1.

Návrh na začatie prejudiciálneho konania sa týka výkladu článku 4 ods. 1 písm. c) a e) a článku 6, článku 8 ods. 2 a článku 10 smernice Európskeho parlamentu a Rady (EÚ) 2016/680 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov príslušnými orgánmi na účely predchádzania trestným činom, ich vyšetrovania, odhaľovania alebo stíhania alebo na účely výkonu trestných sankcií a o voľnom pohybe takýchto údajov a o zrušení rámcového rozhodnutia Rady 2008/977/SVV ( 2 ).

2.

Tento návrh bol podaný v rámci sporu, ktorého účastníkmi sú JH, fyzická osoba, a Policejní prezidium (Česká republika) a ktorý sa týka najmä získavania biometrických a genetických údajov JH v rámci trestného konania a uchovávania týchto údajov zo strany Policie České republiky (Česká republika) (ďalej len „česká polícia“).

3.

Prejednávaná vec, pokiaľ ide o prvú prejudiciálnu otázku, ktorú položil Nejvyšší správní soud (Česká republika), nadväzuje na rozsudky z 26. januára 2023, Ministerstvo na vatrešnite raboti (Registrácia biometrických a genetických údajov políciou) ( 3 ), a z 28. novembra 2024, Ministerstvo na vatrešnite raboti (Registrácia biometrických a genetických údajov II) ( 4 ), v ktorých Súdny dvor rozhodol, že vnútroštátna právna úprava stanovujúca systematické získavanie biometrických a genetických údajov každej osoby obvinenej z úmyselného trestného činu stíhaného ex offo na účely ich registrácie políciou je v rozpore s požiadavkou zabezpečiť zvýšenú ochranu jednotlivcov pri spracúvaní citlivých osobných údajov. Vnútroštátny súd žiada Súdny dvor, aby spresnil svoju judikatúru a kladie mu otázku, či § 65 ods. 1 zákona č. 273/2008 Sb., o Policii České republiky ( 5 ), tým, že obmedzuje svoje uplatnenie len na úmyselné trestné činy, na štrukturálnej úrovni dostatočne odráža potrebu posúdiť primeranosť získavania biometrických a genetických údajov dotknutých osôb, alebo či naopak treba medzi týmito osobami ďalej rozlišovať v závislosti od závažnosti trestného činu.

4.

Pokiaľ ide o druhú prejudiciálnu otázku, ktorú vnútroštátny súd položil, prejednávaná vec nadväzuje na rozsudok z 30. januára 2024, Direktor na Glavna direkcija „Nacionalna policija“ pri MVR – Sofija ( 6 ), v ktorom sa Súdny dvor po prvýkrát vyjadril k časovým obmedzeniam uchovávania osobných údajov osôb, ktoré boli právoplatne odsúdené v trestnom konaní, na účely boja proti trestným činom z hľadiska smernice 2016/680. V tomto rozsudku Súdny dvor rozhodol, že táto smernica stanovuje všeobecný rámec umožňujúci zabezpečiť, aby uchovávanie osobných údajov a konkrétnejšie jeho trvanie boli obmedzené na to, čo je potrebné vo vzťahu k účelom, na ktoré sa tieto údaje uchovávajú. ( 7 ) Vnútroštátny súd žiada Súdny dvor, aby spresnil, či je táto judikatúra relevantná v prípade uchovávania osobných údajov na účely predchádzania, vyšetrovania a odhaľovania trestných činov, ktoré je svojou povahou prospektívne a časovo neobmedzené. Takýto účel by si totiž vyžadoval, aby sa tieto údaje uchovávali čo najdlhšie.

5.

V prejednávanej je tak potrebné, aby Súdny dvor na jednej strane spresnil pojmy „materiálna minimalizácia“ a „časová minimalizácia“ biometrických a genetických údajov patriacich do pôsobnosti smernice 2016/680, ak sa v tomto rámci získavajú a uchovávajú.

6.

Na druhej strane, pokiaľ ide o tretiu prejudiciálnu otázku, Súdny dvor ňou prvý raz žiada o výklad pojmu „právo členského štátu“ v zmysle článku 8 ods. 2 tejto smernice v spojení s článkom 10 uvedenej smernice. Vnútroštátny súd sa konkrétne pýta, či sa na vnútroštátnu judikatúru, ktorá spresňuje kritériá získavania a uchovávania biometrických a genetických údajov, môže vzťahovať tento pojem a v akom rozsahu musia byť minimálne hmotnoprávne a procesné podmienky získavania, uchovávania a vymazávania týchto údajov stanovené v práve členského štátu prostredníctvom všeobecne záväzného právneho predpisu.

7.

Ustanovenie § 11 zákona o českej polícii stanovuje:

„Policajt a zamestnanec polície sú povinní

…

8.

Ustanovenie § 65 uvedeného zákona stanovuje:

„1.   Pri plnení svojich úloh môže polícia na účely budúcej identifikácie v prípade

2.   Ak nie je možné vykonať úkon podľa odseku 1 z dôvodu odporu osoby, policajt je oprávnený po predchádzajúcej neuposlúchnutej výzve tento odpor prekonať. Spôsob prekonania odporu musí byť primeraný intenzite odporu. Nie je možné prekonať odpor osoby, ak ide o odber krvi alebo obdobný úkon spojený so zásahom do telesnej integrity.

3.   Ak úkon uvedený v odseku 1 nemožno vykonať na mieste, policajt má právo predviesť osobu na účely uskutočnenia úkonu. Policajt po vykonaní úkonu osobu prepustí.

4.   Policajt vypracuje o vykonaných úkonoch úradný záznam.

5.   Polícia vymaže osobné údaje získané podľa odseku 1, keď ich spracúvanie už nie je nevyhnutné na účely predchádzania, vyhľadávania a odhaľovania trestnej činnosti alebo stíhania trestných činov alebo zaisťovania bezpečnosti Českej republiky, verejného poriadku alebo vnútornej bezpečnosti.“

9.

