–

pentru NG, de P. Kuyumdzhiev, advokat;

–

pentru guvernul bulgar, de M. Georgieva, T. Mitova și E. Petranova, în calitate de agenți;

–

pentru guvernul ceh, de O. Serdula, M. Smolek și J. Vláčil, în calitate de agenți;

–

pentru Irlanda, de M. Browne, A. Joyce și M. Tierney, în calitate de agenți, asistați de D. Fennelly, BL;

–

pentru guvernul spaniol, de A. Ballesteros Panizo și J. Rodríguez de la Rúa Puig, în calitate de agenți;

–

pentru guvernul neerlandez, de A. Hanje, în calitate de agent;

–

pentru guvernul polonez, de B. Majczyna, D. Łukowiak și J. Sawicka, în calitate de agenți;

–

pentru Comisia Europeană, de A. Bouchagiar, C. Georgieva, H. Kranenborg și F. Wilman, în calitate de agenți,

1

Cererea de decizie preliminară privește interpretarea articolului 5 din Directiva (UE) 2016/680 a Parlamentului European și a Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, depistării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor și privind libera circulație a acestor date și de abrogare a Deciziei‑cadru 2008/977/JAI a Consiliului (JO 2016, L 119, p. 89) coroborat cu articolul 13 alineatul (2) litera (b) și cu alineatul (3) din această directivă.

2

Această cerere a fost formulată în cadrul unui litigiu între NG, pe de o parte, și Direktor na Glavna direktsia „Natsionalna politsia” pri Ministerstvo na vatreshnite raboti Sofia (directorul Direcției generale „Poliția națională” de pe lângă Ministerul de Interne, Bulgaria) (denumit în continuare „DGPN”), pe de altă parte, în legătură cu respingerea de către acesta din urmă a cererii formulate de NG de a‑l radia din registrul național în care autoritățile polițienești bulgare înscriu persoanele acuzate de săvârșirea cu intenție a unei infracțiuni pentru care acțiunea penală se pune în mișcare din oficiu (denumit în continuare „registrul poliției”), cerere care se întemeiază pe reabilitarea de care a beneficiat această persoană după ce a făcut obiectul unei condamnări penale definitive.

3

Considerentele (11), (14), (26), (27), (37), (47) și (104) ale Directivei 2016/680 enunță:

[…]

[…]

[…]

[…]

[…]

4

Articolul 1 din această directivă, intitulat „Obiect și obiective”, prevede la alineatul (1):

„Prezenta directivă stabilește normele referitoare la protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, depistării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor, inclusiv al protejării împotriva amenințărilor la adresa securității publice și al prevenirii acestora.”

5

Articolul 2 din directiva menționată, intitulat „Domeniul de aplicare”, prevede la alineatele (1) și (3):

„(1)   Prezenta directivă se aplică prelucrării datelor cu caracter personal de către autoritățile competente în scopurile prevăzute la articolul 1 alineatul (1).

[…]

(3)   Prezenta directivă nu se aplică prelucrării datelor cu caracter personal:

[…]”

6

Potrivit articolului 3 din aceeași directivă, intitulat „Definiții”:

„În sensul prezentei directive:

[…]

[…]”

7

Articolul 4 din Directiva 2016/680, intitulat „Principii referitoare la prelucrarea datelor cu caracter personal”, prevede la alineatul (1):

„Statele membre garantează că datele cu caracter personal:

[…]

(c) sunt adecvate, relevante și neexcesive în ceea ce privește scopurile în care sunt prelucrate;

[…]

(e) sunt păstrate într‑o formă care permite identificarea persoanelor vizate pe o perioadă care nu depășește perioada necesară îndeplinirii scopurilor pentru care sunt prelucrate datele respective;

[…]”

8

Articolul 5 din această directivă, intitulat „Termene pentru stocare și revizuire”, are următorul cuprins:

„Statele membre garantează stabilirea unor termene corespunzătoare pentru ștergerea datelor cu caracter personal sau pentru o revizuire periodică a necesității de stocare a datelor cu caracter personal. Respectarea acestor termene este asigurată prin măsuri procedurale.”

9

Articolul 10 din directiva menționată, intitulat „Prelucrarea de categorii speciale de date cu caracter personal”, are următorul cuprins:

„Prelucrarea […] datelor genetice [și] prelucrarea datelor biometrice pentru identificarea unică a unei persoane fizice […] este autorizată numai atunci când este strict necesară și sub rezerva unor garanții adecvate pentru drepturile și libertățile persoanei vizate […]”

10

Articolul 13 din aceeași directivă, intitulat „Informații care se pun la dispoziția persoanei vizate sau se comunică acesteia”, prevede la alineatul (2) că, în plus față de informațiile menționate la alineatul (1), statele membre prevăd prin lege că operatorul comunică persoanei vizate, în anumite cazuri, informațiile suplimentare pe care le enumeră acest alineat (2), pentru a permite acestei persoane să își exercite drepturile. Printre aceste informații suplimentare figurează în special, la litera (b) a alineatului (2) menționat, perioada pentru care vor fi stocate datele cu caracter personal sau, în cazul în care nu este posibil, criteriile utilizate pentru a stabili respectiva perioadă. Pe de altă parte, articolul 13 alineatul (3) din Directiva 2016/680 indică motivele pentru care statele membre pot adopta măsuri legislative de amânare, restricționare sau omitere a furnizării de informații persoanei vizate în conformitate cu alineatul (2).

11

Articolul 14 din Directiva 2016/680, intitulat „Dreptul de acces al persoanei vizate”, prevede:

„Sub rezerva articolului 15, statele membre garantează dreptul persoanei vizate de a obține din partea operatorului o confirmare că se prelucrează sau nu date cu caracter personal care o privesc și, în caz afirmativ, acces la datele respective și la următoarele informații:

[…]

[…]”

12

Articolul 16 din aceeași directivă, intitulat „Dreptul la rectificarea sau la ștergerea datelor cu caracter personal și la restricționarea prelucrării”, prevede la alineatele (2) și (3):

„(2)   Statele membre impun operatorului obligația de a șterge datele cu caracter personal fără întârzieri nejustificate și garantează persoanei vizate dreptul de a obține de la operator ștergerea datelor cu caracter personal care o privesc, fără întârzieri nejustificate, în cazul în care prelucrarea încalcă dispozițiile adoptate în temeiul articolului 4, 8 sau 10 sau în cazul în care datele cu caracter personal trebuie șterse pentru îndeplinirea unei obligații legale care îi revine operatorului.

