–

za NG P. Kuyumdzhiev, advokat,

–

za bolgarsko vlado M. Georgieva, T. Mitova in E. Petranova, agentke,

–

za češko vlado O. Serdula, M. Smolek in J. Vláčil, agenti,

–

za Irsko M. Browne, A. Joyce in M. Tierney, agenti, skupaj z D. Fennellyjem, BL,

–

za špansko vlado A. Ballesteros Panizo in J. Rodríguez de la Rúa Puig, agenta,

–

za nizozemsko vlado A. Hanje, agentka,

–

za poljsko vlado B. Majczyna, D. Łukowiak in J. Sawicka, agenti,

–

za Evropsko komisijo A. Bouchagiar, C. Georgieva, H. Kranenborg in F. Wilman, agenti,

1

Predlog za sprejetje predhodne odločbe se nanaša na razlago člena 5 Direktive (EU) 2016/680 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov, ki jih pristojni organi obdelujejo za namene preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij, in o prostem pretoku takih podatkov ter o razveljavitvi Okvirnega sklepa Sveta 2008/977/PNZ (UL 2016, L 119, str. 89) v povezavi s členom 13(2)(b) in (3) te direktive.

2

Ta predlog je bil vložen v okviru spora med osebo NG in Direktor na Glavna direktsia „Natsionalna politsia“ pri Ministerstvo na vatreshnite raboti – Sofia (direktor generalnega direktorata „Narodna policija“ pri ministrstvu za notranje zadeve, Bolgarija) (v nadaljevanju: DGPN), ker je zadnjenavedeni zavrnil zahtevo NG za izbris iz nacionalne evidence, v katero bolgarski policijski organi vpišejo osebe, obdolžene naklepnega kaznivega dejanja, ki se preganja po uradni dolžnosti (v nadaljevanju: policijska evidenca), pri čemer je zahteva utemeljena z rehabilitacijo, ki jo je ta oseba dosegla po pravnomočni obsodbi.

3

V uvodnih izjavah 11, 14, 26, 27, 37, 47 in 104 Direktive 2016/680 je navedeno:

[…]

[…]

[…]

[…]

[…]

4

Člen 1 te direktive, naslovljen „Predmet urejanja in cilji“, v odstavku 1 določa:

„V tej direktivi so določena pravila o varstvu posameznikov pri obdelavi osebnih podatkov, ki jih pristojni organi obdelujejo za namene preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij, vključno z varovanjem pred grožnjami javni varnosti in njihovim preprečevanjem.“

5

Člen 2 navedene direktive, naslovljen „Področje uporabe“, v odstavkih 1 in 3 določa:

„1.   Ta direktiva se uporablja za obdelavo osebnih podatkov, ki jih pristojni organi obdelujejo za namene iz člena 1(1).

[…]

3.   Ta direktiva se ne uporablja za obdelavo osebnih podatkov:

[…].“

6

Člen 3 te direktive, naslovljen „Opredelitve pojmov“, določa:

„V tej direktivi:

[…]

[…].“

7

Člen 4 Direktive 2016/680, naslovljen „Načela v zvezi z obdelavo osebnih podatkov“, v odstavku 1 določa:

„Države članice zagotovijo, da [so] osebni podatki:

[…]

[…]

[…].“

8

Člen 5 te direktive, naslovljen „Rok hrambe in pregled“, določa:

„Države članice določijo ustrezne časovne roke za izbris osebnih podatkov ali za reden pregled potrebe po shranjevanju osebnih podatkov. Spoštovanje teh rokov se zagotovi s postopkovnimi ukrepi.“

9

Člen 10 navedene direktive, naslovljen „Obdelava posebnih vrst osebnih podatkov“, določa:

„Obdelava […] genetskih podatkov […] [in] biometričnih podatkov za namene edinstvene identifikacije posameznika […] je dovoljena le, če je nujno potrebna, če je zagotovljena ustrezna zaščita pravic in svoboščin posameznika, na katerega se podatki nanašajo […].“

10

Člen 13 iste direktive, naslovljen „Informacije, ki se dajo na voljo ali zagotovijo posamezniku, na katerega se nanašajo osebni podatki“, v odstavku 2 določa, da države članice z zakonom določijo, da upravljavec posamezniku, na katerega se nanašajo osebni podatki, v posebnih primerih poleg informacij iz odstavka 1 zagotovi tudi dodatne informacije, naštete v odstavku 2, s čimer omogoči uresničevanje njegovih pravic. Med temi dodatnimi podatki je med drugim v točki (b) navedenega odstavka 2 navedeno obdobje hrambe osebnih podatkov ali, kadar to ni mogoče, merila, ki se uporabijo za določitev tega obdobja. Poleg tega so v členu 13(3) Direktive 2016/680 navedeni razlogi, iz katerih lahko države članice sprejmejo zakonodajne ukrepe za zadržanje ali omejitev zagotovitve informacij posamezniku, na katerega se nanašajo osebni podatki, na podlagi odstavka 2 tega člena, ali mu teh informacij ne zagotovijo.

11

Člen 14 Direktive 2016/680, naslovljen „Pravica do dostopa posameznika, na katerega se nanašajo osebni podatki“, določa:

„Države članice v skladu s členom 15 določijo, da ima posameznik, na katerega se nanašajo osebni podatki, pravico, da od upravljavca pridobi potrditev, da se v zvezi z njim obdelujejo osebni podatki, in da se mu v tem primeru zagotovi dostop do osebnih podatkov ter naslednje informacije:

[…]

[…].“

12

Člen 16 te direktive, naslovljen „Pravica do popravka ali izbrisa osebnih podatkov in omejitve obdelave“, v odstavkih 2 in 3 določa:

„2.   Države članice od upravljavca zahtevajo, da brez nepotrebnega odlašanja izbriše osebne podatke, in posamezniku, na katerega se nanašajo osebni podatki, zagotovijo pravico, da pri upravljavcu brez nepotrebnega odlašanja doseže izbris osebnih podatkov v zvezi z njim, če obdelava krši predpise, sprejete na podlagi členov 4, 8 ali 10, ali če je treba osebne podatke izbrisati za izpolnitev s pravne obveznosti, ki velja za upravljavca.