V § 79 uvedeného zákona, nazvanom „Základné ustanovenia týkajúce sa spracúvania osobných údajov pri plnení určitých policajných úloh“, sa v odsekoch 1 a 2 stanovuje:

„1.   Odseky 2 až 6 a § 79a až 88 sa uplatnia na spracúvanie osobných údajov na účely predchádzania, vyhľadávania a odhaľovania trestnej činnosti alebo stíhania trestných činov, zaisťovania bezpečnosti Českej republiky alebo zaisťovania verejného poriadku a vnútornej bezpečnosti, a to aj na účely pátrania po osobách a veciach.

2.   Polícia môže spracúvať osobné údaje, ak je to nevyhnutné na účely uvedené v odseku 1. Polícia môže spracúvať osobné údaje aj na účely ochrany dôležitých záujmov dotknutej osoby, ktoré súvisia s účelmi uvedenými v odseku 1.“

10.

Ustanovenie § 82 toho istého zákona znie takto:

„1. Polícia aspoň raz za tri roky overí, či sú osobné údaje spracúvané na účely uvedené v § 79 ods. 1 stále potrebné na plnenie jej úloh v tejto oblasti.

2. Na účely overenia uvedeného v odseku 1 je polícia oprávnená požadovať výpis z registra trestov.

3. Orgány činné v trestnom konaní, Ministerstvo spravedlnosti [Česká republika], Ustavní soud [Česká republika] a Kancelář prezidenta republiky [Česká republika] na účely overovania podľa odseku 1 v rámci svojej pôsobnosti priebežne informujú políciu o svojich právoplatných rozhodnutiach, premlčaní trestného stíhania, výkone trestu alebo o rozhodnutiach prezidenta republiky týkajúcich sa trestného konania, trestov alebo udelenej amnestie či milosti.“

11.

Rozhodnutím z 11. decembra 2015 česká polícia začala trestné stíhanie proti JH za trestný čin porušenia povinnosti pri správe cudzieho majetku.

12.

Dňa 13. januára 2016 vypočula JH v rámci trestného konania a nariadila vykonanie rôznych identifikačných úkonov. Napriek nesúhlasu JH mu česká polícia odobrala odtlačky prstov, vykonala ster z ústnej dutiny, z ktorého vytvorila genetický profil, zhotovila fotografie a vyhotovila opis JH. Následne tieto informácie zaevidovala v príslušných databázach českej polície.

13.

Rozsudkom Městského soudu v Praze (Česká republika) z 15. marca 2017 bol JH právoplatne odsúdený za trestný čin porušenia povinnosti pri správe cudzieho majetku a za trestný čin zneužitia právomoci verejného činiteľa. Bol odsúdený na trest odňatia slobody v dĺžke trvania troch rokov s podmienečným odkladom výkonu, zákaz činnosti spočívajúci v zákaze vykonávať riadiace funkcie vo verejnej správe, s ktorými je spojená správa nehnuteľného a hnuteľného majetku na dobu štyroch rokov a bola mu uložená povinnosť nahradiť spôsobenú škodu v rámci jeho možností.

14.

Dňa 8. marca 2016 JH podal žalobu na Městský soud v Praze, ktorou sa domáhal určenia, že vykonanie identifikačných úkonov podľa § 65 zákona o českej polícii, uchovávanie takto získaných informácií a vzoriek, ako aj vloženie záznamu do informačného systému českej polície predstavujú nezákonný zásah.

15.

Rozsudkom z 23. júna 2022 tento súd vyhovel žalobe JH, pričom rozhodol, že identifikačné úkony, ktoré vykonala česká polícia a uchovávanie týchto osobných údajov v databázach českej polície predstavujú nezákonný zásah do základného práva na rešpektovanie súkromného života. Uvedený súd v dôsledku toho nariadil českej polícii, aby zo svojich databáz vymazala všetky osobné údaje získané na základe týchto úkonov, s výnimkou steru z ústnej dutiny, ktorý bol medzičasom zničený.

16.

Městský soud v Praze zdôraznil, že odber genetického materiálu predstavuje významný zásah do základného práva na rešpektovanie súkromného života chráneného najmä článkom 8 Dohovoru o ochrane ľudských práv a základných slobôd ( 8 ). Ustanovenie § 65 zákona o českej polícii pritom neposkytuje dostatočné informácie na posúdenie primeranosti tohto zásahu. Jediné overenie, ktoré česká polícia vykoná pred takýmto odberom sa totiž týka úmyselnej povahy spáchaného trestného činu v zmysle tohto ustanovenia, pričom túto podmienku možno v rámci konania vo veci samej považovať za splnenú.

17.

Městský soud v Praze preto dospel k záveru, že identifikačné úkony vykonané českou políciou nespĺňajú požiadavku proporcionality, a teda predstavujú nezákonný zásah. Tento súd v tejto súvislosti uviedol, že JH bol stíhaný len zo spáchania prečinu, teda menej závažného trestného činu, že nikdy predtým nebol odsúdený a že recidíva z jeho strany bola málo pravdepodobná. Uvedený súd okrem toho zdôraznil skutočnosť, že česká polícia musí podľa § 65 ods. 5 zákona o českej polícii sama interne preskúmať, kedy už ďalšie uchovávanie osobných údajov „nie je nevyhnutné na účely predchádzania, vyhľadávania a odhaľovania trestnej činnosti“. Ten istý súd dospel k záveru, že táto právna úprava ponecháva polícii neobmedzený priestor na voľnú úvahu a smeruje k nadužívaniu časovo neobmedzeného uchovávania osobných údajov.

18.

Policejní prezidium podalo proti tomuto rozsudku kasačnú sťažnosť na Nejvyšší správní soud.

19.

Na podporu svojej kasačnej sťažnosti Policejní prezidium zdôraznilo, že účel spracúvania osobných údajov je jasne uvedený v § 65 zákona o českej polícii. Tvrdilo tiež, že posúdilo primeranosť výberu a uchovávania osobných údajov JH, pričom zohľadnilo faktor recidívy, možnú eskaláciu konania a skutočnosť, že JH sa v minulosti dopustil viacerých deliktov. Pokiaľ ide o údajne nedostatočné zverejňovanie kritérií, ktoré česká polícia uplatňuje interne pri rozhodovaní o ďalšom uchovávaní osobných údajov, Policejní prezidium uviedlo, že tieto pravidlá oznámilo verejnosti v rámci práva na informácie.

