Arrest van het Hof (Vijfde kamer) van 20 november 2025

Unierecht

3 De overwegingen 1, 2, 26, 33, 37 en 96 van richtlijn 2016/680 zijn als volgt verwoord:

„(1) De bescherming van natuurlijke personen bij de verwerking van persoonsgegevens is een grondrecht. Krachtens artikel 8, lid 1, van het Handvest van de grondrechten van de Europese Unie [(hierna: ‚Handvest’)] en artikel 16, lid 1, [VWEU] heeft eenieder recht op bescherming van de hem betreffende persoonsgegevens.

(2) De beginselen en regels betreffende de bescherming van natuurlijke personen bij de verwerking van hun persoonsgegevens dienen, ongeacht hun nationaliteit of verblijfplaats, in overeenstemming te zijn met hun grondrechten en fundamentele vrijheden, met name met hun recht op bescherming van persoonsgegevens. [...]

[...]

(26) Iedere verwerking van persoonsgegevens dient ten aanzien van de natuurlijke personen in kwestie rechtmatig, behoorlijk en transparant te zijn en uitsluitend te geschieden met het oog op specifieke, bij wet vastgestelde doeleinden. Dit belet als zodanig niet dat de rechtshandhavingsinstanties activiteiten verrichten zoals infiltratieoperaties of videobewaking. Die activiteiten kunnen worden verricht met het oog op de voorkoming, het onderzoek, de opsporing of de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid, voor zover de activiteiten bij wet zijn vastgelegd en in een democratische samenleving, met inachtneming van de legitieme belangen van de betrokken natuurlijke persoon, een noodzakelijke en evenredige maatregel vormen. [...] Natuurlijke personen moeten bewust worden gemaakt van de risico’s, regels, waarborgen en rechten in verband met de verwerking van hun persoonsgegevens, alsook van de wijze waarop zij hun rechten met betrekking tot de verwerking kunnen uitoefenen. Met name dienen de specifieke doeleinden waarvoor de persoonsgegevens worden verwerkt expliciet en legitiem te zijn, en te worden vastgesteld op het ogenblik dat de persoonsgegevens worden verzameld. De persoonsgegevens moeten toereikend en ter zake dienend zijn voor de doeleinden waarvoor zij worden verwerkt. [...] Persoonsgegevens mogen alleen worden verwerkt indien het doel van de verwerking niet redelijkerwijs op een andere manier kan worden verwezenlijkt. Om ervoor te zorgen dat gegevens niet langer worden bewaard dan noodzakelijk is, dient de verwerkingsverantwoordelijke termijnen vast te stellen voor het wissen van gegevens of voor een periodieke toetsing ervan. De lidstaten moeten voorzien in passende waarborgen voor persoonsgegevens die langer worden bewaard voor archivering in het algemeen belang of voor wetenschappelijk of historisch onderzoek of statistische doeleinden.

[...]

(33) Wanneer in deze richtlijn wordt verwezen naar het lidstatelijke recht, een rechtsgrond of een wetgevingsmaatregel, betekent dit niet noodzakelijk dat een door een parlement vastgestelde wetgevingshandeling nodig is, onverminderd de constitutionele vereisten van de betrokken lidstaat. Dit lidstatelijke recht, die rechtsgrond of die wetgevingsmaatregel moet evenwel duidelijk en nauwkeurig zijn, en de toepassing daarvan moet voorspelbaar zijn voor degenen op wie deze van toepassing is, zoals vereist door de rechtspraak van het Hof van Justitie en het Europees Hof voor de Rechten van de Mens [(EHRM)]. In het lidstatelijke recht dat de verwerking van persoonsgegevens binnen het toepassingsgebied van deze richtlijn regelt, dienen ten minste de doeleinden, de te verwerken persoonsgegevens en de doeleinden van de verwerking te worden gespecificeerd, alsmede de procedures voor het vrijwaren van de integriteit en de vertrouwelijkheid van persoonsgegevens en de procedures voor de vernietiging ervan, zodat voldoende garanties worden geboden tegen het risico op misbruik en willekeur.

[...]

