62021CC0180
ЗАКЛЮЧЕНИЕ НА ГЕНЕРАЛНИЯ АДВОКАТ
M. CAMPOS SÁNCHEZ-BORDONA
представено на 19 май 2022 година (
1
)
Дело C‑180/21
VS
срещу
Инспектор в Инспектората към Висшия съдебен съвет
при участието на:
Териториално отделение — Петрич към Районна прокуратура — Благоевград
(Преюдициално запитване, отправено от Административен съд — Благоевград)
„Преюдициално запитване — Защита на физическите лица във връзка с обработването на лични данни — Регламент (ЕС) 2016/679 — Членове 4 и 6 — Директива (ЕС) 2016/680 — Членове 1, 2—4 и 9 — Законосъобразност на обработването на лични данни в хода на наказателно производство — Обработване на данните, свързани с пострадало лице от престъпление, за целите на последващото му привличане като обвиняем и защитата на прокуратурата по гражданско дело — Понятие за „цели, различни от целта, за която са събрани“
1.
Основен принцип на Регламент (ЕС) 2016/679 (
2
), представляващ общата правна уредба в областта на защитата на личните данни, и на Директива (ЕС) 2016/680 (
3
) (lex specialis, уреждащ същите въпроси в наказателните производства) е ограничаването на събирането на тези данни и обработването им за конкретните цели, предвидени от закона.
2.
По това дело Съдът трябва да разсее съмненията на български съд относно тълкуването на ОРЗД и Директива 2016/680, за да установи дали е налице неправомерно обработване на личните данни, с които разполага прокуратурата на държава членка, когато:
–
от една страна, тези данни са получени от лице, което първоначално e имало качеството пострадал от престъпление, а впоследствие е привлечено като обвиняем в същото наказателно производство;
–
от друга страна, прокуратурата иска да използва в защитата си данните, получени по няколко досъдебни производства, като доказателство по граждански иск, с който субектът на тези данни претендира обезщетение за прекомерната бавност на наказателното производство.
А.
Правна уредба. Правото на Съюза
1. ОРЗД
3.
Съгласно член 2 („Материален обхват“):
„1.   Настоящият регламент се прилага за обработването на лични данни изцяло или частично с автоматични средства, както и за обработването с други средства на лични данни, които са част от регистър с лични данни или които са предназначени да съставляват част от регистър с лични данни.
2.   Настоящият регламент не се прилага за обработването на лични данни:
а)
в хода на дейности, които са извън обхвата на правото на Съюза;
[…]
г)
от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наложените наказания, включително предпазването от и предотвратяването на заплахи за обществената сигурност.
[…]“.
4.
Член 4 („Определения“) предвижда:
„За целите на настоящия регламент:
[…]
2)
„обработване“ означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване;
[…]
7)
„администратор“ означава физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на Съюза или правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза или в правото на държава членка;
[…]“.
5.
Член 5 („Принципи, свързани с обработването на лични данни“) предвижда:
„1.   Личните данни са:
a)
обработвани законосъобразно, добросъвестно и по прозрачен начин по отношение на субекта на данните („законосъобразност, добросъвестност и прозрачност“);
б)
събирани за конкретни, изрично указани и легитимни цели и не се обработват по-нататък по начин, несъвместим с тези цели; по-нататъшното обработване за целите на архивирането в обществен интерес, за научни или исторически изследвания или за статистически цели не се счита, съгласно член 89, параграф 1, за несъвместимо с първоначалните цели („ограничение на целите“);
в)
подходящи, свързани със и ограничени до необходимото във връзка с целите, за които се обработват („свеждане на данните до минимум“);
[…]“.
6.
Член 6 („Законосъобразност на обработването“) гласи:
„1.   Обработването е законосъобразно, само ако и доколкото е приложимо поне едно от следните условия:
a)
субектът на данните е дал съгласие за обработване на личните му данни за една или повече конкретни цели;
[…]
в)
обработването е необходимо за спазването на законово задължение, което се прилага спрямо администратора;
[…]
д)
обработването е необходимо за изпълнението на задача от обществен интерес или при упражняването на официални правомощия, които са предоставени на администратора;
е)
обработването е необходимо за целите на легитимните интереси на администратора или на трета страна, освен когато пред такива интереси преимущество имат интересите или основните права и свободи на субекта на данните, които изискват защита на личните данни, по-специално когато субектът на данните е дете.
Буква е) на първа алинея не се прилага за обработването, което се извършва от публични органи при изпълнението на техните задачи.
[…]
3.   Основанието за обработването, посочено в параграф 1, букви в) и д), е установено от:
а)
правото на Съюза или
б)
правото на държавата членка, което се прилага спрямо администратора.
Целта на обработването се определя в това правно основание или доколкото се отнася до обработването по параграф 1, буква д), то трябва да е необходимо за изпълнението на задача от обществен интерес или при упражняването на официални правомощия, които са предоставени на администратора. Това правно основание може да включва конкретни разпоредби за адаптиране на прилагането на разпоредбите на настоящия регламент […]. Правото на Съюза или правото на държавата членка се съобразява с обществения интерес и е пропорционално на преследваната легитимна цел.
4.   Когато обработването за други цели, различни от тези, за които първоначално са били събрани личните данни, не се извършва въз основа на съгласието на субекта на данните или на правото на Съюза или правото на държава членка, което представлява необходима и пропорционална мярка в едно демократично общество за гарантиране на целите по член 23, параграф 1, администраторът, за да се увери дали обработването за други цели е съвместимо с първоначалната цел, за която са били събрани личните данни, inter alia, взема под внимание:
а)
всяка връзка между целите, за които са били събрани личните данни, и целите на предвиденото по-нататъшно обработване;
б)
контекста, в който са били събрани личните данни, по-специално във връзка с отношенията между субекта на данните и администратора;
в)
естеството на личните данни, по-специално дали се обработват специални категории лични данни съгласно член 9 или се обработват лични данни, отнасящи се до присъди и нарушения, съгласно член 10;
г)
възможните последствия от предвиденото по-нататъшно обработване за субектите на данните;
д)
наличието на подходящи гаранции, които могат да включват криптиране или псевдонимизация“.