20.

V odpovedi JH najmä zdôraznil, že česká polícia vykonala identifikačné úkony bez toho, aby predtým preskúmala primeranosť zásahu. JH tiež kritizoval neuverejnenie pokynov českej polície týkajúcich sa vykonávania identifikačných úkonov.

21.

V tejto súvislosti sa vnútroštátny súd pýta po prvé, či požiadavky stanovené smernicou 2016/680 bránia nediferencovanému získavaniu biometrických a genetických údajov v prípade každej osoby podozrivej zo spáchania úmyselného trestného činu, po druhé, či požiadavky stanovené v tejto smernici bránia uchovávaniu takýchto údajov bez toho, aby bolo výslovne stanovené časové obmedzenie, a po tretie, či judikatúru vnútroštátnych správnych súdov možno kvalifikovať ako „právo členského štátu“ v zmysle článku 8 uvedenej smernice, ktorý stanovuje podmienky zákonnosti spracúvania osobných údajov.

22.

Za týchto podmienok Nejvyšší správní soud rozhodol prerušiť konanie a položiť Súdnemu dvoru tieto prejudiciálne otázky:

23.

JH, česká vláda, Írsko, poľská vláda a Európska komisia predložili písomné pripomienky.

24.

Na pojednávaní, ktoré sa konalo 28. novembra 2024, boli JH, česká, Írsko, holandská vláda, ako aj Komisia vypočutí a boli vyzvaní, aby ústne odpovedali na otázky položené Súdnym dvorom.

25.

Na úvod treba pripomenúť, že prejudiciálne otázky, ktoré položil vnútroštátny súd sa týkajú získavania a uchovávania biometrických a genetických údajov, ktoré sú osobitnými kategóriami osobných údajov, ktorých spracúvanie sa riadi článkom 10 smernice 2016/680.

26.

Účelom tohto ustanovenia je zabezpečiť zvýšenú ochranu dotknutej osoby, keďže predmetné údaje môžu z dôvodu svojej osobitnej citlivosti a kontextu, v ktorom sa spracúvajú, predstavovať, ako vyplýva z odôvodnenia 37 uvedenej smernice, významné riziká pre základné práva a slobody, akými sú právo na rešpektovanie súkromného života a právo na ochranu osobných údajov, zaručené článkami 7 a 8 Charty základných práv Európskej únie ( 9 ).

27.

Konkrétne tento článok 10 smernice 2016/680 stanovuje požiadavku, podľa ktorej je spracúvanie citlivých údajov povolené „len vtedy, ak je úplne nevyhnutné“, a ktorá predstavuje sprísnenú podmienku zákonnosti spracúvania takýchto údajov a zahŕňa najmä osobitne prísnu kontrolu dodržiavania zásady „minimalizácie údajov“, ako vyplýva z článku 4 ods. 1 písm. c) tejto smernice; táto požiadavka pritom predstavuje osobitné uplatnenie tejto zásady na uvedené citlivé údaje. ( 10 )

28.

Práve vzhľadom na tieto úvahy navrhnem v týchto návrhoch odpovedať vnútroštátnemu súdu tak, že sa pokúsim určiť, či vnútroštátna právna úprava, o ktorú ide vo veci samej, spĺňa požiadavku spočívajúcu v tom, že získavanie a uchovávanie biometrických a genetických údajov dotknutých osôb sú povolené len v prípade „úplnej nevyhnutnosti“ v zmysle článku 10 smernice 2016/680.

29.

Svojou prvou otázkou sa vnútroštátny súd v podstate pýta, či sa má článok 4 ods. 1 písm. c) alebo článok 6 smernice 2016/680 v spojení s článkom 10 tejto smernice vykladať v tom zmysle, že bráni vnútroštátnej právnej úprave, ktorá umožňuje získavanie biometrických a genetických údajov všetkých osôb obvinených zo spáchania úmyselného trestného činu alebo podozrivých zo spáchania takéhoto trestného činu.

30.

Komisia vo svojich písomných pripomienkach dospela k záveru, že prvá otázka je neprípustná z toho dôvodu, že vo veci samej česká polícia odobrala genetické a biometrických údajov JH 13. januára 2016, teda pred nadobudnutím účinnosti smernice 2016/680, ku ktorému došlo 5. mája 2016, a pred uplynutím lehoty na prebratie stanovenej v článku 63 ods. 1 tejto smernice na 6. mája 2018.

31.

Hoci je pravda, že smernica 2016/680 nestanovuje žiadne prechodné ustanovenia, pokiaľ ide o údaje získané pred 5. májom 2016, považujem za relevantné odkázať na odôvodnenie 96 tejto smernice, podľa ktorého „spracúvanie, ktoré už prebieha k uvedenému dátumu, by sa malo zosúladiť s [uvedenou] smernicou do dvoch rokov odo dňa nadobudnutia účinnosti tejto smernice“ ( 11 ).

32.

Podľa článku 3 bodu 2 smernice 2016/680 je „spracúvanie“„operácia alebo súbor operácií s osobnými údajmi alebo súbormi osobných údajov, napríklad získavanie, zaznamenávanie, usporadúvanie, štruktúrovanie, uchovávanie, prepracúvanie alebo zmena, vyhľadávanie, prehliadanie, využívanie, poskytovanie prenosom, šírením alebo poskytovanie iným spôsobom, preskupovanie alebo kombinovanie, obmedzenie, vymazanie alebo likvidácia…“ ( 12 ).

33.

S výnimkou steru z ústnej dutiny, ktorý bol medzičasom zničený, sa pritom osobné údaje JH odobrané pred 5. májom 2016 naďalej uchovávajú v databázach českej polície. Tieto údaje sa teda naďalej spracúvajú aj po tomto dátume, teda po nadobudnutí účinnosti smernice 2016/680.

