Domstolens dom (femte avdelningen) den 20 november 2025

I mål C‑57/23, angående en begäran om förhandsavgörande enligt artikel 267 FEUF, framställd av Nejvyšší správní soud (Högsta förvaltningsdomstolen, Tjeckien) genom beslut av den 26 januari 2023, som inkom till EU-domstolen den 2 februari 2023, i målet

DOMSTOLEN (femte avdelningen) sammansatt av avdelningsordföranden M.L. Arastey Sahún, samt domarna J. Passer, E. Regan (referent), D. Gratsias och B. Smulders, generaladvokat: J. Richard de la Tour, justitiesekreterare: handläggaren I. Illéssy,

efter det skriftliga förfarandet och förhandlingen den 28 november 2024,

med beaktande av de yttranden som avgetts av: JH, genom M. Mandzák, L. Nezpěvák och L. Trojan, advokáti, Tjeckiens regering, genom M. Smolek, O. Serdula, J. Vláčil, T. Suchá och L. Březinová, samtliga i egenskap av ombud, Irland, genom M. Browne, Chief State Solicitor, A. Joyce och D. O’Reilly, samtliga i egenskap av ombud, biträdda av A. Mulligan, BL, Nederländernas regering, genom J. Langer, i egenskap av ombud, Polens regering, genom B. Majczyna, i egenskap av ombud, Europeiska kommissionen, genom A. Bouchagiar, H. Kranenborg, P. Němečková och F. Wilman, samtliga i egenskap av ombud,

och efter att den 27 februari 2025 ha hört generaladvokatens förslag till avgörande,

följande

Dom

Tillämpliga bestämmelser

Unionsrätt

Tjeckisk rätt

Målet vid den nationella domstolen och tolkningsfrågorna

Prövning av tolkningsfrågorna

Den tredje frågan

Den första frågan

Upptagande till prövning

Prövning i sak

Den andra frågan

Rättegångskostnader

1 Begäran om förhandsavgörande rör tolkningen av artiklarna 4.1 c och e, 6, 8.2 och 10 i Europaparlamentets och rådets direktiv (EU) 2016/680 av den 27 april 2016 om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut 2008/977/RIF (EUT L 119, 2016, s. 89).

2 Begäran har framställts i ett mål mellan JH och Policejní prezidium (Centrala polisstyrelsen, Tjeckien) (nedan kallad den tjeckiska polisstyrelsen). Målet rör bland annat insamlingen av JH:s biometriska och genetiska uppgifter under en förundersökning om brott och den tjeckiska polisens lagring av dessa uppgifter.

3 Skälen 1, 2, 26, 33, 37 och 96 i direktiv 2016/680 har följande lydelse:

4 I artikel 1 (Syfte och mål [Föremål och syften]) i direktiv 2016/680 föreskrivs följande i punkt 1:

5 I artikel 2 (Tillämpningsområde) i direktiv 2016/680 föreskrivs följande i punkt 1:

6 I artikel 3 (Definitioner) i direktiv 2016/680 föreskrivs följande:

7 I artikel 4 (Principer för behandling av personuppgifter) i direktiv 2016/680 föreskrivs följande i punkt 1:

8 Artikel 5 (Tidsgränser för lagring och översyn) i direktiv 2016/680 har följande lydelse:

9 I artikel 6 (Åtskillnad mellan olika kategorier av registrerade) i direktiv 2016/680 föreskrivs följande:

10 I artikel 8 (Laglig behandling av personuppgifter) i direktiv 2016/680 föreskrivs följande:

11 I artikel 10 (Behandling av särskilda kategorier av personuppgifter) i direktiv 2016/680 föreskrivs följande:

12 Enligt artikel 63.1 i direktiv 2016/680 skulle medlemsstaterna senast den 6 maj 2018 anta och offentliggöra de lagar och andra författningar som är nödvändiga för att följa detta direktiv. Av bestämmelsen framgår även att medlemsstaterna från och med samma datum är skyldiga att tillämpa de bestämmelser som antagits för att införliva direktivet.

13 Direktiv 2016/680 trädde i kraft den 5 maj 2016, i enlighet med vad som anges i artikel 64 i direktivet.

14 I 11 § (Proportionalitet i polisens agerande) i zákon č. 273/2008 Sb., o Policii České republiky (lag nr 273/2008 om Republiken Tjeckiens polisväsende), i den lydelse som är tillämplig i det nationella målet (nedan kallad polislagen), föreskrivs följande:

15 I 65 § i polislagen föreskrivs följande:

16 I 79 § (Grundläggande bestämmelser om behandling av personuppgifter vid utförandet av vissa polisuppgifter) i polislagen föreskrivs följande:

17 82 § (Kontroll av behovet av fortsatt behandling av personuppgifter) i nämnda lag har följande lydelse:

18 Genom beslut av den 11 december 2015 inledde den tjeckiska polisen en förundersökning mot JH avseende trolöshet mot huvudman. Förundersökningen leddes av den tjeckiska polisens nationella specialenhet mot korruption och ekonomisk brottslighet som är placerad i Plzeň (Tjeckien).

19 Den 13 januari 2016 hördes JH av polisen inom ramen för förundersökningen. I samband med detta beslutade polisen även att biometriska underlag skulle tas från JH, trots att han motsatte sig detta. Vid upptagningen fick JH lämna fingeravtryck och ett salivprov för dna-analys. Polisen tog även fotografier av honom och upprättade en beskrivning av hans signalement. Dessa uppgifter registrerades sedan i polisens biometridatabas.

20 JH åtalades sedermera vid Městský soud v Praze (Stadsdomstolen i Prag, Tjeckien) för medverkan till trolöshet mot huvudman och missbruk av offentlig ställning. Nämnda domstol biföll åtalet genom dom av den 15 mars 2017. Påföljden bestämdes till ett villkorligt fängelsestraff på tre år, vilket förenades med ett förbud mot att under fyra års tid utöva ledande befattningar inom offentlig förvaltning som omfattade förvaltning av fast och lös egendom. JH ålades även att, efter förmåga, ersätta den skada som brotten hade orsakat.

21 Den 8 mars 2016 väckte JH talan vid Městský soud v Praze (Stadsdomstolen i Prag) och yrkade att den skulle fastställa att polisens beslut att med stöd av 65 § i polislagen ta biometriska underlag från honom och lagra dessa samt att registrera dem i polisens biometridatabas utgjorde ett rättsstridigt ingrepp i hans grundläggande rätt till respekt för privatlivet.

22 Stadsdomstolen beslutade dock att vilandeförklara målet om JH:s fastställelsetalan, eftersom den redan hade vänt sig till Ústavní soud (Författningsdomstolen, Republiken Tjeckiens) med en fråga om 65 § i polislagen är förenlig med den tjeckiska konstitutionen.

23 Efter att ha prövat frågan om författningsenlighet fann Ústavní soud (Författningsdomstolen) i ett avgörande av den 22 mars 2022 att det saknades skäl att anse att 65 § i polislagen är författningsstridig. Med anledning av detta avgörande återupptog Městský soud v Praze (Stadsdomstolen i Prag) handläggningen av målet om JH:s fastställelsetalan.

