TJUE: Datos biométricos y genéticos en investigación de delitos

El Tribunal de Justicia de la Unión Europea (TJUE) en su reciente Sentencia de 26 de enero de 2023, (caso C-205/21) (ECLI:EU:C:2023:49), establece los límites para que las autoridades policiales puedan recoger y tratar datos biométricos y genéticos con fines de investigación de determinados delitos conforme a lo previsto en la Directiva 2016/680, de 27 de abril, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos (en adelante, “Directiva 2016/680”).

En concreto, se plantea al TJUE la posible incompatibilidad con la citada Directiva 2016/80 de la normativa estatal búlgara, que permite que, en el marco de un procedimiento penal -en este caso, por participación en organización criminal para cometer fraudes fiscales-, se practique la recogida sistemática e inscripción de los datos dactiloscópicos, fotográficos y de ADN de los investigados en un registro policial a efectos de su identificación.

Así, en el supuesto objeto de estudio ahora por el TJUE, habiéndose negado el investigado a la recogida voluntaria de sus datos biométricos y genéticos, la autoridad policial se dirige al tribunal búlgaro competente para que autorice la recogida forzosa de dichos datos personales, sin que dicho tribunal pueda, además, acceder al expediente para apreciar si existen o no pruebas suficientes o fundadas que respalden esa investigación, presentándose a dicho tribunal determinadas dudas sobre la compatibilidad de las disposiciones legislativas y reglamentarias aplicables del Derecho búlgaro con el Derecho de la Unión.

Pues bien, en primer lugar, la Sentencia ahora dictada por el TJUE establece que si bien el artículo 10 a) de la Directiva 2016/680 permite, cuando así lo autorice el Derecho nacional, el tratamiento de datos genéticos y biométricos para identificar a una persona física por parte de las autoridades policiales a efectos de sus actividades de investigación con fines de lucha contra la delincuencia y de mantenimiento del orden público, en todo caso, es necesario que la base jurídica del derecho estatal que lo autorice sea suficientemente clara y precisa.

Además, aclara el TJUE en su Sentencia que el hecho de que el acto legislativo nacional que contiene esa base jurídica se remita al Reglamento General de Protección de Datos (en adelante, “RGPD”) y no a la Directiva 2016/680 no puede, por sí mismo, desvirtuar la existencia de esa autorización siempre que de la interpretación del conjunto de disposiciones aplicables del Derecho nacional se desprenda de manera suficientemente clara, precisa e inequívoca que el tratamiento de los datos biométricos y genéticos de que se trate está comprendido en el ámbito de aplicación de esa Directiva y no en el del Reglamento -teniendo en cuenta que el artículo 9 del RGPD establece una prohibición general del tratamiento de datos sensibles, salvo determinadas excepciones entre las que no se encuentran la finalidad de investigación de determinados delitos o infracciones penales-.

En segundo lugar, establece la citada Sentencia que el hecho de que el artículo 6 de la Directiva 2016/680 establezca que los Estados miembros deban disponer que el responsable del tratamiento establezca una distinción entre los datos personales de las distintas categorías de interesados -personas respecto de las que existan motivos fundados para presumir que han cometido una infracción penal, personas ya condenadas, víctimas, etc.-, no se opone a una normativa nacional que establezca que, en caso de que la persona investigada por un delito público doloso se niegue a colaborar voluntariamente en la recogida de sus datos biométricos y genéticos a efectos de su registro, el órgano jurisdiccional penal competente esté obligado a autorizar una medida de recogida forzosa, aun sin poder apreciar si existen motivos fundados para presumir que el interesado ha cometido la infracción penal por la que es investigado, siempre que el Derecho nacional garantice posteriormente el control jurisdiccional efectivo de las condiciones de la investigación de la que deriva la autorización para la recogida.

En último lugar, a la vista de que el artículo 10 de la Directiva 2016/680 “solo” permite la recogida de datos genéticos y biométricos dirigidos a identificar de manera unívoca a una persona física “cuando sea estrictamente necesario”, la Sentencia entiende que dicho artículo se opone a una normativa nacional que establezca la recogida sistemática de datos biométricos y genéticos de cualquier persona investigada por un delito público doloso a efectos de su registro, sin obligar a la autoridad competente a comprobar y demostrar, por una parte, si esa recogida es estrictamente necesaria para satisfacer los objetivos concretos perseguidos -que deben ser definidos de manera suficientemente precisa y concreta- y, por otra parte, si tales objetivos no pueden lograrse mediante medidas que constituyan injerencias menos graves en los derechos y libertades del interesado. Al respecto añade la Sentencia que dicha recogida de datos genéticos y biométricos sólo podrá considerarse necesaria en un número limitado de supuestos, debiendo apreciarse esa necesidad del tratamiento de forma especialmente rigurosa.

Será necesario, por tanto, que los distintos Estados Miembros analicen su Derecho nacional para determinar si las leyes que legitiman este tipo de recogidas sistemáticas y tratamiento de datos biométricos y genéticos con fines de investigación de determinados delitos por parte de las autoridades policiales cumplen la interpretación que de la Directiva 2016/680 ahora ha fijado el TJUE mediante esta sentencia.