34.

V dôsledku uvedeného sa domnievam, že osobné údaje získané zákonným spôsobom podľa rámcového rozhodnutia 2008/977/SVV ( 13 ), ktoré by však boli získané v rozpore so zásadami stanovenými smernicou 2016/680, ak by boli získané po nadobudnutí účinnosti tejto smernice, by sa nemali ďalej spracúvať, a teda ani uchovávať podľa uvedenej smernice.

35.

Za týchto okolností je prvá otázka položená vnútroštátnym súdom podľa môjho názoru prípustná.

36.

Vnútroštátny súd sa pýta, či je § 65 ods. 1 zákona o českej polícii zlučiteľný s povinnosťou rozlišovať medzi rôznymi kategóriami dotknutých osôb, ktorú členským štátom ukladá článok 6 smernice 2016/680, a so zásadou minimalizácie spracúvania osobných údajov uvedenou v článku 4 ods. 1 písm. c) tejto smernice.

37.

Konkrétne sa tento súd pýta, či jediná podmienka stanovená vnútroštátnou právnou úpravou na povolenie odberu biometrických a genetických údajov fyzickej osoby, a to existencia úmyselného trestného činu, dostatočne rozlišuje medzi rôznymi kategóriami dotknutých osôb, alebo či sa vyžaduje dodatočná miera individualizácie, a teda je potrebné rozlišovať podľa závažnosti úmyselných trestných činov, v prípade ktorých by sa takéto údaje mohli automaticky získavať.

38.

Na účely odpovede na túto otázku treba na jednej strane pripomenúť, že hoci článok 6 smernice 2016/680 ukladá členským štátom povinnosť jasne rozlišovať medzi údajmi rôznych kategórií dotknutých osôb, aby nedochádzalo k rovnakému stupňu zásahu do ich základného práva na ochranu ich osobných údajov, ( 14 ) formulácia „v príslušných prípadoch a v najväčšej možnej miere“ použitá v tomto článku jasne naznačuje, že nemusí byť nevyhnutne možné rozlišovať medzi takýmito údajmi. ( 15 )

39.

Povinnosť, ktorú uvedený článok 6 ukladá členským štátom, teda nie je absolútna a slovné spojenie „ako sú napríklad“, ktoré je v ňom uvedené naznačuje, že kategórie osôb, ktoré sú v ňom vymenované, nemajú taxatívnu povahu. ( 16 )

40.

Na druhej strane je nevyhnutné vrátiť sa k záverom, ktoré treba vyvodiť z rozsudku Registrácia biometrických a genetických údajov I, keďže Súdny dvor v ňom podal výklad článku 4 ods. 1 písm. c) smernice 2016/680, podľa ktorého spracúvané osobné údaje musia byť primerané, relevantné a nie neúmerné vo vzťahu k účelom, na ktoré sa spracúvajú.

41.

V tomto rozsudku Súdny dvor dospel k záveru, že vnútroštátna právna úprava, ktorá stanovuje systematické získavanie biometrických a genetických údajov od každej osoby obvinenej z úmyselného trestného činu stíhanej ex offo, ( 17 ) je v zásade v rozpore s požiadavkou stanovenou v článku 10 smernice (EÚ) 2016/680, podľa ktorej sa spracúvanie osobitných kategórií údajov uvedených v tomto článku musí povoliť „len vtedy, ak je úplne nevyhnutné“ ( 18 ). Takáto právna úprava totiž môže viesť k nediferencovanému a všeobecnému získavaniu biometrických a genetických údajov od väčšiny obvinených osôb, keďže pojem „úmyselný trestný čin stíhaný ex offo“ má obzvlášť všeobecný charakter a môže sa uplatňovať na veľký počet trestných činov bez ohľadu na ich povahu a závažnosť. ( 19 )

42.

V prejednávanej veci však § 65 ods. 1 zákona o českej polícii stanovuje, že biometrické a genetické údaje osoby možno získavať nielen vtedy, ak je táto osoba obvinená zo spáchania úmyselného trestného činu, ale aj vtedy, keď je podozrivá zo spáchania takéhoto trestného činu. Toto ustanovenie sa teda netýka len obmedzeného počtu situácií, ale sa vzťahuje, stále príliš široko, na väčšinu trestných činov, v prípade ktorých sa takéto údaje môžu získavať.

43.

Je pravda, že uvedené ustanovenie priznáva policajným orgánom len možnosť vykonať takýto odber, zatiaľ čo policajná registrácia stanovená bulharskou právnou úpravou dotknutou vo veci, v ktorej bol vydaný rozsudok Registrácia biometrických a genetických údajov I, sa povinne uplatňovala na všetky osoby obvinené z úmyselných trestných činov stíhaných ex offo. ( 20 ) To by mohlo viesť k domnienke, že česká právna úprava tým, že ponecháva policajným orgánom väčšiu mieru voľnej úvahy, umožňuje lepšie vymedziť prípady, v ktorých je možné získavať biometrické a genetické údaje dotknutých osôb.

44.

Podotýkam však, že ani § 65 ods. 1 zákona o českej polícii, ani § 11 tohto zákona – podľa ktorého policajné orgány musia posúdiť len proporcionalitu – nestanovujú povinnosť týchto orgánov posúdiť, či je získanie biometrických a genetických údajov dotknutých osôb úplne nevyhnutné. To je problematické z dvoch hľadísk.

45.

Po prvé samotná skutočnosť, že osoba spáchala úmyselný trestný činu alebo je z jeho spáchania podozrivá, nemôže byť v žiadnom prípade považovaná za skutočnosť, ktorá sama osebe umožňuje predpokladať, že získavanie jej biometrických a genetických údajov je úplne nevyhnutné s ohľadom na ciele, ktoré sleduje. ( 21 )

46.

Súdny dvor totiž už rozhodol, že takúto „úplnú nevyhnutnosť“ je možné určiť len s ohľadom na všetky relevantné skutočnosti, ako sú najmä povaha a závažnosť údajného trestného činu, z ktorého je osoba obvinená, konkrétne okolnosti tohto trestného činu, prípadná súvislosť uvedeného trestného činu s inými prebiehajúcimi konaniami, záznam v registri trestov alebo individuálny profil dotknutej osoby. ( 22 )

47.