3.   Upravljavec namesto izbrisa omeji obdelavo, kadar:

[…]“

13

V skladu s členom 20 navedene direktive, naslovljenim „Vgrajeno in privzeto varstvo podatkov“, države članice določijo, da upravljavec izvede ustrezne tehnične in organizacijske ukrepe za izpolnjevanje zahtev iz te direktive in za zaščito pravic posameznikov, na katere se nanašajo osebni podatki, zlasti za to, da se zagotovi, da se samodejno obdelajo samo osebni podatki, ki so potrebni za vsak poseben namen obdelave.

14

Člen 29 Direktive 2016/680, naslovljen „Varnost obdelave“, v odstavku 1 določa:

„Države članice določijo, da upravljavec in obdelovalec ob upoštevanju tehnološkega razvoja, stroškov izvajanja in narave, obsega, okoliščin in namenov obdelave, pa tudi tveganj za pravice in svoboščine posameznikov, ki se razlikujejo po verjetnosti in resnosti, z ustreznimi tehničnimi in organizacijskimi ukrepi zagotovita ustrezno raven varnosti glede na tveganje, zlasti kar zadeva obdelavo posebnih vrst osebnih podatkov iz člena 10.“

15

Člen 82(1) Nakazatelen kodeks (kazenski zakonik, DV št. 26, z dne 2. aprila 1968), v različici, ki se uporablja za spor o glavni stvari, določa:

„Naložena kazen se ne izvrši po preteku:

1. dvajsetih let, če gre za kazen dosmrtnega zapora brez možnosti skrajšanja kazni ali za kazen dosmrtnega zapora;

2. petnajstih let, če gre pri izrečeni kazni za več kot desetletno zaporno kazen;

3. desetih let, če gre pri kazni za zaporno kazen od treh do desetih let;

4. petih let, če gre pri zaporni kazni za kazen, ki je krajša od treh let zapora, in

5. dveh let za vse druge primere.“

16

Člen 85(1) tega zakonika določa:

„Rehabilitacija povzroči izbris obsodbe, za naprej pa odpravo učinkov, ki jih zakoni povezujejo s samo obsodbo, razen če zakon ali odlok določa drugače.“

17

Člen 88a navedenega zakonika določa:

„Če je od prestajanja kazni minilo obdobje, ki je enako obdobju iz člena 82(1), in obsojena oseba ni storila novega naklepnega kaznivega dejanja, ki se preganja po uradni dolžnosti in za katero je zagrožena zaporna kazen, se obsodba in njene posledice izbrišejo ne glede na določbe drugega zakona ali drugega odloka.“

18

Člen 26 Zakon za Ministerstvo na vatreshnite raboti (zakon o ministrstvu za notranje zadeve, DV št. 53 z dne 27. junija 2014) v različici, ki se uporablja v sporu o glavni stvari (v nadaljevanju: zakon o ministrstvu za notranje zadeve), določa:

„(1)   Organi ministrstva za notranje zadeve, kadar obdelujejo osebne podatke, povezane z dejavnostmi zaščite nacionalne varnosti, boja proti kriminalu, vzdrževanja javnega reda in vodenja kazenskih postopkov:

[…]

[…]

(2)   Časovne roke za shranjevanje podatkov iz odstavka 1 ali reden pregled potrebe po njihovem shranjevanju določi minister za notranje zadeve. Ti podatki se izbrišejo tudi na podlagi sodnega akta ali sklepa Komisije za varstvo osebnih podatkov.“

19

Člen 27 zakona o ministrstvu za notranje zadeve določa:

„Podatki, pridobljeni z vpisom oseb v policijsko evidenco na podlagi člena 68, se uporabljajo samo v okviru zaščite nacionalne varnosti, boja proti kriminalu in vzdrževanja javnega reda.“

20

Člen 68 tega zakona določa:

„(1)   Policijski organi vpišejo v policijsko evidenco osebe, obtožene naklepnega kaznivega dejanja, ki se preganja po uradni dolžnosti. Organi, pristojni za preiskovalni postopek, morajo sprejeti potrebne ukrepe za to, da policijski organi opravijo vpis v evidenco.

(2)   Vpis v policijsko evidenco je vrsta obdelave osebnih podatkov oseb iz odstavka 1, ki se izvaja v okviru tega zakona.

(3)   Za namene vpisa v policijsko evidenco policijski organi:

[…]

(6)   Vpis v policijsko evidenco se izbriše na podlagi pisne odločbe upravljavca osebnih podatkov ali uradnikov, ki jih ta pooblasti, po uradni dolžnosti ali na pisno obrazloženo zahtevo vpisane osebe, če:

[…]“

21

NG je bil v skladu s členom 68 zakona o ministrstvu za notranje zadeve vpisan v policijsko evidenco v okviru preiskovalnega postopka, saj je kot priča krivo izpovedal, kar je kaznivo dejanje v skladu s 290(1) kazenskega zakonika. Na podlagi tega preiskovalnega postopka je bil zoper NG izdan obtožni akt, s sodbo z dne 28. junija 2016, ki je bila v pritožbenem postopku potrjena s sodbo z dne 2. decembra 2016, pa je bil spoznan za krivega in obsojen na enoletno pogojno kazen. Po tem, ko je NG to kazen prestal, je bil 14. marca 2020 rehabilitiran na podlagi člena 82(1) v povezavi s členom 88a kazenskega zakonika.

22

NG je 15. julija 2020 na podlagi te rehabilitacije pri krajevno pristojni upravi ministrstva za notranje zadeve vložil zahtevo za izbris svojega vpisa v policijsko evidenco.

23

DGPN je z odločbo z dne 2. septembra 2020 to zahtevo zavrnil z obrazložitvijo, da pravnomočna kazenska obsodba, tudi v primeru rehabilitacije, ne spada med taksativno naštete razloge za izbris vpisa v policijsko evidenco v skladu s členom 68(6) zakona o ministrstvu za notranje zadeve.

