NG v Direktor na Glavna direktsia „Natsionalna politsia“ pri MVR - Sofia.

• Jurisdiction: European Union
• Date: 30 January 2024
• Court: Court of Justice (European Union)

Edición provisional

SENTENCIA DEL TRIBUNAL DE JUSTICIA (Gran Sala)

de 30 de enero de 2024 (*)

«Procedimiento prejudicial — Protección de las personas físicas en lo que respecta al tratamiento de datos personales para fines de lucha contra las infracciones penales — Directiva (UE) 2016/680 — Artículo 4, apartado 1, letras c) y e) — Minimización de datos — Limitación del plazo de conservación — Artículo 5 — Plazos apropiados para la supresión o para una revisión periódica de la necesidad de conservación — Artículo 10 — Tratamiento de datos biométricos y genéticos — Estricta necesidad — Artículo 16, apartados 2 y 3 — Derecho a la supresión — Limitación del tratamiento — Artículo 52, apartado 1, de la Carta de los Derechos Fundamentales de la Unión Europea — Persona física condenada mediante sentencia firme y ulteriormente rehabilitada — Plazo de conservación de los datos hasta su fallecimiento — Inexistencia de derecho a la supresión o a la limitación del tratamiento — Proporcionalidad»

En el asunto C‑118/22,

que tiene por objeto una petición de decisión prejudicial planteada, con arreglo al artículo 267 TFUE, por el Varhoven administrativen sad (Tribunal Supremo de lo Contencioso-Administrativo, Bulgaria), mediante resolución de 10 de enero de 2022, recibida en el Tribunal de Justicia el 17 de febrero de 2022, en el procedimiento entre

NG

y

Direktor na Glavna direktsia Natsionalna politsia pri Ministerstvo na vatreshnite raboti — Sofia,

con intervención de:

Varhovna administrativna prokuratura,

EL TRIBUNAL DE JUSTICIA (Gran Sala),

integrado por el Sr. K. Lenaerts, Presidente, el Sr. L. Bay Larsen, Vicepresidente, el Sr. A. Arabadjiev, las Sras. A. Prechal y K. Jürimäe, el Sr. N. Piçarra y la Sra. O. Spineanu-Matei, Presidentes de Sala, y los Sres. M. Ilešič y J.‑C. Bonichot, la Sra. L. S. Rossi y los Sres. I. Jarukaitis, A. Kumin, N. Jääskinen, N. Wahl y D. Gratsias (Ponente), Jueces;

Abogado General: Sr. P. Pikamäe;

Secretaria: Sra. R. Stefanova-Kamisheva, administradora;

habiendo considerado los escritos obrantes en autos y celebrada la vista el 7 de febrero de 2023;

consideradas las observaciones presentadas:

– en nombre de NG, por el Sr. P. Kuyumdzhiev, advokat;

– en nombre del Gobierno búlgaro, por las Sras. M. Georgieva, T. Mitova y E. Petranova, en calidad de agentes;

– en nombre del Gobierno checo, por los Sres. O. Serdula, M. Smolek y J. Vláčil, en calidad de agentes;

– en nombre de Irlanda, por la Sra. M. Browne y los Sres. A. Joyce y M. Tierney, en calidad de agentes, asistidos por el Sr. D. Fennelly, BL;

– en nombre del Gobierno español, por los Sres. A. Ballesteros Panizo y J. Rodríguez de la Rúa Puig, en calidad de agentes;

– en nombre del Gobierno neerlandés, por la Sra. A. Hanje, en calidad de agente;

– en nombre del Gobierno polaco, por los Sres. B. Majczyna y D. Łukowiak y por la Sra. J. Sawicka, en calidad de agentes;

– en nombre de la Comisión Europea, por el Sr. A. Bouchagiar, la Sra. C. Georgieva y los Sres. H. Kranenborg y F. Wilman, en calidad de agentes;

oídas las conclusiones del Abogado General, presentadas en audiencia pública el 15 de junio de 2023;

dicta la siguiente

Sentencia

1 La petición de decisión prejudicial tiene por objeto la interpretación del artículo 5 de la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos y por la que se deroga la Decisión Marco 2008/977/JAI del Consejo (DO 2016, L 119, p. 89), en relación con los artículos 13, apartado 2, y 3 de dicha Directiva.

2 Esta petición se ha presentado en el contexto de un litigio entre NG y el Direktor na Glavna direktsia Natsionalna politsia pri Ministerstvo na vatreshnite raboti — Sofia (Director de la Dirección General de Policía Nacional del Ministerio del Interior, Bulgaria; en lo sucesivo, «DGPN»), que versa sobre la denegación, por este último, de la solicitud de NG de cancelación de la inscripción a él relativa del registro nacional en el que las autoridades policiales búlgaras inscriben a los investigados por delitos públicos dolosos (en lo sucesivo, «registro policial»), solicitud basada en la rehabilitación de la que este se benefició tras haber sido objeto de una condena penal firme.

Marco jurídico

Derecho de la Unión

3 A tenor de los considerandos 11, 14, 26, 27, 37, 47 y 104 de la Directiva 2016/680:

«(11) Conviene […] que [los ámbitos de la cooperación judicial en materia penal y de la cooperación policial] estén regulados por una directiva que establezca las normas específicas relativas a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, incluidas la protección y la prevención frente a las amenazas para la seguridad pública. […]

[…]

(14) Puesto que la presente Directiva no debe aplicarse al tratamiento de datos personales en el marco de una actividad que no esté comprendida en el ámbito de aplicación del Derecho de la Unión, no deben considerarse comprendidas en el ámbito de aplicación de la presente Directiva las actividades relacionadas con la seguridad nacional […].

[…]

(26) [Se debe garantizar] que los datos personales recogidos no son excesivos ni se conservan más tiempo del que sea necesario para los fines con los que se tratan. Los datos personales solo deberían ser objeto de tratamiento si la finalidad del tratamiento no puede lograrse razonablemente por otros medios. Para garantizar que los datos no se conservan más tiempo del necesario, el responsable del tratamiento ha de establecer plazos para su eliminación o revisión periódica. […]

(27) Para la prevención, investigación y enjuiciamiento de las infracciones penales, es necesario que las autoridades competentes traten datos personales recopilados en el contexto de la prevención, la investigación, la detección o el enjuiciamiento de infracciones penales concretas más allá de ese contexto específico, con el fin de adquirir un mejor conocimiento de las actividades delictivas y establecer vínculos entre las distintas infracciones penales detectadas.

[…]

(37) Especial protección merecen los datos personales que, por su naturaleza, son particularmente sensibles en relación con los derechos y las libertades fundamentales, ya que el contexto de su tratamiento puede generar riesgos importantes para los derechos y las libertades fundamentales. […]

[…]

(47) […] Asimismo, toda persona física debe tener derecho a la limitación del tratamiento […] cuando los datos personales deban conservarse a efectos probatorios. En particular, en lugar de suprimir los datos personales, el tratamiento debe limitarse si en un caso concreto hay razones justificadas para suponer que la supresión podría perjudicar los intereses legítimos del interesado. En tal caso, los datos restringidos podrán tratarse únicamente para los fines que impidieron su supresión. […]

[…]

(104) La presente Directiva respeta los derechos fundamentales y observa los principios reconocidos en la Carta [de los Derechos Fundamentales de la Unión Europea (en lo sucesivo, “Carta”)], consagrados en el TFUE, en particular el derecho al respeto de la vida privada y familiar, el derecho a la protección de los datos personales y el derecho a la tutela judicial efectiva y a un juez imparcial. Las limitaciones aplicadas a estos derechos son conformes al artículo 52, apartado 1, de la Carta ya que son necesarias para alcanzar objetivos de interés general reconocidos por la Unión o responden a la necesidad de proteger los derechos y libertades de terceros.»

4 El artículo 1 de esta Directiva, titulado «Objeto y objetivos», dispone en su apartado 1:

«La presente Directiva establece las normas relativas a la protección de las personas físicas en lo que respecta al tratamiento de los datos personales por parte de las autoridades competentes, con fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, incluidas la protección y la prevención frente a las amenazas contra la seguridad pública.»

5 El artículo 2 de dicha Directiva, que se titula «Ámbito de aplicación», establece lo siguiente en sus apartados 1 y 3:

«1 La presente Directiva se aplica al tratamiento de datos personales por parte de las autoridades competentes a los fines establecidos en el artículo 1, apartado 1.

[…]

3. La presente Directiva no se aplica al tratamiento de datos personales:

a) en el ejercicio de una actividad no comprendida en el ámbito de aplicación del Derecho de la Unión;

[…]».

6 El artículo 3 de la misma Directiva, titulado «Definiciones», dispone:

«A efectos de la presente Directiva se entenderá por:

[…]

2) “tratamiento”: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales […] como la […] conservación […];

[…]».

7 El artículo 4 de la Directiva 2016/680, titulado «Principios relativos al tratamiento de datos personales», establece en su apartado 1:

«Los Estados miembros dispondrán que los datos personales sean:

[…]

c) adecuados, pertinentes y no excesivos en relación con los fines para los que son tratados;

[…]

e) conservados de forma que permita identificar al interesado durante un período no superior al necesario para los fines para los que son tratados;

[…]».

8 El artículo 5 de esta Directiva, cuyo epígrafe es «Plazos de conservación y revisión», tiene el siguiente tenor:

«Los Estados miembros dispondrán que se fijen plazos apropiados para la supresión de los datos personales o para una revisión periódica de la necesidad de conservación de...