2. Директива 2016/680
7.
Съгласно член 1 („Предмет и цели“):
„1.   С настоящата директива се установяват правилата във връзка със защитата на физическите лица по отношение на обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществената сигурност и тяхното предотвратяване.
2.   В съответствие с настоящата директива държавите членки:
а)
защитават основните права и свободи на физическите лица и по-специално правото им на защита на личните данни, […]
[…]“.
8.
Член 2 („Обхват“) гласи:
„1.   Настоящата директива се прилага за обработването на лични данни от компетентните органи за целите, посочени в член 1, параграф 1.
[…]
3.   Настоящата директива не се прилага за обработването на лични данни:
а)
в хода на дейности, които са извън обхвата на правото на Съюза;
[…]“.
9.
В член 3, параграфи 1, 2 и 8 са възпроизведени определенията, дадени в член 4, параграфи 1, 2 и 7 от ОРЗД.
10.
Член 4 („Принципи, свързани с обработването на лични данни“) предвижда:
„[…]
2.   Обработването от същия или друг администратор за която и да е от целите, посочени в член 1, параграф 1, различна от целта, за която личните данни са събрани, се разрешава, при условие че:
a)
администраторът е оправомощен да обработва такива лични данни за такава цел в съответствие с правото на Съюза или правото на държава членка; и
б)
обработването е необходимо и пропорционално на тази различна цел в съответствие с правото на Съюза или правото на държава членка.
[…]“.
11.
Член 6 („Разграничение между различните категории субекти на данни“) предвижда:
„Държавите членки предвиждат, когато е приложимо и доколкото е възможно, администраторът да прави ясно разграничение между личните данни на различни категории субекти на данни, например:
а)
лица, за които има сериозни основания да се счита, че са извършили или ще извършат престъпление;
б)
лица, осъдени за престъпление;
в)
лица, пострадали от престъпление или лица, по отношение на които определени факти дават основание да се счита, че може да са пострадали от престъпление; и
г)
други трети лица по отношение на престъпление, например лица, които биха могли да бъдат призовани да свидетелстват при разследване на престъпления или при последващи наказателни производства, лица, които могат да предоставят информация за престъпления или свързани лица, или съучастници на някое от лицата, посочени в букви а) и б)“.
12.
Член 8 („Законосъобразност на обработването“) гласи:
„1.   Държавите членки предвиждат обработването да бъде законосъобразно само ако и доколкото то е необходимо за изпълнението на задача, осъществявана от компетентен орган за целите, определени в член 1, параграф 1, и е въз основа на правото на Съюза или правото на държава членка.
2.   В правото на държавата членка, регламентиращо обработването, попадащо в обхвата на настоящата директива, се посочват най-малко общите цели на обработването, личните данни, които се обработват, и конкретните цели на обработването“.
13.
Съгласно член 9 („Специфични условия за обработване“):
„1.   Личните данни, събирани от компетентните органи за целите, посочени в член 1, параграф 1, не се обработват за други цели, освен посочените в член 1, параграф 1, освен когато това обработване е разрешено от правото на Съюза или правото на държава членка. Когато личните данни се обработват за такива други цели се прилага [ОРЗД] освен ако обработването се извършва в хода на дейност, която е извън обхвата на правото на Съюза.
2.   Когато съгласно правото на държава членка компетентните органи са натоварени с изпълнението на задачи, различни от тези за изпълнението на целите, посочени в член 1, параграф 1, за обработването за такива цели се прилага [ОРЗД], включително за целите на архивирането в обществен интерес, за научни или исторически изследвания или за статистически цели, освен ако обработването се извършва в хода на дейност, която е извън обхвата на правото на Съюза.
[…]“.
Б.
Националното право
1. Конституция на Република България (
4
)
14.
Член 127 урежда изключителните правомощия на прокуратурата да ръководи разследването, да привлича към отговорност лицата, които са извършили престъпления, и да поддържа обвинението по наказателни дела от общ характер пред съда.
2. Закон за защита на личните данни (
5
)
15.
Член 1 предвижда:
„(1)   Този закон урежда обществените отношения, свързани със защитата на правата на физическите лица при обработване на личните им данни, доколкото същите не са уредени в [ОРЗД].
(2)   С този закон се определят и правила във връзка със защитата на физическите лица при обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществения ред и сигурност и тяхното предотвратяване.
[…]“.
16.
Член 17 предвижда:
„(1)   Инспекторатът към Висшия съдебен съвет […] осъществява надзор и осигурява спазването на [ОРЗД], на този закон и на нормативните актове в областта на защитата на личните данни при обработване на лични данни от:
1. съда при изпълнение на функциите му на орган на съдебната власт, и
2. прокуратурата и следствените органи при изпълнение на функциите им на органи на съдебната власт за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания.
[…]“.
17.
Член 42 гласи:
„(1)   Правилата на тази глава се прилагат при обработването на лични данни от компетентни органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществения ред и сигурност и тяхното предотвратяване.
(2)   Лични данни, събрани за целите по ал. 1, не се обработват за други цели, освен ако правото на Европейския съюз или законодателството на Република България предвижда друго.
(3)   Когато компетентните органи по ал. 1 обработват лични данни за цели, различни от тези по ал. 1, както и в случаите по алинея 2, се прилагат [ОРЗД] и съответните разпоредби от този закон, които въвеждат мерки за неговото прилагане.
(4)   Компетентни органи по ал. 1 са държавните органи, които имат правомощия по предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществената сигурност и тяхното предотвратяване.