24

Administrativen sad Sofia grad (upravno sodišče mesta Sofija, Bolgarija) je z odločbo z dne 2. februarja 2021 zavrnilo tožbo, ki jo je NG vložil zoper to odločbo DGPN, iz razlogov, ki so v bistvu podobni tistim, ki jih je navedel slednji.

25

NG je vložil pritožbo pri predložitvenem sodišču, to je Varhoven administrativen sad (vrhovno upravno sodišče, Bolgarija). Glavni pritožbeni razlog se nanaša na kršitev načela, ki naj bi izhajalo iz členov 5, 13 in 14 Direktive 2016/680, v skladu s katerim obdelava osebnih podatkov z njihovo hrambo ne more trajati neomejeno. Po mnenju NG pa naj bi bilo v bistvu de facto tako, kadar zadevna oseba – ker ni določen razlog za izbris vpisa v policijsko evidenco, ki se uporablja za primer rehabilitacije – po prestani kazni in po doseženi rehabilitaciji nikoli ne bi mogla zahtevati izbrisa svojih osebnih podatkov, zbranih v zvezi s kaznivim dejanjem, za katero je bila pravnomočno obsojena.

26

V zvezi s tem predložitveno sodišče na prvem mestu poudarja, da gre v primeru vpisa v policijsko evidenco za obdelavo osebnih podatkov, ki se izvaja za namene iz člena 1(1) Direktive 2016/680 in torej spada na področje uporabe te direktive.

27

Na drugem mestu navaja, da rehabilitacija ni eden od razlogov za izbris vpisa iz policijske evidence, ki so taksativno našteti v členu 68(6) zakona o ministrstvu za notranje zadeve, in da v tem primeru ni mogoče uporabiti nobenega drugega od teh razlogov, tako da zadevna oseba v takem primeru ne more doseči izbrisa svojega vpisa v to evidenco.

28

Na tretjem mestu, predložitveno sodišče navaja, da se uvodna izjava 26 Direktive 2016/680 sklicuje na jamstva, da zbrani podatki niso prekomerni in se hranijo le toliko časa, kolikor je potrebno za namene, za katere se obdelujejo, in določa, da mora upravljavec določiti roke za izbris ali redni pregled. Poleg tega predložitveno sodišče iz uvodne izjave 34 te direktive sklepa, da bi morala obdelava za namene iz člena 1(1) te direktive vključevati omejitve, izbris ali uničenje teh podatkov. Po mnenju predložitvenega sodišča se ta načela odražajo v členu 5 ter v členu 13(2) in (3) navedene direktive.

29

V zvezi s tem predložitveno sodišče dvomi o tem, ali cilji, navedeni v prejšnji točki, nasprotujejo nacionalni zakonodaji, ki vodi do „dejansko neomejene pravice“ obdelave podatkov, ki jih pristojni organi obdelujejo za namene iz člena 1(1) Direktive 2016/680, za posameznika, na katerega se nanašajo osebni podatki, in do izgube njegove pravice do omejitve obdelave ali izbrisa njegovih podatkov.

30

V teh okoliščinah je Varhoven administrativen sad (vrhovno upravno sodišče) prekinilo odločanje in Sodišču v predhodno odločanje predložilo to vprašanje:

„Ali razlaga člena 5 v povezavi s členom 13(2)(b) in (3) [Direktive 2016/680] nasprotuje nacionalnim zakonodajnim ukrepom, ki vodijo do dejansko neomejene pravice obdelave osebnih podatkov, ki jih pristojni organi obdelujejo za namene preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij in/ali do odprave pravice posameznika, na katerega se nanašajo osebni podatki, do omejitve obdelave, izbrisa ali uničenja njegovih podatkov?“

31

V skladu z ustaljeno sodno prakso mora Sodišče v okviru postopka sodelovanja med nacionalnimi sodišči in Sodiščem, uvedenega s členom 267 PDEU, nacionalnemu sodišču dati koristen odgovor, ki mu omogoča rešitev spora, o katerem odloča. S tega vidika mora Sodišče po potrebi preoblikovati vprašanja, ki so mu bila predložena. Poleg tega lahko Sodišče upošteva določbe prava Unije, na katere se nacionalno sodišče v svojem vprašanju ni sklicevalo (sodba z dne 15. julija 2021, Ministrstvo za obrambo, C‑742/19, EU:C:2021:597, točka 31 in navedena sodna praksa).

32

V obravnavanem primeru vprašanje predložitvenega sodišča izhaja iz dejstva, da se – kot je razvidno iz predloga za sprejetje predhodne odločbe in iz navedb, ki jih je bolgarska vlada predložila na obravnavi pred Sodiščem – nobeden od razlogov, ki upravičujejo izbris osebnih podatkov, navedenih v policijski evidenci, in ki so taksativno našteti v zakonu o ministrstvu za notranje zadeve, ne uporablja v položaju iz postopka v glavni stvari, v katerem je bila oseba pravnomočno obsojena, in to tudi po njeni rehabilitaciji, tako da so ti podatki shranjeni v tej evidenci in jih lahko organi, ki imajo do njih dostop, obdelujejo brez kakršne koli druge časovne omejitve do smrti navedene osebe.

33

V zvezi s tem je najprej iz predložitvene odločbe, zlasti iz ugotovitev, povzetih v točki 27 te sodbe, in iz samega besedila vprašanja za predhodno odločanje razvidno, da se predložitveno sodišče zlasti sprašuje, ali je nacionalna ureditev iz postopka v glavni stvari združljiva z načelom sorazmernosti. Kot pa je poudarjeno v uvodni izjavi 104 Direktive 2016/680, je treba omejitve, ki jih ta direktiva uvaja v zvezi s pravico do varstva osebnih podatkov, določeno v členu 8 Listine, kakor tudi v zvezi s pravico do spoštovanja zasebnega in družinskega življenja ter pravico do učinkovitega pravnega sredstva in pravico do nepristranskega sojenja, ki so varovane s členoma 7 in 47 te listine, razlagati v skladu z zahtevami iz člena 52(1) te listine, ki vključujejo spoštovanje tega načela.

