C-57/23

OPINIA RZECZNIKA GENERALNEGO JEANA RICHARDA DE LA TOURA przedstawiona w dniu 27 lutego 2025 r. ( ) Sprawa C‑57/23 JH przeciwko Policejní prezidium [wniosek o wydanie orzeczenia w trybie prejudycjalnym, złożony przez Nejvyšší správní soud (najwyższy sąd administracyjny, Republika Czeska)] Odesłanie prejudycjalne – Ochrona osób fizycznych w związku z przetwarzaniem danych osobowych w sprawach karnych – Dyrektywa (UE) 2016/680 – Uregulowanie krajowe zezwalające na zbieranie danych genetycznych wszystkich osób podejrzanych lub oskarżonych o popełnienie umyślnego czynu zabronionego – Ocena konieczności dalszego przechowywania profilu DNA przez policję na podstawie przepisów wewnętrznych – Możliwość uznania orzecznictwa krajowego za „prawo państwa członkowskiego” I. Wprowadzenie 1. Niniejszy wniosek o wydanie orzeczenia w trybie prejudycjalnym dotyczy wykładni art. 4 ust. 1 lit. c) i e), art. 6, art. 8 ust. 2 i art. 10 dyrektywy Parlamentu Europejskiego i Rady (UE) 2016/680 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w sprawie swobodnego przepływu takich danych oraz uchylającej decyzję ramową Rady 2008/977/WSiSW ( ). 2. Wniosek ten został złożony w ramach sporu, jaki zaistniał pomiędzy JH, osobą fizyczną, a Policejní prezidium (komendą główną policji, Republika Czeska), dotyczącego w szczególności zebrania dotyczących JH danych biometrycznych i genetycznych w ramach postępowania karnego oraz przechowywania tych danych przez Policie České republiky (policję Republiki Czeskiej) (zwaną dalej „policją czeską”). 3. Niniejsza sprawa stanowi, jeśli chodzi o pierwsze z pytań prejudycjalnych zadanych przez Nejvyšší správní soud (najwyższy sąd administracyjny, Republika Czeska), kontynuację wyroków z dnia 26 stycznia 2023 r., Ministerstvo na vatreshnite raboti (Rejestracja danych biometrycznych i genetycznych przez policję) ( ) i z dnia 28 listopada 2024 r., Ministerstvo na vatreshnite raboti (Rejestracja danych biometrycznych i genetycznych II) ( ), w których Trybunał orzekł, że krajowe ustawodawstwo przewidujące systematyczne zbieranie danych biometrycznych i genetycznych każdej osoby, której przedstawiono zarzuty popełnienia umyślnego przestępstwa ściganego z oskarżenia publicznego, do celów rejestracji tych danych przez policję jest sprzeczne z wymogiem zapewnienia zwiększonej ochrony osób przed przetwarzaniem wrażliwych danych osobowych. Sąd odsyłający zwraca się do Trybunału o doprecyzowanie tego orzecznictwa, zadając pytanie, czy § 65 ust. 1 zákon č. 273/2008 Sb., o Policii České republiky (ustawa nr 273/2008 o policji Republiki Czeskiej) ( ), ograniczając stosowanie tego gromadzenia danych wyłącznie do przestępstw umyślnych, w sposób wystarczający odzwierciedla na poziomie strukturalnym konieczność przeprowadzenia oceny proporcjonalnego charakteru pobierania danych biometrycznych i genetycznych osób, których to dotyczy, czy też, przeciwnie, należy wprowadzić dodatkowe rozróżnienia między tymi osobami w zależności od wagi zarzucanego im przestępstwa. 4. Jeśli chodzi o drugie ze sformułowanych przez sąd odsyłający pytań prejudycjalnych, niniejsza sprawa wpisuje się w nurt stanowiący kontynuację wyroku z dnia 30 stycznia 2024 r., Direktor na Glavna direktsia „Natsionalna politsia” pri MVR – Sofia ( ), w którym Trybunał po raz pierwszy wydał orzeczenie w przedmiocie ograniczeń czasowych przechowywania, do celów zwalczania przestępczości, danych osobowych osób, które zostały prawomocnie skazane, w świetle dyrektywy 2016/680. W wyroku tym Trybunał rozstrzygnął, że dyrektywa ta ustanawia ogólne ramy umożliwiające zagwarantowanie, by przechowywanie danych osobowych, a w szczególności jego czas trwania, były ograniczone do tego, co okazuje się niezbędne w świetle celów, do których dane te są przechowywane ( ). Sąd odsyłający zwraca się do Trybunału o wyjaśnienie, czy to orzecznictwo ma zastosowanie w przypadku, gdy dane osobowe są przechowywane w celu zapobiegania przestępstwom, prowadzenia dochodzeń w ich sprawie i ich wykrywania, który to cel ze swej natury ma charakter prospektywny i nie jest ograniczony w czasie. Zdaniem tego sądu taki cel wymaga bowiem, aby dane te były przechowywane tak długo jak to możliwe. 5. W niniejszej sprawie Trybunał będzie musiał zatem wyjaśnić, po pierwsze, pojęcia „minimalizacji materialnej” i „minimalizacji czasowej” przetwarzania danych biometrycznych i genetycznych wchodzących w zakres stosowania dyrektywy 2016/680, gdy są one pobierane i przechowywane w tych ramach. 6. Po drugie, w zakresie dotyczącym trzeciego pytania prejudycjalnego, do Trybunału zwrócono się z bezprecedensowym żądaniem dokonania wykładni pojęcia „prawa państwa członkowskiego” w rozumieniu art. 8 ust. 2 tej dyrektywy w związku z jej art. 10. W szczególności sąd odsyłający zastanawia się, czy orzecznictwo krajowe doprecyzowujące kryteria pobierania i przechowywania danych biometrycznych i genetycznych może wchodzić w zakres tego pojęcia i w jakim zakresie materialne lub proceduralne warunki pozyskiwania, przechowywania i usuwania tych danych powinny być przewidziane w prawie państwa członkowskiego w przepisie o charakterze generalnym. II. Prawo czeskie 7. Paragraf 11 ustawy o policji czeskiej stanowi: „Policja i funkcjonariusz policji są zobowiązani do: […] c) postępowania w taki sposób, aby ewentualna ingerencja w prawa i wolności osób, których ta czynność dotyczy, lub osób, których ona nie dotyczy, nie wykraczała poza to, co jest konieczne do osiągnięcia celu realizowanego poprzez tę czynność”. 8. Zgodnie z § 65 tej ustawy: „1.   Podczas wykonywania swoich zadań policja do celów przyszłej identyfikacji może w przypadku a) osoby oskarżonej o popełnienie umyślnego czynu zabronionego lub osoby, której przedstawiono zarzut popełnienia takiego czynu zabronionego b) osoby, która odbywa karę pozbawienia wolności za popełnienie umyślnego przestępstwa, c) osoby, wobec której zastosowano przymusowe środki medyczne lub zatrzymanie prewencyjne; lub d) osoby poszukiwanej, która została odnaleziona i której zdolność do czynności prawnych jest ograniczona, pobierać odciski palców, identyfikować cechy fizyczne, dokonywać pomiarów ciała, wykonywać nagrania obrazu, dźwięku i podobne oraz pobierać próbki biologiczne umożliwiające uzyskanie informacji o strukturze genetycznej. 2.   Jeżeli czynność, o której mowa w ust. 1, nie może zostać dokonana ze względu na to, że ta osoba sprzeciwia się temu, funkcjonariusz policji ma prawo, po bezskutecznym wezwaniu osoby do podporządkowania się, użyć przymusu. Sposób, w jaki funkcjonariusz używa przymusu, musi być proporcjonalny do intensywności sprzeciwu. Funkcjonariusz policji nie może użyć przymusu wobec danej osoby w przypadku pobrania krwi lub innej podobnej czynności naruszającej nietykalność cielesną. 3.   Jeżeli czynności, o której mowa w ust. 1, nie można dokonać na miejscu, funkcjonariusz policji ma prawo doprowadzić daną osobę w celu przeprowadzenia czynności. Funkcjonariusz po dokonaniu czynności zwalnia tę osobę. 4.   Funkcjonariusz sporządza sprawozdanie na temat dokonanych czynności. 5.   Policja usuwa dane osobowe uzyskane zgodnie z ust. 1, gdy tylko ich przetwarzanie przestaje być konieczne do celów zapobiegania lub wykrywania przestępczości albo ścigania czynów zabronionych, zapewnienia bezpieczeństwa Republiki Czeskiej, porządku publicznego lub bezpieczeństwa wewnętrznego”. 9. Paragraf 79 wspomnianej ustawy, zatytułowany „Podstawowe przepisy dotyczące przetwarzania danych osobowych w ramach wykonywania niektórych zadań policji”, przewiduje w ust. 1 i 2: „1.   Ustępy 2–6 i paragrafy 79a–88 mają zastosowanie do przetwarzania danych osobowych do celów zapobiegania przestępstwom, prowadzania dochodzeń w ich sprawie, wykrywania ich i ścigania, aby zapewnić bezpieczeństwo Republiki Czeskiej czy też zagwarantować porządek publiczny i bezpieczeństwo wewnętrzne, w tym również do celu poszukiwania osób i rzeczy. 2.   Policja może przetwarzać dane osobowe, jeżeli jest to konieczne do osiągnięcia celów, o których mowa w ust. 1. Policja może przetwarzać dane osobowe również w celu ochrony ważnych interesów osoby, której te dane dotyczą, związanych z celami, o których mowa w ust. 1”. 10. Paragraf 82 tej ustawy brzmi następująco: „1. Co najmniej raz na trzy lata policja sprawdza, czy dane osobowe przetwarzane do celów, o których mowa w § 79 ust. 1, są nadal niezbędne do wykonywania jej zadań w tej dziedzinie. 2. Do celów weryfikacji, o której mowa w ust. 1, policja jest uprawniona do żądania wyciągu z rejestru karnego. 3. Organy ścigania i organy sądowe, Ministerstvo spravedlnosti (ministerstwo sprawiedliwości, Republika Czeska), Ustavní soud (trybunał konstytucyjny, Republika Czeska) i Kancelář prezidenta republiky (kancelaria prezydenta Republiki Czeskiej) systematycznie informują policję, w granicach swoich kompetencji, do celów weryfikacji, o której mowa w ust. 1, o swoich ostatecznych decyzjach, o przedawnieniu postępowania karnego, o wykonaniu kary lub o decyzjach Prezydenta Republiki dotyczących postępowania karnego, kar, amnestii lub ułaskawienia”. III. Stan faktyczny w postępowaniu głównym i pytania prejudycjalne 11. Decyzją z dnia 11 grudnia 2015 r. policja czeska wszczęła przeciwko JH dochodzenie karne w związku z naruszeniem obowiązków w ramach sprawowania zarządu cudzym majątkiem. 12. W dniu 13 stycznia 2016 r. sąd ten przesłuchał JH w ramach postępowania karnego i nakazał przeprowadzenie różnego rodzaju czynności identyfikacyjnych. Pomimo braku zgody ze strony JH czeska policja pobrała od niego elektroniczne odciski palców oraz wymaz ze śluzówki policzka, który posłużył do stworzenia profilu DNA, a także zrobiła zdjęcia i sporządziła rysopis JH. Następnie zarejestrowała te informacje w odpowiednich czeskich policyjnych bazach danych. 13. Wyrokiem Městský soud v Praze (sądu miejskiego w Pradze, Republika Czeska) z dnia 15 marca 2017 r. JH został prawomocnie uznany za winnego popełnienia przestępstwa naruszenia obowiązku zarządzania cudzym majątkiem oraz przestępstwa nadużycia władzy przez funkcjonariusza publicznego. Został on skazany na karę trzech lat pozbawienia wolności z warunkowym zawieszeniem jej wykonania; na okres czterech lat nałożono nań zakaz pełnienia w administracji publicznej funkcji kierowniczych obejmujących zarządzanie majątkiem nieruchomym i ruchomym oraz nakazano mu naprawienie, w granicach jego możliwości, wyrządzonej szkody. 14. W dniu 8 marca 2016 r. JH wniósł do Městský soud v Praze (sądu miejskiego w Pradze) skargę o stwierdzenie, że dokonanie czynności identyfikacyjnych na podstawie § 65 ustawy o czeskiej policji, przechowywanie uzyskanych w ten sposób informacji i próbek, a także utworzenie wpisu do systemu informatycznego policji czeskiej stanowiły ingerencję, która była niezgodna z prawem. 15. Wyrokiem z dnia 23 czerwca 2022 r. sąd ten uwzględnił skargę JH, orzekając, że dokonane przez policję czeską czynności identyfikacyjne i przechowywanie danych osobowych JH w jej bazach stanowiły niezgodną z prawem ingerencję w podstawowe prawo do poszanowania życia prywatnego. W konsekwencji wspomniany sąd nakazał policji czeskiej usunięcie z jej baz danych wszystkich wynikających z tych czynności danych osobowych, z wyjątkiem wymazu ze śluzówki policzka, który został w międzyczasie zniszczony. 16. Městský soud v Praze (sąd miejski w Pradze) podkreślił, że pobieranie materiału genetycznego stanowi istotną ingerencję w prawo podstawowe do poszanowania życia prywatnego, chronione w szczególności przez art. 8 Konwencji o ochronie praw człowieka i podstawowych wolności ( ). W § 65 ustawy o policji czeskiej nie zawarto zaś wskazówek wystarczających do tego, aby móc dokonać oceny proporcjonalnego charakteru tej ingerencji. Jedynym, co sprawdziła policja czeska przed dokonaniem takiego pobrania, był bowiem umyślny charakter popełnionego naruszenia prawa w rozumieniu tego przepisu, przy czym przesłankę tę można uznać w ramach postępowania głównego za spełnioną. 17. W konsekwencji Městský soud v Praze (sąd miejski w Pradze) uznał, że przeprowadzone przez policję czeską czynności identyfikacyjne nie spełniały wymogu proporcjonalności, a zatem stanowiły niezgodną z prawem ingerencję. Sąd ten zauważył w tym względzie, że JH był ścigany jedynie za popełnienie wykroczenia, czyli czynu zabronionego mniejszej wagi, że nigdy wcześniej nie był skazany i że jest mało prawdopodobne, aby ponownie popełnił to naruszenie. Sąd ten podkreślił ponadto, że policja czeska powinna sama, na podstawie § 65 ust. 5 ustawy o czeskiej policji, przeprowadzić wewnętrzne badanie w przedmiocie momentu, począwszy od którego dalsze przechowywanie danych osobowych „przestaje być konieczne do celów zapobiegania lub ścigania przestępczości albo wykrywania czynów zabronionych”. Sąd ten uważa, że uregulowanie to pozostawia policji nieograniczony margines manewru i skutkuje nadmiernym wykorzystaniem możliwości nieograniczonego w czasie przechowywania danych osobowych. 18. Komenda główna policji wniosła skargę kasacyjną od tego wyroku przed Nejvyšší správní soud (najwyższy sąd administracyjny). 19. Na poparcie swej skargi kasacyjnej przedstawiciel komendy głównej policji podkreślił, że cel przetwarzania danych osobowych został jasno określony w § 65 ustawy o czeskiej policji. Stwierdził on również, że proporcjonalność pobrania i przechowywania danych osobowych JH została oceniona z uwzględnieniem czynnika powrotu do naruszenia, możliwej eskalacji zachowań zabronionych przez prawo oraz okoliczności, że JH w przeszłości już dopuścił się szeregu czynów zabronionych. Co się tyczy rzekomo niewystarczającego upublicznienia wewnętrznych kryteriów stosowanych przez policję czeską przy podejmowaniu decyzji o dalszym przechowywaniu danych osobowych, przedstawiciel komendy głównej policji wskazał, że w ramach prawa do informacji zasady te zostały podane do wiadomości publicznej. 20. Ustosunkowując się do tego, JH podkreślił w szczególności, że służby policji czeskiej przeprowadziły czynności identyfikacyjne bez uprzedniego zbadania proporcjonalnego charakteru tej ingerencji. JH krytykuje również to, że dotyczące przeprowadzania czynności identyfikacyjnych instrukcje policji czeskiej nie są podane do wiadomości publicznej. 21. W tym kontekście sąd odsyłający w pierwszej kolejności zastanawia się, czy wymogi ustanowione w dyrektywie 2016/680 stoją na przeszkodzie niezróżnicowanemu zbieraniu danych biometrycznych i genetycznych wszystkich osób podejrzanych o popełnienie umyślnego przestępstwa, w drugiej kolejności zastanawia się on, czy ustanowione w tej dyrektywie wymogi stoją na przeszkodzie przechowywaniu takich danych bez wyraźnego ograniczenia tego przechowywania w czasie, a w trzeciej kolejności zaś – czy orzecznictwo krajowych sądów administracyjnych można uznać za „prawo państwa członkowskiego” w rozumieniu art. 8 wspomnianej dyrektywy, w którym określono warunki zgodności przetwarzania danych osobowych z prawem. 22. W tych okolicznościach Nejvyšší správní soud (najwyższy sąd administracyjny) postanowił zawiesić postępowanie i zwrócić się do Trybunału z następującym pytaniami prejudycjalnymi: „1. Jakiego stopnia rozróżnienia pomiędzy poszczególnymi podmiotami, których dotyczą dane osobowe, wymaga art. 4 ust. 1 lit. c) lub art. 6 w związku z art. 10 [dyrektywy 2016/680]? Czy zgodne z nakazem minimalizacji przetwarzania danych osobowych, jak również z obowiązkiem wprowadzenia rozróżnienia pomiędzy różnymi kategoriami podmiotów, których dane dotyczą, jest to, żeby ustawodawstwo krajowe zezwalało na pobieranie danych genetycznych od wszystkich osób podejrzanych lub oskarżonych o popełnienie umyślnego czynu zabronionego? 2. Czy zgodna z art. 4 ust. 1 lit. e) dyrektywy 2016/680 jest sytuacja, w której ze względu na ogólny cel, jakim jest zapobieganie lub wykrywanie przestępczości, potrzeba dalszego przechowywania profilu DNA jest oceniana przez organy policji na podstawie ich wewnętrznych regulacji, co w praktyce często oznacza przechowywanie wrażliwych danych osobowych przez czas nieokreślony, bez określenia jakiegokolwiek maksymalnego okresu przechowywania takich danych osobowych? Jeżeli nie jest to zgodne z tym przepisem, to według jakich kryteriów należy ewentualnie oceniać proporcjonalność w aspekcie czasowym przechowywania danych osobowych gromadzonych i przechowywanych w takim celu? 3. Jaki jest minimalny zakres warunków materialnych lub proceduralnych pozyskiwania, przechowywania i usuwania szczególnie wrażliwych danych osobowych w rozumieniu art. 10 dyrektywy 2016/680, który to zakres musi zostać uregulowany w »przepisach o charakterze generalnym« prawa państwa członkowskiego? Czy również orzecznictwo sądowe może zostać uznane za »prawo państwa członkowskiego« w rozumieniu art. 8 ust. 2 w związku z art. 10 [tej dyrektywy]?”. 23. JH, rząd czeski, Irlandia, rząd polski oraz Komisja Europejska przedstawili uwagi na piśmie. 24. Na rozprawie, która odbyła się w dniu 28 listopada 2024 r., wysłuchano JH, rządu czeskiego, Irlandii, rządu niderlandzkiego oraz Komisji, a w szczególności poproszono ich o udzielenie odpowiedzi na pytania zadane ustnie przez Trybunał. IV. Analiza 25. Na wstępie należy przypomnieć, że pytania prejudycjalne zadane przez sąd odsyłający dotyczą zbierania i przechowywania danych biometrycznych i genetycznych, stanowiących szczególne kategorie danych osobowych, których przetwarzanie jest uregulowane w art. 10 dyrektywy 2016/680. 26. Przepis ten służy zapewnieniu wzmocnionej ochrony osoby, której dane dotyczą, ponieważ, ze względu na ich szczególną wrażliwość i kontekst, w jakim są one przetwarzane, rozpatrywane dane mogą powodować, jak wynika z motywu 37 tej dyrektywy, poważne ryzyko naruszenia podstawowych praw i wolności, takich jak prawo do poszanowania życia prywatnego i prawo do ochrony danych osobowych, zagwarantowane w art. 7 i 8 Karty praw podstawowych Unii Europejskiej ( ). 27. W szczególności art. 10 dyrektywy 2016/680 ustanawia wymóg, zgodnie z którym przetwarzanie danych wrażliwych jest dopuszczalne „wyłącznie wtedy, jeżeli jest bezwzględnie niezbędne”, co stanowi bardziej rygorystyczny warunek zgodności przetwarzania takich danych z prawem i jest zwłaszcza związane z koniecznością przeprowadzenia szczególnie daleko idącej kontroli poszanowania wynikającej z art. 4 ust. 1 lit. c) dyrektywy 2016/680 zasady „minimalizacji danych”, w ramach której wymóg ten stanowi szczególny przykład zastosowania do wspomnianych danych wrażliwych ( ). 28. To właśnie w świetle tych rozważań zaproponuję w niniejszej opinii udzielenie odpowiedzi sądowi odsyłającemu pragnącemu ustalić, czy uregulowania krajowe rozpatrywane w postępowaniu głównym spełniają wymóg, zgodnie z którym zbieranie i przechowywanie danych biometrycznych i genetycznych osób, których to dotyczy, jest dozwolone wyłącznie wtedy, gdy jest to „bezwzględnie niezbędne” w rozumieniu art. 10 dyrektywy 2016/680. A.   W przedmiocie pierwszego pytania prejudycjalnego 29. Zadając pierwsze ze swych pytań, sąd odsyłający dąży w istocie do ustalenia, czy art. 4 ust. 1 lit. c) lub art. 6 dyrektywy 2016/680 w związku z art. 10 tej dyrektywy należy interpretować w ten sposób, że stoją one na przeszkodzie uregulowaniom krajowym, które pozwalają na zbieranie danych biometrycznych i genetycznych wszystkich osób oskarżonych lub podejrzanych o popełnienie przestępstwa umyślnego. 1. W przedmiocie dopuszczalności 30. W swych uwagach na piśmie Komisja stwierdziła, że pierwsze pytanie jest niedopuszczalne z tego względu, iż w sprawie w postępowaniu głównym policja czeska pobrała dane genetyczne i biometryczne JH w dniu 13 stycznia 2016 r., czyli przed wejściem w życie dyrektywy 2016/680, które nastąpiło w dniu 5 maja 2016 r., i przed upływem terminu na jej transpozycję, ustalonego w art. 63 ust. 1 tej dyrektywy na dzień 6 maja 2018 r. 31. Choć niewątpliwie prawdą jest, że dyrektywa 2016/680 nie zawiera żadnego przepisu przejściowego, który odnosiłby się do danych pobranych przed dniem 5 maja 2016 r., niemniej jednak właściwe wydaje mi się odnieść do motywu 96 tej dyrektywy, zgodnie z którym „[p]rzetwarzanie, które w tym dniu jest w toku, powinno w terminie dwóch lat od dnia wejścia w życie [tej] dyrektywy zostać dostosowane do jej przepisów” ( ). 32. Zgodnie z art. 3 pkt 2 dyrektywy 2016/680 „przetwarzanie” oznacza „operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, takie jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie” ( ). 33. Z wyjątkiem zaś wymazu pobranego ze śluzówki policzka, który został zniszczony, pobrane przed 5 maja 2016 r. dane osobowe JH są nadal przechowywane w bazach danych policji czeskiej. Dane te są zatem nadal przetwarzane po tej dacie, tj. po wejściu w życie dyrektywy 2016/680. 34. Dlatego wydaje mi się, że dane osobowe zebrane zgodnie z prawem na podstawie decyzji ramowej 2008/977/WSiSW ( ), które jednak zostałyby zebrane z naruszeniem zasad ustanowionych w dyrektywie 2016/680, gdyby miało to miejsce już po dniu wejścia w życie tej dyrektywy, nie powinny być nadal przetwarzane, a zatem – przechowywane na podstawie tej dyrektywy. 35. W tych okolicznościach pierwsze z zadanych przez sąd odsyłający pytań jest moim zdaniem dopuszczalne. 2. Co do istoty 36. Sąd odsyłający zastanawia się, czy § 65 ust. 1 ustawy o policji czeskiej jest zgodny z nałożonym na państwa członkowskie w art. 6 dyrektywy 2016/680 obowiązkiem wprowadzenia rozróżnienia między różnymi kategoriami osób, których te dane dotyczą, oraz z ustanowioną w art. 4 ust. 1 lit. c) tej dyrektywy zasadą minimalizacji przetwarzania danych osobowych. 37. W szczególności sąd ten zastanawia się, czy jedyny ustanowiony w uregulowaniach krajowych warunek, którego spełnienie umożliwia gromadzenie danych biometrycznych i genetycznych osoby fizycznej, a mianowicie istnienie umyślnego przestępstwa, wprowadza wystarczające rozróżnienie między różnymi osobami, których te dane dotyczą, czy też wymagany jest dodatkowy stopień indywidualizacji, efektem czego należałoby wprowadzić rozróżnienie w zależności od wagi umyślnych przestępstw, w odniesieniu do których takie dane mogłyby być automatycznie gromadzone. 38. W celu udzielenia odpowiedzi na to pytanie należy, po pierwsze, przypomnieć, że choć w art. 6 dyrektywy 2016/680 nałożono na państwa członkowskie obowiązek wprowadzenia wyraźnego rozróżnienia między danymi różnych kategorii osób, których te dane dotyczą, tak aby nie ingerować w podstawowe prawo do ochrony danych osobowych osób pokrzywdzonych w wyniku czynów zabronionych w taki sam sposób ( ), o tyle użyte w tym artykule wyrażenie „w stosownym przypadku i w miarę możliwości” wyraźnie świadczy o tym, że dokonanie tego rozróżnienia między takimi danymi niekoniecznie jest możliwe ( ). 39. Obowiązek nałożony na państwa członkowskie w tym art. 6 nie ma zatem charakteru absolutnego, a zawarte w tym przepisie sformułowanie „takich jak” świadczy o tym, że kategorie wymienionych w nim osób nie mają charakteru wyczerpującego ( ). 40. Po drugie, należy koniecznie powrócić do wniosków, jakie wynikają z wyroku w sprawie Rejestracja danych biometrycznych i genetycznych I, w zakresie, w jakim Trybunał dokonał tam wykładni art. 4 ust. 1 lit. c) dyrektywy 2016/680, zgodnie z którym przetwarzane dane osobowe muszą być adekwatne, stosowne oraz nienadmierne w stosunku do celów, w jakich są przetwarzane. 41. W wyroku tym Trybunał doszedł do wniosku, że przepisy krajowe przewidujące systematyczne zbieranie danych biometrycznych i genetycznych każdej osoby, której przedstawiono zarzuty popełnienia umyślnego przestępstwa ściganego z oskarżenia publicznego ( ), jest co do zasady niezgodne z wymogiem wskazanym w art. 10 dyrektywy 2016/680, zgodnie z którym przetwarzanie szczególnych kategorii danych wskazanych w tym artykule powinno być dozwolone „wyłącznie wtedy, jeżeli jest bezwzględnie niezbędne” ( ). Takie przepisy krajowe mogą bowiem prowadzić, w sposób niezróżnicowany i ogólny, do zbierania danych biometrycznych i genetycznych większości osób, którym przedstawiono zarzuty, ponieważ pojęcie „umyślnego przestępstwa ściganego z oskarżenia publicznego” ma szczególnie ogólny charakter i może mieć zastosowanie do znacznej liczby czynów zabronionych – niezależnie od ich charakteru i wagi ( ). 42. W niniejszej sprawie zaś w § 65 ust. 1 ustawy o policji czeskiej przewidziano, że dane biometryczne i genetyczne danej osoby mogą być zbierane nie tylko wtedy, gdy osoba ta jest ścigana za popełnienie umyślnego przestępstwa, lecz również wtedy, gdy jest ona podejrzana o popełnienie takiego przestępstwa. Przepis ten nie dotyczy zatem tylko ograniczonej liczby sytuacji, lecz obejmuje, wciąż zbyt szeroko, większość przestępstw, w odniesieniu do których takie dane mogą być gromadzone. 43. Pragnę zauważyć, że prawdą jest, iż przepis ten przyznaje służbom policji jedynie uprawnienie do dokonania takiego pobrania, podczas gdy rejestracja policyjna przewidziana w bułgarskich uregulowaniach rozpatrywanych w sprawie zakończonej wyrokiem, w którym zapadł wyrok Rejestracja danych biometrycznych i genetycznych I, była bezwzględnie stosowana w odniesieniu do wszystkich osób, którym postawiono zarzuty popełnienia umyślnych przestępstw ściganych z urzędu ( ). Może to sugerować, że uregulowania czeskie, pozostawiając organom policyjnym większe pole manewru, umożliwiają lepsze określenie przypadków, w których mogą być zbierane dane biometryczne i genetyczne poszczególnych osób. 44. Zwracam jednak uwagę, że ani w § 65 ust. 1 ustawy o policji czeskiej, ani w § 11 tej ustawy – zgodnie z którymi organy policji muszą przeprowadzić jedynie kontrolę proporcjonalności – nie nałożono na te organy obowiązku oceny bezwzględnej konieczności zbierania danych biometrycznych i genetycznych osób, których to dotyczy. Podejście takie jest problematyczne z dwóch powodów. 45. Po pierwsze, sama tylko okoliczność, że dana osoba popełniła umyślne przestępstwo lub jest o to podejrzana, nie może zostać we wszystkich przypadkach być uznana za czynnik, który sam w sobie pozwala na przyjęcie domniemania, iż zbieranie danych biometrycznych i genetycznych tej osoby jest bezwzględnie niezbędne do celów, dla których są one gromadzone ( ). 46. Trybunał orzekł już, że istnienie takiej „bezwzględnej konieczności” można ustalić jedynie w świetle wszystkich istotnych okoliczności, takich jak w szczególności charakter i waga zarzucanego danej osobie przestępstwa, szczególne okoliczności tego przestępstwa, ewentualny związek wspomnianego przestępstwa z innymi toczącymi się postępowaniami, wcześniejsze sprawy sądowe lub indywidualny profil danej osoby ( ). 47. Ograniczenie zbierania danych biometrycznych i genetycznych wyłącznie do przypadków przestępstw z elementem umyślności nie jest zatem wystarczające do spełnienia określonego w art. 10 dyrektywy 2016/680 wymogu, zgodnie z którym przetwarzanie szczególnych kategorii danych, o których mowa w tym artykule, musi być dozwolone „wyłącznie wtedy, gdy jest bezwzględnie niezbędne”. 48. Po drugie, pragnę zauważyć, że Trybunał orzekł, iż w braku obowiązku dokonania przez właściwy organ na mocy prawa krajowego oceny istnienia tej „bezwzględnej konieczności” przetwarzania danych osobowych, którego ten dokonał lub zamierza dokonać, sąd, do którego wniesiono sprawę dotyczącą takiego przetwarzania przez ten właściwy organ, nie może zapewnić, zastępując ten organ, poszanowania obowiązku ciążącego na tym organie na podstawie art. 10 dyrektywy 2016/680 ( ). 49. Obecnie obowiązujące w Republice Czeskiej ramy prawne prowadzą zaś do powstania sytuacji, w których z jednej strony policja nie przeprowadza przed pobraniem danych biometrycznych i genetycznych danych osób ścisłej kontroli proporcjonalności, a z drugiej strony sądy administracyjne muszą zastępować organy policyjne w przeprowadzaniu takiej kontroli. 50. Tak więc w braku przewidzenia w czeskich uregulowaniach obowiązku dokonania w każdym poszczególnym przypadku oceny bezwzględnej konieczności, w rozumieniu art. 10 dyrektywy 2016/680, zbierania danych biometrycznych i genetycznych osób, których te dane dotyczą, uregulowania te nie są zgodne z ustanowioną w tym przepisie zasadą minimalizacji przetwarzania danych osobowych. 51. Z powyższych rozważań wynika, że art. 4 ust. 1 lit. c) i art. 6 dyrektywy 2016/680 w związku z art. 10 tej dyrektywy należy interpretować w ten sposób, że stoją one na przeszkodzie uregulowaniom krajowym, które pozwalają na zbieranie danych biometrycznych i genetycznych wszystkich osób ściganych za popełnienie przestępstwa umyślnego lub o to podejrzanych, jeżeli takie uregulowania nie przewidują obowiązku przeprowadzenia przez właściwy organ w każdym poszczególnym przypadku oceny „bezwzględnej konieczności” tego dokonanego lub planowanego przetwarzania. B.   W przedmiocie drugiego pytania prejudycjalnego 52. Zadając drugie ze swych pytań, sąd odsyłający dąży w istocie do ustalenia, czy art. 4 ust. 1 lit. e) dyrektywy 2016/680 należy interpretować w ten sposób, że stoi on na przeszkodzie uregulowaniom krajowym, na mocy których konieczność dalszego przechowywania danych biometrycznych i genetycznych ze względu na cel polegający na zapobieganiu przestępstwom i ich wykrywaniu jest oceniana przez służby policyjne na podstawie przepisów wewnętrznych, przy czym w uregulowaniach tych nie przewidziano maksymalnego okresu tego przechowywania, co skutkuje w większości przypadków przechowywaniem tych danych przez czas nieokreślony. Sąd ten zastanawia się również, jakie są kryteria, według których należy oceniać tę proporcjonalność w aspekcie czasowym przechowywania gromadzonych i przechowywanych w takim celu danych osobowych. 53. Trybunał zwrócił się do sądu odsyłającego z pytaniem, czy uważa za konieczne podtrzymanie tego pytania w świetle wyroku DGPN, ogłoszonego już po przedstawieniu niniejszego wniosku o wydanie orzeczenia w trybie prejudycjalnym. Sąd ten, po wezwaniu stron postępowania głównego do przedstawienia ich stanowisk, wyraził wolę podtrzymania swoich pytań i wyraził wątpliwości co do tego, czy można dokonać transpozycji wniosków wyciągniętych przez Trybunał w tym wyroku do kwestii ujętej w drugim pytaniu prejudycjalnym. 54. W wyroku tym Trybunał po raz pierwszy wypowiedział się w przedmiocie ograniczeń czasowych dotyczących przechowywania do celów zwalczania przestępstw danych osobowych osób, wobec których wydano prawomocny wyrok skazujący, w świetle dyrektywy 2016/680, w odniesieniu do ustawodawstwa krajowego przewidującego przechowywanie takich danych, w tym tych szczególnie wrażliwych, do chwili śmierci tych osób, bez możliwości ponownego przeprowadzenia oceny tego okresu w świetle zachodzących okoliczności. 55. Co się tyczy proporcjonalnego charakteru okresu przechowywania danych osobowych, Trybunał wyjaśnił, że w motywie 26 dyrektywy 2016/680, a także w art. 4 ust. 1 lit. e) i art. 5 tej dyrektywy ustanowiono ogólne ramy zobowiązujące państwa członkowskie, po pierwsze, do zapewnienia, że dane te będą przechowywane przez okres nie dłuższy niż jest to konieczne do celów ich przetwarzania ( ), i po drugie, do przyjęcia odpowiednich terminów usuwania tych danych lub okresowego przeglądu konieczności ich przechowywania, a także przepisów proceduralnych gwarantujących przestrzeganie tych terminów ( ), pozostawiając państwom członkowskim zadanie określenia, z poszanowaniem tych ram, konkretnych sytuacji, w których ochrona praw podstawowych osoby, której dane dotyczą, wymaga usunięcia tych danych, oraz momentu, w którym powinno ono nastąpić ( ). 56. Co się tyczy w szczególności danych genetycznych i biometrycznych, jak przypomniałem w szczególności w pkt 27 niniejszej opinii, w art. 10 dyrektywy 2016/680 ustanowiono wymóg, zgodnie z którym przetwarzanie danych wrażliwych jest dopuszczalne „wyłącznie wtedy, gdy jest bezwzględnie niezbędne” ( ). 57. Ponadto Trybunał wyjaśnił, że dyrektywa ta nie ustanawia wymogu, aby państwa członkowskie określiły bezwzględne ograniczenia czasowe przechowywania danych osobowych, po których przekroczeniu powinny one zostać automatycznie usunięte ( ). 58. Niezależnie od tych ustaleń sąd odsyłający podkreśla, że, w odróżnieniu od pytania prejudycjalnego zadanego w sprawie, w której zapadł wyrok DGPN, drugie z jego pytań prejudycjalnych zostało sformułowane w odniesieniu do celu przetwarzania danych polegającego na prewencji ogólnej, czyli zapobieganiu popełnianiu przestępstw i wykroczeń przez ogół społeczeństwa. 59. Sąd ten zastanawia się zatem, w jaki sposób pogodzić z jednej strony zasadę minimalizacji czasowej przetwarzania danych osobowych i z drugiej strony taki właśnie cel, który ze swej natury ma charakter prospektywny i nieograniczony w czasie i który wiąże się z przyjęciem założenia, że dane osobowe maksymalnej ilości osób są przechowywane tak długo, jak tylko to możliwe. 60. Prawdą jest, że w sprawie, w której zapadł wyrok DGPN, do Trybunału zwrócono się z pytaniem dotyczącym sytuacji, w której dane osobowe, w szczególności dane biometryczne i genetyczne osoby prawomocnie skazanej za umyślne przestępstwo ścigane z oskarżenia publicznego, były przechowywane w rejestrze policyjnym bez żadnych ograniczeń czasowych innych niż moment śmierci tej osoby, i to nawet po zatarciu skazania tej osoby ( ). 61. Niemniej jednak okoliczności te nie stoją moim zdaniem na przeszkodzie temu, by te same wnioski można było zastosować do sytuacji takiej jak ta rozpatrywana w postępowaniu głównym, w której dane osobowe są zatrzymywane do związanych z zapobieganiem przestępstwom celów polegających na prewencji ogólnej. 62. Trybunał potwierdził bowiem, że to zbieranie danych może przyczyniać się do realizacji celu wymienionego w motywie 27 dyrektywy 2016/680, zgodnie z którym zapobieganie przestępczości, prowadzenie postępowań przygotowawczych oraz wykrywanie i ściganie czynów zabronionych wymaga, aby właściwe organy przetwarzały dane osobowe – zebrane w kontekście zapobiegania konkretnym czynom zabronionym, prowadzenia postępowań przygotowawczych w ich sprawie, wykrywania ich lub ścigania i, w szerszym kontekście, dla lepszego zrozumienia działalności przestępczej oraz ustalenia powiązań pomiędzy różnymi wykrytymi czynami zabronionymi ( ). 63. Oznacza to, że organy krajowe mają możliwość przechowywania danych osobowych w celach prospektywnych, bez obowiązku określenia konkretnego maksymalnego okresu tego przechowywania. Niemniej jednak w takiej sytuacji tym bardziej konieczne okazuje się istnienie i funkcjonowanie pewnych gwarancji proceduralnych. 64. W związku z tym choć w dyrektywie 2016/680 nie nałożono na państwa członkowskie obowiązku określenia w odniesieniu do przechowywania danych osobowych bezwzględnych terminów, po upływie których dane te powinny być automatycznie usuwane, to wydaje mi się, że okresowy przegląd konieczności przechowywania tych danych ma kluczowe znaczenie. 65. W tym względzie pragnę zauważyć, po pierwsze, że w § 65 ust. 5 ustawy o policji czeskiej przewidziano usuwanie zebranych danych osobowych, jeżeli ich przetwarzanie nie jest niezbędne do realizacji celu polegającego na zapobieganiu przestępstwom, ich dochodzeniu, wykrywaniu lub ściganiu, i po drugie, że w § 82 tej ustawy nałożono na organy policji obowiązek sprawdzania co trzy lata konieczności dalszego przetwarzania tych danych osobowych. 66. Uregulowania te, które przewidują zatem usuwanie tych danych i przeprowadzanie w regularnych odstępach czasu badania konieczności ich przechowywania, powinny jednak być objęte daleko idącymi gwarancjami, pozwalającymi na skuteczną ochronę osób, których te dane dotyczą, przed prawdopodobieństwem ich nadużycia. 67. Po pierwsze, jak przypomniane to zostało w motywie 33 dyrektywy 2016/680, prawo państwa członkowskiego regulujące zbieranie i przechowywanie danych osobowych powinno określać co najmniej procedury niszczenia tych danych. 68. Po drugie, zgodnie z art. 13 ust. 2 lit. b) i art. 14 lit. d) tej dyrektywy każda osoba, której dane dotyczą, powinna mieć prawo do informacji o okresie przechowywania jej danych osobowych lub, gdy nie jest to możliwe, do zapoznania się z kryteriami służącymi określeniu tego okresu. Takie informacje są niezbędne, aby umożliwić osobom, których dane dotyczą, wykonywanie ich praw wynikających z art. 7 i 8 Karty, złożenie wniosku o uzyskanie dostępu do ich podlegających przetwarzaniu danych osobowych oraz, w stosownych przypadkach, o ich sprostowanie lub usunięcie, a także wniesienie, zgodnie z art. 47 akapit pierwszy Karty, skutecznego środka prawnego przed sądem. 69. Po trzecie, co się tyczy w szczególności konieczności przechowywania danych biometrycznych i genetycznych, uregulowania krajowe powinny zawierać przepisy, z których w sposób jasny i precyzyjny wynika, że aby spełnić wymogi określone w art. 10 dyrektywy 2016/680, przechowywanie to powinno być ograniczone do tego, co jest ściśle konieczne do osiągnięcia realizowanego za jego pomocą celu. 70. Przy ocenie okresu przechowywania takich danych należy uwzględnić różnego rodzaju kryteria, takie jak charakter i waga stwierdzonych czynów, czas, który upłynął od popełnienia czynów, ustawowy okres przechowywania, który ma jeszcze upłynąć, prawdopodobieństwo, że dana osoba może dopuścić się innych czynów zabronionych ( ), lub też inne okoliczności, takie jak kontekst, w którym popełniono ten czyn, związek z innymi toczącymi się postępowaniami, wcześniejsze zachowanie czy też historia lub profil tej osoby. 71. Ani zaś z postanowienia odsyłającego, ani z uwag przedstawionych Trybunałowi przez uczestników niniejszego postępowania nie wynika, żeby w czeskich uregulowaniach dziedziny przechowywania danych biometrycznych i genetycznych przewidziano wystarczające gwarancje dotyczące procedur niszczenia tych danych, informowania o tym osób, których te dane dotyczą, oraz oceny „bezwzględnej niezbędności”, w rozumieniu art. 10 dyrektywy 2016/680, ich przechowywania. 72. Z powyższych rozważań wynika, że art. 4 ust. 1 lit. e) dyrektywy 2016/680 w związku z art. 10 tej dyrektywy należy interpretować w ten sposób, iż nie stoi on na przeszkodzie uregulowaniom krajowym, w których nie przewidziano maksymalnego okresu przechowywania danych biometrycznych i genetycznych, jeśli przewidziano w nich przeprowadzanie w regularnych odstępach czasu badania konieczności tego przechowywania. Przepisy te ustanawiają jednak wymóg, aby takie ponowne badanie podlegało daleko idącym gwarancjom proceduralnym i pozwalało na upewnienie się, że przechowywanie to nie wykracza poza okres ściśle niezbędny do celów, dla których dane są przetwarzane. C.   W przedmiocie trzeciego pytania prejudycjalnego 73. Poprzez trzecie z zadanych pytań sąd odsyłający dąży w istocie do ustalenia, czy, po pierwsze, art. 8 ust. 2 i art. 10 dyrektywy 2016/680 należy interpretować w ten sposób, że pewne minimalne przesłanki materialne lub proceduralne dotyczące uzyskiwania, przechowywania i usuwania danych biometrycznych i genetycznych powinny zostać przewidziane w przepisie o charakterze generalnym oraz czy, po drugie, orzecznictwo krajowe, które określa te warunki uzyskiwania, przechowywania i usuwania takich danych, może zostać uznane za „prawo państwa członkowskiego” w rozumieniu tych przepisów. 74. Do Trybunału zwrócono się o udzielenie odpowiedzi na to pytanie w kontekście rozpatrywanego w postępowaniu głównym systemu prawnego uregulowanego w § 65 ustawy o policji czeskiej, który ma następujące cechy. 75. Przede wszystkim przepis ten jest wykonywany w drodze dotyczących zarządzania danymi przez policję czeską wewnętrznych aktów mających postać poleceń komendanta głównego policji. Bezsporne zaś jest, że akty te nie mogą mieć statusu „prawa państwa członkowskiego” w rozumieniu art. 8 ust. 2 dyrektywy 2016/680. 76. Następnie choć nie ulega wątpliwości, że § 65 ustawy o policji czeskiej ma status „prawa państwa członkowskiego”, to nie sprecyzowano w nim konkretnych warunków pozyskiwania, przechowywania i usuwania biometrycznych i genetycznych danych osobowych. 77. Wreszcie uregulowania te uzupełnia orzecznictwo sądów administracyjnych, zgodnie z którym służby policyjne powinny stosować w każdym poszczególnym przypadku kryterium proporcjonalności, biorąc przede wszystkim pod uwagę przeszłość kryminalną danej osoby, szczególną wagę rodzaju czynu zabronionego, w związku z którym osoba ta została wezwana w celu przeprowadzenia czynności identyfikacyjnych, osobowość sprawcy oraz, w ramach wniosku o usunięcie ex post, czas, jaki upłynął od popełnienia czynu zabronionego, a także wszelkie inne zachowania sprawcy ( ). Kryteria, na których opiera się to orzecznictwo, są publikowane i publicznie dostępne. 78. W świetle tych okoliczności zaproponuję Trybunałowi, aby odpowiedział, że chociaż orzecznictwo można uznać za mające status „prawa państwa członkowskiego” w rozumieniu dyrektywy 2016/680, to jednak takie orzecznictwo nie może zastąpić gwarancji, jakie przepis o charakterze generalnym ma zapewniać w dziedzinie pozyskiwania, przechowywania i usuwania biometrycznych i genetycznych danych osobowych. 79. Niewątpliwie istnieje szereg argumentów przemawiających za koncepcją, iż orzecznictwo spełnia przesłankę „prawa państwa członkowskiego” w rozumieniu art. 8 ust. 2 tej dyrektywy. 80. Po pierwsze, motyw 33 dyrektywy 2016/680 przewiduje, że „[j]eżeli w niniejszej dyrektywie jest mowa o prawie państwa członkowskiego, podstawie prawnej lub akcie prawnym, niekoniecznie wymaga to przyjęcia aktu prawnego przez parlament”, jeśli tylko „to prawo państwa członkowskiego, podstawa prawna lub akt prawny powinny [jest] jasne i precyzyjne, a ich zastosowanie przewidywalne dla osób im podlegających – jak wymaga tego orzecznictwo Trybunału Sprawiedliwości i Europejskiego Trybunału Praw Człowieka”. 81. Po drugie, Europejski Trybunał Praw Człowieka uznał w wyroku z dnia 16 kwietnia 2002 r. w sprawie Société Colas Est i in. przeciwko Francji ( ), że termin „ustawa” w rozumieniu art. 8 ust. 2 EKPC należy rozumieć w jego znaczeniu „materialnym”, a nie „formalnym”. Tak więc w dziedzinie objętej prawem pisanym „ustawa” jest tekstem obowiązującym zgodnie z wykładnią dokonaną przez właściwe sądy. 82. Ponadto sam Trybunał potwierdził, że termin „ustawa” użyty w wyrażeniu „przewidziane ustawą” zawartym w art. 8 ust. 2 EKPC oraz w wyrażeniu „uzasadniona podstawa przewidziana ustawą” w art. 8 ust. 2 Karty należy rozumieć w jego znaczeniu materialnym, a nie formalnym ( ). 83. Po trzecie, Trybunał w swym wyroku z dnia 21 czerwca 2022 r. Ligue des droits humains ( ) wyjaśnił, że wymóg, zgodnie z którym wszelkie ograniczenia korzystania z praw podstawowych muszą być przewidziane ustawą, oznacza, że podstawa prawna, która pozwala na ingerencję w te prawa, musi sama określać zakres ograniczenia wykonywania danego prawa, przy czym z jednej strony wymaganie to nie wyklucza, by to ograniczenie było sformułowane w sposób otwarty w stopniu wystarczającym, tak aby można je było dostosować do zmieniających się sytuacji, a z drugiej strony Trybunał może, w stosownym przypadku, doprecyzować poprzez wykładnię konkretny zakres ograniczenia, z punktu widzenia zarówno samego brzmienia rozpatrywanych przepisów Unii, jak i ich ogólnej systematyki oraz celów, którym służą, zinterpretowanych w świetle praw podstawowych gwarantowanych w Karcie ( ). 84. W związku z tym jeżeli w ogóle istnieje podstawa prawna na gruncie prawa krajowego, orzecznictwo, które z jednej strony jest dostępne i przewidywalne, a z drugiej strony jest utrwalone i nie było regularnie podważane, ma cechy materialne wystarczające do tego, aby wchodzić w zakres pojęcia „prawa państwa członkowskiego” w rozumieniu art. 8 ust. 2 dyrektywy 2016/680 ( ). 85. Pragnę jednak podkreślić, że w niektórych przypadkach, w szczególności gdy chodzi o prawo do wolności, któremu został poświęcony art. 6 Karty, utrwalone orzecznictwo sankcjonujące utrwaloną praktykę policji nie jest wystarczające ( ) i jedynie przyjęcie przepisów o charakterze generalnym (a zatem przepisów spełniających wymogi formalne ustawy) zapewnia konieczne gwarancje, ponieważ taki tekst określa wiążące i uprzednio znane ramy uznania, jakie przysługuje wspomnianym organom w zakresie oceny okoliczności każdego konkretnego przypadku ( ). 86. Europejski Trybunał Praw Człowieka stwierdził również, że każda ingerencja władzy publicznej w prawo danej osoby do poszanowania jej życia prywatnego musi być „przewidziana ustawą” ( ). Wyrażenie to dotyczy „charakteru ustawowego”, co w ramach ochrony wrażliwych danych osobowych wiąże się ze spełnieniem wymogu zwiększonej przewidywalności. Oznacza to, że ustawa wyraźnie określa zakres uznania przysługującego organom władzy publicznej ( ) i posługuje się sformułowaniami dość jasnymi, aby wskazać wszystkim w sposób wystarczającym, w jakich okolicznościach i pod jakimi warunkami upoważnia ona władzę publiczną do stosowania środków naruszających ich prawa chronione na mocy EKPC ( ). 87. Trybunał ten uznał zatem, że przepisy prawne, które zezwalają na przetwarzanie biometrycznych danych osobowych, ze względu na to, iż są sformułowane bardzo szeroko i wydają się zezwalać na przetwarzanie tych danych w ramach każdego rodzaju postępowania sądowego, nie spełniają wymogu „charakteru ustawowego”. Istotne jest bowiem to, aby dysponować szczegółowymi zasadami regulującymi zakres i stosowanie środków, jak również daleko idących gwarancji przeciwko ryzyku nadużyć i arbitralności ( ). 88. Co się tyczy niniejszej sprawy, po przypomnieniu, po pierwsze, że dane biometryczne i genetyczne, ze względu na ich szczególną wrażliwość, mogą powodować poważne ryzyko naruszenia podstawowych praw i wolności osób, których dane dotyczą ( ), i po drugie, że przetwarzanie tych danych powinno być dozwolone „wyłącznie wtedy, gdy jest bezwzględnie niezbędne”, jestem zdania, że budzi szczególne wątpliwości sytuacja, w której prawa osób, których dane dotyczą, są chronione jedynie za pomocą orzecznictwa krajowego, podczas gdy w ustawie, w jej formalnym znaczeniu, przewidziano niepełną kontrolę proporcjonalności, która nie odpowiada stopniowi ochrony, której wymaga art. 10 dyrektywy 2016/680. 89. Przepisy ustawy o policji czeskiej, a w szczególności jej § 65, są bowiem sformułowane w sposób zbyt szeroki i nie ustanawiają z góry ustalonych ograniczeń dyskrecjonalnych uprawnień przysługujących organom policji w zakresie uzyskiwania, przechowywania i usuwania danych biometrycznych i genetycznych. W braku takich ograniczeń warunki przetwarzania tych danych, które wynikają wyłącznie z orzecznictwa czeskich sądów administracyjnych, nie mogą spełniać wymogu wystarczająco daleko idących gwarancji ustanowionych w akcie wiążącym i przewidywalnym przy jego stosowaniu, w oparciu o który to wymóg należy przetwarzać te dane. 90. Ponadto, choć transpozycja dyrektywy nie musi wymagać podjęcia przez każde z państw członkowskich działań legislacyjnych, to orzecznictwo – przy założeniu, że zostanie wykazane, iż jest ono utrwalone – w którym przyjęto taką wykładnię przepisów prawa krajowego, która może zostać uznana za zgodną z wymogami dyrektywy, nie posiada przymiotów jasności i precyzji wymaganych dla spełnienia wymogu pewności prawa ( ). Wynika z tego, że orzecznictwo krajowe, mimo że ustanowiono w nim wykaz kryteriów umożliwiających przeprowadzenie oceny proporcjonalności przetwarzania danych biometrycznych i genetycznych osób, których dane dotyczą w poszczególnych przypadkach, nie może zrekompensować braku daleko idącej kontroli proporcjonalności, która byłaby ustanowiona ustawą w formalnym znaczeniu tego pojęcia. 