Direktor na Glavna direktsia „Natsionalna politsia” pri MVR – Sofia (HvJEU C-118/22) – Hoe lang strafrechtelijke persoonsgegevens bewaren?

1. Mag de overheid de persoonsgegevens van iedere veroordeelde levenslang bewaren? Ook als het daarbij gaat om biometrische gegevens (foto’s en vingerafdrukken) en genetische gegevens (DNA-profielen)? Dat was kortgezegd de vraag die de hoogste bestuursrechter van Bulgarije door middel van een verzoek om een prejudiciële beslissing voorlegde aan de Grote Kamer van het Hof van Justitie. Gevraagd werd daarbij om een nadere uitleg van de Richtlijn gegevensbescherming opsporing en vervolging,[1] de strafrechtelijke tegenhanger van de Algemene verordening gegevensbescherming. Ook bij de verwerking van strafrechtelijke persoonsgegevens gelden de principes van dataminimalisatie en opslagbeperking (art. 4, eerste lid, onderdeel c en e Richtlijn).[2] De overheid mag niet meer en niet langer strafrechtelijke persoonsgegevens bewaren dan noodzakelijk is. Het doel waarvoor de gegevens kunnen worden bewaard is in de Richtlijn ruim omschreven. Het gaat om de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten en de tenuitvoerlegging van straffen. Maar de ruime doelstelling betekent niet dat de mogelijkheden van de overheid oneindig zijn. Het Hof van Justitie oordeelt dan ook niet geheel onverwachts dat de Richtlijn gegevensbescherming opsporing en vervolging zo moet worden uitgelegd dat het niet mogelijk is standaard de persoonsgegevens van iedere veroordeelde tot zijn overlijden te bewaren. De verwerkingsverantwoordelijke zal – in ieder geval wanneer een levenslange bewaartermijn de standaard is – periodiek moeten evalueren of de opslag van gegevens nog noodzakelijk is. Bovendien moet de veroordeelde de mogelijkheid krijgen om te verzoeken de persoonsgegevens te laten wissen. De Bulgaarse bestuursrechter mag met dit antwoord aan de slag. Een vraag die nog kan worden gesteld is of deze uitspraak ook consequenties heeft voor het bewaren van identiteitsgegevens, justitiële gegevens en DNA-profielen in Nederland? In deze annotatie wordt eerst kort stilgestaan bij de feiten van de zaak. Vervolgens wordt het juridische kader beschreven en enkele overwegingen van het Hof van Justitie er uitgelicht. Daarna wordt ingegaan op hoe de Nederlandse situatie zich verhoudt tot deze uitspraak: eerst inzake de strafrechtsketendatabank (SKDB) en de justitiële gegevens, en dan inzake de DNA-databank.

2. De prejudiciële vraag werd door de Bulgaarse bestuursrechter gesteld om uitspraak te kunnen doen in het geschil tussen de veroordeelde NG en het Bulgaarse ministerie van Binnenlandse Zaken. NG was in 2016 veroordeeld voor meineed tot een voorwaardelijke gevangenisstraf van een jaar. In 2020 werd NG overeenkomstig de daarvoor geldende termijnen weer ‘gerehabiliteerd’. Rehabilitatie – in de vertaalde Bulgaarse bepaling – ‘wist de veroordeling uit en heft voor de toekomst de gevolgen op die de wetten aan de veroordeling zelf verbinden’. Deze Bulgaarse rechtshandeling heeft geen directe tegenhanger naar Nederlands recht, en valt gezien de overwegingen uit de uitspraak mogelijk nog het beste te vergelijken met het niet langer verbinden van consequenties aan een veroordeling in het kader van een VOG-aanvraag. Vanwege de ‘rehabilitatie’ verzocht NG ook om schrapping van zijn gegevens uit het ‘politiebestand’ dat werd beheerd door het ministerie van Binnenlandse Zaken. Uit de uitspraak volgt dat in dit politiebestand identificatiegegevens, foto’s, vingerafdrukken en DNA-profielen staan, en ook de strafbare feiten die de veroordeelde heeft gepleegd. Daarmee is het ‘politiebestand’ een combinatie van de Nederlandse strafrechtsketendatabank en de justitiële documentatie (het strafblad). Het verzoek tot schrapping van gegevens van NG uit het ‘politiebestand’ werd door het Bulgaarse ministerie geweigerd, omdat hiervoor geen wettelijke grondslag bestond. Naar Bulgaars recht was de enige mogelijkheid om de gegevens van de veroordeelde te schrappen uit het ‘politiebestand’ dat de veroordeelde is overleden. De consequentie is dat een veroordeling voor de meeste strafbare feiten ertoe leidt dat de Bulgaarse overheid levenslang gegevens blijft bewaren over de veroordeelde.