34

Dalje, predložitveno sodišče se v vprašanju pravilno sklicuje na člen 5 navedene direktive, ki se nanaša na ustrezne časovne roke za izbris osebnih podatkov ali za reden pregled potrebe po shranjevanju osebnih podatkov. Ker je navedeni člen 5 tesno povezan tako s členom 4(1)(c) in (e) te direktive kot s členom 16(2) in (3) te direktive, je treba vprašanje za predhodno odločanje razumeti tako, da se nanaša tudi na ti določbi.

35

Ker nacionalna zakonodaja iz postopka v glavni stvari med drugim določa hrambo biometričnih in genetskih podatkov, ki spadajo v kategorije posebnih vrst osebnih podatkov, katerih obdelava je posebej urejena s členom 10 Direktive 2016/680, je treba šteti, da se postavljeno vprašanje nanaša tudi na razlago te določbe.

36

Nazadnje, upoštevnost razlage člena 13 Direktive 2016/680 je iz predloga za sprejetje predhodne odločbe jasno razvidna le v zvezi z njegovim odstavkom 2(b). Res je, kot navaja predložitveno sodišče, da njegov odstavek 3 odraža tudi načela, ki so med drugim navedena v uvodni izjavi 26 te direktive. Vendar iz spisa, predloženega Sodišču, ni razvidno, da bi bil v postopku v glavni stvari sporen tudi zakonodajni ukrep, katerega namen je zadržati ali omejiti zagotavljanje informacij posamezniku, na katerega se nanašajo osebni podatki, v smislu tega odstavka 3.

37

Glede na navedeno je treba šteti, da predložitveno sodišče v bistvu sprašuje, ali je treba člen 4(1)(c) in (e) Direktive 2016/680 v povezavi s členoma 5 in 10, členom 13(2)(b) ter členom 16(2) in (3) te direktive ter ob upoštevanju členov 7 in 8 Listine razlagati tako, da nasprotuje nacionalni zakonodaji, ki določa, da policijski organi za namene preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij hranijo osebne podatke v policijski evidenci, zlasti biometrične in genetske podatke, ki se nanašajo na osebe, ki so bile pravnomočno obsojene za naklepno kaznivo dejanje, ki se preganja po uradni dolžnosti, in sicer do smrti zadevne osebe, tudi v primeru njene rehabilitacije, ne da bi ji bila poleg tega priznana pravica do izbrisa navedenih podatkov ali, odvisno od primera, pravica do omejitve njihove obdelave.

38

Najprej je treba poudariti, da se postavljeno vprašanje nanaša na obdelavo osebnih podatkov za namene, ki v skladu s členom 1(1) Direktive 2016/680 spadajo na področje uporabe te direktive. Vendar iz člena 27 zakona o ministrstvu za notranje zadeve, navedenega v predložitveni odločbi, izhaja, da so podatki, ki so shranjeni v policijski evidenci, lahko predmet obdelave tudi v okviru zaščite nacionalne varnosti, za kar se ta direktiva v skladu z njenim členom 2(3)(a), v povezavi z njeno uvodno izjavo 14, ne uporablja. Predložitveno sodišče se bo torej moralo prepričati, da hramba podatkov tožeče stranke iz postopka v glavni stvari ne more ustrezati ciljem, ki so povezani z zaščito nacionalne varnosti, glede na to, da se ta člen 2(3)(a) nanaša na izjemo od uporabe prava Unije, ki jo je treba razlagati ozko (glej po analogiji sodbo z dne 22. junija 2021, Latvijas Republikas Saeima (Kazenske točke) (C‑439/19, EU:C:2021:504, točka 62 in navedena sodna praksa).

39

Na prvem mestu, spomniti je treba, da temeljni pravici do spoštovanja zasebnega življenja in varstva osebnih podatkov, ki sta zagotovljeni v členih 7 in 8 Listine, nista absolutni pravici, ampak ju je treba obravnavati glede na vlogo, ki jo imata v družbi, in ju uravnotežiti z drugimi temeljnimi pravicami. Kakršno koli omejevanje uresničevanja teh temeljnih pravic mora biti v skladu s členom 52(1) Listine predpisano z zakonom in mora spoštovati bistveno vsebino teh temeljnih pravic in načelo sorazmernosti. V skladu z zadnjenavedenim načelom so omejitve dovoljene samo, če so potrebne in če dejansko ustrezajo ciljem splošnega interesa, ki jih priznava Unija, ali če so potrebne zaradi zaščite pravic in svoboščin drugih. Omejitve morajo biti omejene na tisto, kar je nujno, z ureditvijo, s katero se urejajo zadevne omejitve, pa morajo biti določena jasna in natančna pravila, ki urejajo obseg in uporabo teh omejitev (glej v tem smislu sodbo z dne 22. junija 2021, Latvijas Republikas Saeima (Kazenske točke), C‑439/19, EU:C:2021:504, točka 105 in navedena sodna praksa).

40

Kot je v bistvu poudarjeno v uvodni izjavi 26 Direktive 2016/680, te zahteve niso izpolnjene, kadar je zastavljeni cilj v splošnem interesu mogoče razumno enako učinkovito doseči z drugimi sredstvi, ki manj posegajo v temeljne pravice posameznikov, na katere se nanašajo osebni podatki (glej po analogiji sodbo z dne 22. junija 2021, Latvijas Republikas Saeima (Kazenske točke), C‑439/19, EU:C:2021:504, točka 110 in navedena sodna praksa).

41

Na drugem mestu, države članice morajo v skladu s členom 4(1)(c) navedene direktive najprej zagotoviti, da so osebni podatki ustrezni, relevantni in ne prekomerni glede na namene, za katere se obdelujejo. Ta določba tako zahteva, da države članice spoštujejo načelo „najmanjšega obsega podatkov“, ki odraža načelo sorazmernosti (glej v tem smislu sodbo z dne 22. junija 2021, Latvijas Republikas Saeima (Kazenske točke), C‑439/19, EU:C:2021:504, točka 98 in navedena sodna praksa).