91. Z powyższych rozważań wynika, że art. 8 ust. 2 i art. 10 dyrektywy 2016/680 należy interpretować w ten sposób, że stoją one na przeszkodzie temu, by orzecznictwo krajowe, nawet jeśli można mu przyznać status „prawa państwa członkowskiego” w rozumieniu tej dyrektywy, zastępowało przepis o charakterze generalnym, w którym nie przewidziano, by w każdym poszczególnym przypadku organy policyjne przeprowadzały daleko idącą kontrolę konieczności zbierania i przechowywania danych biometrycznych i genetycznych osób, których te dane dotyczą. V. Wnioski 92. Mając na uwadze wszystkie powyższe rozważania, proponuję, aby na pytania prejudycjalne zadane przez Nejvyšší správní soud (najwyższy sąd administracyjny, Republika Czeska) Trybunał odpowiedział w następujący sposób: Artykuł 4 ust. 1 lit. c) i e), art. 6, art. 8 ust. 2 i art. 10 dyrektywy Parlamentu Europejskiego i Rady (UE) 2016/680 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w sprawie swobodnego przepływu takich danych oraz uchylającej decyzję ramową Rady 2008/977/WSiSW należy interpretować w ten sposób, że: – stoją one na przeszkodzie uregulowaniom krajowym, które pozwalają na gromadzenie danych biometrycznych i genetycznych wszystkich osób ściganych za popełnienie przestępstwa umyślnego lub o to podejrzanych, jeżeli takie uregulowania nie przewidują obowiązku przeprowadzenia przez właściwy organ w każdym poszczególnym przypadku oceny „bezwzględnej konieczności” tego dokonanego lub planowanego przetwarzania; – nie stoą one na przeszkodzie uregulowaniom krajowym, w których nie przewidziano maksymalnego okresu przechowywania danych biometrycznych i genetycznych, jeśli przewidziano w nich przeprowadzanie w regularnych odstępach czasu badania konieczności tego przechowywania. Przepisy te winny ustanawiać jednak wymóg, aby takie ponowne badanie podlegało daleko idącym gwarancjom proceduralnym i pozwalało na upewnienie się, że przechowywanie to nie wykracza poza okres ściśle niezbędny do celów, dla których dane są przetwarzane; – stoją one na przeszkodzie temu, by orzecznictwo krajowe, nawet jeśli można mu przyznać status „prawa państwa członkowskiego” w rozumieniu tej dyrektywy, zastępowało przepis o charakterze generalnym, w którym nie przewidziano, by w każdym poszczególnym przypadku organy policyjne przeprowadzały daleko idącą kontrolę konieczności zbierania i przechowywania danych biometrycznych i genetycznych osób, których te dane dotyczą. ( ) Język oryginału: francuski. ( ) Dz.U. 2016, L 119, s. 89. ( ) C‑205/21, zwany dalej „wyrokiem Rejestracja danych biometrycznych i genetycznych I”, EU:C:2023:49. ( ) C‑80/23, EU:C:2024:991. ( ) W wersji mającej zastosowanie do sporu w postępowaniu głównym (zwanej dalej „ustawą o policji czeskiej”). ( ) C‑118/22, zwany dalej „wyrokiem DGPN”, EU:C:2024:97. ( ) Zobacz wyrok DGPN, pkt 52. ( ) Podpisanej w Rzymie w dniu 4 listopada 1950 r., zwanej dalej „EKPC”. ( ) Zwanej dalej „Kartą”. Zobacz wyrok z dnia 28 listopada 2024 r., Ministerstvo na vatreshnite raboti (Rejestracja danych biometrycznych i genetycznych II) (C‑80/23, EU:C:2024:991, pkt 53 i przytoczone tam orzecznictwo). ( ) Zobacz wyrok DGPN, pkt 48. ( ) W motywie 96 dyrektywy 2016/680 wyjaśniono również, że „wymogi [tej] dyrektywy dotyczące uprzednich konsultacji z organem nadzorczym nie powinny mieć zastosowania do operacji przetwarzania, które już ma miejsce”. ( ) Podkreślenie moje. ( ) Decyzja ramowa Rady z dnia 27 listopada 2008 r. w sprawie ochrony danych osobowych przetwarzanych w ramach współpracy policyjnej i sądowej w sprawach karnych (Dz.U. 2008, L 350, s. 60). ( ) Zobacz wyrok Rejestracja danych biometrycznych i genetycznych I, pkt 83. ( ) Zobacz wyrok z dnia 8 grudnia 2022 r., Inspektor v Inspektorata kam Visshia sadeben savet (Cele przetwarzania danych osobowych – Postępowanie karne) (C‑180/21, EU:C:2022:967, pkt 48). ( ) Zobacz wyrok Rejestracja danych biometrycznych i genetycznych I, pkt 84. ( ) Rozpatrywane w tamtej sprawie uregulowania bułgarskie przewidywały przymusowe zbieranie, do celów ich rejestracji, danych biometrycznych i genetycznych danej osoby fizycznej, w odniesieniu do której zgromadzono wystarczające dowody na to, że osoba ta jest winna popełnienia umyślnego przestępstwa ściganego z oskarżenia publicznego, umożliwiającego, na podstawie prawa krajowego, przedstawienie jej zarzutów. ( ) Zobacz wyrok Rejestracja danych biometrycznych i genetycznych I, pkt 128. ( ) Zobacz wyrok Rejestracja danych biometrycznych i genetycznych I, pkt 129. ( ) Zobacz wyrok Rejestracja danych biometrycznych i genetycznych I, pkt 113. ( ) Zobacz wyrok Rejestracja danych biometrycznych i genetycznych I, pkt 130. ( ) Zobacz wyrok Rejestracja danych biometrycznych i genetycznych I, pkt 132. ( ) Zobacz wyrok z dnia 28 listopada 2024 r., Ministerstvo na vatreshnite raboti (Rejestracja danych biometrycznych i genetycznych II) (C‑80/23, EU:C:2024:991, pkt 57). ( ) Zobacz wyrok DGPN, pkt 43, 45. ( ) Zobacz wyrok DGPN, pkt 44. ( ) Zobacz wyrok DGPN, pkt 52. ( ) Zobacz wyrok DGPN, pkt 48. ( ) Zobacz wyrok DGPN, pkt 52. ( ) Zobacz wyrok DGPN, pkt 32. ( ) Zobacz wyrok DGPN, pkt 55. ( ) Zobacz opinia rzecznika generalnego P. Pikamäe w sprawie Direktor na Glavna direktsia „Natsionalna politsia” pri MVR – Sofia (C‑118/22, EU:C:2023:483, pkt 75). ( ) Sąd odsyłający odsyła do ostatnich rozstrzygnięć, takich jak wydane przez Nejvyšší správní soud (najwyższy sąd administracyjny) wyroki z dnia 18 maja 2022 r. 5 As 254/2019‑49 (pkt 17 i 18) i 5 As 241/2019‑46 (pkt 18 i 19). ( ) CE:ECHR:2002:0416JUD003797197, § 43. ( ) Zobacz wyrok z dnia 16 listopada 2023 r., Roos i in./Parlament (C‑458/22 P, EU:C:2023:871, pkt 60, 61). ( ) C‑817/19, EU:C:2022:491. ( ) Zobacz wyrok z dnia 21 czerwca 2022 r., Ligue des droits humains (C‑817/19, EU:C:2022:491, pkt 114). ( ) Zobacz podobnie opinia rzecznika generalnego M. Szpunara w sprawie TC (C‑492/18 PPU, EU:C:2018:875, pkt 46). ( ) Zobacz wyrok z dnia 15 marca 2017 r., Al Chodor (C‑528/15, EU:C:2017:213, pkt 45). Trybunał doszedł do tego wniosku, dokonując wykładni rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 604/2013 z dnia 26 czerwca 2013 r. w sprawie ustanowienia kryteriów i mechanizmów ustalania państwa członkowskiego odpowiedzialnego za rozpatrzenie wniosku o udzielenie ochrony międzynarodowej złożonego w jednym z państw członkowskich przez obywatela kraju trzeciego lub bezpaństwowca (Dz.U. 2013, L 180, s. 31). Do Trybunału zwrócono się z pytaniem, czy kryteria definiujące istnienie ryzyka ucieczki cudzoziemca powinny być zdefiniowane w ustawie i czy termin „ustawa” obejmuje utrwalone orzecznictwo, które potwierdza utrwaloną już praktykę administracyjną. ( ) Zobacz wyrok z dnia 15 marca 2017 r., Al Chodor (C‑528/15, EU:C:2017:213, pkt 44). Dochodząc do tego wniosku Trybunał wskazał, że najistotniejsze jest, aby kryteria definiujące takie ryzyko, które stanowi powód zatrzymania, były wyraźnie określone przez akt wiążący i przewidywalny w zakresie jego stosowania (pkt 42). Biorąc pod uwagę cel rozpatrywanych przepisów, a także wysoki poziom ochrony, jaki wynika z ich kontekstu, tylko przepis o charakterze generalnym może spełniać wymogi jasności, przewidywalności, dostępności, a w szczególności, ochrony przed arbitralnością (pkt 43). ( ) Zobacz „Wytyczne w zakresie stosowania art. 8 europejskiej Konwencji praw człowieka”, zaktualizowane na dzień 31 sierpnia 2024 r., dostępne pod następującym adresem internetowym: https://ks.echr.coe.int/documents/d/echr-ks/guide_art_8_fre (pkt 17). ( ) Zobacz ww. wytyczne, pkt 19. ( ) Zobacz wyrok ETPC z dnia 12 czerwca 2014 r., Fernández Martínez przeciwko Hiszpanii (CE:ECHR:2014:0612JUD005603007, § 117). ( ) Zobacz wyrok ETPC z dnia 4 lipca 2023 r., Glukhin przeciwko Rosji (CE:ECHR:2023:0704JUD001151920, §§ 82, 83). ( ) Zobacz pkt 26 niniejszej opinii. ( ) Zobacz w szczególności wyrok z dnia 23 kwietnia 2009 r., Komisja/Belgia (C‑292/07, EU:C:2009:246, pkt 120, 122).