Obmedzenie získavania biometrických a genetických údajov len na prípady úmyselných trestných činov teda nepostačuje na splnenie požiadavky stanovenej v článku 10 smernice 2016/680, podľa ktorej spracúvanie osobitných kategórií údajov uvedených v tomto článku musí byť povolené „len vtedy, ak je úplne nevyhnutné“.

48.

Po druhé poznamenávam, že Súdny dvor rozhodol, že v prípade neexistencie povinnosti príslušného orgánu podľa vnútroštátneho práva posúdiť „úplnú nevyhnutnosť“ spracúvania osobných údajov, ktoré vykonal alebo zamýšľa vykonať súd, ktorý rozhoduje o takomto spracovaní osobných údajov vykonávanom týmto príslušným orgánom, nemôže zabezpečiť namiesto tohto posledného uvedeného orgánu splnenie povinnosti, ktorá prináleží uvedenému orgánu podľa článku 10 smernice 2016/680. ( 23 )

49.

Súčasný právny rámec v Českej republike pritom vedie k situáciám, keď jednak policajné orgány pred odberom biometrických a genetických údajov dotknutých osôb nevykonávajú dôsledné posúdenie proporcionality a jednak správne súdy musia nahradiť policajné orgány pri vykonávaní takéhoto posúdenia.

50.

Keďže česká právna úprava nestanovuje povinnosť vnútroštátnych policajných orgánov posúdiť úplnú nevyhnutnosť v zmysle článku 10 smernice 2016/680 získavania biometrických a genetických údajov dotknutých osôb v každom konkrétnom prípade, táto právna úprava nezodpovedá zásade minimalizácie spracúvania osobných údajov, ktorú ukladá toto ustanovenie.

51.

Z predchádzajúcich úvah vyplýva, že článok 4 ods. 1 písm. c) a článok 6 smernice 2016/680 v spojení s článkom 10 tejto smernice sa majú vykladať v tom zmysle, že bránia vnútroštátnej právnej úprave, ktorá umožňuje získavanie biometrických a genetických údajov všetkých osôb obvinených zo spáchania úmyselného trestného činu alebo podozrivých zo spáchania takéhoto trestného činu, ak takáto právna úprava nestanovuje príslušnému orgánu povinnosť posúdiť v každom konkrétnom prípade „úplnú nevyhnutnosť“ spracúvania, ktoré vykonal alebo zamýšľa vykonať.

52.

Svojou druhou otázkou sa vnútroštátny súd v podstate pýta, či sa má článok 4 ods. 1 písm. e) smernice 2016/680 vykladať v tom zmysle, že bráni vnútroštátnej právnej úprave, podľa ktorej policajný orgán posudzuje potrebu ďalšieho uchovávania biometrických a genetických údajov vzhľadom na cieľ predchádzania trestným činom a ich odhaľovania na základe interných predpisov bez toho, aby tieto predpisy stanovovali maximálnu dobu uchovávania, čo má za následok, že tieto údaje sa vo väčšine prípadov uchovávajú na dobu neurčitú. Tento súd sa tiež pýta, na základe akých kritérií sa má prípadne posudzovať časová primeranosť uchovávania osobných údajov získavaných a uchovávaných na tento účel.

53.

Súdny dvor položil vnútroštátnemu súdu otázku, či vzhľadom na rozsudok DGPN, ktorý bol vyhlásený po podaní jeho návrhu na začatie prejudiciálneho konania, považuje za potrebné zodpovedať túto otázku. Tento súd po tom, čo vyzval účastníkov konania vo veci samej, aby sa vyjadrili, uviedol, že si naďalej praje, aby Súdny dvor odpovedal na jeho otázky, a vyjadril pochybnosti, pokiaľ ide o možnosť prebrať v plnom rozsahu závery, ktoré vyvodil Súdny dvor v tomto rozsudku, na druhú prejudiciálnu otázku.

54.

V uvedenom rozsudku sa Súdny dvor po prvýkrát vyjadril k časovým obmedzeniam uchovávania osobných údajov osôb, ktoré boli právoplatne odsúdené v trestnom konaní, na účely boja proti trestnej činnosti z hľadiska smernice 2016/680, pokiaľ ide o vnútroštátnu právnu úpravu, ktorá stanovuje uchovávanie takýchto údajov, vrátane citlivých údajov, až do smrti týchto osôb bez možnosti opätovného posúdenia tejto doby v závislosti od okolností.

55.

Pokiaľ ide o primeranosť doby uchovávania osobných údajov, Súdny dvor spresnil, že odôvodnenie 26 smernice 2016/680, ako aj článok 4 ods. 1 písm. e) a článok 5 tejto smernice stanovujú všeobecný rámec, ktorý členským štátom ukladá jednak povinnosť stanoviť, že tieto údaje sa budú uchovávať najviac dovtedy, kým je to potrebné na účely, na ktoré sa spracúvajú, ( 24 ) a jednak povinnosť stanoviť primerané lehoty na vymazanie uvedených údajov alebo pravidelné preskúmanie potreby uchovávania takýchto údajov, ako aj procesné pravidlá zaručujúce dodržiavanie týchto lehôt, ( 25 ) pričom sa ponecháva na členských štátoch, aby za dodržania tohto rámca určili konkrétne situácie, v ktorých si ochrana základných práv dotknutej osoby vyžaduje vymazanie osobných údajov, a okamih, kedy k nemu má dôjsť. ( 26 )

56.

Pokiaľ ide konkrétne o genetické a biometrické údaje, ako som pripomenul najmä v bode 27 vyššie, článok 10 smernice 2016/680 stanovuje požiadavku, podľa ktorej je spracúvanie citlivých údajov povolené „len vtedy, ak je úplne nevyhnutné“ ( 27 ).

57.