(3)   În loc de ștergere, operatorul restricționează prelucrarea datelor cu caracter personal în cazul în care:

[…]”

13

În temeiul articolului 20 din directiva menționată, intitulat „Asigurarea protecției datelor începând cu momentul conceperii și în mod implicit”, statele membre prevăd că operatorul pune în aplicare măsuri tehnice și organizatorice adecvate pentru a îndeplini cerințele aceleiași directive și a proteja drepturile persoanelor vizate și în special pentru a se asigura că, în mod implicit, sunt prelucrate numai datele cu caracter personal care sunt necesare pentru fiecare scop specific al prelucrării.

14

Articolul 29 din Directiva 2016/680, intitulat „Securitatea prelucrării”, prevede la alineatul (1):

„Statele membre garantează că, având în vedere stadiul actual al tehnologiei și costurile implementării și ținând seama de natura, domeniul de aplicare, contextul și scopurile prelucrării, precum și de riscurile cu grade diferite de probabilitate și de gravitate la adresa drepturilor și libertăților persoanelor fizice, operatorul și persoana împuternicită de acesta implementează măsuri tehnice și organizatorice adecvate în vederea asigurării unui nivel de securitate corespunzător acestui risc, în special în ceea ce privește prelucrarea categoriilor speciale de date cu caracter personal menționate la articolul 10.”

15

Articolul 82 alineatul (1) din Nakazatelen kodeks (Codul penal, DV nr. 26 din 2 aprilie 1968), în versiunea aplicabilă litigiului principal, prevede:

„Pedeapsa aplicată nu va fi executată atunci când s‑au scurs:

(1) 20 de ani, dacă pedeapsa este detențiunea pe viață fără comutare ori detențiunea pe viață;

(2) 15 ani, dacă pedeapsa este închisoarea mai mult de 10 ani;

(3) 10 ani, dacă pedeapsa este închisoarea de la 3 la 10 ani;

(4) 5 ani, dacă pedeapsa este închisoarea de până la 3 ani;

(5) 2 ani, pentru toate celelalte situații.”

16

Articolul 85 alineatul (1) din acest cod prevede:

„Reabilitarea înlătură condamnarea și anulează în viitor consecințele pe care legile le asociază condamnării însăși, dacă nu se prevede altfel prin lege sau prin decret.”

17

Articolul 88a din codul menționat are următorul cuprins:

„În cazul în care de la executarea pedepsei a trecut o perioadă egală cu cea prevăzută la articolul 82 alineatul (1), iar condamnatul nu a săvârșit o nouă infracțiune intenționată de drept comun pentru care legea prevede o pedeapsă cu închisoarea, condamnarea și consecințele acesteia se înlătură, independent de prevederile din orice altă lege sau decret.”

18

Articolul 26 din Zakon za Ministerstvo na vatreshnite raboti (Legea privind Ministerul Afacerilor Interne, DV nr. 53 din 27 iunie 2014), în versiunea aplicabilă litigiului principal (denumită în continuare „Legea privind Ministerul Afacerilor Interne”), prevede:

„(1)   Atunci când prelucrează date cu caracter personal în legătură cu activitățile de protecție a securității naționale, de combatere a criminalității, de menținere a ordinii publice și de desfășurare a procedurilor penale, autoritățile Ministerului de Interne:

[…]

[…]

(2)   Termenele de stocare a datelor prevăzute la alineatul (1) sau de revizuire periodică a necesității stocării acestora sunt stabilite de ministrul de interne. Aceste date sunt șterse, de asemenea, în temeiul unui act judiciar sau al unei decizii a Comisiei pentru protecția datelor cu caracter personal.”

19

Potrivit articolului 27 din Legea privind Ministerul de Interne:

„Datele din înregistrarea polițienească a persoanelor, efectuată în temeiul articolului 68, sunt utilizate numai în scopul protejării securității naționale, al combaterii criminalității și al menținerii ordinii publice.”

20

Articolul 68 din această lege are următorul cuprins:

„(1)   Autoritățile de poliție efectuează o înregistrare polițienească a persoanelor care sunt acuzate de săvârșirea cu intenție a unei infracțiuni pentru care acțiunea penală se pune în mișcare din oficiu. Autoritățile de cercetare penală sunt obligate să ia măsurile necesare pentru înregistrarea de către organele de poliție.

(2)   Înregistrarea polițienească este o categorie de prelucrare a datelor cu caracter personal ale persoanelor menționate la alineatul (1), care se efectuează în condițiile prezentei legi.

(3)   În scopul înregistrării polițienești, autoritățile de poliție:

[…]

(6)   Înregistrarea polițienească este radiată pe baza unui ordin scris al operatorului de date cu caracter personal sau al funcționarilor abilitați de acesta, din oficiu sau în urma unei cereri scrise și motivate a persoanei înscrise, în cazul în care:

[…]”

21

NG a făcut obiectul unei înregistrări polițienești, în conformitate cu articolul 68 din Legea privind Ministerul de Interne, în cadrul unei proceduri de cercetare penală pentru mărturie mincinoasă, infracțiune prevăzută la articolul 290 alineatul (1) din Codul penal. În urma acestei proceduri de cercetare penală, împotriva lui NG a fost pusă în mișcare acțiunea penală și, prin hotărârea din 28 iunie 2016, confirmată în apel la 2 decembrie 2016, a fost declarat vinovat de săvârșirea acestei infracțiuni și condamnat la o pedeapsă cu suspendare de un an. După executarea acestei pedepse, NG a beneficiat, în temeiul articolului 82 alineatul (1) în coroborare cu articolul 88a din Codul penal, de o reabilitare care a intervenit la 14 martie 2020.

22

La 15 iulie 2020, pe baza acestei reabilitări, NG a depus o cerere de radiere a înregistrării sale polițienești la administrația teritorială competentă a Ministerului de Interne.

