Sakens bakgrunn

Etter at V. S. ble siktet for skattesvindel av bulgarske politimyndigheter, ble hun bedt om å samarbeide ved innsamling av biometriske og genetiske data. V. S. motsatte seg dette. Politiet ba en bulgarsk domstol om å godkjenne tvangsinnsamling av den siktedes genetiske og biometriske data. Den foreleggende domstolen er Spetsializiran nakazatelen sad (særdomstol for straffesaker i Bulgaria). Spørsmålet er om bulgarsk lovgivning, som tillater tvangsinnsamling av slik data fra personer som er siktet for en forsettlig straffbar handling, er forenlig med direktiv (EU) 2016/680 og charteret.

EU-domstolens vurdering

Første og andre spørsmål

Det første spørsmålet er om direktiv (EU) 2016/680 artikkel 10 er korrekt gjennomført i Bulgarias nasjonale lovgivning, hvor rettsregelen som ligger til grunn for registrering i politiregisteret kun henviser til en lignende bestemmelse i personvernforordningen (EU) 2016/679 [GDPR] artikkel 9. Det andre spørsmålet er om kravet om at begrensninger i den registrertes rettigheter og friheter må være fastlagt i lovgivningen er oppfylt når nasjonal lovgivning inneholder motstridende regler om behandling av data ved opprettelse av politiregister, jf. artikkel 10 (a) og charteret artikkel 52.

Både GDPR artikkel 9 og direktivet artikkel 10 regulerer behandling av særlige kategorier av personopplysninger. Artikkel 10 angir at behandling kun er tillatt når det foreligger en situasjon nevnt i bestemmelsen bokstav a til c, er strengt nødvendig og skjer under tilstrekkelige garantier for å beskytte den registrertes rettigheter. GDPR artikkel 9 (1) inneholder et generelt forbud mot behandling av særlige kategorier av personopplysninger. Artikkel 9 (2) angir en liste over unntak fra forbudet. Listen angir ikke situasjoner som omfattes av direktivets behandling av personopplysninger definert i direktivet artikkel 1 (1). Listen angir heller ikke hvilke situasjoner som oppfyller vilkårene i direktivets artikkel 10 (a) om at behandlingen er lovlig dersom den er hjemlet i EU-retten eller medlemsstatenes nasjonale lovgivning og oppfyller de to andre ovennevnte vilkår.

EU-domstolen påpeker at dette betyr at selv om en behandling av biometriske og genetiske data omfattes av direktivet artikkel 10 (a), kan GDPR stille ytterligere krav som må oppfylles for behandling.

Kravet i direktivet artikkel 10 (a) om at behandlingen av personopplysninger må være hjemlet i EU-retten eller medlemsstatenes nasjonale rett, må ifølge EU-domstolen tolkes i lys av charteret artikkel 52 (1) om krav til hjemmel i lovgivning ved begrensninger i rettigheter og friheter. Begrensningen må være definert klart og presist, jf. C-245/19 og C-246/19.

Nasjonal lovgiver må sørge for at det ikke er tvil om hvilken rettsakt som gjelder for innsamlingen av biometriske og genetiske data. Det bemerkes også at kravet om gjennomføring av direktivet gjelder alle statens myndigheter etter TEUV artikkel 288 (3), herunder nasjonale domstoler, jf. C-419/18 og C-483/18.

GDPR artikkel 9 (2) utelukker ikke at kompetente myndigheter kan behandle biometriske og genetiske data i andre sammenhenger enn de som er knyttet til formålene i direktivets artikkel 1 (1). GDPR artikkel 9 gjelder for disse dataene når de ikke faller utenfor forordningens virkeområde i artikkel 2 (2). Behandlingen må i så fall omfattes av et av unntakene i artikkel 9 (2), for å ikke være forbudt.

Tredje spørsmål

Spørsmålet er om direktivets artikkel 6 (a), sammenholdt med charterets artikkel 47 og 48, er til hinder for nasjonal lovgivning som tillater tvangsinnsamling av den siktedes biometriske og genetiske data, selv om den siktede motsetter seg dette, og uten at domstolene på anmodningstidspunktet har mulighet til å vurdere bevis for at det er vesentlig grunn til å tro at vedkommende har begått den aktuelle straffbare handlingen.

Rekkevidden av artikkel 6 (a) i direktivet

Artikkel 6 krever at medlemsstatene sikrer at den dataansvarlige der det er relevant og så vidt mulig skiller mellom de ulike kategoriene av registrerte. Skillet skal være klart, slik at ikke personer som er ofre for straffbare handlinger utsettes for inngrep i sitt personvern, på lik linje med personer som er siktet for å ha begått straffbare handlinger. Artikkel 6 er ikke en absolutt forpliktelse, jf. «så vidt mulig». EU-domstolen mener at der det foreligger tilstrekkelige bevis til å reise en siktelse etter nasjonal rett, tilsier dette at det også vil være vesentlig grunn til å tro at siktede har begått lovbruddet etter artikkel 6 (a).

Effektiv rettsbeskyttelse

En siktet person som motsetter seg innsamling av data etter artikkel 10, har rett til et effektivt rettsmiddel mot beslutningen om å tillate innsamlingen, jf. charteret artikkel 47. Retten til effektiv rettsbeskyttelse er imidlertid ikke absolutt, og det kan gjøres begrensninger i denne i samsvar med charteret artikkel 52 (1).

Kjernen i rettigheten inkluderer en mulighet for rettighetshaver til å gå til en domstol eller nemnd for å prøve sine rettigheter garantert i EU-retten, jf. C-245/19 og C-246/19. Dette betyr ikke at det må være et direkte rettsmiddel tilgjengelig. Det er nok at det finnes ett eller flere indirekte rettsmidler tilgjengelig gjennom nasjonale domstoler, som muliggjør en rettslig prøving av siktedes rettigheter.

Ifølge EU-domstolen innebærer dette at dersom domstolen på tidspunktet for forespørselen om tvangsinnsamling ikke har anledning til å vurdere bevisene som underbygger at det er vesentlig grunn til å tro at den siktede har begått den straffbare handlingen, må domstolen ha mulighet til å gjøre dette i den senere straffesaken. Dette for å sikre at innsamlingen av dataene har overholdt de krav som den siktede er garantert etter EU-retten. I tillegg viser EU-domstolen til at dersom EU-retten krevde en nøye gjennomgang av bevisene på tidspunktet tillatelse til tvangsinnsamling av data gis, kunne dette forhindre den pågående etterforskningen. Forutsatt at medlemsstaten sørger for en effektiv domstolsprøving på et senere tidspunkt, anses begrensningen forholdsmessig.

Uskyldspresumsjonen

Charteret artikkel 48 (1) svarer til innholdet i EMK artikkel 6 (2). EU-domstolen har i tilslutning til EMD funnet at uskyldspresumsjonen krenkes dersom en rettsavgjørelse som angår en siktet person gir inntrykk av at vedkommende er skyldig, selv om skylden ikke tidligere har blitt lovlig fastslått, jf. C-615/19 P.

EU-domstolen påpeker at dersom nasjonal lovgivning begrenser innsamlingen av slike opplysninger til personer som er siktet, altså personer hvor skyldspørsmålet ikke er fastslått, kan innsamlingen ikke i seg selv betraktes som en indikasjon på at myndighetene anser personen som skyldig. Etter EU-domstolens syn undergraver ikke en rettslig avgjørelse som tillater innsamling av siktedes biometriske og genetiske data for journalformål, antagelsen om at siktede er uskyldig. Videre anses det forhold at domstolen på dette stadiet ikke skal vurdere bevisene som ligger til grunn for siktelsen å utgjøre en garanti for at domstolen overholder uskyldspresumsjonen, jf. C-748/19 og C-754/19.

Fjerde spørsmål

Spørsmålet er om artikkel 10, sammenholdt med artikkel 8, skal tolkes slik at bestemmelsen er til hinder for nasjonal lovgivning som tillater systematisk innsamling av biometriske og genetiske data om enhver person som er siktet for en forsettlig straffbar handling, for journalføring, uten at nasjonale myndigheter først har fastslått at innsamlingen er nødvendig.

EU-domstolen viser til at innsamling av slike opplysninger bare er tillatt der dette er strengt nødvendig, jf. artikkel 10. Dette er et strengere krav enn det som følger av direktivets artikkel 4 og 8 som kun refererer til nødvendig.

Ifølge EU-domstolen må vilkåret strengt nødvendig i artikkel 10 avgjøres i lys av formålet med innsamlingen. Etter artikkel 4 (1) (b) må det foreligge «udtrykkelig angivne og legitime» formål. Rekkevidden av dette fastsettes i tråd med artikkel 8 som stiller krav til hva som utgjør lovlig behandling i nasjonale bestemmelser, jf. artikkel 4 (1) (a). Nødvendighetskravet er oppfylt når formålet med databehandlingen ikke med rimelighet kan oppnås like effektivt ved hjelp av andre midler som er mindre begrensende for de grunnleggende rettighetene til den registrerte person, jf. C-184/20.

At en person er siktet for en forsettlig straffbar handling, anses ikke som et forhold som i seg selv betyr at innsamlingen av siktedes biometriske og genetiske data er strengt nødvendig i lys av formålene som forfølges.

Dersom nasjonal rett ikke sørger for at nasjonale myndigheter fastslår at innsamlingen er nødvendig før biometrisk og genetisk data samles inn, bemerker EU-domstolen at den nasjonale domstolen må gi artikkel 10 full effekt ved å avslå politimyndighetenes forespørsel om tvangsinnsamling.

EU-domstolens konklusjon

Direktiv (EU) 2016/680 artikkel 10 (a) skal tolkes slik at nasjonal rett som gir adgang til tvangsinnsamling av biometriske og genetiske data av siktede som motsetter seg dette er tillatt, forutsatt at nasjonal lov inneholder et tilstrekkelig klart og presist rettslig grunnlag, hvor det fremgår at behandlingen omfattes av direktivet og ikke av GDPR-forordningen.

Direktiv (EU) 2016/680 artikkel 6 (a), sammenholdt med charteret artikkel 47 og 48, er ikke til hinder for nasjonal lovgivning som pålegger den nasjonale domstolen å godkjenne tvangsinnsamling av biometriske og genetiske data, uten å ta stilling til bevisene som ligger til grunn for siktelsen, forutsatt at medlemsstaten på et senere tidspunkt sikrer en etterfølgende effektiv domstolsprøving av siktelsen som tillatelsen bygget på.

Direktiv (EU) 2016/680 artikkel 10 er til hinder for nasjonal lovgivning som tillater en systematisk innsamling og registrering av siktede personers biometriske og genetiske data, uten at den kompetente myndighet må fastslå at innsamlingen er strengt nødvendig først.

Direktiv (EU) 2016/680 er gjennomført i lov 28. mai 2010 nr. 16 om behandling av opplysninger i politiet og påtalemyndigheten (politiregisterloven). Lovens § 7 avspeiler direktivets artikkel 10.

(C-205/21)

IHT