Súdny dvor okrem toho spresnil, že tieto ustanovenia nevyžadujú, aby členské štáty vymedzili absolútne časové obmedzenia uchovávania osobných údajov, nad rámec ktorých by sa tieto údaje museli automaticky vymazať. ( 28 )

58.

Napriek týmto záverom vnútroštátny súd zdôrazňuje, že na rozdiel od otázky položenej vo veci, v ktorej bol vydaný rozsudok DGPN, jeho druhá prejudiciálna otázka bola formulovaná z hľadiska cieľa a účelu spracúvania spočívajúceho vo všeobecnej prevencii trestných činov.

59.

Tento súd sa teda pýta, ako zosúladiť na jednej strane zásadu časovej minimalizácie spracúvania osobných údajov, a na druhej strane takýto cieľ, ktorý je svojou povahou prospektívny a časovo neobmedzený a ktorý predpokladá uchovávanie osobných údajov čo najväčšieho množstva osôb na čo najdlhšie.

60.

Je pravda, že vo veci, v ktorej bol vydaný rozsudok DGPN, bola Súdnemu dvoru položená otázka týkajúca sa situácie, v ktorej boli osobné údaje, najmä biometrické a genetické údaje osoby právoplatne odsúdenej za úmyselný trestný čin, ktorý je predmetom stíhania ex offo, uchovávané v policajnom registri bez akéhokoľvek iného časového obmedzenia, než je úmrtie tejto osoby, a to aj po zahladení odsúdenia uvedenej osoby. ( 29 )

61.

Tieto okolnosti však podľa môjho názoru nebránia tomu, aby sa tie isté závery mohli uplatniť na situáciu, o akú ide vo veci samej, v ktorej sa osobné údaje uchovávajú na účely spočívajúce vo všeobecnej prevencii trestných činov.

62.

Súdny dvor totiž uznáva, že uchovávanie osobných údajov môže prispieť k cieľu všeobecného záujmu stanovenému v odôvodnení 27 smernice 2016/680, podľa ktorého v záujme predchádzania trestným činom, ich vyšetrovania a stíhania je nevyhnutné, aby príslušné orgány spracúvali takéto údaje, ktoré boli získané v kontexte predchádzania konkrétnym trestným činom, ich vyšetrovania, odhaľovania alebo stíhania, aj mimo tohto kontextu s cieľom rozvíjať poznatky o trestnej činnosti a zisťovať súvislosti medzi rôznymi odhalenými trestnými činmi. ( 30 )

63.

To znamená, že vnútroštátne orgány majú možnosť uchovávať osobné údaje na prospektívne účely bez toho, aby stanovili presnú maximálnu dobu uchovávania týchto údajov. Existencia a fungovanie určitých procesných záruk sa však v takejto situácii javia o to nevyhnutnejšie.

64.

Hoci teda smernica 2016/680 neukladá členským štátom povinnosť vymedziť absolútne časové obmedzenia uchovávania osobných údajov, po ktorých prekročení by sa tieto údaje mali automaticky vymazať, zdá sa, že pravidelné overovanie potreby uchovávania týchto údajov má zásadný význam.

65.

V tejto súvislosti poukazujem na to, že na jednej strane § 65 ods. 5 zákona o českej polícii stanovuje, že získané osobné údaje sa vymažú, keď ich spracúvanie nie je nevyhnutné na účely predchádzania, vyšetrovania, odhaľovania alebo stíhania trestných činov, a § 82 tohto zákona ukladá policajným orgánom povinnosť každé tri roky overiť potrebu ďalšieho spracúvania osobných údajov dotknutých osôb.

66.

Táto právna úprava, ktorá teda stanovuje výmaz týchto údajov a pravidelné preskúmanie potreby ich uchovávania, by však mala byť ohraničená prísnymi zárukami umožňujúcimi účinne chrániť dotknuté osoby pred rizikami zneužitia.

67.

Po prvé, ako sa pripomína v odôvodnení 33 smernice 2016/680, v práve členského štátu, ktorým sa upravuje získavanie a uchovávanie osobných údajov, by sa mali stanoviť aspoň postupy na zničenie likvidáciu týchto údajov.

68.

Po druhé podľa článku 13 ods. 2 písm. b) a článku 14 písm. d) tejto smernice by každá dotknutá osoba mala mať právo poznať dobu uchovávania jej osobných údajov, alebo ak to nie je možné, kritériá na jej určenie. Tieto informácie sú pre dotknuté osoby nevyhnutné na to, aby mohli vykonať svoje práva vyplývajúce z článkov 7 a 8 Charty, požiadať o prístup k ich osobným údajom, ktoré boli predmetom spracovania, a prípadne o ich opravu alebo odstránenie, ako aj podať v súlade s článkom 47 prvým odsekom Charty účinný opravný prostriedok na súde.

69.

Po tretie, pokiaľ ide konkrétne o potrebu uchovávať biometrické a genetické údaje, vnútroštátna právna úprava by mala obsahovať ustanovenia, z ktorých jasne a presne vyplýva, že toto uchovávanie musí byť obmedzené na to, čo je striktne nevyhnutné na dosiahnutie cieľa, ktorý sleduje, aby boli splnené požiadavky článku 10 smernice 2016/680.

70.

Pri posudzovaní doby uchovávania takýchto údajov by sa mali zohľadniť rôzne kritériá, ako je povaha a závažnosť zistených skutkov, čas, ktorý uplynul od týchto skutkov, zostávajúca zákonná doba uchovávania a stupeň rizika účasti dotknutej osoby na iných trestných činoch, ( 31 ) alebo iné okolnosti, ako sú osobitný kontext, v ktorom bol tento trestný čin spáchaný, jeho prípadná súvislosť s inými prebiehajúcimi konaniami alebo minulosť alebo profil tejto osoby.

71.

Ani z návrhu na začatie prejudiciálneho konania, ani z písomných podaní predložených Súdnemu dvoru účastníkmi tohto konania však nevyplýva, že česká právna úprava v oblasti uchovávania biometrických a genetických údajov stanovuje dostatočné záruky týkajúce sa postupov likvidácie týchto údajov, informovania dotknutých osôb a posudzovania „úplnej nevyhnutnosti“ uchovávania uvedených údajov v zmysle článku 10 smernice 2016/680.