42

Iz tega sledi, da je treba zlasti pri zbiranju osebnih podatkov v okviru kazenskega postopka in njihovem shranjevanju s strani policijskih organov za namene, navedene v členu 1(1) te direktive, kot pri vsaki obdelavi, ki spada na področje uporabe te direktive, spoštovati te zahteve. Taka hramba poleg tega pomeni poseganje v temeljni pravici do spoštovanja zasebnega življenja in varstva osebnih podatkov, pri čemer ni pomembno, ali so shranjene informacije občutljive, ali so bile zadevne osebe zaradi tega poseganja morda oškodovane in ali bodo shranjeni podatki pozneje uporabljeni (glej po analogiji sodbo z dne 5. aprila 2022, Commissioner of An Garda Síochána in drugi, C‑140/20, EU:C:2022:258, točka 44 in navedena sodna praksa).

43

Poleg tega, natančneje, v zvezi s sorazmernostjo obdobja hrambe navedenih podatkov morajo države članice v skladu s členom 4(1)(e) Direktive 2016/680 določiti, da se ti podatki hranijo v obliki, ki dopušča identifikacijo posameznikov, na katere se nanašajo osebni podatki, in to le toliko časa, kolikor je potrebno za namene, za katere se obdelujejo.

44

V tem okviru člen 5 navedene direktive državam članicam nalaga, da določijo ustrezne časovne roke za izbris osebnih podatkov ali za redno preverjanje potrebe po shranjevanju takih podatkov in postopkovna pravila, ki zagotavljajo spoštovanje teh rokov.

45

Kot je navedeno v uvodni izjavi 26 Direktive 2016/680, je namen te določbe zagotoviti, da se osebni podatki v skladu z zahtevami iz člena 4(1)(e) te direktive hranijo le toliko časa, kot je potrebno. Državam članicam sicer res prepušča, da določijo ustrezne roke za obdobje hrambe in odločijo, ali se ti roki nanašajo na izbris navedenih podatkov ali redno preverjanje potrebe po njihovi hrambi, pod pogojem, da je spoštovanje teh rokov zagotovljeno z ustreznimi postopkovnimi pravili. Vendar „ustreznost“ teh rokov vsekakor zahteva, da je v skladu s členom 4(1)(c) in (e) navedene direktive v povezavi s členom 52(1) Listine z navedenimi roki po potrebi omogočen izbris zadevnih podatkov, če njihova hramba ni več potrebna zaradi namenov, ki upravičujejo obdelavo.

46

Zlasti zato, da se posameznikom, na katere se nanašajo osebni podatki, omogoči, da preverijo to „ustreznost“ in po potrebi zahtevajo tak izbris, člen 13(2)(b) in člen 14(d) Direktive 2016/680 določata, da so ti posamezniki, kadar je to mogoče, načeloma lahko obveščeni o obdobju hrambe osebnih podatkov, ki se nanje nanašajo, oziroma če to ni mogoče, o merilih, ki se uporabijo za določitev tega obdobja.

47

Dalje, člen 10 Direktive 2016/680 je posebna določba, ki ureja obdelavo posebnih vrst osebnih podatkov, zlasti biometričnih in genetskih podatkov. Namen te določbe je zagotoviti večjo zaščito posameznika, na katerega se nanašajo osebni podatki, ker lahko zadevni podatki zaradi svoje posebne občutljivosti in okoliščin, v katerih se obdelujejo, kot je razvidno iz uvodne izjave 37 navedene direktive, povzročijo resna tveganja za temeljne pravice in svoboščine, kot sta pravica do spoštovanja zasebnega življenja in pravica do varstva osebnih podatkov, ki sta zagotovljeni s členoma 7 in 8 Listine (sodba z dne 26. januarja 2023, Ministerstvo na vatreshnite raboti (Vpis biometričnih in genetskih podatkov v evidenco, ki ga izvaja policija), C‑205/21, EU:C:2023:49, točka 116 in navedena sodna praksa).

48

Natančneje, ta člen 10 določa zahtevo, v skladu s katero je obdelava občutljivih podatkov dovoljena „le, če je nujno potrebna“, kar je strožji pogoj za zakonitost obdelave takih podatkov in med drugim pomeni, da se z njim zahteva posebej strog nadzor nad spoštovanjem načela „najmanjšega obsega podatkov“, kot izhaja iz člena 4(1)(c) Direktive 2016/680, pri čemer ta zahteva pomeni posebno uporabo za take občutljive podatke (glej v tem smislu sodbo z dne 26. januarja 2023, Ministerstvo na vatreshnite raboti (Vpis biometričnih in genetskih podatkov v evidenco, ki ga izvaja policija), C‑205/21, EU:C:2023:49, točke 117, 122 in 125).

49

Nazadnje, s členom 16(2) Direktive 2016/680 je uvedena pravica do izbrisa osebnih podatkov, če obdelava krši predpise, sprejete na podlagi členov 4, 8 ali 10 te direktive, ali če je treba osebne podatke izbrisati za izpolnitev pravne obveznosti, ki velja za upravljavca.

50

Iz tega člena 16(2) izhaja, da se ta pravica do izbrisa lahko zlasti uveljavlja, če hramba zadevnih osebnih podatkov – glede na namene njihove obdelave, ob neupoštevanju določb nacionalnega prava, s katerimi se izvaja člen 4(1)(c) in (e) navedene direktive ter po potrebi člen 10 te direktive – ni ali ni več potrebna oziroma če je ta izbris potreben zaradi spoštovanja roka, ki je za to določen z nacionalnim pravom na podlagi člena 5 te direktive.

51

Vendar mora v skladu s členom 16(3) Direktive 2016/680 nacionalno pravo določiti, da upravljavec namesto izbrisa omeji obdelavo teh podatkov, kadar posameznik, na katerega se nanašajo osebni podatki, v skladu s točko (a) te določbe izpodbija točnost osebnih podatkov in ni mogoče preveriti, ali so ti podatki točni ali ne, ali pa je treba v skladu z njegovo točko (b) osebne podatke hraniti za namene dokazovanja.

