionale adito al fine di conoscere di un tale trattamento operato da tale autorità competente non può garantire, al posto di quest’ultima, il rispetto dell’obbligo incombente a detta autorità ai sensi dell’articolo 10 della direttiva 2016/680 ( 23 ).

49.

Orbene, il quadro normativo attualmente vigente nella Repubblica ceca dà luogo a situazioni in cui, da un lato, le autorità di polizia non procedono a un controllo rigoroso di proporzionalità prima di effettuare il prelievo dei dati biometrici e genetici delle persone interessate e, dall’altro, i giudici amministrativi devono sostituirsi alle autorità di polizia nell’attuazione di un siffatto controllo.

50.

Pertanto, in assenza di un obbligo previsto dalla normativa ceca, per le autorità nazionali di polizia, di valutare la stretta necessità, ai sensi dell’articolo 10 della direttiva 2016/680, di raccogliere i dati biometrici e genetici delle persone interessate in ciascun caso concreto, tale normativa non rispetta il principio di minimizzazione del trattamento dei dati personali imposto da detta disposizione.

51.

Dalle considerazioni che precedono risulta che l’articolo 4, paragrafo 1, lettera c), e l’articolo 6 della direttiva 2016/680, in combinato disposto con l’articolo 10 di tale direttiva, devono essere interpretati nel senso che essi ostano a una normativa nazionale che consente la raccolta di dati biometrici e genetici di tutte le persone imputate per un reato doloso o sospettate di un reato siffatto, qualora una tale normativa non preveda l’obbligo, per l’autorità competente, di valutare, in ciascun caso concreto, il carattere «strettamente necessario» del trattamento che essa ha effettuato o intende effettuare.

52.

Con la sua seconda questione, il giudice del rinvio chiede, in sostanza, se l’articolo 4, paragrafo 1, lettera e), della direttiva 2016/680 debba essere interpretato nel senso che esso osta a una normativa nazionale in forza della quale la necessità di mantenere la conservazione di dati biometrici e genetici, alla luce della finalità di prevenzione e di accertamento dei reati, è valutata dalle autorità di polizia sulla base di norme interne, senza che tale normativa preveda un periodo massimo di conservazione, con la conseguenza che tali dati, nella maggior parte dei casi, sono conservati per un periodo di tempo indeterminato. Tale giudice chiede inoltre in base a quali criteri debba essere valutata la proporzionalità, sotto il profilo temporale, della conservazione dei dati personali raccolti e conservati per detta finalità.

53.

La Corte ha chiesto al giudice del rinvio se ritenesse necessario mantenere tale questione tenuto conto della sentenza DGPN, emessa dopo la presentazione della sua domanda di pronuncia pregiudiziale. Detto giudice, dopo aver invitato le parti nel procedimento principale ad esprimersi, ha voluto mantenere le sue questioni e ha espresso dubbi quanto alla possibilità di trasporre pienamente le conclusioni tratte dalla Corte in tale sentenza alla seconda questione pregiudiziale.

54.

In detta sentenza la Corte si è pronunciata, per la prima volta, sui limiti temporali imposti alla conservazione, a fini di lotta contro i reati, dei dati personali di individui che sono stati oggetto di una condanna penale definitiva, alla luce della direttiva 2016/680, con riguardo ad una normativa nazionale che prevede la conservazione, fino al decesso di tali individui, di detti dati, compresi quelli sensibili, senza possibilità di nuova valutazione di tale durata in funzione delle circostanze.

55.

Per quanto riguarda la proporzionalità del periodo di conservazione dei dati personali, la Corte ha precisato che il considerando 26 della direttiva 2016/680 nonché l’articolo 4, paragrafo 1, lettera e), e l’articolo 5 di tale direttiva stabiliscono un quadro generale che impone agli Stati membri, da un lato, di prevedere che tali dati siano conservati per un arco di tempo non superiore a quello necessario al conseguimento delle finalità per le quali sono trattati ( 24 ) e, dall’altro, di prevedere la fissazione di adeguati termini per la cancellazione di detti dati o per l’esame periodico della necessità di conservarli, nonché misure procedurali che garantiscano il rispetto di tali termini ( 25 ), lasciando agli Stati membri il compito di determinare, nel rispetto di tale quadro generale, le situazioni specifiche in cui la tutela dei diritti fondamentali dell’interessato richiede la cancellazione dei dati personali e il momento in cui tale cancellazione deve avvenire ( 26 ).

56.

