Foreløbig udgave
FORSLAG TIL AFGØRELSE FRA GENERALADVOKAT
D. SPIELMANN
fremsat den 5. marts 2026 (1)
Sag C-5/25 [Pilev] (i)
Straffesag
mod
WE,
procesdeltager:
Sofijska gradska prokuratura
(anmodning om præjudiciel afgørelse indgivet af Sofijski gradski sad (byretten i Sofia, Bulgarien))
» Præjudiciel forelæggelse – retligt samarbejde i straffesager – beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i straffesager – behandlingsaktiviteter, der foretages af retterne ved udøvelse af deres judicielle opgaver – anvendelsen af direktiv (EU) 2016/680 – kontrol af den tiltaltes identitet i et retsmøde – oplysninger om fødested, nationalitet, bopæl, civilstand, tidligere straffe og »kulturel identitet« «
Indledning
1.        Den foreliggende sag vedrører rækkevidden af den indsamling af personoplysninger om en tiltalt, som en national straffedomstol foretager alene med det formål at efterprøve, at denne person faktisk er den person, der er omhandlet i anklageskriftet. Den vedrører imidlertid ikke spørgsmålet om dommeres uafhængighed i deres embede som dommere, der træffer afgørelse om realiteten, eller deres skønsmargen til at udspørge den tiltalte i denne forbindelse.
2.        Denne sag giver således Domstolen lejlighed til at præcisere anvendelsesområdet for direktiv (EU) 2016/680 (2) i forhold til forordning (EU) 2016/679 (3) og at bekræfte sin retspraksis vedrørende proportionaliteten i forhold til det formål, der forfølges med en straffedomstols behandling af personoplysninger i form af indsamling.
Retsforskrifter
Direktiv 2016/680
3.        Dette direktivs artikel 1 med overskriften »Genstand og formål« fastsætter i stk. 1 følgende:
»I dette direktiv fastsættes regler om beskyttelse af fysiske personer i forbindelse med de kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod eller forebygge trusler mod den offentlige sikkerhed.«
4.        Det nævnte direktivs artikel 2 med overskriften »Anvendelsesområde« fastsætter følgende i stk. 1:
»Dette direktiv finder anvendelse på kompetente myndigheders behandling af personoplysninger med henblik på artikel 1, stk. 1.«
5.        Artikel 3 i direktiv 2016/680 med overskriften »Definitioner« har følgende ordlyd:
»I dette direktiv forstås ved:
[…]
7)      »kompetent myndighed«
a)      enhver offentlig myndighed, der er kompetent med hensyn til at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod og forebygge trusler mod den offentlige sikkerhed, eller
b)      ethvert andet organ eller enhver anden enhed, som i henhold til medlemsstaternes nationale ret udøver offentlig myndighed og offentlige beføjelser med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod og forebygge trusler mod den offentlige sikkerhed
[…]«
6.        Dette direktivs artikel 4 med overskriften »Principper for behandling af personoplysninger« fastsætter følgende:
»1.      Medlemsstaterne fastsætter bestemmelser om, at personoplysninger skal:
[…]
c)      være tilstrækkelige, relevante og ikke omfatte mere end, hvad der kræves til opfyldelse af de formål, hvortil de behandles
[…]«
7.        Det nævnte direktivs artikel 8 med overskriften »Lovlig behandling« fastsætter i stk. 1 følgende:
»Medlemsstaterne fastsætter bestemmelser om, at behandling kun er lovlig, hvis og i det omfang denne behandling er nødvendig, for at en kompetent myndighed kan udføre en opgave med henblik på artikel 1, stk. 1, og at den sker på grundlag af EU-retten eller medlemsstaternes nationale ret.«
8.        Artikel 10 i direktiv 2016/680 med overskriften »Behandling af særlige kategorier af personoplysninger« har følgende ordlyd:
»Behandling af personoplysninger om race eller etnisk oprindelse, politisk, religiøs eller filosofisk overbevisning eller fagforeningsmæssigt tilhørsforhold samt behandling af genetiske data, biometriske data med det formål entydigt at identificere en fysisk person, helbredsoplysninger eller oplysninger om en fysisk persons seksuelle forhold eller seksuelle orientering må kun tillades, når det er strengt nødvendigt, forudsat at behandlingen er omfattet af de fornødne garantier for den registreredes rettigheder og frihedsrettigheder, og kun:
a)      hvis hjemlet i EU-retten eller medlemsstaternes nationale ret
b)      for at beskytte den registreredes eller en anden fysisk persons vitale interesser, eller
c)      hvis denne behandling vedrører oplysninger, som tydeligvis er offentliggjort af den registrerede.«
Bulgarsk ret
Strafferetsplejeloven (NPK)
9.        Artikel 138, stk. [2] og 3, i nakazatelno-protsesualen kodeks (strafferetsplejeloven) (4) af 29. april 2006 (herefter »NPK«) har følgende ordlyd:
»[…]
2)      Forud for afhøringen kontrollerer det kompetente organ den tiltaltes identitet.
3)      Afhøringen af den tiltalte indledes med spørgsmålet, om han forstår tiltalen; derefter opfordres han til, såfremt han ønsker det, med sine egne ord at beskrive alt, hvad han ved om straffesagen.«
10.      NPK’s artikel 272, stk. 1, fastsætter følgende:
»Formanden kontrollerer den tiltaltes identitet, idet han beder den pågældende oplyse sit fuldstændige navn, fødselsdato og fødested, sin kulturelle identitet, sin nationalitet, sin bopæl, sin uddannelse, sin civilstand og sit personlige identifikationsnummer samt tidligere straffe.«
11.      NPK’s artikel 311, stk. 1, nr. 2, fastsætter følgende:
»Retsprotokollen [...] indeholder [...] oplysningerne om den tiltaltes person.«
Lov om registrering af borgerne (ZGR)
12.      Artikel 8, stk. 1, i zakon za grazhdanskata registratsia (lov om registrering af borgerne) (5) af 27. juli 1999 (herefter »ZGR«) fastsætter, at de primære oplysninger om den personretlige stilling er navn, fødselsdato (dag, måned, år) og fødested, køn, nationalitet og personligt identifikationsnummer.
Lov om bulgarske identitetspapirer (ZBLD)
13.      Artikel 3, stk. 1, i zakon za balgarskite lichni dokumenti (lov om bulgarske identitetspapirer) (6) af 1. april 1999 (herefter »ZBLD«) fastsætter følgende:
»Identitetsdokumenter attesterer identiteten og ved behov nationaliteten gennem de deri indeholdte oplysninger.«
14.      ZBLD’s artikel 6 fastsætter følgende:
»Statsborgere er forpligtet til at identificere sig på forlangende af kompetente, ved lov fastlagte embedspersoner.«
15.      ZBLD’s artikel 16, stk. 1, har følgende ordlyd:
»De bulgarske identitetsdokumenter indeholder følgende obligatoriske personoplysninger:
1.      navn
2.      fødselsdato
3.      personligt identifikationsnummer (identifikationsnummer eller udenlandsk identifikationsnummer)
4.      køn
5.      nationalitet.«
Lov om domstolenes organisation (ZSV)
16.      Artikel 8, stk. 2, i zakon za sadebnata vlast (lov om domstolenes organisation) (7) af […] (herefter »ZSV«) fastsætter følgende:
»I forbindelse med udøvelsen af judicielle opgaver [...] må der ikke ske begrænsning af rettigheder eller indrømmes fordele på grundlag af [...] kulturel identitet […].«
Tvisten i hovedsagen, det præjudicielle spørgsmål og sagen for Domstolen
17.      Sofijska gradska prokuratura (anklagemyndigheden i Sofia) har indgivet et anklageskrift til Sofijski gradski sad (byretten i Sofia, Bulgarien), den forelæggende ret) hvori en fysisk person for det første tiltales for den 6. september 2023 i Sofia at have bestukket politibetjente for at omgå konstatering af en lovovertrædelse, nemlig kørsel af et motorkøretøj uden kørekort, idet den pågældende for det andet samtidig på stedet udøvede erhverv som taxachauffør uden at have den krævede tilladelse. Disse handlinger udgør strafbare handlinger.
18.      I det første retsmøde, som fandt sted den 5. juli 2024, mødte en repræsentant for anklagemyndigheden i Sofia, den tiltalte og hans forsvarer. Retten indledte sagen, og retsformanden skulle i henhold til NPK’s artikel 272, stk. 1, fastslå den tiltaltes identitet og udspørge ham om de i denne bestemmelse nævnte omstændigheder.
19.      Ved hjælp af det af den tiltalte fremlagte identitetskort forvissede retsformanden sig om, at den fremmødte person var den person, der var tiltalt ifølge anklageskriftet. Han undlod imidlertid at stille den tiltalte de i NPK’s artikel 272, stk. 1, fastsatte spørgsmål vedrørende hans identitet, og sagen blev udsat.
20.      Den forelæggende ret anmodede Konstitutsionen sad (forfatningsdomstol, Bulgarien) om at fastslå, at NPK’s artikel 272, stk. 1, er i strid med visse bestemmelser i Konstitutsia na Republika Bulgaria (Republikken Bulgariens forfatning) (8). Da den nævnte ret afviste at realitetsbehandle spørgsmålet, har den forelæggende ret besluttet at indgive den foreliggende anmodning om præjudiciel afgørelse.
21.      Den forelæggende ret henviser til, at den ganske vist, således som den gjorde i det første retsmøde, kan identificere den tiltalte tilstrækkeligt sikkert ved at kontrollere den pågældendes identitetskort, som indeholder alle nødvendige individualiserende oplysninger, men at den i NPK’s artikel 272, stk. 1, fastsatte udspørgning om identifikationsoplysningerne er hensigtsmæssig for at øge sikkerheden for, at den fremmødte gennem sine svar bekræfter, at han er den tiltalte, og der ikke forelægges f.eks. fremmede eller forfalskede identitetsdokumenter. Den har imidlertid anført, at det er tilstrækkeligt til at identificere personen at spørge om fuldstændigt navn, fødselsdato og det personlige identifikationsnummer.
22.      Den forelæggende ret er derfor i tvivl om, hvorvidt den, når den spørger den fremmødte i retsmødet om de øvrige oplysninger, som er nævnt i NPK’s artikel 272, stk. 1 – dvs. fødested, kulturel identitet, bopæl, uddannelse, civilstand og tidligere straffe – og registrerer svarene i retsprotokollen, overtræder kravet i direktiv 2016/680 om, at behandling af personoplysninger skal være nødvendig. Eftersom disse oplysninger ikke er nødvendige for en sikker og fuldstændig identifikation af den tiltalte, omfatter en udspørgning herom ifølge den forelæggende ret mere end, hvad der kræves til opfyldelse af de formål, der forfølges med NPK’s artikel 272, stk. 1, nemlig fastlæggelse af den tiltaltes identitet.
23.      Den forelæggende ret har påpeget, at en del af de i NPK’s artikel 272, stk. 1, nævnte personoplysninger også kan anvendes til andre formål. Bopælen kan således være væsentlig for at fastslå den adresse, hvor den tiltalte kan indkaldes, og tidligere straffe kan være relevante for den individuelle strafudmåling.
24.      Den forelæggende ret har dog nærmere bestemt understreget, at disse oplysninger, som indsamles fra før indledningen af den retslige efterforskning, ikke har til formål at identificere den tiltalte. Desuden er udspørgningen af den tiltalte og registreringen af hans svar ikke tilstrækkeligt til pålideligt at fastslå disse omstændigheder. Endelig følger det af national ret, at oplysninger, som fremkommer i forbindelse med kontrollen af den fremmødte persons identitet, ikke må indgå i bedømmelsen ved realitetsafgørelsen. Retten kontrollerer først den fremmødte persons identitet og oplyser først derefter den pågældende om dennes rettigheder. Derfor har disse oplysninger (kulturel identitet, tidligere straffe, civilstand, uddannelse) ikke bevisværdi.
25.      Den forelæggende ret er derfor i tvivl om, hvorvidt NPK’s artikel 272, stk. 1, opfylder kravene i artikel 4, stk. 1, litra c), og artikel 8, stk. 1, i direktiv 2016/680. Ifølge den nævnte ret omfatter registreringen i retsprotokollen, den efterfølgende opbevaring i sagsakterne af personoplysninger om fødested, kulturel identitet, nationalitet, bopæl, uddannelse, civilstand og tidligere straffe mere end, hvad der kræves til brug for straffesagen. Den er ligeledes i tvivl om, hvorvidt NPK’s artikel 272, stk. 1, er forenelig med artikel 10 i direktiv 2016/680, for så vidt angår oplysninger om den tiltaltes kulturelle identitet, da denne persons etniske oprindelse fremgår af disse oplysninger.
26.      På denne baggrund har Sofijski gradski sad (byretten i Sofia) besluttet at udsætte sagen og forelægge Domstolen følgende præjudicielle spørgsmål:
»Er en national retsforskrift – NPK’s artikel 272, stk. 1 – hvorefter en tiltalts personoplysninger vedrørende fødested, kulturel identitet, nationalitet, bopæl, uddannelse, civilstand og tidligere straffe behandles (indsamles, registreres og opbevares) med henblik på at fastslå den pågældendes identitet, forenelig med artikel 4, stk. 1, litra [c)], artikel 8, stk. 1, og artikel 10 […] i direktiv 2016/680, når de personoplysninger, der indsamles herved, på ingen måde er nødvendige til brug for straffesagen?«
27.      Europa-Kommissionen har indgivet et skriftligt indlæg og ligeledes afgivet et mundtligt indlæg i retsmødet, som blev afholdt den 3. december 2025.
Bedømmelse
28.      Selv om det fremgår af anmodningen om præjudiciel afgørelse, at den forelæggende ret lægger til grund, at den omtvistede nationale lovgivning er omfattet af anvendelsesområdet for direktiv 2016/680, skal det før behandlingen af realiteten med hensyn til den forelæggende rets spørgsmål drøftes, om direktiv 2016/680 finder anvendelse, et spørgsmål, som i øvrigt var genstanden for en stor del af retsmødet.
Anvendelsen af direktiv 2016/680
29.      Indledningsvis må det konstateres, at spørgsmålet om, hvorvidt der foreligger en »behandling af personoplysninger«, ikke opstår i hovedsagen. Det fremgår nemlig af anmodningen om præjudiciel afgørelse, at de omhandlede personoplysninger indsamles, registreres i retsprotokollen og opbevares i sagsakterne. Desuden er begrebet »behandling« – selv hvis det antages, at oplysningerne er blevet indsamlet på forhånd af den i henhold til national ret kompetente myndighed (9) – bredt, og det omfatter den forelæggende rets forespørgsel og opbevaring. Betingelsen om, at der skal foreligge en »behandling af personoplysninger«, er dermed opfyldt.
30.      Endvidere fremgår det af ordlyden af artikel 2, stk. 1, i direktiv 2016/680, sammenholdt med samme direktivs artikel 1, stk. 1, at to betingelser skal være opfyldt, for at en behandling af personoplysninger er omfattet af dette direktivs anvendelsesområde. For det første skal denne behandling foretages af en »kompetent myndighed« som omhandlet i samme direktivs artikel 3, nr. 7), og for det andet skal behandlingen foretages med henblik på et af de formål, der er opregnet i artikel 1, stk. 1, i direktiv 2016/680, dvs. »at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod eller forebygge trusler mod den offentlige sikkerhed«. Omvendt udelukker den generelle forordning om databeskyttelse, som er lex generalis på området for behandling af personoplysninger, behandlinger, der foretages af »kompetente myndigheder« med henblik på sådanne formål (10), fra sit anvendelsesområde, idet direktiv 2016/680 er den lex specialis, der finder anvendelse på området (11).
31.      Hvad for det første angår spørgsmålet om, hvorvidt en ret kan være omfattet af det personelle anvendelsesområde for direktiv 2016/680, bør det efter min opfattelse besvares bekræftende. I direktivets artikel 3, nr. 7), litra a), skal der nemlig med udtrykket »offentlig myndighed, der er kompetent« ikke blot forstås politimyndigheder, men også de nationale straffedomstole (12). Denne konklusion følger ganske vist ikke udtrykkeligt af definitionen af »offentlig myndighed, der er kompetent«, men kan logisk udledes af den sammenhæng, som denne bestemmelse indgår i, og navnlig af en række bestemmelser i direktiv 2016/680.
32.      I henhold til dette direktivs artikel 32, stk. 1, fastsætter medlemsstaterne nemlig bestemmelser om, at den dataansvarlige skal udpege en databeskyttelsesrådgiver, og at de kan fritage domstole og andre uafhængige judicielle myndigheder for denne forpligtelse, »når de udfører deres judicielle opgaver«. Tilsvarende omfatter dette direktivs artikel 45, stk. 2, sammenholdt med 80. betragtning hertil (13), udtrykkeligt de nationale retter, idet det udelukkes, at tilsynsmyndigheden har nogen kompetence med hensyn til domstolenes behandlingsaktiviteter, »når de handler i deres egenskab af domstol« (14), for ikke at gøre indgreb i de specifikke retsplejeregler og domstolenes uafhængighed.
33.      Disse bestemmelser bekræfter, at retterne, når de handler som domstole, er underlagt de forpligter, der følger af direktiv 2016/680, idet deres uafhængighed og upartiskhed bevares i denne forbindelse (15).
34.      Desuden nævnes de judicielle myndigheder udtrykkeligt i 11. betragtning til direktiv 2016/680, hvorefter »[d]isse kompetente myndigheder kan omfatte […] offentlige myndigheder som judicielle myndigheder«. I 20., 49., 107. betragtning til dette direktiv og i direktivets artikel 18 (16) henvises der ligeledes til behandling af personoplysninger »ved domstole og andre judicielle myndigheder, navnlig for så vidt angår personoplysninger, der er indeholdt i en retsafgørelse eller et register i forbindelse med straffesager«
(17).
35.      De nationale retter bør derfor anses for at være »kompetente offentlige myndigheder« som omhandlet i dette direktiv og for at være underlagt direktivets bestemmelser, når de behandler personoplysninger i retsafgørelser eller et register i forbindelse med straffesager (18).
36.      For det andet opstår der det vanskeligere spørgsmål, om en behandling, der foretages af en ret i forbindelse med en straffesag, kan anses for at være omfattet af det materielle anvendelsesområde for direktiv 2016/680. Dette spørgsmål, der, så vidt det er mig bekendt (19), ikke er blevet behandlet før, svarer til at spørge, om denne behandling tager sigte på et af de formål, der er opregnet i artikel 1, stk. 1, og artikel 3, nr. 7), litra a), i direktiv 2016/680, navnlig »retsforfølgning« i straffesager.
37.      Det skal erindres, at Domstolen allerede i dommen Inspektor v Inspektorata kam Visshia sadeben savet (Formål med behandling af personoplysninger – strafferetlig efterforskning) (20) har fastslået, at de formål, der er nævnt i dette artikel 1 i direktiv 2016/680, udgør formål, der er forskellige i forhold til at »forebygge«, »afsløre«, »efterforske«, »retsforfølge« og »fuldbyrde strafferetlige sanktioner«. Denne dom har således gjort det muligt at præcisere, at EU-lovgiver har haft til hensigt at vedtage regler, der svarer til de særlige kendetegn ved de aktiviteter, der udøves af de kompetente myndigheder på det område, der er omfattet af direktivet, samtidig med at der tages hensyn til den omstændighed, at de udgør særskilte former for aktiviteter, der forfølger deres egne formål (21).
38.      Begrebet »retsforfølgning« henviser ganske vist, som generaladvokat Campos Sánchez-Bordona påpegede i sit forslag til afgørelse, til en aktivitet, der – bortset fra den spanske version af direktivet – går forud for den egentlige retsforfølgning (22). I øvrigt betegner dette udtryk, med forbehold af forskellene mellem medlemsstaternes retssystemer, generelt alle de handlinger og procedurer, der gennemføres af anklagemyndigheden mod en person, der mistænkes for at have begået en strafbar handling, med henblik på at vedkommende stilles for en domstol for at fastslå hans eller hendes skyld eller uskyld (23).
39.      Med henblik på fastlæggelsen af det materielle anvendelsesområde for direktiv 2016/680 forekommer det mig dog mere relevant – snarere end at forsøge at sondre mellem »den retsforfølgende myndigheds« og dommerens rolle i den strafferetlige procedure – at fortolke begrebet »retsforfølgning« under hensyn til formålet med strafforfølgningen. Direktivets regler finder nemlig anvendelse på den aktivitet, der består i behandling af personoplysninger »med henblik på« strafforfølgning.
40.      En sådan formålsorienteret forståelse indebærer efter min opfattelse en bred fortolkning af begrebet »retsforfølgningsaktivitet«, som kan omfatte visse aktiviteter, der udøves af straffedomstolene i forbindelse med en retslig procedure. Den behandling af personoplysninger, som foretages af en dommer i forbindelse med en straffesag, kan nemlig under visse omstændigheder, som navnlig afhænger af de nationale retssystemer (24), anses for at gøre det muligt godtgøre, at de handlinger, som tiltalen vedrører, er tilstrækkeligt overbevisende, og at den strafferetlige kvalificering af disse handlinger er korrekt, således at de i sidste ende kan føre til domfældelse (25). I denne forstand kan denne behandling af oplysninger, som foretages af den ret, der er dataansvarlig, anses for at blive foretaget »med henblik på retsforfølgning« som omhandlet i de relevante bestemmelser i direktiv 2016/680.
41.      I denne forbindelse kan aktiviteten »retsforfølgning« ikke blot omfatte politiets efterforskning og anklagerens beslutning om, hvorvidt der skal indledes strafforfølgning eller ej, men også forundersøgelsen, indbringelsen for en ret og eventuelt en strafferetlig procedure såsom den i hovedsagen omhandlede.
42.      Jeg påpeger endvidere, at den forelæggende ret, som er blevet forelagt anklagemyndighedens anklageskrift, således som det fremgår af anmodningen om præjudiciel afgørelse, efter politiefterforskningen behandler sagen og selv gennemfører en retslig efterforskning (26), som påbegyndes med kontrollen af den tiltaltes identitet i henhold til NPK’s artikel 272, og videreføres med dommen om realiteten, som afsiges af samme ret. Sidstnævnte har således til opgave at »gennemføre retssagen i forbindelse med strafforfølgelsen på grund af en tiltale, som anklagemyndigheden har rejst«. Der er ifølge den forelæggende ret tale om den retslige fase af straffesagen. I denne sammenhæng får begrebet »retsforfølgningsaktivitet«, der udøves i forbindelse med straffesagen, sin fulde betydning.
43.      Jeg tilføjer, at denne brede tilgang til begrebet »retsforfølgningsaktivitet« ud over at have den fordel, at den ikke foregriber de forskellige nationale strafferetlige systemer, ikke er i strid med princippet om, at undtagelser fra anvendelsen af den generelle forordning om databeskyttelse, som er lex generalis, skal fortolkes strengt (27). Denne tilgang fører nemlig til, at denne strafferetlige procedure ikke er omfattet af lovgivningen om beskyttelse af personoplysninger, men at den er underlagt lex specialis på området, som specifikt er fastsat i artikel 2, stk. 2, litra d), i den generelle forordning om databeskyttelse.
44.      Endelig synes den formålsorienterede tilgang til begrebet »retsforfølgningsaktivitet« at følge af tilblivelseshistorien for direktiv 2016/680 og at svare til dette direktivs formål.
45.      Jeg påpeger således, hvad for det første angår tilblivelseshistorien for direktiv 2016/680, at artikel 16 TEUF ved Lissabontraktatens ikrafttrædelse blev det relevante retsgrundlag for ændring af rammeafgørelse 2008/977/RIA (28). Som anført i tiende betragtning til direktiv 2016/680 erkendte den regeringskonference, der vedtog Lissabontraktaten (29), i erklæring nr. 21 om beskyttelse af personoplysninger inden for retligt samarbejde i straffesager og politisamarbejde, der er knyttet som bilag til slutakten fra denne konference, at det kunne blive nødvendigt med specifikke regler om beskyttelse af personoplysninger og om fri bevægelighed for personoplysninger inden for retligt samarbejde i straffesager og politisamarbejde baseret på artikel 16 i TEUF som følge af disse områders specifikke karakter. Kommissionen foreslog således to retsakter, den ene en specifik retsakt i form af en forordning, som blev til den generelle forordning om databeskyttelse, og den anden en retsakt specifikt vedrørende databeskyttelse på det strafferetlige område (30), som blev anset for at være mere følsomt og derfor blev gjort til genstand for et direktiv, som skal gennemføres af medlemsstaterne, og som blev til direktiv 2016/680 og finder anvendelse på alle de handlinger, som de strafferetlige aktører kan foretage, uanset om disse handlinger har en grænseoverskridende dimension eller ej (31).
46.      Unionens tilgang har således bestået i at sondre mellem den politimæssige og den strafferetlige sammenhæng for de andre behandlinger af personoplysninger for at tage hensyn til den specifikke karakter af det område, som direktiv 2016/680 dækker, altså beskyttelse af personoplysninger inden for retligt samarbejde i straffesager og politisamarbejde, således som det fremgår af 10. og 11. betragtning til direktivet.
47.      Hvad for det andet angår formålene med direktiv 2016/680 tager det, således som det fremgår af 4., 7. og 15. betragtning hertil, bl.a. sigte på at sikre et ensartet og højt niveau for beskyttelse af personoplysninger om fysiske personer og gøre det lettere at udveksle personoplysninger mellem medlemsstaternes kompetente myndigheder for at sikre et effektivt retligt samarbejde i straffesager og politisamarbejde.
48.      Det skal påpeges, således som det er blevet bemærket i litteraturen, at den dobbelte ordning for beskyttelse af personoplysninger kan være en kilde til betydelige vanskeligheder ved afgørelsen af, om det er den generelle forordning om databeskyttelse eller direktiv 2016/680, der er det relevante instrument (32).
49.      Derfor er det så meget desto mere vigtigt, at behandlingen af personoplysninger i samme straffesag ikke er underlagt to forskellige retsakter alene af den grund, at denne behandling er blevet foretaget af forskellige retshåndhævende myndigheder på forskellige stadier af denne procedure. Hvis de straffedomstole, der træffer afgørelse i forbindelse med straffesagen, var udelukket fra anvendelsesområdet for direktiv 2016/680, ville dette nemlig, som påpeget af Kommissionen i retsmødet, føre til en fragmenteret ordning, hvor en og samme straffesag kunne være omfattet af to retsakter afhængigt af, hvilken fase af sagen der er tale om.
50.      En sådan tilgang ville efter min opfattelse ikke blot være uforeneligt med retssikkerhedsprincippet (33), men også med det ensartede og sammenhængende niveau for beskyttelse af personoplysninger.
51.      I øvrigt har de retshåndhævende myndigheder mere fleksibilitet ved udøvelsen af deres opgaver inden for rammerne af direktiv 2016/680, end de ville have inden for rammerne af den generelle forordning om databeskyttelse (34). Navnlig må behandling af »særlige kategorier af personoplysninger«, som omfatter såkaldt »følsomme« oplysninger, i henhold til dette direktivs artikel 10 kun tillades, når det er strengt nødvendigt, mens denne behandling i henhold til artikel 9 i den generelle forordning om databeskyttelse er forbudt med de i stk. 2 fastsatte undtagelser. Tilsvarende fastsætter artikel 4, stk. 1, litra c), i direktiv 2016/680 vedrørende princippet om dataminimering, at personoplysningerne skal være tilstrækkelige, relevante og ikke omfatte mere end, hvad der kræves, mens artikel 5, stk. 1, litra c), i den generelle forordning om databeskyttelse fastsætter, at de skal være tilstrækkelige, relevante og begrænset til, hvad der er nødvendigt i forhold til de formål, hvortil de behandles.
52.      Det er dermed så meget desto mere begrundet at anvende direktiv 2016/680 under hele straffesagen, som reglerne om beskyttelse af personoplysninger i visse tilfælde kan adskille sig fra reglerne i den generelle forordning om databeskyttelse.
53.      Endelig vil en fragmenteret tilgang til straffesagen være vanskeligt forenelig med det i artikel 7 i direktiv 2016/680 anførte formål om at gøre det lettere at udveksle personoplysninger mellem medlemsstaternes kompetente myndigheder for at sikre et effektivt retligt samarbejde i straffesager og politisamarbejde.
54.      Det følger af ovenstående betragtninger, at den behandling af personoplysninger, der foretages af en national ret i forbindelse med behandlingen af en straffesag, er omfattet af anvendelsesområdet for direktiv 2016/680 som en behandling, der foretages af en kompetent myndighed med henblik på strafforfølgning.
Realiteten
55.      Den forelæggende ret ønsker nærmere bestemt oplyst, om artikel 4, stk. 1, litra c), artikel 8, stk. 1, og artikel 10 i direktiv 2016/680 er til hinder for en national retsforskrift, som fastsætter, at straffedomstolen systematisk skal kontrollere alle de oplysninger, der er omhandlet i NPK’s artikel 272, stk. 1, alene med henblik på at identificere den tiltalte i en straffesag (35).
56.      Jeg minder om, at de grundlæggende rettigheder til
respekt for privatliv og beskyttelse af personoplysninger, som er sikret ved artikel 7 og 8 i Den Europæiske Unions charter om grundlæggende rettigheder (herefter »chartret«), ikke er absolutte rettigheder. Der kan således indføres begrænsninger, forudsat at de som omhandlet i chartrets artikel 52, stk. 1, er fastlagt i lovgivningen og respekterer disse rettigheders væsentligste indhold samt proportionalitetsprincippet (36).
57.      Princippet om dataminimering, som er fastsat i artikel 4, stk. 1, litra c), i direktiv 2016/680, og princippet om lovlig behandling, som er fastsat i dette direktivs artikel 8, stk. 1, pålægger således medlemsstaterne at fastsætte, at de pågældende personoplysninger skal være tilstrækkelige, relevante og ikke omfatte mere end, hvad der kræves til opfyldelse af de formål, hvortil de behandles, og at behandlingen skal være nødvendig i betragtning af de forfulgte formål i overensstemmelse med proportionalitetsprincippet.
58.      Endvidere har artikel 10 i direktiv 2016/680, som udgør en specifik bestemmelse, der regulerer behandlingen af særlige kategorier af personoplysninger, bl.a. oplysninger om racemæssig eller etnisk oprindelse, til formål at sikre en øget beskyttelse af den registrerede, for så vidt som de pågældende oplysninger som følge af deres særligt følsomme karakter og den sammenhæng, hvori de behandles, således som det fremgår af 37. betragtning til det nævnte direktiv, kan indebære betydelige risici for grundlæggende rettigheder og frihedsrettigheder, såsom retten til respekt for privatliv og retten til beskyttelse af personoplysninger, der er sikret ved chartrets artikel
7 og
8 (37).
59.      I det foreliggende tilfælde har den forelæggende ret til opgave at gennemføre retssagen i forbindelse med strafforfølgelsen på grund af en tiltale, som anklagemyndigheden har rejst. For at udføre denne opgave skal den officielt at fastslå den fremmødte persons identitet, navnlig om der er tale om den tiltalte, mod hvem tiltalen er rejst (38). Med henblik på identificeringen af den tiltalte pålægger NPK’s artikel 272, stk. 1, den forelæggende ret systematisk at udspørge den fremmødte person i hver specifik sag om personoplysninger, nærmere bestemt vedkommendes fuldstændige navn, fødselsdato og fødested, kulturelle identitet, nationalitet, bopæl, uddannelse, civilstand og personlige identifikationsnummer samt tidligere straffe.
60.      Formålet med kontrollen af den tiltaltes identitet er som sådan legitim og kan svare til et mål af almen interesse, der er anerkendt af Unionen, som omhandlet i chartrets artikel 52, stk. 1, navnlig at undgå enhver fejltagelse med hensyn til den person, som giver møde for retten.
61.      Den forelæggende ret skal dermed kontrollere, om kravet om indsamling af de pågældende oplysninger for det første er egnet til at bidrage til at opfylde formålet om at fastslå den tiltaltes identitet, om det for det andet er nødvendigt, hvilket indebærer, at der ikke findes nogen alternative foranstaltninger, der er mindre indgribende i retten til beskyttelse af personoplysninger, men lige så effektive med henblik på at nå det påberåbte mål (39), og om det for det tredje står i rimeligt forhold til dette mål, hvilket indebærer en rimelig afvejning mellem på den ene side det generelle formål, der forfølges, og på den anden side rettighederne for den person, hvis personoplysninger indsamles (40), idet Domstolen er kompetent til at stille nyttige fortolkningselementer til rådighed for den forelæggende ret.
62.      Jeg påpeger, at det forelagte spørgsmål ikke vedrører indsamling af visse oplysninger om den personretlige stilling og identifikation, såsom navn, fødselsdato og personligt identifikationsnummer. I øvrigt udgør disse oplysninger i klassisk forstand identifikationselementer, også i henhold til den bulgarske lovgivning om registrering af borgerne og identifikationsdokumenter (41).
63.      Den forelæggende ret er derimod i tvivl om, hvorvidt den systematiske indsamling af oplysninger, såsom for det første om fødested og nationalitet, for det andet om bopæl, uddannelse, civilstand og tidligere straffe og for det tredje om kulturel identitet, som vil blive drøftet nedenfor, er forholdsmæssig.
64.      For det første udgør visse af disse oplysninger, såsom oplysningerne om fødested og nationalitet, »primære oplysninger om den personretlige stilling« (42). De er således egnet til at gøre det muligt at kontrollere identiteten på den person, der er omhandlet i anklageskriftet, og at undgå enhver fejltagelse. I øvrigt er det indgreb i retten til privatliv og beskyttelse af personoplysninger, som indsamlingen af sådanne oplysninger indebærer, ikke af en sådan karakter, at det ved en afvejning af de foreliggende interesser forekommer uforholdsmæssigt i betragtning af formålet om at fastslå den tiltaltes identitet.
65.      Hvad for det andet angår indsamlingen af supplerende oplysninger om uddannelse, civilstand, bopæl og tidligere straffe kan den, således som den forelæggende ret og Kommissionen har påpeget i deres skriftlige indlæg, være relevant for andre formål end identifikation. Uddannelse og civilstand kan nemlig have indvirkning på den individuelle strafudmåling. Bopælen kan have indvirkning på afsoning af straffen i en anden stat. Tilsvarende kan tidligere straffe være relevante for at konstatere, om der foreligger gentagne overtrædelser eller ej. Imidlertid kan disse oplysninger, som kontrolleres af retsformanden på dette stadium af kontrollen af identiteten på den person, der giver møde for retten, dels, således som det følger af de bulgarske processuelle bestemmelser, ikke indgå i bedømmelsen ved realitetsafgørelsen, og de har ikke bevisværdi. Dels er det under alle omstændigheder ikke tilstrækkeligt til at fastslå disse oplysningers pålidelighed at udspørge den tiltalte og registrere hans eller hendes svar. Officielle dokumenter, såsom tidligere straffe, den personretlige stilling eller et dokument om afsluttet uddannelse, bør undersøges eller fremlægges.
66.      På denne baggrund er jeg af den opfattelse, at en lovgivning, som udifferentieret og generelt fastsætter, at enhver tiltalt skal udspørges systematisk om disse supplerende oplysninger, og at disse svar efterfølgende skal registreres i retsprotokollen, kan gå ud over, hvad der er nødvendigt med henblik på det blotte formål om at identificere den tiltalte. Kravet om identifikation indebærer efter min opfattelse ikke, at det er alle de opregnede kategorier af oplysninger, der skal behandles systematisk, men kun dem, der under hensyn til de konkrete omstændigheder er nødvendige for at fjerne enhver rimelig tvivl om den fremmødte persons identitet, hvilket det tilkommer den nationale ret at vurdere.
67.      I øvrigt indebærer proportionalitetsprincippet – selv hvis det anerkendes, at visse oplysninger om uddannelse, civilstand, bopæl og tidligere straffe i visse tilfælde kan være nødvendige for identifikationen af den tiltalte – også, at der skal foretages en afvejning mellem alle de relevante elementer og findes en balance mellem det almene hensyn, der søges tilgodeset, og grovheden af indgrebet i de grundlæggende rettigheder og i beskyttelsen af den registreredes personoplysninger (43). Den omstændighed, at disse oplysninger systematisk rekvireres, sammenholdt med det forhold, at denne indsamling finder sted i et retsmøde, og at disse oplysninger registreres i retsprotokollen og efterfølgende opbevares i sagsakterne, som parterne har adgang til, kan imidlertid udgøre et indgreb, der går ud over, hvad identifikationen kræver på dette indledende stadium af straffesagen.
68.      Hvad for det tredje angår oplysningen om »kulturel identitet« bør det erindres, at artikel 10 i direktiv 2016/680 fastsætter, at behandling af følsomme oplysninger »kun [må] tillades, når det er strengt nødvendigt«, hvilket krav udgør en strengere betingelse for, at behandlingen af sådanne oplysninger er lovlig, og bl.a. indebærer, at der skal foretages en særlig streng kontrol af overholdelsen af princippet om »dataminimering«, således som dette følger af direktivets artikel
4, stk. 1, litra
c), der er udtryk for en specifik anvendelse af dette krav på de nævnte følsomme oplysninger (44). Anvendelsen af adverbiet »kun« før udtrykket »når det er strengt nødvendigt« indebærer, at behandlingen af disse særlige kategorier kun kan anses for nødvendig i et begrænset antal tilfælde, mens den omstændighed, at nødvendigheden har »absolut« karakter, indebærer, at den skal undergives en særlig streng vurdering (45).
69.      Et systematisk spørgsmål, som enhver tiltalt i et retsmøde stilles om sin »kulturelle identitet«, og som dermed vedrører denne persons etniske oprindelse, svarer på ingen måde til de krav, der er fastsat i artikel 10 i direktiv 2016/680 (46). Identifikationen af den tiltalte kan nemlig sædvanligvis sikres ved oplysningerne om den personretlige stilling og de identifikationselementer, der allerede er tilgængelige, bl.a. i kraft af identitetsdokumenter, uden at anvende en indikator, der vedrører personens etniske oprindelse. I øvrigt indebærer kravet om absolut nødvendighed, at det skal godtgøres på grundlag af konkrete elementer, at det forfulgte formål ikke kan nås på tilsvarende vis uden denne specifikke oplysning. En generel og udifferentieret forpligtelse til at indsamle en sådan oplysning, som fastsættes på dette stadium af sagen med henblik på identifikationen af den tiltalte, og ikke forudsætter, at denne identifikation er forbundet med særlige vanskeligheder, forekommer mig principielt at være i strid med det krav om »absolut nødvendighed«, som er fastsat i det nævnte direktivs artikel 10 (47).
70.      Det følger efter min opfattelse af ovenstående betragtninger, at Domstolen bør svare den forelæggende ret med, at artikel 4, stk. 1, litra c), artikel 8, stk. 1, og artikel 10 i direktiv 2016/680 skal fortolkes således, at disse bestemmelser er til hinder for en national retsforskrift såsom NPK’s artikel 272, stk. 1, for så vidt som den kræver, at en tiltalts personoplysninger vedrørende bopæl, uddannelse, civilstand, straffeattest og kulturel identitet systematisk behandles (indsamles, registreres og opbevares) med henblik på at fastslå den pågældendes identitet i forbindelse med en straffesag, når disse oplysninger ikke er nødvendige til dette formål, hvilket det tilkommer den forelæggende ret at efterprøve.
Forslag til afgørelse
71.      Jeg er på baggrund af ovenstående betragtninger af den opfattelse, at Domstolen bør besvare det præjudicielle spørgsmål fra Sofijski gradski sad (byretten i Sofia, Bulgarien) således:
»Artikel 4, stk. 1, litra c), artikel 8, stk. 1, og artikel 10 i Europa-Parlamentets og Rådets direktiv (EU) 2016/680 af 27. april 2016 m beskyttelse af fysiske personer i forbindelse med kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger og om ophævelse af Rådets rammeafgørelse 2008/977/RIA
skal fortolkes således, at
disse bestemmelser er til hinder for en national retsforskrift såsom artikel 272, stk. 1, i nakazatelno-protsesualen kodeks (den bulgarske strafferetsplejelov),
for så vidt som den kræver, at en tiltalts personoplysninger vedrørende bopæl, uddannelse, civilstand, straffeattest og kulturel identitet systematisk behandles (indsamles, registreres og opbevares) med henblik på at fastslå den pågældendes identitet i forbindelse med en straffesag, når disse oplysninger ikke er nødvendige til dette formål, hvilket det tilkommer den forelæggende ret at efterprøve.«
1 –      Originalsprog: fransk.
i      Den foreliggende sags navn er et vedtaget navn. Det svarer ikke til et navn på en part i sagen.
2 –      Europa-Parlamentets og Rådets direktiv af 27.4.2016 om beskyttelse af fysiske personer i forbindelse med kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger og om ophævelse af Rådets rammeafgørelse 2008/977/RIA (EUT 2016, L 119, s. 89).
3 –      Europa-Parlamentets og Rådets forordning af 27.4.2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT 2016, L 119, s. 1, herefter »den generelle forordning om databeskyttelse«).
4 –      DV nr. 86 af 28.10.2005, som ændret og suppleret ved DV nr. 3 af 1.5.2024.
5 –      DV nr. 67 af 27.7.1999, som ændret og suppleret ved DV nr. 85 af 8.10.2024.
6 –      DV nr. 93 af 11.8.1998, som ændret og suppleret ved DV nr. 67 af 4.8.2023.
7 –      DV nr. 64 af 7.8.2007, som ændret og suppleret ved DV nr. 67 af 9.8.2024.
8 –      DV nr. 56 af 13.7.1991.
9 –      Det kan således diskuteres, om den forelæggende ret selv indsamler oplysningerne, eller om de allerede er blevet indsamlet forinden af den kompetente myndighed (jf. i denne henseende NPK’s artikel 138, stk. 2).
10 –      Jf. artikel 2, stk. 2, litra d), i den generelle forordning om databeskyttelse.
11 –      Den generelle forordning om databeskyttelse gælder derimod for den behandling af personoplysninger, som foretages af en »kompetent myndighed« som omhandlet i artikel 3, nr. 7), i direktiv 2016/680 når der er tale om andre formål, f.eks. ansættelse, uddannelse af personale, arkivering, forskning eller statistik. Jf. i denne retning dom af 21.6.2022, Ligue des droits humains (C-817/19, EU:C:2022:491, præmis 72 og den deri nævnte retspraksis). Jf. også M. Leiser og B. Custers, »The Law Enforcement Directive: Conceptual Challenges of EU Directive 2016/680«, European Data Protection Law Review, bind 5, nr. 3, 2019, s. 367-378, særligt s. 371.
12 –      Jeg er derimod af den opfattelse, at artikel 3, nr. 7), litra b), i direktiv 2016/680 ikke vedrører retter, men med udtrykket »ethvert andet organ eller enhver anden enhed, som i henhold til medlemsstaternes nationale ret udøver offentlig myndighed og offentlige beføjelser med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner […]« tager sigte på private organer. Der kan f.eks. være tale om privatiserede politistyrker eller fængsler, der drives af en privat enhed. Jf. i denne henseende N. Purtova, »Between the GDPR and the Police Directive: navigating through the maze of information sharing in public-private partnerships«, International Data Privacy Law, bind 8, nr. 1, februar 2018, s. 52-68. Jf. også P. De Hert og J. Sajfert, »Chapter 10: Variety, velocity and volume of personal data in criminal investigations and proceedings: the limits drawn by the purpose limitation and data minimization principles in Directive (EU) 2016/680«, i Research Handbook on EU Criminal Law, V. Mitsilegas, M. Bergström og T. Quintel (red.), Edward Elgar Publishing, 2024, 2. udg., s. 212-228.
13 –      Det anføres i denne betragtning, at »[s]elv om dette direktiv også finder anvendelse på de nationale domstoles og andre judicielle myndigheders aktiviteter, bør tilsynsmyndighedernes kompetence ikke omfatte behandling af personoplysninger, når domstole handler i deres egenskab af domstol, for at sikre dommernes uafhængighed under udførelsen af deres judicielle opgaver. […]«.
14 –      Jf. analogt angående den tilsvarende bestemmelse i den generelle forordning om databeskyttelse dom af 24.3.2022, Autoriteit Persoonsgegevens (C-245/20, EU:C:2022:216, præmis 26). Denne dom vedrørte en forvaltningsretlig tvist om en behandling, der blev foretaget af en ret i forbindelse med, at procesdokumenter, der indeholdt personoplysninger, blev stillet midlertidigt til rådighed for journalister, idet retten blev anset for at have handlet som domstol som omhandlet i den generelle forordning om databeskyttelse, da den foretog denne behandling.
15 –      Jf. i denne henseende L. Tosconi og L.A. Bygrave, »Article 3 – Definitions«, i The EU Law Enforcement Directive (LED): A Commentary, udgivet af E. Kosta og F. Boehm, Oxford University Press, 2024, s. 79-132, særligt s. 104, nr. 7.2.4, også med henvisning til referatet af det 12. møde i Kommissionens ekspertgruppe vedrørende den generelle forordning om databeskyttelse og direktiv 2016/680 den 2.10.2017, som nævner medlemsstaternes enighed om, at direktivet bør finde anvendelse på straffedomstole (dokumentet er tilgængeligt på følgende adresse: https://ec.europa.eu/transparency/expert-groups-register/screen/expert-groups/consult?lang=fr&groupID=3461).
16 –      Navnlig vedrører direktivets artikel 18 med overskriften »Den registreredes rettigheder i forbindelse med strafferetlige efterforskninger og straffesager« udøvelsen af retten til oplysninger, indsigt, berigtigelse og sletning og fastsætter, at udøvelsen af disse rettigheder skal gennemføres i henhold til medlemsstaternes nationale ret, når personoplysningerne er indeholdt »i en retsafgørelse eller et register eller en sagsakt, der behandles i forbindelse med strafferetlige efterforskninger og straffesager«.
17 –      Jf. 20.
betragtning til direktiv 2016/680.
18 –      Det skal tilføjes, at dette – som det anføres i 20. betragtning til dette direktiv – ikke fratager medlemsstaterne muligheden for at præcisere disse behandlingsaktiviteter og behandlingsprocedurer i deres nationale regler om strafferetspleje.
19 –      Anvendelsesområdet for direktiv 2016/680 har ganske vist været genstand for domme afsagt af Domstolen, men de vedrørte ikke dette spørgsmål. F.eks. kan luftfartsselskaber, selv om de er underlagt en retlig forpligtelse til at videregive passagerlisteoplysninger (PNR-oplysninger), ikke anses for at være kompetente myndigheder som omhandlet i artikel 3, nr. 7), i direktiv 2016/680 (jf. dom af 21.6.2022, Ligue des droits humains, C-817/19, EU:C:2022:491, præmis 81). Jf. også generaladvokat Pikamäes forslag til afgørelse Vyriausioji tarnybinės etikos komisija (C-184/20, EU:C:2021:991, punkt 28) vedrørende Vyriausioji tarnybinės etikos komisija (den øverste etiske kommission, Litauen), hvorpå den generelle forordning om databeskyttelse blev anvendt (jf. dom af 1.8.2022, Vyriausioji tarnybinės etikos komisija, C-184/20, herefter »dommen i sagen Vyriausioji tarnybinės etikos komisija«, EU:C:2022:601). Tilsvarende er Ceļu satiksmes drošības direkcija (direktoratet for færdselssikkerhed, Letland) ikke en »kompetent myndighed« som omhandlet i direktiv 2016/680, ved udøvelsen af de af hovedsagen omhandlede aktiviteter, som består i at videregive personoplysninger vedrørende strafpoint til offentligheden i trafiksikkerhedens interesse (jf. dom af 22.6.2021, Latvijas Republikas Saeima (Strafpoint), C-439/19, EU:C:2021:504, præmis 71).
20 –      Dom af 8.12.2022 (C-180/21, herefter »Inspektor-dommen«, EU:C:2022:967). I forbindelse med denne dom opstod det spørgsmål, om personoplysninger, der var fremkommet, da den registrerede gav møde som offer for den strafbare handling, der var genstand for efterforskningen, efterfølgende kunne undergives en behandling, der var rettet mod denne person som mistænkt eller tiltalt, selv om de oprindeligt var blevet indsamlet og behandlet med henblik på andre formål, nemlig afsløring og efterforskning. I denne forbindelse fastslog Domstolen, at når personoplysninger er blevet indsamlet med henblik på at »afsløre« en strafbar handling og at »efterforske« denne og er blevet behandlet efterfølgende med henblik på »retsforfølgning«, opfylder nævnte indsamling og behandling forskellige formål (præmis 44), og at vurderingen af, om kravet om behandlingens proportionalitet er blevet overholdt af den dataansvarlige, skal ske i lyset af hvert disse formål, som er specifikt og særskilt (præmis 56).
21 –      Inspektor-dommen (præmis 59).
22 –      Jf. generaladvokat Campos Sánchez-Bordonas forslag til afgørelse Inspektor v Inspektorata kam Visshia sadeben savet (Formål med behandling af personoplysninger – strafferetlig efterforskning) (C-180/21, EU:C:2022:406, fodnote 15). Dette er tilfældet i bl.a. den tyske, den franske, den engelske, den italienske og den nederlandske version af direktiv 2016/680, til forskel fra den spanske version, som henviser til egentlig enjuiciamiento (retsforfølgning), som udelukkende er forbeholdt domstolene.
23 –      Vedrørende mangfoldigheden i de nationale systemer og den gensidigt supplerende karakter af dommernes og anklagemyndighedens respektive funktioner jf. fælles udtalelse fra Europarådets rådgivende dommerkomité (CCJE) og Europarådets rådgivende anklagekomité (CCPE) om forholdet mellem dommere og anklagere (1075. møde) (CM(2009)192). Jf. også for en sammenlignende tilgang, J. Pradel, Droit pénal comparé, Dalloz, Paris, 2016, 4. udg., særligt nr. 145 og 146. Jf. også vedrørende gennemførelsen af direktiv 2016/680 i forskellige medlemsstater V. Franssen og M. Corhay, »Article 18 – Rights of the data subject in criminal investigations and proceedings«, i The EU Law Enforcement Directive (LED): A Commentary, op.cit., s. 321-330, særligt underafsnit B.3. med overskriften »National legislation«, s. 325-328.
24 –      I sin udtalelse nr. 6/2015, Une nouvelle étape vers une protection européenne complètes des données, af 28.10.2015, punkt VI vedrørende tilsynsmyndighedernes beføjelser har Det Europæiske Databeskyttelsesråd selv understreget de væsentlige forskelle mellem medlemsstaternes nationale systemer og det forhold, at det ikke altid fremgår klart, om og hvornår anklagemyndighederne er »uafhængige judicielle myndigheder«, og i hvilket omfang deres aktiviteter udgør judicielle aktiviteter. Jf. også referatet af det 15. møde i Kommissionens ekspertgruppe om den generelle forordning om databeskyttelse og direktiv 2016/680 af 20.2.2018, hvori der i punkt 5 henvises til forskellene i gennemførelsen af direktivet på dette område, idet visse medlemsstater har påpeget, at deres anklagere har samme niveau af uafhængighed som deres dommere (tilgængelig på følgende adresse: https://ec.europa.eu/transparency/expert-groups-register/screen/meetings/consult?lang=en&meetingId=3656&fromExpertGroups=true).
25 –      Jf. Inspektor-dommen (præmis 53), hvori Domstolen fastslog, at »[i] forbindelse med behandlingen af personoplysninger med henblik på at »fuldbyrde strafferetlige sanktioner« har disse oplysninger […] til formål at godtgøre, at de handlinger, som tiltalen vedrører, er tilstrækkeligt overbevisende, og at den strafferetlige kvalificering af disse handlinger er korrekt, således at den kompetente ret kan træffe afgørelse«.
26 –      Som det blev anført i retsmødet, findes der ikke en forundersøgelsesdommer i bulgarsk strafferet, men en »retslig efterforskning« eller »retslig forundersøgelse«, som følger efter politiets efterforskning.
27 –      Jf. vedrørende den strenge fortolkning af undtagelser fra anvendelsen af den generelle forordning om databeskyttelse Inspektor-dommen (præmis 78), hvoraf det følger, at når anklagemyndigheden handler med henblik på statens forsvar i forbindelse med et søgsmål om administrativt ansvar, har dette ikke til formål at sikre de opgaver, der påhviler denne anklagemyndighed med henblik på de formål, der er fastsat i artikel 1, stk. 1, i direktiv 2016/680, hvorfor den generelle forordning om databeskyttelse finder anvendelse. Tilsvarende er en medlemsstats skatte- og afgiftsmyndigheds indsamling af personoplysninger vedrørende annoncer om salg af køretøjer, der er indrykket på en erhvervsdrivendes websted, omfattet af det materielle anvendelsesområde for den generelle forordning om databeskyttelse, eftersom disse oplysninger ikke indsamles med det specifikke formål at foretage strafforfølgninger eller i forbindelse med statens aktiviteter på det strafferetlige område (jf. dom af 24.2.2022, Valsts ieņēmumu dienests (Behandling af personoplysninger til skatteformål), C-175/20, EU:C:2022:124, præmis 44-46).
28 –      Rådets rammeafgørelse af 27.11.2008 om beskyttelse af personoplysninger i forbindelse med politisamarbejde og retligt samarbejde i kriminalsager (EUT 2008, L 350, s. 60). Dens anvendelsesområde var begrænset til grænseoverskridende behandling af personoplysninger.
29 –      Konferencen mellem repræsentanterne for medlemsstaternes regeringer, slutakt, vedtaget i Bruxelles den 3.12.2007 (CIG 15/07) (tilgængelig på følgende adresse: https://data.consilium.europa.eu/doc/document/CG-15-2007-INIT/fr/pdf).
30 –      Forslag til Europa-Parlamentets og Rådets direktiv om beskyttelse af fysiske personer i forbindelse med de kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, opdage eller retsforfølge straffelovsovertrædelser eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger af 25.1.2012 (COM(2012)0010).
31 –      Jf. P. De Hert og V. Papakonstantinou, »The New Police and Criminal Justice Data Protection Directive. A First Analysis«, New Journal of European Criminal Law, bind 7, nr. 1, 2016, s. 7-19, og C. Brière, »Défaut de transposition de la directive sur la protection des données dans le domaine pénal: vers une application ordinaire de l’article 260, paragraphe 3, TFUE. CJUE (8e ch.), 25 février 2021, Commission européenne/Royaume d’Espagne (Directive données à caractère personnel – Domaine pénal), aff. C-658/19, EU:C:2021:138«, Revue des affaires européennes, bind 1, 2021, s. 223-233.
32 –      Jf. i denne henseende J. Sajfert og T. Quintel, »Data Protection Directive (EU) 2016/680 for Police and Criminal Justice Authorities«, SSRN Electronic Journal, 2017, særligt underafsnit I.1 med overskriften »Meandering between the Directive and the GDPR«, hvorefter sondringen mellem anvendelsesområderne for henholdsvis den generelle forordning om databeskyttelse og direktiv 2016/680 ikke er åbenlyse. De anfører som eksempel en politibetjent, der med henblik på arkivering behandler personoplysninger, der i dette tilfælde henhører under den generelle forordning om databeskyttelse, men påpeger, at det er mindre klart, hvilket instrument der finder anvendelse, når denne betjent handler med henblik på identifikation på området for migration og grænsekontrol: Ulovlig krydsning af en Schengengrænse kan undertiden betragtes som en strafbar handling, men hvis migranten med ulovligt ophold ansøger om asyl, kan behandlingen være omfattet af den generelle forordning om databeskyttelse eller en relevant sektorspecifik ramme, uanset den straffesag, der indledes. Dette illustrerer, hvor kompliceret det er for de kompetente myndigheder at anvende to forskellige retlige ordning
er afhængigt af formålet med behandlingen. Jf. også P. Vogiatzoglou, »Article 2 – Scope«, i The EU Law Enforcement Directive (LED): A Commentary, op.cit., s. 67-78, særligt underafsnit C.2. med overskriften »Between the LED and the GDPR«, s. 74 og 75. Jf. også N. Purtova, »Between the GDPR and the Police Directive: navigating through the maze of information sharing in public-private partnerships«, op.cit.
33 –      Retssikkerhedsprincippet kræver, at anvendelsen af retsreglerne er forudsigelig for borgerne (jf. dom af 4.10.2024, Bezirkshauptmannschaft Landeck (Forsøg på adgang til personoplysninger lagret på en mobiltelefon), C-548/21, EU:C:2024:830, præmis 76).
34 –      Jf. i denne henseende J. Sajfert og T. Quintel, »Data Protection Directive (EU) 2016/680 for Police and Criminal Justice Authorities«,
op.cit, navnlig underafsnit I.4 med overskriften »Croquis of the Directive«, s. 7, ifølge hvilke den dataansvarlige f.eks. har flere muligheder for at begrænse indsigtsretten og retten til oplysninger om et eventuelt afslag på berigtigelse, sletning eller begrænsning af behandlingen i henhold til artikel 13, stk. 3, artikel 15, stk. 3, og artikel 16, stk. 4, i direktiv 2016/680 end i forbindelse med artikel 23 i den generelle forordning om databeskyttelse. Det drejer sig nemlig om at »undgå, at der lægges hindringer i vejen for officielle eller retlige undersøgelser, efterforskninger eller procedurer«, og at undgå at skade bl.a. retsforfølgningen på området [jf. artikel 13, stk. 3, litra a) og b), i direktiv 2016/680]. Jf. også N. Purtova, »Between the GDPR and the Police Directive: navigating through the maze of information sharing in public-private partnerships«, op.cit., særligt s. 60, og P. De Hert og J. Sajfert, »Chapter 10: Variety, velocity and volume of personal data in criminal investigations and proceedings: the limits drawn by the purpose limitation and data minimization principles in Directive (EU) 2016/680«, op.cit., s. 222.
35 –      Til orientering anfører jeg, at den forelæggende ret har oplyst, at den har anmodet Konstitutsionen sad (forfatningsdomstol) om at fastslå, at den i hovedsagen omtvistede nationale bestemmelse er uforenelig med Konstitutsia na Republika Bulgaria (Republikken Bulgariens forfatning). Denne anmodning blev imidlertid afvist fra realitetsbehandling med den begrundelse, at den forelæggende ret ikke havde taget hensyn til ottende kapitel i Zakon za zashtita na lichnite danni (lov om beskyttelse af personoplysninger) af 1.1.2002 (DV nr. 1 af 4.1.2002, som ændret og suppleret ved DV nr. 70 af 20.8.2024, herefter »ZZLD«), som gennemfører direktiv 2016/680. Den forelæggende ret finder dog, at bestemmelsen i ZZLD er generel, og at NPK’s artikel 272, stk. 1, finder anvendelse, eftersom denne bestemmelse er lex specialis. Jeg minder om, at den forelæggende ret har kompetence til at fortolke national ret (jf. dom af 30.4.2024, M.N. (EncroChat), C-670/22, EU:C:2024:372, præmis 76), og jeg er derfor af den opfattelse, at spørgsmålet bør besvares, således som det er forelagt, idet det formodes at være relevant (jf. dom af 26.1.2023, Ministerstvo na vatreshnite raboti (Politiets registrering af biometriske og genetiske data), C-205/21, herefter »dommen i sagen Ministerstvo na vatreshnite raboti«, EU:C:2023:49, præmis 54).
36 –      Jf. dom af 30.1.2024, Direktor na Glavna direktsia »Natsionalna politsia« pri MVR – Sofia (C-118/22, herefter »dommen i sagen Direktor na Glavna direktsia«, EU:C:2024:97, præmis 39).
37 –      Jf. dommen i sagen Ministerstvo na vatreshnite raboti
(præmis 116 og den deri nævnte retspraksis). Angående begrebet »etnisk oprindelse« i en anden sammenhæng jf. dom af 18.12.2025, Slagelse Almennyttige Boligselskab, Afdeling Schackenborgvænge (C-417/23, EU:C:2025:1017, præmis 71 og 72), om Rådets direktiv 2000/43/CE af 29.6.2000 om gennemførelse af princippet om ligebehandling af alle uanset race eller etnisk oprindelse (EFT 2000, L 180, s. 22).
38 –      Der er ikke tale om en indsamling af oplysninger foretaget af politiet under efterforskningen med henblik på fremtidig identifikation og sammenligning af den tiltalte, således som det f.eks. var tilfældet i den sag, der gav anledning dom af 20.11.2025, Policejní prezidium (Opbevaring af biometriske og genetiske data) (C-57/23, EU:C:2025:905, præmis 84).
39 –      Jf. analogt dom af 22.6.2021, Latvijas Republikas Saeima (Strafpoint) (C-439/19, EU:C:2021:504, præmis 109 og 110).
40 –      Jf. analogt dommen i sagen Vyriausioji tarnybinės etikos komisija (præmis 98 og den deri nævnte retspraksis). Jf. også dommen i sagen Direktor na Glavna direktsia (præmis 62).
41 –      Jf. punkt 12-15 i dette forslag til afgørelse.
42 –      Jf. ZGR’s artikel 8, stk. 1, hvis indhold er gengivet i punkt 12 i dette forslag til afgørelse.
43 –      Jf. analogt dommen i sagen Vyriausioji tarnybinės etikos komisija (præmis 98 og den deri nævnte retspraksis). Jf. også dommen i sagen Direktor na Glavna direktsia (præmis 62).
44 –      Jf. dommen i sagen Direktor na Glavna direktsia (præmis 48 og den deri nævnte retspraksis).
45 –      Jf. dommen i sagen Ministerstvo na vatreshnite raboti (præmis 118 og 119), og dom af 20.11.2025, Policejní prezidium (Opbevaring af biometriske og genetiske data) (C-57/23, EU:C:2025:905, præmis 78). Jf. også generaladvokat Szpunars forslag til afgørelse Comdribus (C-371/24, EU:C:2025:631, punkt 43 og 44).
46 –      Jeg er i øvrigt i tvivl om eksistensberettigelsen af dette spørgsmål vedrørende »kulturel identitet«, som er egnet til at give anledning til problemer i forhold til Unionens værdier som omhandlet i artikel 2 TEU.
47 –      Jf. i denne retning dommen i sagen Ministerstvo na vatreshnite raboti (præmis 128 og 129), og D. Simon, »Données personnelles – Traitement des données sensibles dans les procédures pénales«, Revue Europe, LexisNexis, nr. 3, 2023, kommentar nr. 112.