23

Prin decizia din 2 septembrie 2020, DGPN a respins această cerere pentru motivul că o condamnare prin hotărâre definitivă, inclusiv în caz de reabilitare, nu face parte dintre motivele de radiere a înregistrării polițienești, enumerate în mod exhaustiv la articolul 68 alineatul (6) din Legea privind Ministerul de Interne.

24

Prin decizia din 2 februarie 2021, Administrativen sad Sofia grad (Tribunalul Administrativ al Orașului Sofia, Bulgaria) a respins acțiunea introdusă de NG împotriva acestei decizii a DGPN pentru motive în esență analoge celor reținute de acesta din urmă.

25

NG a formulat recurs în fața instanței de trimitere, Varhoven administrativen sad (Curtea Administrativă Supremă, Bulgaria). Motivul principal de recurs este întemeiat pe încălcarea principiului, care s‑ar deduce din articolele 5, 13 și 14 din Directiva 2016/680, potrivit căruia prelucrarea datelor cu caracter personal care rezultă din stocarea acestora nu poate avea o durată nelimitată. Or, în opinia lui NG, în esență aceasta ar fi practic situația atunci când, în lipsa unui motiv de radiere a înregistrării polițienești aplicabil în ipoteza unei reabilitări, persoana vizată nu poate obține niciodată ștergerea datelor cu caracter personal colectate în legătură cu infracțiunea pentru care a fost condamnată definitiv, după ce și‑a executat pedeapsa și a beneficiat de o asemenea reabilitare.

26

În această privință, în primul rând, instanța de trimitere arată că înregistrarea polițienească este o prelucrare a datelor cu caracter personal efectuată în scopurile prevăzute la articolul 1 alineatul (1) din Directiva 2016/680 și intră, așadar, în domeniul de aplicare al acesteia.

27

În al doilea rând, ea arată că reabilitarea nu face parte dintre motivele de radiere a înregistrării polițienești enumerate în mod exhaustiv la articolul 68 alineatul (6) din Legea privind Ministerul de Interne și că niciunul dintre aceste motive nu se poate aplica în această situație, astfel încât este imposibil ca persoana în cauză să obțină radierea înregistrării sale polițienești într‑o asemenea ipoteză.

28

În al treilea rând, instanța de trimitere arată că considerentul (26) al Directivei 2016/680 se referă la garanții pentru ca datele colectate să nu fie excesive și nici stocate mai mult timp decât este necesar pentru îndeplinirea scopului în care sunt prelucrate și enunță că operatorul trebuie să stabilească termene în vederea ștergerii lor sau a unei revizuiri periodice. În plus, ea deduce din considerentul (34) al acestei directive că prelucrarea în scopurile prevăzute la articolul 1 alineatul (1) din aceasta ar trebui să includă operațiuni de restricționare, de ștergere sau de distrugere a acestor date. În opinia sa, aceste principii se reflectă la articolul 5, precum și la articolul 13 alineatele (2) și (3) din directiva menționată.

29

În această privință, instanța de trimitere are îndoieli cu privire la aspectul dacă obiectivele enunțate la punctul anterior se opun unei legislații naționale care conduce, pentru autoritățile competente, la un „drept cvasinelimitat” la prelucrarea datelor pentru scopurile enunțate la articolul 1 alineatul (1) din Directiva 2016/680 și, pentru persoana vizată, la pierderea dreptului său la restricționarea prelucrării sau la ștergerea datelor sale.

30

În aceste condiții, Varhoven administrativen sad (Curtea Administrativă Supremă) a hotărât să suspende judecarea cauzei și să adreseze Curții următoarea întrebare preliminară:

„Interpretarea articolului 5 coroborat cu articolul 13 alineatul (2) litera (b) și alineatul (3) din [Directiva 2016/680] permite măsuri legislative naționale care conduc la un drept practic nelimitat la prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, depistării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor și/sau pierderea dreptului persoanei vizate la restricționarea prelucrării, la ștergerea sau la distrugerea datelor sale?”

31

Potrivit unei jurisprudențe constante, în cadrul procedurii de cooperare între instanțele naționale și Curte instituite la articolul 267 TFUE, este de competența acesteia din urmă să ofere instanței naționale un răspuns util, care să îi permită să soluționeze litigiul cu care este sesizată. Din această perspectivă, Curtea trebuie, dacă este cazul, să reformuleze întrebările care îi sunt adresate. În plus, Curtea poate fi pusă în situația de a lua în considerare norme de drept al Uniunii la care instanța națională nu a făcut referire în enunțul întrebării sale (Hotărârea din 15 iulie 2021, Ministrstvo za obrambo, C‑742/19, EU:C:2021:597, punctul 31 și jurisprudența citată).

32

În speță, întrebarea instanței de trimitere are la origine faptul că, astfel cum reiese din cererea de decizie preliminară și din indicațiile furnizate de guvernul bulgar în ședința în fața Curții, niciunul dintre motivele care justifică ștergerea datelor cu caracter personal care figurează în registrul poliției, enumerate limitativ de Legea privind Ministerul de Interne, nu este aplicabil în situația în discuție în litigiul principal, în care o persoană a fost condamnată definitiv, și aceasta chiar și după reabilitarea sa, astfel încât datele respective sunt stocate în acest registru și pot fi prelucrate de autoritățile care au acces la acesta fără nicio altă limitare de durată decât decesul persoanei menționate.

33

În această privință, mai întâi, din decizia de trimitere, în special din considerațiile rezumate la punctul 27 din prezenta hotărâre, și din termenii întrebării preliminare înseși reiese că instanța de trimitere ridică în special problema compatibilității reglementării naționale în discuție în litigiul principal cu principiul proporționalității. Or, astfel cum subliniază considerentul (104) al Directivei 2016/680, limitările aduse de această directivă dreptului la protecția datelor cu caracter personal, prevăzut la articolul 8 din cartă, precum și dreptului la respectarea vieții private și de familie și la o cale de atac eficientă și la un proces echitabil, protejate de articolele 7 și, respectiv, 47 din această cartă, trebuie interpretate în conformitate cu cerințele articolului 52 alineatul (1) din aceasta, care includ respectarea acestui principiu.