24 Stadsdomstolen biföll talan genom dom av den 23 juni 2022 och slog fast att den upptagning av biometriska underlag som hade utförts av den tjeckiska polisen den 13 januari 2016 hade skett i strid med lag. Vidare förelade domstolen den tjeckiska polisen att radera alla personuppgifter avseende nämnda upptagning från sin biometridatabas.

25 I domskälen anförde stadsdomstolen att upptagning av biometriska underlag utgör ett betydande ingrepp i den enskildes grundläggande rätt till respekt för privatlivet, vilken skyddas bland annat i artikel 8 i Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna, som undertecknades i Rom den 4 november 1950 (nedan kallad Europakonventionen), och i artikel 10.3 i Listina základních práv a svobod (Republiken Tjeckiens stadga om de grundläggande fri- och rättigheterna). Enligt nämnda domstol innehåller 65 § i polislagen dock inte tillräckliga anvisningar för bedömningen av huruvida detta ingrepp är proportionerligt. Den enda kontroll som krävs enligt bestämmelsen består nämligen i att polisen, innan en sådan upptagning görs, ska kontrollera huruvida brottsmisstanken avser ett uppsåtligt brott.

26 Domstolen påpekade vidare följande. Den brottslighet som JH åtalats och dömts för är av mindre allvarlig art och påföljden har bestämts till ett villkorligt fängelsestraff, vilket bekräftar att de gärningar som lagts honom till last är av mindre allvarlig art. JH är inte tidigare dömd för brott och det är föga sannolikt att han kommer att återfalla i brott. Det är dessutom inte säkert att den brottslighet som JH dömts för är av sådan art att de personuppgifter om honom som finns registrerade i polisens databas skulle kunna underlätta identifiering vid utredning av framtida brott. Av det nu redovisade drog domstolen slutsatsen att de identifieringsåtgärder som vidtagits av den tjeckiska polisen – det vill säga de som är i fråga i det nu aktuella nationella målet – inte uppfyllde kravet på proportionalitet.

27 Den tjeckiska polisstyrelsen överklagade denna dom till den hänskjutande domstolen, Nejvyšší správní soud (Högsta förvaltningsdomstolen, Tjeckien).

28 Till stöd för sitt överklagande anförde polisstyrelsen att ändamålet med behandlingen av de aktuella personuppgifterna är tydligt formulerat i 65 § i polislagen. Den anförde även att polisen, innan den beslutade om upptagning och lagring av biometriska personuppgifter i JH:s fall, hade gjort en proportionalitetsbedömning, vid vilken den hade beaktat risken för återfall i brott och för att det då skulle kunna röra sig om mer allvarlig brottslighet samt den omständigheten att JH tidigare hade begått flera förseelser.

29 JH gjorde för sin del gällande att polisen hade vidtagit de omtvistade identifieringsåtgärderna utan att först göra en bedömning av huruvida det ingrepp som detta skulle innebära för honom var proportionerligt. JH hävdade även att polisen hade brustit i sin myndighetsutövning genom att inte offentliggöra sina interna riktlinjer om identifieringsåtgärder.

30 I sin begäran om förhandsavgörande har den hänskjutande domstolen angett att den i sin senaste praxis har uttalat att enbart den omständigheten att de formella kraven i 65 § punkt 1 i polislagen är uppfyllda – särskilt kravet på att brottsmisstanken ska avse ett uppsåtligt brott – inte räcker för att upptagning och lagring av personuppgifter av i bestämmelsen angivet slag ska kunna anses vara lagenlig. Polisen har därmed en skyldighet att göra en proportionalitetsbedömning i varje enskilt fall innan den beslutar om upptagning av biometriska underlag. Vid denna bedömning ska hänsyn tas till en rad faktorer, däribland den brottsmisstänktes tidigare brottslighet, hur allvarligt det aktuella brottet är, gärningsmannens personlighet och, vid en begäran om radering i efterhand, den tid som förflutit sedan brottet begicks.

31 Av begäran om förhandsavgörande framgår att tjeckiska domstolar med hänvisning till denna rättspraxis har funnit att identifieringsåtgärder, till exempel i form av upptagning av biometriska underlag, vidtagits i strid med lag, bland annat i fall där brottsmisstanken inte avsåg våldsbrott och den brottsmisstänkte inte tidigare dömts för brott.

32 Det är mot den nu angivna bakgrunden som den hänskjutande domstolen vill få klarhet i huruvida regleringen i 65 § i polislagen är förenlig med direktiv 2016/680.

33 För det första vill den hänskjutande domstolen få klarhet i huruvida de krav som uppställs i detta direktiv utgör hinder för att insamling av biometriska och genetiska uppgifter från brottsmisstänkta sker urskillningslöst i samtliga fall där brottsmisstanken avser ett uppsåtligt brott.

34 Den hänskjutande domstolen har i detta avseende hänvisat till Europadomstolens praxis avseende den grundläggande rätten till respekt för privatlivet, såsom den garanteras i artikel 8 i Europakonventionen, och angett att det av denna praxis framgår att konventionsstaterna är skyldiga att göra åtskillnad mellan brott som föranleder tagande av dna-prov utifrån den samhällsfara som brotten utgör. Konventionsstaterna får enligt nämnda rättspraxis inte likställa gärningsmän som gjort sig skyldiga till allvarlig brottslighet, såsom våldsbrott, från vilka det är befogat att samla in och lagra dna-prov, och gärningsmän som gjort sig skyldiga till mindre allvarlig brottslighet.

35 Vidare har den hänskjutande domstolen tagit upp de krav som följer av proportionalitetsprincipen, däribland särskilt det krav som inom tillämpningsområdet för direktiv 2016/680 kommer till uttryck i form av principen om uppgiftsminimering (artikel 4.1 c) och skyldigheten att göra åtskillnad mellan olika kategorier av registrerade (artikel 6). Enligt den hänskjutande domstolen ger nämnda krav upphov till frågan om det är tillräckligt att på lagstiftningsnivå göra en abstrakt åtskillnad mellan dessa kategorier, bland annat utifrån de aktuella brottens allvarlighetsgrad, eller om det krävs att en proportionalitetsbedömning görs i varje enskilt fall innan ett beslut om upptagning av biometriska underlag fattas.

36 För det andra vill den hänskjutande domstolen få klarhet i huruvida de krav som uppställs i direktiv 2016/680 utgör hinder för att lagring av biometriska och genetiska uppgifter sker utan att det finns uttryckliga bestämmelser som anger hur länge uppgifterna får lagras. Den hänskjutande domstolen har i detta avseende angett att den nu aktuella nationella lagstiftningen inte anger någon yttersta gräns för hur länge identifieringsuppgifter får lagras. Den anser dock att det framgår av Europadomstolens praxis att en sådan yttersta gräns måste anges.

37 För det tredje vill den hänskjutande domstolen få klarhet i huruvida praxis från tjeckiska förvaltningsdomstolar kan anses falla in under begreppet medlemsstaternas nationella rätt i artikel 8 i direktiv 2016/680, som reglerar förutsättningarna för laglig behandling av personuppgifter.

38 Den hänskjutande domstolen har i detta avseende angett att 65 § i polislagen inte reglerar de konkreta förutsättningarna för lagring av tagna prover eller vilken typ av information som kan tas fram ur dessa. Inte heller regleras förutsättningarna för lagring och radering av biometriska och genetiska uppgifter. Detta innebär att nämnda bestämmelse inte i sig kan anses uppfylla kraven i artikel 8.2 jämförd med artikel 10 i direktiv 2016/680.