52

Iz navedenega izhaja, da določbe Direktive 2016/680, ki so bile preučene v točkah od 41 do 51 te sodbe, določajo splošni okvir, ki med drugim omogoča, da se zagotovi, da sta hramba osebnih podatkov in, natančneje, njeno trajanje omejena na to, kar se izkaže za potrebno glede na namene, za katere se ti podatki hranijo, pri čemer je državam članicam prepuščena skrb, da ob upoštevanju tega okvira določijo konkretne položaje, v katerih varstvo temeljnih pravic posameznika, na katerega se nanašajo osebni podatki, zahteva izbris teh podatkov in kdaj je treba ta izbris opraviti. Nasprotno pa, kot je generalni pravobranilec v bistvu navedel v točki 28 sklepnih predlogov, te določbe ne zahtevajo, da države članice opredelijo najdaljše obdobje shranjevanja osebnih podatkov, pri katerem bi bilo v primeru njegove prekoračitve te podatke treba samodejno izbrisati.

53

V obravnavanem primeru je iz spisa, ki je na voljo Sodišču, razvidno, da se osebni podatki, ki so v policijski evidenci na podlagi člena 68 zakona o ministrstvu za notranje zadeve, hranijo le za namene operativne preiskovalne dejavnosti in, natančneje, za primerjavo z drugimi podatki, zbranimi med preiskavami drugih kaznivih dejanj.

54

V zvezi s tem je treba na prvem mestu poudariti, da se hramba osebnih podatkov o osebah, ki so bile pravnomočno kazensko obsojene, v policijski evidenci lahko izkaže za potrebno za namene, navedene v prejšnji točki te sodbe, tudi po tem, ko je bila ta obsodba izbrisana iz kazenske evidence in so zato učinki, ki jih nacionalna zakonodaja pripisuje tej obsodbi, razveljavljeni. Te osebe so namreč lahko vpletene v druga kazniva dejanja, kot so tista, za katera so bile obsojene, ali pa so, nasprotno, lahko oproščene obtožb na podlagi primerjave podatkov, ki jih hranijo ti organi, s podatki, zbranimi v postopkih v zvezi s temi drugimi kaznivimi dejanji.

55

Tako lahko takšna hramba prispeva k cilju v splošnem interesu iz uvodne izjave 27 Direktive 2016/680, v skladu s katerim morajo pristojni organi zaradi preprečevanja, preiskovanja in pregona kaznivih dejanj osebne podatke, zbrane v okviru preprečevanja, preiskovanja, odkrivanja ali pregona posebnih kaznivih dejanj, obdelovati zunaj tega okvira, da bi lahko pridobili vpogled v kriminalne dejavnosti ter ugotovili povezave med različnimi odkritimi kaznivimi dejanji (glej v tem smislu sodbo z dne 26. januarja 2023, Ministerstvo na vatreshnite raboti (Vpis biometričnih in genetskih podatkov v evidenco, ki ga izvaja policija), C‑205/21, EU:C:2023:49, točka 98).

56

Na drugem mestu, iz spisa, ki je na voljo Sodišču, je razvidno, da so v policijski evidenci iz postopka v glavni stvari shranjeni podatki v zvezi z zadevno osebo, na katere se nanaša bolgarska zakonodaja s področja osebnih dokumentov, prstni odtisi, njena fotografija in podatki na podlagi odvzema vzorcev za izdelavo profila DNK, katerim so, kot je bolgarska vlada potrdila na obravnavi, dodani tudi podatki v zvezi s kaznivimi dejanji, ki jih je storila zadevna oseba, in njenimi obsodbami v zvezi s tem. Te različne kategorije podatkov pa se lahko izkažejo za nujne pri preverjanju, ali je zadevna oseba vpletena v druga kazniva dejanja, kot so tista, za katera je bila pravnomočno obsojena. Zato jih je načeloma mogoče šteti za ustrezne in relevantne za namene, za katere se obdelujejo, v smislu člena 4(1)(c) Direktive 2016/680.

57

Na tretjem mestu, sorazmernost take hrambe glede na njene namene je treba presojati tudi ob upoštevanju ustreznih tehničnih in organizacijskih ukrepov, ki so določeni v nacionalnem pravu, katerih namen je v skladu s členoma 20 in 29 te direktive zagotoviti zaupnost in varnost hranjenih podatkov v zvezi z obdelavami, ki so v nasprotju z zahtevami iz Direktive 2016/680, in zlasti ukrepov iz člena 20(2) te direktive, ki zagotavljajo, da se obdelujejo samo osebni podatki, ki so potrebni za vsak poseben namen obdelave.

58

Na četrtem mestu, v zvezi s trajanjem hrambe osebnih podatkov iz postopka v glavni stvari je v obravnavanem primeru iz predloga za sprejetje predhodne odločbe razvidno, da se navedeni podatki hranijo do smrti te osebe le v primeru pravnomočne obsodbe zadevne osebe za naklepno kaznivo dejanje, ki se preganja po uradni dolžnosti, saj nacionalna zakonodaja v drugih primerih določa izbris vpisov oseb, obdolženih takega kaznivega dejanja.

59

Vendar je treba v zvezi s tem ugotoviti, da je pojem „naklepno kaznivo dejanje, ki se preganja po uradni dolžnosti“ posebej splošen in se lahko uporablja za številna kazniva dejanja, ne glede na njihovo naravo in težo (glej v tem smislu sodbo z dne 26. januarja 2023, Ministerstvo na vatreshnite raboti (Vpis biometričnih in genetskih podatkov v evidenco, ki ga izvaja policija), C‑205/21, EU:C:2023:49, točka 129).

60

Kot pa je v bistvu navedel tudi generalni pravobranilec v točkah 73 in 74 sklepnih predlogov, vse osebe, ki so bile pravnomočno obsojene za kaznivo dejanje, ki spada pod ta pojem, ne predstavljajo enake stopnje tveganja, da bodo vpletene v druga kazniva dejanja, kar bi upravičevalo enotno obdobje hrambe podatkov, ki se nanašajo nanje. Tako v nekaterih primerih glede na dejavnike, kot so narava in teža storjenega kaznivega dejanja oziroma neobstoj povratništva, tveganje, ki ga predstavlja obsojena oseba, ne bo nujno upravičevalo ohranitve podatkov v zvezi z njo v nacionalni policijski evidenci, ki je predvidena v ta namen, do njene smrti. V takih primerih ne bo več podana povezava med shranjenimi podatki in zastavljenim ciljem (glej tudi mnenje 1/15 (Sporazum PNR med EU in Kanado) z dne 26. julija 2017 (EU:C:2017:592, točka 205). Zato njihova hramba ne bo skladna z načelom najmanjšega obsega podatkov iz člena 4(1)(c) Direktive 2016/680 in bo presegala čas, potreben za dosego namena, za katerega se obdelujejo, kar je v nasprotju s členom 4(1)(e) te direktive.