34

În continuare, în enunțul întrebării sale, instanța de trimitere se referă în mod întemeiat la articolul 5 din directiva menționată, referitor la termenele corespunzătoare pentru ștergerea datelor cu caracter personal sau pentru verificarea regulată a necesității stocării acestor date. Întrucât articolul 5 menționat prezintă legături strânse atât cu articolul 4 alineatul (1) literele (c) și (e) din aceeași directivă, cât și cu articolul 16 alineatele (2) și (3) din aceasta, întrebarea preliminară trebuie înțeleasă ca vizând și aceste două dispoziții.

35

De asemenea, întrucât legislația națională în discuție în litigiul principal prevede stocarea printre altele a datelor biometrice și genetice care fac parte din categoriile speciale de date cu caracter personal a căror prelucrare este reglementată în mod specific de articolul 10 din Directiva 2016/680, trebuie să se considere că întrebarea adresată vizează și interpretarea acestei dispoziții.

36

În sfârșit, pertinența unei interpretări a articolului 13 din Directiva 2016/680 nu reiese în mod clar din cererea de decizie preliminară decât în ceea ce privește alineatul (2) litera (b). Desigur, astfel cum arată instanța de trimitere, alineatul (3) al acestuia reflectă de asemenea principiile enunțate în special în considerentul (26) al acestei directive. Cu toate acestea, din dosarul prezentat Curții nu reiese că ar fi de asemenea în discuție în litigiul principal o măsură legislativă care urmărește întârzierea sau limitarea furnizării de informații persoanei vizate, în sensul acestui alineat (3).

37

Având în vedere ceea ce precedă, este necesar să se considere că, prin intermediul întrebării formulate, instanța de trimitere solicită în esență să se stabilească dacă articolul 4 alineatul (1) literele (c) și (e) din Directiva 2016/680 coroborat cu articolele 5 și 10, cu articolul 13 alineatul (2) litera (b), precum și cu articolul 16 alineatele (2) și (3) din aceasta și în lumina articolelor 7 și 8 din cartă trebuie interpretat în sensul că se opune unei legislații naționale care prevede stocarea de către autoritățile polițienești în scopul prevenirii, depistării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor, de date cu caracter personal, printre care date biometrice și genetice, privind persoane care au făcut obiectul unei condamnări penale definitive pentru o infracțiune săvârșită cu intenție pentru care acțiunea penală se pune în mișcare din oficiu, și aceasta până la decesul persoanei în cauză, inclusiv în cazul reabilitării sale, fără a‑i recunoaște, pe de altă parte, dreptul la ștergerea datelor respective sau, după caz, la restricționarea prelucrării lor.

38

Cu titlu introductiv, trebuie arătat că întrebarea adresată privește o prelucrare de date cu caracter personal care răspunde unor scopuri care intră, în conformitate cu articolul 1 alineatul (1) din Directiva 2016/680, în domeniul de aplicare al acestei directive. Cu toate acestea, din articolul 27 din Legea privind Ministerul de Interne, citat în decizia de trimitere, reiese că datele stocate în registrul poliției pot face de asemenea obiectul unor prelucrări în cadrul protecției securității naționale, cărora, potrivit articolului 2 alineatul (3) litera (a) din această directivă, interpretat în lumina considerentului (14) al acesteia, nu li se aplică. Va reveni, așadar, instanței de trimitere sarcina de a se asigura că stocarea datelor reclamantului din litigiul principal nu este susceptibilă să răspundă unor scopuri care țin de protecția securității naționale, înțelegându‑se că articolul 2 alineatul (3) litera (a) vizează o excepție de la aplicarea dreptului Uniunii care trebuie să primească o interpretare strictă [a se vedea prin analogie Hotărârea din 22 iunie 2021, Latvijas Republikas Saeima (Puncte de penalizare), C‑439/19, EU:C:2021:504, punctul 62 și jurisprudența citată].

39

În primul rând, trebuie amintit că drepturile fundamentale la respectarea vieții private și la protecția datelor cu caracter personal, garantate la articolele 7 și 8 din cartă, nu sunt prerogative absolute, ci trebuie să fie luate în considerare în raport cu funcția lor în societate și trebuie evaluate comparativ cu alte drepturi fundamentale. Orice restrângere a exercițiului acestor drepturi fundamentale trebuie, în conformitate cu articolul 52 alineatul (1) din cartă, să fie prevăzută de lege și să respecte substanța acestor drepturi fundamentale, precum și principiul proporționalității. În temeiul acestui din urmă principiu, pot fi impuse limitări numai în cazul în care acestea sunt necesare și numai dacă răspund efectiv obiectivelor de interes general recunoscute de Uniune sau necesității protejării drepturilor și a libertăților celorlalți. Acestea trebuie să fie efectuate în limitele strictului necesar, iar reglementarea care cuprinde limitările trebuie să prevadă norme clare și precise care să guverneze conținutul și aplicarea acestor limitări [a se vedea în acest sens Hotărârea din 22 iunie 2021, Latvijas Republikas Saeima (Puncte de penalizare), C‑439/19, EU:C:2021:504, punctul 105 și jurisprudența citată].

40

Astfel cum subliniază în esență considerentul (26) al Directivei 2016/680, aceste cerințe nu sunt îndeplinite atunci când obiectivul de interes general vizat poate fi atins în mod rezonabil la fel de eficient prin alte mijloace, care să afecteze mai puțin drepturile fundamentale ale persoanelor vizate [a se vedea prin analogie Hotărârea din 22 iunie 2021, Latvijas Republikas Saeima (Puncte de penalizare), C‑439/19, EU:C:2021:504, punctul 110 și jurisprudența citată].

41

În al doilea rând, mai întâi, potrivit articolului 4 alineatul (1) litera (c) din directiva menționată, statele membre trebuie să prevadă că datele cu caracter personal sunt adecvate, relevante și nu sunt excesive în raport cu scopurile în care sunt prelucrate. Această dispoziție impune astfel respectarea de către statele membre a principiului „reducerii la minimum a datelor”, care dă expresie principiului proporționalității [a se vedea în acest sens Hotărârea din 22 iunie 2021, Latvijas Republikas Saeima (Puncte de penalizare), C‑439/19, EU:C:2021:504, punctul 98 și jurisprudența citată].

42

Rezultă că, printre altele, colectarea de date cu caracter personal în cadrul unei proceduri penale și stocarea acestora de către autoritățile polițienești, în scopurile enunțate la articolul 1 alineatul (1) din directiva menționată, trebuie să respecte, ca orice prelucrare care intră în domeniul de aplicare al acesteia, aceste cerințe. O asemenea stocare constituie de altfel o ingerință în drepturile fundamentale la respectarea vieții private și la protecția datelor cu caracter personal, independent de aspectul dacă informațiile stocate prezintă sau nu un caracter sensibil, dacă persoanele interesate au suferit sau nu eventuale inconveniente ca urmare a acestei ingerințe sau dacă datele stocate vor fi sau nu vor fi utilizate ulterior (a se vedea prin analogie Hotărârea din 5 aprilie 2022, Commissioner of An Garda Síochána și alții, C‑140/20, EU:C:2022:258, punctul 44 și jurisprudența citată).

43

În plus, în ceea ce privește, mai precis, caracterul proporțional al perioadei de stocare a datelor menționate, statele membre trebuie, în temeiul articolului 4 alineatul (1) litera (e) din Directiva 2016/680, să prevadă că aceste date vor fi stocate într‑o formă care permite identificarea persoanelor vizate pe o perioadă care nu depășește perioada necesară îndeplinirii scopurilor pentru care sunt prelucrate.

44

În acest cadru, articolul 5 din această directivă impune statelor membre să prevadă stabilirea unor termene corespunzătoare pentru ștergerea datelor cu caracter personal sau pentru o revizuire periodică a necesității de stocare a unor astfel de date, precum și a normelor procedurale care garantează respectarea acestor termene.

45

Astfel cum se arată în considerentul (26) al Directivei 2016/680, această dispoziție urmărește să garanteze că datele cu caracter personal nu sunt, în conformitate cu cerințele articolului 4 alineatul (1) litera (e) din această directivă, stocate mai mult decât este necesar. Desigur, aceasta lasă statelor membre sarcina de a stabili termene corespunzătoare pentru perioada de stocare și de a decide dacă aceste termene privesc ștergerea datelor menționate sau revizuirea periodică a necesității de a le conserva, sub rezerva ca respectarea acestor termene să fie garantată de norme procedurale adecvate. Cu toate acestea, caracterul „corespunzător” al acestor termene impune în orice caz ca, în conformitate cu articolul 4 alineatul (1) literele (c) și (e) din directiva menționată, interpretat în lumina articolul 52 alineatul (1) din cartă, termenele respective să permită, dacă este cazul, ștergerea datelor în cauză în ipoteza în care stocarea lor nu mai este necesară în raport cu finalitățile care au justificat prelucrarea.

46

În special pentru a permite persoanelor vizate să verifice acest caracter „corespunzător” și, dacă este cazul, să solicite o astfel de ștergere, articolul 13 alineatul (2) litera (b) și articolul 14 litera (d) din Directiva 2016/680 prevăd că în principiu aceste persoane pot fi informate, atunci când este posibil, referitor la perioada de stocare a datelor cu caracter personal care le privesc sau, în cazul în care acest lucru nu este posibil, referitor la criteriile utilizate pentru a stabili această perioadă.

47

În continuare, articolul 10 din Directiva 2016/680 constituie o dispoziție specifică care reglementează prelucrarea unor categorii speciale de date cu caracter personal, printre care datele biometrice și genetice. Această dispoziție urmărește să asigure o protecție sporită a persoanei vizate, în măsura în care, din cauza sensibilității lor deosebite și a contextului în care sunt prelucrate, datele în cauză pot genera, astfel cum reiese din considerentul (37) al directivei menționate, riscuri semnificative pentru libertățile și drepturile fundamentale, precum dreptul la respectarea vieții private și dreptul la protecția datelor cu caracter personal, garantate de articolele 7 și 8 din cartă [Hotărârea din 26 ianuarie 2023, Ministerstvo na vatreshnite raboti (Înregistrarea datelor biometrice și genetice de către poliție), C‑205/21, EU:C:2023:49, punctul 116 și jurisprudența citată].

48

Mai precis, acest articol 10 enunță cerința potrivit căreia prelucrarea datelor sensibile este autorizată „numai atunci când este strict necesară”, care constituie o condiție consolidată de legalitate a prelucrării unor astfel de date și implică printre altele un control deosebit de strict al respectării principiului „reducerii la minimum a datelor”, astfel cum decurge din articolul 4 alineatul (1) litera (c) din Directiva 2016/680, a cărui aplicare specifică la datele sensibile menționate o constituie această cerință [a se vedea în acest sens Hotărârea din 26 ianuarie 2023, Ministerstvo na vatreshnite raboti (Înregistrarea datelor biometrice și genetice de către poliție), C‑205/21, EU:C:2023:49, punctele 117, 122 și 125].

49

În sfârșit, articolul 16 alineatul (2) din Directiva 2016/680 instituie un drept la ștergerea datelor cu caracter personal atunci când prelucrarea constituie o încălcare a dispozițiilor adoptate în temeiul articolului 4, 8 sau 10 din această directivă sau atunci când aceste date trebuie șterse pentru respectarea unei obligații legale care îi revine operatorului.

50

Din acest articol 16 alineatul (2) rezultă că acest drept la ștergerea datelor poate fi exercitat printre altele atunci când stocarea datelor cu caracter personal nu are sau nu mai are un caracter necesar având în vedere scopurile prelucrării lor, cu încălcarea dispozițiilor de drept național care pun în aplicare articolul 4 alineatul (1) literele (c) și (e) din directiva menționată, precum și, dacă este cazul, articolul 10 din aceasta, sau atunci când această ștergere este necesară pentru respectarea termenului stabilit în acest scop de dreptul național în temeiul articolului 5 din aceeași directivă.

51

Cu toate acestea, în temeiul articolului 16 alineatul (3) din Directiva 2016/680, dreptul național trebuie să prevadă că operatorul restricționează prelucrarea acestor date în loc să le șteargă în cazul în care, în conformitate cu litera (a) a acestei dispoziții, persoana vizată contestă exactitatea datelor cu caracter personal și nu se poate stabili dacă aceste date sunt exacte sau inexacte sau în cazul în care, în conformitate cu litera (b), datele cu caracter personal trebuie păstrate ca mijloace de probă.

52

Rezultă din ceea ce precedă că dispozițiile Directivei 2016/680 examinate la punctele 41-51 din prezenta hotărâre stabilesc un cadru general care permite să se garanteze printre altele că stocarea datelor cu caracter personal și în special durata acesteia sunt limitate la ceea ce se dovedește necesar în raport cu finalitățile pentru care sunt stocate datele respective, lăsând în același timp statelor membre sarcina de a stabili, cu respectarea acestui cadru, situațiile concrete în care protecția drepturilor fundamentale ale persoanei vizate impune ștergerea acestor date și momentul la care aceasta trebuie să intervină. În schimb, astfel cum a arătat domnul avocat general în esență la punctul 28 din concluziile sale, aceste dispoziții nu impun ca statele membre să definească limite temporale absolute pentru stocarea datelor cu caracter personal, dincolo de care acestea ar trebui șterse automat.

53

În speță, din dosarul de care dispune Curtea reiese că datele cu caracter personal care figurează în registrul poliției în temeiul articolului 68 din Legea privind Ministerul de Interne sunt stocate numai în scopuri de investigare și, mai precis, pentru a fi comparate cu alte date colectate cu ocazia anchetelor referitoare la alte infracțiuni.

54

În această privință, în primul rând, trebuie subliniat că stocarea într‑un registru al poliției a unor date referitoare la persoane care au făcut obiectul unei condamnări penale definitive se poate dovedi necesară în scopurile indicate la punctul anterior, chiar și după ce această condamnare a fost ștearsă din cazierul judiciar și, în consecință, după ce efectele pe care legislația națională le atribuie acestei condamnări sunt abrogate. Astfel, aceste persoane pot fi implicate în cadrul altor infracțiuni decât cele pentru care au fost condamnate sau, dimpotrivă, pot fi disculpate prin intermediul comparării datelor stocate de aceste autorități cu cele colectate în cadrul procedurilor referitoare la aceste alte infracțiuni.

55

Astfel, o asemenea stocare poate contribui la obiectivul enunțat în considerentul (27) al Directivei 2016/680, potrivit căruia, pentru prevenirea, investigarea, precum și urmărirea penală a infracțiunilor, autoritățile competente trebuie să prelucreze date cu caracter personal colectate în contextul prevenirii, depistării, investigării sau urmăririi penale a anumitor infracțiuni dincolo de acest context pentru a înțelege mai bine activitățile infracționale și pentru a face legături între diferitele infracțiuni detectate [a se vedea în acest sens Hotărârea din 26 ianuarie 2023, Ministerstvo na vatreshnite raboti (Înregistrarea datelor biometrice și genetice de către poliție), C‑205/21, EU:C:2023:49, punctul 98].

56

În al doilea rând, din dosarul de care dispune Curtea reiese că în registrul poliției sunt stocate datele referitoare la persoana vizată prevăzute de legislația bulgară în materie de documente de identitate, prelevarea amprentelor sale digitale, fotografia sa, precum și o prelevare în scopul realizării profilului ADN, la care, astfel cum a confirmat guvernul bulgar în ședință, se adaugă datele referitoare la infracțiunile săvârșite de persoana vizată și la condamnările sale în acest temei. Or, aceste diferite categorii de date se pot dovedi indispensabile pentru a verifica dacă persoana vizată este implicată în cadrul altor infracțiuni decât cele pentru care a fost condamnată definitiv. În consecință, acestea pot fi considerate, în principiu, adecvate și relevante în raport cu scopurile în care sunt prelucrate, în sensul articolului 4 alineatul (1) litera (c) din Directiva 2016/680.

57

În al treilea rând, proporționalitatea unei asemenea stocări în raport cu scopurile sale trebuie apreciată ținând seama și de măsurile tehnice și organizatorice adecvate prevăzute de dreptul național, care sunt destinate să garanteze confidențialitatea și securitatea datelor stocate față de prelucrări contrare cerințelor Directivei 2016/680, conform articolelor 20 și 29 din această directivă, în special măsurile prevăzute la articolul 20 alineatul (2) din aceasta, care garantează că sunt prelucrate numai datele cu caracter personal care sunt necesare în raport cu fiecare scop specific al prelucrării.

58

În al patrulea rând, în ceea ce privește durata de stocare a datelor cu caracter personal în discuție în litigiul principal, reiese în speță din cererea de decizie preliminară că numai în ipoteza unei condamnări definitive a persoanei în cauză pentru o infracțiune săvârșită cu intenție pentru care acțiunea penală se pune în mișcare din oficiu stocarea datelor respective este menținută până la decesul acestei persoane, legislația națională prevăzând radierea înscrierilor persoanelor urmărite pentru o astfel de infracțiune în celelalte cazuri.

59

În această privință, trebuie să se constate însă că noțiunea „infracțiune săvârșită cu intenție pentru care acțiunea penală se pune în mișcare din oficiu” are un caracter deosebit de general și este susceptibilă să se aplice unui număr mare de infracțiuni, indiferent de natura și de gravitatea lor [a se vedea în acest sens Hotărârea din 26 ianuarie 2023, Ministerstvo na vatreshnite raboti (Înregistrarea datelor biometrice și genetice de către poliție), C‑205/21, EU:C:2023:49, punctul 129].

60

Or, astfel cum a arătat în esență și domnul avocat general la punctele 73 și 74 din concluziile sale, nu toate persoanele condamnate definitiv pentru o infracțiune care se încadrează în această noțiune prezintă același grad de risc de a fi implicate în alte infracțiuni, justificând o perioadă uniformă de stocare a datelor care le privesc. Astfel, în anumite cazuri, având în vedere factori precum natura și gravitatea infracțiunii săvârșite sau lipsa recidivei, riscul reprezentat de persoana condamnată nu va justifica în mod necesar menținerea până la decesul său a datelor care o privesc în registrul național al poliției prevăzut în acest scop. În astfel de cazuri, nu va mai exista o legătură necesară între datele stocate și obiectivul urmărit [a se vedea prin analogie Avizul 1/15 (Acordul PNR UE‑Canada) din 26 iulie 2017, EU:C:2017:592, punctul 205]. Prin urmare, stocarea lor nu va fi conformă cu principiul reducerii la minimum a datelor, enunțat la articolul 4 alineatul (1) litera (c) din Directiva 2016/680, și va depăși perioada necesară îndeplinirii scopurilor pentru care sunt prelucrate, contrar articolului 4 alineatul (1) litera (e) din această directivă.