39 Den hänskjutande domstolen har angett att 65 § i polislagen visserligen kompletteras av genomföranderiktlinjer från den nationella polischefen. Dessa riktlinjer har dock inte ställning som föreskrifter och offentliggörs inte. De kan därför inte anses falla in under begreppet medlemsstaternas nationella rätt, i den mening som avses i artikel 8.2 i direktiv 2016/680.

40 Det som den hänskjutande domstolen vill få klarhet i är således huruvida en medlemsstats nationella rätt kan anses föreskriva tillräckliga materiella och processuella skyddsregler om behandling av känsliga uppgifter, i den mening som avses i artikel 10 i direktivet, såsom biometriska och genetiska uppgifter, om sådana skyddsregler endast framgår av nationell rättspraxis.

41 Mot denna bakgrund beslutade Nejvyšší správní soud (Högsta förvaltningsdomstolen) att vilandeförklara målet och ställa följande tolkningsfrågor till EU-domstolen:

42 Den hänskjutande domstolen har ställt den tredje frågan, som ska prövas först, för att få klarhet i huruvida artiklarna 8 och 10 i direktiv 2016/680 ska tolkas på så sätt att i fråga om insamling, lagring och radering av biometriska och genetiska uppgifter, ska det i dessa artiklar använda begreppet medlemsstaternas nationella rätt förstås som att det enbart avser en generellt gällande bestämmelse som anger vilka minimivillkor som uppställs vad gäller insamling, lagring och radering av sådana uppgifter eller om nämnda begrepp även kan anses omfatta praxis från nationella domstolar där dessa villkor preciseras.

43 EU-domstolen gör i denna del följande bedömning. Av artikel 3.2 jämförd med artikel 3.12 och 3.13 i direktiv 2016/680 framgår att insamling, lagring och radering av biometriska och genetiska uppgifter utgör behandling av personuppgifter, i den mening som avses i detta direktiv.

44 I artikel 4 i direktiv 2016/680 anges olika principer för personuppgiftsbehandling i direktivets mening. Av skälen 1 och 2 i direktivet framgår att dessa principer är ett uttryck för hur unionslagstiftaren, inom de gränser som föreskrivs i artikel 52 i stadgan, har avsett att med avseende på sådan personuppgiftsbehandling konkretisera den i artikel 8 i stadgan fastslagna grundläggande rätten för fysiska personer att få sina personuppgifter skyddade, vilken i sin tur är nära knuten till den i artikel 7 i stadgan fastslagna rätten till respekt för privatlivet. Detta med beaktande av att det är fråga om personuppgiftsbehandling för specifika ändamål, nämligen att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda och lagföra brott eller verkställa en påföljd för brott.

45 En av principerna anges i artikel 4.1 a i direktiv 2016/680 och den innebär att personuppgifter ska behandlas på ett lagligt och korrekt sätt.

46 I artikel 8.1 i direktiv 2016/680 preciseras i detta avseende att medlemsstaterna ska föreskriva att personuppgiftsbehandling som omfattas av direktivet är laglig endast om och i den utsträckning den är nödvändig för att behöriga myndigheter ska kunna utföra sådana uppgifter som anges i artikel 1.1 i direktivet och som grundas på unionsrätt eller nationell rätt.

47 Som förutsättning för sådan personuppgiftsbehandling gäller vidare enligt artikel 8.2 i direktivet att den nationella rätten åtminstone ska specificera syftet med behandlingen, vilka personuppgifter som ska behandlas och ändamålet med behandlingen.

48 Artikel 10 i direktiv 2016/680 reglerar behandling av det som brukar kallas känsliga uppgifter. Med detta avses vissa kategorier av personuppgifter, såsom biometriska eller genetiska uppgifter. Syftet med artikeln är att känsliga personuppgifter ska ges ett ökat skydd genom att strängare förutsättningar krävs för laglig behandling av sådana uppgifter (se, för ett liknande resonemang, dom av den 30 januari 2024, Direktor na Glavna direktsia Natsionalna politsia pri MVR – Sofia, C‑118/22, EU:C:2024:97, punkt 48, och dom av den 4 oktober 2024, Bezirkshauptmannschaft Landeck (Försök att bereda sig tillgång till personuppgifter som finns lagrade i en mobiltelefon), C‑548/21, EU:C:2024:830, punkt 107). Såsom framhålls i skäl 37 i direktiv 2016/680 är dessa kategorier av personuppgifter till sin natur särskilt känsliga ur ett fri- och rättighetsperspektiv, eftersom behandlingsåtgärder med sådana uppgifter kan medföra betydande risker för de registrerades fri- och rättigheter.

49 Enligt artikel 10 i direktiv 2016/680 får således behandling av känsliga personuppgifter – det vill säga uppgifter som ingår i någon av de i artikeln uttömmande uppräknade kategorierna – bara ske om den är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt.

50 Av det nu anförda följer att artiklarna 8 och 10 i direktiv 2016/680 syftar till att precisera räckvidden av vissa av principerna i artikel 4 i direktivet, vilka inom det område som regleras av nämnda direktiv konkretiserar bland annat fysiska personers grundläggande rätt till skydd av sina personuppgifter enligt artikel 8 i stadgan.

51 Det i artiklarna 8 och 10 använda begreppet medlemsstaternas nationella rätt ska därmed förstås som att det syftar till att inom det område som regleras av direktivet konkretisera det i artikel 8.2 i stadgan angivna kravet på att det, om en personuppgiftsbehandling inte sker på grundval av den registrerades samtycke, måste finnas en annan legitim och lagenlig grund för behandlingen. Detta krav återspeglar i sin tur endast vad som gäller för att inskränkningar i de grundläggande rättigheter som erkänns i stadgan ska vara tillåtna. Enligt artikel 52 i stadgan ska varje begränsning vara föreskriven i lag. Begreppet medlemsstaternas nationella rätt avser således förutsättningarna för att kunna använda nationell rätt som rättslig grund för behandling av personuppgifter.

52 EU-domstolen vill här påpeka, i likhet med vad generaladvokaten gjort i punkt 82 i sitt förslag till avgörande, att den, med beaktande av Europadomstolens fasta praxis, har slagit fast att ordet lag, som ingår i det i artikel 8.2 i stadgan använda uttrycket lagenlig grund, ska tolkas i materiell – inte formell – bemärkelse (dom av den 16 november 2023, Roos m.fl./parlamentet, C‑458/22 P, ej publicerad, EU:C:2023:871, punkt 61). Ordet lag förekommer även i uttrycket med stöd av lag i artikel 8.2 i Europakonventionen. Av Europadomstolens praxis framgår att innebörden av detta ord, tolkat i nyss nämnd bemärkelse, är den gällande lydelsen av en lag såsom den tolkats av behöriga domstolar (se, för ett liknande resonemang, Europadomstolen, 23 januari 2025, H.W. mot Frankrike, CE: ECHR:2025:0123JUD001380521, § 65).

