Foreløbig udgave
FORSLAG TIL AFGØRELSE FRA GENERALADVOKAT
M. SZPUNAR
fremsat den 4. september 2025 (1)
Sag C-312/24 [Darashev] (i)
CL
mod
Prokuratura na Republika Bulgaria
(anmodning om præjudiciel afgørelse indgivet af Sofijski rajonen sad (kredsdomstolen i Sofia, Bulgarien))
» Præjudiciel forelæggelse – beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i straffesager – direktiv (EU) 2016/680 – behandling af oplysninger, der blev indsamlet i forbindelse med en strafferetlig efterforskning, som involverede en politibetjent som mistænkt – opbevaring af oplysninger i den personlige aktmappe – forordning (EU) 2016/679 – behandlingens lovlighed – behandling, som er nødvendig for at overholde en retlig forpligtelse, der påhviler den dataansvarlige – formål i samfundets interesse – behandling af personoplysninger vedrørende straffedomme og lovovertrædelser – ret til sletning (»retten til at blive glemt«) – ligebehandling med hensyn til beskæftigelse og erhverv – direktiv 2000/78/EF «
I.      Indledning
1.        Som enhver anden arbejdsgiver behandler offentlige myndigheder personoplysninger om deres ansatte. Samtidig kan udøvelsen af de opgaver, de har fået overdraget, medføre, at de også indsamler visse oplysninger om deres personale i andre sammenhænge end personaleforvaltning, og i så fald opstår der spørgsmål vedrørende grundlaget for og formålene med behandlingen af oplysningerne.
2.        Den forelæggende ret er således i tvivl om lovligheden af en behandling af oplysninger, i forbindelse med hvilken en offentlig myndighed opbevarer oplysninger i en ansats personlige aktmappe om en strafferetlig efterforskning, hvor den pågældende var genstand for efterforskningsforanstaltninger som mistænkt. I det foreliggende tilfælde blev de pågældende oplysninger indsamlet af den samme offentlige myndighed i dennes egenskab af efterforskningsmyndighed og opbevaret i den personlige aktmappe, selv om den strafferetlige efterforskning blev indstillet, uden at den pågældende ansatte blev sigtet eller tiltalt.
3.        Det centrale spørgsmål, der rejses i denne sag, befinder sig i krydsfeltet mellem forordning (EU) 2016/679 (2) (herefter »databeskyttelsesforordningen«) og direktiv (EU) 2016/680 (3) og har til formål at afklare grundlaget og betingelserne for at gøre brug af retten til sletning af oplysninger, der opbevares under sådanne omstændigheder.
II.    Retsforskrifter
A.      EU-retten
1.      Direktiv 2000/78/EF
4.        Ifølge artikel 1 i direktiv 2000/78/EF (4) er formålet med dette direktiv »med henblik på at gennemføre princippet om ligebehandling i medlemsstaterne, at fastlægge en generel ramme for bekæmpelsen af forskelsbehandling med hensyn til beskæftigelse og erhverv på grund af religion eller tro, handicap, alder eller seksuel orientering«.
5.        I henhold til direktivets artikel 2, stk. 1, betyder »princippet om ligebehandling«, at ingen må udsættes for nogen form for direkte eller indirekte forskelsbehandling af nogen af de i artikel 1 anførte grunde.
2.      Databeskyttelsesforordningen
6.        19., 39. og 41. betragtning til databeskyttelsesforordningen har følgende ordlyd:
»(19)      [...] Med hensyn til disse kompetente myndigheders [som omhandlet i direktiv 2016/680] behandling af personoplysninger til formål, der er omfattet af anvendelsesområdet for denne forordning, bør medlemsstaterne kunne opretholde eller indføre mere specifikke bestemmelser for at tilpasse anvendelsen af reglerne i denne forordning. Sådanne bestemmelser kan mere præcist fastlægge specifikke krav til disse kompetente myndigheders behandling af personoplysninger til disse andre formål under hensyntagen til den forfatningsmæssige, organisatoriske og administrative struktur i den pågældende medlemsstat. [...]
[...]
(39)      [...] Personoplysningerne bør være tilstrækkelige, relevante og begrænset til, hvad der er nødvendigt i forhold til formålene med deres behandling. Dette kræver navnlig, at det sikres, at perioden for opbevaring af personoplysningerne ikke er længere end strengt nødvendigt. [...] For at sikre, at personoplysninger ikke opbevares i længere tid end nødvendigt, bør den dataansvarlige indføre tidsfrister for sletning eller periodisk gennemgang. [...]
[...]
(41)      Når denne forordning henviser til et retsgrundlag eller en lovgivningsmæssig foranstaltning, kræver det ikke nødvendigvis en lov, der er vedtaget af et parlament, med forbehold for krav i henhold til den forfatningsmæssige orden i den pågældende medlemsstat. Et sådant retsgrundlag eller en sådan lovgivningsmæssig foranstaltning bør imidlertid være klar(t) og præcis(t), og anvendelse heraf bør være forudsigelig for personer, der er omfattet af dets/dens anvendelsesområde, jf. retspraksis fra [Domstolen] og Den Europæiske Menneskerettighedsdomstol [herefter »Menneskerettighedsdomstolen«].«
7.        Databeskyttelsesforordningens artikel 2 med overskriften »Materielt anvendelsesområde« bestemmer i stk. 1, at denne forordning »finder anvendelse på behandling af personoplysninger, der helt eller delvis foretages ved hjælp af automatisk databehandling, og på anden ikke-automatisk databehandling af personoplysninger, der er eller vil blive indeholdt i et register«, og i stk. 2, litra
d), at forordningen ikke gælder for behandling af personoplysninger, som foretages »af kompetente myndigheder med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod og forebygge trusler mod den offentlige sikkerhed«.
8.        Databeskyttelsesforordningens artikel 4 med overskriften »Definitioner« bestemmer:
»I denne forordning forstås ved:
1)      »personoplysninger«: enhver form for information om en identificeret eller identificerbar fysisk person [...]; ved identificerbar fysisk person forstås en fysisk person, der direkte eller indirekte kan identificeres, navnlig ved en identifikator som f.eks. et navn, et identifikationsnummer [...]
2)      »behandling«: enhver aktivitet eller række af aktiviteter – med eller uden brug af automatisk behandling – som personoplysninger eller en samling af personoplysninger gøres til genstand for, f.eks. indsamling, registrering, organisering, systematisering, opbevaring, tilpasning eller ændring, genfinding, søgning, brug, [...]
[...]
6)      »register«: enhver struktureret samling af personoplysninger, der er tilgængelig efter bestemte kriterier, hvad enten denne samling er placeret centralt eller decentralt eller er fordelt på funktionsbestemt eller geografisk grundlag
7)       »dataansvarlig«: en fysisk eller juridisk person, en offentlig myndighed, en institution eller et andet organ, der alene eller sammen med andre afgør, til hvilke formål og med hvilke hjælpemidler der må foretages behandling af personoplysninger; […]«
9.        Databeskyttelsesforordningens artikel 6 med overskriften »Lovlig behandling« fastsætter:
»1.      Behandling er kun lovlig, hvis og i det omfang mindst ét af følgende forhold gør sig gældende:
[...]
c)      Behandling er nødvendig for at overholde en retlig forpligtelse, som påhviler den registeransvarlige.
[...]
3.      Grundlaget for behandling i henhold til stk. 1, litra
c) og e), skal fremgå af:
[...]
b)      medlemsstaternes nationale ret, som den dataansvarlige er underlagt.
Formålet med behandlingen skal være fastlagt i dette retsgrundlag [...]. Dette retsgrundlag kan indeholde specifikke bestemmelser med henblik på at tilpasse anvendelsen af bestemmelserne i denne forordning [...] EU-retten eller medlemsstaternes nationale ret skal opfylde et formål i samfundets interesse og stå i rimeligt forhold til det legitime mål, der forfølges. [...]«
10.      Databeskyttelsesforordningens artikel 9 bestemmer:
»1.      Behandling af personoplysninger om race eller etnisk oprindelse, politisk, religiøs eller filosofisk overbevisning eller fagforeningsmæssigt tilhørsforhold samt behandling af genetiske data, biometriske data med det formål entydigt at identificere en fysisk person, helbredsoplysninger eller oplysninger om en fysisk persons seksuelle forhold eller seksuelle orientering er forbudt.
2.      Stk. 1 finder ikke anvendelse, hvis et af følgende forhold gør sig gældende:
[...]«
11.      Databeskyttelsesforordningens artikel 10 har følgende ordlyd:
»Behandling af personoplysninger vedrørende straffedomme og lovovertrædelser eller tilknyttede sikkerhedsforanstaltninger på grundlag af artikel 6, stk. 1, må kun foretages under kontrol af en offentlig myndighed, eller hvis behandling har hjemmel i EU-retten eller medlemsstaternes nationale ret, som giver passende garantier for registreredes rettigheder og frihedsrettigheder. [...]«
12.      Databeskyttelsesforordningens artikel 17 med overskriften »Ret til sletning (»retten til at blive glemt«)« fastsætter:
»1.      Den registrerede har ret til at få personoplysninger om sig selv slettet af den dataansvarlige uden unødig forsinkelse, og den dataansvarlige har pligt til at slette personoplysninger uden unødig forsinkelse, hvis et af følgende forhold gør sig gældende:
a)      Personoplysningerne er ikke længere nødvendige til at opfylde de formål, hvortil de blev indsamlet eller på anden vis behandlet.
[...]
d)      Personoplysningerne er blevet behandlet ulovligt.
[...]
3.      Stk. 1 og 2 finder ikke anvendelse, i det omfang denne behandling er nødvendig:
[...]
b)      for at overholde en retlig forpligtelse, der kræver behandling i henhold til EU-retten eller medlemsstaternes nationale ret, og som den dataansvarlige er underlagt, [...]
[...]«
3.      Direktiv 2016/680
13.      Artikel 1, stk. 1, i direktiv 2016/680 bestemmer:
»I dette direktiv fastsættes regler om beskyttelse af fysiske personer i forbindelse med de kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod eller forebygge trusler mod den offentlige sikkerhed.«
14.      I dette direktivs artikel 3 defineres begreberne »personoplysninger« og »behandling« på samme måde som i databeskyttelsesforordningen.
15.      I henhold til direktivets artikel 3, nr. 7), forstås ved »kompetent myndighed« bl.a. enhver offentlig myndighed, der er kompetent med hensyn til at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod og forebygge trusler mod den offentlige sikkerhed.
16.      Samme direktivs artikel 9, der har overskriften »Særlige betingelser for behandling«, bestemmer i stk. 1:
»Personoplysninger indsamlet af kompetente myndigheder med henblik på artikel 1, stk. 1, må ikke behandles til andre formål end med henblik på artikel 1, stk. 1, medmindre en sådan behandling er hjemlet i EU-retten eller medlemsstaternes nationale ret. Hvis personoplysninger behandles til disse andre formål, finder [databeskyttelsesforordningen] anvendelse, medmindre behandlingen udføres i forbindelse med en aktivitet, der falder uden for EU-rettens anvendelsesområde.«
17.      Artikel 16, stk. 2, i direktiv 2016/680 fastsætter bl.a. de situationer, hvor medlemsstaterne giver den registrerede ret til at få personoplysninger om sig selv slettet af den dataansvarlige.
B.      Bulgarsk ret
1.      ZMVR
18.      Artikel 29, stk. 1 og 2, i Zakon za Ministerstvo na vatreshnite raboti (lov om indenrigsministeriet)(5) i den affattelse, der finder anvendelse på tvisten i hovedsagen (herefter »ZMVR«), bestemmer følgende:
»(1)      Den dataansvarlige er indenrigsministeren, som kan overlade behandlingen af personoplysninger til tjenestemænd udpeget af indenrigsministeren.
(2)      De nærmere bestemmelser for behandling af personoplysninger fastsættes ved indenrigsministerens instruks«.
19.      ZMVR’s artikel 147 bestemmer:
»(1)      Der udarbejdes og føres en personlig aktmappe for alle indenrigsministeriets ansatte.
(2)      De nærmere bestemmelser om oprettelse, forvaltning og opbevaring af personlige aktmapper samt de nærmere bestemmelser om deres anvendelse fastsættes ved indenrigsministerens instruks.«
2.      Instruksen vedrørende personlige aktmapper
20.      Indenrigsministerens instruks nr. 8121z-532 af 9. september 2014 om udarbejdelse, føring, opbevaring og anvendelse af indenrigsministeriets ansattes personlige aktmapper (6) (herefter »instruksen vedrørende personlige aktmapper«) bestemmer i artikel 3:
»De personlige aktmapper oprettes og opbevares af kontoret for »menneskelige ressourcer« i de pågældende strukturer, nummereret i stigende rækkefølge, logges og opbevares på et sted (register), der opfylder kravene til opbevaring af materiale, som indeholder klassificerede informationer.«
21.      I henhold til denne instruks’ artikel 5, stk. 2, foretages behandlingen af de oplysninger, der opbevares i de personlige aktmapper, bl.a. med henblik på påbegyndelse, ændring og ophør af de ansattes ansættelses- eller tjenesteforhold.
22.      Den nævnte instruks’ artikel 6 fastsætter:
»(1)      I de personlige aktmapper indsamles og opbevares dokumenter, inddelt i tre afsnit, som indeholder data og oplysninger om de ansattes uddannelse, udnævnelse, indgåelse af ansættelseskontrakter, ændring af funktioner og udtræden af tjenesten.
[...]
(4)      Det tredje afsnit indeholder dokumenter vedrørende ændring af funktioner (afgørelser, afgørelser om tiltrædelse og udtræden af tjenesten, dokumenter vedrørende disciplinærsager [...])«
III. Tvisten i hovedsagen, de præjudicielle spørgsmål og retsforhandlingerne for Domstolen
23.      Ministerstvo na vatreshnite raboti (indenrigsministeriet, herefter »ministeriet«) er en administrativ myndighed med ansvar for at opretholde den offentlige orden, der består af flere generaldirektorater. Generaldirektoratet »intern sikkerhed« har ansvaret for at gennemføre efterforskningsforanstaltninger vedrørende ministeriets ansatte i forbindelse med alle former for strafbare handlinger. I perioden 2012-2023 varetog sagsøgeren i hovedsagen forskellige funktioner som politibetjent i generaldirektoratet »sikkerhedspoliti« og generaldirektoratet »nationalt politi«.
24.      Den 1. marts 2016 blev der indledt en efterforskning mod en ukendt gerningsmand på grund af et røveri. Den 17. maj 2016 blev sagsøgeren i hovedsagen under et møde, som han deltog i sammen med politibetjentene i den afdeling, hvor han arbejdede, anholdt for øjnene af sine kolleger og måtte aflevere sit politiskilt, sit våben og sit tjeneste-ID. Efter 24 timers anholdelse blev han løsladt. Han blev ikke efterfølgende formelt sigtet eller tiltalt, men var genstand for en række efterforskningsforanstaltninger.
25.      I løbet af 2016 blev sagen mod sagsøgeren i hovedsagen udsat, fordi gerningsmanden ikke kunne identificeres. Det blev derefter besluttet at indstille sagen.
26.      Sagsøgeren i hovedsagen fortsatte med at udføre sin tjeneste som politibetjent og deltog i udvælgelsesprøver med henblik på forfremmelse til andre funktioner i ministeriet.
27.      Sagsøgeren i hovedsagen har efterfølgende anlagt sag ved Sofijski rajonen sad (kredsdomstolen i Sofia, Bulgarien), den forelæggende ret, mod Prokuratura na Republika Bulgaria (Republikken Bulgariens anklagemyndighed, herefter »anklagemyndigheden«). Han har nedlagt påstand om, at anklagemyndigheden dømmes til at betale erstatning for den immaterielle skade, han har lidt som følge af de foranstaltninger, der blev truffet over for ham i forbindelse med den strafferetlige efterforskning, og af konsekvenserne af denne procedure, bl.a. den omstændighed, at han ikke er blevet forfremmet eller forflyttet til andre funktioner på grund af sin status af mistænkt i forbindelse med denne efterforskning. Han har desuden nedlagt påstand om, at hans navn slettes fra den database, som ministeriet opbevarer, og hvori han står registreret som mistænkt.
28.      Den forelæggende ret har anført, at ministeriet er arbejdsgiver for alle ansatte, som udøver deres funktioner i dette ministerium. Hvert generaldirektorat opbevarer oplysninger om sine ansatte i deres personlige aktmappe. De oplysninger, der indsamles i forbindelse med en efterforskning foretaget af generaldirektoratet »intern sikkerhed«, opbevares også dér. Det er uomtvistet i hovedsagen, at ministeriet som arbejdsgiver opbevarer oplysninger om, at sagsøgeren i hovedsagen blev mistænkt og anholdt i forbindelse med den omhandlede efterforskning. Den forelæggende ret er imidlertid i tvivl om, hvorvidt denne opbevaring i den personlige aktmappe er forenelig med databeskyttelsesforordningen og direktiv 2016/680, og om det angivelige afslag på forfremmelse er foreneligt med direktiv 2000/78.
29.      På denne baggrund har Sofijski rajonen sad (kredsdomstolen i Sofia) besluttet at udsætte sagen og forelægge Domstolen følgende præjudicielle spørgsmål:
»Skal databeskyttelsesforordningens artikel 2, stk. 1, fortolkes således, at databehandling omfatter aktiviteter udført af en og samme organisationsstruktur, hvor en del af [generaldirektoraterne] varetager opgaver som arbejdsgiver, mens et enkelt andet direktorat har egenskab af efterforskningsmyndighed i straffesager mod ansatte i de andre direktorater[?] Såfremt dette besvares bekræftende:
1)      Skal udtrykket »behandling [af personoplysninger]« i databeskyttelsesforordningens artikel 4, nr. 2), fortolkes således, at det omfatter en aktivitet, inden for rammerne af hvilken der tilføjes oplysninger til en ansats personlige aktmappe, som arbejdsgiveren har opnået i sin egenskab af efterforskningsmyndighed gennem et af sine direktorater vedrørende netop denne ansatte?
2)      Skal udtrykket »register« i databeskyttelsesforordningens artikel
4, nr. 6), fortolkes således, at det omfatter den personlige aktmappe for en ansat eller arbejdstager, som arbejder i et af arbejdsgiverens direktorater, idet oplysningerne er indsamlet af et andet af arbejdsgiverens direktorater, som har egenskab af efterforskningsmyndighed?
3)      Skal databeskyttelsesforordningens artikel 9, stk. 2, litra
b), fortolkes således, at en af en arbejdsgivers organisationsenheder må indsamle og opbevare oplysninger om, at den ansatte var mistænkt/sigtet/tiltalt i en straffesag, idet disse oplysninger er indsamlet af en anden af arbejdsgiverens organisationsenheder, som har egenskab af efterforskningsmyndighed?
4)      Skal »retten til at blive glemt« i henhold til databeskyttelsesforordningens artikel 17, stk. 1, litra
a), fortolkes således, at en arbejdsgiver skal slette alle oplysninger fra den ansattes personlige aktmappe, som arbejdsgiveren har indsamlet og opbevaret gennem et andet af sine direktorater, som har egenskab af en myndighed til efterforskning mod arbejdsgiverens ansatte, om at den ansatte:
–        er mistænkt/sigtet/tiltalt for en strafbar handling i en verserende straffesag
–        blev mistænkt/sigtet/tiltalt for en strafbar handling, og straffesagen vedrørende denne handling blev udsat eller indstillet?
5)      Skal udtrykket »personoplysningerne er blevet behandlet ulovligt« i databeskyttelsesforordningens artikel 17, stk. 1, litra
d), fortolkes således, at det omfatter oplysninger, som arbejdsgiveren har modtaget, indsamlet og opbevaret gennem en af sine andre organisationsenheder, som varetager opgaver vedrørende efterforskning i straffesager mod ansatte i andre af arbejdsgiverens organisationsenheder, idet disse oplysninger opbevares i den personlige aktmappe og vedrører den omstændighed, at den ansatte […]
–        er mistænkt/sigtet/tiltalt for en strafbar handling i en verserende straffesag
–        blev mistænkt/sigtet/tiltalt for en strafbar handling, og straffesagen vedrørende denne handling blev udsat eller indstillet?
6)      Skal begrebet »personoplysninger« som omhandlet i artikel
3, nr. 1), i [direktiv 2016/680], sammenholdt med artikel
52 i Den Europæiske Unions charter om grundlæggende rettigheder [(herefter »chartret«)], fortolkes således, at det drejer sig om oplysninger, som arbejdsgiveren har opnået, indsamlet og opbevaret gennem en af sine organisationsenheder, som varetager en efterforskningsmyndigheds opgaver i en straffesag mod en ansat, som udfører sin tjeneste i en anden af arbejdsgiverens organisationsenheder?
7)      Skal begrebet »behandling« [af personoplysninger] som omhandlet i artikel
3, nr. 2), i [direktiv 2016/680], sammenholdt med [chartrets] artikel
52, fortolkes således, at det omfatter arbejdsgiverens opbevaring i den ansattes personlige aktmappe af oplysninger, som arbejdsgiveren har opnået, indsamlet og opbevaret gennem en af sine organisationsenheder, som varetager en efterforskningsmyndigheds opgaver i en straffesag mod en af arbejdsgiverens ansatte, som udfører sin tjeneste i en anden af arbejdsgiverens organisationsenheder?
8)      Skal artikel 9, stk. 1, i [direktiv 2016/680], sammenholdt med [chartrets] artikel 52, fortolkes således, at den tillader arbejdsgiveren at indsamle og opbevare oplysninger om en ansat, der er mistænkt/sigtet/tiltalt, idet arbejdsgiveren har indsamlet disse oplysninger gennem en anden af sine organisationsenheder, som har egenskab af efterforskningsmyndighed i straffesagen mod den pågældende ansatte?
9)      Skal artikel 16, stk. 2, i [direktiv 2016/680], sammenholdt med [chartrets] artikel 52, fortolkes således, at arbejdsgiveren skal slette alle oplysninger i den ansattes personlige aktmappe, som arbejdsgiveren har indsamlet og opbevaret gennem en anden af sine organisationsenheder, som har egenskab af efterforskningsmyndighed i straffesagen mod den pågældende ansatte, og som vedrører den omstændighed, at den ansatte:
–        er mistænkt/sigtet/tiltalt for en strafbar handling i en verserende straffesag
–        blev mistænkt/sigtet/tiltalt for en strafbar handling, og straffesagen vedrørende denne handling blev udsat eller indstillet?
10)      Skal artikel 1 i [direktiv 2000/78] fortolkes således, at den ikke tillader arbejdsgiveren, hvis organisationsenhed foretager efterforskningshandlinger mod en ansat i en anden organisationsenhed, at nægte en ansats forfremmelse alene på grundlag af, at den ansatte:
–        er mistænkt/sigtet/tiltalt for en strafbar handling i en verserende straffesag
–        blev mistænkt/sigtet/tiltalt for en strafbar handling, og straffesagen vedrørende denne handling blev udsat eller indstillet?«
30.      Den bulgarske og den ungarske regering samt Europa-Kommissionen har indgivet skriftlige indlæg. Den bulgarske regering og Kommissionen deltog i retsmødet, der blev afholdt den 21. maj 2025.
IV.    Bedømmelse
A.      Formaliteten med hensyn til de præjudicielle spørgsmål
31.      Den bulgarske regering har gjort gældende, at det er åbenbart, at de præjudicielle spørgsmål ikke kan antages til realitetsbehandling i deres helhed, og har i denne forbindelse påberåbt sig følgende grunde.
32.      Regeringen har for det første anført, at kravet om erstatning for skaden udelukkende er rettet mod anklagemyndigheden, som er en del af den dømmende magt, mens det kun er ministeriet – der hører under den udøvende magt, og som var arbejdsgiver for sagsøgeren i hovedsagen – der er i besiddelse af oplysningerne i dennes personlige aktmappe. Sagsøgeren i hovedsagen kan derfor hverken anmode anklagemyndigheden om at slette sine
oplysninger eller holde denne ansvarlig for, at ministeriet er i besiddelse af disse oplysninger, ligesom sagsøgeren i hovedsagen heller ikke kan kritisere anklagemyndigheden for at have hindret sin forfremmelse.
33.      For det andet har regeringen anført, at den forelæggende ret, for at anklagemyndigheden kan ifalde ansvar, i overensstemmelse med den nationale lovgivning om statens ansvar skal afgøre, om sagsøgeren i hovedsagens rettigheder som tiltalt er blevet krænket, og om han er blevet uberettiget tiltalt for at have begået en strafbar handling. Genstanden for hovedsagen er imidlertid hverken anvendelsen af databeskyttelsesforordningens bestemmelser eller anvendelsen af den nationale lovgivning, der gennemfører direktiv 2016/680 og direktiv 2000/78. Fortolkningen af disse EU-retsakter er således ikke nødvendig for at afgøre tvisten i hovedsagen.
34.      Jeg er ikke enig i dette synspunkt.
35.      Jeg gør opmærksom på, at der gælder en formodning for, at de præjudicielle spørgsmål, som den nationale ret har forelagt på baggrund af de retlige og faktiske omstændigheder, som den har ansvaret for at fastlægge, og hvis rigtighed det ikke tilkommer Domstolen at efterprøve, er relevante (7).
36.      Efter min opfattelse kan denne formodning ikke drages i tvivl i det foreliggende tilfælde. Det fremgår således af forelæggelsesafgørelsen, at tvisten i hovedsagen vedrører den ikke-økonomiske skade, som sagsøgeren i hovedsagen har lidt, bl.a. fordi han er blevet nægtet forfremmelse med den begrundelse, at han var mistænkt. Sagsøgeren i hovedsagen har desuden nedlagt påstand om sletning af de oplysninger, som ministeriet opbevarer, og som vedrører hans status af mistænkt i forbindelse med denne efterforskning. Disse påstande ligger til grund for den forelæggende rets spørgsmål om fortolkningen af direktiv 2000/78 samt af databeskyttelsesforordningen og direktiv 2016/680 (8).
37.      Det er korrekt, at den forelæggende ret ikke har forklaret, om de foranstaltninger, som ministeriet har truffet efter den strafferetlige efterforskning, kan tilregnes anklagemyndigheden i forbindelse med et sådant erstatningskrav. Den har blot anført, at et erstatningskrav i henhold til national retspraksis er rettet mod anklagemyndigheden, for så vidt som det vedrører en strafferetlig efterforskning. Spørgsmålet om, hvorvidt ministeriets angiveligt skadelige handlinger skal tilregnes anklagemyndigheden, henhører imidlertid alene under national ret. Det samme gælder spørgsmålet om partshabilitet som sagsøgt i forbindelse med et erstatningskrav baseret på statens ansvar hvad angår en strafferetlig efterforskning. Den bulgarske regerings argumenter vedrører således fortolkningen og anvendelsen af national ret. Jeg gør imidlertid opmærksom på, at det ikke tilkommer Domstolen at udtale sig om fortolkningen af nationale bestemmelser og afgøre, hvorvidt den fortolkning eller anvendelse, som den nationale ret har anlagt heraf, er korrekt, idet en sådan fortolkning henhører under de nationale domstoles enekompetence (9).
38.      Jeg foreslår derfor, at det ikke fastslås, at de præjudicielle spørgsmål ikke kan antages til realitetsbehandling i deres helhed.
39.      Jeg gør derimod opmærksom på, at det tredje til det femte og det ottende til det tiende præjudicielle spørgsmål delvis vedrører hypotetiske situationer, der ikke svarer til de faktiske omstændigheder i tvisten, således som der er redegjort for disse i forelæggelsesafgørelsen, dvs. en mistænkt, tiltalt eller sigtet persons deltagelse i en verserende, udsat eller indstillet sag. Det fremgår således af forelæggelsesafgørelsen, at den strafferetlige efterforskning blev indstillet, og at de udvælgelsesprocedurer, som sagsøgeren i hovedsagen deltog i, fandt sted efter denne afgørelse om indstilling. Det er desuden ubestridt, at han kun var mistænkt.
40.      Det må derfor fastslås, at det tredje til det femte og det ottende til det tiende præjudicielle spørgsmål ikke kan antages til realitetsbehandling, da de er hypotetiske, for så vidt som de vedrører andre situationer end sagsøgeren i hovedsagens situation.
B.      Realiteten
1.      Indledende bemærkninger om de præjudicielle spørgsmåls rækkevidde
41.      Den forelæggende ret har stillet i alt 11 spørgsmål, som vedrører databeskyttelsesforordningen (det indledende spørgsmål og det første til det femte præjudicielle spørgsmål), direktiv 2016/680 (det sjette til det niende præjudicielle spørgsmål) og direktiv 2000/78 (det tiende præjudicielle spørgsmål).
42.      Det fremgår af den foreliggende anmodning om præjudiciel afgørelse, at den forelæggende ret ønsker oplyst, hvilken retsakt – databeskyttelsesforordningen eller direktiv 2016/680 – der kan danne grundlag for, at en ansat under omstændigheder som de i hovedsagen omhandlede kan anmode om sletning af oplysninger i sin personlige aktmappe, der identificerer vedkommende som mistænkt i forbindelse med en strafferetlig efterforskning, som blev indstillet.
43.      For det første er det af klarhedshensyn nødvendigt at præcisere den faktuelle forudsætning, der er grundlag for spørgsmålene om databeskyttelsesforordningen og direktiv 2016/680. Jeg gør opmærksom på, at selv om de fleste af disse spørgsmål (10) udtrykkeligt henviser til de oplysninger, der opbevares i den ansattes personlige aktmappe, henviser visse spørgsmål (11) mere generelt til arbejdsgiverens opbevaring af oplysninger om en ansat, der udfører sin tjeneste i en af arbejdsgiverens organisatoriske enheder, idet oplysningerne blev indsamlet af den enhed, der var ansvarlig for undersøgelsen.
44.      På baggrund af den samlede begrundelse for forelæggelsesafgørelsen er genstanden for alle disse spørgsmål opbevaringen af den ansattes oplysninger i hans personlige aktmappe. Selv om anmodningen om præjudiciel afgørelse enkelte gange også nævner opbevaring af oplysninger i ministeriets »arkiver« eller »databaser«, er dette ikke yderligere uddybet og indgår under alle omstændigheder ikke i spørgsmålene.
45.      Min bedømmelse vil derfor alene vedrøre opbevaringen af oplysninger i den personlige aktmappe.
46.      For det andet finder jeg det nødvendigt med en samlet omformulering af nogle af spørgsmålene med henblik på at give den forelæggende ret hensigtsmæssige oplysninger, som sætter den i stand til at træffe afgørelse om påstanden om sletning (12). Af de grunde, som jeg vil redegøre for i det nedenstående, vil jeg i min bedømmelse omgruppere spørgsmålene på følgende måde:
–      det indledende spørgsmål og det første, det andet og det sjette til det ottende præjudicielle spørgsmål, som nærmere bestemt har til formål at fastlægge databeskyttelsesforordningens anvendelsesområde
–      det tredje til det femte præjudicielle
spørgsmål, som nærmere bestemt vedrører betingelserne for lovlig behandling i forbindelse med udøvelse af retten til sletning i henhold til databeskyttelsesforordningen
–      det niende præjudicielle
spørgsmål, som vedrører retten til sletning i henhold til direktiv 2016/680
–      det tiende præjudicielle
spørgsmål, som vedrører direktiv 2000/78.
2.      Det indledende spørgsmål samt det første, det andet og det sjette til det ottende præjudicielle spørgsmål
a)      Omformulering af spørgsmålene
47.      Med sit indledende spørgsmål ønsker den forelæggende ret nærmere bestemt oplyst, om databeskyttelsesforordningens artikel 2, stk. 1, skal fortolkes således, at denne forordning finder anvendelse på behandling af oplysninger, der foretages af en offentlig myndighed, i hvilken en del af de organisatoriske enheder udøver arbejdsgiverfunktioner, mens kun en anden enhed havde egenskab af efterforskningsmyndighed i straffesagen mod ansatte i andre enheder.
48.      Såfremt dette spørgsmål besvares bekræftende, ønsker den forelæggende ret med det første og det andet spørgsmål nærmere bestemt oplyst, om databeskyttelsesforordningens artikel 4, nr. 2) og 6), skal fortolkes således, at den omstændighed, at en offentlig myndighed opbevarer en af sine ansattes personoplysninger, som denne myndighed har indhentet via sin organisatoriske enhed, der handler i sin egenskab af efterforskningsmyndighed, i den pågældendes personlige aktmappe, udgør en »behandling af personoplysninger«, der er indeholdt i et »register«.
49.      Selv om den forelæggende ret med det første og det andet præjudicielle
spørgsmål formelt ønsker oplyst, hvorledes disse to begreber skal fortolkes, er dette efter min opfattelse ikke den egentlige genstand for disse spørgsmål. Ved at henvise til den dobbeltrolle, som en offentlig myndighed som ministeriet har, når den behandler sine ansattes oplysninger (indsamling som efterforskningsmyndighed og opbevaring som arbejdsgiver), skal disse spørgsmål forstås som præmisserne til det ræsonnement, der skal fastlægge databeskyttelsesforordningens anvendelsesområde. Denne fortolkning bekræftes efter min opfattelse af den omstændighed, at den forelæggende ret ikke har rejst konkret tvivl om fortolkningen af disse begreber i begrundelsen for de pågældende spørgsmål.
50.      Hvad angår det ottende præjudicielle
spørgsmål indgår det efter min opfattelse i det samme ræsonnement, og tilsigter nærmere bestemt at få oplyst, om artikel
9, stk. 1, i direktiv 2016/680 (13) skal fortolkes således, at denne bestemmelse tillader en offentlig myndighed at opbevare oplysninger om en af sine ansattes status af mistænkt i forbindelse med en strafferetlig efterforskning, når den pågældende myndighed har indsamlet disse oplysninger gennem en af sine organisatoriske enheder, der handler i egenskab af efterforskningsmyndighed.
51.      Det fremgår af ordlyden af det ottende præjudicielle
spørgsmål og af begrundelsen for anmodningen om præjudiciel afgørelse, at den forelæggende ret nærmere bestemt er i tvivl om forholdet mellem anvendelsesområdet for databeskyttelsesforordningen og for direktiv 2016/680, når de oplysninger, der opbevares i den personlige aktmappe, er blevet indsamlet af en organisatorisk enhed hos arbejdsgiveren under udøvelsen af dennes funktioner som »kompetent myndighed« som omhandlet i dette direktivs artikel 3, nr. 7). Som jeg vil redegøre for nedenfor, fastlægger det nævnte direktivs artikel 9 netop forbindelsen mellem dette direktiv og databeskyttelsesforordningen i tilfælde af senere behandling af oplysninger indsamlet af de kompetente myndigheder.
52.      Det sjette og det syvende
præjudicielle spørgsmål vedrører nærmere bestemt spørgsmålet om, hvorvidt opbevaring af personoplysninger i den personlige aktmappe for en ansat i en offentlig myndighed, når denne myndighed har indhentet disse oplysninger via sin organisatoriske enhed, der handler i egenskab af efterforskningsmyndighed, udgør en »behandling af personoplysninger« som omhandlet i artikel 3, nr. 1) og 2), i direktiv 2016/680.
53.      Efter min opfattelse rejser disse to præjudicielle
spørgsmål – ligesom det første og det andet præjudicielle
spørgsmål – reelt ikke noget spørgsmål om fortolkningen af begreberne »behandling« og »personoplysninger«, men er af rent instrumental karakter med henblik på at afgøre, hvilken EU-retsakt – databeskyttelsesforordningen eller direktiv 2016/680 – der finder anvendelse. Under alle omstændigheder er disse begreber defineret på samme måde som i direktiv 2016/680 (14), og de udgør således ikke et sondringskriterium.
54.      Af disse grunde foreslår jeg, at det lægges til grund, at den forelæggende ret samlet set med det indledende spørgsmål og med det første, det andet og det sjette til det ottende spørgsmål nærmere bestemt ønsker oplyst, om databeskyttelsesforordningens artikel 2, stk. 1, og artikel 9, stk. 1, i direktiv 2016/680 skal fortolkes således, at denne forordning finder anvendelse på en offentlig myndigheds opbevaring af oplysninger i en ansats personlige aktmappe vedrørende dennes status af mistænkt i en strafferetlig efterforskning, når oplysningerne blev indsamlet af en organisatorisk enhed i denne offentlige myndighed under udøvelsen af dens funktioner som kompetent myndighed som omhandlet i dette direktiv.
b)      Bedømmelse
55.      For det første vil jeg anføre, at databeskyttelsesforordningens artikel 2, stk. 1, i vidt omfang definerer denne forordnings materielle anvendelsesområde, som omfatter enhver »behandling af personoplysninger, der helt eller delvis foretages ved hjælp af automatisk databehandling, og på anden ikke-automatisk behandling af personoplysninger, der er eller vil blive indeholdt i et register« (15).
56.      Det synes ikke at være bestridt i hovedsagen, at de oplysninger om sagsøgeren i hovedsagens status af mistænkt, der er indeholdt i hans personlige aktmappe, er personoplysninger som omhandlet i databeskyttelsesforordningens artikel 4, nr. 1).
57.      Desuden udgør registreringen og opbevaringen af ansattes oplysninger i deres personlige aktmapper utvivlsomt en »behandling« som defineret i databeskyttelsesforordningens artikel
4, nr. 2), og der synes ikke at være nogen tvivl om, at ministeriet er den dataansvarlige som omhandlet i denne forordnings artikel
4, nr. 7) (16).
58.      Hvad angår begrebet »register« skal det præciseres, at dette begreb kun er relevant, såfremt der ikke er foretaget en, i det mindste delvis, automatisk behandling (17). I databeskyttelsesforordningens artikel
4, nr. 6), defineres »register« som »enhver struktureret samling af personoplysninger, der er tilgængelig efter bestemte kriterier [...]«. Den måde, hvorpå et register skal være struktureret, eller den form, det skal fremtræde under, fastsættes ikke, og det præciseres heller ikke, at oplysningerne skal være indeholdt i elektroniske databaser eller i fysiske sagsakter eller registre (18). En personlig aktmappe, hvori der på struktureret vis indsamles oplysninger om ansatte eller medarbejdere, er således omfattet af begrebet »register«. Med forbehold af den forelæggende rets efterprøvelse synes dette at være tilfældet i den foreliggende sag (19).
59.      For det andet bestemmer databeskyttelsesforordningens artikel
2, stk. 2, litra
d), at denne forordning ikke finder anvendelse på de kompetente myndigheders behandling af personoplysninger med henblik på bl.a. at forebygge og afsløre eller efterforske strafbare handlinger. Som det fremgår af 19. betragtning til den nævnte forordning og af artikel
1, stk. 1, i direktiv 2016/680, er en sådan behandling reguleret af dette direktiv som lex specialis (20).
60.      For det tredje fastsætter såvel databeskyttelsesforordningen som direktiv 2016/680 princippet om »formålsbegrænsning« (21), hvorefter personoplysninger skal indsamles til udtrykkeligt angivne og legitime formål og ikke må viderebehandles på en måde, der er uforenelig med disse formål. Dette princip finder imidlertid ikke ubetinget anvendelse (22). Dette direktivs artikel 9, stk. 1, fastsætter således, at oplysninger kan behandles til andre formål end formålene i direktivets artikel 1, stk. 1, med henblik på hvilke oplysningerne er indsamlet, og at databeskyttelsesforordningen finder anvendelse på denne behandling (23), forudsat at en sådan behandling »er hjemlet i EU-retten eller medlemsstaternes nationale ret«. Dette forbehold betyder blot, at lovligheden af behandlingen til andre formål skal vurderes i lyset af databeskyttelsesforordningen (24).
61.      I den foreliggende sag er der ingen tvivl om, at ministeriet gennem sit direktorat med ansvar for efterforskningsforanstaltninger mod de ansatte har indsamlet og behandlet sagsøgeren i hovedsagens oplysninger til de formål, der er fastsat i artikel 1, stk. 1, i direktiv 2016/680, i egenskab af kompetent myndighed som omhandlet i dette direktivs artikel
3, stk. 7.
62.      Hvad angår opbevaringen af disse oplysninger i sagsøgerens personlige aktmappe har den forelæggende ret ikke givet nogen oplysninger om, hvilke formål der forfølges. Ifølge den bulgarske regerings forklaringer (25) – med forbehold af den forelæggende rets efterprøvelse – foretages opbevaringen i den personlige aktmappe imidlertid ikke med henblik på de formål, der er fastsat i artikel 1, stk. 1, i direktiv 2016/680. Under disse omstændigheder er jeg – i lighed med alle de deltagere i sagen, der har indgivet skriftlige bemærkninger – af den opfattelse, at databeskyttelsesforordningen finder anvendelse på behandlingen af oplysninger som dem, der er omhandlet i hovedsagen, i den personlige aktmappe.
63.      Jeg foreslår således, at Domstolen besvarer det indledende spørgsmål og det første, det andet og det sjette til det ottende præjudicielle
spørgsmål således, at databeskyttelsesforordningens artikel 2, stk. 1, og artikel 9, stk. 1, i direktiv 2016/680 skal fortolkes således, at denne forordning finder anvendelse på en offentlig myndigheds opbevaring af oplysninger i en ansats personlige aktmappe vedrørende den pågældendes status af mistænkt i en strafferetlig efterforskning, når oplysningerne blev indsamlet af en organisatorisk enhed i denne offentlige myndighed under udøvelsen af dens funktioner som kompetent myndighed som omhandlet i dette direktiv, for så vidt som opbevaringen forfølger andre formål end de formål, der er fastsat i direktivets artikel 1, stk. 1.
3.      Det tredje til det femte præjudicielle spørgsmål
a)      Omformulering af spørgsmålene
64.      Med sit tredje spørgsmål ønsker den forelæggende ret nærmere bestemt oplyst, om databeskyttelsesforordningens artikel 9, stk. 2, litra
b), skal fortolkes således, at en organisatorisk enhed i en offentlig myndighed kan indsamle og opbevare oplysninger vedrørende den omstændighed, at en af de ansatte i enheden var mistænkt i en straffesag, selv om disse oplysninger blev indsamlet af en anden enhed i denne myndighed, der har egenskab af efterforskningsmyndighed.
65.      Med det fjerde præjudicielle
spørgsmål ønsker den forelæggende ret oplyst, om databeskyttelsesforordningens artikel 17, stk. 1, litra
a), skal fortolkes således, at en offentlig myndighed i sin egenskab af arbejdsgiver skal slette alle oplysninger i en ansats personlige aktmappe vedrørende dennes status af mistænkt i en strafferetlig efterforskning, der blev indstillet, når disse oplysninger blev indsamlet af en organisatorisk enhed i denne myndighed, der har egenskab af efterforskningsmyndighed i sagen mod den pågældende ansatte.
66.      Desuden ønsker den med det femte
præjudicielle spørgsmål nærmere bestemt oplyst, om denne forordnings artikel 17, stk. 1, litra
d), skal fortolkes således, at sådanne oplysninger »er blevet behandlet ulovligt«.
67.      Hvad angår den bestemmelse, der er omhandlet i det tredje spørgsmål, skal det anføres, at databeskyttelsesforordningens artikel
9 – således som det fremgår af bestemmelsens stk. 1 – regulerer behandlingen af visse særlige kategorier af oplysninger. Der er intet i forelæggelsesafgørelsen, der indikerer, at de oplysninger fra den strafferetlige efterforskning, der i det foreliggende tilfælde opbevares i den personlige aktmappe, hører under en af disse kategorier. Denne forordnings artikel 9, stk. 2, litra
b), kan derfor ikke være grundlag for opbevaring af de oplysninger, der er omhandlet i den foreliggende sag. Som jeg vil redegøre for i det følgende, skal grundlaget for lovligheden søges i andre af denne forordnings bestemmelser, som ikke er nævnt i den forelæggende rets spørgsmål (26).
68.      Bestemmelserne i databeskyttelsesforordningens artikel 17, stk. 1, litra
a) og d), som det fjerde og det femte præjudicielle
spørgsmål vedrører, fastsætter grundene til sletning af oplysninger, som »ikke længere [er] nødvendige til at opfylde de formål, hvortil de blev indsamlet eller [...] behandlet« [litra
a)], eller som er blevet »behandlet ulovligt« [litra d)].
69.      Det fremgår imidlertid af en samlet læsning af disse to spørgsmål og af begrundelsen for anmodningen om præjudiciel afgørelse, at den forelæggende ret med disse spørgsmål mere grundlæggende – for at kunne træffe afgørelse om påstanden om sletning – ønsker oplyst, om opbevaringen af de omhandlede oplysninger i den personlige aktmappe er lovlig.
70.      Selv om den forelæggende ret ikke har tilkendegivet, hvilken grund til lovlighed der eventuelt er relevant i den foreliggende sag, eller hvilke nationale retlige rammer der gælder, har både Kommissionen og den bulgarske regering i deres skriftlige indlæg henvist til databeskyttelsesforordningens artikel 6, stk. 1, litra
c).
71.      Ifølge denne bestemmelse er behandling lovlig, når den er nødvendig for at overholde en retlig forpligtelse, som påhviler den dataansvarlige. Databeskyttelsesforordningens artikel 6, stk. 3, præciserer bl.a., at medlemsstaternes nationale ret, som den dataansvarlige er underlagt, og som fastlægger grundlaget for behandlingen, skal opfylde et formål i samfundets interesse og stå i rimeligt forhold til det legitime mål, der forfølges. Den samme grund til lovlighed afspejles i denne forordnings artikel 17, stk. 3, litra
b), som udelukker den ret til sletning, der er fastsat i forordningens artikel
17, stk. 1, når behandlingen af oplysningerne er nødvendig for at overholde en sådan retlig forpligtelse (27).
72.      I denne henseende har den bulgarske regering præciseret, at behandlingen af personoplysninger med henblik på at udarbejde, føre, opbevare og bruge ministeriets ansattes personlige aktmapper foretages på grundlag af den instruks om personlige aktmapper, som indenrigsministeren har udstedt på grundlag af ZMVR’s artikel
147, stk. 2. Ifølge denne instruks opbevares alle oplysninger bl.a. med henblik på ansattes »ændring af funktioner«, f.eks. oplysninger vedrørende disciplinærsager (28). Hvad dette angår har den pågældende regering anført, at det i de bestemmelser, der finder anvendelse med hensyn til ministeriets ansattes disciplinæransvar, foreskrives, at der for alle hændelser vedrørende en strafbar handling inden for ministeriet indsættes en kopi af rapporten om resultatet af undersøgelsen og om, hvorvidt den ansatte ifalder disciplinæransvar, i den personlige aktmappe. Ifølge denne regering følger det heraf, at opbevaringen af disse oplysninger i den personlige aktmappe er begrundet i politibetjentes særlige opgaver, som har til formål at opretholde den offentlige orden.
73.      På grundlag af disse forudsætninger, som er udledt af de indlæg, der er indgivet til Domstolen (29), foreslår jeg, at det tredje til det femte præjudicielle
spørgsmål omformuleres således, at de har til formål at afgøre, om databeskyttelsesforordningens artikel 17, stk. 3, sammenholdt med forordningens artikel 6, stk. 1, litra
c), og artikel 6, stk. 3, skal fortolkes således, at opbevaring i en politibetjents personlige aktmappe af personoplysninger vedrørende en strafferetlig efterforskning, i forbindelse med hvilken den pågældende var genstand for efterforskningsforanstaltninger som mistænkt, og som blev indstillet, kan anses for at være lovlig med henblik på at overholde en retlig forpligtelse, som den offentlige myndighed, der er vedkommendes arbejdsgiver, er underlagt i henhold til national ret som dataansvarlig, alene på grund af arten af de opgaver, som denne ansatte skal udføre.
b)      Bedømmelse
74.      Det synes at fremgå af den bulgarske regerings redegørelser, at retsgrundlaget for opbevaringen af de omhandlede oplysninger fremgår ved at sammenholde en række bestemmelser i en »instruks« udstedt af indenrigsministeren på grundlag af ZMVR, som udtrykkeligt foreskriver en delegation af lovgivningsbeføjelser til denne minister.
75.      I denne henseende opstår indledningsvis spørgsmålet om, hvorvidt grundlaget for behandlingen som omhandlet i databeskyttelsesforordningens artikel 6, stk. 3, kan fastlægges ved en regelfastsættende retsakt, der er vedtaget af en offentlig myndighed i en medlemsstat på grundlag af en lovbestemt bemyndigelse fastsat i en national retsakt.
76.      Det fremgår af første punktum i 41. betragtning til databeskyttelsesforordningen, at kravet om et retsgrundlag ikke nødvendigvis kræver en lov, der er vedtaget af et parlament, med forbehold for krav i henhold til den forfatningsmæssige orden i den pågældende medlemsstat. Det følger heraf, at EU-lovgiver ikke har villet udelukke, at en retlig forpligtelse vedrørende behandlingen i national ret defineres ved et andet retsgrundlag end en lov i formel forstand i overensstemmelse med den nationale forfatningsret.
77.      Det skal desuden anføres, at det fremgår af 19. betragtning til databeskyttelsesforordningen, at medlemsstaterne bør have en vis skønsmargen med hensyn til den behandling af oplysninger, der som i den foreliggende sag foretages af en kompetent myndighed som omhandlet i direktiv 2016/680, men til formål, der er omfattet af databeskyttelsesforordningen. Medlemsstaterne bør således kunne opretholde eller indføre mere specifikke bestemmelser for at tilpasse anvendelsen af databeskyttelsesforordningen for så vidt angår behandling af sådanne oplysninger »under hensyntagen til den forfatningsmæssige, organisatoriske og administrative struktur i den pågældende medlemsstat«.
78.      Databeskyttelsesforordningen er således ikke til hinder for, at retsgrundlaget for behandlingen fastsættes i en retsakt, der er vedtaget i overensstemmelse med national forfatningsret. Den nævnte skønsmargen kan imidlertid ikke fortolkes således, at den giver mulighed for vilkårlig anvendelse af de såkaldte åbningsbestemmelser som f.eks. databeskyttelsesforordningens artikel 6, stk. 3, der giver mulighed for at indføre en retlig forpligtelse i national ret som begrundelse for, at behandlingen af oplysningerne er lovlig (30). Som det anføres i andet punktum i 41. betragtning til denne forordning – hvor der henvises til retspraksis vedrørende chartrets artikel 52, stk. 1 (31), i lyset af hvilken bestemmelse forordningens artikel 6, stk. 3, skal fortolkes (32) – bør retsgrundlaget for behandlingen være klart og præcist, og anvendelse heraf bør være forudsigelig for personer, der er omfattet af dets anvendelsesområde.
79.      I den foreliggende sag fremgår det af sagsakterne, at ministeriets instrukser udstedes som regelfastsættende retsakter på grundlag af den lovbestemte bemyndigelse, der er fastsat i ZMVR, og ligeledes offentliggøres i Darzhaven vestnik (lovtidende). De udgør således ikke rent interne instrukser, som åbenbart ikke kan kvalificeres som »lov« i materiel forstand (33).
80.      De bestemmelser, som den bulgarske regering har henvist til, giver imidlertid efter min opfattelse anledning til tvivl med hensyn til forudsigeligheden af behandlingen af oplysninger, der stammer fra en strafferetlig efterforskning. Jeg er nærmere bestemt i tvivl om forudsigeligheden af formålene med behandlingen, som i henhold til databeskyttelsesforordningens artikel 6, stk. 3, skal defineres ud fra retsgrundlaget for behandlingen.
81.      Ifølge den bulgarske regerings oplysninger omfatter disse formål, som synes at være udtømmende opregnet i artikel 5, stk. 2, i instruksen om personlige aktmapper, »ændring af [tjenestemænds] funktioner«, som er formålet med opbevaringen af de omhandlede oplysninger. Ifølge artikel 6, stk. 4, i denne instruks omfatter oplysninger, der opbevares til formål for »ændring af [tjenestemænds] funktioner«, bl.a. »dokumenter vedrørende disciplinærsager«.
82.      På baggrund af de omhandlede oplysningers indhold fremgår det imidlertid, at dette formål forstås således, at det i meget vid forstand og på trods af dets ordlyd også omfatter opbevaring af oplysninger om fraværet af sådanne disciplinærsager efter efterforskningen, således som det var tilfældet i den foreliggende sag, og som således ikke vedrører en ændring af den pågældende ansattes funktion.
83.      Med forbehold af eventuelle andre bestemmelser, som den forelæggende ret måtte finde relevante, opfylder denne meget vide anvendelse af de pågældende bestemmelser i instruksen om personlige aktmapper efter min opfattelse ikke de krav, der er anført i dette forslag til afgørelses punkt
78.
84.      Såfremt Domstolen ikke måtte være enig i min konstatering af, at retsgrundlaget ikke er forudsigeligt, er jeg af den opfattelse, at dette retsgrundlag, der udgør grundlaget for opbevaringen af oplysningerne, under alle omstændigheder ikke opfylder et formål i samfundets interesse som omhandlet i databeskyttelsesforordningens artikel 6, stk. 3.
85.      Hvad dette angår har den bulgarske regering i retsmødet gjort gældende, at når der ikke er indledt en disciplinærsag efter en efterforskning, vil oplysningerne vedrørende denne efterforskning ikke efterfølgende blive anvendt i forbindelse med forvaltningen af den ansattes karriere. Ikke desto mindre er det i samfundets interesse at opbevare sådanne oplysninger, da de vedrører personer med ansvar for specifikke aktiviteter, der har til formål at sikre den offentlige orden og forsvare befolkningen.
86.      Det er ganske vist almindeligt anerkendt, at funktionen som politibetjent kræver overholdelse af strengere regler for adfærd og optræden end dem, der gælder for andre ansatte. Ikke desto mindre er det ubestridt, at efterforskningen i den pågældende sag blev indstillet på grund af manglende beviser, og at der ikke blev indledt en disciplinærsag mod den pågældende ansatte. Jeg kan derfor ikke se, hvorledes arten af de funktioner med at forsvare den offentlige orden, som denne ansatte skal varetage, kan begrunde, at de omhandlede oplysninger opbevares i hans personlige aktmappe.
87.      Den bulgarske regering har desuden i retsmødet præciseret, at opbevaringen af oplysninger fra den strafferetlige efterforskning er knyttet til opbevaringen af oplysninger om de ansattes disciplinære ansvar, for så vidt som resultatet af den strafferetlige efterforskning er afgørende for, om der skal pålægges et sådant disciplinært ansvar. Det fremgår således af sagsøgeren i hovedsagens personlige aktmappe, at den strafferetlige efterforskning, som han var genstand for som mistænkt, konkluderede, at der ikke forelå beviser mod ham, hvorfor der ikke blev indledt en disciplinærsag. Efter min opfattelse er der imidlertid tale om en cirkelslutning, der sidestiller opbevaring af oplysninger med et formål i samfundets interesse. Ifølge denne tankegang ville enhver opbevaring af oplysninger således være begrundet i sig selv, hvilket ville gøre kravet om et formål i samfundets interesse overflødigt.
88.      Hvis dette argument følges til dets logiske ende, ville opbevaringen af visse oplysninger med henblik på at godtgøre, at der ikke foreligger nogen anklage, domfældelse eller disciplinære sanktioner – selv om dette ligeledes kunne godtgøres, uden at nogen oplysninger om den strafferetlige efterforskning eller det disciplinære ansvar indgik i den personlige aktmappe – i øvrigt indebære, at det uden en sådan opbevaring ikke ville kunne bevises, at der ikke foreligger nogen tidligere forhold.
89.      Dette er imidlertid tæt på en formodning om skyld, hvilket er i strid med uskyldsformodningen, som er fastsat i chartrets artikel 48, stk. 1, der svarer (34) til EMRK’s artikel 6, stk. 2. Det skal fremhæves, at dette princip ifølge Menneskerettighedsdomstolens praksis ikke stopper ved afslutningen af straffesagen, men har til formål at hindre, at personer, hvis sag er endt med frifindelse eller tiltalefrafald, i efterfølgende procedurer behandles af offentlige myndigheder, som om de reelt var skyldige i den strafbare handling, som de havde været anklaget for (35). Denne fortolkning taler således for en genoprettelse af status quo ante i den personlige aktmappe, såfremt efterforskningen indstilles.
90.      Uanset den sidstnævnte betragtning er de oplysninger, som Domstolen råder over, efter min opfattelse ikke tilstrækkelige til at fastslå, at kravene i databeskyttelsesforordningens artikel 6, stk. 1, litra
c), og artikel 6, stk. 3, er opfyldt. For så vidt som ingen af de øvrige grunde til lovlighed, der er omhandlet i denne forordnings artikel
6, stk. 1, finder anvendelse i den foreliggende sag, hvilket det tilkommer den forelæggende ret at efterprøve (36), skal det fastslås, at opbevaringen af disse oplysninger ikke er lovlig, og at den ansatte derfor har ret til at få dem slettet i henhold til den nævnte forordnings artikel 17, stk. 1, litra
d).
91.      Under disse omstændigheder og i mangel af andre oplysninger om det legitime formål, der forfølges, er det ikke muligt at vurdere, hvorvidt perioden for opbevaringen af oplysningerne i de personlige aktmapper, som ifølge de oplysninger, som den bulgarske regering har fremlagt i retsmødet, går indtil den ansattes fyldte 100. år, er forholdsmæssig. Den omstændighed, at alle oplysninger uden forskel vedrørende den strafferetlige efterforskning, uafhængigt af udfaldet heraf, og uanset om der er blevet pålagt disciplinære sanktioner eller ej, opbevares i denne periode, kan imidlertid heller ikke begrundes blot med henvisning til politibetjentes opgaver (37).
92.      Jeg foreslår derfor, at det tredje til det femte præjudicielle spørgsmål besvares således, at databeskyttelsesforordningens artikel 17, stk. 3, sammenholdt med forordningens artikel 6, stk. 1, litra
c), og artikel 6, stk. 3, skal fortolkes således, at opbevaring i en politibetjents personlige aktmappe af personoplysninger vedrørende en strafferetlig efterforskning, i forbindelse med hvilken den pågældende var genstand for efterforskningsforanstaltninger som mistænkt, og som blev indstillet, ikke kan anses for at være lovlig med henblik på at overholde en retlig forpligtelse, som den offentlige myndighed, der er vedkommendes arbejdsgiver, er underlagt i henhold til national ret som dataansvarlig, alene på grund af arten af de opgaver, som den ansatte skal udføre.
c)      Yderligere overvejelser
93.      Jeg vil ganske kort komme ind på databeskyttelsesforordningens artikel
10, som den forelæggende ret ikke har stillet spørgsmål om, men som den bulgarske regering tog stilling til i retsmødet som svar på et spørgsmål fra Domstolen.
94.      Denne bestemmelse opstiller særlige betingelser for behandling af oplysninger »vedrørende straffedomme og lovovertrædelser«. Den fastsætter bl.a., at behandling af sådanne oplysninger på grundlag af databeskyttelsesforordningens artikel 6, stk. 1, kun må foretages under kontrol af en offentlig myndighed, eller hvis behandlingen har hjemmel i EU-retten eller medlemsstaternes nationale ret, som giver passende garantier for registreredes rettigheder og frihedsrettigheder. Som det fremgår af denne bestemmelses ordlyd, finder den kun anvendelse på behandlinger, som svarer til en af de grunde til lovlighed, der er fastsat i databeskyttelsesforordningens artikel 6, stk. 1. Den forelæggende ret skal således kun tage hensyn til denne forordnings artikel 10, hvis den fastslår, at opbevaringen af de omhandlede oplysninger er lovlig.
95.      Selv hvis dette var tilfældet, er jeg imidlertid af den opfattelse, at de yderligere krav i databeskyttelsesforordningens artikel 10 under alle omstændigheder er opfyldt under omstændighederne i den foreliggende sag.
96.      Jeg gør indledningsvis opmærksom på, at databeskyttelsesforordningens artikel 10 ifølge retspraksis finder anvendelse på oplysninger vedrørende lovovertrædelser uafhængigt af, hvorvidt det under den strafferetlige procedure er blevet fastslået, at den overtrædelse, for hvilken den pågældende blev retsforfulgt, faktisk blev begået (38).
97.      I det foreliggende tilfælde er det ubestridt, at sagsøgeren i hovedsagen hverken er blevet retsforfulgt eller tiltalt, men at det fremgår af de oplysninger, der opbevares i hans personlige aktmappe, at han har været genstand for efterforskningsforanstaltninger som mistænkt. I øvrigt er det min vurdering, at disse oplysninger udgør oplysninger »vedrørende« lovovertrædelser (39). Det formål, der forfølges ved databeskyttelsesforordningens artikel 10 (40), taler således for anvendelsen af denne bestemmelse i forbindelse med personoplysninger, hvoraf det fremgår, at en mistanke om, at der er begået en lovovertrædelse, har givet anledning til efterforskningsforanstaltninger iværksat af den kompetente myndighed over for den pågældende person (41). Selv om efterforskningen ikke fører til en dom, kan den omstændighed, at oplysninger som disse findes i den personlige aktmappe, få negative konsekvenser senere hen.
98.      Når den dataansvarlige er en offentlig myndighed, foretages behandlingen af personoplysninger under alle omstændigheder »under kontrol af den offentlige myndighed« (42). I den foreliggende sag er sagsøgeren i hovedsagens oplysninger udelukkende blevet behandlet i de organisatoriske enheder under ministeriet, som er den dataansvarlige. Det er derfor ikke nødvendigt at undersøge, om den nationale lovgivning som omhandlet i databeskyttelsesforordningens artikel 10 giver passende garantier for de registreredes rettigheder og frihedsrettigheder.
4.      Det niende præjudicielle spørgsmål
99.      Med det niende spørgsmål ønsker den forelæggende ret nærmere bestemt oplyst, om artikel 16, stk. 2, i direktiv 2016/680 skal fortolkes således, at en offentlig myndighed i sin egenskab af arbejdsgiver skal slette alle oplysninger fra en ansats personlige aktmappe, der er indsamlet og opbevaret gennem den organisatoriske enhed, der er efterforskningsmyndighed, når disse oplysninger vedrører den omstændighed, at den ansatte blev mistænkt i forbindelse med en strafferetlig efterforskning, som blev indstillet.
100. For så vidt som det fremgår af ovenstående analyse, at databeskyttelsesforordningen finder anvendelse på opbevaring af oplysninger som de i hovedsagen omhandlede, og at anvendelsen af direktiv 2016/680 er udelukket, er det ufornødent at besvare det niende spørgsmål.
5.      Det tiende præjudicielle spørgsmål
101. Med det tiende spørgsmål ønsker den forelæggende ret nærmere bestemt oplyst, om artikel 1 i direktiv 2000/78 skal fortolkes således, at dette direktiv er til hinder for, at en offentlig myndighed, i hvilken en organisatorisk enhed gennemfører efterforskningsforanstaltninger over for en ansat i en anden enhed, i sin egenskab af arbejdsgiver nægter at forfremme den pågældende alene med den begrundelse, at vedkommende blev mistænkt i forbindelse med en strafferetlig efterforskning, som blev indstillet.
102. Hvad indledningsvis angår de faktuelle forudsætninger, som dette spørgsmål hviler på, har den bulgarske regering i retsmødet som svar på Domstolens spørgsmål anført, at sagsøgeren i hovedsagen i perioden efter den strafferetlige efterforskning – i modsætning til hvad han har hævdet – blev forfremmet. Formodningen for, at de præjudicielle spørgsmål er relevante, kan dog ikke afkræftes alene ved, at en af parterne i hovedsagen har bestridt visse faktiske omstændigheder, som det ikke tilkommer Domstolen at vurdere rigtigheden af, og som er afgørende for fastsættelsen af tvistens genstand (43).
103. Jeg gør desuden opmærksom på, at artikel 1 i direktiv 2000/78 udtømmende opregner de grunde til forskelsbehandling, som er forbudt, dvs. religion eller tro, handicap, alder eller seksuel orientering (44). At have været mistænkt i forbindelse med en strafferetlig efterforskning, som blev indstillet, henhører således ikke under nogen af disse grunde. Et afslag på forfremmelse alene på grundlag af denne omstændighed er således ikke omfattet af dette direktivs anvendelsesområde.
104. Under disse omstændigheder er den omstændighed, at oplysningerne om status af mistænkt blev indsamlet af en anden af arbejdsgiverens organisatoriske enheder end den, som den ansatte var tilknyttet, uden relevans.
105. Direktiv 2000/78 finder heller ikke anvendelse på afslag på forfremmelse på grund af status af mistænkt som politibetjent. Det fremgår således af Domstolens praksis, at forskelsbehandling på grundlag af ansættelsesforholdet som sådant, navnlig på grundlag af tilhørsforhold til en faggruppe eller et arbejdssted, ikke er omfattet af dette direktiv (45).
106. Jeg foreslår derfor, at det tiende præjudicielle spørgsmål besvares således, at artikel 1 i direktiv 2000/78 skal fortolkes således, at dette direktiv ikke finder anvendelse på et afslag på en ansats forfremmelse med den begrundelse alene, at den pågældende blev mistænkt i forbindelse med en strafferetlig efterforskning, som blev indstillet.
V.      Forslag til afgørelse
107. På baggrund af det ovenfor anførte foreslår jeg, at Domstolen besvarer de præjudicielle spørgsmål, som er forelagt af Sofijski rajonen sad (kredsdomstolen i Sofia, Bulgarien) således:
»1)      Artikel 2, stk. 1, i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF og artikel 9, stk. 1, i Europa-Parlamentets og Rådets direktiv (EU) 2016/680 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger og om ophævelse af Rådets rammeafgørelse 2008/977/RIA
skal fortolkes således, at
denne forordning finder anvendelse på en offentlig myndigheds opbevaring af oplysninger i en ansats personlige aktmappe vedrørende den pågældendes status af mistænkt i en strafferetlig efterforskning, når oplysningerne blev indsamlet af en organisatorisk enhed i denne offentlige myndighed under udøvelsen af dens funktioner som kompetent myndighed som omhandlet i dette direktiv, for så vidt som opbevaringen forfølger andre formål end de formål, der er fastsat i direktivets artikel 1, stk. 1.
2)      Artikel 17, stk. 3, sammenholdt med artikel 6, stk. 1, litra
c), og artikel 6, stk. 3,
i forordning 2016/679,
skal fortolkes således, at
opbevaring i en politibetjents personlige aktmappe af personoplysninger vedrørende en strafferetlig efterforskning, i forbindelse med hvilken den pågældende var genstand for efterforskningsforanstaltninger som mistænkt, og som blev indstillet, ikke kan anses for at være lovlig med henblik på at overholde en retlig forpligtelse, som den offentlige myndighed, der er vedkommendes arbejdsgiver, er underlagt i henhold til national ret som dataansvarlig, alene på grund af arten af de opgaver, som den ansatte skal udføre.
3)      Rådets direktiv 2000/78/EF af 27. november 2000 om generelle rammebestemmelser om ligebehandling med hensyn til beskæftigelse og erhverv
skal fortolkes således, at
dette direktiv ikke finder anvendelse på et afslag på en ansats forfremmelse med den begrundelse alene, at den pågældende blev mistænkt i forbindelse med en strafferetlig efterforskning, som blev indstillet.«
1 –      Originalsprog: fransk.
i      Den foreliggende sags navn er et vedtaget navn. Det svarer ikke til et navn på en part i sagen.
2 –      Europa-Parlamentets og Rådets forordning af 27.4.2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT 2016, L 119, s. 1).
3 –      Europa-Parlamentets og Rådets direktiv af 27.4.2016 om beskyttelse af fysiske personer i forbindelse med kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger og om ophævelse af Rådets rammeafgørelse 2008/977/RIA (EUT 2016, L 119, s. 89).
4 –      Rådets direktiv af 27.11.2000 om generelle rammebestemmelser om ligebehandling med hensyn til beskæftigelse og erhverv (EFT 2000, L 303, s. 16).
5 –      DV nr. 53 af 27.6.2014.
6 –      DV nr. 78 af 19.9.2014, ændret og suppleret i DV nr. 27 af 14.4.2015, ændret og suppleret i DV nr. 53 af 25.6.2021.
7 –      Jf. i denne retning dom af 8.5.2025, Stadt Wuppertal (C-130/24, EU:C:2025:340, præmis 42).
8 –      Selv om den strafferetlige efterforskning fandt sted i 2016, dvs. inden ikrafttrædelsen af databeskyttelsesforordningen og direktiv 2016/680, har sagsøgeren i hovedsagen nedlagt påstand om sletning af sine personoplysninger, som stadig opbevares af ministeriet. Under disse omstændigheder er jeg ikke i tvivl om, at databeskyttelsesforordningen og direktiv 2016/680 finder anvendelse ratione temporis på tvisten i hovedsagen.
9 –      Jf. i denne retning dom af 4.10.2024, Bezirkshauptmannschaft Landeck (Forsøg på adgang til personoplysninger lagret på en mobiltelefon) (C-548/21, EU:C:2024:830, præmis 53).
10 –      Det første, det andet, det fjerde, det femte, det syvende og det niende præjudicielle spørgsmål.
11 –      Det tredje, det sjette og det ottende præjudicielle spørgsmål.
12 –      Jf. vedrørende omformulering af spørgsmålene dom af 3.6.2025, Kinsa (C-460/23, EU:C:2025:392, præmis 34 og den deri nævnte retspraksis).
13 –      Chartrets artikel 52, som også nævnes i dette spørgsmål, regulerer begrænsninger af de grundlæggende rettigheder og er efter min opfattelse ikke relevant i forbindelse med afgrænsningen af anvendelsesområdet for databeskyttelsesforordningen og direktiv 2016/680.
14 –      Den fortolkning af disse begreber, der er foretaget inden for rammerne af databeskyttelsesforordningen, bør således anvendes analogt på dette direktiv, jf. vedrørende begrebet »behandling« dom af 4.10.2024, Bezirkshauptmannschaft Landeck (Forsøg på adgang til personoplysninger lagret på en mobiltelefon) (C-548/21, EU:C:2024:830, præmis 71).
15 –      Jf. i denne retning dom af 8.12.2022, Inspektor v Inspektorata kam Visshia sadeben savet (Formål med behandling af personoplysninger – strafferetlig efterforskning) (C-180/21, EU:C:2022:967, præmis 37).
16 –      Jf. ZMVR’s artikel 29, stk. 1. Jf. vedrørende udpegelsen af den dataansvarlige i henhold til national ret dom af 11.1.2024, État belge (Oplysninger behandlet af en statstidende) (C-231/22, EU:C:2024:7, præmis 29 og 30).
17 –      Databeskyttelsesforordningens artikel 2, stk. 1.
18 –      Jf. i denne retning dom af 7.3.2024, Endemol Shine Finland (C-740/22, EU:C:2024:216, præmis 37 og 38).
19 –      Ifølge den bulgarske regerings oplysninger skal personlige aktmapper i henhold til ZMVR’s artikel 147, stk. 1, og artikel 3 og 6 i instruksen vedrørende personlige aktmapper nummereres i stigende rækkefølge og opbevares i særlige registre, og personoplysningerne opbevares heri opdelt i forud definerede afsnit.
20 –      Jf. i denne retning dom af 8.12.2022, Inspektor v Inspektorata kam Visshia sadeben savet (Formål med behandling af personoplysninger – strafferetlig efterforskning) (C-180/21, EU:C:2022:967, præmis 74).
21 –      Databeskyttelsesforordningens artikel 5, stk. 1, litra b), og artikel 4, stk. 1, litra b), i direktiv 2016/680.
22 –      Jf. i denne retning generaladvokat Campos Sánchez-Bordonas forslag til afgørelse Inspektor v Inspektorata kam Visshia sadeben savet (Formål med behandling af personoplysninger – strafferetlig efterforskning) (C-180/21, EU:C:2022:406, punkt 37, 38, 70 og 71).
23 –      Medmindre der er tale om en aktivitet, der falder uden for EU-retten, dvs. hvis formål er at beskytte statens sikkerhed, eller en aktivitet, som kan henføres til samme kategori, hvilket ikke synes at være tilfældet her; jf. dom af 22.6.2021, Latvijas Republikas Saeima (Strafpoint) (C-439/19, EU:C:2021:504, præmis 66-68).
24 –      Jf. i denne retning generaladvokat Campos Sánchez-Bordonas forslag til afgørelse Lietuvos Respublikos generalinė prokuratūra (C-162/22, EU:C:2023:266, punkt 83 og 84).
25 –      Jf. nærmere bestemt dette forslag til afgørelses punkt 72.
26 –      Denne omstændighed er ikke til hinder for, at Domstolen tager hensyn til disse bestemmelser ved omformuleringen af spørgsmålene; jf. dom af 13.3.2025, Alsen (C-137/23, EU:C:2025:179, præmis 46 og den deri nævnte retspraksis).
27 –      Jf. i denne retning generaladvokat Medinas forslag til afgørelse Agentsia po vpisvaniyata (C-200/23, EU:C:2024:445, punkt 62 og 63).
28 –      Artikel 5, stk. 2, og artikel 6, stk. 4, i instruksen om personlige aktmapper.
29 –      Jf. vedrørende hensyntagen til sådanne oplysninger dom af 13.7.2023, Ferrovienord (C-363/21 og C-364/21, EU:C:2023:563, præmis 58 og den deri nævnte retspraksis).
30 –      Jf. i denne retning generaladvokat Pikamäes forslag til afgørelse SCHUFA Holding m.fl. (Scoring) (C-634/21, EU:C:2023:220, punkt 69).
31 –      Jf. bl.a. dom af 24.2.2022, Valsts ieņēmumu dienests (Behandling af personoplysninger til skatteformål) (C-175/20, EU:C:2022:124, præmis 54-56).
32 –      Jf. i denne retning dom af 1.8.2022, Vyriausioj tarnybinės etikos komisija (C-184/20, EU:C:2022:601, præmis 69 og 70).
33 –      Jf. vedrørende status som lov som omhandlet i den europæiske konvention til beskyttelse af menneskerettigheder og grundlæggende frihedsrettigheder, undertegnet i Rom den 4. november 1950 (herefter »EMRK«), Menneskerettighedsdomstolens dom af 25.3.1983, Silver m.fl. mod Det Forenede Kongerige, CE:ECHR:1983:0325JUD000594772, §§ 26 og 86-88.
34 –      Jf. bl.a. dom af 2.2.2021, Consob (C-481/19, EU:C:2021:84, præmis 37).
35 –      Jf. med hensyn til en oversigt over denne retspraksis Menneskerettighedsdomstolens Storkammers dom af 11.6.2024, Nealon og Hallam mod Det Forenede Kongerige, CE:ECHR:2024:0611JUD003248319, §§ 102-109 og 122-125, og mere specifikt inden for personalesager Menneskerettighedsdomstolens dom af 16.2.2017, Yildiz mod Tyrkiet, CE:ECHR:2017:0124DEC006518210, §§ 30-34. I denne sag hævdede en politibetjent, at en negativ bedømmelsesprocedure indebar en formodning om, at han var skyldig i en strafbar handling, selv om han var blevet frikendt. Menneskerettighedsdomstolen fastslog imidlertid, at EMRK’s artikel 6, stk. 2, ikke fandt anvendelse, eftersom sagsøgeren ikke havde godtgjort, at den behandling, som han havde været genstand for, havde skabt en forbindelse mellem straffesagen og den efterfølgende administrative procedure.
36 –      Kommissionen har i sine skriftlige bemærkninger henvist til databeskyttelsesforordningens artikel 6, stk. 1, litra d), vedrørende behandling, der er nødvendig af hensyn til udførelse af en opgave i samfundets interesse, eller som henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt. Selv om der faktisk er tale om en lovlighedsgrund, der kan finde anvendelse på en offentlig myndighed, er den ligeledes underlagt kravene i denne forordnings artikel 6, stk. 3. Spørgsmålet om, hvorvidt der foreligger et formål i samfundets interesse, opstår således alligevel.
37 –      Jeg gør opmærksom på, oplysningerne i henhold til princippet om dataminimering, der er fastsat i databeskyttelsesforordningens artikel 5, stk. 1, litra c), skal være tilstrækkelige, relevante og begrænset til, hvad der er nødvendigt i forhold til de formål, hvortil de behandles. I henhold til 39. betragtning til databeskyttelsesforordningen kræver dette princip, at perioden for opbevaring af personoplysningerne ikke er længere end strengt nødvendigt.
38 –      Dom af 24.9.2019, GC m.fl. (Fjernelse af følsomme oplysninger) (C-136/17, EU:C:2019:773, præmis 72).
39 –      Den bulgarske regering har forklaret i retsmødet, at status af mistænkt ikke medfører nogen særlig retlig status i bulgarsk ret. Domstolen har imidlertid allerede fastslået, at begrebet »forseelse« [(o.a.: fransk: »infraction«, som i databeskyttelsesforordningen er oversat med »lovovertrædelse«)] skal fortolkes selvstændigt og ensartet (dom af 22.6.2021, Latvijas Republikas Saeima (Strafpoint), C-439/19, EU:C:2021:504, præmis 80-85), hvilket efter min opfattelse bør gælde for alle elementer af anvendelsesområdet for databeskyttelsesforordningens artikel 10.
40 –      Dvs. at sikre en øget beskyttelse mod behandlinger, der som følge af oplysningernes særligt følsomme karakter kan udgøre et særligt alvorligt indgreb i den registreredes privatliv eller arbejdsliv; jf. dom af 22.6.2021, Latvijas Republikas Saeima (Strafpoint) (C-439/19, EU:C:2021:504, præmis 74 og 75).
41 –      Dette synspunkt deles af M. Bäcker, »Art. 10«, i H.A. Wolff, S. Brink og A. von Ungern-Sternberg, BeckOK Datenschutzrecht, 51. udgave, C.H. Beck, 2024, punkt 3; jf. desuden L. Georgieva, »Article 10«, i C. Kuner, L.A. Bygrave og C. Docksey,
The EU General Data Protection Regulation (GDPR). A Commentary, OUP, 2020, s. 389.
42 –      Jf. i denne retning dom af 22.6.2021, Latvijas Republikas Saeima (Strafpoint) (C-439/19, EU:C:2021:504, præmis 101).
43 –      Dom af 5.12.2006, Cipolla m.fl. (C-94/04 og C-202/04, EU:C:2006:758, præmis 26).
44 –      Jf. i denne retning dom af 17.7.2008, Coleman (C-303/06, EU:C:2008:415, præmis 38 og 46), af 7.7.2011, Agafiţei m.fl. (C-310/10, EU:C:2011:467, præmis 34), og af 20.10.2022, Curtea de Apel Alba Iulia m.fl. (C-301/21, EU:C:2022:811, præmis 64 og 69 og den deri nævnte retspraksis).
45 –      Dom af 7.7.2011, Agafiţei m.fl. (C-310/10, EU:C:2011:467, præmis 31-33), og af 9.3.2017, Milkova (C-406/15, EU:C:2017:198, præmis 44) og af 17.10.2024, Zetschek (C 349/23, EU:C:2024:889, præmis 25 og den deri nævnte retspraksis.