Edición provisional
CONCLUSIONES DEL ABOGADO GENERAL
SR. MACIEJ SZPUNAR
presentadas el 4 de septiembre de 2025 (1)
Asunto C‑312/24 [Darashev] (i)
CL
contra
Prokuratura na Republika Bulgaria
[Petición de decisión prejudicial planteada por el Sofiyski rayonen sad (Tribunal de Primera Instancia de Sofía, Bulgaria)]
« Procedimiento prejudicial — Protección de las personas físicas en lo que respecta al tratamiento de datos personales en materia penal — Directiva (UE) 2016/680 — Tratamiento de los datos recogidos durante una investigación penal que implica a un policía como sospechoso — Conservación de los datos en el expediente personal — Reglamento (UE) 2016/679 — Licitud del tratamiento — Tratamiento necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento — Objetivo de interés público — Tratamiento de datos personales relativos a condenas e infracciones penales — Derecho de supresión (“derecho al olvido”) — Igualdad de trato en el empleo y la ocupación — Directiva 2000/78/CE »
I.      Introducción
1.        Como todo empleador, las autoridades públicas tratan datos de carácter personal de sus agentes. Al mismo tiempo, el ejercicio de las funciones que tienen encomendadas puede dar lugar a que recojan ciertos datos de su personal también en otros contextos distintos de la gestión del personal y, en este caso, se plantean cuestiones relativas a la base y a los fines del tratamiento de los datos.
2.        De este modo, el órgano jurisdiccional remitente se pregunta sobre la licitud de un tratamiento de datos en cuyo marco una autoridad pública conserva, en el expediente personal de un agente, información relativa a una investigación penal en la que este fue objeto de medidas de investigación como sospechoso. En el presente asunto, los datos en cuestión fueron recogidos por esta misma autoridad pública en calidad de autoridad encargada de la investigación y se conservaron en el expediente personal a pesar de que la investigación penal fue sobreseída, sin que el agente afectado fuera declarado como investigado o encausado.
3.        La cuestión central que suscita este asunto se sitúa en la encrucijada entre el Reglamento (UE) 2016/679 (2) (en lo sucesivo, «RGPD») y la Directiva (UE) 2016/680 (3) y tiene como objetivo aclarar la base y las condiciones de ejercicio del derecho de supresión de los datos que son objeto de conservación en tales circunstancias.
II.    Marco jurídico
A.      Derecho de la Unión
1.      Directiva 2000/78/CE
4.        Según su artículo 1, la Directiva 2000/78/CE (4) «tiene por objeto establecer un marco general para luchar contra la discriminación por motivos de religión o convicciones, de discapacidad, de edad o de orientación sexual en el ámbito del empleo y la ocupación, con el fin de que en los Estados miembros se aplique el principio de igualdad de trato».
5.        A tenor del artículo 2, apartado 1, de esta Directiva, «se entenderá por principio de igualdad de trato la ausencia de toda discriminación directa o indirecta basada en cualquiera de los motivos mencionados en el artículo 1» de dicha Directiva.
2.      RGPD
6.        Los considerandos 19, 39 y 41 del RGPD señalan:
«(19)      […]
En lo que respecta al tratamiento de datos personales por parte de dichas autoridades competentes [en el sentido de la Directiva 2016/680] con fines que entren en el ámbito de aplicación del presente Reglamento, los Estados miembros deben tener la posibilidad de mantener o introducir disposiciones más específicas para adaptar la aplicación de las normas del presente Reglamento. Tales disposiciones pueden establecer de forma más precisa requisitos concretos para el tratamiento de datos personales con otros fines por parte de dichas autoridades competentes, tomando en consideración la estructura constitucional, organizativa y administrativa del Estado miembro en cuestión. […]
[…]
(39)      […] Los datos personales deben ser adecuados, pertinentes y limitados a lo necesario para los fines para los que sean tratados. Ello requiere, en particular, garantizar que se limite a un mínimo estricto su plazo de conservación. […] Para garantizar que los datos personales no se conservan más tiempo del necesario, el responsable del tratamiento ha de establecer plazos para su supresión o revisión periódica. […]
[…]
(41)      Cuando el presente Reglamento hace referencia a una base jurídica o a una medida legislativa, esto no exige necesariamente un acto legislativo adoptado por un parlamento, sin perjuicio de los requisitos de conformidad del ordenamiento constitucional del Estado miembro de que se trate. Sin embargo, dicha base jurídica o medida legislativa debe ser clara y precisa y su aplicación previsible para sus destinatarios, de conformidad con la jurisprudencia del [Tribunal de Justicia] y del Tribunal Europeo de Derechos Humanos [(en lo sucesivo, “TEDH”)].»
7.        El artículo 2 del RGPD, que lleva por título «Ámbito de aplicación material», dispone, en su apartado 1, que este «se aplica al tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero», y, en su apartado 2, letra d), que no se aplica al tratamiento de datos personales efectuado «por parte de las autoridades competentes con fines de prevención, investigación, detección o enjuiciamiento de infracciones penales, o de ejecución de sanciones penales, incluida la de protección frente a amenazas a la seguridad pública y su prevención».
8.        El artículo 4 del RGPD, titulado «Definiciones», dispone:
«A efectos del presente Reglamento se entenderá por:
1)      “datos personales”: toda información sobre una persona física identificada o identificable […]; se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación […];
2)      “tratamiento”: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización […];
[…]
6)      “fichero”: todo conjunto estructurado de datos personales, accesibles con arreglo a criterios determinados, ya sea centralizado, descentralizado o repartido de forma funcional o geográfica;
7)      “responsable del tratamiento” o “responsable”: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; […]
[…]».
9.        El artículo 6 del RGPD, titulado «Licitud del tratamiento», dispone:
«1.      El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
[…]
c)      el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
[…]
3.      La base del tratamiento indicado en el apartado 1, letras c) y e), deberá ser establecida por:
[…]
b)      el Derecho de los Estados miembros que se aplique al responsable del tratamiento.
La finalidad del tratamiento deberá quedar determinada en dicha base jurídica […]. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento […]. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido.
[…]»
10.      El artículo 9 del RGPD dispone:
«1.      Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física.
2.      El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes:
[…]».
11.      A tenor del artículo 10 del RGPD:
«El tratamiento de datos personales relativos a condenas e infracciones penales o medidas de seguridad conexas sobre la base del artículo 6, apartado 1, solo podrá llevarse a cabo bajo la supervisión de las autoridades públicas o cuando lo autorice el Derecho de la Unión o de los Estados miembros que establezca garantías adecuadas para los derechos y libertades de los interesados. […]»
12.      El artículo 17 del RGPD, titulado «Derecho de supresión (“el derecho al olvido”)», dispone:
«1.      El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes:
a)      los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo;
[…]
d)      los datos personales hayan sido tratados ilícitamente;
[…]
3.      Los apartados 1 y 2 no se aplicarán cuando el tratamiento sea necesario:
[…]
b)      para el cumplimiento de una obligación legal que requiera el tratamiento de datos impuesta por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento […];
[…]».
3.      Directiva 2016/680
13.      El artículo 1, apartado 1, de la Directiva 2016/680 dispone:
«La presente Directiva establece las normas relativas a la protección de las personas físicas en lo que respecta al tratamiento de los datos personales por parte de las autoridades competentes, con fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, incluidas la protección y la prevención frente a las amenazas contra la seguridad pública.»
14.      El artículo 3 de esta Directiva define los conceptos de «datos personales» y de «tratamiento» en términos idénticos a los del RGPD.
15.      A tenor del artículo 3, punto 7, de dicha Directiva, se entenderá por «autoridad competente», en particular, toda autoridad pública competente para la prevención, investigación, detección o enjuiciamiento de infracciones penales o la ejecución de sanciones penales, incluidas la protección y prevención frente a amenazas para la seguridad pública.
16.      El artículo 9 de la misma Directiva, titulado «Condiciones de tratamiento específicas», dispone, en su apartado 1:
«Los datos personales recogidos por las autoridades competentes para los fines establecidos en el artículo 1, apartado 1, no serán tratados para otros fines distintos de los establecidos en el artículo 1, apartado 1, salvo que dicho tratamiento esté autorizado por el Derecho de la Unión o del Estado miembro. Cuando los datos personales sean tratados para otros fines, se aplicará el [RGPD] a menos que el tratamiento se efectúe como parte de una actividad que quede fuera del ámbito de aplicación del Derecho de la Unión.»
17.      El artículo 16, apartado 2, de la Directiva 2016/680 establece, en concreto, las situaciones en las que los Estados miembros dispondrán el derecho del interesado a obtener del responsable del tratamiento la supresión de los datos personales que le conciernan.
B.      Derecho búlgaro
1.      ZMVR
18.      El artículo 29, apartados 1 y 2, de la Zakon za Ministerstvo na vatreshnite raboti (Ley del Ministerio del Interior),(5) en su versión aplicable al litigio principal (en lo sucesivo, «ZMVR»), dispone:
«(1)      El responsable del tratamiento de los datos es el ministro del Interior, que podrá encomendar el tratamiento de datos personales a los funcionarios que designe.