Per quanto attiene, più in particolare, ai dati genetici e biometrici, come ho ricordato segnatamente al paragrafo 27 delle presenti conclusioni, l’articolo 10 della direttiva 2016/680 enuncia il requisito secondo cui il trattamento dei dati sensibili è autorizzato «solo se strettamente necessario» ( 27 ).

57.

Inoltre, la Corte ha precisato che tali disposizioni non esigono che gli Stati membri definiscano limiti temporali assoluti per la conservazione dei dati personali, al di là dei quali questi ultimi dovrebbero essere automaticamente cancellati ( 28 ).

58.

Nonostante tali insegnamenti, il giudice del rinvio sottolinea che, a differenza della questione sollevata nella causa che ha dato luogo alla sentenza DGPN, la sua seconda questione pregiudiziale è stata formulata con riguardo ad un obiettivo e ad una finalità del trattamento consistenti nella prevenzione generale dei reati.

59.

Tale giudice si chiede quindi come conciliare, da un lato, il principio di minimizzazione temporale del trattamento dei dati personali e, dall’altro, un siffatto obiettivo, che è, per sua natura, prospettico e illimitato nel tempo, e che presuppone di conservare il più a lungo possibile i dati personali del maggior numero possibile di persone.

60.

È ben vero che, nella causa che ha dato luogo alla sentenza DGPN, la Corte era stata interpellata in merito a una situazione in cui i dati personali, in particolare i dati biometrici e genetici, di una persona condannata in via definitiva per un reato doloso perseguibile d’ufficio erano conservati in un registro di polizia, senza alcuna limitazione di durata diversa dal verificarsi del decesso di tale persona, e ciò persino dopo la sua riabilitazione ( 29 ).

61.

Tuttavia, tali circostanze non impediscono, a mio avviso, che le medesime conclusioni possano essere applicate a una situazione come quella di cui al procedimento principale, nella quale i dati personali sono conservati per fini di prevenzione generale dei reati.

62.

Infatti, la Corte riconosce che la conservazione dei dati personali può contribuire all’obiettivo di interesse generale enunciato al considerando 27 della direttiva 2016/680, secondo cui, nell’interesse della prevenzione, dell’indagine e del perseguimento di reati, è necessario che le autorità competenti trattino i dati personali raccolti a fini di prevenzione, indagine, accertamento o perseguimento di specifici reati al di là di tale contesto per sviluppare conoscenze delle attività criminali e mettere in collegamento i diversi reati accertati ( 30 ).

63.

Ciò presuppone che le autorità nazionali abbiano la possibilità di conservare dati personali a fini prospettici, senza prevedere un periodo massimo preciso per la conservazione di tali dati. Tuttavia, la sussistenza e il funzionamento di talune garanzie procedurali risultano ancora più necessari in una situazione del genere.

64.

Invero, sebbene la direttiva 2016/680 non imponga agli Stati membri di definire limiti temporali assoluti per la conservazione dei dati personali, al di là dei quali questi ultimi debbano essere automaticamente cancellati, ritengo che la verifica periodica della necessità di conservare tali dati rivesta un’importanza cruciale.

65.

A questo proposito, rilevo che, da un lato, l’articolo 65, paragrafo 5, della legge ceca sulla polizia prevede la cancellazione dei dati personali raccolti qualora il loro trattamento non sia indispensabile per perseguire la finalità di prevenzione, ricerca, accertamento o perseguimento dei reati e, dall’altro, l’articolo 82 di tale legge impone alle autorità di polizia di verificare ogni tre anni la necessità di proseguire il trattamento dei dati personali degli interessati.

66.

Tale normativa, che prevede quindi effettivamente la cancellazione dei dati stessi e il riesame, a intervalli regolari, della necessità della loro conservazione, dovrebbe tuttavia comprendere garanzie rigorose che consentano di proteggere efficacemente gli interessati dal rischio di abusi.

67.

In primo luogo, come ricorda il considerando 33 della direttiva 2016/680, il diritto dello Stato membro che disciplina la raccolta e la conservazione dei dati personali dovrebbe specificare quanto meno le procedure per la distruzione di tali dati.

68.

