Spørsmålet i saken
EU-domstolen avsa 19. mars 2026 prejudisiell avgjørelse i sak C-371/24 Comdribus. Saken gjaldt tolkning av direktiv (EU) 2016/680 artikkel 4 (1) (a) til (c), artikkel 8 og 10. Spørsmålet er om direktivet åpner for å straffe personer som nekter å avgi biometrisk data i forbindelse med en straffesak, selv om de frifinnes for den straffbare handlingen opplysningene skulle innhentes i etterforskningen av. I tillegg vurderes vilkårene for å innhente særlig sensitive personopplysninger.
Sakens bakgrunn
HW var en av mer enn hundre klimaaktivister som deltok i en sivil ulydighetsaksjon i Avenue des Champs-Élysées i Paris, Frankrike. HW ble arrestert og avhørt av politiet. Han opplyste om hvem han var, men nektet å avgi biometrisk data, altså fingeravtrykk og personfotografi. Han nektet også å oppgi koden til telefonen sin, og å låse den opp.
Han ble tiltalt både for sivil ulydighet, for å nekte å oppgi koden på telefonen sin, og for å nekte å medvirke til å avgi biometrisk data. Han ble frifunnet for sivil ulydighet, men dømt for å nekte å gi biometrisk data og koden på telefonen. Ankedomstolen har forelagt tre spørsmål til EU-domstolen angående vilkårene for behandling av biometrisk data etter direktivet, og om eventuell straff for å nekte å avgi slik data er i tråd med direktivets bestemmelser.
EU-domstolens vurdering
Det første spørsmålet er om direktiv (EU) 2016/680 artikkel 10, sammenholdt med artikkel 4 (1) (a) til (c) og artikkel 8 er til hinder for at det automatisk innhentes biometrisk data fra enhver person som det foreligger en eller flere grunner til å tro at har begått eller forsøkt å begå en lovovertredelse.
Vilkåret om at behandlingen av opplysninger må være «strengt nødvendig», innebærer at formålet med innsamlingen må være uttrykkelig angitt og legitimt, jf. Direktiv (EU) 2016/680 artikkel 10. Formålene må være tilstrekkelig presise og konkrete, slik at det kan vurderes om innsamlingen av opplysningene var strengt nødvendig for å oppnå formålet. Slike formål kan for eksempel være forebyggelse, etterforskning eller avsløring av straffbare handlinger.
Lest i lys av artikkel 4 (1) krever vilkåret «strengt nødvendig» at den dataansvarlige sikrer at formålet med behandlingen ikke kan oppfylles like effektivt ved å anvende andre kategorier av opplysninger enn de som er oppregnet i artikkel 10.
Lovgivning som tillater systematisk innsamling og registrering av biometrisk og genetisk data av alle personer som straffeforfølges, uten at den kompetente myndighet plikter å foreta en konkret vurdering av om innsamlingen er “strengt nødvendig” er i strid med direktiv (EU) 2016/680 artikkel 10. Slik lovgivning kan føre til udifferensiert og generell innsamling av slike data.
Etter fransk lov kan det foretas systematisk innsamling av biometrisk data fra alle personer som det foreligger en eller flere rimelige grunner til å tro at har begått, eller forsøkt å begå, en straffbar handling. Kriminalbetjenten er ikke forpliktet til å etterprøve og godtgjøre at innsamlingen er «strengt nødvendig» i samsvar med direktiv (EU) 2016/860 artikkel 10. Bestemmelsen kan åpne for innsamling av biometrisk data som det ikke er et konkret behov for i forbindelse med en verserende straffesak. En slik lov er i strid med direktivets artikkel 10, da det kan føre til en udifferensiert og generell innsamling av biometriske data.
Det andre spørsmålet er om direktivets bestemmelser er til hinder for lovgivning som ikke pålegger kompetente myndigheter en plikt til å begrunne at innhenting av biometrisk data er strengt nødvendig i hvert enkelt tilfelle.
EU-domstolen starter med å vise til vilkårene for behandling av sensitive opplysninger i artikkel 10. Det må blant annet foreligge «tilstrekkelige garantier» for vern av den registrertes rettigheter og friheter. Etter direktivets artikkel 54 må medlemsstatene ha bestemmelser om den registrertes adgang til effektive rettsmidler. Retten til effektivt rettsmiddel innebærer at man skal kunne sette seg inn i begrunnelsen for avgjørelsen som er truffet, og kunne vurdere om man vil angripe avgjørelsen, jf charteret artikkel 47, slik det er utviklet gjennom EU-domstolens praksis.
Det kan gjøres inngrep i retten til effektivt rettsmiddel på visse vilkår. Inngrepet må være fastsatt ved lov, respektere rettighetens vesentlige innhold, være nødvendig og faktisk svare til mål av allmenn interesse som er anerkjent av unionen, eller et behov for beskyttelse av andre rettigheter og friheter.
På bakgrunn av dette er det den kompetente myndighetens ansvar å meddele på hvilket grunnlag en person blir registrert. Slik informasjon er nødvendig for at den registrerte skal kunne utøve retten til effektivt rettsmiddel, jf. artikkel 54. Begrunnelsen kan være kortfattet, forutsatt at den er tilstrekkelig klar for at den berørte personen kan utøve sine rettigheter. En slik begrunnelsesplikt kan ikke anses å utgjøre en urimelig byrde for den kompetente myndigheten.
Det tredje spørsmålet er om lovgivning som åpner for å straffe en person fordi vedkommende nekter å avgi biometrisk data, selv om vedkommende ikke kan dømmes for den straffbare handlingen som lå til grunn for innhentingen av opplysningene, omfattes av direktiv (EU) 2016/680.
EU-domstolen starter med å vise til direktivets anvendelsesområde etter artikkel 2 (1). Myndighetenes forsøk på å behandle personopplysninger er omfattet av direktivet selv om personen opplysningene skal innhentes fra, nekter å medvirke til dette. Dersom innhentingen av opplysninger fra personen som nekter å medvirke ikke er i gjort i samsvar med direktivet, er den eventuelle sanksjonen for å nekte å avgi slike opplysninger ulovlig.
Spørsmålet er så om slik lovgivning er i strid med direktiv (EU) 2016/680. De samme vilkårene som må være oppfylt for å behandle sensitive opplysninger, må være oppfylt for at det skal være lovlig å sanksjonere nektingen av å avgi slike opplysninger.
Innhentingen må dermed blant annet være «strengt nødvendig». Den omstendighet at det var grunn til å tro at den aktuelle personen hadde begått eller forsøkt å begå en straffbar handling, på tidspunktet for innhenting av biometrisk data, er et vektig moment i vurderingen av om det kan innhentes sensitive opplysninger. Det faktum at vedkommende i ettertid ikke ble straffeforfulgt for handlingene han eller hun var mistenkt for, er ikke avgjørende for om vilkåret var oppfylt på tidspunktet for innhentingen.
Sanksjoneringen må være i tråd med EU-rettens generelle prinsipper, herunder proporsjonalitetsprinsippet. Proporsjonalitetsprinsippet krever at den pålagte sanksjonen svarer til overtredelsens grovhet, og at det tas hensyn til konkrete omstendigheter i saken ved fastsettelsen av sanksjonens lengde eller størrelse. Ved fastsettelsen av straff må domstolene ta hensyn til personens atferd og profil, tidligere kriminelle atferd og grovheten av handlingen som lå til grunn for innsamlingen av biometrisk data.
EU-domstolens konklusjon
Direktiv (EU) 2016/680 artikkel 10, sammenholdt med artikkel 4 (1) (a)-(c) og 8 er til hinder for systematisk innsamling biometriske data om enhver person som det foreligger en eller flere rimelige grunner til å tro, at har begått eller forøkt at begå en straffbar handling.
De samme bestemmelsene sammenholdt med direktivets artikkel 54 og charterets artikkel 47 krever at den kompetente myndigheten gir en tilstrekkelig begrunnelse for at det er «strengt nødvendig» å innsamle biometriske data i hvert enkelt tilfelle.
Direktivets bestemmelser er ikke til hinder for lovgivning som gjør det mulig å straffeforfølge og dømme en person som nekter å avgi biometriske data, uavhengig av om vedkommende faktisk ble straffeforfulgt eller dømt for den straffbare handlingen som var grunnlaget for innsamlingen av data. Slik straff forutsetter at innhentingen er i tråd med de øvrige vilkårene i direktivets artikkel 10 og proporsjonalitetsprinsippet.
Direktiv (EU) 2016/680 er en videreutvikling av Schengen-regelverket, som Norge er forpliktet til å gjennomføre etter Avtale mellom Rådet for Den europeiske union og Island og Norge om de sistnevnte statenes tilknytning til gjennomføringen, anvendelsen og videreutviklingen av Schengen-regelverket, signert 18. mai 1999. Direktivet er gjennomført ved endringer i en rekke lover, men i hovedsak lov 28. mai 2010 nr. 16 om behandling av opplysninger i politiet og påtalemyndigheten (politiregisterloven).
Høyesterett har uttalt at rettspraksis fra EU-domstolen er av sentral betydning ved tolkningen av EU-rettsakter som videreutvikler Schengen-regelverket, se HR-2024-1109-A avsn. 35 og HR-2025-2174-U avsn. 11.
EPB