53 Av EU-domstolens praxis framgår dessutom följande. Kravet på att samtliga begränsningar av i stadgan stadfästa fri- och rättigheter ska vara föreskrivna i lag innebär att det av själva lagstödet för rättighetsingreppet klart ska framgå vilken räckvidd begränsningen av den aktuella rättigheten har. Nämnda krav hindrar dock inte att en rättighetsbegränsning ges en så pass öppen formulering att den kan anpassas till olika fall och till förändrade förhållanden. Vidare kan en domstol som prövar ett mål som rör en viss rättighetsbegränsning i förekommande fall tolkningsvägen precisera vilken konkret räckvidd begränsningen har, mot bakgrund av både hur de regler som utgör lagstöd är formulerade och deras allmänna systematik samt avsedda ändamål (se, analogt, dom av den 21 juni 2022, Ligue des droits humains, C‑817/19, EU:C:2022:491, punkt 114).

54 Det nu sagda innebär att begreppet medlemsstaternas nationella rätt, i den mening som avses i artiklarna 8 och 10 i direktiv 2016/680, jämförda med artikel 8.2 i stadgan, ska förstås på så sätt att det kan avse en bestämmelse som uttryckligen medger personuppgiftsbehandling av det slag som omfattas av direktivet, såsom bestämmelsen tolkats i de nationella domstolarnas praxis.

55 Under alla omständigheter gäller – såsom anförts ovan i punkt 47 – enligt artikel 8.2 i direktiv 2016/680 som förutsättning för personuppgiftsbehandling som omfattas av direktivet att den nationella rätt som reglerar sådan behandling åtminstone ska specificera syftet med behandlingen, vilka personuppgifter som ska behandlas och ändamålet med behandlingen.

56 EU-domstolen finner här att hänvisningen till den nationella rätt som reglerar personuppgiftsbehandling som omfattas av direktivet får anses innebära att syftet med behandlingen, vilka personuppgifter som ska behandlas och ändamålet med behandlingen, åtminstone i princip, ska specificeras i en generellt gällande bestämmelse. Vidare framgår uttryckligen av skäl 33 i direktivet att syftet med artikel 8.2 i direktivet är att den nationella rätten i den medlemsstat som är ansvarig för behandlingen ska vara klar och precis och att dess tillämpning ska vara förutsebar för den enskilde, vilket ligger i linje med EU-domstolens och Europadomstolens praxis.

57 Enligt Europadomstolens praxis måste en bestämmelse som utgör rättslig grund för personuppgiftsbehandling uppfylla vissa krav, vilka i huvudsak kan sammanfattas enligt följande. För det första ska en sådan bestämmelse vara förenlig med överordnade normer. För det andra ska den vara tillgänglig för allmänheten. För det tredje ska den vara tillräckligt förutsebar, vilket innebär att personer som berörs av den måste ges en, beroende på omständigheterna, rimlig möjlighet att anpassa sitt agerande efter den. Bestämmelsen måste således vara tillräckligt tydligt formulerad avseende under vilka omständigheter och förutsättningar myndigheter får vidta de åtgärder som avses (se, för ett liknande resonemang, Europadomstolen, 26 april 1979, Sunday Times mot Förenade Kungariket, CE:ECHR:1979:0426JUD00065387, §§ 25 och 52, Europadomstolen, 1 juli 2008, Liberty m.fl. mot Förenade kungariket, CE:ECHR:2008:0701JUD005824300, §§ 62 och 63, Europadomstolen, 4 december 2008, S. och Marper mot Förenade kungariket, CE:ECHR:2008:1204JUD003056204, § 95).

58 På samma sätt har EU-domstolen slagit fast följande i sin praxis. Det i artikel 52 i stadgan angivna kravet på att samtliga rättighetsbegränsningar ska vara föreskrivna i lag innebär att en lagstiftning som medför ett ingrepp i de grundläggande rättigheter som garanteras av artiklarna 7 och 8 i stadgan måste innehålla klara och precisa bestämmelser som reglerar räckvidden och tillämpningen av de åtgärder som avses. Bestämmelserna ska även fastställa minimikrav, så att de personer vars personuppgifter berörs ges tillräckliga garantier som gör det möjligt att på ett effektivt sätt skydda deras personuppgifter mot risken för missbruk samt mot otillåten åtkomst och användning (se dom av den 8 april 2014, Digital Rights Ireland m.fl., C‑293/12 och C‑594/12, EU:C:2014:238, punkt 54, och dom av den 6 oktober 2015, Schrems, C‑362/14, EU:C:2015:650, punkt 91).

59 Artikel 8.2 i direktiv 2016/680 syftar alltså till att säkerställa att de ovan i punkterna 56 och 57 angivna kraven iakttas. Av detta följer att det redan av den nationella bestämmelse som reglerar sådan personuppgiftsbehandling som omfattas av direktivet måste framgå, med tillräcklig klarhet och precision, vad som är syftet med denna behandling, vilka uppgifter som ska behandlas och ändamålet med behandlingen. Detta är en förutsättning för att den aktuella behandlingen ska kunna anses uppfylla kravet på att vara föreskriven i lag, i den mening som avses i Europadomstolens praxis och artikel 52 i stadgan.

60 Mot bakgrund av det ovan anförda ska den tredje frågan besvaras enligt följande. Artiklarna 8 och 10 i direktiv 2016/680 ska tolkas på så sätt att vid insamling, lagring och radering av biometriska och genetiska uppgifter, ska det i dessa artiklar använda begreppet medlemsstaternas nationella rätt förstås som att det avser en generellt gällande bestämmelse som anger vilka minimikrav som gäller för insamling, lagring och radering av sådana uppgifter, såsom denna bestämmelse tolkas i de nationella domstolarnas praxis, under förutsättning att denna praxis är tillgänglig och tillräckligt förutsebar

61 Europeiska kommissionen har i sitt skriftliga yttrande gjort gällande att den första frågan inte kan tas upp till prövning. Den tjeckiska polisens upptagning av biometriska underlag från JH ägde nämligen rum den 13 januari 2016, det vill säga före ikraftträdandedagen för direktiv 2016/680 (den 5 maj 2016), och före utgången av den i artikel 63.1 i direktivet angivna införlivandefristen (den 6 maj 2018).

62 EU-domstolen gör i denna del följande bedömning. En begäran om att besvara en tolkningsfråga från en nationell domstol kan bara avvisas då det är uppenbart att den begärda tolkningen av unionsrätten inte har något samband med de verkliga omständigheterna eller saken i det nationella målet eller då frågeställningen är hypotetisk eller EU-domstolen inte har tillgång till sådana uppgifter om de faktiska eller rättsliga omständigheterna som är nödvändiga för att kunna ge ett användbart svar på de frågor som ställts till den (dom av den 20 mars 2025, Anib m.fl., C‑728/22–C‑730/22, EU:C:2025:200, punkt 48).

63 Vad gäller det nu aktuella fallet kan följande konstateras. Av artikel 64 i direktiv 2016/680 framgår att ikraftträdandedagen för direktivet sattes till den 5 maj 2016, och av artikel 63 framgår att medlemsstaterna senast den 6 maj 2018 skulle anta och offentliggöra de lagar och andra författningar som är nödvändiga för att följa direktivet.

64 Av handlingarna i målet framgår dock att den tjeckiska polisen efter den 6 maj 2018 har fortsatt att lagra de personuppgifter som samlats in rörande JH utifrån upptagningen av biometriska underlag från honom, vilken gjordes den 13 januari 2016. Dessa uppgifter har således även fortsatt att behandlas efter nämnda datum.