(37) Persoonsgegevens die door hun aard bijzonder gevoelig zijn wat betreft de grondrechten en fundamentele vrijheden verdienen specifieke bescherming aangezien de context van de verwerking ervan aanzienlijke risico’s voor de grondrechten en fundamentele vrijheden kan meebrengen. Die persoonsgegevens dienen de persoonsgegevens te omvatten waaruit ras of etnische afkomst blijkt, waarbij het gebruik van de term ‚ras’ in deze verordening niet impliceert dat de Unie theorieën aanvaardt die erop gericht zijn vast te stellen dat er verschillende menselijke rassen bestaan. Dergelijke persoonsgegevens mogen slechts worden verwerkt indien bij de verwerking passende bij wet vastgelegde waarborgen gelden wat de rechten en vrijheden van de betrokkene betreft en zij is toegelaten in bij wet bepaalde gevallen; bij ontstentenis van zulke wet, indien de verwerking noodzakelijk is om de vitale belangen van de betrokkene of een andere persoon te beschermen; of indien de verwerking betrekking heeft op gegevens die de betrokkene zelf kennelijk openbaar heeft gemaakt. Passende waarborgen voor de rechten en vrijheden van de betrokkene kunnen bijvoorbeeld inhouden dat die gegevens enkel mogen worden verzameld in samenhang met andere gegevens over de natuurlijke persoon in kwestie, dat de verzamelde gegevens afdoende kunnen worden beveiligd, dat strengere regels gelden voor de toegang van het personeel van de bevoegde autoriteit tot de gegevens, en dat de doorzending van die gegevens wordt verboden. [...]

[...]

(96) Voor de omzetting van deze richtlijn dienen de lidstaten te beschikken over een termijn van maximaal 2 jaar vanaf de datum van inwerkingtreding ervan. Verwerkingen die reeds gaande zijn op die datum dienen binnen twee jaar na de inwerkingtreding van deze richtlijn daarmee in overeenstemming te worden gebracht. Indien een dergelijke verwerking evenwel in overeenstemming is met het Unierecht dat vóór de datum van inwerkingtreding van deze richtlijn van toepassing is, mogen de voorschriften van deze richtlijn die betrekking hebben op de voorafgaande raadpleging van de toezichthoudende autoriteit, niet worden toegepast op de verwerkingsactiviteiten die reeds van vóór die datum gaande zijn, aangezien die voorschriften vanwege hun aard voorafgaand aan de verwerkingen dienen te worden vervuld. [...]

[...]”

4 Artikel 1 („Onderwerp en doelstellingen”) van deze richtlijn bepaalt in lid 1:

„Bij deze richtlijn worden de regels vastgesteld betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing of de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid.”

5 Artikel 2 („Toepassingsgebied”) van deze richtlijn bepaalt in lid 1:

„Deze richtlijn is van toepassing op de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de doeleinden van artikel 1, lid 1.”

6 Artikel 3 („Definities”) van die richtlijn luidt als volgt:

„Voor de toepassing van deze richtlijn wordt verstaan onder:

1. ‚persoonsgegevens’: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon (‚de betrokkene’); als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificatiemiddel zoals een naam, een identificatienummer, locatiegegevens, een online identificatiemiddel of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon;

2. ‚verwerking’: een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, bekendmaking door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens;

[...]

1. ‚genetische gegevens’: persoonsgegevens die verband houden met de overgeërfde of verworven genetische kenmerken van een natuurlijke persoon die unieke informatie verschaffen over de fysiologie of de gezondheid van die natuurlijke persoon en die met name voortkomen uit een analyse van een biologisch monster van die natuurlijke persoon;

2. ‚biometrische gegevens’: persoonsgegevens die het resultaat zijn van een specifieke technische verwerking met betrekking tot de fysieke, fysiologische of gedragsgerelateerde kenmerken van een natuurlijke persoon op grond waarvan eenduidige identificatie van die natuurlijke persoon mogelijk is of wordt bevestigd, zoals gezichtsafbeeldingen of vingerafdrukgegevens;

[...]”

7 Artikel 4 („Beginselen inzake verwerking van persoonsgegevens”) van richtlijn 2016/680 bepaalt in lid 1:

„De lidstaten schrijven voor dat persoonsgegevens:

1. rechtmatig en eerlijk worden verwerkt;

2. voor welbepaalde, uitdrukkelijk omschreven en legitieme doeleinden worden verzameld en niet op een met die doeleinden onverenigbare wijze worden verwerkt;

3. toereikend, ter zake dienend en niet bovenmatig in verhouding tot de doeleinden waarvoor zij worden verwerkt, zijn;

4. juist zijn en zo nodig worden geactualiseerd; alle redelijke maatregelen moeten worden genomen om de persoonsgegevens die, gelet op de doeleinden waarvoor zij worden verwerkt, onjuist zijn, onverwijld te wissen of te rectificeren;

5. worden bewaard in een vorm die het mogelijk maakt de betrokkenen niet langer te identificeren dan noodzakelijk is voor de doeleinden waarvoor de persoonsgegevens worden verwerkt;

[...]”

8 Artikel 5 („Termijnen voor opslag en evaluatie”) van deze richtlijn luidt:

9 Artikel 6 van deze richtlijn („Onderscheid tussen verschillende categorieën van betrokkenen”) luidt:

„De lidstaten schrijven voor dat de verwerkingsverantwoordelijke, in voorkomend geval en voor zover mogelijk, een duidelijk onderscheid maakt tussen persoonsgegevens betreffende verschillende categorieën van betrokkenen, zoals:

1. personen ten aanzien van wie gegronde vermoedens bestaan dat zij een strafbaar feit hebben gepleegd of zullen plegen;

2. personen die voor een strafbaar feit zijn veroordeeld;

3. slachtoffers van een strafbaar feit, of personen ten aanzien van wie bepaalde feiten aanleiding geven tot het vermoeden dat zij het slachtoffer zouden kunnen worden van een strafbaar feit; en

4. andere personen die bij een strafbaar feit betrokken zijn, zoals personen die als getuige kunnen worden opgeroepen in een onderzoek naar strafbare feiten of een daaruit voortvloeiende strafrechtelijke procedure, personen die informatie kunnen verstrekken over strafbare feiten, of personen die contact hebben of banden onderhouden met een van de personen als bedoeld onder a) en b).”

10 Artikel 8 („Rechtmatigheid van de verwerking”) van die richtlijn luidt:

„1.

De lidstaten zorgen ervoor dat verwerking alleen rechtmatig is indien en voor zover die verwerking noodzakelijk is voor de uitvoering door een bevoegde autoriteit van een taak voor de in artikel 1, lid 1, bedoelde doeleinden, en dat die verwerking gebaseerd is op het Unierecht of het lidstatelijke recht.

2.

In het lidstatelijke recht dat verwerking binnen het toepassingsgebied van deze richtlijn regelt, worden ten minste de verwerkingsdoeleinden, de te verwerken persoonsgegevens en de doeleinden van de verwerking gespecificeerd.”

11 Artikel 10 („Verwerking van bijzondere categorieën van persoonsgegevens”) van richtlijn 2016/680 bepaalt:

„Verwerking van persoonsgegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, of het lidmaatschap van een vakbond blijkt, en verwerking van genetische gegevens, biometrische gegevens met het oog op de unieke identificatie van een natuurlijke persoon, gegevens over gezondheid of gegevens over seksueel gedrag of seksuele gerichtheid van een natuurlijke persoon zijn slechts toegelaten wanneer de verwerking strikt noodzakelijk is, geschiedt met inachtneming van passende waarborgen voor de rechten en vrijheden van de betrokkene, en:

1. bij het Unierecht of het lidstatelijke recht is toegestaan;

2. noodzakelijk is om vitale belangen van de betrokkene of een andere natuurlijke persoon te beschermen; of

3. die verwerking betrekking heeft op gegevens die kennelijk door de betrokkene zelf openbaar zijn gemaakt.”

12 Krachtens artikel 63, lid 1, van die richtlijn dienen de lidstaten uiterlijk op 6 mei 2018 de nodige wettelijke en bestuursrechtelijke bepalingen vast te stellen en bekend te maken teneinde aan de richtlijn te voldoen. Voorts moeten de lidstaten die bepalingen vanaf die datum toepassen.

13 Die richtlijn is overeenkomstig artikel 64 ervan op 5 mei 2016 in werking getreden.

Tsjechisch recht

14 § 11 („Evenredigheid van handelingen”) van de zákon č. 273/2008 Sb., o Policii České republiky (wet nr. 273/2008 betreffende de politie van Tsjechië), in de op het hoofdgeding toepasselijke versie ervan (hierna: „wet betreffende de Tsjechische politie”), is in de volgende bewoordingen gesteld:

„Politieambtenaren en -medewerkers zijn verplicht om

[...]

1. op zodanige wijze op te treden dat de eventuele inmenging in de rechten en vrijheden van de personen op wie de handeling betrekking heeft of van niet-betrokken personen niet verder gaat dan nodig is om het met die handeling nagestreefde doel te bereiken.”

15 § 65 van de wet betreffende de Tsjechische politie bepaalt:

„(1)

Bij de uitoefening van haar taken kan de politie, met het oog op latere identificatie, in het geval van

1. personen die ervan worden beschuldigd opzettelijk een strafbaar feit te hebben gepleegd of personen die ervan in kennis zijn gesteld dat zij ervan worden verdacht een dergelijk strafbaar feit te hebben gepleegd,

2. personen die een vrijheidsstraf ondergaan wegens een opzettelijk gepleegd strafbaar feit,

3. personen die onderworpen zijn aan medische dwangmaatregelen of veiligheidsdetentie, of

4. gezochte personen die zijn gevonden en wier handelingsbekwaamheid beperkt is,

vingerafdrukken afnemen, fysieke kenmerken identificeren, lichaamsmetingen verrichten, video- en audio-opnamen alsmede soortgelijke opnamen maken en biologische monsters nemen om informatie over het genetisch materiaal van de betrokkene te verkrijgen.

(2)

Indien een in lid 1 bedoelde handeling niet kan worden uitgevoerd omdat de persoon zich daartegen verzet, heeft de politieambtenaar het recht dat verzet terzijde te schuiven nadat hij die persoon tevergeefs heeft verzocht zich aan de betrokken handeling te onderwerpen. De manier waarop de politieambtenaar dit verzet terzijde schuift, moet in verhouding staan tot de intensiteit van het verzet. Politieambtenaren mogen het verzet van een persoon in het geval van een bloedafname of een andere soortgelijke handeling waarbij de lichamelijke integriteit wordt aangetast, niet terzijde schuiven.

(3)

Indien een in lid 1 bedoelde handeling niet ter plaatse kan worden uitgevoerd, heeft de politieambtenaar het recht de betrokkene te doen verschijnen teneinde die handeling uit te voeren. Politieambtenaren laten die persoon vrij zodra die handeling is uitgevoerd.

(4)

Politieambtenaren stellen een verslag op over de uitgevoerde handelingen.

(5)

De politie wist de overeenkomstig lid 1 verkregen persoonsgegevens indien de verwerking van deze gegevens niet onontbeerlijk is voor het voorkomen, onderzoeken, opsporen of vervolgen van strafbare feiten of voor het waarborgen van de veiligheid van Tsjechië, de openbare orde of de binnenlandse veiligheid.”

16 § 79 („Fundamentele bepalingen inzake de verwerking van persoonsgegevens bij de uitvoering van bepaalde politietaken”) bepaalt:

„(1)

De leden 2 tot en met 6 en de §§ 79a tot en met 88 zijn van toepassing op de verwerking van persoonsgegevens met het oog op het voorkomen, onderzoeken, opsporen en vervolgen van strafbare feiten, teneinde de veiligheid van Tsjechië of de openbare orde en de binnenlandse veiligheid te waarborgen, alsook met het oog op het opsporen van personen en zaken.

(2)

De politie mag persoonsgegevens verwerken indien dit noodzakelijk is om de in lid 1 genoemde doelstellingen te verwezenlijken. De politie kan ook persoonsgegevens verwerken ter bescherming van de zwaarwegende belangen van een betrokkene die verband houden met de in lid 1 genoemde doelstellingen.

[...]”

17 In § 82 van die wet („Evaluatie van de noodzaak tot verdere verwerking van persoonsgegevens”) is bepaald:

„(1)

De politie evalueert ten minste om de drie jaar of de persoonsgegevens die voor de in § 79, lid 1, bedoelde doeleinden zijn verwerkt, nog steeds noodzakelijk zijn voor de uitvoering van haar taken op dit gebied.

(2)

Met het oog op de in lid 1 bedoelde evaluatie kan de politie een uittreksel uit het strafregister verlangen.

(3)

Met het oog op de in lid 1 bedoelde evaluatie en binnen de grenzen van hun bevoegdheden stellen de handhavings- en gerechtelijke autoriteiten, de Ministerstvo spravedlnosti (ministerie van Justitie, Tsjechië), de Ústavní soud (grondwettelijk hof, Tsjechië) en de Kancelář prezidenta republiky (kabinet van de president van de Republiek, Tsjechië) de politie voortdurend in kennis van hun onherroepelijke beslissingen, de verjaring van strafvervolgingen, de tenuitvoerlegging van een straf of beslissingen van de president van de Republiek met betrekking tot strafprocedures, straffen of verleende amnestie of gratie.”

Derde vraag

42 Met zijn derde vraag, die als eerste moet worden onderzocht, wenst de verwijzende rechter in essentie te vernemen of de artikelen 8 en 10 van richtlijn 2016/680 aldus moeten worden uitgelegd dat, wat het verzamelen, opslaan en wissen van biometrische en genetische gegevens betreft, het begrip „lidstatelijk recht” in de zin van die bepalingen aldus moet worden begrepen dat het enkel betrekking heeft op een bepaling van algemene strekking die de minimale voorwaarden voor het verzamelen, opslaan en wissen van dergelijke gegevens vaststelt, dan wel of de rechtspraak van de nationale rechterlijke instanties die deze voorwaarden nader bepaalt ook onder dat begrip kan vallen.

43 In dat verband zij eraan herinnerd dat overeenkomstig artikel 3, punt 2, van richtlijn 2016/680, gelezen in het licht van artikel 3, punten 12 en 13 ervan, het verzamelen, opslaan en wissen van biometrische en genetische gegevens verwerkingen van persoonsgegevens in de zin van die richtlijn vormen.

44 Artikel 4 van richtlijn 2016/680 bevat verschillende beginselen die op die verwerkingen van toepassing zijn. Zoals blijkt uit de overwegingen 1 en 2 van die richtlijn, geven die beginselen binnen de grenzen van artikel 52 van het Handvest weer hoe de Uniewetgever het grondrecht van natuurlijke personen op bescherming van hun persoonsgegevens, dat is erkend in artikel 8 van het Handvest en nauw samenhangt met het in artikel 7 van het Handvest neergelegde recht op eerbiediging van het privéleven, heeft willen concretiseren in verband met die verwerkingen, rekening houdend met de specifieke aard van de activiteiten bestaande in het voorkomen, onderzoeken, opsporen of vervolgen van strafbare feiten of het tenuitvoerleggen van een straf.

45 Een van deze beginselen is vastgelegd in artikel 4, lid 1, onder a), van richtlijn 2016/680, waarin wordt bepaald dat persoonsgegevens rechtmatig en eerlijk moeten worden verwerkt.

46 Artikel 8, lid 1, van richtlijn 2016/680 geeft in dat verband aan dat de lidstaten ervoor moeten zorgen dat een verwerking van persoonsgegevens die binnen het toepassingsgebied van deze richtlijn valt alleen rechtmatig is indien en voor zover die verwerking noodzakelijk is voor de uitvoering door een bevoegde autoriteit van een taak voor de in artikel 1, lid 1, van deze richtlijn bedoelde doeleinden, en dat die verwerking gebaseerd is op het Unierecht of het lidstatelijke recht.

47 Voorts kunnen krachtens artikel 8, lid 2, van die richtlijn dergelijke gegevens slechts worden verwerkt indien in het lidstatelijke recht dat die verwerking regelt, ten minste de verwerkingsdoeleinden, de te verwerken persoonsgegevens en de doeleinden van de verwerking worden gespecificeerd.

48 Wat bepaalde categorieën persoonsgegevens betreft, zoals biometrische of genetische gegevens, beoogt artikel 10 van richtlijn 2016/680 een versterkte bescherming te bieden door strengere voorwaarden voor de rechtmatigheid van de verwerking van dergelijke gegevens vast te stellen [zie in die zin arresten van 30 januari 2024, Direktor na Glavna direktsia „Natsionalna politsia” pri MVR – Sofia, C‑118/22, EU:C:2024:97, punt 48 , en  4 oktober 2024, Bezirkshauptmannschaft Landeck (Poging tot het verkrijgen van toegang tot op een mobiele telefoon opgeslagen persoonsgegevens), C‑548/21, EU:C:2024:830, punt 107 ]. Die categorieën van gegevens zijn namelijk, zoals wordt benadrukt in overweging 37 van die richtlijn, door hun aard bijzonder gevoelig wat betreft de grondrechten en fundamentele vrijheden aangezien de context van de verwerking ervan aanzienlijke risico’s voor de grondrechten en fundamentele vrijheden van de betrokkenen kan meebrengen.

49 Overeenkomstig artikel 10 van richtlijn 2016/680 moet dus elke verwerking van persoonsgegevens die onder een van de in dat artikel limitatief opgesomde categorieën (hierna: „gevoelige persoonsgegevens”) vallen, bij het Unierecht of het lidstatelijke recht zijn toegestaan.

50 Hieruit volgt dat de artikelen 8 en 10 van richtlijn 2016/680 ertoe strekken de draagwijdte te preciseren van bepaalde in artikel 4 van die richtlijn neergelegde beginselen, die op het door deze richtlijn bestreken gebied met name het in artikel 8 van het Handvest erkende grondrecht van natuurlijke personen op bescherming van hun persoonsgegevens concretiseren.

51 Het in die artikelen 8 en 10 gebruikte begrip „lidstatelijk recht” moet derhalve aldus worden begrepen dat het op het door richtlijn 2016/680 bestreken gebied uitvoering geeft aan de in artikel 8, lid 2, van het Handvest neergelegde voorwaarde dat elke verwerking van persoonsgegevens die niet op basis van de toestemming van de betrokkene gebeurt, moet gebeuren op basis van een andere gerechtvaardigde grondslag waarin de wet voorziet. Die voorwaarde weerspiegelt slechts het in artikel 52 van het Handvest gestelde vereiste dat beperkingen op de uitoefening van de in het Handvest erkende grondrechten bij wet worden gesteld. Dat begrip heeft dus betrekking op de geldigheid van het gebruik van nationaal recht als rechtsgrond voor de verwerking van persoonsgegevens.

52 Ten eerste heeft Het Hof, zoals de advocaat-generaal heeft beklemtoond in punt 82 van zijn conclusie, rekening houdend met vaste rechtspraak van het EHRM geoordeeld dat het begrip „wet” dat in artikel 8, lid 2, van het Handvest wordt gebruikt in de uitdrukking „grondslag waarin de wet voorziet”, moet worden opgevat in zijn materiële en niet in zijn formele betekenis (arrest van 16 november 2023, Roos e.a./Parlement, C‑458/22 P, niet gepubliceerd, EU:C:2023:871, punt 61 ). Ten tweede houdt die betekenis van het begrip „wet” in de uitdrukking „bij de wet is voorzien” in artikel 8, lid 2, EVRM volgens die rechtspraak van het EHRM in dat dit begrip ziet op de geldende tekst zoals uitgelegd door de bevoegde rechterlijke instanties (zie in die zin EHRM, 23 januari 2025, H. W. tegen Frankrijk, CE:ECHR:2025:0123JUD 001380521, punt 65).

53 Zoals volgt uit de rechtspraak van het Hof, houdt voorts het vereiste dat elke beperking op de uitoefening van de in het Handvest erkende grondrechten bij wet wordt gesteld, weliswaar in dat de handeling die de inmenging in die rechten toestaat zelf de reikwijdte van die beperking bepaalt, maar verzet dit vereiste er zich niet tegen dat, ten eerste, de betrokken beperking in voldoende open bewoordingen is geformuleerd om te kunnen worden toegepast op verschillende gevallen en aangepast aan veranderende omstandigheden en, ten tweede, de bevoegde rechter in voorkomend geval via uitlegging de concrete reikwijdte van die beperking kan verduidelijken aan de hand van de bewoordingen zelf van de handeling die de inmenging toestaat alsook de algemene opzet van die handeling en de erdoor nagestreefde doelstellingen (zie naar analogie arrest van 21 juni 2022, Ligue des droits humains, C‑817/19, EU:C:2022:491, punt 114 ).

54 Bijgevolg moet het begrip „lidstatelijk recht” in de zin van de artikelen 8 en 10 van richtlijn 2016/680, gelezen in het licht van artikel 8, lid 2, van het Handvest, aldus worden begrepen dat het kan verwijzen naar een bepaling die uitdrukkelijk voorziet in een verwerking van persoonsgegevens binnen het toepassingsgebied van die richtlijn, zoals die bepaling wordt uitgelegd in de rechtspraak van de nationale rechterlijke instanties.

55 Zoals in punt 47 van dit arrest is opgemerkt, bepaalt artikel 8, lid 2, van richtlijn 2016/680 hoe dan ook dat een verwerking van persoonsgegevens binnen het toepassingsgebied van deze richtlijn slechts mogelijk is indien in het lidstatelijke recht dat die verwerking regelt ten minste de verwerkingsdoeleinden, de te verwerken persoonsgegevens en de doeleinden van de verwerking worden gespecificeerd.

56 In dat verband dient er ten eerste op te worden gewezen dat de verwijzing naar het lidstatelijke „recht” dat de betrokken verwerking „regelt” impliceert dat de verwerkingsdoeleinden, de te verwerken persoonsgegevens en de doeleinden van de verwerking op zijn minst in beginsel zijn neergelegd in een bepaling van algemene strekking. Ten tweede beoogt artikel 8, lid 2, van richtlijn 2016/680, zoals uitdrukkelijk voortvloeit uit overweging 33 van die richtlijn, dat het recht van de voor de verwerking verantwoordelijke lidstaat duidelijk en nauwkeurig is, en dat de toepassing daarvan voorspelbaar is voor degenen op wie deze van toepassing is, zoals vereist door de rechtspraak van het Hof en het EHRM.

57 Volgens de rechtspraak van het EHRM moet elke maatregel die de rechtsgrondslag vormt voor een verwerking van persoonsgegevens bepaalde kenmerken hebben. Die maatregel moet in essentie om te beginnen in overeenstemming zijn met hogere normen, vervolgens toegankelijk zijn en tot slot voldoende voorzienbaar zijn, dat wil zeggen in een mate die in de omstandigheden van het geval redelijk is, om de betrokken personen in staat te stellen hun handelwijze te bepalen, wat veronderstelt dat deze maatregel de strekking en de wijze van uitoefening van de aan de bevoegde autoriteiten verleende bevoegdheid voldoende duidelijk omschrijft (zie in die zin met name EHRM, 26 april 1979, Sunday Times tegen Verenigd Koninkrijk, CE:ECHR:1979:0426JUD00065387, §§ 25 en 52; EHRM, 1 juli 2008, Liberty e.a. tegen Verenigd Koninkrijk, CE:ECHR:2008:0701JUD005824300, §§ 62 en 63; EHRM, 4 december 2008, S. en Marper tegen Verenigd Koninkrijk, CE:ECHR:2008:1204JUD003056204, § 95).

58 Evenzo blijkt uit de rechtspraak van het Hof dat een regeling die een inmenging in de door de artikelen 7 en 8 van het Handvest gewaarborgde grondrechten met zich brengt, om te voldoen aan het in artikel 52 van het Handvest neergelegde vereiste dat zij bij wet is gesteld, duidelijke en precieze regels betreffende de draagwijdte en de toepassing van een maatregel moet bevatten die minimale vereisten opleggen, zodat de personen van wie de persoonsgegevens aan de orde zijn, over voldoende garanties beschikken dat hun gegevens doeltreffend worden beschermd tegen het risico van misbruik en tegen elke onrechtmatige raadpleging en elk onrechtmatig gebruik van deze gegevens (zie arresten van 8 april 2014, Digital Rights Ireland e.a., C‑293/12 en C‑594/12, EU:C:2014:238, punt 54 , en  6 oktober 2015, Schrems, C‑362/14, EU:C:2015:650, punt 91 ).

59 Aangezien artikel 8, lid 2, van richtlijn 2016/680 de naleving van de in de punten 56 en 57 van het onderhavige arrest in herinnering gebrachte vereisten beoogt te waarborgen, volgt hieruit dat voor een verwerking binnen het toepassingsbied van deze richtlijn de verwerkingsdoeleinden, de betrokken persoonsgegevens en de doeleinden ervan voldoende duidelijk en nauwkeurig moeten blijken uit het recht dat die verwerking zelf regelt, opdat die verwerking kan worden geacht te voldoen aan het vereiste dat zij bij wet is gesteld in de zin van de rechtspraak van het EHRM en van artikel 52 van het Handvest.

60 Gelet op het voorgaande moet op de derde vraag worden geantwoord dat de artikelen 8 en 10 van richtlijn 2016/680 aldus moeten worden uitgelegd dat, wat het verzamelen, opslaan en wissen van biometrische en genetische gegevens betreft, het begrip „lidstatelijk recht” in de zin van die bepalingen aldus moet worden begrepen dat het betrekking heeft op een bepaling van algemene strekking die de minimale voorwaarden voor het verzamelen, opslaan en wissen van dergelijke gegevens vaststelt, zoals die bepaling wordt uitgelegd in de rechtspraak van de nationale rechterlijke instanties, voor zover die rechtspraak toegankelijk en voldoende voorzienbaar is.

Eerste vraag