(2)      Los procedimientos de tratamiento de los datos personales serán establecidos mediante una orden del ministro del Interior».
19.      El artículo 147 de la ZMVR establece:
«(1)      Se elaborará y mantendrá un expediente personal referido a cada agente del Ministerio del Interior.
(2)      Las condiciones de elaboración, de gestión y de conservación de los expedientes personales, así como sus condiciones de uso serán establecidas mediante orden del ministro del Interior.»
2.      Orden relativa a los expedientes personales
20.      La Orden n.º 8121z‑532, de 9 de septiembre de 2014, relativa a la redacción, al mantenimiento, al almacenamiento y a la utilización de los expedientes personales de los agentes del Ministerio del Interior, dictada por el ministro del Interior (6) (en lo sucesivo, «Orden relativa a los expedientes personales»), dispone, en su artículo 3:
«Los expedientes personales serán compilados y conservados por el departamento de “Recursos Humanos” de las unidades de que se trate, numerados de forma correlativa, descritos en un libro diario y almacenados en locales (archivos) que reúnan las condiciones de conservación de los materiales que contienen información clasificada.»
21.      Con arreglo al artículo 5, apartado 2, de esta Orden, el tratamiento de la información almacenada en los expedientes personales se llevará acabo, entre otros, a efectos del inicio, de la modificación y del cese de la relación laboral o de servicio de los agentes.
22.      El artículo 6 de la mencionada Orden establece:
«(1)      En los expedientes personales, se recogerán y almacenarán documentos clasificados en tres secciones, que contendrán datos e información sobre el estudio, el nombramiento, la celebración de contratos de trabajo, el cambio de funciones y el cese en sus funciones de los agentes.
[…]
(4)      La tercera sección contendrá documentos relativos al cambio de funciones [resoluciones, actas de toma de posesión del cargo y de cese en las funciones, documentos relativos a procedimientos disciplinarios […]]».
III. Litigio principal, cuestiones prejudiciales y procedimiento ante el Tribunal de Justicia
23.      El Ministerstvo na vatreshnite raboti (Ministerio del Interior, Bulgaria) (en lo sucesivo, «Ministerio») es una autoridad administrativa que tiene como cometido el mantenimiento del orden público y que se compone de diversas direcciones generales (en lo sucesivo, «DG»). La DG de Seguridad Interna tiene encomendada la ejecución de las medidas de investigación referidas a los agentes del Ministerio por todo tipo de delitos. Entre 2012 y 2023, el demandante en el litigio principal desempeñó diversas funciones como policía en la DG de la Policía de Seguridad y en la DG de la Policía Nacional.
24.      El 1 de marzo de 2016, se incoó un procedimiento de investigación contra un autor desconocido por un delito de robo. El 17 de mayo de 2016, durante una reunión a la que asistía con los policías del servicio en el que desempeñaba sus funciones, el demandante en el litigio principal fue detenido, delante de sus colegas, y se le obligó a entregar su placa, su arma y su tarjeta de servicio. Tras permanecer veinticuatro horas en detención preventiva, fue puesto en libertad. Posteriormente, no fue declarado como investigado ni encausado, pero fue objeto de diversas medidas de investigación.
25.      Durante el año 2016, se suspendió el procedimiento contra el demandante en el litigio principal, ya que no fue posible identificar al autor del delito. A continuación, se adoptó una resolución de sobreseimiento del procedimiento.
26.      El demandante en el litigio principal se reincorporó a sus funciones de policía y participó en procedimientos de selección para la promoción a otros puestos en el Ministerio.
27.      Posteriormente, el demandante en el litigio principal interpuso un recurso ante el Sofiyski rayonen sad (Tribunal de Primera Instancia de Sofía, Bulgaria), el órgano jurisdiccional remitente, contra la Prokuratura na Republika Bulgaria (Fiscalía de la República de Bulgaria; en lo sucesivo, «Fiscalía»). Solicita que se condene a la Fiscalía al pago de una indemnización en reparación del daño moral ocasionado por las medidas adoptadas en su contra en el marco de la investigación penal y por las consecuencias de dicho procedimiento, en particular el hecho de no haber obtenido promociones o traslados a otros puestos debido a su condición de sospechoso en el marco de dicha investigación. Asimismo, solicita que su nombre sea suprimido de la base de datos que conserva el Ministerio y en la que afirma figurar como sospechoso.
28.      El órgano jurisdiccional remitente indica que el Ministerio es el empleador de todas las personas que desempeñan sus funciones en su seno. Cada DG conserva información relativa a sus agentes en sus expedientes personales. La información obtenida en el marco de una investigación llevada a cabo por la DG de Seguridad Interna también se conserva en estos. En el procedimiento principal, se ha constatado que el Ministerio, en su condición de empleador, conserva información relativa al hecho de que el demandante en el litigio principal fue considerado sospechoso y detenido en el marco de la investigación en cuestión. Sin embargo, el órgano jurisdiccional remitente alberga dudas sobre la compatibilidad de esta conservación en el expediente personal con el RGPD y la Directiva 2016/680, así como sobre la compatibilidad de la supuesta denegación de promociones con la Directiva 2000/78.
29.      En este contexto, el Sofiyski rayonen sad (Tribunal de Primera Instancia de Sofía) decidió suspender el procedimiento y plantear al Tribunal de Justicia las siguientes cuestiones prejudiciales:
«¿Debe interpretarse el artículo 2, apartado 1, del RGPD en el sentido de que el tratamiento de datos incluye actividades de una misma estructura organizativa en la que algunas de [las DG] desempeñan las funciones de un empleador, mientras que otra Dirección actúa como autoridad de investigación en procesos penales contra empleados de las demás Direcciones? En caso de respuesta afirmativa:
1)      ¿Debe interpretarse la expresión “tratamiento de datos personales” del artículo 4, punto 2, del RGPD en el sentido de que comprende una actividad en el marco de la cual se incorpora al expediente personal de un empleado información que el empleador, en su condición de autoridad de investigación, ha obtenido a través de una de sus Direcciones en relación con ese mismo empleado?
2)      ¿Debe interpretarse el término “fichero” del artículo 4, punto 6, del RGPD en el sentido de que comprende el expediente personal de un empleado o trabajador que presta sus servicios en una Dirección del empleador, cuando la información fue recabada por otra Dirección de dicho empleador que tiene la condición de autoridad de investigación?
3)      ¿Debe interpretarse el artículo 9, apartado 2, letra b), del RGPD en el sentido de que una unidad organizativa de un empleador puede recoger y almacenar datos relativos al hecho de que el empleado fue sospechoso/acusado/encausado en un proceso penal, cuando esta información fue recogida por otra unidad organizativa del empleador que tiene la condición de autoridad de investigación?
4)      ¿Debe interpretarse el “derecho al olvido” previsto en el artículo 17, apartado 1, letra a), del RGPD en el sentido de que un empleador debe suprimir del expediente personal del empleado cualquier dato que haya sido recogido y almacenado por otra de sus Direcciones que tenga la condición de autoridad de investigación de sus empleados, sobre el hecho de que el empleado:
–        es sospechoso/acusado/encausado por un delito en un proceso penal en curso;
–        es sospechoso/acusado/encausado por un delito respecto al cual se ha suspendido o sobreseído el proceso penal?
5)      ¿Deben interpretarse los datos personales “tratados ilícitamente” con arreglo al artículo 17, apartado 1, letra d), del RGPD en el sentido de que incluyen los datos recibidos, recogidos y almacenados por el empleador a través de otra de sus unidades organizativas que realiza tareas de investigación en procesos penales contra empleados de otras unidades organizativas del empleador, cuando dichos datos se almacenan en el expediente personal y se refieren al hecho de que el empleado es sospechoso/acusado/encausado por un delito, a saber:
–        es sospechoso/acusado/encausado por un delito en un proceso penal en curso;
–        es sospechoso/acusado/encausado por un delito respecto al cual se ha suspendido o sobreseído el proceso penal?
6)      ¿Deben interpretarse los “datos personales” a efectos del artículo 3, punto 1, de la [Directiva 2016/680], en relación con el artículo 52 de la Carta de los Derechos Fundamentales de la Unión Europea [(en lo sucesivo, “Carta”)], en el sentido de que se trata de datos obtenidos, recogidos y almacenados por el empleador a través de una de sus unidades organizativas que ejerce las funciones de autoridad de investigación en un proceso penal contra un empleado que desempeña sus funciones en otra unidad organizativa del empleador?
7)      ¿Debe interpretarse el “tratamiento” a efectos del artículo 3, punto 2, de la [Directiva 2016/680], en relación con el artículo 52 de la [Carta], en el sentido de que comprende una actividad consistente en el almacenamiento, por parte del empleador, de datos en el expediente personal del empleado que aquel ha obtenido, recogido y almacenado a través de una de sus unidades organizativas que ejerce las funciones de autoridad de investigación en un proceso penal contra un trabajador del empleador que desempeña sus funciones en otra unidad organizativa de este?