65 Med förbehåll för de fall som avses i artikel 4.2 i direktiv 2016/680, gäller enligt artikel 4.1 b i samma direktiv att personuppgifter inte får behandlas om de inte har samlats in för berättigade ändamål.

66 EU-domstolen finner därför, i likhet med vad generaladvokaten har påpekat i punkt 34 i sitt förslag till avgörande, att om personuppgifter av det slag som omfattas av direktiv 2016/680 har samlats in på ett lagligt sätt före direktivets ikraftträdandedag, så blir frågan om sådana uppgifter får lagras efter den dag då direktivet införlivades – eller efter den dag då det senast skulle ha införlivats, det vill säga den 6 maj 2018 – beroende av om insamlingen av de aktuella uppgifterna skulle ha varit i strid med de i direktivet fastslagna principerna om den hade gjorts efter nämnda datum. Om så är fallet är lagringen av uppgifterna otillåten.

67 I förevarande fall kan det således inte anses vara uppenbart att den första frågan helt saknar samband med de verkliga omständigheterna eller saken i det nationella målet eller att den frågeställning som aktualiseras är hypotetisk på grund av att den, såsom kommissionen har hävdat, avser biometriska och genetiska uppgifter som samlats in innan direktiv 2016/680 trädde i kraft.

68 Vidare anser EU-domstolen att den har tillgång till samtliga uppgifter om de faktiska eller rättsliga omständigheterna som den behöver för att kunna ge ett användbart svar på den första frågan och att frågan därmed kan tas upp till prövning.

69 Den hänskjutande domstolen har ställt den första frågan för att få klarhet i huruvida artikel 6 eller artikel 4.1 c jämförd med artikel 10 i direktiv 2016/680 ska tolkas på så sätt att de utgör hinder för en nationell lagstiftning som medger att insamling av biometriska och genetiska uppgifter från personer som är föremål för förundersökning eller delgivna misstanke om brott sker urskillningslöst i samtliga fall där förundersökningen eller brottsmisstanken avser ett uppsåtligt brott.

70 EU-domstolen gör i denna del följande bedömning. Enligt artikel 6 i direktiv 2016/680 är medlemsstaterna skyldiga att föreskriva att den personuppgiftsansvarige, i tillämpliga fall och så långt det är möjligt, ska göra en klar åtskillnad mellan personuppgifter som rör olika kategorier av registrerade, såsom de som nämns i leden a–d i denna artikel, det vill säga personer avseende vilka det finns tungt vägande skäl att anta att de har begått eller är på väg att begå ett brott, personer som dömts för brott, brottsoffer eller personer avseende vilka det finns vissa omständigheter som ger anledning att anta att de kan vara brottsoffer, och andra som berörs av brott, exempelvis personer som kan komma att kallas som vittnen i samband med en brottsutredning eller en efterföljande rättegång, personer som kan ge information om brott eller personer med kontakter med eller band till någon av de personer som avses i leden a och b.

71 Enligt denna bestämmelse ska medlemsstaterna alltså se till den personuppgiftsansvarige i tillämpliga fall och så långt det är möjligt särskiljer olika kategorier av personuppgifter, så att det tydligt framgår vilken kategori av registrerade en person tillhör. Detta syftar till att undvika att alla personer, oavsett vilken kategori de tillhör, utan åtskillnad drabbas av samma grad av ingrepp i den grundläggande rätten att få sina personuppgifter skyddade. Kategorierna ska ju fastställas huvudsakligen utifrån den berörda personens ställning i brottmålsprocessen.

72 Såsom framgår av användningen av uttrycket i tillämpliga fall och så långt det är möjligt i artikel 6 i direktiv 2016/680, är den däri angivna skyldigheten för medlemsstaterna att särskilja vissa kategorier av registrerade inte absolut, utan beror bland annat på huruvida det i varje enskilt fall är möjligt att göra en klar åtskillnad mellan dessa kategorier (se dom av den 26 januari 2023, Ministerstvo na vatreshnite raboti (Polisens registrering av biometriska och genetiska uppgifter), C‑205/21, EU:C:2023:49, punkt 84) och på ändamålet med personuppgiftsbehandlingen.

73 I förevarande fall har den tjeckiska regeringen gjort gällande att den hänskjutande domstolens hänvisning till kategorin misstänkta personer ska förstås som att den avser personer som i samband med ett påskyndat preliminärt förfarande har delgivits misstanke om brott. För detta krävs enligt den nu aktuella nationella lagstiftningen att det finns tillräckligt konkreta omständigheter som pekar mot att den misstänkte har begått brottet. Samma misstankegrad krävs, enligt den tjeckiska regeringen, för att en förundersökning ska kunna inledas mot en person.

74 Om det förhåller sig så som den tjeckiska regeringen påstår, vilket det ankommer på den hänskjutande domstolen att kontrollera, skulle båda dessa kategorier av personer kunna anses omfattas av den kategori som avses i artikel 6 a i direktiv 2016/680 med avseende på en viss personuppgiftsbehandling, under förutsättning att ändamålen med den aktuella behandlingen inte kräver att det görs en åtskillnad mellan dessa båda kategorier.

75 Det nu sagda innebär följande. Artikel 6 i direktiv 2016/680 ska tolkas på så sätt att den inte utgör hinder för en nationell lagstiftning som medger att insamling av biometriska och genetiska uppgifter från personer som omfattas av kategorin personer som är föremål för förundersökning om brott och personer som omfattas av kategorin personer som är delgivna misstanke om brott, i den mening som avses i nationell rätt, sker urskillningslöst i samtliga fall där förundersökningen eller brottsmisstanken avser ett uppsåtligt brott. Detta gäller dock under förutsättning att ändamålen med insamlingen inte kräver att det görs en åtskillnad mellan dessa två kategorier av personer, vars personuppgifter kan komma att samlas in med stöd av nämnda lagstiftning.

76 EU-domstolen övergår nu till att behandla tolkningen av artikel 4.1 c jämförd med artikel 10 i direktiv 2016/680. Av den förstnämnda bestämmelsen framgår att personuppgifter ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas. Detta krav innebär således att medlemsstaterna är skyldiga att iaktta principen om uppgiftsminimering och endast behandla de personuppgifter som behövs med hänsyn till syftet och ändamålet med den aktuella behandlingen.

77 Artikel 10 i direktiv 2016/680 reglerar för sin del behandling av känsliga personuppgifter, däribland biometriska och genetiska uppgifter. Enligt artikeln är behandling av känsliga personuppgifter bara tillåten om den uppfyller de krav som anges i leden a–c i artikeln och dessutom uppfyller ytterligare två krav, nämligen dels att det finns lämpliga skyddsåtgärder för den registrerades fri- och rättigheter, dels att behandlingen är absolut nödvändig.

78 Det sistnämnda kravet innebär att det måste göras en särskilt noggrann bedömning av om det är nödvändigt att behandla uppgifterna utifrån det avsedda ändamålet och att det endast finns ett begränsat antal fall där det kan anses vara nödvändigt att behandla känsliga personuppgifter (se, för ett liknande resonemang, dom av den 26 januari 2023, Ministerstvo na vatreshnite raboti (Polisens registrering av biometriska och genetiska uppgifter), C‑205/21, EU:C:2023:49, punkt 118).