3. De overwegingen van het Hof van Justitie zien met name op de vraag hoe lang strafrechtelijke persoonsgegevens mogen worden bewaard. Het staat niet ter discussie dat de overheid het recht heeft om strafrechtelijke persoonsgegevens van veroordeelden te bewaren ten behoeve van onder meer de voorkoming, het onderzoek, de opsporing en de vervolging van toekomstige strafbare feiten. Hoe lang het noodzakelijk is voor dit doel strafrechtelijke gegevens te bewaren, volgt niet rechtstreeks uit de Richtlijn. In art. 5 Richtlijn staat slechts dat de bewaartermijn ‘passend’ dient te zijn. Aangezien de passendheid van de bewaartermijn afhankelijk is van de noodzaak de gegevens te gebruiken, volgt uit de Richtlijn niet dat er een absolute maximale opslagtermijn dient te worden gesteld, na afloop waarvan strafrechtelijke persoonsgegevens standaard dienen te worden gewist. De lidstaten kunnen ervoor kiezen (gedifferentieerde) standaardbewaartermijnen op te stellen, of om periodiek te toetsen of de persoonsgegevens nog bewaard moeten worden. In beide gevallen is volgens het Hof de bewaartermijn alleen ‘passend’ als ‘specifieke omstandigheden (…) deze termijn naar behoren rechtvaardigen’.[3] Een omstandigheid die moeten worden meegenomen bij het vaststellen van passende bewaartermijnen is de ernst van het strafbare feit waarvoor iemand is veroordeeld. Het hof acht ‘het niet gerechtvaardigd (…) de gegevens van [alle veroordeelden] even lang op te slaan’.[4] Ook het recidivegevaar is een omstandigheid die moet worden meegewogen.

4. Het Hof gaat afzonderlijk in op het bewaren van biometrische gegevens (vingerafdrukken) en genetische gegevens (DNA-profielen), omdat dit bijzondere categorieën persoonsgegevens betreffen die alleen mogen worden verwerkt als dit ‘strikt noodzakelijk’ is voor de opsporing en vervolging van strafbare feiten (art. 10 Richtlijn). Het Hof overweegt dat het levenslang bewaren van biometrische gegevens en genetische gegevens van een veroordeelde in bepaalde gevallen strikt noodzakelijk kan zijn, maar dat dit wel afhankelijk is van ‘de aard en de ernst van het strafbare feit dat tot een onherroepelijke veroordeling heeft geleid, of met andere omstandigheden zoals de specifieke context waarin het feit is gepleegd, het eventuele verband ervan met andere lopende procedures, of de antecedenten dan wel het profiel van de veroordeelde persoon’.[5] Deze omstandigheden moeten worden meegewogen bij het vaststellen van een passende termijn voor het bewaren van biomedische en genetische gegevens. Het zonder meer levenslang bewaren van deze gegevens acht het Hof in ieder geval niet passend. 

5. Een aanverwant onderwerp dat in de uitspraak aan de orde komt, is dat de betrokkene van wie de strafrechtelijke persoonsgegevens worden verwerkt het recht heeft te verzoeken deze persoonsgegevens te laten wissen (art. 16 Richtlijn). Dit recht kan niet worden uitgeoefend als elk verzoek tot wissing van persoonsgegevens die levenslang worden bewaard standaard wordt verworpen omdat de wet geen grondslag voor het wissen kent. Dit antwoord is voldoende voor de beantwoording van de prejudiciële vraag. Voor rechtsstelsels met gedifferentieerde bewaartermijnen, zoals het Nederlandse (zie hieronder), roept het echter de vraag op of een verzoek tot wissing van gegevens noopt tot een inhoudelijke beoordeling van de noodzaak de persoonsgegevens van de verzoekende betrokkene te bewaren. Dit volgt volgens mij niet uit de uitspraak. Het Hof acht het mogelijk dat de lidstaat standaardtermijnen vastlegt waarna strafrechtelijke persoonsgegevens moeten worden vernietigd. Wanneer de lidstaat bij het opstellen van de bewaartermijnen rekening houdt met de door het Hof genoemde omstandigheden, kan worden aangenomen dat de bewaartermijnen ‘passend’ zijn. Zolang de bewaartermijn niet is verstreken, is de noodzaak van het bewaren van de strafrechtelijke persoonsgegevens gegeven. Een verzoek tot wissing van strafrechtelijke persoonsgegevens hoeft dan alleen te worden ingewilligd als de verwerkingsverantwoordelijke de gegevens langer bewaard dan de wettelijke termijnen toestaan.

6. In het Nederlandse strafproces heeft elke verdachte en veroordeelde een uniek strafrechtsketennummer (art. 27b, eerste lid, Sv). Dit strafrechtsketennummer wordt samen met andere gegevens die noodzakelijk zijn voor de vaststelling van de identiteit van verdachten en veroordeelden opgeslagen in de strafrechtsketendatabank (SKDB) (art. 27b, vierde lid, Sv). In de SKDB staan onder meer namen en adressen, het BSN, foto’s, een koppeling met vingerafdrukkendatabank en een koppeling met DNA-profiel (art. 2 Besluit identiteitsvaststelling verdachten en veroordeelden). Gegevens over de toepassing van het strafrecht op een persoon door het openbaar ministerie en de rechter – oftewel justitiële gegevens – worden verzameld in de justitiële documentatie (art. 2 Wet justitiële en strafvorderlijke gegevens, hierna Wjsg). Zowel de SKDB als de justitiële documentatie worden namens de minister van Justitie en Veiligheid beheerd door de Justitiële Informatiedienst (Justid). De bewaartermijnen voor de justitiële gegevens staan in art. 4 en 6 Wjsg, en die van de SKDB-gegevens in art. 7 en 8 Besluit identiteitsvaststelling verdachten en veroordeelden. Beide regelingen komen in grote mate overeen. In de bewaartermijnen wordt onderscheid gemaakt naar de ernst van het strafbare feit. De bewaartermijnen bij misdrijven zijn langer dan bij overtredingen, en bij misdrijven afhankelijk van het strafmaximum dat op het betreffende misdrijf is gesteld. Ook wordt rekening gehouden met recidive. De bewaartermijnen worden verlengd als er na een materiele rechterlijke uitspraak of een OM-strafbeschikking voor een misdrijf, nog materiele rechterlijke uitspraak voor een misdrijf volgt. Al met al kunnen de bewaartermijnen variëren van vijf jaren bij overtredingen tot tachtig jaren bij levenslange gevangenisstraffen en bij bepaalde zedenmisdrijven. Hiermee zijn de contouren van de regeling over de bewaartermijnen geschetst. Een uitputtende beschrijving van de nuances van de regeling gaat de omvang van deze noot te buiten. Vanwege alle nuances is de regeling over de bewaartermijnen complex en moeilijk te doorgronden. De keerzijde is dat de bewaartermijnen wel goed aansluiten bij de uitgangspunten van het Hof van Justitie over het bepalen van ‘passende’ bewaartermijnen.

7. Een betrokkene kan op grond van art. 22, tweede lid, Wjsg vragen om justitiële gegevens te laten vernietigen. Deze bepaling is van overeenkomstige toepassing verklaard voor de gegevens in de SKDB (art. 27b, vierde lid, Sv). De gegevens worden vernietigd als de gegevens in strijd met een wettelijk voorschrift worden verwerkt of een wettelijk voorschrift tot vernietiging verplicht. Hiermee bestaat er in ieder geval de mogelijkheid voor een betrokkene te verzoeken justitiële gegevens en SKDB-gegevens te vernietigen als die langer worden bewaard dan de bewaartermijnen toestaan. Een integrale herbeoordeling van de noodzaak de gegevens binnen de gestelde bewaartermijnen te blijven bewaren volgt niet uit deze bepaling, en lijkt mij – als gezegd – ook niet nodig.

8. Nederland kent een aparte DNA-databank waarvoor de minister van Justitie en Veiligheid verantwoordelijk is, en die wordt beheerd door het Nederlands Forensisch Instituut (NFI) (art. 14, tweede en derde lid, Besluit DNA-onderzoek in strafzaken). Voordat wordt ingegaan op de vraag in hoeverre de regels over de bewaartermijnen van de gegevens in de DNA-databank passen bij de uitgangspunten van het Hof van Justitie, is de voorvraag welk gegevensbeschermingsregime hierop van toepassing is. De Richtlijn gegevensbescherming opsporing en vervolging is uitsluitend van toepassing op de verwerking van strafrechtelijke persoonsgegevens door een ‘bevoegde autoriteit’. De vraag rijst of het NFI – in ieder geval met betrekking tot het beheer van de DNA-databank – moet worden aangemerkt als een bevoegde autoriteit. Gezien de overweging 11 van de preambule bij de Richtlijn ligt het in de rede dit aan te nemen. Een bevoegde autoriteit is niet alleen een overheidsorgaan, maar ieder orgaan dat wettelijk is gemachtigd bevoegdheden uit te oefenen ten behoeve van de opsporing en vervolging van strafbare feiten. De wettelijke machtiging voor de directeur van het NFI om een DNA-databank te beheren die tot doel heeft het voorkomen, opsporen, vervolgen en berechten van strafbare feiten (art. 14, eerste lid, Besluit DNA-onderzoek in strafzaken) past naadloos bij deze omschrijving.

9. De bewaartermijn voor de DNA-profielen van verdachten waarover geen afdoeningsbeslissing is genomen en veroordeelden in de DNA-databank is te vinden in art. 18 Besluit DNA-onderzoek in strafzaken. Bij vernietiging van de DNA-profielen na de bewaartermijn, wordt niet alleen het DNA-profiel, maar ook alle andere gegevens over de betrokkene waaronder het celmateriaal, vernietigd (art. 18c Besluit DNA-onderzoek in strafzaken). De bewaartermijnen van art. 18 zijn grotendeels gelijkluidend aan die van de justitiële gegevens en SKDB-gegevens. Ook in deze regeling wordt is de bewaartermijn dus afhankelijk van de gevangenisstraf die wordt gesteld op het strafbare feit dat de verdachte zou hebben gepleegd of waarvoor de veroordeelde is veroordeeld. Ook in deze regeling kan de bewaartermijn worden verlengd bij recidive. In aanvulling daarop volgt uit art. 2 Wet DNA-onderzoek bij veroordeelden dat een DNA-profiel van een veroordeelde niet in de DNA-databank wordt opgenomen als redelijkerwijs kan worden aangenomen dat het DNA-profiel gelet op de aard van het misdrijf of de bijzondere omstandigheden waaronder het misdrijf is gepleegd niet van betekenis zal kunnen zijn voor de opsporing en vervolging van toekomstige strafbare feiten. Dit levert een genuanceerd stelsel op van criteria voor opname in de DNA-databank en voor de duur waarmee de DNA-profielen moeten worden bewaard. Hoewel er strengere eisen worden gesteld aan de noodzakelijkheid om DNA-gegevens te verwerken, is er geen reden om aan te nemen dat deze regeling in strijd is met het door het Hof van Justitie geschetste kader over de bepaling van passende bewaartermijnen.

10. Een kritiekpunt is wel dat in het Besluit DNA-onderzoek in strafzaken geen regels staan over de rechten van de betrokkene. Evenmin worden een andere regeling over de rechten van een betrokkene – bijvoorbeeld uit de Wjsg – van overeenkomstige toepassing verklaard. Er is dus geen nationaalwettelijke grondslag voor een verzoek van een betrokkene aan het NFI over welke gegevens het NFI over hem verwerkt – of om een verzoek te doen tot wissing van de bewaarde gegevens. Omdat de Richtlijn gegevensverwerking opsporing en vervolging van toepassing is, en niet de Algemene verordening gegevensbescherming dient een dergelijk nationale grondslag er wel te zijn.[6] Het verdient aanbeveling als uit het Besluit DNA-onderzoek in strafzaken duidelijk wordt welke rechten de betrokkene wiens persoonsgegevens worden verwerkt heeft op inzage, rectificatie en wissing van de hem betreffende strafrechtelijke persoonsgegevens.

Rolf Hoving
Bijzonder hoogleraar ‘Toezicht op strafvorderlijk overheidsoptreden’ bij de Rijksuniversiteit Groningen en wetenschappelijk medewerker bij het Openbaar Ministerie.

[1] Richtlijn (EU) 2016/680 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, en betreffende het vrije verkeer van die gegevens en tot intrekking van kaderbesluit 2008/977/JBZ van de Raad.

[2] Met strafrechtelijke persoonsgegevens wordt bedoeld de gegevens die worden verwerkt ten behoeve van de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen.

[3] NG tegen Direktor na Glavna direktsia „Natsionalna politsia” pri MVR – Sofia (Hof van Justitie 30 januari 2024, ECLI:EU:C:2023:483 / C-118/22), punt 69.

[4] NG tegen Direktor na Glavna direktsia „Natsionalna politsia” pri MVR – Sofia (Hof van Justitie 30 januari 2024, ECLI:EU:C:2023:483 / C-118/22), punt 60.

[5] NG tegen Direktor na Glavna direktsia „Natsionalna politsia” pri MVR – Sofia (Hof van Justitie 30 januari 2024, ECLI:EU:C:2023:483 / C-118/22), punt 67.

[6] Wordt de AVG wel van toepassing geacht, dan kan een beroep worden gedaan op artikel 17 AVG.