61

V zvezi s tem je treba pojasniti, da je res, kot je generalni pravobranilec v bistvu poudaril v točki 70 sklepnih predlogov, da rehabilitacija take osebe, zaradi katere je bila zadevna obsodba izbrisana iz kazenske evidence, kot je bilo v sporu o glavni stvari, sama po sebi ne more preprečiti potrebe po hrambi njenih podatkov v policijski evidenci, saj je njen namen drugačen, kot ga ima vpis podatkov o njeni predkaznovanosti v to kazensko evidenco. Vendar, kadar je, kot v obravnavanem primeru, na podlagi določb nacionalnega kazenskega prava, ki se uporabljajo, taka rehabilitacija pogojena s tem, da v določenem obdobju po prestani kazni ni bilo storjeno novo naklepno kaznivo dejanje, ki se preganja po uradni dolžnosti, je to lahko pokazatelj manjšega tveganja, ki ga zadevna oseba predstavlja v zvezi s cilji boja proti kriminalu ali ohranjanja javnega reda, in je torej element, s katerim je mogoče skrajšati obdobje trajanja take hrambe.

62

Na petem mestu, načelo sorazmernosti, določeno v členu 52(1) Listine, med drugim zahteva tehtanje pomena cilja, ki se uresničuje, in teže omejitve uresničevanja zadevnih temeljnih pravic (glej v tem smislu sodbo z dne 22. novembra 2022, Luxembourg Business Registers, C‑37/20 in C‑601/20, EU:C:2022:912, točka 66).

63

V obravnavanem primeru, kot je bilo opozorjeno v točki 35 te sodbe, hramba osebnih podatkov v zadevni policijski evidenci vključuje biometrične in genetske podatke. Poudariti je torej treba, da je glede na velika tveganja, ki jih obdelava takih občutljivih podatkov pomeni za pravice in svoboščine posameznikov, na katere se nanašajo osebni podatki, zlasti v okviru nalog pristojnih organov za namene iz člena 1(1) Direktive 2016/680, treba poseben pomen zastavljenega cilja presojati glede na sklop upoštevnih elementov. Med take elemente presoje spadajo zlasti dejstvo, da je obdelava namenjena konkretnemu cilju v povezavi s preprečevanjem kaznivih dejanj ali groženj javni varnosti določene stopnje resnosti, pregonu takih kaznivih dejanj ali zaščiti pred takimi grožnjami, ter posebne okoliščine, v katerih se ta obdelava izvaja (sodba z dne 26. januarja 2023, Ministerstvo na vatreshnite raboti (Registracija biometričnih in genetskih podatkov s strani policije), C‑205/21, EU:C:2023:49, točka 127).

64

V tem okviru je Sodišče menilo, da je nacionalna zakonodaja, ki določa sistematično zbiranje biometričnih in genetskih podatkov vsake osebe, ki je bila obdolžena naklepnega kaznivega dejanja, ki se preganja po uradni dolžnosti, načeloma v nasprotju z zahtevo po absolutni nujnosti, ki je določena v členu 10 Direktive 2016/680 in na katero je bilo opozorjeno v točki 48 te sodbe. Taka zakonodaja lahko namreč brez razlikovanja in na splošno vodi do zbiranja biometričnih in genetskih podatkov večine obdolžencev (glej v tem smislu sodbo z dne 26. januarja 2023, Ministerstvo na vatreshnite raboti (Vpis biometričnih in genetskih podatkov v evidenco, ki ga izvaja policija), C‑205/21, EU:C:2023:49, točki 128 in 129).

65

Evropsko sodišče za človekove pravice je razsodilo, da splošni in nerazlikovalni značaj pristojnosti za hranjenje podatkov o prstnih odtisih, bioloških vzorcev in DNK profilov oseb, ki so osumljene, ne pa tudi obsojene za kazniva dejanja, kot je določeno v zadevni nacionalni ureditvi v zadevi, ki jo obravnava to sodišče, ni odražal pravičnega ravnotežja med zadevnimi javnimi in zasebnimi interesi, zato se je hramba teh podatkov razlagala kot nesorazmeren poseg v pravico tožečih strank do spoštovanja njihovega zasebnega življenja in je v demokratični družbi ni bilo mogoče šteti za nujno, pri čemer je zato šlo za kršitev člena 8 Evropske konvencije o varstvu človekovih pravic in temeljnih svoboščin, ki je bila podpisana 4. novembra 1950 v Rimu (ESČP, 4. december 2008, S in Marper proti Združenemu kraljestvu, CE:ECHR:2008:1204JUD 003056204, točki 125 in 126).

66

Hramba biometričnih in genetskih podatkov oseb, ki so že bile pravnomočno kazensko obsojene, tudi do smrti teh oseb, je sicer lahko nujno potrebna v smislu člena 10 Direktive 2016/680, zlasti da se omogoči preverjanje njihove morebitne vpletenosti v druga kazniva dejanja ter s tem pregon in obsodbo storilcev teh kaznivih dejanj. Upoštevati je namreč treba pomen, ki ga imajo tovrstni podatki za kazenske preiskave – tudi več let po nastanku dejanskega stanja – zlasti kadar so navedena kazniva dejanja huda kazniva dejanja (glej v tem smislu sodbo ESČP, 13. februar 2020, Gaughran proti Združenemu kraljestvu, CE:ECHR:2020:0213JUD004524515, točka 93).