79 Vid behandling av biometriska och genetiska uppgifter får ändamålen med behandlingen således inte formuleras i alltför allmänna ordalag, utan måste definieras på ett tillräckligt precist och konkret sätt för att det ska vara möjligt att bedöma huruvida behandlingen är absolut nödvändig (dom av den 26 januari 2023, Ministerstvo na vatreshnite raboti (Polisens registrering av biometriska och genetiska uppgifter), C‑205/21, EU:C:2023:49, punkt 124).

80 Direktiv 2016/680 innehåller visserligen inte någon definition av begreppet behandlingens ändamål. Det kan dock konstateras att det i artikel 8.2 i direktivet uttryckligen görs en åtskillnad mellan detta begrepp och begreppet syftet med behandlingen. I artikel 4.1 b i direktiv 2016/680 anges att det bland annat ska finnas särskilda och uttryckligt angivna ändamål för den personuppgiftsbehandling som utförs och att personuppgifter inte får behandlas på ett sätt som står i strid med dessa ändamål. Av artikel 4.1 c i direktivet framgår att det är mot bakgrund av de angivna ändamålen som det bland annat ska bedömas huruvida de personuppgifter som ska behandlas är adekvata, relevanta och inte onödigt omfattande.

81 Av det nu sagda kan den slutsatsen dras att begreppet syftet med behandlingen, i den mening som avses i artikel 8.2 i direktiv 2016/680, avser de i artikel 1.1 angivna mer allmänna ändamål för vilka personuppgifter ska behandlas för att omfattas av direktivet, medan begreppet behandlingens ändamål, särskilt i den mening som avses i nämnda artikel 8.2, ska förstås som att det avser de särskilda och konkreta ändamålen för behandlingen i det enskilda fallet. Dessa bestäms utifrån den uppgift som ålagts den personuppgiftsansvariga myndigheten, vilket i polisens fall kan vara att utföra specifika uppgifter i syfte att förebygga eller avslöja brott, eller i syfte att utreda och lagföra brott eller verkställa påföljder.

82 Därefter kan konstateras att det, vad gäller andra personuppgifter än känsliga personuppgifter, framgår av skäl 26 i direktiv 2016/680, jämförd med proportionalitetsprincipen, att det i direktivet angivna nödvändighetskravet är uppfyllt om ändamålet med den aktuella personuppgiftsbehandlingen inte rimligen kan uppnås på ett lika effektivt sätt genom andra medel som är mindre ingripande för den registrerades grundläggande rättigheter. Av detta kan slutsatsen dras att det krav på absolut nödvändighet som gäller för behandling av känsliga personuppgifter dessutom innebär att den personuppgiftsansvarige ska göra en bedömning av om det avsedda ändamålet med behandlingen kan uppnås på ett lika effektivt sätt genom att använda andra kategorier av personuppgifter än dem som räknas upp i artikel 10 i direktiv 2016/680 (se, för ett liknande resonemang, dom av den 26 januari 2023, Ministerstvo na vatreshnite raboti (Polisens registrering av biometriska och genetiska uppgifter), C‑205/21, EU:C:2023:49, punkt 126).

83 Härtill kommer att det måste tas hänsyn till de betydande risker som behandlingen av känsliga personuppgifter innebär för de registrerades fri- och rättigheter, särskilt i samband med den typ av uppgifter som åläggs de behöriga myndigheterna för de ändamål som anges i artikel 1.1 i direktiv 2016/680. Det nyss nämnda kravet på absolut nödvändighet omfattar således även att det ska göras en bedömning av om det ändamål för vilket personuppgifterna ska behandlas är särskilt viktigt. Denna bedömning kan göras utifrån bland annat vilken typ av ändamål det rör sig om, vilket i sin tur innefattar en prövning av om personuppgiftsbehandlingen har ett specifikt och konkret syfte kopplat till att förebygga eller bekämpa brott eller allvarliga hot mot den allmänna säkerheten. Vid denna bedömning kan även hänsyn tas till de särskilda omständigheter under vilka personuppgifterna ska behandlas (se, för ett liknande resonemang, dom av den 26 januari 2023, Ministerstvo na vatreshnite raboti (Polisens registrering av biometriska och genetiska uppgifter), C‑205/21, EU:C:2023:49, punkt 127).

84 Under alla omständigheter vill EU-domstolen klargöra vad som gäller beträffande insamling av biometriska och genetiska uppgifter från personer som är föremål för förundersökning eller delgivna misstanke om ett uppsåtligt brott i fall där insamlingen sker i syfte att underlätta framtida identifiering av personer och jämförelse av spår. När det gäller sådan behandling i registreringssyfte innebär kravet på att behandlingen ska vara absolut nödvändig att det i det enskilda fallet måste göras en samlad bedömning där hänsyn tas till arten och allvaret av den aktuella brottsmisstanken, de särskilda omständigheterna kring brottet, det eventuella sambandet mellan brottet och andra pågående brottmålsprocesser samt personens brottshistorik eller profil (se, för ett liknande resonemang, dom av den 26 januari 2023, Ministerstvo na vatreshnite raboti (Polisens registrering av biometriska och genetiska uppgifter), C‑205/21, EU:C:2023:49, punkt 132).

85 Slutligen innebär kravet på att behandlingen ska vara absolut nödvändig att det måste göras en särskilt strikt prövning i förhållande till principen om uppgiftsminimering, som fastslås i artikel 4.1 c i direktivet (se dom av den 26 januari 2023, Ministerstvo na vatreshnite raboti (Polisens registrering av biometriska och genetiska uppgifter), C‑205/21, EU:C:2023:49, punkt 125).

86 Här kan särskilt nämnas lagring eller användning av dna-profiler för identifierings- eller jämförelseändamål. I det sammanhanget innebär kravet på uppgiftsminimering att bedömningen av om personuppgiftsbehandlingen är absolut nödvändig ska göras med beaktande av möjligheten att uteslutande analysera polymorfismer i icke-kodande områden i arvsmassan, det vill säga områden som man vet inte ger någon information om personers etnicitet eller ärftliga sjukdomar.

87 Det sagda innebär att en medlemsstat kan efterkomma direktiv 2016/680 på två olika sätt. Medlemsstaten kan antingen delegera uppgiften att i varje enskilt fall se till att kravet på absolut nödvändighet är uppfyllt vid all behandling av känsliga personuppgifter till de behöriga myndigheterna eller i lagstiftning fastställa bedömningskriterier som myndigheterna inte får tillämpa efter eget skön. Om det sistnämnda alternativet väljs krävs dock att bedömningskriterierna är sådana att de tillgodoser samtliga ovan i punkterna 77–83 angivna delar av kravet på absolut nödvändighet.

88 Här ska erinras om vad EU-domstolen tidigare har slagit fast angående kravet på absolut nödvändighet. I domen av den 26 januari 2023, Ministerstvo na vatreshnite raboti (Polisens registrering av biometriska och genetiska uppgifter) ( C‑205/21, EU:C:2023:49, punkt 135), var det fråga om en nationell lagstiftning som föreskrev en skyldighet för polisen att samla in biometriska och genetiska uppgifter från brottsmisstänkta för registrering i samtliga fall där brottsmisstanken avsåg ett uppsåtligt brott som omfattades av allmänt åtal, utan att det angavs någon skyldighet för polisen att pröva och visa dels att denna insamling är absolut nödvändig för att uppnå de konkreta mål som eftersträvas, dels att dessa mål inte kan uppnås genom åtgärder som utgör ett mindre allvarligt ingrepp i den registrerades fri- och rättigheter. Domstolen fann att en sådan lagstiftning strider mot nämnda krav.

89 Den lagstiftning som den första tolkningsfrågan i det nu aktuella målet avser skiljer sig dock från den lagstiftning som var i fråga i det nyss nämnda målet. Där var det alltså fråga om en lagstiftning enligt vilken det var obligatoriskt för polisen att samla in biometriska och genetiska uppgifter från brottsmisstänkta i samtliga fall där brottsmisstanken avsåg ett uppsåtligt brott som omfattades av allmänt åtal. I förevarande mål är det däremot fråga om en lagstiftning som endast ger polisen en möjlighet att uppta biometriska underlag från personer som är föremål för förundersökning eller delgivna misstanke om ett uppsåtligt brott.

90 Den omständigheten att en lagstiftning ger polisen en sådan möjlighet innebär inte att den berörda medlemsstatens nationella rätt medger att upptagning av biometriska underlag från sådana personer sker systematiskt eller att sådan upptagning i vissa fall kan ske, trots att detta skulle strida mot bland annat principen om uppgiftsminimering i artikel 4.1 c i direktiv 2016/680 eller kravet på att behandlingen ska vara absolut nödvändig i artikel 10 i direktivet. Detta gäller dock under förutsättning att den nationella rätten, inbegripet de nationella domstolarnas praxis, på ett lämpligt och tillräckligt precist sätt definierar de ändamål för vilka biometriska och genetiska uppgifter kan behandlas, det vill säga de specifika och konkreta syftena med personuppgiftsbehandlingen med hänsyn till den uppgift som ålagts den personuppgiftsansvariga myndigheten, och att denna möjlighet utövas i enlighet med de krav som anges i punkterna 77–83 ovan.

91 Av handlingarna i förevarande mål framgår att det i nationell rättspraxis uppställs vissa krav som syftar till att säkerställa att principen om uppgiftsminimering iakttas. Polisen är till exempel skyldig att göra en proportionalitetsbedömning i varje enskilt fall innan den beslutar om upptagning av ett dna-prov. Polisen ska därvid ta hänsyn till en rad faktorer, däribland den brottsmisstänktes brottshistorik, hur allvarligt det aktuella brottet är mot bakgrund av brottstypen och de särskilda omständigheter kring brottet som motiverar upptagning av ett dna-prov samt gärningsmannens personlighet.

92 I en sådan situation ankommer det på de nationella domstolarna att i varje enskilt fall göra en prövning av huruvida polisens upptagning av biometriska underlag har skett i strid med de principer för behandling av personuppgifter som anges i artikel 4 i direktiv 2016/680 och de särskilda krav som gäller vid behandling av känsliga personuppgifter enligt artikel 10 i direktivet, tolkad mot bakgrund av artiklarna 7 och 8 i stadgan.

93 Det ska i detta avseende även påpekas att enbart den omständigheten att brottsmisstanken avser ett ekonomiskt brott, och att insamlingen av biometriska och genetiska uppgifter äger rum innan den brottsmisstänkte har dömts genom en lagakraftvunnen dom, inte räcker för att utesluta att en sådan insamling kan anses vara absolut nödvändig. Beroende på de ändamål för vilka uppgifterna ska behandlas kan en sådan insamling nämligen, med hänsyn även till vilken typ av uppgifter det rör sig om, visa sig vara absolut nödvändig, bland annat för att fastställa huruvida en brottsmisstänkt person som eventuellt tillhör en kriminell organisation kan antas ha deltagit i andra brott för vilka uppgifter av detta slag skulle kunna vara relevanta, eller, om det finns en risk för avvikande, för att identifiera personen.

94 Mot bakgrund av det ovan anförda ska den första frågan besvaras enligt följande. Artikel 6 och artikel 4.1 c jämförd med artikel 10 i direktiv 2016/680 ska tolkas på så sätt att de inte utgör hinder för nationell lagstiftning som medger att insamling av biometriska och genetiska uppgifter från personer som är föremål för förundersökning eller delgivna misstanke om brott sker urskillningslöst i samtliga fall där förundersökningen eller brottsmisstanken avser ett uppsåtligt brott. Detta gäller dock under förutsättning dels att ändamålen med insamlingen inte kräver att det görs en åtskillnad mellan dessa två kategorier av personer, dels att de personuppgiftsansvariga har en skyldighet enligt nationell rätt – inbegripet de nationella domstolarnas praxis – att iaktta alla principer och särskilda krav som anges i artiklarna 4 och 10 i direktivet.

95 Det ska inledningsvis påpekas att den hänskjutande domstolen i formuleringen av den andra frågan har hänvisat till en nationell lagstiftning som innebär att de aktuella personuppgifterna i de flesta fall lagras på obestämd tid. Av handlingarna i målet framgår dock att den hänskjutande domstolen i själva verket har använt uttrycket obestämd tid för att hänvisa till den omständigheten att det i nämnda lagstiftning inte har fastställts någon längsta lagringstid, och inte till att lagringen skulle vara obegränsad i tiden.

96 Den andra frågan får således anses ha ställts för att få klarhet i huruvida artikel 4.1 c i direktiv 2016/680 ska tolkas på så sätt att den utgör hinder för en nationell lagstiftning som innehåller bestämmelser som anger att behovet av att fortsätta lagra biometriska och genetiska uppgifter ska bedömas av polisen på grundval av interna föreskrifter, utan att det anges någon övre gräns för hur länge sådana uppgifter får lagras.

97 EU-domstolen gör i denna del följande bedömning. Enligt artikel 4.1 e i direktiv 2016/680 ska medlemsstaterna föreskriva att personuppgifter inte får förvaras i en form som möjliggör identifiering av den registrerade under längre tid än vad som är nödvändigt för de ändamål för vilka de behandlas.

98 Vad först gäller den omständigheten att det i den aktuella nationella lagstiftningen inte föreskrivs någon längsta lagringstid, ska det påpekas att det nyss nämnda kravet i artikel 4.1 e hänger nära samman med artikel 5 i direktivet. Den artikeln ålägger medlemsstaterna att föreskriva lämpliga tidsgränser för när personuppgifter ska raderas eller för regelbunden översyn av behovet av att lagra sådana uppgifter. Det ska även finnas regler för att säkerställa att tidsgränserna hålls.

99 Nämnda artikel 5 överlåter däremot till medlemsstaterna att bestämma vilka tidsgränser som ska gälla, så länge dessa är lämpliga. Medlemsstaterna ges även möjlighet att välja mellan att införa tidsgränser för radering av personuppgifter eller för regelbunden översyn av behovet av att lagra dem.

100 Artiklarna 4.1 e och 5 i direktiv 2016/680 ska visserligen läsas mot bakgrund av bland annat artikel 10 i direktivet, vilket innebär att de i sistnämnda artikel angivna kraven på absolut nödvändighet och på att det ska finnas lämpliga skyddsåtgärder för den registrerades fri- och rättigheter även gäller vid lagring av biometriska eller genetiska uppgifter.

101 EU-domstolen finner dock att den nationella rätten i en medlemsstat ska anses uppfylla dessa krav om medlemsstaten har infört bestämmelser som anger lämpliga tidsgränser för regelbunden översyn av behovet av att lagra sådana personuppgifter och att det vid denna översyn ska göras en bedömning av huruvida det är absolut nödvändigt att förlänga lagringstiden. Det nu sagda innebär att en medlemsstat som valt detta alternativ inte är skyldig att fastställa absoluta tidsgränser för hur länge personuppgifter får lagras och efter vars utgång uppgifterna ska raderas automatiskt, och detta inte ens när det gäller känsliga personuppgifter (se, för ett liknande resonemang, dom av den 30 januari 2024, Direktor na Glavna direktsia Natsionalna politsia pri MVR – Sofia, C‑118/22, EU:C:2024:97, punkt 52).

102 Däremot gäller vissa krav för att sådana tidsgränser för regelbunden översyn ska anses vara lämpliga. Av artikel 4.1 c och e i direktiv 2016/680, jämförd med artikel 52.1 i stadgan, följer att personuppgifter ska raderas, i enlighet med vad som anges i artikel 16.2 och 16.3 i direktivet, om det vid en sådan översyn står klart att det inte längre är absolut nödvändigt att lagra de aktuella personuppgifterna och att lagringen därmed framstår som onödigt omfattande i förhållande till de ändamål för vilka uppgifterna behandlas (se, för ett liknande resonemang, dom av den 30 januari 2024, Direktor na Glavna direktsia Natsionalna politsia pri MVR – Sofia, C‑118/22, EU:C:2024:97, punkterna 45, 48 och 50 samt där angiven rättspraxis).

103 Ytterligare krav följer av artikel 4.1 c i direktiv 2016/680, där det anges att alla personuppgifter ska vara adekvata, relevanta och inte för omfattande i förhållande till ändamålet med behandlingen – varvid det även ska beaktas att den bestämmelsen och artikel 8 i direktivet ska läsas mot bakgrund av de krav som följer av artikel 52 i stadgan – samt av artikel 6 i direktivet, där det anges att den personuppgiftsansvarige är skyldig att vid behov göra en tydlig åtskillnad mellan personuppgifter som rör olika kategorier av registrerade. Mot bakgrund av dessa krav kan tidsgränser för regelbunden översyn som fastställts av en medlemsstat inte anses vara lämpliga om de inte innebär att den omständigheten att den registrerades ställning i en brottmålsprocess ändras på ett sätt som anses vara relevant med hänsyn till lagringsändamålet medför en skyldighet för den personuppgiftsansvarige att inom rimlig tid ompröva behovet av att fortsätta lagra den registrerades personuppgifter.

104 Vad därefter gäller den omständigheten att bedömningen av huruvida det är nödvändigt att fortsätta lagra biometriska och genetiska uppgifter görs av polisen på grundval av interna föreskrifter, kan det konstateras att en sådan ordning inte i sig strider mot artikel 8.2 i direktiv 2016/680. Det nu sagda gäller dock under förutsättning att polisen enligt dessa föreskrifter är skyldig att säkerställa att kravet på absolut nödvändighet är uppfyllt vid lagring av sådana uppgifter och att polisens utrymme för skönsmässig bedömning avgränsas i tillräcklig mån av den nationella rätten, inbegripet de nationella domstolarnas praxis.

105 Klart är nämligen att den omständigheten att föreskrifterna är interna, och därmed inte är tillgängliga för samtliga personer vars personuppgifter kan komma att behandlas, innebär att det rör sig om föreskrifter som inte kan åberopas av de behöriga myndigheterna för att visa att de uppfyller de krav som ställs på dem. Däremot medför denna omständighet inte att personuppgiftsbehandling som utförs med stöd av sådana föreskrifter automatiskt blir olaglig. Dock innebär den att polisen, vid en eventuell domstolsprövning av ett beslut om att behandla biometriska och genetiska uppgifter, kommer att behöva visa – oberoende av sina interna föreskrifter – att kravet på absolut nödvändighet har varit uppfyllt.

106 Vad gäller det nu aktuella fallet kan det konstateras att den tjeckiska regeringen har gjort gällande att det av bland annat 65 § punkt 5 i polislagen framgår – vilket det ankommer på den hänskjutande domstolen att kontrollera – att dna-profiler från personer som är föremål för förundersökning eller delgivna misstanke om ett uppsåtligt brott ska raderas om det inte längre är nödvändigt att lagra dem med hänsyn till de eftersträvade målen, det vill säga om de berörda personerna inte längre är föremål för förundersökning eller misstanke om brott, och inte heller är det i någon annan brottmålsprocess, eller om de inte har begått andra brott tidigare.

107 I detta avseende ska dock följande påpekas. Vid lagring av biometriska och genetiska uppgifter kan kravet på absolut nödvändighet enligt artikel 10 i direktiv 2016/680 anses vara uppfyllt endast om det gjorts en proportionalitetsbedömning där hänsyn inte enbart tas till den registrerade personens eventuella anknytning till andra pågående brottmålsprocesser eller till hans eller hennes tidigare brottslighet eller profil, utan även till vilken typ av brott som personen har dömts för genom lagakraftvunnen dom och hur allvarligt brottet är, eller andra omständigheter, såsom det särskilda sammanhang i vilket brottet begåtts (se, för ett liknande resonemang, dom av den 30 januari 2024, Direktor na Glavna direktsia Natsionalna politsia pri MVR – Sofia, C‑118/22, EU:C:2024:97, punkt 67).

108 Även om det i tjeckisk rätt inte föreskrivs någon längsta lagringstid för personuppgifter som samlats in med stöd av 65 § punkt 1 i polislagen, är polisen enligt 82 § punkt 1 i denna lag dock skyldig att minst en gång vart tredje år göra en översyn och kontrollera att det fortfarande är nödvändigt att lagra uppgifterna för att polisen ska kunna utföra sina uppgifter.

109 Det ankommer således på den hänskjutande domstolen att med hänsyn till de ändamål för vilka de aktuella biometriska och genetiska uppgifterna lagras avgöra huruvida en tidsgräns för regelbunden översyn på tre år kan anses vara lämplig. Här ska dock påpekas att även om tidsgränsen inte anses vara lämplig, så medför detta inte ett krav på att uppgifterna ska raderas, om polisen kan visa att det under alla omständigheter är absolut nödvändigt att fortsätta lagra uppgifterna.

110 Mot bakgrund av det ovan anförda ska den andra frågan besvaras enligt följande. Artikel 4.1 e i direktiv 2016/680 ska tolkas på så sätt att den inte utgör hinder för en nationell lagstiftning som innehåller bestämmelser som anger att behovet av att fortsätta lagra biometriska och genetiska uppgifter ska bedömas av polisen på grundval av interna föreskrifter, utan att det anges någon övre gräns för hur länge sådana uppgifter får lagras. Detta gäller dock under förutsättning att det i den aktuella lagstiftningen finns bestämmelser som fastställer lämpliga tidsgränser för regelbunden översyn av behovet av att lagra sådana uppgifter och som anger att det vid denna översyn ska göras en bedömning av om det är absolut nödvändigt att förlänga lagringstiden.

111 Eftersom förfarandet i förhållande till parterna i det nationella målet utgör ett led i beredningen av samma mål, ankommer det på den hänskjutande domstolen att besluta om rättegångskostnaderna. De kostnader för att avge yttrande till domstolen som andra än nämnda parter har haft är inte ersättningsgilla.

1 Rättegångsspråk: tjeckiska.