8)      ¿Debe interpretarse el artículo 9, apartado 1, de la [Directiva 2016/680], en relación con el artículo 52 de la [Carta], en el sentido de que permite al empleador recoger y almacenar información relativa a un empleado que es sospechoso/acusado/encausado, cuando el empleador ha recogido dicha información a través de otra de sus unidades organizativas que tiene la condición de autoridad de investigación en un proceso penal contra dicho empleado?
9)      ¿Debe interpretarse el artículo 16, apartado 2, de la [Directiva 2016/680], en relación con el artículo 52 de la [Carta], en el sentido de que el empleador debe suprimir del expediente personal del empleado cualquier dato que haya recogido y almacenado por medio de otra de sus unidades organizativas que tiene la condición de autoridad de investigación en un proceso penal contra dicho empleado y que se refiera al hecho de que este:
–        es sospechoso/acusado/encausado por un delito en un proceso penal en curso;
–        es sospechoso/acusado/encausado por un delito respecto al cual se ha suspendido o sobreseído el proceso penal?
10)      ¿Debe interpretarse el artículo 1 de la [Directiva 2000/78] en el sentido de que no permite que un empleador, del que una unidad organizativa emprenda acciones de investigación contra un empleado de otra unidad organizativa, deniegue la promoción profesional de este basándose únicamente en que dicho empleado:
–        es sospechoso/acusado/encausado por un delito en un proceso penal en curso;
–        es sospechoso/acusado/encausado por un delito respecto al cual se ha suspendido o sobreseído el proceso penal?»
30.      Los Gobiernos búlgaro y húngaro, así como la Comisión Europea, han presentado observaciones escritas. El Gobierno búlgaro y la Comisión participaron en la vista celebrada el 21 de mayo de 2025.
IV.    Apreciación
A.      Sobre la admisibilidad de las cuestiones prejudiciales
31.      El Gobierno búlgaro alega la inadmisibilidad manifiesta de las cuestiones prejudiciales en su conjunto, invocando los siguientes motivos.
32.      En primer lugar, este Gobierno sostiene que la petición de reparación del perjuicio únicamente está dirigida contra la Fiscalía, que forma parte del Poder Judicial, cuando únicamente el Ministerio, que forma parte del Poder Ejecutivo y que era el empleador del demandante en el litigio principal, dispone de la información que figura en el expediente personal de este. Por ello, afirma que el demandante en el litigio principal no puede solicitar a la Fiscalía la supresión de sus datos, ni considerarla responsable del hecho de que el Ministerio posea esa información, ni acusarla de haber obstaculizado su promoción profesional.
33.      En segundo lugar, dicho Gobierno señala que, para que se considere que la Fiscalía ha incurrido en responsabilidad, el órgano jurisdiccional remitente debe determinar, de conformidad con la normativa nacional sobre la responsabilidad del Estado, si se han vulnerado los derechos del demandante en el litigio principal en su calidad de encausado y si fue injustamente acusado de una infracción penal. Sin embargo, el asunto principal no tiene por objeto la aplicación del RGPD ni la de la normativa nacional que transpone las Directivas 2016/680 y 2000/78. En consecuencia, la interpretación de estos actos del Derecho de la Unión no es necesaria para dirimir el litigio principal.
34.      No comparto esta opinión.
35.      Quisiera recordar que las cuestiones prejudiciales planteadas por el juez nacional en el marco normativo y fáctico definido bajo su responsabilidad y cuya exactitud no corresponde verificar al Tribunal de Justicia disfrutan de una presunción de pertinencia. (7)
36.      En el presente asunto, considero que esta presunción no puede cuestionarse. En efecto, de la resolución de remisión se desprende que el litigio principal versa sobre el daño moral que afirma haber sufrido el demandante en el litigio principal, en concreto, debido a la denegación de promociones a consecuencia de haber sido sospechoso. Además, el demandante en el litigio principal solicita la supresión de los datos conservados en Ministerio relativos a su condición de sospechoso en el marco de esta investigación. Estas pretensiones dan origen a las dudas que se plantea el órgano jurisdiccional remitente sobre la interpretación de la Directiva 2000/78 y sobre la del RGPD y de la Directiva 2016/680. (8)
37.      Es cierto que el órgano jurisdiccional remitente no explica si las medidas adoptadas por el Ministerio a resultas de la investigación penal pueden imputarse a la Fiscalía en el marco de tal pretensión de indemnización. Únicamente indica que, según la jurisprudencia nacional, las demandas de indemnización se dirigen contra la Fiscalía siempre que se refieran a una investigación penal. Pues bien, la cuestión de la posible imputación de los actos supuestamente perjudiciales del Ministerio se enmarca exclusivamente en el Derecho nacional. Lo mismo sucede respecto de la cuestión de la legitimación pasiva en el marco de una demanda de indemnización basada en la responsabilidad del Estado en relación con una investigación penal. En consecuencia, estas alegaciones del Gobierno búlgaro se basan en la interpretación y la aplicación del Derecho nacional. Pues bien, procede recordar que no corresponde al Tribunal de Justicia pronunciarse sobre la interpretación de las disposiciones nacionales ni juzgar si la interpretación o aplicación que hace de ellas el órgano jurisdiccional nacional es correcta, ya que tal interpretación es competencia exclusiva de este último. (9)
38.      Por consiguiente, propongo no considerar que las cuestiones prejudiciales sean inadmisibles en su conjunto.
39.      En cambio, observo que las cuestiones prejudiciales tercera a quinta y octava a décima versan parcialmente sobre situaciones hipotéticas que no se corresponden con los antecedentes de hecho del litigio según se han expuesto en la resolución de remisión, a saber, la participación de una persona sospechosa, acusada o encausada en un procedimiento pendiente, suspendido o sobreseído. Pues bien, de la resolución de remisión se desprende que la investigación penal fue sobreseída y que los procedimientos de selección en los que participó el demandante en el litigio principal tuvieron lugar después de esta resolución de sobreseimiento. Asimismo, está acreditado que este únicamente fue considerado sospechoso.
40.      Por lo tanto, procede considerar que las cuestiones prejudiciales tercera a quinta y octava a décima son inadmisibles por cuanto son hipotéticas, en la medida en que se refieren a situaciones distintas de la del demandante en el litigio principal.
B.      Sobre el fondo
1.      Observaciones preliminares sobre el alcance de las cuestiones prejudiciales
41.      El órgano jurisdiccional remitente ha planteado un total de once cuestiones prejudiciales, que se refieren al RGPD (cuestión previa y cuestiones prejudiciales primera a quinta), a la Directiva 2016/680 (cuestiones prejudiciales sexta a novena) y a la Directiva 2000/78 (décima cuestión prejudicial).
42.      De la presente petición de decisión prejudicial se desprende que el órgano jurisdiccional remitente pregunta cuál es el acto jurídico —el RGPD o la Directiva 2016/680— sobre cuya base un agente puede solicitar, en unas circunstancias como las examinadas en el litigio principal, la supresión de los datos de su expediente personal que le identifican como sospechoso en el marco de una investigación penal sobreseída.
43.      En primer lugar, en aras de la claridad, debe precisarse la premisa fáctica que constituye el objeto de las cuestiones relativas al RGPD y a la Directiva 2016/680. Debo señalar que, si bien la mayoría de estas cuestiones (10) se refieren expresamente a los datos conservados en el expediente personal del agente, algunas (11) se refieren, de forma más general, a la conservación por el empleador de los datos de un agente que desempeñe sus funciones en un departamento del empleador, mientras que los datos han sido recogidos por el departamento encargado de la investigación.
44.      A la luz del conjunto de la motivación de la resolución de remisión, todas estas cuestiones tienen por objeto la conservación de datos del agente en su expediente personal. Si bien la petición de decisión prejudicial también menciona, de manera puntual, la conservación de los datos en «archivos» o «bases de datos» del Ministerio, estas indicaciones no se desarrollan posteriormente y, en todo caso, no se reproducen en las cuestiones prejudiciales.
45.      Por lo tanto, mi análisis se referirá únicamente a la conservación de datos en el expediente personal.
46.      En segundo lugar, con el fin de aportar indicaciones útiles para que el órgano jurisdiccional remitente pueda pronunciarse sobre la solicitud de supresión, considero necesario reformular de forma conjunta varias cuestiones. (12) Por las razones que expondré a continuación, analizaré las cuestiones agrupándolas de la siguiente manera:
–        la cuestión previa, así como las cuestiones prejudiciales primera, segunda y sexta a octava, que pretenden, en esencia, determinar el ámbito de aplicación del RGPD;
–        las cuestiones prejudiciales tercera a quinta, que versan, en esencia, sobre las condiciones de licitud del tratamiento en el marco del ejercicio del derecho de supresión en virtud del RGPD;
–        la novena cuestión prejudicial, que se refiere al derecho de supresión con arreglo a la Directiva 2016/680;
–        la décima cuestión prejudicial, que tiene por objeto la Directiva 2000/78.