72.

Z predchádzajúcich úvah vyplýva, že článok 4 ods. 1 písm. e) smernice 2016/680 v spojení s článkom 10 tejto smernice sa má vykladať v tom zmysle, že nebráni vnútroštátnej právnej úprave, ktorá nestanovuje maximálnu dobu uchovávania biometrických a genetických údajov, pokiaľ takáto právna úprava stanovuje pravidelné preskúmavanie potreby uchovávania týchto údajov. Tieto ustanovenia však vyžadujú, aby rámec takéhoto preskúmania bol vymedzený prísnymi procesnými zárukami a takéto preskúmanie umožňovalo zabezpečiť, aby toto uchovávanie nešlo nad rámec obdobia, ktoré je striktne nevyhnutné so zreteľom na účely, na ktoré sa uvedené údaje spracúvajú.

73.

Svojou treťou otázkou sa vnútroštátny súd v podstate pýta jednak, či sa článok 8 ods. 2 a článok 10 smernice 2016/680 majú vykladať v tom zmysle, že určité minimálne hmotnoprávne alebo procesné podmienky získavania, uchovávania a vymazávania biometrických a genetických údajov musí stanoviť všeobecne záväzný právny predpis, a či jednak možno vnútroštátnej judikatúre, ktorá spresňuje podmienky získavania, uchovávania a vymazávania takýchto údajov, priznať postavenie „práva členského štátu“ v zmysle týchto ustanovení.

74.

Súdny dvor má odpovedať na túto otázku v kontexte právneho režimu, o ktorý ide vo veci samej, ktorý sa riadi § 65 zákona o českej polícii, ktorý má nasledujúce znaky.

75.

V prvom rade treba uviesť, že tento paragraf sa vykonáva prostredníctvom interných riadiacich aktov českej polície vo forme pokynov policajného prezidenta. Je pritom nesporné, že tieto akty nemôžu mať povahu „práva členského štátu“ v zmysle článku 8 ods. 2 smernice 2016/680.

76.

V druhom rade, hoci je nepochybné, že § 65 zákona o českej polícii má postavenie „práva členského štátu“, nespresňuje konkrétne podmienky získavania, uchovávania a vymazávania biometrických a genetických údajov týkajúcich sa dotknutých osôb.

77.

Napokon túto právnu úpravu dopĺňa judikatúra správnych súdov, podľa ktorej policajné orgány musia uplatniť kritérium proporcionality v každom konkrétnom prípade, pričom musia zohľadniť najmä trestnoprávnu minulosť dotknutej osoby, konkrétnu závažnosť druhu trestného činu, za ktorý bola táto osoba predvolaná na účely vykonania identifikačných úkonov, osobnosť páchateľa a v prípade ex post žiadosti o vymazanie aj dobu, ktorá uplynula od spáchania trestného činu, ako aj akékoľvek ďalšie správanie páchateľa. ( 32 ) Kritériá, z ktorých táto judikatúra vychádza, sa uverejňujú a sprístupňujú verejnosti.

78.

Vzhľadom na tieto skutočnosti navrhnem Súdnemu dvoru, aby odpovedal tak, že hoci judikatúre možno priznať postavenie „práva členského štátu“ v zmysle smernice 2016/680, takáto judikatúra nemôže nahradiť záruky, ktoré musí v oblasti získavania, uchovávania a vymazania biometrických a genetických údajov stanoviť všeobecne záväzný právny predpis.

79.

Je pravda, že viaceré skutočnosti svedčia v prospech myšlienky, že judikatúra spĺňa podmienku „práva členského štátu“ v zmysle článku 8 ods. 2 tejto smernice.

80.

Po prvé odôvodnenie 33 smernice 2016/680 stanovuje, že „ak sa v tejto smernici odkazuje na právo členského štátu, právny základ alebo legislatívne opatrenie, nemusí sa tým nevyhnutne vyžadovať legislatívny akt prijatý parlamentom“, ak „takéto právo členského štátu, právny základ alebo legislatívne opatrenie… jasné a presné a ich uplatňovanie predvídateľné pre tých, na ktorých sa vzťahujú, ako to vyžaduje judikatúra Súdneho dvora a Európskeho súdu pre ľudské práva“.

81.

Po druhé Európsky súd pre ľudské práva vo svojom rozsudku zo 16. apríla 2002, Société Colas Est a i. v. Francúzsko ( 33 ), uznal, že pojem „zákon“ v zmysle článku 8 ods. 2 EDĽP treba chápať v jeho „materiálnom“ a nie „formálnom“ zmysle. V oblasti, na ktorú sa vzťahuje písané právo, je teda „zákon“ platným textom tak, ako ho vykladajú príslušné súdy.

82.

Samotný Súdny dvor navyše potvrdil, že pojem „zákon“ použitý v slovnom spojení „v súlade so zákonom“, ktoré je uvedené v článku 8 ods. 2 EDĽP, a v slovnom spojení „oprávnen[ý základ] ustanoven[ý] zákonom“, ktoré je uvedené v článku 8 ods. 2 Charty, treba chápať v jeho materiálnom, a nie vo formálnom zmysle. ( 34 )

83.

Po tretie Súdny dvor vo svojom rozsudku z 21. júna 2022, Ligue des droits humains ( 35 ), spresnil, že požiadavka, podľa ktorej musí byť každé obmedzenie výkonu základných práv stanovené zákonom, predpokladá, že samotný právny základ, ktorý umožňuje zásah do týchto práv, musí vymedzovať rozsah obmedzenia výkonu dotknutého práva, pričom treba spresniť, že na jednej strane táto požiadavka nevylučuje, aby bolo predmetné obmedzenie formulované dostatočne široko na to, aby sa mohlo prispôsobiť zmenám situácií, a že na druhej strane môže Súdny dvor v prípade potreby prostredníctvom výkladu objasniť konkrétny rozsah obmedzenia z hľadiska samotného znenia predmetnej právnej úpravy Únie, ako aj jej všeobecnej štruktúry a cieľov, ktoré sleduje, ako sú vykladané s ohľadom na základné práva zaručené Chartou. ( 36 )

84.