In secondo luogo, ai sensi dell’articolo 13, paragrafo 2, lettera b), e dell’articolo 14, lettera d), di tale direttiva, ogni interessato dovrebbe avere il diritto di conoscere il periodo durante il quale i suoi dati personali sono conservati oppure, qualora ciò non sia possibile, i criteri utilizzati per determinare detto periodo. Tali informazioni sono necessarie per consentire agli interessati di esercitare i loro diritti derivanti dagli articoli 7 e 8 della Carta, di chiedere l’accesso ai loro dati personali oggetto di trattamento e, se del caso, la rettifica o la soppressione degli stessi, nonché di proporre, conformemente all’articolo 47, primo comma, della Carta, un ricorso effettivo dinanzi a un giudice.

69.

In terzo luogo, per quanto riguarda in particolare la necessità di conservare dati biometrici e genetici, la normativa nazionale dovrebbe prevedere disposizioni dalle quali risulti, in modo chiaro e preciso, che tale conservazione deve essere limitata a quanto strettamente necessario per conseguire l’obiettivo da essa perseguito, al fine di rispettare i requisiti di cui all’articolo 10 della direttiva 2016/680.

70.

La valutazione del periodo di conservazione di tali dati dovrebbe tenere conto di vari criteri, quali la natura e la gravità dei fatti accertati, il tempo trascorso dai fatti stessi, il periodo legale di conservazione rimanente e il grado di rischio che l’interessato sia coinvolto in altri reati ( 31 ), o di altre circostanze, quali il particolare contesto in cui il reato in questione è stato commesso, il suo eventuale collegamento con altri procedimenti in corso o ancora i precedenti o il profilo di tale persona.

71.

Orbene, non risulta né dalla decisione di rinvio né dalle osservazioni presentate dinanzi alla Corte dai partecipanti al presente procedimento che la normativa ceca in materia di conservazione dei dati biometrici e genetici preveda garanzie sufficienti relative alle procedure di distruzione di tali dati, di informazione delle persone interessate e di valutazione del carattere «strettamente necessario», ai sensi dell’articolo 10 della direttiva 2016/680, della conservazione di detti dati.

72.

Dalle considerazioni che precedono risulta che l’articolo 4, paragrafo 1, lettera e), della direttiva 2016/680, letto alla luce dell’articolo 10 di tale direttiva, deve essere interpretato nel senso che esso non osta a una normativa nazionale che non prevede un periodo massimo di conservazione dei dati biometrici e genetici, purché una siffatta normativa preveda il riesame, a intervalli regolari, della necessità di conservare tali dati. Tali disposizioni richiedono, tuttavia, che un simile riesame sia soggetto a rigorose garanzie procedurali e consenta di assicurare che la conservazione stessa non si protragga oltre un periodo strettamente necessario in considerazione delle finalità per le quali detti dati sono trattati.

73.

Con la sua terza questione, il giudice del rinvio chiede, in sostanza, se, da un lato, l’articolo 8, paragrafo 2, e l’articolo 10 della direttiva 2016/680 debbano essere interpretati nel senso che una disposizione di portata generale deve prevedere talune condizioni sostanziali o procedurali minime per l’acquisizione, la conservazione e la cancellazione dei dati biometrici e genetici, e se, dall’altro, alla giurisprudenza nazionale che precisa le condizioni per l’acquisizione, la conservazione e la cancellazione di tali dati possa essere riconosciuta la qualità di «diritto dello Stato membro», ai sensi di dette disposizioni.

74.

La Corte è invitata a rispondere a tale questione nel contesto del regime giuridico di cui trattasi nel procedimento principale, istituito dall’articolo 65 della legge ceca sulla polizia, che presenta le seguenti caratteristiche.

75.

Anzitutto, tale articolo è attuato mediante atti interni di gestione della polizia ceca sotto forma di istruzioni del capo della polizia. Orbene, è pacifico che tali atti non possono avere la qualità di «diritto dello Stato membro», ai sensi dell’articolo 8, paragrafo 2, della direttiva 2016/680.

76.

Inoltre, sebbene sia indubbio che l’articolo 65 della legge ceca sulla polizia ha la qualità di «diritto dello Stato membro», esso non precisa le condizioni concrete per l’acquisizione, la conservazione e la cancellazione dei dati biometrici e genetici relativi alle persone interessate.

77.

Infine, tale normativa è completata dalla giurisprudenza dei giudici amministrativi, secondo la quale le autorità di polizia devono applicare il criterio di proporzionalità in ciascun caso concreto, tenendo conto principalmente dei precedenti penali della persona interessata, della gravità specifica del tipo di reato per il quale tale persona è stata convocata ai fini del compimento degli atti di identificazione, della personalità dell’autore dei fatti e, nell’ambito di una domanda di cancellazione ex post, del tempo trascorso dal momento della commissione del reato nonché di qualsiasi altro comportamento dell’autore dei fatti ( 32 ). I criteri su cui si basa tale giurisprudenza sono pubblicati e accessibili al pubblico.

78.

Alla luce di tali elementi, proporrò alla Corte di rispondere che, quand’anche alla giurisprudenza possa essere riconosciuta la qualità di «diritto dello Stato membro» ai sensi della direttiva 2016/680, una siffatta giurisprudenza non può tuttavia sostituirsi alle garanzie che una disposizione di portata generale deve prevedere in materia di acquisizione, conservazione e cancellazione dei dati biometrici e genetici.

79.

Infatti, è ben vero che diversi elementi depongono a favore dell’idea che una giurisprudenza soddisfi la condizione di «diritto dello Stato membro», ai sensi dell’articolo 8, paragrafo 2, di detta direttiva.

80.

In primo luogo, il considerando 33 della direttiva 2016/680 prevede che, «[q]ualora [tale] direttiva faccia riferimento al diritto dello Stato membro, a una base giuridica o a una misura legislativa, ciò non richiede necessariamente l’adozione di un atto legislativo da parte di un parlamento», purché «tale diritto dello Stato membro, base giuridica o misura legislativa [siano] chiari e precisi, e la loro applicazione prevedibile, per coloro che vi sono sottoposti, come richiesto dalla giurisprudenza della Corte di giustizia e della Corte europea dei diritti dell’uomo».

81.

In secondo luogo, la Corte europea dei diritti dell’uomo ha riconosciuto, nella sua sentenza del 16 aprile 2002, Société Colas Est e altri c. Francia ( 33 ), che il termine «legge» ai sensi dell’articolo 8, paragrafo 2, della CEDU deve essere inteso nella sua accezione «sostanziale» e non «formale». Pertanto, in un settore disciplinato dal diritto scritto, la «legge» è il testo in vigore quale interpretato dai competenti organi giurisdizionali.

82.

D’altronde, la Corte ha a sua volta confermato che il termine «legge», utilizzato nell’espressione «prevista dalla legge» che figura all’articolo 8, paragrafo 2, della CEDU e nell’espressione «fondamento legittimo previsto dalla legge» che figura all’articolo 8, paragrafo 2, della Carta, deve essere inteso nella sua accezione sostanziale, e non formale ( 34 ).

83.

In terzo luogo, la Corte, nella sua sentenza del 21 giugno 2022, Ligue des droits humains ( 35 ), ha precisato che il requisito secondo cui qualsiasi limitazione nell’esercizio dei diritti fondamentali deve essere prevista dalla legge implica che l’atto che consente l’ingerenza in tali diritti deve definire, esso stesso, la portata della limitazione dell’esercizio del diritto considerato, fermo restando, da un lato, che tale requisito non esclude che la limitazione in questione sia formulata in termini sufficientemente ampi, in modo da potersi adattare a fattispecie diverse nonché ai cambiamenti di situazione, e, dall’altro, che la Corte può, se del caso, precisare, in via interpretativa, la portata concreta della limitazione sia rispetto ai termini stessi della normativa dell’Unione di cui trattasi sia rispetto all’impianto sistematico e agli obiettivi che essa persegue, come interpretati alla luce dei diritti fondamentali garantiti dalla Carta ( 36 ).

84.

Pertanto, a condizione che sussista una base giuridica nel diritto interno, la giurisprudenza che, da un lato, sia accessibile e prevedibile e, dall’altro, sia costante e non sia stata sistematicamente messa in discussione presenta caratteristiche sostanziali sufficienti per rientrare nella nozione di «diritto dello Stato membro», ai sensi dell’articolo 8, paragrafo 2, della direttiva 2016/680 ( 37 ).

85.

Tuttavia, sottolineo che, in alcuni casi, segnatamente quando è in discussione il diritto alla libertà sancito dall’articolo 6 della Carta, una giurisprudenza consolidata, che sancisca una prassi costante della polizia, non può essere sufficiente ( 38 ) e soltanto l’adozione di disposizioni di portata generale (e quindi di disposizioni che presentino le caratteristiche formali di una legge) offre le garanzie necessarie, poiché un siffatto testo normativo delimita in modo cogente e noto in anticipo la discrezionalità lasciata alle autorità nella valutazione delle circostanze di ciascun caso concreto ( 39 ).

86.