2.      Sobre la cuestión previa y las cuestiones prejudiciales primera, segunda y sexta a octava
a)      Sobre la reformulación de las cuestiones prejudiciales
47.      Mediante su cuestión previa, el órgano jurisdiccional remitente pregunta, en esencia, si el artículo 2, apartado 1, del RGPD debe interpretarse en el sentido de que este Reglamento es aplicable al tratamiento de datos por una autoridad pública en cuyo seno algunas de sus unidades organizativas desempeñan las funciones de empleador, mientras que otro departamento actuó como autoridad de investigación en el procedimiento penal incoado contra agentes de los otros departamentos.
48.      En caso de respuesta afirmativa, este órgano jurisdiccional pregunta, en esencia, mediante sus cuestiones primera y segunda, si el artículo 4, puntos 2 y 6, del RGPD debe interpretarse en el sentido de que la conservación, en el expediente personal de un agente de una autoridad pública, de datos personales que esta autoridad pública ha obtenido a través de su departamento que actúa como autoridad de investigación constituye un «tratamiento de datos personales» contenidos en un «fichero».
49.      Si bien, mediante las cuestiones prejudiciales primera y segunda, el órgano jurisdiccional remitente interroga formalmente al Tribunal de Justicia sobre la interpretación que debe hacerse de estos dos conceptos, opino que este no es el auténtico objeto de estas cuestiones. Al hacer referencia al doble papel en el que una autoridad pública, como el Ministerio, trata los datos de sus agentes (la recogida como autoridad de investigación y la conservación como empleador), dichas cuestiones deben entenderse como las premisas del razonamiento dirigido a determinar el ámbito de aplicación del RGPD. A mi entender, esta lectura se ve confirmada por el hecho de que el órgano jurisdiccional remitente no plantea ninguna duda concreta sobre la interpretación de estos conceptos en la motivación de las referidas cuestiones.
50.      En lo referente a la octava cuestión prejudicial, considero que se inscribe en la misma línea de razonamiento y tiene por objeto dilucidar, en esencia, si el artículo 9, apartado 1, de la Directiva 2016/680 (13) debe interpretarse en el sentido de que autoriza a una autoridad pública a conservar información relativa a la condición de sospechoso de uno de sus agentes en el marco de una investigación penal, pese a que esta autoridad ha recogido dicha información a través de una de sus unidades organizativas que actuaba en calidad de autoridad de investigación.
51.      Resulta del tenor literal de esta octava cuestión prejudicial, así como de la motivación de la petición de decisión prejudicial, que el órgano jurisdiccional remitente alberga dudas, más concretamente, sobre la articulación de los ámbitos de aplicación del RGPD y de la Directiva 2016/680, cuando los datos conservados en el expediente personal hayan sido recogidos por una unidad organizativa del empleador en el ejercicio de sus funciones de «autoridad competente», en el sentido del artículo 3, punto 7, de esta Directiva. Como explicaré más adelante en las presentes conclusiones, el artículo 9 de dicha Directiva establece precisamente la relación entre esta Directiva y el RGPD en caso de tratamiento posterior de datos recogidos por las autoridades competentes.
52.      Las cuestiones prejudiciales sexta y séptima versan, en esencia, sobre si la conservación, en el expediente personal del agente de una autoridad pública, de datos personales que esta haya obtenido a través de su unidad organizativa que actúa como autoridad de investigación constituye un «tratamiento de datos personales», en el sentido del artículo 3, puntos 1 y 2, de la Directiva 2016/680.
53.      Considero que estas dos cuestiones, al igual que las cuestiones prejudiciales primera y segunda, no plantean, en realidad, ninguna pregunta sobre la interpretación de los conceptos de «tratamiento» y de «datos personales», sino que son puramente instrumentales al objeto de determinar qué acto del Derecho de la Unión —el RGPD o la Directiva 2016/680— es aplicable. En todo caso, estos conceptos se definen en términos idénticos a los de la Directiva 2016/680, (14) de manera que no constituyen un elemento diferenciador.
54.      Por estas razones, propongo considerar que, mediante su cuestión previa y sus cuestiones primera, segunda y sexta a octava en su conjunto, el órgano jurisdiccional remitente pregunta, en esencia, si el artículo 2, apartado 1, del RGPD y el artículo 9, apartado 1, de la Directiva 2016/680 deben interpretarse en el sentido de que este Reglamento se aplica a la conservación, por una autoridad pública, de datos en el expediente personal de uno de sus agentes relativos a su condición de sospechoso en el marco de una investigación penal, cuando los datos han sido recogidos por una unidad organizativa de esta autoridad pública en el ejercicio de sus funciones de autoridad competente, en el sentido de dicha Directiva.
b)      Apreciación
55.      En primer lugar, observo que el artículo 2, apartado 1, del RGPD define, de manera amplia, el ámbito de aplicación material de este Reglamento, que incluye todo «tratamiento total o parcialmente automatizado de datos personales, así como [el] tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero». (15)
56.      En el litigio principal no parece estar en disputa que la información relativa a la condición de sospechoso que se conserva en el expediente personal del demandante en el litigio principal es constitutiva de datos personales, en el sentido del artículo 4, punto 1, del RGPD.
57.      Además, el registro y la conservación de datos de los agentes en su expediente personal ciertamente constituyen un «tratamiento», según la definición contenida en el artículo 4, punto 2, del RGPD, y no parece caber la menor duda de que el ministro del Interior es el responsable del tratamiento, a efectos del artículo 4, punto 7, de este Reglamento. (16)
58.      En cuanto al concepto de «fichero», debo precisar que este concepto solo es pertinente en ausencia de un tratamiento efectuado, al menos parcialmente, de manera automatizada. (17) El artículo 4, punto 6, del RGPD define el término «fichero» como «todo conjunto estructurado de datos personales, accesibles con arreglo a criterios determinados […]». Los criterios de estructuración específicos del fichero o la forma de este no están regulados y tampoco se precisa que los datos deban figurar en bases de datos electrónicas o en ficheros o registros físicos. (18) Así pues, un expediente personal que recoja datos de los agentes o de los empleados de manera estructurada está comprendido en el concepto de «fichero». Sin perjuicio de las comprobaciones que debe efectuar el órgano jurisdiccional remitente, tal parece ser el caso en el presente asunto. (19)
59.      En segundo lugar, el artículo 2, apartado 2, letra d), del RGPD dispone que este Reglamento no se aplica al tratamiento de datos personales por parte de las autoridades competentes con fines, entre otros, de prevención y de detección de infracciones penales y de investigación en la materia. Según se desprende del considerando 19 de dicho Reglamento y del artículo 1, apartado 1, de la Directiva 2016/680, tal tratamiento se rige por esta última Directiva como lex specialis. (20)
60.      En tercer lugar, tanto el RGPD como la Directiva 2016/680 establecen el principio de la «limitación de la finalidad»,(21) según el cual los datos personales deben recogerse con fines determinados, explícitos y legítimos, y no ser tratados de manera incompatible con dichos fines. Sin embargo, este principio no se aplica de manera absoluta. (22) En efecto, el artículo 9, apartado 1, de esta Directiva dispone que se pueden tratar datos para otros fines distintos de los fines establecidos en su artículo 1, apartado 1, para los que se hayan recogido dichos datos, y que se aplica el RGPD a este tratamiento, (23) siempre que tal tratamiento «esté autorizado por el Derecho de la Unión o del Estado miembro». Esta reserva significa simplemente que la licitud del tratamiento para otros fines debe apreciarse a la luz del RGPD. (24)
61.      En el caso de autos, no cabe la menor duda de que el Ministerio ha recogido y tratado, por medio de su dirección encargada de las medidas de investigación contra sus agentes, los datos del demandante en el litigio principal para los fines establecidos en el artículo 1, apartado 1, de la Directiva 2016/680, como autoridad competente a los efectos del artículo 3, punto 7, de esta Directiva.
62.      En cuanto a la conservación de estos datos en el expediente personal del demandante, el órgano jurisdiccional remitente no ofrece ninguna indicación sobre los fines perseguidos. Sin embargo, según las explicaciones proporcionadas por el Gobierno búlgaro, (25) sujeto a las comprobaciones que debe efectuar el órgano jurisdiccional remitente, la conservación en el expediente personal no se ha llevado a cabo con los fines establecidos en el artículo 1, apartado 1, de la Directiva 2016/680. En estas condiciones, considero, al igual que todos los participantes en el procedimiento que han presentado observaciones escritas, que el RGPD se aplica al tratamiento, en el expediente personal, de datos como los controvertidos en el litigio principal.
63.      En consecuencia, propongo al Tribunal de Justicia que responda a la cuestión previa y a las cuestiones prejudiciales primera, segunda y sexta a octava que el artículo 2, apartado 1, del RGPD y el artículo 9, apartado 1, de la Directiva 2016/680 deben interpretarse en el sentido de que este Reglamento es aplicable a la conservación, por una autoridad pública, de datos en el expediente personal de uno de sus agentes relativos a su condición de sospechoso en el marco de una investigación penal, cuando los datos hayan sido recogidos por una unidad organizativa de esta autoridad pública en el ejercicio de sus funciones de autoridad competente, en el sentido de dicha Directiva, siempre y cuando la conservación persiga fines distintos de los establecidos en el artículo 1, apartado 1, de esta.
3.      Sobre las cuestiones prejudiciales tercera a quinta
a)      Sobre la reformulación de las cuestiones prejudiciales
64.      Mediante su tercera cuestión prejudicial, el órgano jurisdiccional remitente pregunta, en esencia, si el artículo 9, apartado 2, letra b), del RGPD debe interpretarse en el sentido de que una unidad organizativa de una autoridad pública puede recoger y conservar datos relativos al hecho de que uno de sus agentes ha sido considerado sospechoso en el marco de un procedimiento penal, cuando dicha información fue recogida por otro departamento de esta autoridad que era la autoridad de investigación.
65.      La cuarta cuestión prejudicial pretende averiguar si el artículo 17, apartado 1, letra a), del RGPD debe interpretarse en el sentido de que una autoridad pública debe suprimir, en su condición de empleador, todos los datos del expediente personal de un agente relativos a su condición de sospechoso en el marco de una investigación penal sobreseída, cuando dichos datos fueron recogidos por un departamento de esta autoridad que tenía la condición de autoridad encargada de la investigación dirigida contra ese agente.
66.      Asimismo, la quinta cuestión prejudicial tiene por objeto determinar, en esencia, si el artículo 17, apartado 1, letra d), de este Reglamento debe interpretarse en el sentido de que tales datos son «tratados ilícitamente».
67.      En lo tocante a la disposición a la que se refiere la tercera cuestión prejudicial, debe señalarse que el artículo 9 del RGPD regula, como se desprende de su apartado 1, el tratamiento de ciertas categorías especiales de datos. Nada en la resolución de remisión indica que, en el presente asunto, los datos procedentes de la investigación penal que se conservan en el expediente personal correspondan a una de estas categorías. Por lo tanto, el artículo 9, apartado 2, letra b), de este Reglamento no puede constituir una base para la conservación de los datos controvertidos en el presente caso. Como explicaré a continuación en las presentes conclusiones, la base de la licitud debe buscarse en otras disposiciones de dicho Reglamento, que no se mencionan en las cuestiones planteadas por el órgano jurisdiccional remitente. (26)
68.      Las disposiciones del artículo 17, apartado 1, letras a) y d), del RGPD, que constituyen el objeto de las cuestiones prejudiciales cuarta y quinta, consagran los motivos de supresión de los datos que «ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados» [letra a)] o que «hayan sido tratados ilícitamente» [letra d)].
69.      Pues bien, de una lectura conjunta de estas dos cuestiones y de la motivación de la petición de decisión prejudicial se desprende que, mediante estas, el órgano jurisdiccional remitente se pregunta, de manera más fundamental, como premisa para pronunciarse sobre la solicitud de supresión, si la conservación de los datos de que se trata en el expediente personal es lícita.
70.      Si bien el órgano jurisdiccional remitente no proporciona ninguna indicación sobre el posible motivo de licitud pertinente en el presente asunto ni sobre el marco jurídico nacional aplicable, tanto la Comisión como el Gobierno búlgaro han hecho referencia, en sus observaciones escritas, al artículo 6, apartado 1, letra c), del RGPD.
71.      Según esta disposición, un tratamiento es lícito cuando sea necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento. El artículo 6, apartado 3, del RGPD precisa, en particular, que el Derecho del Estado miembro que se aplique al responsable del tratamiento y que defina la base del tratamiento cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido. Esta misma causa de licitud se refleja en el artículo 17, apartado 3, letra b), de este Reglamento, que excluye el derecho de supresión previsto en su artículo 17, apartado 1, cuando el tratamiento de los datos sea necesario para cumplir dicha obligación legal. (27)
72.      A este respecto, el Gobierno búlgaro ha precisado que el tratamiento de los datos personales a los efectos del establecimiento, del mantenimiento, de la conservación y de la utilización de los expedientes personales de los agentes del Ministerio se realiza sobre la base de la Orden relativa a los expedientes personales dictada por el ministro del Interior con arreglo al artículo 147, apartado 2, de la ZMVR. Esta Orden dispone que se conservarán, en particular, todos los datos a efectos del «cambio de funciones» de los agentes, como los relativos a los procedimientos disciplinarios. (28) Sobre este punto, este Gobierno ha indicado que, según las disposiciones aplicables en materia de responsabilidad disciplinaria de los agentes del Ministerio, respecto de todo incidente relativo a una infracción penal en el seno del Ministerio, se incorporará al expediente personal una copia del informe sobre el resultado de la investigación y sobre si procede exigir responsabilidad disciplinaria al agente. Según dicho Gobierno, de ello se deriva que la conservación de estos datos en el expediente personal está justificada por las funciones especiales de los agentes de policía, que tienen como finalidad mantener el orden público.
73.      Sobre la base de estas premisas basadas en las observaciones presentadas ante el Tribunal de Justicia, (29) propongo reformular las cuestiones prejudiciales tercera a quinta en el sentido de que tienen por objeto determinar si el artículo 17, apartado 3, del RGPD, en relación con su artículo 6, apartados 1, letra c), y 3, debe interpretarse en el sentido de que la conservación, en el expediente personal de un agente de policía, de datos personales relativos a una investigación penal en cuyo marco dicho agente haya sido objeto de medidas de investigación como sospechoso y que se haya sobreseído puede considerarse lícita a efectos del cumplimiento de una obligación legal aplicable a la autoridad pública, que es su empleador, en virtud del Derecho nacional en su condición de responsable del tratamiento, únicamente debido a la naturaleza de las funciones que debe llevar a cabo dicho agente.
b)      Apreciación
74.      Parece desprenderse de las explicaciones proporcionadas por el Gobierno búlgaro que la base jurídica de la conservación de los datos en cuestión resulta de una lectura combinada de varias disposiciones que figuran en una «orden» dictada por el ministro del Interior sobre la base de la ZMVR, que establece una delegación expresa del poder reglamentario a dicho ministro.
75.      A este respecto, se plantea, en primer lugar, la cuestión de si la base del tratamiento, en el sentido del artículo 6, apartado 3, del RGPD, puede definirse mediante un acto reglamentario adoptado por una autoridad pública de un Estado miembro en virtud de una habilitación legal prevista en un acto legislativo nacional.
76.      El considerando 41 del RGPD señala, en su primera frase, que el requisito de una base jurídica no exige necesariamente un acto legislativo adoptado por un parlamento, sin perjuicio de los requisitos de conformidad del ordenamiento constitucional del Estado miembro de que se trate. De ello se deduce que el legislador de la Unión no ha pretendido excluir que una obligación legal relativa al tratamiento se defina en el Derecho nacional mediante una base jurídica distinta de una ley en el sentido formal, de conformidad con el Derecho constitucional nacional.
77.      Además, debe señalarse que, según el considerando 19 del RGPD, los Estados miembros deben tener un cierto margen de maniobra en cuanto al tratamiento de datos efectuado, como en el presente asunto, por parte de una autoridad competente, en el sentido de la Directiva 2016/680, pero con fines que entren en el ámbito de aplicación del RGPD. De este modo, los Estados miembros deben tener la posibilidad de mantener o introducir disposiciones más específicas para adaptar la aplicación del RGPD en lo tocante al tratamiento de tales datos, «tomando en consideración la estructura constitucional, organizativa y administrativa del Estado miembro en cuestión».
78.      Así pues, el RGPD no se opone a que la base jurídica del tratamiento se defina en un acto reglamentario adoptado de conformidad con el Derecho constitucional nacional. Sin embargo, dicho margen de maniobra no puede interpretarse en el sentido de que permite utilizar de manera arbitraria las cláusulas denominadas «de apertura», como la del artículo 6, apartado 3, del RGPD, que permite introducir en el Derecho nacional una obligación legal como motivo de licitud del tratamiento de los datos. (30) En efecto, como dispone la segunda frase del considerando 41 de este Reglamento, reproduciendo la jurisprudencia relativa al artículo 52, apartado 1, de la Carta, (31) a la luz de la cual debe interpretarse el artículo 6, apartado 3, de dicho Reglamento, (32) la base jurídica del tratamiento debe ser clara y precisa y su aplicación previsible para sus destinatarios.
79.      En el presente caso, de los autos del asunto se desprende que las órdenes del Ministerio se dictan como actos reglamentarios sobre la base de la habilitación legal prevista en la ZMVR y también se publican en el Darzhaven vestnik (Diario Oficial). Por consiguiente, no constituyen unas órdenes puramente internas, que, evidentemente, no pueden calificarse de «ley» en el sentido material. (33)
80.      No obstante, las disposiciones a las que hace referencia el Gobierno búlgaro, a mi entender, plantean preguntas sobre la previsibilidad del tratamiento de los datos procedentes de una investigación penal. Más concretamente, tengo dudas sobre la previsibilidad de la finalidad del tratamiento que, con arreglo al artículo 6, apartado 3, del RGPD, debe quedar determinada en la base jurídica del tratamiento.
81.      Según las indicaciones proporcionadas por el Gobierno búlgaro, entre estas finalidades, que aparecen enumeradas de manera exhaustiva en el artículo 5, apartado 2, de la Orden relativa a los expedientes personales, figura la relativa a la «modificación […] de servicio de los agentes», a la que afirma que corresponde la conservación de los datos de que se trata. Según el artículo 6, apartado 4, de esta Orden, los datos conservados a efectos del «cambio de funciones» incluyen, entre otros, los «documentos relativos a procedimientos disciplinarios».
82.      Ahora bien, al considerar el contenido de los datos en cuestión, parece que esta finalidad se entiende en el sentido de que incluye, de manera muy amplia y a pesar de su tenor literal, incluso la conservación de datos sobre la ausencia de tales procedimientos disciplinarios tras la investigación, como habría sucedido en el caso de autos, y que, en consecuencia, no se refieren a ningún cambio de funciones del agente afectado.
83.      Sin perjuicio de cualquier otra disposición que el órgano jurisdiccional remitente considere pertinente, no me parece que tal aplicación extremadamente amplia de las disposiciones afectadas de la Orden relativa a los expedientes personales respete los requisitos establecidos en el punto 78 de las presentes conclusiones.
84.      Si el Tribunal de Justicia no compartiera mi postura en lo referente a la constatación de la falta de previsibilidad de la base jurídica, considero que dicha base jurídica, que constituye la base de la conservación de los datos, no parece cumplir, en todo caso, un objetivo de interés público en el sentido del artículo 6, apartado 3, del RGPD.
85.      Sobre este punto, el Gobierno búlgaro alegó en la vista que, de no existir un procedimiento disciplinario incoado tras una investigación, los datos relativos a dicha investigación no son utilizados posteriormente en el marco de la gestión de la carrera del agente. Sin embargo, redunda en el interés público conservar dichos datos, dado que se refieren a personas que están encargadas de actividades específicas dirigidas a garantizar el orden público y a defender a la población.
86.      Es cierto que, por lo general, se admite que la función de policía exige el cumplimiento de normas de conducta y de comportamiento de un nivel más elevado en comparación con otros agentes o empleados. Dicho esto, está acreditado que, en el caso que nos ocupa, la investigación fue sobreseída por falta de pruebas y que no se incoó ningún procedimiento de responsabilidad disciplinaria contra el agente afectado. Por lo tanto, no veo de qué manera la naturaleza de las funciones de defensa del orden público que recaían en este agente podría justificar la conservación de los datos en cuestión en su expediente personal.
87.      Además, el Gobierno búlgaro precisó en la vista que la conservación de datos procedentes de la investigación penal está vinculada a la conservación de datos relativos a la responsabilidad disciplinaria de los agentes, habida cuenta de que el resultado de la investigación penal es determinante para saber si procede exigir tal responsabilidad disciplinaria. Así pues, el expediente personal del demandante en el litigio principal indica que la investigación penal de la que fue objeto como sospechoso concluyó que no existían pruebas en su contra, de manera que no se inició ningún procedimiento disciplinario. Pues bien, considero que este es un razonamiento circular que asimila la conservación de los datos a un objetivo de interés general. Siguiendo dicha lógica, por tanto, toda conservación de datos estaría justificada por sí misma, lo que haría que la exigencia de un objetivo de interés público resultara superflua.
88.      Asimismo, siguiendo este argumento hasta su conclusión lógica, la conservación de ciertos datos para demostrar la ausencia de encausamiento, de condena o de sanciones disciplinarias —cuando esto también podría demostrarse sin incluir ninguna información relativa a la investigación penal o a la responsabilidad disciplinaria en el expediente personal— implicaría que, sin tal conservación, no podría probarse la falta de antecedentes.
89.      Pues bien, en este caso, estaríamos casi ante una presunción de culpabilidad, violando el principio de la presunción de inocencia, consagrado en el artículo 48, apartado 1, de la Carta, que se corresponde (34) con el artículo 6, apartado 2, del CEDH. Quisiera destacar que, según la jurisprudencia del TEDH, este principio no deja de surtir efectos a la finalización del procedimiento penal, sino que tiene como objetivo impedir que los individuos que han disfrutado de una absolución o del abandono del procedimiento sean tratados por las autoridades públicas en procedimientos posteriores como si de hecho fueran culpables de la infracción que se les había imputado. (35) En consecuencia, esta interpretación aboga por el restablecimiento, en caso de sobreseimiento de la investigación, del statu quo ante en el expediente personal.
90.      Independientemente de esta última consideración, opino que los elementos de que dispone el Tribunal de Justicia no son suficientes para acreditar que se han cumplido los requisitos establecidos en el artículo 6, apartados 1, letra c), y 3, del RGPD. Habida cuenta de que, en el presente asunto, no resulta aplicable ninguno de los restantes motivos de licitud contemplados en el artículo 6, apartado 1, de este Reglamento, extremo que corresponde comprobar al órgano jurisdiccional remitente, (36) debe considerarse que la conservación de estos datos no es lícita y que, en consecuencia, el agente tiene derecho a obtener su supresión, de conformidad con el artículo 17, apartado 1, letra d), de dicho Reglamento.
91.      En estas condiciones, y a falta de otras indicaciones sobre el objetivo legítimo perseguido, no resulta posible apreciar la proporcionalidad del plazo de conservación de los datos en los expedientes personales que, según la información aportada por el Gobierno búlgaro en la vista, se extiende hasta el momento en que el agente cumple cien años. No obstante, la aplicación de este plazo, de manera indiferenciada, a todos los datos relativos a la investigación penal, independientemente del resultado de esta y de la imposición o no de sanciones disciplinarias, tampoco puede justificarse mediante una simple referencia a las funciones de los agentes de policía. (37)
92.      En conclusión, propongo responder a las cuestiones prejudiciales tercera a quinta que el artículo 17, apartado 3, del RGPD, en relación con su artículo 6, apartados 1, letra c), y 3, debe interpretarse en el sentido de que la conservación, en el expediente personal de un agente de policía, de datos personales relativos a una investigación penal en la que dicho agente haya sido objeto de medidas de investigación como sospechoso y que se haya sobreseído no puede considerarse lícita a efectos del cumplimiento de una obligación legal aplicable a la autoridad pública, que es su empleador, en virtud del Derecho nacional en su condición de responsable del tratamiento únicamente debido a la naturaleza de las funciones que debe llevar a cabo dicho agente.
c)      Reflexiones posteriores
93.      Quisiera abordar brevemente el artículo 10 del RGPD, acerca del cual el órgano jurisdiccional remitente no ha planteado ninguna cuestión prejudicial, pero sobre el que el Gobierno búlgaro adoptó una posición en la vista en respuesta a una pregunta formulada por el Tribunal de Justicia.
94.      Esta disposición establece condiciones específicas aplicables al tratamiento de los datos «relativos a condenas e infracciones penales». Prevé, en particular, que el tratamiento de tales datos sobre la base del artículo 6, apartado 1, del RGPD solo podrá llevarse a cabo bajo la supervisión de las autoridades públicas o cuando lo autorice el Derecho de la Unión o de los Estados miembros que establezca garantías adecuadas para los derechos y libertades de los interesados. Como se desprende del tenor literal de dicha disposición, esta solo se aplica a los tratamientos que respondan a uno de los motivos de licitud previstos en el artículo 6, apartado 1, del RGPD. Así pues, el órgano jurisdiccional remitente solo debe tener en cuenta el artículo 10 de este Reglamento si concluye que la conservación de los datos de que se trata es lícita.
95.      Dicho esto, incluso si fuera así, considero que, en las circunstancias del presente asunto, en todo caso, se cumplen los requisitos posteriores establecidos en el artículo 10 del RGPD.
96.      De entrada, debo recordar que, según la jurisprudencia, el artículo 10 del RGPD se aplica a los datos relativos a las infracciones penales con independencia de que la infracción que se imputó a esa persona se haya probado o no durante el procedimiento penal. (38)
97.      En el presente caso, no se discute que el demandante en el litigio principal no fue declarado encausado ni acusado, pero que los datos conservados en su expediente personal mencionan que ha sido objeto de medidas de investigación como sospechoso. Además, considero que tales datos constituyen datos «relativos» a infracciones penales. (39) En efecto, el objetivo perseguido por el artículo 10 del RGPD (40) aboga por aplicar esta disposición a los datos personales que dejan constancia de que unas sospechas sobre la comisión de una infracción penal dieron lugar a medidas de investigación, adoptadas por la autoridad competente contra el interesado. (41) Aun cuando la investigación no dé lugar a una condena, el hecho de que tales datos figuren en el expediente personal puede tener consecuencias negativas con posterioridad.
98.      Pues bien, cuando el responsable del tratamiento es una autoridad pública, el tratamiento de los datos personales se efectúa, en todo caso, «bajo la supervisión de las autoridades públicas». (42) En el presente asunto, los datos del demandante en el litigio principal se han tratado exclusivamente en el seno de los departamentos del Ministerio en su condición de responsable del tratamiento. Por lo tanto, no es necesario examinar si el Derecho nacional establece, a efectos del artículo 10 del RGPD, unas garantías adecuadas para los derechos y libertades de los interesados.
4.      Sobre la novena cuestión prejudicial
99.      Mediante su novena cuestión prejudicial, el órgano jurisdiccional remitente pregunta, en esencia, si el artículo 16, apartado 2, de la Directiva 2016/680 debe interpretarse en el sentido de que una autoridad pública, en su condición de empleador, debe suprimir del expediente personal del agente todos los datos que se hayan recogido y conservado por medio de su unidad organizativa que tiene la condición de autoridad de investigación cuando dichos datos se refieran al hecho de que el agente fue considerado sospechoso en el marco de una investigación penal sobreseída.
100. Habida cuenta de que del análisis anterior se desprende que el RGPD es aplicable a la conservación de datos como los controvertidos en el asunto principal y que se excluye la aplicación de la Directiva 2016/680, no procede responder a la novena cuestión prejudicial.
5.      Sobre la décima cuestión prejudicial
101. Mediante su décima cuestión prejudicial, el órgano jurisdiccional remitente se pregunta, en esencia, si el artículo 1 de la Directiva 2000/78 debe interpretarse en el sentido de que esta Directiva se opone a que una autoridad pública, en cuyo seno una de sus unidades organizativas lleva a cabo acciones de investigación contra un agente de otro departamento, se niegue, en su condición de empleador, a promover a este basándose solo en que fue considerado sospechoso en el marco de una investigación penal sobreseída.
102. En primer lugar, por lo que respecta a las premisas fácticas en las que se basa esta cuestión, el Gobierno búlgaro indicó en la vista, en respuesta a las preguntas formuladas por el Tribunal de Justicia, que, durante el período posterior a la investigación penal, el demandante en el litigio principal, contrariamente a lo que afirma, fue promovido a funciones superiores. Ahora bien, no puede desvirtuarse la presunción de pertinencia de que gozan las cuestiones prejudiciales por la mera circunstancia de que una de las partes del litigio principal niegue algunos hechos cuya exactitud no corresponde verificar al Tribunal de Justicia y de los cuales depende la definición del objeto del litigio. (43)
103. En segundo lugar, cabe recordar que la Directiva 2000/78 enumera de manera exhaustiva, en su artículo 1, los motivos de discriminación que prohíbe, a saber, la religión o las convicciones, la discapacidad, la edad o la orientación sexual.(44) Pues bien, el hecho de haber sido sospechoso en el marco de una investigación penal sobreseída no se incluye en ninguno de estos motivos. Por consiguiente, la denegación de la promoción profesional basada únicamente en esta circunstancia no está comprendida en el ámbito de aplicación de dicha Directiva.
104. En estas condiciones, el hecho de que los datos relativos a la condición de sospechoso fueran recogidos por una unidad organizativa del empleador diferente de aquella a la que estaba afectado el agente es irrelevante.
105. La Directiva 2000/78 tampoco es aplicable a la denegación de la promoción debido a la condición de sospechoso en su calidad de policía. En efecto, de la jurisprudencia del Tribunal de Justicia resulta que una discriminación basada en la relación laboral en cuanto a tal, en particular en la pertenencia a una categoría socioprofesional o en el lugar de trabajo, no entra dentro del ámbito de aplicación de esta Directiva. (45)
106. Por tanto, propongo responder a la décima cuestión prejudicial que el artículo 1 de la Directiva 2000/78 debe interpretarse en el sentido de que esta Directiva no es aplicable a la denegación de la promoción profesional de un agente por el único motivo de que este último fue considerado sospechoso en el marco de una investigación penal sobreseída.
V.      Conclusión
107. Habida cuenta de las consideraciones precedentes, propongo al Tribunal de Justicia que responda del siguiente modo a las cuestiones prejudiciales planteadas por el Sofiyski rayonen sad (Tribunal de Primera Instancia de Sofía, Bulgaria):
«1)      El artículo 2, apartado 1, del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos), y el artículo 9, apartado 1, de la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos y por la que se deroga la Decisión Marco 2008/977/JAI del Consejo,
deben interpretarse en el sentido de que
este Reglamento es aplicable a la conservación, por una autoridad pública, de datos en el expediente personal de uno de sus agentes relativos a su condición de sospechoso en el marco de una investigación penal, cuando los datos hayan sido recogidos por una unidad organizativa de esta autoridad pública en el ejercicio de sus funciones de autoridad competente, en el sentido de dicha Directiva, siempre y cuando la conservación persiga fines distintos de los establecidos en el artículo 1, apartado 1, de esta.
2)      El artículo 17, apartado 3, del Reglamento 2016/679, en relación con su artículo 6, apartados 1, letra c), y 3,
debe interpretarse en el sentido de que
la conservación, en el expediente personal de un agente de policía, de datos personales relativos a una investigación penal en la que dicho agente fue objeto de medidas de investigación como sospechoso y que fue sobreseída no puede considerarse lícita a efectos del cumplimiento de una obligación legal aplicable a la autoridad pública, que es su empleador, en virtud del Derecho nacional en su condición de responsable del tratamiento únicamente debido a la naturaleza de las funciones que debe llevar a cabo dicho agente.
3)      El artículo 1 de la Directiva 2000/78/CE del Consejo, de 27 de noviembre de 2000, relativa al establecimiento de un marco general para la igualdad de trato en el empleo y la ocupación,
debe interpretarse en el sentido de que
esta Directiva no se aplica a la denegación de la promoción profesional de un agente por el único motivo de que este último fue considerado sospechoso en el marco de una investigación penal sobreseída.»
1      Lengua original: francés.
i      La denominación del presente asunto es ficticia. No se corresponde con el nombre de ninguna parte en el procedimiento.
2      Reglamento del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (DO 2016, L 119, p. 1; corrección de errores en DO 2018, L 127, p. 3).
3      Directiva del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos y por la que se deroga la Decisión Marco 2008/977/JAI del Consejo (DO 2016, L 119, p. 89).
4      Directiva del Consejo, de 27 de noviembre de 2000, relativa al establecimiento de un marco general para la igualdad de trato en el empleo y la ocupación (DO 2000, L 303, p. 16).
5      DV n.º 53, de 27 de junio de 2014.
6      DV n.º 78, de 19 de septiembre de 2014, modificada y completada en el DV n.º 27, de 14 de abril de 2015, modificada y completada en el DV n.º 53, de 25 de junio de 2021.
7      Véase, en este sentido, la sentencia de 8 de mayo de 2025, Stadt Wuppertal (C‑130/24, EU:C:2025:340), apartado 42.
8      Aunque la investigación penal se produjo en 2016, esto es, antes de la entrada en vigor del RGPD y de la Directiva 2016/680, el demandante en el litigio principal solicita la supresión de sus datos que, hasta el presente, sigue conservando el Ministerio. En estas condiciones, no me cabe duda sobre el hecho de que el RGPD y la Directiva 2016/680 son aplicables ratione temporis al litigio principal.
9      Véase, en este sentido, la sentencia de 4 de octubre de 2024, Bezirkshauptmannschaft Landeck (Tentativa de acceso a los datos personales almacenados en un teléfono móvil) (C‑548/21, EU:C:2024:830), apartado 53.
10      Las cuestiones prejudiciales primera, segunda, cuarta, quinta, séptima y novena.
11      Las cuestiones prejudiciales tercera, sexta y octava.
12      Sobre la reformulación de las cuestiones, véase la sentencia de 3 de junio de 2025, Kinsa (C‑460/23, EU:C:2025:392), apartado 34 y jurisprudencia citada.
13      El artículo 52 de la Carta, al que también se refiere esta cuestión, regula las limitaciones de los derechos fundamentales y, a mi juicio, no es pertinente en el contexto de la delimitación de los ámbitos de aplicación del RGPD y de la Directiva 2016/680.
14      Así pues, la interpretación de estos conceptos efectuada en el marco del RGPD debería aplicarse por analogía a esta Directiva; véase, sobre el concepto de «tratamiento», la sentencia de 4 de octubre de 2024, Bezirkshauptmannschaft Landeck (Tentativa de acceso a los datos personales almacenados en un teléfono móvil) (C‑548/21, EU:C:2024:830), apartado 71.