Ak teda existuje právny základ vo vnútroštátnom práve, judikatúra, ktorá je jednak dostupná a predvídateľná a jednak je ustálená, a nebola systematicky spochybňovaná, má dostatočné materiálne znaky na to, aby sa na ňu vzťahoval pojem „právo členského štátu“ v zmysle článku 8 ods. 2 smernice 2016/680. ( 37 )

85.

Zdôrazňujem však, že v určitých prípadoch, najmä keď ide o právo na slobodu zakotvené v článku 6 Charty, nemôže postačovať ustálená judikatúra, ktorá potvrdzuje ustálenú prax polície, ( 38 ) a že len prijatie všeobecne záväzných právnych predpisov (a teda právnych predpisov spĺňajúcich formálne znaky zákona) poskytuje potrebné záruky, keďže takýto právny predpis záväzne a vopred známym spôsobom vymedzuje mieru voľnej úvahy ponechanú orgánom pri posudzovaní okolností každého konkrétneho prípadu. ( 39 )

86.

Európsky súd pre ľudské práva tiež potvrdzuje, že akýkoľvek zásah orgánu verejnej moci do práva osoby na rešpektovanie jej súkromného života musí byť „v súlade so zákonom“. ( 40 ) Tento výraz sa týka „povahy zákona“, ktorá v rámci ochrany citlivých osobných údajov musí zodpovedať požiadavke zvýšenej predvídateľnosti. To si vyžaduje, aby zákon jasne definoval rozsah voľnej úvahy orgánov verejnej moci ( 41 ) a používal dostatočne jasné pojmy na to, aby pre všetkých dostatočne vymedzoval, za akých okolností a za akých podmienok oprávňuje verejnú moc prijať opatrenia, ktoré zasahujú do ich práv chránených EDĽP. ( 42 )

87.

Tento súd tak uznal, že zákonné ustanovenia, ktoré povoľovali spracúvanie biometrických osobných údajov, tým, že boli formulované veľmi široko, a zdá sa, že umožňovali spracúvanie týchto údajov v rámci akéhokoľvek druhu súdneho konania, nespĺňali požiadavku „kvality zákona“. Je totiž podstatné mať podrobné pravidlá upravujúce rozsah a uplatňovanie opatrení, ako aj pevné záruky proti riziku zneužitia a svojvôle. ( 43 )

88.

Pokiaľ ide o prejednávanú vec, po tom, čo som na jednej strane pripomenul, že biometrické a genetické údaje môžu vzhľadom na ich osobitnú citlivosť predstavovať významné riziká pre základné práva a slobody dotknutých osôb ( 44 ) a že na druhej strane spracúvanie týchto údajov musí byť povolené „len vtedy, ak je úplne nevyhnutné“, zastávam názor, že je osobitne sporné chrániť práva dotknutých osôb len prostredníctvom vnútroštátnej judikatúry, ak zákon vo svojom formálnom zmysle stanovuje nedostatočné preskúmanie proporcionality, ktoré nezodpovedá stupňu ochrany vyžadovanému článkom 10 smernice 2016/680.

89.

Ustanovenia zákona o českej polícii, najmä jeho § 65, sú totiž formulované príliš široko a neukladajú dostatočné vopred stanovené obmedzenia voľnej úvahy, ktorou disponujú policajné orgány v oblasti získavania, uchovávania a vymazávania biometrických a genetických údajov. V situácii, keď neexistujú takéto obmedzenia, podmienky upravujúce spracúvanie týchto údajov, ktoré vyplývajú výlučne z judikatúry českých správnych súdov, nemôžu spĺňať požiadavku dostatočne prísnych záruk stanovených v záväznom akte, ktorého uplatňovanie je predvídateľné a ktorý musí mať v oblasti spracúvania uvedených údajov prednosť.

90.

Okrem toho, hoci prebratie smernice nevyhnutne nevyžaduje legislatívny akt každého členského štátu, judikatúra, aj keby bola považovaná za ustálenú a poskytujúcu výklad ustanovenia vnútroštátneho práva v zmysle považovanom za konformný s požiadavkami smernice, nemôže byť dostatočne jasná a presná, aby bola splnená požiadavka právnej istoty. ( 45 ) Z toho vyplýva, že aj keď vnútroštátna judikatúra obsahuje zoznam kritérií umožňujúcich posúdiť primeranosť spracúvania biometrických a genetických údajov dotknutých osôb v každom konkrétnom prípade, nemôže napraviť neexistenciu dôsledného preskúmania proporcionality stanoveného zákonom vo formálnom zmysle slova.

91.

Z predchádzajúcich úvah vyplýva, že článok 8 ods. 2 a článok 10 smernice 2016/680 sa majú vykladať v tom zmysle, že bránia tomu, aby vnútroštátna judikatúra, aj keď jej možno priznať postavenie „práva členského štátu“ v zmysle tejto smernice, nahradila právny predpis so všeobecnou pôsobnosťou, ktorý nestanovuje dôsledné preskúmanie potreby získavania a uchovávania biometrických a genetických údajov dotknutých osôb zo strany policajných orgánov v každom konkrétnom prípade.

92.

Vzhľadom na predchádzajúce úvahy navrhujem, aby Súdny dvor odpovedal na prejudiciálne otázky, ktoré položil Nejvyšší soud (Česká republika), takto:

Článok 4 ods. 1 písm. c) a e) a článok 6, článok 8 ods. 2 a článok 10 smernice Európskeho parlamentu a Rady (EÚ) 2016/680 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov príslušnými orgánmi na účely predchádzania trestným činom, ich vyšetrovania, odhaľovania alebo stíhania alebo na účely výkonu trestných sankcií a o voľnom pohybe takýchto údajov a o zrušení rámcového rozhodnutia Rady 2008/977/SVV

sa majú vykladať v tom zmysle, že: