Ideiglenes változat
MACIEJ SZPUNAR
FŐTANÁCSNOK INDÍTVÁNYA
Az ismertetés napja: 2025. szeptember 4.(1)
C‑312/24. sz. [Darashev](i) ügy
CL
kontra
Prokuratura na Republika Bulgaria
(a Sofiyski rayonen sad [szófiai kerületi bíróság, Bulgária] által benyújtott előzetes döntéshozatal iránti kérelem)
„ Előzetes döntéshozatal – A természetes személyek védelme a bűnügyi személyes adatok kezelése vonatkozásában – (EU) 2016/680 irányelv – Egy rendőrt gyanúsítható személyként érintő nyomozás során gyűjtött adatok kezelése – Az adatok személyi aktában történő tárolása – (EU) 2016/679 rendelet – Az adatkezelés jogszerűsége – Az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges adatkezelés – Közérdekű cél – A büntetőjogi felelősség megállapítására vonatkozó határozatokra és a bűncselekményekre vonatkozó személyes adatok kezelése – A törléshez való jog (»az elfeledtetéshez való jog«) – A foglalkoztatás és a munkavégzés során alkalmazott egyenlő bánásmód – 2000/78/EK irányelv ”
I.      Bevezetés
1.        Mint minden munkáltató, a hatóságok is kezelik tisztviselőik személyes adatait. Ugyanakkor a rájuk bízott feladatok ellátása azt eredményezheti, hogy személyi állományuk bizonyos adatait a személyzeti igazgatástól eltérő összefüggésben is gyűjtik, és ebben az esetben az adatkezelés jogalapjával és céljaival kapcsolatos kérdések merülnek fel.
2.        Így a kérdést előterjesztő bíróság arra keresi a választ, hogy jogszerű‑e az olyan adatkezelés, amelynek keretében valamely hatóság egy tisztviselő személyi aktájában olyan nyomozásra vonatkozó információkat tárol, amelynek keretében e tisztviselővel mint gyanúsítható személlyel szemben nyomozási cselekményeket hajtottak végre. A jelen ügyben az érintett adatokat ugyanezen hatóság nyomozó hatóságként gyűjtötte össze, és azokat a személyi aktában tárolták, noha a nyomozás anélkül zárult, hogy az érintett tisztviselőt meggyanúsították volna vagy vele szemben vádat emeltek volna.
3.        Az ezen ügy által felvetett központi kérdés az (EU) 2016/679 rendelet(2) (a továbbiakban: GDPR) és az (EU) 2016/680 irányelv(3) közötti metszéspontban helyezkedik el, és célja annak tisztázása, hogy milyen alapon és milyen feltételek mellett lehet igénybe venni az ilyen körülmények között tárolt adatok törléséhez való jogot.
II.    Jogi háttér
A.      Az uniós jog
1.      A 2000/78/EK irányelv
4.        A 2000/78/EK irányelv(4) 1. cikke szerint az irányelv célja „a valláson, meggyőződésen, fogyatékosságon, életkoron vagy szexuális irányultságon alapuló, foglalkoztatás és munkavégzés során alkalmazott hátrányos megkülönböztetés elleni küzdelem általános kereteinek a meghatározása az egyenlő bánásmód elvének a tagállamokban történő megvalósítására tekintettel”.
5.        Ezen irányelv 2. cikkének (1) bekezdése értelmében „az »egyenlő bánásmód elve« azt jelenti, hogy ezen irányelvnek az 1. cikkében említett okok alapján nem szabad semmiféle közvetlen vagy közvetett hátrányos megkülönböztetést tenni”.
2.      A GDPR
6.        A GDPR (19), (39) és (41) preambulumbekezdése a következőket mondja ki:
„(19)      […] A [2016/680 irányelv szerinti] említett illetékes hatóságok által az e rendelet hatálya alá tartozó célokból végzett személyesadat‑kezelésre vonatkozóan a tagállamok számára lehetővé kell tenni, hogy konkrétabb rendelkezéseket tartsanak fenn vagy vezessenek be annak érdekében, hogy kiigazítsák az e rendeletben foglalt szabályok alkalmazását. Ezekben a rendelkezésekben a tagállamok – alkotmányos, szervezeti és közigazgatási szerkezetüket figyelembe véve – pontosabban meghatározhatják az említett illetékes hatóságok által az említett egyéb célokból végzett személyesadat‑kezelésre vonatkozó egyedi követelményeket. […]
[…]
(39)      […] A személyes adatoknak a kezelésük céljára alkalmasaknak és relevánsaknak kell lenniük, az adatok körét pedig a célhoz szükséges minimumra kell korlátozni. Ehhez pedig biztosítani kell különösen azt, hogy a személyes adatok tárolása a lehető legrövidebb időtartamra korlátozódjon. […] Annak biztosítása érdekében, hogy a személyes adatok tárolása a szükséges időtartamra korlátozódjon, az adatkezelő törlési vagy rendszeres felülvizsgálati határidőket állapít meg. […]
[…]
(41)      Amikor ez a rendelet jogalapra vagy jogalkotási intézkedésre hivatkozik, ez nem szükségszerűen jelent – az érintett tagállam alkotmányos rendjéből fakadó követelmények sérelme nélkül – valamely parlament által elfogadott jogszabályt. Mindazonáltal az ilyen jogalapnak vagy jogalkotási intézkedésnek világosnak és pontosnak kell lennie, alkalmazásának pedig előre láthatónak kell lennie a hatálya alá tartozó személyek számára, összhangban a [Bíróság] és az Emberi Jogok Európai Bíróságának [(a továbbiakban: EJEB)] az ítélkezési gyakorlatával.”
7.        A GDPR „Tárgyi hatály” című 2. cikke (1) bekezdésében úgy rendelkezik, hogy e rendeletet „kell alkalmazni a személyes adatok részben vagy egészben automatizált módon történő kezelésére, valamint azoknak a személyes adatoknak a nem automatizált módon történő kezelésére, amelyek valamely nyilvántartási rendszer részét képezik, vagy amelyeket egy nyilvántartási rendszer részévé kívánnak tenni”, (2) bekezdésének d) pontjában pedig kimondja, hogy e rendelet nem alkalmazandó a személyes adatok kezelésére, ha azt „az illetékes hatóságok bűncselekmények megelőzése, nyomozása, felderítése, vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása céljából végzik, ideértve a közbiztonságot fenyegető veszélyekkel szembeni védelmet és e veszélyek megelőzését”.
8.        A GDPR „Fogalommeghatározások” című 4. cikke a következőképpen rendelkezik:
„E rendelet alkalmazásában:
1.      »személyes adat«: azonosított vagy azonosítható természetes személyre […] vonatkozó bármely információ; azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, […] alapján azonosítható;
2.      »adatkezelés« a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, […];
[…]
6.      »nyilvántartási rendszer«: a személyes adatok bármely módon – centralizált, decentralizált vagy funkcionális vagy földrajzi szempontok szerint – tagolt állománya, amely meghatározott ismérvek alapján hozzáférhető;
7.      »adatkezelő«: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza; […]”
9.        A GDPR‑nak „Az adatkezelés jogszerűsége” címet viselő 6. cikke a következőket írja elő:
„(1)      A személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül:
[…]
c)      az adatkezelés az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges;
[…]
(3)      Az (1) bekezdés c) és e) pontja szerinti adatkezelés jogalapját a következőknek kell megállapítania:
[…]
b)      azon tagállami jog, amelynek hatálya alá az adatkezelő tartozik.
Az adatkezelés célját e jogalapra hivatkozással kell meghatározni […]. Ez a jogalap tartalmazhat az e rendeletben foglalt szabályok alkalmazását kiigazító rendelkezéseket […] Az uniós vagy tagállami jognak közérdekű célt kell szolgálnia, és arányosnak kell lennie az elérni kívánt jogszerű céllal.
[…]”
10.      A GDPR 9. cikke a következőképpen rendelkezik:
„(1)      A faji vagy etnikai származásra, politikai véleményre, vallási vagy világnézeti meggyőződésre vagy szakszervezeti tagságra utaló személyes adatok, valamint a genetikai adatok, a természetes személyek egyedi azonosítását célzó biometrikus adatok, az egészségügyi adatok és a természetes személyek szexuális életére vagy szexuális irányultságára vonatkozó személyes adatok kezelése tilos.
(2)      Az (1) bekezdés nem alkalmazandó abban az esetben, ha:
[…]”
11.      A GDPR 10. cikke értelmében:
„A büntetőjogi felelősség megállapítására vonatkozó határozatokra és a bűncselekményekre, illetve a kapcsolódó biztonsági intézkedésekre vonatkozó személyes adatoknak a 6. cikk (1) bekezdése alapján történő kezelésére kizárólag abban az esetben kerülhet sor, ha az közhatalmi szerv felügyelete alatt történik, vagy ha az adatkezelést az érintett jogai és szabadságai tekintetében megfelelő garanciákat nyújtó uniós vagy tagállami jog lehetővé teszi. […]”
12.      A GDPR‑nak „A törléshez való jog (»az elfeledtetéshez való jog«)” című 17. cikke előírja:
„(1)      Az érintett jogosult arra, hogy kérésére az adatkezelő indokolatlan késedelem nélkül törölje a rá vonatkozó személyes adatokat, az adatkezelő pedig köteles arra, hogy az érintettre vonatkozó személyes adatokat indokolatlan késedelem nélkül törölje, ha az alábbi indokok valamelyike fennáll:
a)      a személyes adatokra már nincs szükség abból a célból, amelyből azokat gyűjtötték vagy más módon kezelték;
[…]
d)      a személyes adatokat jogellenesen kezelték;
[…]
(3)      Az (1) és (2) bekezdés nem alkalmazandó, amennyiben az adatkezelés szükséges:
[…]
b)      a személyes adatok kezelését előíró, az adatkezelőre alkalmazandó uniós vagy tagállami jog szerinti kötelezettség teljesítése […] céljából;
[…]”
3.      A 2016/680 irányelv
13.      A 2016/680 irányelv 1. cikkének (1) bekezdése a következőképpen rendelkezik:
„Ez az irányelv szabályokat állapít meg a természetes személyek védelmére a személyes adatoknak az illetékes hatóságok által a bűncselekmények megelőzése, nyomozása, felderítése, a vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása – így többek között a közbiztonságot fenyegető veszélyekkel szembeni védelem és e veszélyek megelőzése – céljából végzett kezelése tekintetében.”
14.      Ezen irányelv 3. cikke a „személyes adatok” és az „adatkezelés” fogalmát a GDPR‑ral azonos módon határozza meg.
15.      Az említett irányelv 3. cikkének 7. pontja értelmében az „illetékes hatóság” többek között olyan közhatalmi szerv, amely a bűncselekmények megelőzését, nyomozását, felderítését vagy üldözését, illetve büntetőjogi szankciók végrehajtását illetően eljárni jogosult beleértve a közbiztonságot fenyegető veszélyekkel szembeni védelmet és e veszélyek megelőzését.
16.      Ugyanezen irányelv „Különös adatkezelési feltételek” című 9. cikkének (1) bekezdése a következőképpen rendelkezik:
„Az illetékes hatóságok által az 1. cikk (1) bekezdésében meghatározott célokból gyűjtött személyes adatok az 1. cikk (1) bekezdésében meghatározottaktól eltérő célból nem kezelhetők, kivéve, ha az az ilyen adatkezelésre uniós vagy tagállami jog felhatalmazást ad. Ha személyes adatokat ilyen más célokból kezelnek, [a GDPR‑t] kell alkalmazni, kivéve, ha az adatkezelést az uniós jog hatályán kívül eső tevékenység keretében végzik.”
17.      A 2016/680 irányelv 16. cikkének (2) bekezdése többek között azokat a helyzetekről rendelkezik, amelyekben a tagállamok biztosítják az érintett számára azt a jogot, hogy kérje az adatkezelőtől a rá vonatkozó személyes adatok törlését.
B.      A bolgár jog
1.      A ZMVR
18.      A Zakon za Ministerstvo na vatreshnite raboti (a belügyminisztériumról szóló törvény)(5) alapeljárásra alkalmazandó változata (a továbbiakban: ZMVR) 29. cikkének (1) és (2) bekezdése a következőképpen rendelkezik:
„(1)      Az adatkezelő a belügyminiszter, aki a személyes adatok kezelését az általa kijelölt tisztviselőkre bízhatja.
(2)      A személyes adatok kezelésének részletes szabályait a belügyminiszter utasítása határozza meg”.
19.      A ZMVR 147. cikke a következőket írja elő:
„(1)      A belügyminisztérium minden tisztviselőjére vonatkozóan személyi aktát kell összeállítani és vezetni.
(2)      A személyi akták létrehozásának, kezelésének és tárolásának részletes szabályait, valamint felhasználásuk részletes szabályait a belügyminiszter utasítása határozza meg.”
2.      A személyi aktákról szóló utasítás
20.      A belügyminiszter által kibocsátott, a belügyminisztérium tisztviselői személyi aktájának elkészítéséről, vezetéséről, tárolásáról és felhasználásáról szóló, 2014. szeptember 9‑i 8121z‑532. sz. utasítás(6) (a továbbiakban: a személyi aktákról szóló utasítás) 3. cikke a következőképpen rendelkezik:
„A személyi aktákat az érintett struktúrák humánerőforrás‑egysége hozza létre és tárolja, növekvő sorrendben számozva, naplóban leírva és olyan helyiségekben (adattárakban) tárolva, amelyek megfelelnek a minősített információkat tartalmazó anyagok tárolására vonatkozó követelményeknek.”
21.      Ezen utasítás 5. cikkének második bekezdése értelmében a személyi aktákban tárolt információk kezelését többek között az tisztviselők munkaviszonyának vagy szolgálati jogviszonyának kezdete, módosítása vagy megszüntetése céljából végzik.
22.      Az említett utasítás 6. cikke előírja:
„(1)      A személyi aktákban a dokumentumokat három szakaszba sorolva gyűjtik és tárolják, amelyek a tisztviselők tanulmányaira, kinevezésére, munkaszerződésének megkötésére, beosztásának megváltozására és jogviszonyának megszűnésére vonatkozó adatokat és információkat tartalmaznak.
[…]
(4)      A harmadik szakasz a beosztás megváltozására vonatkozó dokumentumokat (határozatok, a hivatalba lépésről és a jogviszony megszűnéséről szóló aktusok, fegyelmi eljárásokkal kapcsolatos dokumentumok […]) tartalmaz”.
III. Az alapeljárás, az előzetes döntéshozatalra előterjesztett kérdések és a Bíróság előtti eljárás
23.      A Ministerstvo na vatreshnite raboti (belügyminisztérium, a továbbiakban: minisztérium) a közrend fenntartásával megbízott hatóság, amely több főigazgatóságból áll. A belső biztonsági főigazgatóság feladata, hogy bármely típusú bűncselekmény esetén lefolytassa a nyomozást a minisztérium tisztviselőivel szemben. Az alapeljárás felperese 2012 és 2023 között a közbiztonsági főigazgatóságon és a nemzeti rendészeti főigazgatóságon töltött be különböző rendőri beosztásokat.
24.      2016. március 1‑jén rablás bűncselekménye miatt nyomozás indult ismeretlen tettes ellen. 2016. május 17‑én egy, az alapeljárás felperesének osztályán dolgozó rendőrök részvételével tartott ülésen a felperest kollégái előtt őrizetbe vették, és le kellett adnia a jelvényét, a fegyverét és a szolgálati igazolványát. A felperest 24 óra őrizetben tartást követően szabadon bocsátották. Ezt követően hivatalosan nem gyanúsították meg és nem is emeltek vádat vele szemben, de több nyomozati cselekményt folytattak le vele szemben.
25.      2016‑ban felfüggesztették az alapeljárás felperesével szembeni eljárást, mivel a tettest nem lehetett azonosítani. Ezt követően az eljárást megszüntető határozatot hoztak.
26.      Az alapeljárás felperese rendőrként ismét felvette a szolgálatot, és részt vett a minisztériumon belül másik beosztásba történő előléptetésre irányuló kiválasztási eljárásokban.
27.      Az alapeljárás felperese ezt követően keresetet indított a kérdést előterjesztő bíróság, a Sofiyski rayonen sad (szófiai kerületi bíróság, Bulgária) előtt a Prokuratura na Republika Bulgaria (a Bolgár Köztársaság ügyészsége, a továbbiakban: ügyészség) ellen. Azt kéri, hogy kötelezzék az ügyészséget az ellene indított nyomozás során hozott intézkedések és ezen eljárás következményei, és különösen az az által okozott nem vagyoni kár megtérítéseként kártérítés fizetésére, hogy az e nyomozásban gyanúsítható személyként való érintettsége miatt nem léptették elő és nem helyezték át más beosztásba. Ezenkívül azt kéri, hogy töröljék a nevét a minisztérium által fenntartott adatbázisból, amelyben gyanúsítható személyként szerepel.
28.      A kérdést előterjesztő bíróság jelzi, hogy a minisztérium az ott dolgozó valamennyi személy munkáltatója. Minden főigazgatóság adatokat tárol a tisztviselőkről a személyi aktájukban. A belső biztonsági főigazgatóság által folytatott nyomozás során szerzett adatokat szintén ott tárolják. Az alapeljárásban megállapítást nyert, hogy a minisztérium munkáltatóként tárolta azt az adatot, hogy az alapeljárás felperesével szemben gyanú merült fel, és hogy a szóban forgó nyomozás során őrizetbe vették. A kérdést előterjesztő bíróságnak ugyanakkor kétségei vannak azzal kapcsolatban, hogy a személyi aktában való e tárolás összeegyeztethető‑e a GDPR‑ral és a 2016/680 irányelvvel, valamint hogy az előléptetés állítólagos megtagadása összeegyeztethető‑e a 2000/78 irányelvvel.
29.      E körülmények között határozott úgy a Sofiyski Rayonen sad (szófiai kerületi bíróság), hogy az eljárást felfüggeszti, és előzetes döntéshozatal céljából a következő kérdéseket terjeszti a Bíróság elé:
„Úgy kell‑e értelmezni a GDPR 2. cikkének  [(1)
bekezdését], hogy az adatkezelés magában foglalja az olyan, egy és ugyanazon szervezeti struktúrán belüli tevékenységeket, amelyben egyes igazgatóságok munkáltatói feladatokat látnak el, míg egy másik igazgatóság nyomozó hatóságként jár el a többi igazgatóság tisztviselőivel szemben indított büntetőeljárásban? Igenlő válasz esetén:
1)      Úgy kell‑e értelmezni a GDPR 4. cikkének 2. pontjában szereplő »adatkezelés« kifejezést, hogy ennek hatálya alá tartozik az olyan tevékenység, amelynek keretében olyan adatokat vesznek fel egy tisztviselő személyi aktájába, amelyeket a munkáltató nyomozó hatósági minőségében, valamelyik igazgatóságán keresztül szerzett meg az adott tisztviselővel kapcsolatban?
2)      Úgy kell‑e értelmezni a GDPR 4. cikkének 6. pontjában szereplő »nyilvántartási rendszer« kifejezést, hogy annak hatálya alá tartozik a munkáltató valamely igazgatóságán dolgozó tisztviselő vagy munkavállaló személyi aktája, ha az adatokat a munkáltató egy másik igazgatósága nyomozó hatósági minőségében gyűjtötte?
3)      Úgy kell‑e értelmezni a GDPR 9. cikke (2) bekezdésének b) pontját, hogy a munkáltató valamely szervezeti egysége gyűjthet és tárolhat olyan adatokat, amelyek arra vonatkoznak, hogy a tisztviselő egy büntetőeljárásban gyanúsítható személy/gyanúsított/vádlott volt, ha ezeket az adatokat a munkáltató egy másik, nyomozó hatóságként eljáró szervezeti egysége gyűjtötte?
4)      Úgy kell‑e értelmezni a GDPR 17. cikke (1) bekezdésének a) pontjában foglalt »elfeledtetéshez való jogot«, hogy a munkáltatónak törölnie kell a tisztviselő személyi aktájából minden olyan adatot, amelyeket a munkáltató a tisztviselőjével szemben nyomozó hatósági minőségében eljáró másik igazgatósága révén gyűjtött és tárolt arról, hogy a tisztviselő:
–        folyamatban lévő büntetőeljárásban bűncselekmény elkövetésével gyanúsítható személy/gyanúsított/vádlott;
–        bűncselekmény elkövetésével gyanúsítható személy/gyanúsított/vádlott olyan büntetőeljárásban, amelyet felfüggesztettek vagy megszüntettek?
5)      Úgy kell‑e értelmezni a GDPR 17. cikke (1) bekezdésének d) pontja szerinti »jogellenesen kezelt« személyes adatokat, hogy azok magukban foglalják a munkáltató egy másik szervezeti egységén keresztül kapott, gyűjtött és tárolt adatokat, amely szervezeti egység a munkáltató más szervezeti egységeinek tisztviselői ellen folytatott büntetőeljárásban nyomozási feladatokat lát el, amennyiben ezeket az adatokat a személyi aktában tárolják, és arra vonatkoznak, hogy a tisztviselő bűncselekmény elkövetésével gyanúsítható személy/gyanúsított/vádlott, nevezetesen:
–        folyamatban lévő büntetőeljárásban bűncselekmény elkövetésével gyanúsítható személy/gyanúsított/vádlott;
–        bűncselekmény elkövetésével gyanúsítható személy/gyanúsított/vádlott olyan büntetőeljárásban, amelyet felfüggesztettek vagy megszüntettek?
6)      Úgy kell‑e értelmezni a [2016/680] irányelv az Európai Unió Alapjogi Chartájának [a továbbiakban: Charta] 52. cikkével összefüggésben értelmezett 3. cikkének 1. pontjában meghatározott »személyes adatot«, hogy az magában foglalja a munkáltató egy másik szervezeti egységén keresztül kapott, gyűjtött és tárolt adatokat, amely szervezeti egység a munkáltató más szervezeti egységénél szolgálatot teljesítő tisztviselője ellen folytatott büntetőeljárásban nyomozó hatósági feladatokat lát el?
7)      Úgy kell‑e értelmezni a [2016/680] irányelv [Charta] 52. cikkével összefüggésben értelmezett 3. cikkének 2. pontjában meghatározott »adatkezelést«, hogy az magában foglalja a munkáltató azon tevékenységét, hogy tárolja a tisztviselő személyi aktájában szereplő, egy másik szervezeti egységén keresztül kapott, gyűjtött és tárolt adatokat, amely szervezeti egység a munkáltató olyan tisztviselője ellen folytatott büntetőeljárásban nyomozó hatósági feladatokat lát el, aki a munkáltató másik szervezeti egységénél lát el szolgálatot?
8)      Úgy kell‑e értelmezni a [2016/680] irányelv [Charta] 52. cikkével összefüggésben értelmezett 9. cikkének (1) bekezdését, hogy az feljogosítja a munkáltatót, hogy adatokat gyűjtsön és tároljon a gyanúsítható személynek/gyanúsítottnak/vádlottnak minősülő tisztviselőjéről, amennyiben a munkáltató ezeket az adatokat a munkáltató az e tisztviselő ellen folytatott büntetőeljárásban nyomozó hatósági minőségében eljáró, másik szervezeti egységétől gyűjtötte?
9)      Úgy kell‑e értelmezni a [2016/680] irányelv [Charta] 52. cikkével összefüggésben értelmezett 16. cikkének (2) bekezdését, hogy a munkáltató köteles a tisztviselő személyi irataiból törölni mindazon adatokat, amelyeket a munkáltató az e tisztviselő ellen folytatott büntetőeljárásban nyomozó hatósági minőségében eljáró, másik szervezeti egységé[n keresztül] gyűjtött [és tárolt], és amely adatok arra a körülményre vonatkoznak, hogy a tisztviselő
–        folyamatban lévő büntetőeljárásban bűncselekmény elkövetésével gyanúsítható személy/gyanúsított/vádlott;
–        bűncselekmény elkövetésével gyanúsítható személy/gyanúsított/vádlott olyan büntetőeljárásban, amelyet felfüggesztettek vagy megszüntettek?
10)      Úgy kell‑e értelmezni a [2000/78] irányelv 1. cikkét, hogy az nem jogosítja fel a munkáltatót, amelynek egyik szervezeti egysége nyomozást folytat egy másik szervezeti egység tisztviselője ellen, hogy kizárólag azon az alapon tagadja meg a tisztviselő szakmai előmenetelét, hogy a tisztviselő
–        folyamatban lévő büntetőeljárásban bűncselekmény elkövetésével gyanúsítható személy/gyanúsított/vádlott;
–        bűncselekmény elkövetésével gyanúsítható személy/gyanúsított/vádlott olyan büntetőeljárásban, amelyet felfüggesztettek vagy megszüntettek?”
30.      Írásbeli észrevételeket nyújtott be a bolgár és a magyar kormány, valamint az Európai Bizottság. A bolgár kormány és a Bizottság vett részt a 2025. május 21‑i tárgyaláson.
IV.    Elemzés
A.      Az előzetes döntéshozatalra előterjesztett kérdések elfogadhatóságáról
31.      A bolgár kormány azt állítja, hogy az előzetes döntéshozatalra előterjesztett kérdések összességükben véve nyilvánvalóan elfogadhatatlanok, a következő indokokra hivatkozva.
32.      Elsősorban e kormány előadja, hogy a kártérítési kérelem kizárólag az ügyészség ellen irányul, amely az igazságszolgáltatás részét képezi, míg kizárólag a minisztérium – amely a végrehajtó hatalomhoz tartozik, és amely az alapeljárás felperesének munkáltatója volt – rendelkezik a felperes személyi aktájában szereplő adatokkal. Az alapeljárás felperese tehát nem kérheti az ügyészségtől adatainak törlését, és nem is vonhatja felelősségre amiatt, hogy a minisztérium rendelkezik ezekkel az adatokkal, és azt sem róhatja fel az ügyészségnek, hogy akadályozta a szakmai előmenetelét.
33.      Másodsorban az említett kormány megjegyzi, hogy az ügyészség felelősségének megállapításához a kérdést előterjesztő bíróságnak az állam felelősségére vonatkozó nemzeti jogszabálynak megfelelően meg kell határoznia, hogy megsértették‑e az alapeljárás felperesének vádlottként fennálló jogait, és hogy igazságtalanul vádolták‑e meg valamely bűncselekménnyel. Az alapügynek azonban nem tárgya sem a GDPR, sem pedig a 2016/680 és a 2000/78 irányelvet átültető nemzeti jogszabályok rendelkezéseinek alkalmazása. Ezen uniós jogi aktusok értelmezése tehát nem szükséges az alapjogvita eldöntéséhez.
34.      Nem osztom ezt az álláspontot.
35.      Emlékeztetek arra, hogy a nemzeti bíróság által a saját felelősségére meghatározott – a helytállóságot illetően a Bíróság által nem vizsgálható – jogszabályi és ténybeli keretben felvetett, előzetes döntéshozatalra előterjesztett kérdések releváns voltát vélelmezni kell.(7)
36.      A jelen ügyben úgy vélem, hogy e vélelem nem kérdőjelezhető meg. Az előzetes döntéshozatalra utaló határozatból ugyanis kitűnik, hogy az alapeljárás tárgyát az a nem vagyoni kár képezi, amely az alapeljárás felperesét többek között amiatt érte, hogy megtagadták az előléptetését azzal az indokkal, hogy gyanúsítható személy volt. Ezenkívül az alapeljárás felperese
az e nyomozás keretében gyanúsítható személyi minőségére vonatkozóan
a minisztériumban tárolt
adatok törlését kéri. E kérelmek képezik a kérdést előterjesztő bíróságnak a 2000/78 irányelv, valamint a GDPR és a 2016/680 irányelv értelmezésére vonatkozó kérdéseinek alapját.(8)
37.      Igaz, hogy a kérdést előterjesztő bíróság nem fejti ki, hogy a minisztérium által a nyomozást követően hozott intézkedések betudhatók‑e az ügyészségnek az ilyen kártérítési kérelem keretében. Csak azt jelzi, hogy a nemzeti ítélkezési gyakorlat szerint a kártérítési kérelem az ügyészség ellen irányul, amennyiben a kérelem nyomozásra vonatkozik. Márpedig az állítólag kárt okozó cselekmények minisztériumnak való esetleges betudásának kérdése kizárólag a nemzeti jog hatálya alá tartozik. Ugyanez vonatkozik a passzív perbeli legitimáció kérdésére az állam nyomozás tekintetében fennálló felelősségére alapított kártérítési kérelem keretében. A bolgár kormány ezen érvei tehát a nemzeti jog értelmezésén és alkalmazásán alapulnak. Márpedig emlékeztetni kell arra, hogy a Bíróságnak nem feladata, hogy a nemzeti rendelkezések értelmezése tárgyában határozzon, vagy eldöntse, hogy a nemzeti bíróság általi értelmezés vagy alkalmazás helyes‑e, mivel az ilyen értelmezés a nemzeti bíróság kizárólagos hatáskörébe tartozik.(9)
38.      Következésképpen azt javaslom, hogy a Bíróság az előzetes döntéshozatalra előterjesztett kérdéseket ne tekintse összességükben elfogadhatatlannak.
39.      Ezzel szemben megjegyzem, hogy az előzetes döntéshozatalra előterjesztett harmadik, negyedik, ötödik, nyolcadik, kilencedik és tizedik kérdés részben olyan hipotetikus helyzetekre vonatkozik, amelyek nem felelnek meg a jogvita előzetes döntéshozatalra utaló határozatban ismertetett tényállásának, tudniillik ami a bűncselekmény elkövetésével gyanúsítható személy/gyanúsított/vádlott olyan büntetőeljárásban való részvételét illeti, amelyet felfüggesztettek vagy megszüntettek. Márpedig az előzetes döntéshozatalra utaló határozatból kitűnik, hogy a nyomozást megszüntették, és hogy a kiválasztási eljárásokra, amelyeken az alapeljárás felperese részt vett, ezen eljárást megszüntető határozatot követően került sor. Ezenkívül nem vitatott, hogy ő csak gyanúsítható személy volt.
40.      Ennélfogva az előzetes döntéshozatalra előterjesztett harmadik, negyedik, ötödik, nyolcadik, kilencedik és tizedik kérdést elfogadhatatlannak kell tekinteni, amennyiben azok hipotetikusak annyiban, amennyiben az alapeljárás felperesének helyzetétől eltérő helyzetekre vonatkoznak.
B.      Az ügy érdeméről
1.      Az előzetes döntéshozatalra előterjesztett kérdések terjedelmére vonatkozó előzetes észrevételek
41.      A kérdést előterjesztő bíróság összesen tizenegy kérdést terjesztett elő, amelyek a GDPR‑ra (előzetes kérdés és az előzetes döntéshozatalra előterjesztett első–ötödik kérdés), a 2016/680 irányelvre (hatodik–kilencedik kérdés) és a 2000/78 irányelvre (az előzetes döntéshozatalra előterjesztett tizedik kérdés) vonatkoznak.
42.      A jelen előzetes döntéshozatal iránti kérelemből kitűnik, hogy a kérdést előterjesztő bíróság azt kérdezi, hogy melyik az a jogi aktus – a GDPR vagy a 2016/680 irányelv –, amelynek alapján a tisztviselő az alapügyben szóban forgóhoz hasonló körülmények között kérheti az őt a megszüntetett nyomozás keretében gyanúsítható személyként azonosító adatoknak a személyi aktájából történő törlését.
43.      Elsősorban az egyértelműség érdekében pontosítani kell a GDPR‑ra és a 2016/680 irányelvre vonatkozó kérdések tárgyát képező ténybeli előfeltevést. Megjegyzem, hogy bár e kérdések többsége(10) kifejezetten a tisztviselő személyi aktájában tárolt adatokra hivatkozik, egyes kérdések(11) általánosabban a – feladatait a munkáltató valamely egységén belül ellátó – tisztviselő adatainak a munkáltató általi tárolására hivatkoznak, amennyiben az adatokat a nyomozásért felelős egység gyűjtötte össze.
44.      Az előzetes döntéshozatalra utaló határozat indokolásának egészére tekintettel e kérdések mindegyikének tárgya a tisztviselő személyi aktájában szereplő adatok tárolása. Bár az előzetes döntéshozatal iránti kérelem eseti jelleggel említi az adatoknak a minisztérium „irattárában” vagy „nyilvántartásában” történő tárolását is, ezeket az információkat a továbbiakban nem részletezik, és azok mindenesetre nem szerepelnek a kérdésekben.
45.      Ennélfogva elemzésem kizárólag az adatoknak a személyi aktában való tárolására fog vonatkozni.
46.      Másodsorban, annak érdekében, hogy hasznos útmutatást lehessen nyújtani ahhoz, hogy a kérdést előterjesztő bíróság határozni tudjon a törlési kérelemről, szükségesnek tartom több kérdés együttes átfogalmazását.(12) Az alábbiakban kifejtésre kerülő okokból a kérdéseket az alábbiak szerint átcsoportosítva fogom elemezni:
–        az előzetes kérdés, valamint az előzetes döntéshozatalra előterjesztett első, a második és a hatodik, hetedik és nyolcadik kérdés, amelyek lényegében a GDPR hatályának meghatározására irányulnak;
–        az
előzetes döntéshozatalra előterjesztett harmadik, negyedik és ötödik kérdés, amelyek lényegében a GDPR szerinti törléshez való jog gyakorlásával összefüggésben az adatkezelés jogszerűségének feltételeire vonatkoznak;
–        az előzetes döntéshozatalra előterjesztett kilencedik
kérdés, amely a 2016/680 irányelv szerinti törléshez való jogra vonatkozik;
–        az előzetes döntéshozatalra előterjesztett tizedik kérdés, amely a 2000/78 irányelvre vonatkozik.
2.      Az előzetes kérdésről, valamint az előzetes döntéshozatalra előterjesztett első, második, hatodik, hetedik és nyolcadik kérdésről
a)      A kérdések átfogalmazásáról
47.      Előzetes kérdésével a kérdést előterjesztő bíróság lényegében arra keresi a választ, hogy a GDPR 2. cikkének (1) bekezdését úgy kell‑e értelmezni, hogy e rendelet alkalmazandó az olyan hatóság által végzett adatkezelésre, amely hatóságon belül egyes szervezeti egységek munkáltatói feladatokat látnak el, míg egy másik egység nyomozó hatóságként jár el a többi egység tisztviselőivel szemben indított büntetőeljárásban.
48.      Igenlő válasz esetén e bíróság az első és a második kérdésével lényegében arra vár választ, hogy a GDPR 4. cikkének 2. és 6. pontját úgy kell‑e értelmezni, hogy azon személyes adatoknak valamely hatóság tisztviselőjének személyi aktájában való tárolása, amelyeket e hatóság a nyomozó hatósági minőségben eljáró egységén keresztül szerzett meg, „nyilvántartási rendszerben” szereplő „személyes adatok kezelésének” minősül.
49.      Bár az előzetes döntéshozatalra előterjesztett első és második kérdéssel a kérdést előterjesztő bíróság formálisan e két fogalom értelmezését kéri a Bíróságtól, úgy vélem, hogy e kérdéseknek nem ez a valódi tárgya. Mivel e kérdések azon kettős szerepre hivatkoznak, amelyben egy, a minisztériumhoz hasonló hatóság a tisztviselőinek adatait kezeli (nyomozó hatóságként történő gyűjtés és munkáltatóként történő tárolás), az említett kérdéseket a GDPR hatályának meghatározására irányuló érvelés kiindulópontjaiként kell felfogni. Véleményem szerint ezt az értelmezést megerősíti az a tény, hogy a kérdést előterjesztő bíróság e kérdések indokolásában e fogalmak értelmezését illetően semmilyen konkrét kétséget nem vet fel.
50.      Ami az előzetes döntéshozatalra előterjesztett nyolcadik kérdést illeti, az véleményem szerint ugyanebbe az érvelésbe illeszkedik, és lényegében arra irányul, hogy a 2016/680 irányelv 9. cikkének (1) bekezdését(13) úgy kell‑e értelmezni, hogy az feljogosítja a munkáltatót, hogy adatokat tároljon arról, hogy valamely tisztviselője nyomozás keretében gyanúsítható személynek minősül, amennyiben e hatóság ezeket az adatokat a nyomozó hatósági minőségében eljáró, másik szervezeti egységétől gyűjtötte.
51.      E nyolcadik kérdés szövegéből, valamint az előzetes döntéshozatal iránti kérelem indokolásából kitűnik, hogy a kérdést előterjesztő bíróságnak kétségei vannak a GDPR és a 2016/680 irányelv hatályának egymáshoz való viszonyát illetően, amennyiben a személyi aktában tárolt adatokat a munkáltató valamely szervezeti egysége az ezen irányelv 3. cikkének 7. pontja értelmében vett „illetékes hatóságként” fennálló feladatainak ellátása során gyűjtötte. Ahogyan azt a jelen indítványban ki
fogom fejteni, az említett irányelv 9. cikke az illetékes hatóságok által gyűjtött adatok további kezelése esetén kifejezetten kapcsolatot teremt ezen irányelv és a GDPR között.
52.      Az előzetes döntéshozatalra előterjesztett hatodik és hetedik kérdés lényegében arra vonatkozik, hogy a 2016/680 irányelv 3. cikkének 1. és 2. pontja értelmében vett „személyes adatok kezelésének” minősül‑e az olyan személyes adatoknak a hatóság tisztviselőjének személyi aktájában való tárolása, amelyeket e hatóság a nyomozó hatósági minőségében eljáró szervezeti egységén keresztül szerzett meg.
53.      Úgy vélem, hogy ez a két kérdés – az előzetes döntéshozatalra előterjesztett első és második kérdéshez hasonlóan – valójában nem az „adatkezelés” és a „személyes adatok” fogalmának értelmezésével kapcsolatos kérdést vet fel, hanem ezek pusztán eszközként szolgálnak annak meghatározásához, hogy melyik uniós jogi aktus – a GDPR vagy a 2016/680 irányelv – alkalmazandó. Mindenesetre ezeket a fogalmakat a 2016/680 irányelvben foglaltakkal azonos kifejezésekkel határozták meg,(14) így azok nem képeznek megkülönböztető elemet.
54.      Ezen okokból javaslom, hogy a Bíróság tekintse úgy, hogy a kérdést előterjesztő bíróság az előzetes kérdésével, valamint az első, a második, a hatodik, a hetedik, és a nyolcadik kérdésével együttesen lényegében arra keresi a választ, hogy a GDPR 2. cikkének (1) bekezdését és a 2016/680 irányelv 9. cikkének (1) bekezdését úgy kell‑e értelmezni, hogy e rendelet alkalmazandó a valamely hatóság egy tisztviselőjének nyomozás keretében fennálló, gyanúsítható személyi minőségére vonatkozó adatoknak e hatóság általi, az e tisztviselő személyi aktájában történő tárolására, amennyiben az adatokat e hatóság valamely szervezeti egysége az ezen irányelv értelmében vett illetékes hatóságkénti feladatainak ellátása során gyűjtötte.
b)      Elemzés
55.      Elsősorban megjegyzem, hogy a GDPR 2. cikkének (1) bekezdése tágan határozza meg e rendelet tárgyi hatályát, amely magában foglalja „a személyes adatok részben vagy egészben automatizált módon történő kezelésé[t], valamint azoknak a személyes adatoknak a nem automatizált módon történő kezelésé[t], amelyek valamely nyilvántartási rendszer részét képezik, vagy amelyeket egy nyilvántartási rendszer részévé kívánnak tenni”.(15)
56.      Úgy tűnik, hogy az alapeljárásban nem vitatott, hogy az alapeljárás felperesének személyi aktájában tárolt, a gyanúsítható személyi minőségre vonatkozó információk a GDPR 4. cikkének 1. pontja értelmében vett személyes adatoknak minősülnek.
57.      Ezenkívül a tisztviselők adatainak a személyi aktájukban való rögzítése és tárolása bizonyosan a GDPR 4. cikkének 2. pontjában meghatározott „adatkezelésnek” minősül, és úgy tűnik, hogy nem kétséges, hogy a belügyminiszter az e rendelet 4. cikkének 7. pontja értelmében vett adatkezelő.(16)
58.      A „nyilvántartási rendszer” fogalmát illetően megjegyzem, hogy ez a fogalom csak akkor releváns, ha az adatkezelést legalábbis részben nem automatizált módon végzik.(17) A GDPR 4. cikkének 6. pontja úgy határozza meg a „nyilvántartási rendszer[t]”, mint „a személyes adatok bármely módon […] tagolt állomány[át], amely meghatározott ismérvek alapján hozzáférhető”. Nincsenek előírva azokat a részletes szabályok, amelyek szerint a nyilvántartási rendszert tagolni kell, vagy az, hogy annak milyen formát kell öltenie. és az sem kerül pontosításra, hogy az adatoknak elektronikus adatbázisokban vagy fizikai aktákban, illetve nyilvántartásokban kell‑e szerepelniük.(18) Így a személyi akta, amely tagolt módon gyűjti a tisztviselők vagy munkavállalók adatait, a „nyilvántartási rendszer” fogalmának körébe tartozik. A kérdést előterjesztő bíróság által elvégzendő vizsgálatok fenntartásával úgy tűnik, hogy a jelen ügyben erről van szó.(19)
59.      Másodsorban, a GDPR 2. cikke (2) bekezdésének d) pontja úgy rendelkezik, hogy e rendelet nem alkalmazandó a személyes adatok kezelésére, ha azt az illetékes hatóságok többek között bűncselekmények megelőzése, nyomozása és felderítése céljából végzik. Amint az az említett rendelet (19) preambulumbekezdéséből és a 2016/680 irányelv 1. cikkének (1) bekezdéséből kitűnik, az ilyen adatkezelést lex specialisként ezen irányelv szabályozza.(20)
60.      Harmadsorban, mind a GDPR, mind a 2016/680 irányelv rögzíti a „célhoz kötöttség” elvét,(21) amely szerint a személyes adatok gyűjtése csak meghatározott, egyértelmű és jogszerű célból történhet, és azok nem kezelhetők ezekkel a célokkal össze nem egyeztethető módon. Ez az elv azonban nem abszolút módon alkalmazandó.(22) Ezen irányelv 9. cikkének (1) bekezdése ugyanis előírja, hogy az adatok az adatgyűjtés ezen irányelv 1. cikkének (1) bekezdésében meghatározott céljától eltérő célokból is kezelhetők, és hogy az ilyen adatkezelésre a GDPR‑t kell alkalmazni,(23) feltéve hogy az ilyen adatkezelésre az „uniós vagy tagállami jog felhatalmazást ad”. Ez a fenntartás egyszerűen azt jelenti, hogy a más célból végzett adatkezelés jogszerűségét a GDPR fényében kell értékelni.(24)
61.      A jelen ügyben nem kétséges, hogy a minisztérium az alapeljárás felperesének adatait – a tisztviselői elleni nyomozásért felelős igazgatóságán keresztül – a 2016/680 irányelv 3. cikkének 7. pontja értelmében vett illetékes hatóságként az ezen irányelv 1. cikkének (1) bekezdésében meghatározott célokból gyűjtötte és kezelte.
62.      Ami ezen adatoknak a felperes személyi aktájában való tárolását illeti, a kérdést előterjesztő bíróság semmilyen információval nem szolgál az elérni kívánt célokról. A bolgár kormány által szolgáltatott magyarázatok(25) szerint azonban – a kérdést előterjesztő bíróság által elvégzendő vizsgálatok fenntartásával – a személyi aktában való tárolásra nem a 2016/680 irányelv 1. cikkének (1) bekezdésében meghatározott célokból kerül sor. E körülmények között az eljárás írásbeli észrevételeket benyújtó valamennyi résztvevőjéhez hasonlóan úgy vélem, hogy a GDPR‑t alkalmazni kell az olyan adatoknak a személyi aktában történő kezelésére, mint amelyekről az alapügyben szó van.
63.      Azt javaslom tehát a Bíróságnak, hogy az előzetes kérdésre, valamint az előzetes döntéshozatalra előterjesztett első,
második, hatodik, hetedik és nyolcadik kérdésre azt a választ adja, hogy a GDPR 2. cikkének (1) bekezdését és a 2016/680 irányelv 9. cikkének (1) bekezdését úgy kell értelmezni, hogy e rendelet alkalmazandó a valamely hatóság egy tisztviselőjének nyomozás keretében fennálló, gyanúsítható személyi minőségére vonatkozó adatoknak e hatóság általi, az ezen tisztviselő személyi aktájában történő tárolására, amennyiben az adatokat e hatóság valamely szervezeti egysége az ezen irányelv értelmében vett illetékes hatóságkénti feladatainak ellátása során gyűjtötte, feltéve hogy a tárolás az ezen irányelv 1. cikkének (1) bekezdésében meghatározottaktól eltérő célokat követ.
3.      Az előzetes döntéshozatalra előterjesztett harmadik, negyedik és ötödik kérdésről
a)      A kérdések átfogalmazásáról
64.      Az előzetes döntéshozatalra előterjesztett harmadik kérdésével a kérdést előterjesztő bíróság lényegében arra keresi a választ, hogy a GDPR 9. cikke (2) bekezdésének b) pontját úgy kell‑e értelmezni, hogy egy hatóság valamely szervezeti egysége gyűjthet és tárolhat olyan adatokat, amelyek arra vonatkoznak, hogy e hatóság egy tisztviselője egy büntetőeljárásban gyanúsítható személy volt, ha ezeket az adatokat e hatóság másik, nyomozó hatóságként eljáró szervezeti egysége gyűjtötte.
65.      Az előzetes döntéshozatalra előterjesztett negyedik kérdés arra irányul, hogy úgy kell‑e értelmezni a GDPR 17. cikke (1) bekezdésének a) pontját, hogy a hatóságnak munkáltatói minőségében törölnie kell a tisztviselő személyi aktájából minden olyan adatot, amely arra vonatkozik, hogy a tisztviselő gyanúsítható személy volt olyan büntetőeljárásban, amelyet megszüntettek, amennyiben ezeket az adatokat e hatóságnak a tisztviselővel szemben nyomozó hatósági minőségében eljáró másik szervezeti egysége gyűjtötte.
66.      Ezenkívül az előzetes döntéshozatalra előterjesztett ötödik kérdés lényegében arra irányul, hogy e rendelet 17. cikke (1) bekezdésének d) pontját úgy kell‑e értelmezni, hogy az ilyen adatokat „jogellenesen kezelik”.
67.      Ami az előzetes döntéshozatalra előterjesztett harmadik kérdésben említett rendelkezést illeti, meg kell állapítani, hogy a GDPR 9. cikke – amint az az (1) bekezdéséből kitűnik – az adatok bizonyos különleges kategóriáinak kezelését szabályozza. Az előzetes döntéshozatalra utaló határozatban semmi nem utal arra, hogy a jelen ügyben a nyomozásból származó, a személyi aktában tárolt adatok e kategóriák egyikébe tartoznának. Következésképpen e rendelet 9. cikke (2) bekezdésének b) pontja nem képezheti a jelen ügyben szóban forgó adatok tárolásának alapját. Ahogyan azt a jelen indítványban ki fogom fejteni, a jogszerűség jogalapját az említett rendelet más rendelkezéseiben kell keresni, amelyeket a kérdést előterjesztő bíróság kérdéseiben nem említ.(26)
68.      A GDPR 17. cikke (1) bekezdése a) és d) pontjának rendelkezései, amelyek az előzetes döntéshozatalra előterjesztett negyedik és ötödik kérdés tárgyát képezik, az olyan adatok törlésének okait tartalmazzák, amelyekre „már nincs szükség abból a célból, amelyből azokat gyűjtötték vagy […] kezelték” (a) pont) vagy amelyeket „jogellenesen kezelt[e]k” (d) pont).
69.      Márpedig e két kérdésnek és az előzetes döntéshozatal iránti kérelem indokolásának együttes olvasatából kitűnik, hogy azokkal a kérdést előterjesztő bíróság a törlési kérelemről való határozathozatal kiindulópontjaként alapvetően arra keresi a választ, hogy jogszerű‑e a szóban forgó adatoknak a személyi aktában való tárolása.
70.      Bár a kérdést előterjesztő bíróság nem szolgál információkkal a jelen ügyben releváns esetleges jogszerűségi okról vagy az alkalmazandó nemzeti jogi háttérről, írásbeli észrevételeiben mind a Bizottság, mind a bolgár kormány a GDPR 6. cikke (1) bekezdésének c) pontjára hivatkozott.
71.      E rendelkezés szerint az adatkezelés jogszerű, ha az az adatkezelőre vonatkozó valamely jogi kötelezettségnek való megfeleléshez szükséges. A GDPR 6. cikkének (3) bekezdése többek között kifejti, hogy azon tagállami jognak, amelynek hatálya alá az adatkezelő tartozik, és amely az adatkezelés jogalapját megállapítja, közérdekű célt kell szolgálnia, és arányosnak kell lennie az elérni kívánt jogszerű céllal. Ugyanezen jogszerűségi okot tükrözi e rendelet 17. cikke (3) bekezdésének b) pontja, amely kizárja a rendelet 17. cikkének (1) bekezdésében előírt törléshez való jogot, amennyiben az adatkezelés az ilyen jogi kötelezettség teljesítése céljából szükséges.(27)
72.      E tekintetben a bolgár kormány kifejtette, hogy a személyes adatoknak a minisztérium tisztviselői személyi aktáinak összeállítása, vezetése, tárolása és felhasználása céljából történő kezelésére a személyi aktákról szóló, a belügyminiszter által a ZMVR 147. cikkének (2) bekezdése alapján kibocsátott utasítás alapján kerül sor. Ez az utasítás előírja, hogy tárolni kell többek között minden személyes adatot a tisztviselők „beosztásának megváltozása” céljából, így például a fegyelmi eljárásokkal kapcsolatos adatokat.(28) E tekintetben ez a kormány jelezte, hogy a minisztérium tisztviselőinek fegyelmi felelősségére vonatkozó rendelkezések szerint a bűncselekménnyel kapcsolatos, minisztériumon belüli bármely esemény tekintetében a személyi aktához csatolják a vizsgálat eredményéről és arról szóló jelentés másolatát, hogy meg kell‑e állapítani a tisztviselő fegyelmi felelősségét. Az említett kormány szerint ebből az következik, hogy ezen adatoknak a személyi aktában való tárolását a rendőröknek a közrend fenntartására irányuló különleges feladatai igazolják.
73.      A Bírósághoz benyújtott észrevételekből(29) eredő ezen előfeltevések alapján javaslom az előzetes döntéshozatalra előterjesztett harmadik, negyedik és ötödik kérdés oly módon történő átfogalmazását, hogy azok annak meghatározására irányulnak, hogy a GDPR 17. cikkének (3) bekezdését e rendelet 6. cikke (1) bekezdésének c) pontjával és 6. cikkének (3) bekezdésével összefüggésben úgy kell‑e értelmezni, hogy az olyan nyomozásra vonatkozó személyes adatoknak egy rendőr személyi aktájában való tárolása, amelynek során e rendőrrel mint gyanúsítható személlyel szemben nyomozási cselekményeket hajtottak végre, és amelyet megszüntettek, jogszerűnek minősülhet az e hatóságot – mint a rendőr munkáltatóját – adatkezelőként a nemzeti jog alapján terhelő jogi kötelezettség teljesítése céljából, pusztán azon feladatok jellegére tekintettel, amelyeket e tisztviselőnek el kell látnia.
b)      Elemzés
74.      A bolgár kormány által szolgáltatott magyarázatok alapján úgy tűnik, hogy a szóban forgó adatok megőrzésének jogalapja a belügyminiszter által az e minisztert kifejezetten szabályozási hatáskörrel felruházó ZMVR alapján kibocsátott „utasításban” szereplő több rendelkezés együttes értelmezéséből ered.
75.      E tekintetben mindenekelőtt az a kérdés merül fel, hogy az adatkezelésnek a GDPR 6. cikkének (3) bekezdése értelmében vett jogalapját meghatározhatja‑e valamely tagállam hatósága által egy nemzeti jogalkotási aktusban foglalt jogszabályi felhatalmazás alapján elfogadott rendeleti jellegű aktus.
76.      A GDPR (41) preambulumbekezdésének első mondata kimondja, hogy a jogalap követelménye nem szükségszerűen jelent – az érintett tagállam alkotmányos rendjéből fakadó követelmények sérelme nélkül – valamely parlament által elfogadott jogszabályt. Ebből következik, hogy az uniós jogalkotó nem kívánta kizárni, hogy az adatkezelésre vonatkozó jogi kötelezettséget a nemzeti jogban – a nemzeti alkotmányjoggal összhangban – a formális értelemben vett törvénytől eltérő jogalap határozza meg.
77.      Ezenkívül meg kell állapítani, hogy a GDPR (19) preambulumbekezdése szerint a tagállamoknak bizonyos mozgástérrel kell rendelkezniük a 2016/680 irányelv értelmében vett illetékes hatóság által, de a GDPR hatálya alá tartozó célokból végzett adatkezelés tekintetében, mint amelyről a jelen ügyben is szó van. Így a tagállamok számára lehetővé kell tenni, hogy konkrétabb rendelkezéseket tartsanak fenn vagy vezessenek be annak érdekében, hogy az ilyen adatok kezelése tekintetében kiigazítsák a GDPR alkalmazását, „alkotmányos, szervezeti és közigazgatási szerkezetüket figyelembe véve”.
78.      A GDPR‑rel tehát nem ellentétes az, hogy az adatkezelés jogalapját a nemzeti alkotmányjoggal összhangban elfogadott rendeleti jellegű jogi aktus határozza meg. Az említett mozgásteret azonban nem lehet úgy értelmezni, hogy az lehetővé teszi a GDPR 6. cikkének (3) bekezdésében szereplőhöz hasonló, úgynevezett engedő rendelkezések önkényes alkalmazását, amely bekezdés lehetővé teszi, hogy a nemzeti jogban az adatkezelés jogszerűségének indokaként jogi kötelezettséget vezessenek be.(30) Ugyanis, amint az e rendelet (41) preambulumbekezdésének második mondata – a Charta 52. cikkének (1) bekezdésére vonatkozó ítélkezési gyakorlatot(31) átvéve, amely rendelkezésre tekintettel az említett rendelet 6. cikkének (3) bekezdését értelmezni kell(32) – kimondja, az adatkezelés jogalapjának világosnak és pontosnak kell lennie, alkalmazásának pedig előre
láthatónak kell lennie a hatálya alá tartozó személyek számára.
79.      A jelen ügyben az ügy irataiból kitűnik, hogy a minisztérium utasításait rendeleti jellegű jogi aktusként a ZMVR‑ben foglalt jogszabályi felhatalmazás alapján bocsátják ki, és azokat a Darzhaven vestnikben (hivatalos lap) is közzéteszik. Nem minősülnek tehát tisztán belső utasításoknak, amelyek nyilvánvalóan nem minősíthetők anyagi jogi értelemben vett „törvénynek”.(33)
80.      Mindazonáltal a bolgár kormány által hivatkozott rendelkezések véleményem szerint kérdéseket vetnek fel a nyomozásból származó adatok kezelésének előreláthatóságával kapcsolatban. Pontosabban kétségeim vannak az adatkezelés céljainak előreláthatóságát illetően, amely célokat a GDPR 6. cikkének (3) bekezdésével összhangban az adatkezelés jogalapjának kell meghatároznia.
81.      A bolgár kormány által szolgáltatott információk szerint e célok között, amelyeket úgy tűnik, hogy a személyi aktákról szóló utasítás 5. cikkének (2) bekezdése kimerítő jelleggel felsorol, szerepel a „tisztviselők beosztásának [...] megváltozására” vonatkozó cél, amelynek a szóban forgó adatok tárolása megfelel. Ezen utasítás 6. cikkének (4) bekezdése szerint a „beosztás megváltozása” céljából tárolt adatok magukban foglalják többek között a „fegyelmi eljárásokkal kapcsolatos dokumentumok[at]”.
82.      Márpedig a szóban forgó adatok tartalmának figyelembevételével úgy tűnik, hogy ez a cél úgy értendő, hogy az – igen tágan és szövege ellenére – még az arra vonatkozó adatok tárolását is magában foglalja, hogy a nyomozást követően – mint a jelen ügyben is – nem került sor ilyen fegyelmi eljárásokra, amely adatok tehát az érintett tisztviselő beosztásának semmilyen megváltozására nem vonatkoznak.
83.      A kérdést előterjesztő bíróság által relevánsnak tartott bármely más rendelkezés sérelme nélkül számomra úgy tűnik, hogy a személyi aktákról szóló utasítás érintett rendelkezéseinek ilyen nagyon széles körű alkalmazása nem felel meg a jelen indítvány 78. pontjában foglalt követelményeknek.
84.      Ha a Bíróság nem osztaná az álláspontomat a jogalap előreláthatósága hiányának megállapítását illetően, úgy vélem, hogy ez a jogalap, amely az adatok tárolásának alapját képezi, mindenesetre nem a GDPR 6. cikkének (3) bekezdése értelmében vett közérdekű célt szolgál.
85.      Ezzel kapcsolatban a bolgár kormány a tárgyaláson azt állította, hogy a nyomozást követően indított fegyelmi eljárás hiányában az e nyomozásra vonatkozó adatokat később nem használják fel a tisztviselő szakmai előmenetelének kezelése során. Az ilyen adatok tárolása mindazonáltal közérdeket szolgál, mivel azok a közrend biztosítására és a lakosság védelmére irányuló konkrét tevékenységek végzésével megbízott személyekre vonatkoznak.
86.      Kétségkívül általánosan elfogadott, hogy a rendőri beosztás a más tisztviselőkhöz vagy munkavállalókhoz képest magasabb szintű magatartási szabályok betartását követeli meg. Mindemellett nem vitatott, hogy a jelen ügyben a nyomozást bizonyítékok hiányában megszüntették, és az érintett tisztviselővel szemben nem indult fegyelmi eljárás. Ennélfogva nem látom be, hogy e tisztviselő közrend védelmére irányuló feladatainak jellege mennyiben igazolhatná a szóban forgó adatoknak a személyi aktájában való tárolását.
87.      Ezenkívül a bolgár kormány a tárgyaláson kifejtette, hogy a nyomozásból származó adatok tárolása a tisztviselők fegyelmi felelősségére vonatkozó adatok megőrzéséhez kapcsolódik, mivel a nyomozás eredménye meghatározó annak megállapítása szempontjából, hogy meg kell‑e állapítani a fegyelmi felelősséget. Így az alapeljárás felperesének személyi aktájából kitűnik, hogy a vele mint gyanúsítható személlyel szemben folytatott nyomozás a vele szembeni bizonyítékok hiányában zárult, így nem indult fegyelmi eljárás. Márpedig úgy vélem, hogy e tekintetben körkörös érvelésről van szó, amely az adatok tárolását közérdekű célnak tekinti. E logikát követve tehát az adatok bármely tárolását maga a tárolás igazolná, ami feleslegessé tenné a közérdekű cél követelményét.
88.      Egyébiránt, ha logikusan végigvisszük ezt az érvet, bizonyos adatoknak a vádemelés, az elítélés vagy a fegyelmi szankciók hiányának bizonyítása céljából történő tárolása – noha az a nyomozásra vagy a fegyelmi felelősségre vonatkozó bármilyen információnak a személyi aktában való feltüntetése nélkül is bizonyítható – azt jelentené, hogy ilyen tárolás nélkül nem lehetne bizonyítani az előzmények hiányát.
89.      Márpedig ekkor ez szinte a bűnösség vélelmének felelne meg, amely sérti a Charta – EJEE 6. cikke (2) bekezdésének megfelelő(34) – 48. cikkének (1) bekezdésében foglalt ártatlanság vélelmének elvét. Hangsúlyozom, hogy az EJEB ítélkezési gyakorlata szerint ez az elv nem csak a büntetőeljárás lezárásáig érvényesül, hanem a célja annak megakadályozása, hogy azokat a személyeket, akiket felmentettek vagy akikkel szemben megszüntették az eljárást, a hatóságok a későbbi eljárásokban úgy kezeljék, mintha ténylegesen bűnösök lennének a terhükre rótt bűncselekményben.(35) Ez az értelmezés tehát amellett szól, hogy a nyomozás megszüntetése esetén a személyi aktában visszaállítsák a korábbi állapotot.
90.      Ez utóbbi megfontolástól függetlenül úgy vélem, hogy a Bíróság rendelkezésére álló információk nem elegendőek annak megállapításához, hogy teljesülnek a GDPR 6. cikke (1) bekezdésének c) pontjában és 6. cikkének (3) bekezdésében előírt követelmények. Mivel a jelen ügyben az e rendelet 6. cikkének (1) bekezdésében említett egyéb jogszerűségi okok egyike sem alkalmazható – aminek vizsgálata a kérdést előterjesztő bíróság feladata –,(36) meg kellene állapítani, hogy ezen adatok tárolása nem jogszerű, és hogy a tisztviselőnek tehát az említett rendelet 17. cikke (1) bekezdésének d) pontja alapján joga van azok törléséhez.
91.      E körülmények között és az elérni kívánt jogszerű célra vonatkozó egyéb információk hiányában nem lehet értékelni a személyi aktákban szereplő adatok tárolása időtartamának arányosságát, amely időtartam a bolgár kormány által a tárgyaláson szolgáltatott információk szerint a tisztviselő 100 éves koráig tart. Ugyanakkor ezen időtartamnak a nyomozással kapcsolatos valamennyi adatra különbségtétel nélkül történő alkalmazása, függetlenül a nyomozás kimenetelétől és attól, hogy alkalmaztak‑e fegyelmi szankciókat, szintén nem igazolható a rendőrök feladataira való egyszerű hivatkozással.(37)
92.      Következésképpen azt javaslom a Bíróságnak, hogy az előzetes döntéshozatalra előterjesztett harmadik, negyedik és ötödik kérdésre azt a választ adja, hogy a GDPR 17. cikkének (3) bekezdését e rendelet 6. cikke (1) bekezdésének c) pontjával és 6. cikkének (3) bekezdésével összefüggésben úgy kell értelmezni, hogy az olyan nyomozásra vonatkozó személyes adatoknak egy rendőr személyi aktájában való tárolása, amelynek során e rendőrrel mint gyanúsítható személlyel szemben nyomozási cselekményeket hajtottak végre, és amelyet megszüntettek, nem tekinthető jogszerűnek pusztán azon feladatok jellegére tekintettel, amelyeket e tisztviselőnek el kell látnia, az adott hatóságot – mint a tisztviselő munkáltatóját – a nemzeti jog alapján adatkezelőként terhelő jogi kötelezettség teljesítése céljából.
c)      További megfontolások
93.      Röviden foglalkozni szeretnék a GDPR 10. cikkével, amellyel kapcsolatban a kérdést előterjesztő bíróság nem tett fel kérdést, amellyel kapcsolatban azonban a bolgár kormány a tárgyaláson a Bíróság által feltett kérdésre válaszolva állást foglalt.
94.      Ez a rendelkezés a „büntetőjogi felelősség megállapítására vonatkozó határozatokra és a bűncselekményekre vonatkozó” adatok kezelésére alkalmazandó különös feltételeket állapít meg. Előírja többek között, hogy az ilyen adatoknak a GDPR 6. cikkének (1) bekezdése alapján történő kezelésére kizárólag abban az esetben kerülhet sor, ha az közhatalmi szerv felügyelete alatt történik, vagy ha az adatkezelést az érintett jogai és szabadságai tekintetében megfelelő garanciákat nyújtó uniós vagy tagállami jog lehetővé teszi. Amint az az említett rendelkezés szövegéből kitűnik, az csak az olyan adatkezelésre alkalmazandó, amely megfelel a GDPR 6. cikkének (1) bekezdésében foglalt jogszerűségi okok valamelyikének. Így a kérdést előterjesztő bíróságnak csak akkor kell figyelembe vennie e rendelet 10. cikkét, ha megállapítja a szóban forgó adatok tárolásának jogszerűségét.
95.      Mindemellett, még ha ez lenne is a helyzet, úgy vélem, hogy a jelen ügy körülményei között a GDPR 10. cikkében előírt további követelmények mindenképpen teljesülnek.
96.      Elöljáróban emlékeztetek arra, hogy az ítélkezési gyakorlat szerint a GDPR 10. cikke attól függetlenül alkalmazandó a bűncselekményekre vonatkozó adatokra, hogy a büntetőeljárás során bizonyítást nyert‑e azon bűncselekmény magatartás, amely miatt e személyt büntetőeljárás alá vonták.(38)
97.      A jelen ügyben nem vitatott, hogy az alapeljárás felperese nem volt sem gyanúsított, sem vádlott, de a személyi aktájában tárolt adatok azt mutatják, hogy gyanúsítható személyként nyomozási cselekményeket folytattak le vele szemben. Ezenkívül úgy vélem, hogy az ilyen adatok bűncselekményekre „vonatkozó” adatoknak minősülnek.(39) A GDPR 10. cikkének célja(40) ugyanis e rendelkezésnek az olyan személyes adatokra való alkalmazása mellett szól, amelyek szerint valamely bűncselekmény elkövetésének gyanúja miatt az illetékes hatóság által az érintettel szemben folytatott nyomozási cselekményekre került sor.(41) Még ha a nyomozás nem is vezet büntetőítélethez, az a tény, hogy ilyen adatok szerepelnek a személyi aktában, később negatív következményekkel járhat.
98.      Márpedig, ha az adatkezelő valamely hatóság, a személyes adatok kezelése mindenesetre „közhatalmi szerv felügyelete alatt” történik.(42) A jelen ügyben az alapeljárás felperesének adatait kizárólag a minisztérium mint adatkezelő szervezeti egységein belül kezelték. Ennélfogva nem szükséges megvizsgálni, hogy a nemzeti jog a GDPR 10. cikke értelmében megfelelő garanciákat nyújt‑e az érintettek jogai és szabadságai tekintetében.
4.      Az előzetes döntéshozatalra előterjesztett kilencedik kérdésről
99.      Kilencedik kérdésével a kérdést előterjesztő bíróság lényegében arra keresi a választ, hogy a 2016/680 irányelv 16. cikkének (2) bekezdését úgy kell‑e értelmezni, hogy a hatóság munkáltatói minőségében köteles a tisztviselő személyi aktájából törölni mindazon adatokat, amelyeket a nyomozó hatósági minőségében eljáró szervezeti egységén keresztül gyűjtött és tárolt, amennyiben ezek az adatok arra a körülményre vonatkoznak, hogy a tisztviselő bűncselekmény elkövetésével gyanúsítható személy olyan büntetőeljárásban, amelyet megszüntettek.
100. Mivel a fenti elemzésből kitűnik, hogy a GDPR alkalmazandó az alapügyben szóban forgó adatokhoz hasonló adatok tárolására, és hogy a 2016/680 irányelv alkalmazása kizárt, a kilencedik kérdésre nem szükséges válaszolni.
5.      Az előzetes döntéshozatalra előterjesztett tizedik kérdésről
101. Tizedik kérdésével a kérdést előterjesztő bíróság lényegében arra keresi a választ, hogy úgy kell‑e értelmezni a 2000/78 irányelv 1. cikkét, hogy ezen irányelvvel ellentétes az, ha valamely hatóság, amelynek egyik szervezeti egysége nyomozást folytat egy másik szervezeti egység tisztviselője ellen, munkáltatói minőségében kizárólag azon az alapon tagadja meg a tisztviselő előléptetését, hogy a tisztviselő bűncselekmény elkövetésével gyanúsítható személy volt olyan büntetőeljárásban, amelyet megszüntettek.
102. Mindenekelőtt, ami az e kérdés alapjául szolgáló ténybeli előfeltevéseket illeti, a bolgár kormány a tárgyaláson a Bíróság által feltett kérdésekre válaszolva jelezte, hogy a nyomozást követő időszakban az alapeljárás felperesét – állításával ellentétben – magasabb beosztásba léptették elő. Márpedig az előzetes döntéshozatalra előterjesztett kérdések relevanciájának vélelme nem dönthető meg pusztán azon körülmény alapján, hogy az alapeljárás valamelyik fele bizonyos tényeket vitat, amelyek helytállóságának vizsgálata nem a Bíróság feladata, és amelyektől az eljárás tárgyának meghatározása függ.(43)
103. Ezt követően emlékeztetek arra, hogy a 2000/78 irányelv 1. cikkében kimerítő jelleggel sorolja fel az irányelv által tiltott hátrányos megkülönböztetési okokat, tudniillik a vallást, a meggyőződést, a fogyatékosságot, az életkort és a szexuális irányultságot.(44) Márpedig az a körülmény, hogy valaki gyanúsítható személy volt olyan nyomozás során, amelyet megszüntettek, ezek okok egyikének körébe sem tartozik. A szakmai előmenetel kizárólag e körülményen alapuló megtagadása tehát nem tartozik ezen irányelv hatálya alá.
104. E feltételek mellett nem releváns az a körülmény, hogy a gyanúsítható személyi minőségre vonatkozó adatokat a munkáltató más szervezeti egysége gyűjtötte össze, mint amelyhez a tisztviselő be volt osztva.
105. A 2000/78 irányelv nem alkalmazandó az előléptetés amiatti megtagadására sem, hogy az érintett rendőrként volt gyanúsítható személy. A Bíróság ítélkezési gyakorlatából ugyanis kitűnik, hogy a magán a munkaviszonyon, különösen a valamely társadalmi‑foglalkozási csoporthoz való tartozáson vagy a munkavégzés helyén alapuló hátrányos megkülönböztetés nem tartozik ezen irányelv hatálya alá.(45)
106. Következésképpen azt javaslom, hogy a Bíróság az előzetes döntéshozatalra előterjesztett tizedik kérdésre azt a választ adja, hogy a 2000/78 irányelv 1. cikkét úgy kell értelmezni, hogy ez az irányelv nem alkalmazandó valamely tisztviselő szakmai előmenetelének kizárólag azon az alapon történő megtagadására, hogy a tisztviselő gyanúsítható személy volt olyan nyomozás során, amelyet megszüntettek.
V.      Végkövetkeztetés
107. A fenti megfontolásokra tekintettel azt javaslom, hogy a Bíróság a Sofiyski rayonen sad (szófiai kerületi bíróság, Bulgária) által előzetes döntéshozatalra előterjesztett kérdésekre a következő választ adja:
1)      A természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló, 2016. április 27‑i (EU) 2016/679 európai parlamenti és tanácsi rendelet 2. cikkének (1) bekezdését és a személyes adatoknak az illetékes hatóságok által a bűncselekmények megelőzése, nyomozása, felderítése, a vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása céljából végzett kezelése tekintetében a természetes személyek védelméről és az ilyen adatok szabad áramlásáról, valamint a 2008/977/IB tanácsi kerethatározat hatályon kívül helyezéséről szóló, 2016. április 27‑i (EU) 2016/680 európai parlamenti és tanácsi irányelv 9. cikkének (1) bekezdését
a következőképpen kell értelmezni:
e rendelet alkalmazandó a valamely hatóság egy tisztviselőjének nyomozás keretében fennálló, gyanúsítható személyi minőségére vonatkozó adatoknak e hatóság általi, az ezen tisztviselő személyi aktájában történő tárolására, amennyiben az adatokat e hatóság valamely szervezeti egysége az ezen irányelv értelmében vett illetékes hatóságkénti feladatainak ellátása során gyűjtötte, feltéve hogy a tárolás az ezen irányelv 1. cikkének (1) bekezdésében meghatározottaktól eltérő célokat követ.
2)      A 2016/679 rendelet 17. cikkének (3) bekezdését e rendelet 6. cikke (1) bekezdésének c) pontjával és 6. cikkének (3) bekezdésével összefüggésben
a következőképpen kell értelmezni:
az olyan nyomozásra vonatkozó személyes adatoknak egy rendőr személyi aktájában való tárolása, amelynek során e rendőrrel mint gyanúsítható személlyel szemben nyomozási cselekményeket hajtottak végre, és amelyet megszüntettek, nem tekinthető jogszerűnek pusztán azon feladatok jellegére tekintettel, amelyeket e tisztviselőnek el kell látnia, az adott hatóságot – mint a tisztviselő munkáltatóját – a nemzeti jog alapján adatkezelőként terhelő jogi kötelezettség teljesítése céljából.
3)      A foglalkoztatás és a munkavégzés során alkalmazott egyenlő bánásmód általános kereteinek létrehozásáról szóló, 2000. november 27‑i 2000/78/EK tanácsi irányelv 1. cikkét
a következőképpen kell értelmezni:
ez az irányelv nem alkalmazandó valamely tisztviselő szakmai előmenetelének kizárólag azon az alapon történő megtagadására, hogy a tisztviselő gyanúsítható személy volt olyan nyomozás során, amelyet megszüntettek.
1      Eredeti nyelv: francia.
i      A jelen ügy neve fiktív. Az nem egyezik az eljárásban részt vevő egyetlen fél valódi nevével sem.
2      A természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló, 2016. április 27‑i európai parlamenti és tanácsi rendelet (általános adatvédelmi rendelet) (HL 2016. L 119., 1. o.; helyesbítések: HL 2016. L 314., 72. o.; HL 2018. L 127., 2. o.; HL 2021. L 74., 35. o.).
3      A személyes adatoknak az illetékes hatóságok által a bűncselekmények megelőzése, nyomozása, felderítése, a vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása céljából végzett kezelése tekintetében a természetes személyek védelméről és az ilyen adatok szabad áramlásáról, valamint a 2008/977/IB tanácsi kerethatározat hatályon kívül helyezéséről szóló, 2016. április 27‑i európai parlamenti és tanácsi irányelv (HL 2016. L 119., 89. o.; helyesbítések: HL 2018. L 127., 7. o.; HL 2021. L 74., 39. o.).
4      A foglalkoztatás és a munkavégzés során alkalmazott egyenlő bánásmód általános kereteinek létrehozásáról szóló, 2000. november 27‑i tanácsi irányelv (HL 2000. L 303., 16. o.; magyar nyelvű különkiadás 5. fejezet, 4. kötet, 79. o.).
5      A DV 2014. június 27‑i 53. száma.
6      A DV 2014. szeptember 19‑i 78. száma, módosította és kiegészítette a DV 2015. április 14‑i 27. száma, módosította és kiegészítette a DV 2021. június 25‑i 53. száma.
7      Lásd ebben az értelemben: 2025. május 8‑i Stadt Wuppertal ítélet (C‑130/24, EU:C:2025:340, 42. pont).
8      Bár a nyomozásra 2016‑ban, vagyis a GDPR és a 2016/680 irányelv hatálybalépése előtt került sor, az alapeljárás felperese olyan adatainak törlését kéri, amelyeket a minisztérium még mindig tárol. E körülmények között nem kétlem, hogy a GDPR és a 2016/680 irányelv időbeli hatályánál fogva alkalmazandó az alapeljárásra.
9      Lásd ebben az értelemben: 2024. október 4‑i Beezirkshauptmannschaft Landeck (Mobiltelefonon tárolt személyes adatokhoz való hozzáférésre tett kísérlet) ítélet (C‑548/21, EU:C:2024:830, 53. pont).
10      Az előzetes döntéshozatalra előterjesztett első, a második, a negyedik, az ötödik, a hetedik és a kilencedik kérdés.
11      Az előzetes döntéshozatalra előterjesztett ötödik, a hatodik és a nyolcadik kérdés.
12      A kérdések átfogalmazásáról lásd: 2025. június 3‑i Kinsa ítélet (C‑460/23, EU:C:2025:392, 34. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
13      A Charta 52. cikke, amelyre e kérdés szintén vonatkozik, az alapvető jogok korlátozását szabályozza, és véleményem szerint nem releváns a GDPR és a 2016/680 irányelv hatályának elhatárolásával összefüggésben.
14      Ezért e fogalmaknak a GDPR keretében történő értelmezése analógia útján ezen irányelvre is alkalmazandó; az „adatkezelés” fogalmáról lásd: 2024. október 4‑i Beezirkshauptmannschaft Landeck (Mobiltelefonon tárolt személyes adatokhoz való hozzáférésre tett kísérlet) ítélet (C‑548/21, EU:C:2024:830, 71. pont).
15      Lásd ebben az értelemben: 2022. december 8‑i Inspektor v Inspektorata kam Visshia sadeben savet (A személyes adatok kezelésének céljai – Nyomozás) ítélet (C‑180/21, EU:C:2022:967, 37. pont).
16      Lásd a ZMVR 29. cikkének (1) bekezdését. Az adatkezelő nemzeti jog általi kijelöléséről lásd: 2024. január 11‑i État belge (Hivatalos lap által kezelt adatok) ítélet (C‑231/22, EU:C:2024:7, 29. és 30. pont).
17      A GDPR 2. cikkének (1) bekezdése.
18      Lásd ebben az értelemben: 2024. március 7‑i Endemol Shine Finland ítélet (C‑740/22, EU:C:2024:216, 37. és 38. pont).
19      A bolgár kormány által benyújtott információk szerint a ZMVR 147. cikkének (1) bekezdése és a személyi aktákról szóló utasítás 3. és 6. cikke értelmében a személyi aktákat növekvő sorrendben számozzák, és meghatározott adattárakban tárolják, és azokban – előre meghatározott szakaszokra osztva – személyes adatokat tárolnak.
20      Lásd ebben az értelemben: 2022. december 8‑i Inspektor v Inspektorata kam Visshia sadeben savet (A személyes adatok kezelésének céljai – Nyomozás) ítélet (C‑180/21, EU:C:2022:967, 74. pont).
21      A GDPR 5. cikke (1) bekezdésének b) pontja, valamint a 2016/680 irányelv 4. cikke (1) bekezdésének b) pontja.
22      Lásd ebben az értelemben: Campos Sánchez‑Bordona főtanácsnok Inspektor v Inspektorata kam Visshia sadeben savet (A személyes adatok kezelésének céljai – Nyomozás) ügyre vonatkozó indítványa (C‑180/21, EU:C:2022:406, 37., 38., 70. és 71. pont).
23      Kivéve, ha olyan tevékenységről van szó, amely nem tartozik az uniós jog hatálya alá, vagyis amelynek célja a nemzetbiztonság megóvása, vagy amely ugyanezen kategóriába tartozónak tekinthető, ami a jelen ügyben úgy tűnik, nem áll fenn; lásd: 2021. június 22‑i Latvijas Republikas Saeima (Büntetőpontok) ítélet (C‑439/19, EU:C:2021:504, 66–68. pont).
24      Lásd ebben az értelemben: Campos Sánchez‑Bordona főtanácsnok Lietuvos Respublikos generalinė prokuratūra ügyre vonatkozó indítványa (C‑162/22, EU:C:2023:266, 83. és 84. pont).
25      Lásd pontosabban a jelen indítvány 72. pontját.
26      Ez a körülmény nem képezi akadályát annak, hogy a Bíróság a kérdések átfogalmazása során figyelembe vegye ezeket a rendelkezéseket; lásd: 2025. március 13‑i Alsen ítélet (C‑137/23, EU:C:2025:179, 46. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
27      Lásd ebben az értelemben: Medina főtanácsnok Agentsia po vpisvaniyata ügyre vonatkozó indítványa (C‑200/23, EU:C:2024:445, 62. és 63. pont).
28      A személyi aktákról szóló utasítás 5. cikkének (2) bekezdése és 6. cikkének (4) bekezdése.
29      Az ilyen információk figyelembevételéről lásd: 2023. július 13‑i Ferrovienord ítélet (C‑363/21 és C‑364/21, EU:C:2023:563, 58. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
30      Lásd ebben az értelemben: Pikamäe főtanácsnok SCHUFA Holding és társai (Scoring) ügyre vonatkozó indítványa (C‑634/21, EU:C:2023:220, 69. pont).
31      Lásd többek között: 2022. február 24‑i Valsts ieņēmumu dienests (Személyes adatok adóügyi célból történő kezelése) ítélet (C‑175/20, EU:C:2022:124, 54–56. pont).
32      Lásd ebben az értelemben: 2022. augusztus 1‑jei Vyriausioj tarnybinės etikos komisija ítélet (C‑184/20, EU:C:2022:601, 69. és 70. pont).
33      Az emberi jogok és alapvető szabadságok védelméről szóló, 1950. november 4-én Rómában aláírt európai egyezmény (kihirdette: az 1993. évi XXXI. törvény, a továbbiakban: EJEE) értelmében vett törvényi minőségről lásd: EJEB, 1983. március 25., Silver és társai kontra Egyesült Királyság, CE:ECHR:1983:0325JUD000594772, 26. és 86–88. §.
34      Lásd különösen: 2021. február 2‑i Consob ítélet (C‑481/19, EU:C:2021:84, 37. pont).
35      Ezen ítélkezési gyakorlat áttekintéséhez lásd: EJEB, nagykamara, 2024. június 11., Nealon és Hallam kontra Egyesült Királyság, CE:ECHR:2024:0611JUD003248319, 102–109. és 122–125. §; valamint kifejezetten a közszolgálatot illetően: EJEB, 2017. február 16., Yildiz kontra Törökország, CE:ECHR:2017:0124DEC006518210, 30–34. §. Ebben az ügyben egy rendőr azt állította, hogy egy negatív értékelési eljárás magában foglalta annak vélelmét, hogy ő bűncselekményt követett el, holott felmentették. Az EJEB azonban arra a következtetésre jutott, hogy az EJEE 6. cikkének (2) bekezdése nem alkalmazható, mivel a kérelmező nem bizonyította, hogy a vele szembeni bánásmód kapcsolatot teremtett a büntetőeljárás és az azt követő közigazgatási eljárás között.
36      A Bizottság írásbeli észrevételeiben a GDPR 6. cikke (1) bekezdésének e) pontjára hivatkozik, amely a közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges adatkezelésre vonatkozik. Noha valóban olyan jogszerűségi okról van szó, amely alkalmazható valamely hatóságra, az e rendelet 6. cikkének (3) bekezdésében foglalt követelmények is vonatkoznak rá. Ekképpen ugyanígy felmerül a közérdekű cél fennállásának kérdése.
37      Emlékeztetek arra, hogy az adattakarékosság elve, amelyet a GDPR 5. cikke (1) bekezdésének c) pontja rögzít, megköveteli, hogy az adatok az adatkezelés céljai szempontjából megfelelőek és relevánsak legyenek, és a szükségesre korlátozódjanak. A GDPR (39) preambulumbekezdése szerint ez az elv megköveteli annak biztosítását, hogy a személyes adatok tárolása a lehető legrövidebb időtartamra korlátozódjon.
38      2019. szeptember 24‑i GC és társai (Különleges adatokra mutató linkek törlése) ítélet (C‑136/17, EU:C:2019:773, 72. pont).
39      A bolgár kormány a tárgyaláson kifejtette, hogy a gyanúsítható személyi minőség a bolgár jogban nem jár valamely sajátos jogállással. Márpedig a Bíróság már kimondta, hogy a „bűncselekmény” fogalmát önállóan és egységesen kell értelmezni (2021. június 22‑i Latvijas Republikas Saeima [Büntetőpontok] ítélet [C‑439/19, EU:C:2021:504, 80–85. pont]), aminek véleményem szerint a GDPR 10. cikke hatályának valamennyi elemére vonatkoznia kell.
40      Vagyis az, hogy fokozott védelmet biztosítson az olyan adatkezeléssel szemben, amely az adatok különösen érzékeny jellege folytán az érintett magánéletébe vagy szakmai életébe való különösen súlyos beavatkozást képezhet; lásd: 2021. június 22‑i Latvijas Republikas Saeima (Büntetőpontok) ítélet (C‑439/19, EU:C:2021:504, 74. és 75. pont).
41      Ezt az álláspontot osztja Bäcker, M., „Art. 10”, BeckOK Datenschutzrecht, 51. kiadás, Wolff, H.A., Brink, S., és von Ungern‑Sternberg, A., C.H. Beck, 2024, 3. pont; lásd még: Georgieva, L., „Article 10”, The EU General Data Protection Regulation (GDPR). A Commentary, Kuner, C., Bygrave, L.A., és Docksey, C., Oxford University Press, 2020, 389. o.
42      Lásd ebben az értelemben: 2021. június 22‑i Latvijas Republikas Saeima (Büntetőpontok) ítélet (C‑439/19, EU:C:2021:504, 101. pont).
43      2006. december 5‑i Cipolla és társai ítélet (C‑94/04 és C‑202/04, EU:C:2006:758, 26. pont).
44      Lásd ebben az értelemben: 2008. július 17‑i Coleman ítélet (C‑303/06, EU:C:2008:415, 38. és 46. pont); 2011. július 7‑i Agafiţei és társai ítélet (C‑310/10, EU:C:2011:467, 34. pont); 2022. október 20‑i Curtea de Apel Alba Iulia és társai ítélet (C‑301/21, EU:C:2022:811, 64. és 69. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
45      2011. július 7‑i Agafiţei és társai ítélet (C‑310/10, EU:C:2011:467, 31–33. pont); 2017. március 9‑i Milkova ítélet (C‑406/15, EU:C:2017:198, 44. pont); 2024. október 17-i Zetschek ítélet (C‑349/23, EU:C:2024:889, 25. pont, valamint az ott hivatkozott ítélkezési gyakorlat).