La Corte europea dei diritti dell’uomo afferma parimenti che qualsiasi ingerenza da parte di un’autorità pubblica nel diritto di una persona al rispetto della sua vita privata deve essere «prevista dalla legge» ( 40 ). Tale espressione concerne la «qualità della legge» che, nell’ambito della protezione dei dati personali sensibili, deve soddisfare un requisito di maggiore prevedibilità. Ciò presuppone che la legge definisca chiaramente la portata del potere discrezionale delle autorità pubbliche ( 41 ) e utilizzi termini sufficientemente chiari in modo da fornire a tutti indicazioni adeguate in ordine alle condizioni e alle circostanze in cui essa autorizza il potere pubblico a ricorrere a misure che incidono sui loro diritti tutelati dalla CEDU ( 42 ).

87.

In tal senso, detta Corte ha riconosciuto che talune disposizioni di legge che autorizzavano il trattamento di dati biometrici personali, in quanto erano formulate in termini molto ampi e sembravano consentire il trattamento di tali dati nell’ambito di qualsiasi tipo di procedimento giudiziario, non rispettavano il requisito di «qualità della legge». Infatti, è essenziale disporre di norme dettagliate che disciplinino la portata e l’applicazione delle misure, nonché di garanzie solide contro il rischio di abusi e di arbitrarietà ( 43 ).

88.

Per quanto riguarda la presente causa, dopo aver ricordato, da un lato, che i dati biometrici e genetici, a causa della loro particolare sensibilità, possono comportare rischi significativi per le libertà e i diritti fondamentali degli interessati ( 44 ), e, dall’altro, che il trattamento di tali dati deve essere autorizzato «solo se strettamente necessario», ritengo che sia particolarmente discutibile il fatto di tutelare i diritti degli interessati soltanto per mezzo di una giurisprudenza nazionale quando la legge, nella sua accezione formale, prevede un controllo di proporzionalità lacunoso, che non corrisponde al grado di tutela richiesto dall’articolo 10 della direttiva 2016/680.

89.

Infatti, le disposizioni della legge ceca sulla polizia, in particolare l’articolo 65 di quest’ultima, sono formulate in modo troppo ampio e non impongono limiti prestabiliti sufficienti al potere discrezionale di cui dispongono le autorità di polizia in materia di acquisizione, conservazione e cancellazione dei dati biometrici e genetici. In assenza di siffatti limiti, le condizioni che disciplinano il trattamento di tali dati, che risultano unicamente dalla giurisprudenza dei giudici amministrativi cechi, non possono soddisfare il requisito di garanzie sufficientemente rigorose, in un atto vincolante e prevedibile nella sua applicazione, che deve sussistere in materia di trattamento di detti dati.

90.

Inoltre, sebbene il recepimento di una direttiva non imponga necessariamente un’azione legislativa da parte di ciascuno Stato membro, una giurisprudenza – ammesso che sia consolidata – che interpreti disposizioni di diritto interno in un senso ritenuto conforme ai precetti di una direttiva non può presentare la chiarezza e la precisione richieste per soddisfare il requisito della certezza del diritto ( 45 ). Ne consegue che una giurisprudenza nazionale, quand’anche stabilisca un elenco di criteri che consentano di valutare la proporzionalità del trattamento dei dati biometrici e genetici delle persone interessate in ciascun caso concreto, non può ovviare all’assenza di un rigoroso controllo di proporzionalità stabilito da una legge nel senso formale del termine.

91.

Dalle considerazioni che precedono risulta che l’articolo 8, paragrafo 2, e l’articolo 10 della direttiva 2016/680 devono essere interpretati nel senso che ostano a che una giurisprudenza nazionale, quand’anche le si possa riconoscere la qualità di «diritto dello Stato membro» ai sensi di tale direttiva, si sostituisca a una disposizione di portata generale che non preveda un controllo rigoroso, in ciascun caso concreto e da parte delle autorità di polizia, della necessità di raccogliere e di conservare i dati biometrici e genetici delle persone interessate.

92.

Alla luce di tutte le considerazioni che precedono, propongo alla Corte di rispondere alle questioni pregiudiziali sollevate dal Nejvyšší správní soud (Corte suprema amministrativa, Repubblica ceca) nel modo seguente:

L’articolo 4, paragrafo 1, lettere c) ed e), l’articolo 6, l’articolo 8, paragrafo 2, e l’articolo 10 della direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati e che abroga la decisione quadro 2008/977/GAI del Consiglio,

devono essere interpretati nel senso che: