Domstolens dom (femte avdelningen) den 20 november 2025
I mål C‑57/23, angående en begäran om förhandsavgörande enligt artikel 267 FEUF, framställd av Nejvyšší správní soud (Högsta förvaltningsdomstolen, Tjeckien) genom beslut av den 26 januari 2023, som inkom till EU-domstolen den 2 februari 2023, i målet
DOMSTOLEN (femte avdelningen) sammansatt av avdelningsordföranden M.L. Arastey Sahún, samt domarna J. Passer, E. Regan (referent), D. Gratsias och B. Smulders, generaladvokat: J. Richard de la Tour, justitiesekreterare: handläggaren I. Illéssy,
efter det skriftliga förfarandet och förhandlingen den 28 november 2024,
med beaktande av de yttranden som avgetts av: JH, genom M. Mandzák, L. Nezpěvák och L. Trojan, advokáti, Tjeckiens regering, genom M. Smolek, O. Serdula, J. Vláčil, T. Suchá och L. Březinová, samtliga i egenskap av ombud, Irland, genom M. Browne, Chief State Solicitor, A. Joyce och D. O’Reilly, samtliga i egenskap av ombud, biträdda av A. Mulligan, BL, Nederländernas regering, genom J. Langer, i egenskap av ombud, Polens regering, genom B. Majczyna, i egenskap av ombud, Europeiska kommissionen, genom A. Bouchagiar, H. Kranenborg, P. Němečková och F. Wilman, samtliga i egenskap av ombud,
och efter att den 27 februari 2025 ha hört generaladvokatens förslag till avgörande,
följande
Dom
1. Begäran om förhandsavgörande rör tolkningen av artiklarna 4.1 c och e, 6, 8.2 och 10 i Europaparlamentets och rådets direktiv (EU) 2016/680 av den 27 april 2016 om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut 2008/977/RIF (EUT L 119, 2016, s. 89).
2. Begäran har framställts i ett mål mellan JH och Policejní prezidium (Centrala polisstyrelsen, Tjeckien) (nedan kallad den tjeckiska polisstyrelsen). Målet rör bland annat insamlingen av JH:s biometriska och genetiska uppgifter under en förundersökning om brott och den tjeckiska polisens lagring av dessa uppgifter.
Tillämpliga bestämmelser
Unionsrätt
3. Skälen 1, 2, 26, 33, 37 och 96 i direktiv 2016/680 har följande lydelse:
(”(1) Skyddet för fysiska personer med avseende på behandling av personuppgifter är en grundläggande rättighet. I artikel 8.1 i Europeiska unionens stadga om de grundläggande rättigheterna (nedan kallad stadgan) och artikel 16.1 [FEUF] föreskrivs att var och en har rätt till skydd av de personuppgifter som rör honom eller henne.
(2) Principerna och reglerna för skyddet för fysiska personer med avseende på behandling av deras personuppgifter bör, oavsett deras medborgarskap eller hemvist, respektera deras rättigheter och grundläggande friheter, särskilt deras rätt till skydd av personuppgifter. …
…
(26) Varje behandling av personuppgifter måste vara laglig, korrekt och öppen i förhållande till berörda fysiska personer och endast genomföras för särskilda lagstadgade ändamål. Detta hindrar i sig inte brottsbekämpande myndigheter från att genomföra verksamhet såsom hemliga utredningar eller videoövervakning. Sådan verksamhet kan genomföras i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, inklusive att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten, förutsatt att verksamheten har fastställts i lag och utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle med hänsyn tagen till den fysiska personens berättigade intressen. … Fysiska personer bör göras medvetna om risker, regler, skyddsåtgärder och rättigheter i samband med behandlingen av personuppgifter och om hur de kan utöva sina rättigheter med avseende på behandlingen. De specifika ändamål som personuppgifterna behandlas för bör vara tydliga och legitima och ha bestämts vid den tidpunkt då personuppgifterna samlades in. Personuppgifterna bör vara adekvata och relevanta för de ändamål som de behandlas för. … Personuppgifter bör endast behandlas om syftet med behandlingen inte rimligen kan uppnås genom andra medel. För att säkerställa att uppgifter inte sparas längre än nödvändigt bör den personuppgiftsansvarige införa tidsfrister för radering eller för regelbunden kontroll. Medlemsstaterna bör inrätta lämpliga skyddsåtgärder för personuppgifter som lagras under längre perioder, för arkivändamål av allmänt intresse, för vetenskapliga, statistiska eller historiska ändamål.
…
(33) När det i detta direktiv hänvisas till medlemsstaternas nationella rätt, en rättslig grund eller lagstiftningsåtgärd innebär detta inte nödvändigtvis en lagstiftningsakt antagen av ett parlament, med förbehåll för krav i den berörda medlemsstatens konstitutionella ordning. Medlemsstaternas nationella rätt, den rättsliga grunden eller lagstiftningsåtgärden bör emellertid i dessa fall vara tydlig och precis, och dess tillämpning förutsägbar för dem som omfattas av den i enlighet med rättspraxis från [EU-]domstolen och Europeiska domstolen för de mänskliga rättigheterna [(nedan kallad Europadomstolen)]. Medlemsstaternas nationella rätt som reglerar behandlingen av personuppgifter inom tillämpningsområdet för detta direktiv bör åtminstone specificera målen, vilka personuppgifter som ska behandlas, behandlingens ändamål, förfarandena för att bevara personuppgifternas integritet och konfidentialitet samt förfarandena för förstöring av dem så att tillräckliga garantier mot risken för missbruk och godtycklighet ges.
…
(37) Personuppgifter som till sin natur är särskilt känsliga med hänsyn till grundläggande rättigheter och friheter bör åtnjuta ett särskilt skydd eftersom behandling av sådana uppgifter kan innebära betydande risker för de grundläggande rättigheterna och friheterna. Dessa personuppgifter bör även inbegripa personuppgifter som avslöjar ras eller etniskt ursprung, varvid användningen av termen ras i detta direktiv inte innebär att unionen godtar teorier som söker fastställa förekomsten av skilda människoraser. Dessa personuppgifter bör inte behandlas såvida inte behandlingen omfattas av lämpliga skyddsåtgärder för den registrerades lagstadgade rättigheter och friheter och medges i fall som är tillåtna enligt lag, eller behandlingen, om den ännu inte är tillåten enligt lag, är nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade eller en annan person, eller behandlingen rör uppgifter som på ett tydligt sätt har offentliggjorts av den registrerade. Lämpliga skyddsåtgärder för den registrerades rättigheter och friheter kan till exempel inbegripa möjligheten att samla in dessa uppgifter endast i samband med andra uppgifter om den berörda fysiska personen, möjligheten att säkra de insamlande uppgifterna, striktare regler om tillgång till uppgifterna för den behöriga myndighetens personal på lämpligt sätt, och förbud mot att översända sådana uppgifter. …
…
(96) Medlemsstaterna bör medges en period på högst två år från dagen för ikraftträdandet av detta direktiv för att införliva det. Behandling som redan pågår den dagen bör bringas i överensstämmelse med detta direktiv inom en period av två år från det att detta direktiv träder i kraft. I fall där sådan behandling överensstämmer med unionsrätt som var tillämplig före dagen för ikraftträdandet av detta direktiv bör dock inte kraven i detta direktiv rörande förhandssamråd med tillsynsmyndigheten gälla för behandling som redan pågick vid den tidpunkten, eftersom dessa krav, p.g.a. sin natur, är sådana att de ska uppfyllas före själva behandlingen. …
…”
4. I artikel 1 (”Syfte och mål [Föremål och syften]”) i direktiv 2016/680 föreskrivs följande i punkt 1:
”I detta direktiv fastställs bestämmelser om skydd för fysiska personer med avseende på behandling av personuppgifter som utförs av behöriga myndigheter i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, inklusive att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten.”
5. I artikel 2 (”Tillämpningsområde”) i direktiv 2016/680 föreskrivs följande i punkt 1:
”Detta direktiv ska tillämpas på behandling av personuppgifter som utförs av behöriga myndigheter för de ändamål som anges i artikel 1.1.”
6. I artikel 3 (”Definitioner”) i direktiv 2016/680 föreskrivs följande:
”I detta direktiv avses med
1. personuppgifter: varje upplysning som avser en identifierad eller identifierbar enskild person (nedan kallad en registrerad), varvid en identifierbar fysisk person är en person som direkt eller indirekt kan identifieras, särskilt med hänvisning till en identifierare som ett namn, ett identifikationsnummer, en lokaliseringsuppgift eller onlineidentifikatorer, eller till en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet,
2. behandling: en åtgärd eller kombination av åtgärder beträffande personuppgifter eller uppsättningar av personuppgifter, oberoende av om de utförs automatiserat eller ej, såsom insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utlämning genom överföring, spridning eller tillhandahållande på annat sätt, justering eller sammanförande, begränsning, radering eller förstöring,
…
12. genetiska uppgifter: alla personuppgifter som rör nedärvda eller förvärvade genetiska kännetecken för en fysisk person, vilka ger unik information om denna fysiska persons fysiologi eller hälsa och vilka framför allt härrör från en analys av ett biologiskt prov från den fysiska personen i fråga,
13. biometriska uppgifter: personuppgifter som erhållits genom en särskild teknisk behandling som rör en fysisk persons fysiska, fysiologiska eller beteendemässiga kännetecken och som möjliggör eller bekräftar unik identifiering av denna fysiska person, såsom ansiktsbilder eller fingeravtrycksuppgifter,
…”
7. I artikel 4 (”Principer för behandling av personuppgifter”) i direktiv 2016/680 föreskrivs följande i punkt 1:
”Medlemsstaterna ska föreskriva att personuppgifter ska
a) behandlas på ett lagligt och korrekt sätt,
b) samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte behandlas på ett sätt som står i strid med dessa ändamål,
c) vara adekvata, relevanta och inte för omfattande i förhållande till de syften för vilka de behandlas,
d) vara riktiga och, om nödvändigt, uppdaterade; alla rimliga åtgärder måste vidtas för att säkerställa att personuppgifter som är felaktiga i förhållande till de ändamål för vilka de behandlas raderas eller rättas utan dröjsmål,
e) inte förvaras i en form som möjliggör identifiering av den registrerade under en längre tid än vad som är nödvändigt för de ändamål för vilka de behandlas,
…”
8. Artikel 5 (”Tidsgränser för lagring och översyn”) i direktiv 2016/680 har följande lydelse:
”Medlemsstaterna ska föreskriva att lämpliga tidsgränser fastställs för radering av personuppgifter eller för periodisk översyn av behovet av att lagra personuppgifter. Procedurrelaterade åtgärder ska säkerställa att tidsgränserna efterlevs.”
9. I artikel 6 (”Åtskillnad mellan olika kategorier av registrerade”) i direktiv 2016/680 föreskrivs följande:
”Medlemsstaterna ska föreskriva att den personuppgiftsansvarige, i tillämpliga fall och så långt det är möjligt, ska göra en klar åtskillnad mellan personuppgifter som rör olika kategorier av registrerade, såsom
a) personer avseende vilka det finns tungt vägande skäl att anta att de har begått eller är på väg att begå ett brott,
b) personer som dömts för brott,
c) brottsoffer eller personer avseende vilka det finns vissa omständigheter som ger anledning att anta att de kan vara brottsoffer, och
d) andra som berörs av ett brott, såsom personer som kan komma att kallas att vittna i samband med brottsutredningar eller senare straffrättsliga förfaranden, personer som kan ge information om brott eller personer med kontakter med eller band till någon av de personer som avses i a och b.”
10. I artikel 8 (”Laglig behandling av personuppgifter”) i direktiv 2016/680 föreskrivs följande:
”1. Medlemsstaterna ska föreskriva att behandling ska vara laglig endast om och i den mån behandlingen är nödvändig för att utföra en uppgift som utförs av en behörig myndighet för de ändamål som anges i artikel 1.1 och som sker på grundval av unionsrätt eller medlemsstaternas nationella rätt.
2. Medlemsstaternas nationella rätt som reglerar behandling inom tillämpningsområdet för detta direktiv ska åtminstone specificera syftet med behandlingen, vilka personuppgifter som ska behandlas och behandlingens ändamål.”
11. I artikel 10 (”Behandling av särskilda kategorier av personuppgifter”) i direktiv 2016/680 föreskrivs följande:
”Behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening, samt behandling av genetiska uppgifter, biometriska uppgifter för att unikt identifiera en fysisk person eller uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning ska vara tillåten endast om det är absolut nödvändigt och under förutsättning att det finns lämpliga skyddsåtgärder för den registrerades rättigheter och friheter och endast
a) om behandlingen är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt,
b) för att skydda intressen som är av grundläggande betydelse för den registrerade eller en annan fysisk person, eller
c) om behandlingen rör uppgifter som på ett tydligt sätt har offentliggjorts av den registrerade.”
12. Enligt artikel 63.1 i direktiv 2016/680 skulle medlemsstaterna senast den 6 maj 2018 anta och offentliggöra de lagar och andra författningar som är nödvändiga för att följa detta direktiv. Av bestämmelsen framgår även att medlemsstaterna från och med samma datum är skyldiga att tillämpa de bestämmelser som antagits för att införliva direktivet.
13. Direktiv 2016/680 trädde i kraft den 5 maj 2016, i enlighet med vad som anges i artikel 64 i direktivet.
Tjeckisk rätt
14. I 11 § (”Proportionalitet i polisens agerande”) i zákon č. 273/2008 Sb., o Policii České republiky (lag nr 273/2008 om Republiken Tjeckiens polisväsende), i den lydelse som är tillämplig i det nationella målet (nedan kallad polislagen), föreskrivs följande:
”Polismän och andra anställda vid polismyndigheten ska
…
c) agera så att en eventuell fri- och rättighetsinskränkning för personer som är föremål för en av polisen beslutad åtgärd, eller för utomstående personer, inte går utöver vad som är nödvändigt med hänsyn till ändamålet med åtgärden.”
15. I 65 § i polislagen föreskrivs följande:
”1). Vid utförandet av sina uppgifter får polisen, i syfte att i framtiden identifiera
a) personer som är föremål för förundersökning rörande ett uppsåtligt brott eller har delgivits misstanke om ett sådant brott,
b) personer som avtjänar ett fängelsestraff för ett uppsåtligt brott,
c) personer som genomgår tvångsvård eller hålls i säkerhetsförvar, eller
d) påträffade efterlysta personer med begränsad rättskapacitet,
ta fingeravtryck, identifiera fysiska kännetecken, utföra kroppsmätningar, göra bild- och ljudupptagningar eller liknande samt ta prover för dna-analys.
2). Om en sådan åtgärd som föreskrivs i punkt 1 inte kan vidtas på grund av att den berörda personen motsätter sig detta, och den utredande polismannen utan framgång har bett personen att underkasta sig åtgärden, får polismannen besluta att åtgärden ska vidtas trots att personen invänder mot detta. Ett sådant beslut ska stå i proportion till invändningens intensitet. Polismannen får inte bortse från en persons invändning när det gäller ett blodprov eller annan liknande åtgärd som utgör ett ingrepp i den personliga integriteten.
3). Om en upptagning av det slag som avses i punkt 1 inte kan utföras på plats, har polismannen rätt att omhänderta och föra den berörda personen till polisstationen för att upptagningen ska kunna utföras. Polisen ska försätta personen på fri fot så snart upptagningen har utförts.
4). Polismannen ska upprätta en rapport om de upptagningar som utförts.
5). Polisen ska radera personuppgifter som insamlats med stöd av punkt 1 så snart behandlingen av dessa uppgifter inte längre är nödvändig för att förebygga, utreda, avslöja eller lagföra brott eller för att upprätthålla Republiken Tjeckiens yttre och inre säkerhet samt allmän ordning.”
16. I 79 § (”Grundläggande bestämmelser om behandling av personuppgifter vid utförandet av vissa polisuppgifter”) i polislagen föreskrivs följande:
”1). Punkterna 2–6 [i denna bestämmelse] och 79a–88 §§ ska tillämpas på behandling av personuppgifter för att förebygga, utreda, avslöja och lagföra brott, för att upprätthålla Republiken Tjeckiens yttre och inre säkerhet samt allmän ordning, inbegripet för att eftersöka personer och/eller föremål.
2). Polisen får behandla personuppgifter om detta är nödvändigt för att uppnå de mål som anges i punkt 1. Polisen får även behandla personuppgifter för att skydda intressen som är av grundläggande betydelse för en registrerad och som är knutna till de mål som anges i punkt 1.
…”
17. 82 § (”Kontroll av behovet av fortsatt behandling av personuppgifter”) i nämnda lag har följande lydelse:
”1). Polisen ska minst en gång vart tredje år göra en översyn och kontrollera att personuppgifter som har behandlats för de ändamål som anges i 79 § punkt 1 fortfarande är nödvändiga för att polisen ska kunna utföra sina uppgifter inom detta område.
2). Polisen har vid en översyn enligt punkt 1 rätt att begära utdrag ur belastningsregistret.
3). Brottsbekämpande myndigheter och domstolar, Ministerstvo spravedlnosti [(justitieministeriet, Tjeckien)], Ústavní soud [(Författningsdomstolen, Tjeckien)], och Kancelář prezidenta republiky [(presidentens kabinett, Tjeckien)] omfattas av en informationsplikt – inom gränserna för sina respektive befogenheter – till polisen för att denna ska kunna utföra en översyn enligt punkt 1. Informationsplikten omfattar lagakraftvunna domstolsavgöranden, beslut om åtalspreskription, beslut om straffverkställighet eller beslut som Republikens president fattar angående enskilda brottmål och utdömda påföljder eller angående beviljande av amnesti eller nåd.”
Målet vid den nationella domstolen och tolkningsfrågorna
18. Genom beslut av den 11 december 2015 inledde den tjeckiska polisen en förundersökning mot JH avseende trolöshet mot huvudman. Förundersökningen leddes av den tjeckiska polisens nationella specialenhet mot korruption och ekonomisk brottslighet som är placerad i Plzeň (Tjeckien).
19. Den 13 januari 2016 hördes JH av polisen inom ramen för förundersökningen. I samband med detta beslutade polisen även att biometriska underlag skulle tas från JH, trots att han motsatte sig detta. Vid upptagningen fick JH lämna fingeravtryck och ett salivprov för dna-analys. Polisen tog även fotografier av honom och upprättade en beskrivning av hans signalement. Dessa uppgifter registrerades sedan i polisens biometridatabas.
20. JH åtalades sedermera vid Městský soud v Praze (Stadsdomstolen i Prag, Tjeckien) för medverkan till trolöshet mot huvudman och missbruk av offentlig ställning. Nämnda domstol biföll åtalet genom dom av den 15 mars 2017. Påföljden bestämdes till ett villkorligt fängelsestraff på tre år, vilket förenades med ett förbud mot att under fyra års tid utöva ledande befattningar inom offentlig förvaltning som omfattade förvaltning av fast och lös egendom. JH ålades även att, efter förmåga, ersätta den skada som brotten hade orsakat.
21. Den 8 mars 2016 väckte JH talan vid Městský soud v Praze (Stadsdomstolen i Prag) och yrkade att den skulle fastställa att polisens beslut att med stöd av 65 § i polislagen ta biometriska underlag från honom och lagra dessa samt att registrera dem i polisens biometridatabas utgjorde ett rättsstridigt ingrepp i hans grundläggande rätt till respekt för privatlivet.
22. Stadsdomstolen beslutade dock att vilandeförklara målet om JH:s fastställelsetalan, eftersom den redan hade vänt sig till Ústavní soud (Författningsdomstolen, Republiken Tjeckiens) med en fråga om 65 § i polislagen är förenlig med den tjeckiska konstitutionen.
23. Efter att ha prövat frågan om författningsenlighet fann Ústavní soud (Författningsdomstolen) i ett avgörande av den 22 mars 2022 att det saknades skäl att anse att 65 § i polislagen är författningsstridig. Med anledning av detta avgörande återupptog Městský soud v Praze (Stadsdomstolen i Prag) handläggningen av målet om JH:s fastställelsetalan.
24. Stadsdomstolen biföll talan genom dom av den 23 juni 2022 och slog fast att den upptagning av biometriska underlag som hade utförts av den tjeckiska polisen den 13 januari 2016 hade skett i strid med lag. Vidare förelade domstolen den tjeckiska polisen att radera alla personuppgifter avseende nämnda upptagning från sin biometridatabas.
25. I domskälen anförde stadsdomstolen att upptagning av biometriska underlag utgör ett betydande ingrepp i den enskildes grundläggande rätt till respekt för privatlivet, vilken skyddas bland annat i artikel 8 i Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna, som undertecknades i Rom den 4 november 1950 (nedan kallad Europakonventionen), och i artikel 10.3 i Listina základních práv a svobod (Republiken Tjeckiens stadga om de grundläggande fri- och rättigheterna). Enligt nämnda domstol innehåller 65 § i polislagen dock inte tillräckliga anvisningar för bedömningen av huruvida detta ingrepp är proportionerligt. Den enda kontroll som krävs enligt bestämmelsen består nämligen i att polisen, innan en sådan upptagning görs, ska kontrollera huruvida brottsmisstanken avser ett ”uppsåtligt” brott.
26. Domstolen påpekade vidare följande. Den brottslighet som JH åtalats och dömts för är av mindre allvarlig art och påföljden har bestämts till ett villkorligt fängelsestraff, vilket bekräftar att de gärningar som lagts honom till last är av mindre allvarlig art. JH är inte tidigare dömd för brott och det är föga sannolikt att han kommer att återfalla i brott. Det är dessutom inte säkert att den brottslighet som JH dömts för är av sådan art att de personuppgifter om honom som finns registrerade i polisens databas skulle kunna underlätta identifiering vid utredning av framtida brott. Av det nu redovisade drog domstolen slutsatsen att de identifieringsåtgärder som vidtagits av den tjeckiska polisen – det vill säga de som är i fråga i det nu aktuella nationella målet – inte uppfyllde kravet på proportionalitet.
27. Den tjeckiska polisstyrelsen överklagade denna dom till den hänskjutande domstolen, Nejvyšší správní soud (Högsta förvaltningsdomstolen, Tjeckien).
28. Till stöd för sitt överklagande anförde polisstyrelsen att ändamålet med behandlingen av de aktuella personuppgifterna är tydligt formulerat i 65 § i polislagen. Den anförde även att polisen, innan den beslutade om upptagning och lagring av biometriska personuppgifter i JH:s fall, hade gjort en proportionalitetsbedömning, vid vilken den hade beaktat risken för återfall i brott och för att det då skulle kunna röra sig om mer allvarlig brottslighet samt den omständigheten att JH tidigare hade begått flera förseelser.
29. JH gjorde för sin del gällande att polisen hade vidtagit de omtvistade identifieringsåtgärderna utan att först göra en bedömning av huruvida det ingrepp som detta skulle innebära för honom var proportionerligt. JH hävdade även att polisen hade brustit i sin myndighetsutövning genom att inte offentliggöra sina interna riktlinjer om identifieringsåtgärder.
30. I sin begäran om förhandsavgörande har den hänskjutande domstolen angett att den i sin senaste praxis har uttalat att enbart den omständigheten att de formella kraven i 65 § punkt 1 i polislagen är uppfyllda – särskilt kravet på att brottsmisstanken ska avse ett ”uppsåtligt” brott – inte räcker för att upptagning och lagring av personuppgifter av i bestämmelsen angivet slag ska kunna anses vara lagenlig. Polisen har därmed en skyldighet att göra en proportionalitetsbedömning i varje enskilt fall innan den beslutar om upptagning av biometriska underlag. Vid denna bedömning ska hänsyn tas till en rad faktorer, däribland den brottsmisstänktes tidigare brottslighet, hur allvarligt det aktuella brottet är, gärningsmannens personlighet och, vid en begäran om radering i efterhand, den tid som förflutit sedan brottet begicks.
31. Av begäran om förhandsavgörande framgår att tjeckiska domstolar med hänvisning till denna rättspraxis har funnit att identifieringsåtgärder, till exempel i form av upptagning av biometriska underlag, vidtagits i strid med lag, bland annat i fall där brottsmisstanken inte avsåg våldsbrott och den brottsmisstänkte inte tidigare dömts för brott.
32. Det är mot den nu angivna bakgrunden som den hänskjutande domstolen vill få klarhet i huruvida regleringen i 65 § i polislagen är förenlig med direktiv 2016/680.
33. För det första vill den hänskjutande domstolen få klarhet i huruvida de krav som uppställs i detta direktiv utgör hinder för att insamling av biometriska och genetiska uppgifter från brottsmisstänkta sker urskillningslöst i samtliga fall där brottsmisstanken avser ett uppsåtligt brott.
34. Den hänskjutande domstolen har i detta avseende hänvisat till Europadomstolens praxis avseende den grundläggande rätten till respekt för privatlivet, såsom den garanteras i artikel 8 i Europakonventionen, och angett att det av denna praxis framgår att konventionsstaterna är skyldiga att göra åtskillnad mellan brott som föranleder tagande av dna-prov utifrån den samhällsfara som brotten utgör. Konventionsstaterna får enligt nämnda rättspraxis inte likställa gärningsmän som gjort sig skyldiga till allvarlig brottslighet, såsom våldsbrott, från vilka det är befogat att samla in och lagra dna-prov, och gärningsmän som gjort sig skyldiga till mindre allvarlig brottslighet.
35. Vidare har den hänskjutande domstolen tagit upp de krav som följer av proportionalitetsprincipen, däribland särskilt det krav som inom tillämpningsområdet för direktiv 2016/680 kommer till uttryck i form av principen om uppgiftsminimering (artikel 4.1 c) och skyldigheten att göra åtskillnad mellan olika kategorier av registrerade (artikel 6). Enligt den hänskjutande domstolen ger nämnda krav upphov till frågan om det är tillräckligt att på lagstiftningsnivå göra en abstrakt åtskillnad mellan dessa kategorier, bland annat utifrån de aktuella brottens allvarlighetsgrad, eller om det krävs att en proportionalitetsbedömning görs i varje enskilt fall innan ett beslut om upptagning av biometriska underlag fattas.
36. För det andra vill den hänskjutande domstolen få klarhet i huruvida de krav som uppställs i direktiv 2016/680 utgör hinder för att lagring av biometriska och genetiska uppgifter sker utan att det finns uttryckliga bestämmelser som anger hur länge uppgifterna får lagras. Den hänskjutande domstolen har i detta avseende angett att den nu aktuella nationella lagstiftningen inte anger någon yttersta gräns för hur länge identifieringsuppgifter får lagras. Den anser dock att det framgår av Europadomstolens praxis att en sådan yttersta gräns måste anges.
37. För det tredje vill den hänskjutande domstolen få klarhet i huruvida praxis från tjeckiska förvaltningsdomstolar kan anses falla in under begreppet ”medlemsstaternas nationella rätt” i artikel 8 i direktiv 2016/680, som reglerar förutsättningarna för laglig behandling av personuppgifter.
38. Den hänskjutande domstolen har i detta avseende angett att 65 § i polislagen inte reglerar de konkreta förutsättningarna för lagring av tagna prover eller vilken typ av information som kan tas fram ur dessa. Inte heller regleras förutsättningarna för lagring och radering av biometriska och genetiska uppgifter. Detta innebär att nämnda bestämmelse inte i sig kan anses uppfylla kraven i artikel 8.2 jämförd med artikel 10 i direktiv 2016/680.
39. Den hänskjutande domstolen har angett att 65 § i polislagen visserligen kompletteras av genomföranderiktlinjer från den nationella polischefen. Dessa riktlinjer har dock inte ställning som föreskrifter och offentliggörs inte. De kan därför inte anses falla in under begreppet ”medlemsstaternas nationella rätt”, i den mening som avses i artikel 8.2 i direktiv 2016/680.
40. Det som den hänskjutande domstolen vill få klarhet i är således huruvida en medlemsstats nationella rätt kan anses föreskriva tillräckliga materiella och processuella skyddsregler om behandling av känsliga uppgifter, i den mening som avses i artikel 10 i direktivet, såsom biometriska och genetiska uppgifter, om sådana skyddsregler endast framgår av nationell rättspraxis.
41. Mot denna bakgrund beslutade Nejvyšší správní soud (Högsta förvaltningsdomstolen) att vilandeförklara målet och ställa följande tolkningsfrågor till EU-domstolen:
”1) Vilken grad av åtskillnad mellan olika registrerade krävs enligt artikel 4.1 c i direktiv 2016/680 eller enligt artikel 6 jämförd med artikel 10 i direktivet? Är en nationell lagstiftning som tillåter insamling av genetiska uppgifter från alla personer som är föremål för förundersökning eller delgivna misstanke om ett uppsåtligt brott förenlig med principen om uppgiftsminimering och med skyldigheten att göra åtskillnad mellan olika kategorier av registrerade?
2) Är det förenligt med artikel 4.1 e i direktiv 2016/680 att polisen, med hänvisning till det allmänna ändamålet att förebygga, utreda eller avslöja brott, bedömer behovet av fortsatt lagring av en dna-profil på grundval av sina interna föreskrifter, vilket i praktiken ofta innebär att känsliga personuppgifter lagras på obestämd tid utan att det finns någon yttersta gräns för hur länge sådana uppgifter får lagras? Om denna fråga besvaras nekande, enligt vilka kriterier ska i så fall proportionalitetsbedömningen göras när det gäller hur länge personuppgifter som samlats in för detta ändamål får lagras?
3) När det gäller särskilt känsliga personuppgifter som omfattas av artikel 10 i direktiv 2016/680, vilka minimikrav i materiellt eller processuellt hänseende för insamling, lagring och radering av sådana uppgifter måste föreskrivas i en ’generellt gällande bestämmelse’ i en medlemsstats nationella rätt? Kan även nationell rättspraxis anses falla in under begreppet ’medlemsstaternas nationella rätt’, i den mening som avses i artikel 8.2 jämförd med artikel 10 i direktiv 2016/680?”
Prövning av tolkningsfrågorna
Den tredje frågan
42. Den hänskjutande domstolen har ställt den tredje frågan, som ska prövas först, för att få klarhet i huruvida artiklarna 8 och 10 i direktiv 2016/680 ska tolkas på så sätt att i fråga om insamling, lagring och radering av biometriska och genetiska uppgifter, ska det i dessa artiklar använda begreppet ”medlemsstaternas nationella rätt” förstås som att det enbart avser en generellt gällande bestämmelse som anger vilka minimivillkor som uppställs vad gäller insamling, lagring och radering av sådana uppgifter eller om nämnda begrepp även kan anses omfatta praxis från nationella domstolar där dessa villkor preciseras.
43. EU-domstolen gör i denna del följande bedömning. Av artikel 3.2 jämförd med artikel 3.12 och 3.13 i direktiv 2016/680 framgår att insamling, lagring och radering av biometriska och genetiska uppgifter utgör behandling av personuppgifter, i den mening som avses i detta direktiv.
44. I artikel 4 i direktiv 2016/680 anges olika principer för personuppgiftsbehandling i direktivets mening. Av skälen 1 och 2 i direktivet framgår att dessa principer är ett uttryck för hur unionslagstiftaren, inom de gränser som föreskrivs i artikel 52 i stadgan, har avsett att med avseende på sådan personuppgiftsbehandling konkretisera den i artikel 8 i stadgan fastslagna grundläggande rätten för fysiska personer att få sina personuppgifter skyddade, vilken i sin tur är nära knuten till den i artikel 7 i stadgan fastslagna rätten till respekt för privatlivet. Detta med beaktande av att det är fråga om personuppgiftsbehandling för specifika ändamål, nämligen att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda och lagföra brott eller verkställa en påföljd för brott.
45. En av principerna anges i artikel 4.1 a i direktiv 2016/680 och den innebär att personuppgifter ska behandlas på ett lagligt och korrekt sätt.
46. I artikel 8.1 i direktiv 2016/680 preciseras i detta avseende att medlemsstaterna ska föreskriva att personuppgiftsbehandling som omfattas av direktivet är laglig endast om och i den utsträckning den är nödvändig för att behöriga myndigheter ska kunna utföra sådana uppgifter som anges i artikel 1.1 i direktivet och som grundas på unionsrätt eller nationell rätt.
47. Som förutsättning för sådan personuppgiftsbehandling gäller vidare enligt artikel 8.2 i direktivet att den nationella rätten åtminstone ska specificera syftet med behandlingen, vilka personuppgifter som ska behandlas och ändamålet med behandlingen.
48. Artikel 10 i direktiv 2016/680 reglerar behandling av det som brukar kallas känsliga uppgifter. Med detta avses vissa kategorier av personuppgifter, såsom biometriska eller genetiska uppgifter. Syftet med artikeln är att känsliga personuppgifter ska ges ett ökat skydd genom att strängare förutsättningar krävs för laglig behandling av sådana uppgifter (se, för ett liknande resonemang, dom av den 30 januari 2024, Direktor na Glavna direktsia Natsionalna politsia pri MVR – Sofia, C‑118/22, EU:C:2024:97, punkt 48, och dom av den 4 oktober 2024, Bezirkshauptmannschaft Landeck (Försök att bereda sig tillgång till personuppgifter som finns lagrade i en mobiltelefon), C‑548/21, EU:C:2024:830, punkt 107). Såsom framhålls i skäl 37 i direktiv 2016/680 är dessa kategorier av personuppgifter till sin natur särskilt känsliga ur ett fri- och rättighetsperspektiv, eftersom behandlingsåtgärder med sådana uppgifter kan medföra betydande risker för de registrerades fri- och rättigheter.
49. Enligt artikel 10 i direktiv 2016/680 får således behandling av känsliga personuppgifter – det vill säga uppgifter som ingår i någon av de i artikeln uttömmande uppräknade kategorierna – bara ske om den är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt.
50. Av det nu anförda följer att artiklarna 8 och 10 i direktiv 2016/680 syftar till att precisera räckvidden av vissa av principerna i artikel 4 i direktivet, vilka inom det område som regleras av nämnda direktiv konkretiserar bland annat fysiska personers grundläggande rätt till skydd av sina personuppgifter enligt artikel 8 i stadgan.
51. Det i artiklarna 8 och 10 använda begreppet ”medlemsstaternas nationella rätt” ska därmed förstås som att det syftar till att inom det område som regleras av direktivet konkretisera det i artikel 8.2 i stadgan angivna kravet på att det, om en personuppgiftsbehandling inte sker på grundval av den registrerades samtycke, måste finnas en annan legitim och lagenlig grund för behandlingen. Detta krav återspeglar i sin tur endast vad som gäller för att inskränkningar i de grundläggande rättigheter som erkänns i stadgan ska vara tillåtna. Enligt artikel 52 i stadgan ska varje begränsning vara föreskriven i lag. Begreppet ”medlemsstaternas nationella rätt” avser således förutsättningarna för att kunna använda nationell rätt som rättslig grund för behandling av personuppgifter.
52. EU-domstolen vill här påpeka, i likhet med vad generaladvokaten gjort i punkt 82 i sitt förslag till avgörande, att den, med beaktande av Europadomstolens fasta praxis, har slagit fast att ordet lag, som ingår i det i artikel 8.2 i stadgan använda uttrycket lagenlig grund, ska tolkas i materiell – inte formell – bemärkelse (dom av den 16 november 2023, Roos m.fl./parlamentet, C‑458/22 P, ej publicerad, EU:C:2023:871, punkt 61). Ordet lag förekommer även i uttrycket ”med stöd av lag” i artikel 8.2 i Europakonventionen. Av Europadomstolens praxis framgår att innebörden av detta ord, tolkat i nyss nämnd bemärkelse, är den gällande lydelsen av en lag såsom den tolkats av behöriga domstolar (se, för ett liknande resonemang, Europadomstolen, 23 januari 2025, H.W. mot Frankrike, CE: ECHR:2025:0123JUD001380521, § 65).
53. Av EU-domstolens praxis framgår dessutom följande. Kravet på att samtliga begränsningar av i stadgan stadfästa fri- och rättigheter ska vara föreskrivna i lag innebär att det av själva lagstödet för rättighetsingreppet klart ska framgå vilken räckvidd begränsningen av den aktuella rättigheten har. Nämnda krav hindrar dock inte att en rättighetsbegränsning ges en så pass öppen formulering att den kan anpassas till olika fall och till förändrade förhållanden. Vidare kan en domstol som prövar ett mål som rör en viss rättighetsbegränsning i förekommande fall tolkningsvägen precisera vilken konkret räckvidd begränsningen har, mot bakgrund av både hur de regler som utgör lagstöd är formulerade och deras allmänna systematik samt avsedda ändamål (se, analogt, dom av den 21 juni 2022, Ligue des droits humains, C‑817/19, EU:C:2022:491, punkt 114).
54. Det nu sagda innebär att begreppet ”medlemsstaternas nationella rätt”, i den mening som avses i artiklarna 8 och 10 i direktiv 2016/680, jämförda med artikel 8.2 i stadgan, ska förstås på så sätt att det kan avse en bestämmelse som uttryckligen medger personuppgiftsbehandling av det slag som omfattas av direktivet, såsom bestämmelsen tolkats i de nationella domstolarnas praxis.
55. Under alla omständigheter gäller – såsom anförts ovan i punkt 47 – enligt artikel 8.2 i direktiv 2016/680 som förutsättning för personuppgiftsbehandling som omfattas av direktivet att den nationella rätt som reglerar sådan behandling åtminstone ska specificera syftet med behandlingen, vilka personuppgifter som ska behandlas och ändamålet med behandlingen.
56. EU-domstolen finner här att hänvisningen till den nationella ”rätt” som ”reglerar” personuppgiftsbehandling som omfattas av direktivet får anses innebära att syftet med behandlingen, vilka personuppgifter som ska behandlas och ändamålet med behandlingen, åtminstone i princip, ska specificeras i en generellt gällande bestämmelse. Vidare framgår uttryckligen av skäl 33 i direktivet att syftet med artikel 8.2 i direktivet är att den nationella rätten i den medlemsstat som är ansvarig för behandlingen ska vara klar och precis och att dess tillämpning ska vara förutsebar för den enskilde, vilket ligger i linje med EU-domstolens och Europadomstolens praxis.
57. Enligt Europadomstolens praxis måste en bestämmelse som utgör rättslig grund för personuppgiftsbehandling uppfylla vissa krav, vilka i huvudsak kan sammanfattas enligt följande. För det första ska en sådan bestämmelse vara förenlig med överordnade normer. För det andra ska den vara tillgänglig för allmänheten. För det tredje ska den vara tillräckligt förutsebar, vilket innebär att personer som berörs av den måste ges en, beroende på omständigheterna, rimlig möjlighet att anpassa sitt agerande efter den. Bestämmelsen måste således vara tillräckligt tydligt formulerad avseende under vilka omständigheter och förutsättningar myndigheter får vidta de åtgärder som avses (se, för ett liknande resonemang, Europadomstolen, 26 april 1979, Sunday Times mot Förenade Kungariket, CE:ECHR:1979:0426JUD00065387, §§ 25 och 52, Europadomstolen, 1 juli 2008, Liberty m.fl. mot Förenade kungariket, CE:ECHR:2008:0701JUD005824300, §§ 62 och 63, Europadomstolen, 4 december 2008, S. och Marper mot Förenade kungariket, CE:ECHR:2008:1204JUD003056204, § 95).
58. På samma sätt har EU-domstolen slagit fast följande i sin praxis. Det i artikel 52 i stadgan angivna kravet på att samtliga rättighetsbegränsningar ska vara föreskrivna i lag innebär att en lagstiftning som medför ett ingrepp i de grundläggande rättigheter som garanteras av artiklarna 7 och 8 i stadgan måste innehålla klara och precisa bestämmelser som reglerar räckvidden och tillämpningen av de åtgärder som avses. Bestämmelserna ska även fastställa minimikrav, så att de personer vars personuppgifter berörs ges tillräckliga garantier som gör det möjligt att på ett effektivt sätt skydda deras personuppgifter mot risken för missbruk samt mot otillåten åtkomst och användning (se dom av den 8 april 2014, Digital Rights Ireland m.fl., C‑293/12 och C‑594/12, EU:C:2014:238, punkt 54, och dom av den 6 oktober 2015, Schrems, C‑362/14, EU:C:2015:650, punkt 91).
59. Artikel 8.2 i direktiv 2016/680 syftar alltså till att säkerställa att de ovan i punkterna 56 och 57 angivna kraven iakttas. Av detta följer att det redan av den nationella bestämmelse som reglerar sådan personuppgiftsbehandling som omfattas av direktivet måste framgå, med tillräcklig klarhet och precision, vad som är syftet med denna behandling, vilka uppgifter som ska behandlas och ändamålet med behandlingen. Detta är en förutsättning för att den aktuella behandlingen ska kunna anses uppfylla kravet på att vara föreskriven i lag, i den mening som avses i Europadomstolens praxis och artikel 52 i stadgan.
60. Mot bakgrund av det ovan anförda ska den tredje frågan besvaras enligt följande. Artiklarna 8 och 10 i direktiv 2016/680 ska tolkas på så sätt att vid insamling, lagring och radering av biometriska och genetiska uppgifter, ska det i dessa artiklar använda begreppet ”medlemsstaternas nationella rätt” förstås som att det avser en generellt gällande bestämmelse som anger vilka minimikrav som gäller för insamling, lagring och radering av sådana uppgifter, såsom denna bestämmelse tolkas i de nationella domstolarnas praxis, under förutsättning att denna praxis är tillgänglig och tillräckligt förutsebar
Den första frågan
Upptagande till prövning
61. Europeiska kommissionen har i sitt skriftliga yttrande gjort gällande att den första frågan inte kan tas upp till prövning. Den tjeckiska polisens upptagning av biometriska underlag från JH ägde nämligen rum den 13 januari 2016, det vill säga före ikraftträdandedagen för direktiv 2016/680 (den 5 maj 2016), och före utgången av den i artikel 63.1 i direktivet angivna införlivandefristen (den 6 maj 2018).
62. EU-domstolen gör i denna del följande bedömning. En begäran om att besvara en tolkningsfråga från en nationell domstol kan bara avvisas då det är uppenbart att den begärda tolkningen av unionsrätten inte har något samband med de verkliga omständigheterna eller saken i det nationella målet eller då frågeställningen är hypotetisk eller EU-domstolen inte har tillgång till sådana uppgifter om de faktiska eller rättsliga omständigheterna som är nödvändiga för att kunna ge ett användbart svar på de frågor som ställts till den (dom av den 20 mars 2025, Anib m.fl., C‑728/22–C‑730/22, EU:C:2025:200, punkt 48).
63. Vad gäller det nu aktuella fallet kan följande konstateras. Av artikel 64 i direktiv 2016/680 framgår att ikraftträdandedagen för direktivet sattes till den 5 maj 2016, och av artikel 63 framgår att medlemsstaterna senast den 6 maj 2018 skulle anta och offentliggöra de lagar och andra författningar som är nödvändiga för att följa direktivet.
64. Av handlingarna i målet framgår dock att den tjeckiska polisen efter den 6 maj 2018 har fortsatt att lagra de personuppgifter som samlats in rörande JH utifrån upptagningen av biometriska underlag från honom, vilken gjordes den 13 januari 2016. Dessa uppgifter har således även fortsatt att behandlas efter nämnda datum.
65. Med förbehåll för de fall som avses i artikel 4.2 i direktiv 2016/680, gäller enligt artikel 4.1 b i samma direktiv att personuppgifter inte får behandlas om de inte har samlats in för berättigade ändamål.
66. EU-domstolen finner därför, i likhet med vad generaladvokaten har påpekat i punkt 34 i sitt förslag till avgörande, att om personuppgifter av det slag som omfattas av direktiv 2016/680 har samlats in på ett lagligt sätt före direktivets ikraftträdandedag, så blir frågan om sådana uppgifter får lagras efter den dag då direktivet införlivades – eller efter den dag då det senast skulle ha införlivats, det vill säga den 6 maj 2018 – beroende av om insamlingen av de aktuella uppgifterna skulle ha varit i strid med de i direktivet fastslagna principerna om den hade gjorts efter nämnda datum. Om så är fallet är lagringen av uppgifterna otillåten.
67. I förevarande fall kan det således inte anses vara uppenbart att den första frågan helt saknar samband med de verkliga omständigheterna eller saken i det nationella målet eller att den frågeställning som aktualiseras är hypotetisk på grund av att den, såsom kommissionen har hävdat, avser biometriska och genetiska uppgifter som samlats in innan direktiv 2016/680 trädde i kraft.
68. Vidare anser EU-domstolen att den har tillgång till samtliga uppgifter om de faktiska eller rättsliga omständigheterna som den behöver för att kunna ge ett användbart svar på den första frågan och att frågan därmed kan tas upp till prövning.
Prövning i sak
69. Den hänskjutande domstolen har ställt den första frågan för att få klarhet i huruvida artikel 6 eller artikel 4.1 c jämförd med artikel 10 i direktiv 2016/680 ska tolkas på så sätt att de utgör hinder för en nationell lagstiftning som medger att insamling av biometriska och genetiska uppgifter från personer som är föremål för förundersökning eller delgivna misstanke om brott sker urskillningslöst i samtliga fall där förundersökningen eller brottsmisstanken avser ett uppsåtligt brott.
70. EU-domstolen gör i denna del följande bedömning. Enligt artikel 6 i direktiv 2016/680 är medlemsstaterna skyldiga att föreskriva att den personuppgiftsansvarige, ”i tillämpliga fall och så långt det är möjligt”, ska göra en klar åtskillnad mellan personuppgifter som rör olika kategorier av registrerade, såsom de som nämns i leden a–d i denna artikel, det vill säga personer avseende vilka det finns tungt vägande skäl att anta att de har begått eller är på väg att begå ett brott, personer som dömts för brott, brottsoffer eller personer avseende vilka det finns vissa omständigheter som ger anledning att anta att de kan vara brottsoffer, och andra som berörs av brott, exempelvis personer som kan komma att kallas som vittnen i samband med en brottsutredning eller en efterföljande rättegång, personer som kan ge information om brott eller personer med kontakter med eller band till någon av de personer som avses i leden a och b.
71. Enligt denna bestämmelse ska medlemsstaterna alltså se till den personuppgiftsansvarige ”i tillämpliga fall och så långt det är möjligt” särskiljer olika kategorier av personuppgifter, så att det tydligt framgår vilken kategori av registrerade en person tillhör. Detta syftar till att undvika att alla personer, oavsett vilken kategori de tillhör, utan åtskillnad drabbas av samma grad av ingrepp i den grundläggande rätten att få sina personuppgifter skyddade. Kategorierna ska ju fastställas huvudsakligen utifrån den berörda personens ställning i brottmålsprocessen.
72. Såsom framgår av användningen av uttrycket ”i tillämpliga fall och så långt det är möjligt” i artikel 6 i direktiv 2016/680, är den däri angivna skyldigheten för medlemsstaterna att särskilja vissa kategorier av registrerade inte absolut, utan beror bland annat på huruvida det i varje enskilt fall är möjligt att göra en klar åtskillnad mellan dessa kategorier (se dom av den 26 januari 2023, Ministerstvo na vatreshnite raboti (Polisens registrering av biometriska och genetiska uppgifter), C‑205/21, EU:C:2023:49, punkt 84) och på ändamålet med personuppgiftsbehandlingen.
73. I förevarande fall har den tjeckiska regeringen gjort gällande att den hänskjutande domstolens hänvisning till kategorin misstänkta personer ska förstås som att den avser personer som i samband med ett påskyndat preliminärt förfarande har delgivits misstanke om brott. För detta krävs enligt den nu aktuella nationella lagstiftningen att det finns tillräckligt konkreta omständigheter som pekar mot att den misstänkte har begått brottet. Samma misstankegrad krävs, enligt den tjeckiska regeringen, för att en förundersökning ska kunna inledas mot en person.
74. Om det förhåller sig så som den tjeckiska regeringen påstår, vilket det ankommer på den hänskjutande domstolen att kontrollera, skulle båda dessa kategorier av personer kunna anses omfattas av den kategori som avses i artikel 6 a i direktiv 2016/680 med avseende på en viss personuppgiftsbehandling, under förutsättning att ändamålen med den aktuella behandlingen inte kräver att det görs en åtskillnad mellan dessa båda kategorier.
75. Det nu sagda innebär följande. Artikel 6 i direktiv 2016/680 ska tolkas på så sätt att den inte utgör hinder för en nationell lagstiftning som medger att insamling av biometriska och genetiska uppgifter från personer som omfattas av kategorin ”personer som är föremål för förundersökning om brott” och personer som omfattas av kategorin ”personer som är delgivna misstanke om brott”, i den mening som avses i nationell rätt, sker urskillningslöst i samtliga fall där förundersökningen eller brottsmisstanken avser ett uppsåtligt brott. Detta gäller dock under förutsättning att ändamålen med insamlingen inte kräver att det görs en åtskillnad mellan dessa två kategorier av personer, vars personuppgifter kan komma att samlas in med stöd av nämnda lagstiftning.
76. EU-domstolen övergår nu till att behandla tolkningen av artikel 4.1 c jämförd med artikel 10 i direktiv 2016/680. Av den förstnämnda bestämmelsen framgår att personuppgifter ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas. Detta krav innebär således att medlemsstaterna är skyldiga att iaktta principen om uppgiftsminimering och endast behandla de personuppgifter som behövs med hänsyn till syftet och ändamålet med den aktuella behandlingen.
77. Artikel 10 i direktiv 2016/680 reglerar för sin del behandling av känsliga personuppgifter, däribland biometriska och genetiska uppgifter. Enligt artikeln är behandling av känsliga personuppgifter bara tillåten om den uppfyller de krav som anges i leden a–c i artikeln och dessutom uppfyller ytterligare två krav, nämligen dels att det finns lämpliga skyddsåtgärder för den registrerades fri- och rättigheter, dels att behandlingen är absolut nödvändig.
78. Det sistnämnda kravet innebär att det måste göras en särskilt noggrann bedömning av om det är nödvändigt att behandla uppgifterna utifrån det avsedda ändamålet och att det endast finns ett begränsat antal fall där det kan anses vara nödvändigt att behandla känsliga personuppgifter (se, för ett liknande resonemang, dom av den 26 januari 2023, Ministerstvo na vatreshnite raboti (Polisens registrering av biometriska och genetiska uppgifter), C‑205/21, EU:C:2023:49, punkt 118).
79. Vid behandling av biometriska och genetiska uppgifter får ändamålen med behandlingen således inte formuleras i alltför allmänna ordalag, utan måste definieras på ett tillräckligt precist och konkret sätt för att det ska vara möjligt att bedöma huruvida behandlingen är ”absolut nödvändig” (dom av den 26 januari 2023, Ministerstvo na vatreshnite raboti (Polisens registrering av biometriska och genetiska uppgifter), C‑205/21, EU:C:2023:49, punkt 124).
80. Direktiv 2016/680 innehåller visserligen inte någon definition av begreppet ”behandlingens ändamål”. Det kan dock konstateras att det i artikel 8.2 i direktivet uttryckligen görs en åtskillnad mellan detta begrepp och begreppet ”syftet med behandlingen”. I artikel 4.1 b i direktiv 2016/680 anges att det bland annat ska finnas särskilda och uttryckligt angivna ändamål för den personuppgiftsbehandling som utförs och att personuppgifter inte får behandlas på ett sätt som står i strid med dessa ändamål. Av artikel 4.1 c i direktivet framgår att det är mot bakgrund av de angivna ändamålen som det bland annat ska bedömas huruvida de personuppgifter som ska behandlas är adekvata, relevanta och inte onödigt omfattande.
81. Av det nu sagda kan den slutsatsen dras att begreppet ”syftet med behandlingen”, i den mening som avses i artikel 8.2 i direktiv 2016/680, avser de i artikel 1.1 angivna mer allmänna ändamål för vilka personuppgifter ska behandlas för att omfattas av direktivet, medan begreppet ”behandlingens ändamål”, särskilt i den mening som avses i nämnda artikel 8.2, ska förstås som att det avser de särskilda och konkreta ändamålen för behandlingen i det enskilda fallet. Dessa bestäms utifrån den uppgift som ålagts den personuppgiftsansvariga myndigheten, vilket i polisens fall kan vara att utföra specifika uppgifter i syfte att förebygga eller avslöja brott, eller i syfte att utreda och lagföra brott eller verkställa påföljder.
82. Därefter kan konstateras att det, vad gäller andra personuppgifter än känsliga personuppgifter, framgår av skäl 26 i direktiv 2016/680, jämförd med proportionalitetsprincipen, att det i direktivet angivna nödvändighetskravet är uppfyllt om ändamålet med den aktuella personuppgiftsbehandlingen inte rimligen kan uppnås på ett lika effektivt sätt genom andra medel som är mindre ingripande för den registrerades grundläggande rättigheter. Av detta kan slutsatsen dras att det krav på absolut nödvändighet som gäller för behandling av känsliga personuppgifter dessutom innebär att den personuppgiftsansvarige ska göra en bedömning av om det avsedda ändamålet med behandlingen kan uppnås på ett lika effektivt sätt genom att använda andra kategorier av personuppgifter än dem som räknas upp i artikel 10 i direktiv 2016/680 (se, för ett liknande resonemang, dom av den 26 januari 2023, Ministerstvo na vatreshnite raboti (Polisens registrering av biometriska och genetiska uppgifter), C‑205/21, EU:C:2023:49, punkt 126).
83. Härtill kommer att det måste tas hänsyn till de betydande risker som behandlingen av känsliga personuppgifter innebär för de registrerades fri- och rättigheter, särskilt i samband med den typ av uppgifter som åläggs de behöriga myndigheterna för de ändamål som anges i artikel 1.1 i direktiv 2016/680. Det nyss nämnda kravet på absolut nödvändighet omfattar således även att det ska göras en bedömning av om det ändamål för vilket personuppgifterna ska behandlas är särskilt viktigt. Denna bedömning kan göras utifrån bland annat vilken typ av ändamål det rör sig om, vilket i sin tur innefattar en prövning av om personuppgiftsbehandlingen har ett specifikt och konkret syfte kopplat till att förebygga eller bekämpa brott eller allvarliga hot mot den allmänna säkerheten. Vid denna bedömning kan även hänsyn tas till de särskilda omständigheter under vilka personuppgifterna ska behandlas (se, för ett liknande resonemang, dom av den 26 januari 2023, Ministerstvo na vatreshnite raboti (Polisens registrering av biometriska och genetiska uppgifter), C‑205/21, EU:C:2023:49, punkt 127).
84. Under alla omständigheter vill EU-domstolen klargöra vad som gäller beträffande insamling av biometriska och genetiska uppgifter från personer som är föremål för förundersökning eller delgivna misstanke om ett uppsåtligt brott i fall där insamlingen sker i syfte att underlätta framtida identifiering av personer och jämförelse av spår. När det gäller sådan behandling i registreringssyfte innebär kravet på att behandlingen ska vara absolut nödvändig att det i det enskilda fallet måste göras en samlad bedömning där hänsyn tas till arten och allvaret av den aktuella brottsmisstanken, de särskilda omständigheterna kring brottet, det eventuella sambandet mellan brottet och andra pågående brottmålsprocesser samt personens brottshistorik eller profil (se, för ett liknande resonemang, dom av den 26 januari 2023, Ministerstvo na vatreshnite raboti (Polisens registrering av biometriska och genetiska uppgifter), C‑205/21, EU:C:2023:49, punkt 132).
85. Slutligen innebär kravet på att behandlingen ska vara ”absolut nödvändig” att det måste göras en särskilt strikt prövning i förhållande till principen om uppgiftsminimering, som fastslås i artikel 4.1 c i direktivet (se dom av den 26 januari 2023, Ministerstvo na vatreshnite raboti (Polisens registrering av biometriska och genetiska uppgifter), C‑205/21, EU:C:2023:49, punkt 125).
86. Här kan särskilt nämnas lagring eller användning av dna-profiler för identifierings- eller jämförelseändamål. I det sammanhanget innebär kravet på uppgiftsminimering att bedömningen av om personuppgiftsbehandlingen är absolut nödvändig ska göras med beaktande av möjligheten att uteslutande analysera polymorfismer i icke-kodande områden i arvsmassan, det vill säga områden som man vet inte ger någon information om personers etnicitet eller ärftliga sjukdomar.
87. Det sagda innebär att en medlemsstat kan efterkomma direktiv 2016/680 på två olika sätt. Medlemsstaten kan antingen delegera uppgiften att i varje enskilt fall se till att kravet på absolut nödvändighet är uppfyllt vid all behandling av känsliga personuppgifter till de behöriga myndigheterna eller i lagstiftning fastställa bedömningskriterier som myndigheterna inte får tillämpa efter eget skön. Om det sistnämnda alternativet väljs krävs dock att bedömningskriterierna är sådana att de tillgodoser samtliga ovan i punkterna 77–83 angivna delar av kravet på absolut nödvändighet.
88. Här ska erinras om vad EU-domstolen tidigare har slagit fast angående kravet på absolut nödvändighet. I domen av den 26 januari 2023, Ministerstvo na vatreshnite raboti (Polisens registrering av biometriska och genetiska uppgifter) ( C‑205/21, EU:C:2023:49, punkt 135), var det fråga om en nationell lagstiftning som föreskrev en skyldighet för polisen att samla in biometriska och genetiska uppgifter från brottsmisstänkta för registrering i samtliga fall där brottsmisstanken avsåg ett uppsåtligt brott som omfattades av allmänt åtal, utan att det angavs någon skyldighet för polisen att pröva och visa dels att denna insamling är absolut nödvändig för att uppnå de konkreta mål som eftersträvas, dels att dessa mål inte kan uppnås genom åtgärder som utgör ett mindre allvarligt ingrepp i den registrerades fri- och rättigheter. Domstolen fann att en sådan lagstiftning strider mot nämnda krav.
89. Den lagstiftning som den första tolkningsfrågan i det nu aktuella målet avser skiljer sig dock från den lagstiftning som var i fråga i det nyss nämnda målet. Där var det alltså fråga om en lagstiftning enligt vilken det var obligatoriskt för polisen att samla in biometriska och genetiska uppgifter från brottsmisstänkta i samtliga fall där brottsmisstanken avsåg ett uppsåtligt brott som omfattades av allmänt åtal. I förevarande mål är det däremot fråga om en lagstiftning som endast ger polisen en möjlighet att uppta biometriska underlag från personer som är föremål för förundersökning eller delgivna misstanke om ett uppsåtligt brott.
90. Den omständigheten att en lagstiftning ger polisen en sådan möjlighet innebär inte att den berörda medlemsstatens nationella rätt medger att upptagning av biometriska underlag från sådana personer sker systematiskt eller att sådan upptagning i vissa fall kan ske, trots att detta skulle strida mot bland annat principen om uppgiftsminimering i artikel 4.1 c i direktiv 2016/680 eller kravet på att behandlingen ska vara absolut nödvändig i artikel 10 i direktivet. Detta gäller dock under förutsättning att den nationella rätten, inbegripet de nationella domstolarnas praxis, på ett lämpligt och tillräckligt precist sätt definierar de ändamål för vilka biometriska och genetiska uppgifter kan behandlas, det vill säga de specifika och konkreta syftena med personuppgiftsbehandlingen med hänsyn till den uppgift som ålagts den personuppgiftsansvariga myndigheten, och att denna möjlighet utövas i enlighet med de krav som anges i punkterna 77–83 ovan.
91. Av handlingarna i förevarande mål framgår att det i nationell rättspraxis uppställs vissa krav som syftar till att säkerställa att principen om uppgiftsminimering iakttas. Polisen är till exempel skyldig att göra en proportionalitetsbedömning i varje enskilt fall innan den beslutar om upptagning av ett dna-prov. Polisen ska därvid ta hänsyn till en rad faktorer, däribland den brottsmisstänktes brottshistorik, hur allvarligt det aktuella brottet är mot bakgrund av brottstypen och de särskilda omständigheter kring brottet som motiverar upptagning av ett dna-prov samt gärningsmannens personlighet.
92. I en sådan situation ankommer det på de nationella domstolarna att i varje enskilt fall göra en prövning av huruvida polisens upptagning av biometriska underlag har skett i strid med de principer för behandling av personuppgifter som anges i artikel 4 i direktiv 2016/680 och de särskilda krav som gäller vid behandling av känsliga personuppgifter enligt artikel 10 i direktivet, tolkad mot bakgrund av artiklarna 7 och 8 i stadgan.
93. Det ska i detta avseende även påpekas att enbart den omständigheten att brottsmisstanken avser ett ekonomiskt brott, och att insamlingen av biometriska och genetiska uppgifter äger rum innan den brottsmisstänkte har dömts genom en lagakraftvunnen dom, inte räcker för att utesluta att en sådan insamling kan anses vara absolut nödvändig. Beroende på de ändamål för vilka uppgifterna ska behandlas kan en sådan insamling nämligen, med hänsyn även till vilken typ av uppgifter det rör sig om, visa sig vara absolut nödvändig, bland annat för att fastställa huruvida en brottsmisstänkt person som eventuellt tillhör en kriminell organisation kan antas ha deltagit i andra brott för vilka uppgifter av detta slag skulle kunna vara relevanta, eller, om det finns en risk för avvikande, för att identifiera personen.
94. Mot bakgrund av det ovan anförda ska den första frågan besvaras enligt följande. Artikel 6 och artikel 4.1 c jämförd med artikel 10 i direktiv 2016/680 ska tolkas på så sätt att de inte utgör hinder för nationell lagstiftning som medger att insamling av biometriska och genetiska uppgifter från personer som är föremål för förundersökning eller delgivna misstanke om brott sker urskillningslöst i samtliga fall där förundersökningen eller brottsmisstanken avser ett uppsåtligt brott. Detta gäller dock under förutsättning dels att ändamålen med insamlingen inte kräver att det görs en åtskillnad mellan dessa två kategorier av personer, dels att de personuppgiftsansvariga har en skyldighet enligt nationell rätt – inbegripet de nationella domstolarnas praxis – att iaktta alla principer och särskilda krav som anges i artiklarna 4 och 10 i direktivet.
Den andra frågan
95. Det ska inledningsvis påpekas att den hänskjutande domstolen i formuleringen av den andra frågan har hänvisat till en nationell lagstiftning som innebär att de aktuella personuppgifterna i de flesta fall lagras på ”obestämd tid”. Av handlingarna i målet framgår dock att den hänskjutande domstolen i själva verket har använt uttrycket obestämd tid för att hänvisa till den omständigheten att det i nämnda lagstiftning inte har fastställts någon längsta lagringstid, och inte till att lagringen skulle vara obegränsad i tiden.
96. Den andra frågan får således anses ha ställts för att få klarhet i huruvida artikel 4.1 c i direktiv 2016/680 ska tolkas på så sätt att den utgör hinder för en nationell lagstiftning som innehåller bestämmelser som anger att behovet av att fortsätta lagra biometriska och genetiska uppgifter ska bedömas av polisen på grundval av interna föreskrifter, utan att det anges någon övre gräns för hur länge sådana uppgifter får lagras.
97. EU-domstolen gör i denna del följande bedömning. Enligt artikel 4.1 e i direktiv 2016/680 ska medlemsstaterna föreskriva att personuppgifter inte får förvaras i en form som möjliggör identifiering av den registrerade under längre tid än vad som är nödvändigt för de ändamål för vilka de behandlas.
98. Vad först gäller den omständigheten att det i den aktuella nationella lagstiftningen inte föreskrivs någon längsta lagringstid, ska det påpekas att det nyss nämnda kravet i artikel 4.1 e hänger nära samman med artikel 5 i direktivet. Den artikeln ålägger medlemsstaterna att föreskriva lämpliga tidsgränser för när personuppgifter ska raderas eller för regelbunden översyn av behovet av att lagra sådana uppgifter. Det ska även finnas regler för att säkerställa att tidsgränserna hålls.
99. Nämnda artikel 5 överlåter däremot till medlemsstaterna att bestämma vilka tidsgränser som ska gälla, så länge dessa är ”lämpliga”. Medlemsstaterna ges även möjlighet att välja mellan att införa tidsgränser för radering av personuppgifter eller för regelbunden översyn av behovet av att lagra dem.
100. Artiklarna 4.1 e och 5 i direktiv 2016/680 ska visserligen läsas mot bakgrund av bland annat artikel 10 i direktivet, vilket innebär att de i sistnämnda artikel angivna kraven på absolut nödvändighet och på att det ska finnas lämpliga skyddsåtgärder för den registrerades fri- och rättigheter även gäller vid lagring av biometriska eller genetiska uppgifter.
101. EU-domstolen finner dock att den nationella rätten i en medlemsstat ska anses uppfylla dessa krav om medlemsstaten har infört bestämmelser som anger lämpliga tidsgränser för regelbunden översyn av behovet av att lagra sådana personuppgifter och att det vid denna översyn ska göras en bedömning av huruvida det är absolut nödvändigt att förlänga lagringstiden. Det nu sagda innebär att en medlemsstat som valt detta alternativ inte är skyldig att fastställa absoluta tidsgränser för hur länge personuppgifter får lagras och efter vars utgång uppgifterna ska raderas automatiskt, och detta inte ens när det gäller känsliga personuppgifter (se, för ett liknande resonemang, dom av den 30 januari 2024, Direktor na Glavna direktsia Natsionalna politsia pri MVR – Sofia, C‑118/22, EU:C:2024:97, punkt 52).
102. Däremot gäller vissa krav för att sådana tidsgränser för regelbunden översyn ska anses vara lämpliga. Av artikel 4.1 c och e i direktiv 2016/680, jämförd med artikel 52.1 i stadgan, följer att personuppgifter ska raderas, i enlighet med vad som anges i artikel 16.2 och 16.3 i direktivet, om det vid en sådan översyn står klart att det inte längre är absolut nödvändigt att lagra de aktuella personuppgifterna och att lagringen därmed framstår som onödigt omfattande i förhållande till de ändamål för vilka uppgifterna behandlas (se, för ett liknande resonemang, dom av den 30 januari 2024, Direktor na Glavna direktsia Natsionalna politsia pri MVR – Sofia, C‑118/22, EU:C:2024:97, punkterna 45, 48 och 50 samt där angiven rättspraxis).
103. Ytterligare krav följer av artikel 4.1 c i direktiv 2016/680, där det anges att alla personuppgifter ska vara adekvata, relevanta och inte för omfattande i förhållande till ändamålet med behandlingen – varvid det även ska beaktas att den bestämmelsen och artikel 8 i direktivet ska läsas mot bakgrund av de krav som följer av artikel 52 i stadgan – samt av artikel 6 i direktivet, där det anges att den personuppgiftsansvarige är skyldig att vid behov göra en tydlig åtskillnad mellan personuppgifter som rör olika kategorier av registrerade. Mot bakgrund av dessa krav kan tidsgränser för regelbunden översyn som fastställts av en medlemsstat inte anses vara lämpliga om de inte innebär att den omständigheten att den registrerades ställning i en brottmålsprocess ändras på ett sätt som anses vara relevant med hänsyn till lagringsändamålet medför en skyldighet för den personuppgiftsansvarige att inom rimlig tid ompröva behovet av att fortsätta lagra den registrerades personuppgifter.
104. Vad därefter gäller den omständigheten att bedömningen av huruvida det är nödvändigt att fortsätta lagra biometriska och genetiska uppgifter görs av polisen på grundval av interna föreskrifter, kan det konstateras att en sådan ordning inte i sig strider mot artikel 8.2 i direktiv 2016/680. Det nu sagda gäller dock under förutsättning att polisen enligt dessa föreskrifter är skyldig att säkerställa att kravet på absolut nödvändighet är uppfyllt vid lagring av sådana uppgifter och att polisens utrymme för skönsmässig bedömning avgränsas i tillräcklig mån av den nationella rätten, inbegripet de nationella domstolarnas praxis.
105. Klart är nämligen att den omständigheten att föreskrifterna är interna, och därmed inte är tillgängliga för samtliga personer vars personuppgifter kan komma att behandlas, innebär att det rör sig om föreskrifter som inte kan åberopas av de behöriga myndigheterna för att visa att de uppfyller de krav som ställs på dem. Däremot medför denna omständighet inte att personuppgiftsbehandling som utförs med stöd av sådana föreskrifter automatiskt blir olaglig. Dock innebär den att polisen, vid en eventuell domstolsprövning av ett beslut om att behandla biometriska och genetiska uppgifter, kommer att behöva visa – oberoende av sina interna föreskrifter – att kravet på absolut nödvändighet har varit uppfyllt.
106. Vad gäller det nu aktuella fallet kan det konstateras att den tjeckiska regeringen har gjort gällande att det av bland annat 65 § punkt 5 i polislagen framgår – vilket det ankommer på den hänskjutande domstolen att kontrollera – att dna-profiler från personer som är föremål för förundersökning eller delgivna misstanke om ett uppsåtligt brott ska raderas om det inte längre är nödvändigt att lagra dem med hänsyn till de eftersträvade målen, det vill säga om de berörda personerna inte längre är föremål för förundersökning eller misstanke om brott, och inte heller är det i någon annan brottmålsprocess, eller om de inte har begått andra brott tidigare.
107. I detta avseende ska dock följande påpekas. Vid lagring av biometriska och genetiska uppgifter kan kravet på absolut nödvändighet enligt artikel 10 i direktiv 2016/680 anses vara uppfyllt endast om det gjorts en proportionalitetsbedömning där hänsyn inte enbart tas till den registrerade personens eventuella anknytning till andra pågående brottmålsprocesser eller till hans eller hennes tidigare brottslighet eller profil, utan även till vilken typ av brott som personen har dömts för genom lagakraftvunnen dom och hur allvarligt brottet är, eller andra omständigheter, såsom det särskilda sammanhang i vilket brottet begåtts (se, för ett liknande resonemang, dom av den 30 januari 2024, Direktor na Glavna direktsia Natsionalna politsia pri MVR – Sofia, C‑118/22, EU:C:2024:97, punkt 67).
108. Även om det i tjeckisk rätt inte föreskrivs någon längsta lagringstid för personuppgifter som samlats in med stöd av 65 § punkt 1 i polislagen, är polisen enligt 82 § punkt 1 i denna lag dock skyldig att minst en gång vart tredje år göra en översyn och kontrollera att det fortfarande är nödvändigt att lagra uppgifterna för att polisen ska kunna utföra sina uppgifter.
109. Det ankommer således på den hänskjutande domstolen att med hänsyn till de ändamål för vilka de aktuella biometriska och genetiska uppgifterna lagras avgöra huruvida en tidsgräns för regelbunden översyn på tre år kan anses vara lämplig. Här ska dock påpekas att även om tidsgränsen inte anses vara lämplig, så medför detta inte ett krav på att uppgifterna ska raderas, om polisen kan visa att det under alla omständigheter är absolut nödvändigt att fortsätta lagra uppgifterna.
110. Mot bakgrund av det ovan anförda ska den andra frågan besvaras enligt följande. Artikel 4.1 e i direktiv 2016/680 ska tolkas på så sätt att den inte utgör hinder för en nationell lagstiftning som innehåller bestämmelser som anger att behovet av att fortsätta lagra biometriska och genetiska uppgifter ska bedömas av polisen på grundval av interna föreskrifter, utan att det anges någon övre gräns för hur länge sådana uppgifter får lagras. Detta gäller dock under förutsättning att det i den aktuella lagstiftningen finns bestämmelser som fastställer lämpliga tidsgränser för regelbunden översyn av behovet av att lagra sådana uppgifter och som anger att det vid denna översyn ska göras en bedömning av om det är absolut nödvändigt att förlänga lagringstiden.
Rättegångskostnader
111. Eftersom förfarandet i förhållande till parterna i det nationella målet utgör ett led i beredningen av samma mål, ankommer det på den hänskjutande domstolen att besluta om rättegångskostnaderna. De kostnader för att avge yttrande till domstolen som andra än nämnda parter har haft är inte ersättningsgilla.
Mot denna bakgrund beslutar domstolen (femte avdelningen) följande:
1) Artiklarna 8 och 10 i Europaparlamentets och rådets direktiv (EU) 2016/680 av den 27 april 2016 om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut 2008/977/RIF ska tolkas på följande sätt: Vid insamling, lagring och radering av biometriska och genetiska uppgifter ska det i dessa artiklar använda begreppet ”medlemsstaternas nationella rätt” förstås som att det avser en generellt gällande bestämmelse som anger vilka minimikrav som gäller för insamling, lagring och radering av sådana uppgifter, såsom denna bestämmelse tolkas i de nationella domstolarnas praxis, under förutsättning att denna praxis är tillgänglig och tillräckligt förutsebar.
2) Artikel 6 och artikel 4.1 c jämförd med artikel 10 i direktiv 2016/680 ska tolkas på följande sätt: Dessa bestämmelser utgör inte hinder för en nationell lagstiftning som medger att insamling av biometriska och genetiska uppgifter från personer som är föremål för förundersökning eller delgivna misstanke om brott sker urskillningslöst i samtliga fall där förundersökningen eller brottsmisstanken avser ett uppsåtligt brott. Detta gäller dock under förutsättning dels att ändamålen med insamlingen inte kräver att det görs en åtskillnad mellan dessa två kategorier av personer, dels att de personuppgiftsansvariga har en skyldighet enligt nationell rätt – inbegripet de nationella domstolarnas praxis – att iaktta alla principer och särskilda krav som anges i artiklarna 4 och 10 i nämnda direktiv.
3) Artikel 4.1 e i direktiv 2016/680 ska tolkas på följande sätt: Denna bestämmelse utgör inte hinder för en nationell lagstiftning som innehåller bestämmelser som anger att behovet av att fortsätta lagra biometriska och genetiska uppgifter ska bedömas av polisen på grundval av interna föreskrifter, utan att det anges någon övre gräns för hur länge sådana uppgifter får lagras. Detta gäller dock under förutsättning att det i den aktuella lagstiftningen finns bestämmelser som fastställer lämpliga tidsgränser för regelbunden översyn av behovet av att lagra sådana uppgifter och som anger att det vid denna översyn ska göras en bedömning av om det är absolut nödvändigt att förlänga lagringstiden.
1 Rättegångsspråk: tjeckiska.