67

Vendar je mogoče šteti, da hramba biometričnih in genetskih podatkov izpolnjuje zahtevo, da je dovoljena le takrat, „če je nujno potrebna“ v smislu člena 10 Direktive 2016/680, samo v primeru, da se pri njej upoštevajo narava in teža kaznivega dejanja, za katero je bila izrečena pravnomočna kazenska obsodba, ali druge okoliščine, kot so posebne okoliščine, v katerih je bilo to kaznivo dejanje storjeno, njegova morebitna povezava z drugimi postopki v teku, oziroma predkaznovanost ali profil obsojene osebe. Zato je področje uporabe te hrambe – v primeru, kadar nacionalna zakonodaja, kakršna je ta v postopku v glavni stvari, določa, da se biometrični in genetski podatki zadevnih oseb, ki so vpisani v policijsko evidenco, v primeru njihove pravnomočne kazenske obsodbe hranijo do datuma smrti teh oseb, kot je bilo ugotovljeno v točkah 59 in 60 zgoraj – pretirano široko glede na namene, za katere se ti podatki obdelujejo.

68

Na šestem mestu, glede, prvič, obveznosti držav članic, da predvidijo določitev ustreznih rokov, določenih v členu 5 Direktive 2016/680, je treba poudariti, da je iz razlogov, navedenih v točkah 59, 60 in 67 te sodbe, ter ob upoštevanju zahtev iz člena 4(1)(c) in (e) ter člena 10 te direktive mogoče šteti, da je rok „ustrezen“ v smislu tega člena 5, zlasti kar zadeva hrambo biometričnih in genetskih podatkov vseh oseb, ki so bile pravnomočno obsojene za naklepno kaznivo dejanje, ki se preganja po uradni dolžnosti, samo če upošteva relevantne okoliščine, zaradi katerih je tako obdobje hrambe potrebno, kot so te iz točke 67 te sodbe.

69

Zato, čeprav lahko sklicevanje v nacionalni zakonodaji na smrt zadevne osebe pomeni „rok“ za izbris hranjenih podatkov v smislu navedenega člena 5, je mogoče šteti, da je tak rok „ustrezen“ le v posebnih okoliščinah, ki to ustrezno utemeljujejo. To pa očitno ni tako, če se uporablja na splošno in brez razlikovanja za vsako pravnomočno obsojeno osebo.

70

Res je, kot je bilo navedeno v točki 45 te sodbe, da člen 5 Direktive 2016/680 državam članicam prepušča, da odločijo, ali je treba določiti roke za izbris navedenih podatkov ali redno preverjanje potrebe po njihovi hrambi. Vendar iz iste točke izhaja tudi to, da „ustreznost“ rokov za tako redno preverjanje zahteva, da slednji v skladu s členom 4(1)(c) in (e) navedene direktive v povezavi s členom 52(1) Listine omogočajo izbris zadevnih podatkov, če njihova hramba ni več potrebna. Iz razlogov, navedenih v prejšnji točki te sodbe, pa taka zahteva ni izpolnjena, če je, kot v obravnavanem primeru, edini primer, v katerem nacionalna zakonodaja določa tak izbris, kar zadeva osebo, ki je bila pravnomočno obsojena za naklepno kaznivo dejanje, ki se preganja po uradni dolžnosti, njena smrt.

71

Drugič, glede jamstev iz člena 16(2) in (3) te direktive, ki se nanašajo na pogoje v zvezi s pravicami do izbrisa in omejitve obdelave, iz točk 50 in 51 te sodbe izhaja, da te določbe nasprotujejo tudi nacionalni zakonodaji, ki osebi, ki je bila pravnomočno obsojena za naklepno kaznivo dejanje, ki se preganja po uradni dolžnosti, ne omogoča uveljavljanja njenih pravic.

72

Glede na vse zgornje preudarke je treba na postavljeno vprašanje odgovoriti tako, da je treba člen 4(1)(c) in (e) Direktive 2016/680 v povezavi s členoma 5 in 10, členom 13(2)(b) ter členom 16(2) in (3) te direktive ter ob upoštevanju členov 7 in 8 Listine razlagati tako, da nasprotuje nacionalni zakonodaji, ki določa, da policijski organi za namene preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij hranijo osebne podatke, zlasti biometrične in genetske podatke, ki se nanašajo na osebe, ki so bile pravnomočno obsojene za naklepno kaznivo dejanje, ki se preganja po uradni dolžnosti, in sicer do smrti zadevne osebe, tudi v primeru njene rehabilitacije, ne da bi bilo treba upravljavcu podatkov redno preverjati, ali je podatke še vedno treba hraniti, oziroma ne da bi imela ta oseba, na katero se podatki nanašajo, pravico zahtevati izbris podatkov, če jih ne bi bilo več treba hraniti za namene, za katere so bili obdelani, ali, kadar je to primerno, pravico do omejitve obdelave teh podatkov.

73

Ker je ta postopek za stranki v postopku v glavni stvari ena od stopenj v postopku pred predložitvenim sodiščem, to odloči o stroških. Stroški za predložitev stališč Sodišču, ki niso stroški omenjenih strank, se ne povrnejo.

Iz teh razlogov je Sodišče (veliki senat) razsodilo:

Člen 4(1)(c) in (e) Direktive (EU) 2016/680 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov, ki jih pristojni organi obdelujejo zaradi preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij, in o prostem pretoku takih podatkov ter o razveljavitvi Okvirnega sklepa Sveta 2008/977/PNZ v povezavi s členoma 5 in 10, členom 13(2)(b) ter členom 16(2) in (3) te direktive ter ob upoštevanju členov 7 in 8 Listine Evropske unije o temeljnih pravicah

je treba razlagati tako, da

nasprotuje nacionalni zakonodaji, ki določa, da policijski organi za namene preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij hranijo osebne podatke, zlasti biometrične in genetske podatke, ki se nanašajo na osebe, ki so bile pravnomočno obsojene za naklepno kaznivo dejanje, ki se preganja po uradni dolžnosti, in sicer do smrti zadevne osebe, tudi v primeru njene rehabilitacije, ne da bi bilo treba upravljavcu podatkov redno preverjati, ali je podatke še vedno treba hraniti, oziroma ne da bi imela ta oseba, na katero se podatki nanašajo, pravico zahtevati izbris podatkov, če jih ne bi bilo več treba hraniti za namene, za katere so bili obdelani, ali, kadar je to primerno, pravico do omejitve obdelave teh podatkov.