61

Trebuie precizat în această privință că, desigur, astfel cum a subliniat în esență domnul avocat general la punctul 70 din concluziile sale, reabilitarea unei astfel de persoane, care determină ștergerea condamnării sale din cazierul său judiciar, precum cea care a intervenit în litigiul principal, nu poate priva prin ea însăși de necesitate stocarea datelor sale în registrul poliției, această stocare răspunzând unor finalități diferite de înregistrarea antecedentelor sale penale în cazierul judiciar menționat. Cu toate acestea, atunci când, precum în speță, în temeiul dispozițiilor aplicabile ale dreptului penal național, o asemenea reabilitare este condiționată de nesăvârșirea, o anumită perioadă după ce pedeapsa a fost executată, a unei noi infracțiuni intenționate pentru care acțiunea penală se pune în mișcare din oficiu, ea poate constitui indiciul unui risc mai puțin important reprezentat de persoana în cauză în raport cu obiectivele de combatere a criminalității sau de menținere a ordinii publice și, prin urmare, un element de natură să reducă durata necesară unei asemenea stocări.

62

În al cincilea rând, principiul proporționalității, enunțat la articolul 52 alineatul (1) din cartă, implică printre altele o ponderare a importanței obiectivului urmărit și a gravității limitării aduse exercițiului drepturilor fundamentale în cauză (a se vedea în acest sens Hotărârea din 22 noiembrie 2022, Luxembourg Business Registers, C‑37/20 și C‑601/20, EU:C:2022:912, punctul 66).

63

În speță, astfel cum s‑a amintit la punctul 35 din prezenta hotărâre, stocarea datelor cu caracter personal în registrul poliției în cauză include date biometrice și genetice. Prin urmare, trebuie subliniat că, având în vedere riscurile importante pe care le reprezintă prelucrarea unor astfel de date sensibile pentru drepturile și libertățile persoanelor vizate, în special în contextul atribuțiilor autorităților competente în scopurile prevăzute la articolul 1 alineatul (1) din Directiva 2016/680, importanța deosebită a obiectivului urmărit trebuie apreciată în funcție de un ansamblu de elemente pertinente. Țin de asemenea elemente de apreciere în special faptul că prelucrarea servește unui obiectiv concret în legătură cu prevenirea infracțiunilor sau a amenințărilor împotriva siguranței publice care prezintă un anumit grad de gravitate, pedepsirea unor astfel de infracțiuni sau protecția împotriva unor astfel de amenințări, precum și împrejurările specifice în care este efectuată această prelucrare [Hotărârea din 26 ianuarie 2023, Ministerstvo na vatreshnite raboti (Înregistrarea datelor biometrice și genetice de către poliție), C‑205/21, EU:C:2023:49, punctul 127].

64

În acest context, Curtea a considerat că o legislație națională care prevede colectarea sistematică a datelor biometrice și genetice ale oricărei persoane acuzate de săvârșirea cu intenție a unei infracțiuni pentru care acțiunea penală se pune în mișcare din oficiu este, în principiu, contrară cerinței de a fi strict necesară, prevăzută la articolul 10 din Directiva 2016/680 și amintită la punctul 48 din prezenta hotărâre. Astfel, o asemenea legislație poate conduce, în mod nediferențiat și generalizat, la colectarea datelor biometrice și genetice ale majorității persoanelor inculpate [a se vedea în acest sens Hotărârea din 26 ianuarie 2023, Ministerstvo na vatreshnite raboti (Înregistrarea datelor biometrice și genetice de către poliție), C‑205/21, EU:C:2023:49, punctele 128 și 129].

65

Curtea Europeană a Drepturilor Omului a statuat la rândul său că caracterul general și nediferențiat al competenței de stocare a amprentelor digitale, a eșantioanelor biologice și a profilurilor ADN ale persoanelor bănuite că au săvârșit infracțiuni, dar necondamnate, astfel cum este prevăzut de reglementarea națională în discuție în cauza cu care a fost sesizată această instanță, nu exprima un just echilibru între interesele publice și cele private concurente în discuție și că, prin urmare, stocarea acestor date se analiza ca o atingere disproporționată adusă dreptului reclamanților la respectarea vieții lor private și nu putea fi considerată necesară într‑o societate democratică, o asemenea atingere constituind, așadar, o încălcare a articolului 8 din Convenția europeană pentru apărarea drepturilor omului și a libertăților fundamentale, semnată la Roma la 4 noiembrie 1950 (Curtea EDO, 4 decembrie 2008, S și Marper împotriva Regatului Unit, CE:ECHR:2008:1204JUD003056204, § 125 și 126).

66

Desigur, stocarea datelor biometrice și genetice ale persoanelor care au făcut deja obiectul unei condamnări penale definitive, inclusiv până la decesul acestor persoane, poate prezenta un caracter de necesitate absolută, în sensul articolului 10 din Directiva 2016/680, în special pentru a permite verificarea eventualei lor implicări în alte infracțiuni și, astfel, urmărirea penală și condamnarea autorilor acestor infracțiuni. Astfel, trebuie să se aibă în vedere importanța pe care o prezintă acest tip de date pentru anchetele penale, inclusiv după mulți ani de la săvârșirea faptelor, în special atunci când infracțiunile menționate constituie infracțiuni grave (a se vedea în acest sens Curtea EDO, 13 februarie 2020, Gaughran împotriva Regatului Unit, CE:ECHR:2020:0213JUD004524515, § 93).

67

Cu toate acestea, stocarea datelor biometrice și genetice nu poate fi considerată ca îndeplinind cerința potrivit căreia ea trebuie să fie autorizată numai „atunci când este strict necesară”, în sensul articolului 10 din Directiva 2016/680, decât dacă ia în considerare natura și gravitatea infracțiunii care a condus la condamnarea penală definitivă sau alte împrejurări precum contextul particular în care această infracțiune a fost săvârșită, legătura sa eventuală cu alte proceduri în curs sau antecedentele ori profilul persoanei condamnate. Prin urmare, în ipoteza în care o legislație națională prevede, precum cea în discuție în litigiul principal, că datele biometrice și genetice ale persoanelor vizate înscrise în registrul poliției sunt stocate până la data decesului acestor persoane în cazul unei condamnări penale definitive a acestora, domeniul de aplicare al acestei stocări prezintă, astfel cum s‑a constatat la punctele 59 și 60 de mai sus, un caracter excesiv de extins în raport cu scopurile în care sunt prelucrate aceste date.

68

În al șaselea rând, în ceea ce privește, pe de o parte, obligația impusă statelor membre de a prevedea stabilirea unor termene corespunzătoare, enunțată la articolul 5 din Directiva 2016/680, este necesar să se arate că, pentru motivele expuse la punctele 59, 60 și 67 din prezenta hotărâre și având în vedere cerințele prevăzute la articolul 4 alineatul (1) literele (c) și (e), precum și la articolul 10 din această directivă, un termen nu poate fi considerat „corespunzător”, în sensul aceluiași articol 5, în special în ceea ce privește stocarea datelor biometrice și genetice ale oricărei persoane condamnate definitiv pentru o infracțiune săvârșită cu intenție pentru care acțiunea penală se pune în mișcare din oficiu, decât dacă ia în considerare circumstanțele pertinente de natură să facă necesară o astfel de perioadă de stocare, precum cele menționate la punctul 67 din prezenta hotărâre.

69

În consecință, chiar dacă referirea, în legislația națională, la decesul persoanei în cauză în legislația națională poate constitui un „termen” pentru ștergerea datelor stocate, în sensul articolului 5 menționat, un astfel de termen nu poate fi considerat „corespunzător” decât în circumstanțe particulare care îl justifică în mod adecvat. Or, în mod evident, această situație nu se regăsește atunci când termenul este aplicabil în mod general și nediferențiat oricărei persoane condamnate definitiv.

70

Desigur, astfel cum s‑a arătat la punctul 45 din prezenta hotărâre, articolul 5 din Directiva 2016/680 lasă statelor membre sarcina de a decide dacă trebuie stabilite termene privind ștergerea datelor respective sau revizuirea periodică a necesității de a le stoca. Cu toate acestea, tot potrivit cuprinsului aceluiași punct, caracterul „corespunzător” al termenelor pentru o astfel de revizuire periodică impune ca acestea să permită, în conformitate cu articolul 4 alineatul (1) literele (c) și (e) din această directivă, interpretat în lumina articolului 52 alineatul (1) din cartă, să se ajungă la ștergerea datelor în cauză în situația în care stocarea lor nu mai este necesară. Or, pentru motivele amintite la punctul anterior din prezenta hotărâre, o asemenea cerință nu este îndeplinită atunci când, precum în speță, singurul caz în care legislația națională prevede o astfel de ștergere, în ceea ce privește o persoană condamnată definitiv pentru o infracțiune săvârșită cu intenție pentru care acțiunea penală se pune în mișcare din oficiu, este decesul acesteia.

71

În ceea ce privește, pe de altă parte, garanțiile prevăzute la articolul 16 alineatele (2) și (3) din această directivă, privind condițiile referitoare la drepturile la ștergerea datelor și la restricționarea prelucrării, din cuprinsul punctelor 50 și 51 din prezenta hotărâre rezultă că aceste dispoziții se opun de asemenea unei legislații naționale care nu permite unei persoane condamnate definitiv pentru o infracțiune săvârșită cu intenție pentru care acțiunea penală se pune în mișcare din oficiu să își exercite aceste drepturi.

72

Având în vedere ansamblul considerațiilor care precedă, este necesar să se răspundă la întrebarea adresată că articolul 4 alineatul (1) literele (c) și (e) din Directiva 2016/680 coroborat cu articolele 5 și 10, cu articolul 13 alineatul (2) litera (b), precum și cu articolul 16 alineatele (2) și (3) din aceasta și în lumina articolelor 7 și 8 din cartă trebuie interpretat în sensul că se opune unei legislații naționale care prevede stocarea, de către autoritățile polițienești, în scopul prevenirii, depistării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor, de date cu caracter personal, printre care date biometrice și genetice, privind persoane care au făcut obiectul unei condamnări penale definitive pentru o infracțiune săvârșită cu intenție pentru care acțiunea penală se pune în mișcare din oficiu, și aceasta până la decesul persoanei vizate, inclusiv în cazul reabilitării sale, fără a însărcina operatorul cu obligația de a verifica în mod regulat dacă această stocare este în continuare necesară și fără a recunoaște persoanei respective dreptul la ștergerea acestor date dacă stocarea lor nu mai este necesară în raport cu scopurile în care au fost prelucrate sau, după caz, dreptul la restricționarea prelucrării lor.

73

Întrucât, în privința părților din litigiul principal, procedura are caracterul unui incident survenit la instanța de trimitere, este de competența acesteia să se pronunțe cu privire la cheltuielile de judecată. Cheltuielile efectuate pentru a prezenta observații Curții, altele decât cele ale părților menționate, nu pot face obiectul unei rambursări.

Pentru aceste motive, Curtea (Marea Cameră) declară:

Articolul 4 alineatul (1) literele (c) și (e) din Directiva (UE) 2016/680 a Parlamentului European și a Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, depistării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor și privind libera circulație a acestor date și de abrogare a Deciziei‑cadru 2008/977/JAI a Consiliului coroborat cu articolele 5 și 10, cu articolul 13 alineatul (2) litera (b), precum și cu articolul 16 alineatele (2) și (3) din aceasta și în lumina articolelor 7 și 8 din Carta drepturilor fundamentale a Uniunii Europene,

trebuie interpretat în sensul că

se opune unei legislații naționale care prevede stocarea de către autoritățile polițienești, în scopul prevenirii, depistării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor, de date cu caracter personal, printre care date biometrice și genetice, privind persoane care au făcut obiectul unei condamnări penale definitive pentru o infracțiune săvârșită cu intenție pentru care acțiunea penală se pune în mișcare din oficiu, și aceasta până la decesul persoanei vizate, inclusiv în cazul reabilitării sale, fără a însărcina operatorul cu obligația de a verifica în mod regulat dacă această stocare este în continuare necesară și fără a recunoaște persoanei respective dreptul la ștergerea acestor date dacă stocarea lor nu mai este necesară în raport cu scopurile în care au fost prelucrate sau, după caz, dreptul la restricționarea prelucrării lor.