(5)   Освен ако закон предвижда друго, администратор по смисъла на тази глава при обработването на лични данни за целите по ал. 1 е компетентен орган по ал. 4 или съответната административна структура, част от която е този орган, които самостоятелно или съвместно с други органи определят целите и средствата за обработване на лични данни“.
18.
Член 45 предвижда:
„[…]
(2)   Обработването на лични данни от администратор, който първоначално ги е събрал, или от друг администратор за която и да е от целите по чл. 42, ал. 1, различна от целта, за която личните данни са събрани, се разрешава, при условие че:
1. администраторът е оправомощен да обработва лични данни за такава цел в съответствие с правото на Европейския съюз или законодателството на Република България, и
2. обработването е необходимо и пропорционално на тази различна цел в съответствие с правото на Европейския съюз или със законодателството на Република България.
[…]“.
19.
Член 47 възпроизвежда член 6 от Директива 2016/680.
20.
Член 49 гласи:
„Обработването на лични данни е законосъобразно, когато е необходимо за упражняване на правомощия от компетентен орган за целите по чл. 42, ал. 1 и е предвидено в правото на Европейския съюз или в нормативен акт, в който са определени целите на обработването и категориите лични данни, които се обработват“.
II. Фактите, производствата и преюдициалните въпроси
21.
Под ръководството на Районна прокуратура — Петрич е образувано досъдебно производство (№ 252/2013 г. по описа на полицията в Петрич) (
6
) за разследване на деяние, съставляващо престъпление (
7
), извършено на 18 април 2013 г.
22.
В хода на това досъдебно производство са събрани първоначално личните данни на VS в качеството му на пострадал.
23.
С постановления на прокуратурата от 4 април 2018 г. и 5 април 2018 г. са привлечени четири лица (включително VS) като обвиняеми в извършването на посоченото деяние.
24.
С определение от 10 ноември 2020 г. Районен съд — Петрич прекратява наказателното производство поради изтекла абсолютна давност.
25.
През 2016 г. и 2017 г. по подадени срещу VS жалби Районна прокуратура — Петрич образува няколко преписки (
8
), по които не са образувани досъдебни производства поради липса на данни за извършено престъпление.
26.
През 2018 г. VS предявява граждански иск (
9
) срещу Прокуратурата на Република България пред Окръжен съд — Благоевград за обезщетение за вреди поради прекомерната продължителност на досъдебно производство № 252/2013 г.
27.
Във връзка със защитата си по този граждански иск прокуратурата е поискала от съда да бъдат изискани от самата Районна прокуратура — Петрич преписки № 517/2016 и № 1872/2016.
28.
С определение от 15 октомври 2018 г. Окръжен съд — Благоевград е задължил Районна прокуратура — Петрич да представи по делото копия на материалите, съдържащи се в преписки № 517/2016 г. и № 1872/2016 г.
29.
На 12 март 2020 г. VS подава жалба до Инспектората към Висшия съдебен съвет за неправомерно обработване на личните му данни от прокуратурата, която тя е използвала неоснователно в два случая:
–
данните на VS, събрани в качеството му на пострадал, за последващото им обработване като обвиняем по досъдебно производство № 252/2013 г.,
–
данните на VS, събрани по преписки № 517/2016 г. и № 1872/2016 г., за последващото им използване от прокуратурата в производството по гражданско дело № 144/2018 г.
30.
На 22 юни 2020 г. ИВСС отхвърля и двете оплаквания на VS.
31.
VS обжалва това решение пред Административен съд — Благоевград, който отправя до Съда следните преюдициални въпроси:
„1.
Следва ли член 1, параграф 1 от [Директива 2016/680] да се тълкува в смисъл, че при посочване на целите изброява „предотвратяването, разследването, разкриването или наказателното преследване на престъпления“ като аспекти на една обща цел?
2.
Приложими ли са разпоредбите на [ОРЗД] спрямо Прокуратурата на Република България, поради това че събраната в качеството ѝ на „администратор“ по член 3, точка 8 от [Директива 2016/680] информация за едно лице, отнасяща се до образувана срещу него прокурорска преписка за проверка на данни за извършено престъпление, е използвана в защитата ѝ пред съд като страна в гражданско производство — чрез съобщаване на факта на образуването ѝ или чрез представяне на материалите от нея?
2.
1.
При утвърдителен отговор на този въпрос,
Следва ли изразът „легитимни интереси“ в член 6, параграф 1, буква е) от [ОРЗД] да се тълкува в смисъл, че обхваща разкриването изцяло или частично на информация за едно лице, събрана в образувана срещу него прокурорска преписка за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления, ако е в защита на администратора като страна в гражданско производство, и изключва ли съгласието на субекта на данните?“.
III. Производството пред Съда
32.
Актът за преюдициално запитване постъпва в Съда на 23 март 2021 г.
33.
Явяват се и представят писмени становища VS, ИВСС, българското, чешкото и нидерландското правителство, както и Европейската комисия.
34.
Съдът не е счел за необходимо провеждането на съдебно заседание, тъй като не е поискано от никоя от страните.
IV. Анализ
А.
Предварителни бележки относно приложимото право на Съюза
35.
ОРЗД и Директива 2016/680 образуват съгласувана система, в която:
–
ОРЗД предвижда общите правила за защита на физическите лица във връзка с обработването на личните им данни,
–
Директива 2016/680 въвежда специалните правила за обработването на тези данни в областта на съдебното сътрудничество по наказателноправни въпроси и полицейското сътрудничество.
36.
Защитата, която предоставя установеният с двете правни уредби режим, се основава на принципите на законосъобразност, добросъвестност, прозрачност и доколкото е от значение за настоящия случай, принципа на строго ограничаване на събирането на данните и обработването им за целите, предвидени от закона (
10
).
37.
По-конкретно член 5, параграф 1, буква б) от ОРЗД предвижда, че данните са „събирани за конкретни, изрично указани и легитимни цели и не се обработват по-нататък по начин, несъвместим с тези цели“ (
11
). Член 4, параграф 1, буква б) от Директива 2016/680 като lex specialis е формулиран по същия начин.
38.
Следователно личните данни не могат да се събират и обработват на общо основание, а само за определени цели (
12
) и при условията за законосъобразност, установени от законодателя на Съюза.
39.
Принципът на тясна връзка между събирането и обработването на данните, от една страна, и целите, за които двете операции следва да служат, от друга страна, не е абсолютен, тъй като както ОРЗД, така и Директива 2016/680 позволяват известна гъвкавост, която ще изложа по-нататък.
40.
В спора по главното производство административният съд трябва да реши дали надзорният орган (ИВСС) (
13
) законосъобразно е отхвърлил жалбата, с която VS обвинява българската прокуратура в неправомерно обработване на личните му данни.
41.
Тези данни са били събрани, както вече посочих, в два различни контекста:
–
по досъдебно производство, образувано от прокуратурата през 2013 г. във връзка с деяние, в което VS се явява предполагаем пострадал. Тези данни са използвани впоследствие срещу VS в качеството му на обвиняем в същото наказателно производство,
–
по други досъдебни производства от 2016 г. и 2017 г., образувани от същата прокуратура по различни жалби, включително срещу VS, за деяния, различни от деянието от 2013 г. (
14
) В този случай прокуратурата е поискала (и компетентният съд е уважил искането ѝ) да използва данните по тези досъдебни производства във връзка със защитата си в гражданското производство, образувано по иск на VS за обезщетение.
42.
Въпросите на запитващата юрисдикция обхващат съответно:
–
законосъобразността на използването на личните данни на VS в два последователни момента от едно и също наказателно производство (първи преюдициален въпрос),
–
законосъобразността на обработването на личните данни на VS, събрани по досъдебни производства, образувани от прокуратурата, които тя иска да използва във връзка с гражданско дело, по което е ответник по предявен от VS иск (втори преюдициален въпрос).
43.
Споделям становището на запитващата юрисдикция и на всички участници в това преюдициално производство, че обработването на личните данни, предмет на първия преюдициален въпрос, се урежда от Директива 2016/680.
44.
Съгласно член 1, параграф 1 и член 2, параграф 1 от Директива 2016/680 тя се прилага при обработване на лични данни от компетентните органи за целите на предотвратяване, разследване, разкриване или наказателно преследване на престъпления. В настоящия случай данните на VS са събрани и обработвани именно при наказателно разследване.
45.
По отношение обаче на предаването на личните данни за гражданското производство, образувано срещу прокуратурата (втори преюдициален въпрос), се прилага ОРЗД, ако това предаване представлява обработване на данни за цели, различни от посочените в член 1, параграф 1 от Директива 2016/680, но обхванати от дейност, попадаща в обхвата на правото на Съюза.
Б.
Първи преюдициален въпрос: преразпределение ad intra на личните данни, събрани за цели, попадащи в приложното поле на Директива 2016/680
46.
Съгласно член 4, параграф 2 от Директива 2016/680 обработването от същия или друг администратор за която и да е от целите, посочени в член 1, параграф 1 (
15
), различна от целта, за която личните данни са събрани, се разрешава, при условие че:
a)
администраторът е оправомощен да извършва такава обработка за новата цел и
б)
въпросното обработване е необходимо и пропорционално на тази различна цел в съответствие с правото на Съюза или на държава членка.
47.
Следователно Директива 2016/680 разрешава събраните въз основа на нея лични данни да бъдат преразпределени ad intra. Събраните данни за една от целите, изброени в член 1, параграф 1 от нея, могат да се използват при определени условия и за изпълнението на друга или други цели, включени в това изброяване.
48.
Проблемът, който се поставя с първия преюдициален въпрос, е дали личните данни на VS, получени в качеството му на предполагаем пострадал от разследвано престъпление, могат да бъдат обработвани впоследствие срещу него в качеството му на заподозрян или обвиняем в хода на същото наказателно производство.
49.
С други думи, трябва да се установи дали личните данни на VS са били обработвани за същата цел, обосноваваща първоначалното им събиране, или по-скоро за две различни цели, но попадащи в приложното поле на Директива 2016/680. В последния случай за обработването следва да се прилагат специалните условия по член 4, параграф 2 от посочената директива.
50.
Запитващата юрисдикция е формулирала първия си въпрос малко двусмислено по отношение на предмета на спора. Тя иска да се установи буквално дали член 1, параграф 1 от Директива 2016/680 следва да се тълкува „в смисъл, че при посочване на целите изброява „предотвратяването, разследването, разкриването или наказателното преследване на престъпления“ като аспекти на една обща цел“.
51.
С оглед на изложението на запитващата юрисдикция може би е уместно първият ѝ въпрос да се преформулира, както са предложили страните и участниците в това преюдициално производство. Вместо да се разглежда абстрактната връзка между общата и конкретната цел, това, което в действителност има значение (и за което всъщност се отнася жалбата на VS), е дали в контекста на наказателно производство, за което се прилага Директива 2016/680, целта, за която са събрани данните на дадено лице в качеството му на предполагаем пострадал от престъпление, остава същата, когато впоследствие тези данни са довели до привличането му като обвиняем по същото производство.
52.
От езиковото тълкуване на член 1, параграф 1 от Директива 2016/680 следва, че в нейните рамки могат да се разграничат три вида цели, съответстващи на различни моменти и дейности:
–
от една страна, целта на „предотвратяване“, включително целта за противодействие на заплахите за обществената сигурност,
–
от друга страна, целта на „разследване“ (в широк смисъл) на престъпни деяния, която включва тяхното разкриване, същинското им разследване и наказателното преследване,
–
на последно място, целта на „изпълнение на наказанията“.
53.
От систематична или контекстуална гледна точка член 4, параграф 2 от Директива 2016/680 е в подкрепа на тезата, че всяка една от тези цели се счита за отделна. Ако това не е така, както отбелязва нидерландското правителство, тази разпоредба би била изпразнена от съдържание, тъй като предвижда именно „която и да е от целите, посочени в член 1, параграф 1, различна от целта, за която личните данни са събрани […]“.
54.
Изхождайки от тази предпоставка, ще се опитам да обясня защо в настоящия случай разглежданите данни са получени и обработвани за една от целите (целта на „разследване“), посочени в член 1, параграф 1 от Директива 2016/680, от което произтича нейната приложимост и съответната законосъобразност на обработването.
55.
При условията на евентуалност, ако с получаването и обработването са преследвани две цели от посочените в член 4, параграф 2 от Директива 2016/680, тяхната законосъобразност също би била безспорна.
1. Една и съща цел
56.
В досъдебното производство невинаги може да се определи от самото начало процесуалното положение на участниците. В много случаи целта на това производство е да се идентифицират и следователно да се „категоризират“ субектите, които се явяват prima facie извършители, пострадали или свидетели на престъплението.
57.
В тази подготвителна фаза е логично категоризирането да се променя в известна степен. Разследването трябва да доведе, въз основа на получените резултати от него, до точното идентифициране на качеството, в което тези лица ще участват в наказателното производство.
58.
Това е така особено в случаи като настоящия. Според запитващата юрисдикция е имало масово сбиване между множество лица. Едното от тях, явяващо се първоначално пострадал, се е оказало обвиняем като извършител на посоченото сбиване.
59.
В този контекст цялата извършена дейност попада в обхвата на понятието „разследване“ по член 1, параграф 1 от Директива 2016/680. Следователно целта на тази дейност е била една и съответства на една от „целите“, на които може да служи обработването на личните данни.
60.
Запитващата юрисдикция обаче изпитва съмнения, че това тълкуване на член 1, параграф 1 от Директива 2016/680 е съвместимо със съображение 31 от нея (
16
).
61.
Споделям становището на повечето страни, че това съображение, както и член 6 от Директива 2016/680, в който то е възпроизведено, не са релевантни, за да се установи дали са променени целите, посочени в член 4, параграф 2 от тази директива.
62.
Съгласно член 6 от Директива 2016/680 ясно разграничение между личните данни на различни категории субекти на данни се прави само „когато е приложимо и доколкото е възможно“. По изложените по-горе причини не е лесно в първоначално досъдебно производство за деяния като извършените в случая да се идентифицират ясно и от самото начало „различните категории субекти на данни“. Освен това един и същ участник в тези деяния може да e едновременно пострадал и извършител на сбиването.
63.
Дори ако администраторът на данните, получени в хода на досъдебното производство, направи ясно разграничение в началото и в хода на разследването между пострадали, обвиняеми и свидетели, няма да се промени основната цел (разследването) за събирането и обработването на данните.
64.
С други думи, последователното определяне на едно или друго качество (пострадал, свидетел, участник) на включените в наказателно разследване лица не предполага непременно промяна на целите по смисъла на член 4, параграф 2 от Директива 2016/680.
2. Две отделни цели
65.
При условията на евентуалност, в хипотезата, при която е налице обстоятелството по член 4, параграф 2 от Директива 2016/680, обработването на разглежданите лични данни би отговаряло на предвидените в тази директива условия за законосъобразност. Това е посочено от българското и чешкото правителство, чието виждане споделям.
66.
Въпреки че запитващата юрисдикция трябва да провери този факт, изглежда безспорно, че съгласно националното право българската прокуратура е администратор на личните данни на VS за „която и да е от целите, посочени в член 1, параграф 1, различна от целта, за която личните данни са събрани“. Следователно първото изискване на член 4, параграф 2, буква а) от Директива 2016/680 е изпълнено.
67.
Що се отнася до второто изискване на същия член 4, параграф 2, буква б) („обработването [да] е необходимо и пропорционално на тази различна цел“), считам, че:
–
необходимостта му се обосновава с характерната за първоначалните наказателни разследвания несигурност и неопределеност,
–
оценката на неговата пропорционалност трябва се извърши от запитващата юрисдикция, като прецени дали обработването е ограничено до строго необходимото за изпълнението на новата цел.
68.
Приложени към настоящия случай, изискванията на член 4, параграф 2 от Директива 2016/680 са без особено значение и се потвърждава изводът, че целта за събирането на разглежданите лични данни е само една: има логична приемственост между първоначалното им обработване и обработването, довело до привличането на участника като обвиняем.
69.
Поради това не е необходимо да се потвърждава компетентността на друг администратор (който при всички случаи би бил същият), нито е трудно да се докаже необходимостта на второто обработване (извършено в хода на едно и също производство), когато критерият за пропорционалност е общ за всяко обработване, както следва от принципите, посочени в член 4, параграф 1 от Директива 2016/680.
В.
Втори преюдициален въпрос: преразпределение ad extra на събраните лични данни.
70.
Член 9, параграф 1 от Директива 2016/680 предвижда възможност за преразпределение ad extra на събраните въз основа на нея лични данни.
71.
След правилото, че тези данни „не се обработват за други цели, освен посочените в член 1, параграф 1 от [Директивата]“, член 9, параграф 1 от Директива 2016/680 предвижда изключение от него, когато правото на Съюза или правото на държава членка разрешава обработването им за изпълнението на цели, различни от посочените в член 1, параграф 1. В такъв случай се прилага ОРЗД (при условие че дейността попада в обхвата на правото на Съюза).
72.
С втория си преюдициален въпрос запитващата юрисдикция иска да се установи:
–
дали ОРЗД се прилага в случай, при който събраната информация в хода на досъдебно производство, образувано от прокуратурата, се използва впоследствие като средство за защита на самата прокуратура по гражданско дело, образувано срещу нея по иск на субекта на данните,
–
дали, при утвърдителен отговор на този въпрос, изразът „легитимни интереси“ по член 6, параграф 1, буква е) от ОРЗД обхваща приобщаването на разглежданите данни за защитата на прокуратурата по посоченото гражданско дело.
1. Допустимост на въпроса
73.
ИВСС твърди, че поради отхвърлянето на жалбата на VS като просрочена вторият преюдициален въпрос е недопустим.
74.
Не съм съгласен с това възражение.
75.
Съдът може да откаже да се произнесе по отправеното от национална юрисдикция запитване само ако е съвсем очевидно, че исканото тълкуване на правото на Съюза няма никаква връзка с действителността или с предмета на спора в главното производство, когато проблемът е от хипотетично естество или когато Съдът не разполага с необходимите данни от фактическа и правна страна, за да бъде полезен с отговора на поставените му въпроси (
17
).
76.
Възражението на ИВСС се отнася до обстоятелство, което попада в обхвата на изключителната компетентност на запитващата юрисдикция. Само тя определя съгласно своите правомощия правната и фактическа рамка, в която попада отправеният до Съда въпрос (
18
).
77.
Както преценката на изтъкнатото от ИВСС просрочие, така и оценката на неговата релевантност за целите на главното производство са елементи за преценка, чийто анализ се извършва единствено от запитващата юрисдикция. В настоящия случай тази юрисдикция подчертава, че въпросът е от значение за разрешаването на спора по главното производство, независимо от изтъкнатото от ИВСС просрочие (
19
).
78.
Тази преценка не подлежи на контрол от Съда, който по принцип трябва да се придържа към тълкуването и прилагането на националното процесуално и материално право, прието от съдилищата при определянето на рамката, в която попада преюдициалното запитване.
2. По съществото на спора
79.
С оглед на изложените от запитващата юрисдикция мотиви за отправянето на втория преюдициален въпрос тя иска в действителност Съдът да установи дали предаването на разглежданите данни съставлява „обработване на данни“ по смисъла на член 4, точки 1 и 2 от ОРЗД (
20
) и дали това обработване е законосъобразно съгласно член 6 от него.
а) Наличие на обработване на данни
80.
Член 4, точки 1 и 2 от ОРЗД, както и член 3, точки 1 и 2 от Директива 2016/680 определят по един и същ начин понятията „лични данни“ и „обработване“.
81.
Въз основа на тези определения стигам до извода, че прокуратурата е поискала да използва в защитата си пред гражданския съд „информация, свързана с идентифицирано физическо лице“, която включва „лични данни“ на VS.
82.
При приобщаването на тези лични данни към гражданското дело са извършени няколко „операции“, съставляващи „обработване на данни“, без съгласието на субекта на данните. Най-малкото е било необходимо самата прокуратура да ги консултира, за да прецени дали би могла да ги ползва, за да защити позицията си по гражданското дело. Освен това може да се предположи, че със същата цел данните са били организирани, структурирани, адаптирани или променени и разбира се, разкрити и разпространени, макар и минимално, когато е поискано приобщаването им към гражданското дело (
21
).
83.
В крайна сметка, с тяхното записване, архивиране, съхраняване, консултиране и с искането съдът да допусне като доказателство информацията, съдържаща се в наказателните преписки, прокуратурата е извършила обработване на данните на VS.
84.
ИВСС и Комисията изтъкват, че прокуратурата може да е „администратор“ като компетентен орган за целите от наказателноправно естество, попадащи в приложното поле на Директива 2016/680.
85.
Това според мен не означава, че вторият преюдициален въпрос е безпредметен, както твърди ИВСС. По-скоро означава, че законосъобразността на обработването въз основа на член 9, параграф 1 от Директива 2016/680 трябва да се провери с оглед на ОРЗД.
86.
Съдът, компетентен да се произнесе по гражданскоправния спор, е администратор на данните в това производство, когато те са приобщени към него. Неговите решения са изключени от контрола на надзорния орган въз основа на член 55, параграф 3 от ОРЗД, тъй като те се взимат при изпълнение на съдебни функции (
22
).
87.
Запитващата юрисдикция обаче свежда въпроса си до приложимостта на ОРЗД, когато прокуратурата е поискала да използва информацията, която е събрала като „администратор“ по смисъла на Директива 2016/680, за защитата си по гражданското дело.
88.
С оглед на гореизложеното считам, че ОРЗД е приложим, тъй като защитата на прокуратурата по гражданско дело не попада сред целите, посочени в член 1, параграф 1 от Директива 2016/680.
б) Законосъобразност на обработването с оглед на ОРЗД
89.
Условията за законосъобразност на обработването на лични данни са изброени в член 6, параграф 1 от ОРЗД: „обработването е законосъобразно, само ако и доколкото е приложимо поне едно от следните условия“, описани по-нататък в него. Изброяването им е изчерпателно (
23
).
90.
Според мен от тези условия не е изпълнено основаното на съгласието на субекта на данните (буква a), както и на изпълнението на договор (буква б), на спазването на законово задължение (буква в) (
24
), защитата на жизненоважните интереси на субекта на данните или на трето лице (буква г).
91.
Според запитващата юрисдикция е изпълнено условието по член 6, параграф 1, буква е) от ОРЗД. Последната алинея на този параграф обаче го изключва в настоящия случай, както подчертава Комисията, тъй като посоченото условие „не се прилага за обработването, което се извършва от публични органи при изпълнението на техните задачи“ (
25
).
92.
В отговор на въпрос на Съда българското правителство, подкрепяно в това отношение от чешкото и нидерландското правителство, подчертава приложимостта на условието, предвидено в член 6, параграф 1, буква е) от ОРЗД. То изтъква необходимостта да се вземе предвид „естеството на дейността на прокуратурата“, която, макар да е публичен орган, може да участва в граждански производства като „равнопоставена страна“ (
26
).
93.
„Легитимните интереси“, които прокуратурата би защитавала като публична власт в производство по предявен срещу нея иск за отговорност за процесуалните ѝ действия, обаче са изключени от хипотезата на член 6, параграф 1, буква е) от ОРЗД, тъй като това е предвидено изрично в последната алинея на посочения параграф.
94.
За органите, действащи в изпълнение на възложените им от закона задачи (в случая поддържане на обвинението и представляване на държавата по предявени срещу нея искове за отговорност), релевантният интерес за целите на член 6, параграф 1 от ОРЗД е общественият интерес, на който те служат, съгласно буква д) на посочената разпоредба.
95.
Условието, предвидено в буква е), отчита целите на легитимните интереси на администратора или на трета страна, освен когато пред такива интереси преимущество имат интересите или основните права и свободи на субекта на данните, които изискват защита на личните данни.
96.
Следователно тази разпоредба се отнася не толкова до възможностите за защита на публичната власт — които могат да се изведат от буква д) — а до евентуалното преимущество на интересите, правата и свободите на субекта на данните спрямо администратора или трета страна. Тя по-скоро се прилага по отношение на споровете между страни (частноправни субекти), чиито интереси не са от публично естество.
97.
Тъй като по дефиниция прокуратурата действа в качеството си на държавна институция, следва да се провери дали разглежданото обработване попада в обхвата на член 6, параграф 1, буква д) от ОРЗД.
98.
Това би било така, ако посоченото обработване е „необходимо […] за изпълнението на задача от обществен интерес или при упражняването на официални правомощия, които са предоставени“ на администратора.
99.
Ще се спра на първата от посочените две цели, без да е необходимо да разглеждам втората (
27
), за да се установи дали участието на прокуратурата в гражданското производство по предявения срещу нея иск за обезщетение за нейното поведение съответства на изпълнение на задача от обществен интерес.
100.
Съгласно националното право (
28
) прокуратурата представлява държавата в производствата по предявени срещу нея искове за извъндоговорна отговорност за вреди, които е причинила със своята бавност. В това отношение прокуратурата участва в защита на общите (финансови) интереси на държавата и следователно в изпълнение на задача от обществен интерес (
29
).
101.
Член 9, параграф 1 от Директива 2016/680 поставя разпределението ad extra на данните, събрани по преписки, в зависимост от условието обработването им да е разрешено от правото на Съюза или правото на държава членка. За целите на настоящото производство запитващата юрисдикция следва да провери наличието на посоченото разрешение при изпълнение на задача от обществен интерес, която е възложена на прокуратурата в защита на имуществото на държавата.
102.
Съгласно член 6, параграф 3 от ОРЗД правното основание за обработването, посочено в параграф 1, буква д), „може да включва конкретни разпоредби за адаптиране на прилагането на разпоредбите“ на самия ОРЗД (
30
). Ако това правно основание е предвидено в правото на държавата членка, което е приложимо по отношение на администратора, запитващата юрисдикция следва да го установи (
31
).
103.
В крайна сметка, дори ако запитващата юрисдикция не установи съответното правно основание, съвместимостта на разглежданото обработване с целта, за която са събрани разглежданите данни, следва да се определи в съответствие с член 6, параграф 4 от ОРЗД. За тази цел трябва да се вземе предвид inter alia всяка връзка между първоначалните цели и последващата цел, контекстът, в който са били събрани личните данни, и тяхното естество, възможните последствия от последващото обработване за субекта на данните и наличието на подходящи гаранции.
V. Заключение
104.
С оглед на гореизложеното предлагам на Съда да отговори на Административен съд — Благоевград по следния начин:
„1)
Член 4, параграф 2 от Директива (ЕС) 2016/680 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания и относно свободното движение на такива данни, и за отмяна на Рамково решение 2008/977/ПВР на Съвета следва да се тълкува в смисъл, че данните, събрани от едно лице в качеството му на предполагаем пострадал от престъпление в хода на наказателно производство, се обработват за същата цел, за която са били събрани, когато това лице впоследствие е било привлечено към отговорност по същото наказателно производство.
2)
Член 9, параграф 1 от Директива 2016/680 следва да се тълкува в смисъл, че Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО е приложим към използването от прокуратурата на информацията, получена в досъдебното производство, за защитата ѝ по гражданско дело.
3)
Съобщаването на личните данни, събрани в хода на досъдебно производство, предхождано от тяхното записване, съхранение и консултиране, за защитата на прокуратурата по гражданско дело, образувано по предявен срещу нея иск за заплащане на обезщетение за вреди вследствие на действията ѝ при изпълнение на своите функции, представлява „обработване на лични данни“ по смисъла на член 4, точка 1 от Регламент 2016/679.
4)
Законосъобразността на посоченото обработване може да бъде обхваната от член 6, параграф 1, буква д) от Регламент 2016/679“.
(
1
)	Език на оригиналния текст: испански.
(
2
)	Регламент на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните) (ОВ L 119, 2016 г., стр. 1). Наричан по-нататък „ОРЗД“.
(
3
)	Директива на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания и относно свободното движение на такива данни, и за отмяна на Рамково решение 2008/977/ПВР на Съвета (ОВ L 119, 2016 г., стр. 89).
(
4
)	ДВ, бр. 56 от 13 юли 1991 г.
(
5
)	Закон за защита на личните данни, ДВ, бр. 1 от 4 януари 2002 г. Неговите разпоредби са възпроизведени съгласно редакцията, приложима към момента на настъпване на фактите по делото.
(
6
)	Преписка № 1548/2013 г. на Районна прокуратура — Петрич.
(
7
)	Според акта за преюдициално запитване (т. 8.1) престъплението е по член 325, алинея 1 във връзка с член 20, алинея 2 от Наказателния кодекс.
(
8
)	Преписки № 517/2016 г., № 1870/2016 г., № 1872/2016 г. и № 2217/2016 г.
(
9
)	Производство по гражданско дело № 144/2018 г.
(
10
)	Съображение 39 от ОРЗД и съображение 26 от Директива 2016/680.
(
11
)	Курсивът е мой.
(
12
)	Те са изброени в член 1, параграф 1 от Директива 2016/680 (вж. бележка под линия 15 по-долу). Извън самото приложно поле на Директива 2016/680 разрешените от ОРЗД цели са всички, които са потенциално законосъобразни. Следователно има определена свобода, чието ограничаване се проверява на плоскостта на законосъобразността на условията на обработването на данните и на правата на субекта на данни (глави II и III от ОРЗД).
(
13
)	Съгласно член 45, параграф 2 от Директива 2016/680 всяка държава членка „предвижда всеки надзорен орган да не бъде компетентен да осъществява надзор на дейностите по обработване на данни, извършвани от съдилищата при изпълнение на съдебните им функции“.
(
14
)	Въпреки че информацията, предоставена от запитващата юрисдикция, не съдържа изрично уточнение в това отношение, по всичко личи, че деянията в действителност са отделни.
(
15
)	Член 1, параграф 1 от Директива 2016/680 определя като такива „предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществената сигурност и тяхното предотвратяване“. Текстът на тази разпоредба на испански език се различава от текста на другите официални езици по отношение на термина „преследване“ („enjuiciamiento“). Така в текста на френски език е използвано съществителното „poursuites“, еквивалент на „prosecution“ в текста на английски език, на „perseguimento“ в текста на италиански език, на „Verfolgung“ в текста на немски език или на „vervolging“ в текста на нидерландски език. Текстовете на тези и други езици (с изключение на испанския) се отнасят до дейност, предхождаща същинското „преследване“, запазено единствено за съдилищата.
(
16
)	„При обработването на лични данни в областите на съдебното сътрудничество по наказателноправни въпроси и полицейското сътрудничество е нормално да се обработват лични данни, които се отнасят за различни категории субекти на данни. Поради това следва да се прави ясно разграничение, където това е приложимо и доколкото е възможно, между личните данни на различните категории субекти на данни […]“. Курсивът е мой.
(
17
)	Решение от 27 септември 2017 г., Puškár (C‑73/16, EU:C:2017:725, т. 50).
(
18
)	Решение от 17 юли 2014 г., YS и др. (C‑141/12 и C‑372/12, EU:C:2014:2081, т. 63).
(
19
)	Точка 34.12, трети параграф от акта за преюдициално запитване.
(
20
)	Това се потвърждава от точка 34.12, първи параграф от акта за преюдициално запитване.
(
21
)	Искането за допускане като доказателство на данните, съдържащи се в прокурорските преписки, води до предаване на информация, свързана с VS, тъй като искането е трябвало да бъде обосновано с релевантността на тези данни, която може да се прецени, макар и само индикативно, с оглед на тяхното съдържание.
(
22
)	Относно тълкуването на тази разпоредба вж. решение от 24 март 2022 г., Autoriteit Persoonsgegevens (C‑245/20, EU:C:2022:216, т. 23 и сл.).
(
23
)	Във връзка с аналогичния текст на Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 година за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (ОВ L 281, 1995 г., стр. 31; Специално издание на български език, 2007 г., глава 13, том 17, стр. 10) вж. решение от 24 ноември 2011 г., ASNEF (C‑468/10 и C‑469/10, EU:C:2011:777).
(
24
)	Прокуратурата няма законово задължение да иска приобщаването на разглежданите данни към гражданското дело.
(
25
)	Съгласно съображение 47 от ОРЗД, „[к]ато се има предвид, че е задължение на законодателя да уреди със закон правното основание за обработването на лични данни от публичните органи, това правно основание не следва да се прилага спрямо обработването на данни от публичните органи при изпълнението на техните задачи“.
(
26
)	Точки 45 и 49 от писмения отговор на българското правителство на въпрос на Съда.
(
27
)	Както посочва нидерландското правителство, сама по себе си и самостоятелно защитата на интересите на държавата по гражданско дело не представлява упражняване на официални правомощия, които са предвидени във втората част на член 6, параграф 1, буква д) от ОРЗД.
(
28
)	Закон за отговорността на държавата и общините за вреди; ДВ, бр. 60 от 5 август 1988 г. В отговор на въпрос на Съда българското правителство пояснява, че правното основание на гражданския иск срещу прокуратурата е член 2б от посочения закон, уреждащ условията и начина на възникване на извъндоговорната отговорност на държавата при нарушение на правото на разглеждане и решаване на делото в разумен срок.
(
29
)	Съгласно българското законодателство исковете за отговорност се предявяват срещу органите, за които се твърди, че са причинили вредите. Тези органи имат качеството на ответник по съответното гражданско дело. Извън тази процесуалноправна уредба, няма съмнение, че искът за заплащане на обезщетение се предявява, в крайна сметка, срещу цялата държава, която се защитава при всички случаи от нейния орган, от който произтича непосредствено (предполагаемата) твърдяна вреда.
(
30
)	Тези разпоредби могат да се отнасят до „общите условия, които определят законосъобразността на обработването от администратора, видовете данни, които подлежат на обработване, съответните субекти на данни; образуванията, пред които могат да бъдат разкривани лични данни, и целите, за които се разкриват; ограниченията по отношение на целите на разкриването; периодът на съхранение и операциите и процедурите за обработване, включително мерки за гарантиране на законосъобразното и добросъвестно обработване, като тези за други конкретни случаи на обработване съгласно предвиденото в глава IX“.
(
31
)	В отговор на въпрос на Съда българското правителство посочва, че правното основание трябва да се търси в контекста на двойната роля на прокуратурата: от една страна, защитник на държавата по гражданското дело и от друга страна, орган, издаващ официален документ, който е от значение за делото. Така би имало двойно правно основание: основанието по член 6, параграф 1, буква в) от ОРЗД като „орган, издаващ официален документ“, по смисъла на член 179 от Гражданския процесуален кодекс във връзка с член 186 от него и основанието по член 6, параграф 1, буква д) от ОРЗД като страна по дело в изпълнение на законовите си задължения (т. 31 и 32 от писмения отговор на българското правителство).