15      Véase, en este sentido, la sentencia de 8 de diciembre de 2022, Inspektor v Inspektorata kam Visshia sadeben savet (Fines del tratamiento de datos personales — Instrucción penal) (C‑180/21, EU:C:2022:967), apartado 73.
16      Véase el artículo 29, apartado 1, de la ZMVR. Sobre la designación del responsable del tratamiento por el Derecho nacional, véase la sentencia de 11 de enero de 2024, État belge (Datos tratados por una publicación oficial) (C‑231/22, EU:C:2024:7), apartados 29 y 30.
17      Artículo 2, apartado 1, del RGPD.
18      Véase, en este sentido, la sentencia de 7 de marzo de 2024, Endemol Shine Finland (C‑740/22, EU:C:2024:216), apartados 37 y 38.
19      Según la información aportada por el Gobierno búlgaro, en virtud del artículo 147, apartado 1, de la ZMVR y de los artículos 3 y 6 de la Orden relativa a los expedientes personales, estos se numeran de forma correlativa y se almacenan en archivos específicos, y los datos personales se conservan en ellos y se reparten en secciones predefinidas.
20      Véase, en este sentido, la sentencia de 8 de diciembre de 2022, Inspektor v Inspektorata kam Visshia sadeben savet (Fines del tratamiento de datos personales — Instrucción penal) (C‑180/21, EU:C:2022:967), apartado 74.
21      Artículo 5, apartado 1, letra b), del RGPD y artículo 4, apartado 1, letra b), de la Directiva 2016/680.
22      Véanse, en este sentido, las conclusiones del Abogado General Campos Sánchez-Bordona presentadas en el asunto Inspektor v Inspektorata kam Visshia sadeben savet (Fines del tratamiento de datos personales — Instrucción penal) (C‑180/21, EU:C:2022:406), puntos 37, 38, 70 y 71.
23      A menos que se trate de una actividad que quede fuera del ámbito de aplicación del Derecho de la Unión, es decir, que tenga como finalidad preservar la seguridad nacional o que pueda incluirse en la misma categoría, lo que no parece suceder en el presente caso; véase la sentencia de 22 de junio de 2021, Latvijas Republikas Saeima (Puntos por infracciones de tráfico) (C‑439/19, EU:C:2021:504), apartados 66 a 68.
24      Véanse, en este sentido, las conclusiones del Abogado General Campos Sánchez-Bordona presentadas en el asunto Lietuvos Respublikos generalinė prokuratūra (C‑162/22, EU:C:2023:266), puntos 83 y 84.
25      Véase, más concretamente, el punto 72 de las presentes conclusiones.
26      Este hecho no impide que el Tribunal de Justicia tome en consideración esas disposiciones en la reformulación de las cuestiones; véase la sentencia de 13 de marzo de 2025, Alsen (C‑137/23, EU:C:2025:179), apartado 46 y jurisprudencia citada.
27      Véanse, en este sentido, las conclusiones de
la Abogada General Medina presentadas en el asunto Agentsia po vpisvaniyata (C‑200/23, EU:C:2024:445), puntos 62 y 63.
28      Artículos 5, apartado 2, y 6, apartado 4, de la Orden relativa a los expedientes personales.
29      Sobre la toma en consideración de tales indicaciones, véase la sentencia de 13 de julio de 2023, Ferrovienord (C‑363/21 y C‑364/21, EU:C:2023:563), apartado 58 y jurisprudencia citada.
30      Véanse, en este sentido, las conclusiones del Abogado General Pikamäe presentadas en el asunto SCHUFA Holding y otros (Scoring) (C‑634/21, EU:C:2023:220), punto 69.
31      Véase, entre otras, la sentencia de 24 de febrero de 2022, Valsts ieņēmumu dienests (Tratamiento de datos personales con fines fiscales) (C‑175/20, EU:C:2022:124), apartados 54 a 56.
32      Véase, en este sentido, la sentencia de 1 de agosto de 2022, Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2022:601), apartados 69 y 70.
33      Véase, sobre la calificación como ley en el sentido del Convenio Europeo para la Protección de los Derechos Humanos y de las Libertades Fundamentales, hecho en Roma el 4 de noviembre de 1950 (en lo sucesivo, «CEDH»), TEDH, sentencia de 25 de marzo de 1983, Silver y otros c. Reino Unido, CE:ECHR:1983:0325JUD000594772, §§ 26 y 86 a 88.
34      Véase, en particular, la sentencia de 2 de febrero de 2021, Consob (C‑481/19, EU:C:2021:84), apartado 37.
35      Para un resumen de esta jurisprudencia, véase TEDH, Gran Sala, sentencia de 11 de junio de 2024, Nealon y Hallam c. Reino Unido, CE:ECHR:2024:0611JUD003248319, §§ 102 a 109 y 122 a 125, así como, más específicamente, en materia de función pública, TEDH, sentencia de 16 de febrero de 2017, Yildiz c. Turquía, CE:ECHR:2017:0124DEC006518210, §§ 30 a 34. En este asunto, un policía afirmaba que un procedimiento de calificación negativa implicaba una presunción de que era culpable de una infracción penal, aunque había sido absuelto. No obstante, el TEDH concluyó que el artículo 6, apartado 2, del CEDH no era aplicable, dado que el demandante no había demostrado que el tratamiento del que había sido objeto hubiera establecido una relación entre el procedimiento penal y el procedimiento administrativo posterior.
36      La Comisión ha hecho referencia, en sus observaciones escritas, al artículo 6, apartado 1, letra e), del RGPD, que tiene por objeto el tratamiento que es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Si bien se trata efectivamente de un motivo de licitud que puede aplicarse a una autoridad pública, también está sujeto a los requisitos del artículo 6, apartado 3, de este Reglamento. Por ello, la cuestión de la existencia de un objetivo de interés público se plantearía a pesar de todo.
37      Quisiera recordar que, en virtud del principio de minimización de datos, consagrado en el artículo 5, apartado 1, letra c), del RGPD, los datos deben ser adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados. Según el considerando 39 del RGPD, este principio exige garantizar que se limite a un mínimo estricto su plazo de conservación.
38      Sentencia de 24 de septiembre de 2019, GC y otros (Retirada de enlaces a datos sensibles) (C‑136/17, EU:C:2019:773), apartado 72.
39      El Gobierno búlgaro explicó en la vista que la condición de sospechoso no conlleva un estatuto jurídico particular en el Derecho búlgaro. Ahora bien, el Tribunal de Justicia ya ha declarado que el concepto de «infracción» debe interpretarse de manera autónoma e uniforme [sentencia de 22 de junio de 2021, Latvijas Republikas Saeima (Puntos por infracciones de tráfico) (C‑439/19, EU:C:2021:504), apartados 80 a 85], lo que debería predicarse, a mi entender, de todos los elementos del ámbito de aplicación del artículo 10 del RGPD.
40      A saber, garantizar una mayor protección en lo tocante a los tratamientos que, en atención a la particular sensibilidad de los datos, pueden constituir una injerencia especialmente grave en la vida privada o profesional del interesado; véase la sentencia de 22 de junio de 2021, Latvijas Republikas Saeima (Puntos por infracciones de tráfico) (C‑439/19, EU:C:2021:504), apartados 74 y 75.
41      Esta postura es compartida por Bäcker, M., «Art. 10», en Wolff, H. A., Brink, S., y von Ungern‑Sternberg, A.,
BeckOK Datenschutzrecht, 51.ª ed., C. H. Beck, 2024, punto 3; véase, asimismo, Georgieva, L., «Article 10», en Kuner, C., Bygrave, L. A., y Docksey, C., The EU General Data Protection Regulation (GDPR). A Commentary, Oxford University Press, 2020, p. 389.
42      Véase, en este sentido, la sentencia de 22 de junio de 2021, Latvijas Republikas Saeima (Puntos por infracciones de tráfico) (C‑439/19, EU:C:2021:504), apartado 101.
43      Sentencia de 5 de diciembre de 2006, Cipolla y otros (C‑94/04 y C‑202/04, EU:C:2006:758), apartado 26.
44      Véanse, en este sentido, las sentencias de 17 de julio de 2008, Coleman (C‑303/06, EU:C:2008:415), apartados 38 y 46; de 7 de julio de 2011, Agafiţei y otros (C‑310/10, EU:C:2011:467), apartado 34, y de 20 de octubre de 2022, Curtea de Apel Alba Iulia y otros (C‑301/21, EU:C:2022:811), apartados 64 y 69 y jurisprudencia citada.
45      Sentencias de 7 de julio de 2011, Agafiţei y otros (C‑310/10, EU:C:2011:467), apartados 31 a 33; de 9 de marzo de 2017, Milkova (C‑406/15, EU:C:2017:198), apartado 44, y de 17 de octubre de 2024, Zetschek (C 349/23, EU:C:2024:889), apartado 25 y jurisprudencia citada.