Voorlopige editie
CONCLUSIE VAN ADVOCAAT-GENERAAL
D. SPIELMANN
van 5 maart 2026 (1)
Zaak C‑5/25 [Pilev] (i)
Strafzaak
tegen
WE,
in tegenwoordigheid van:
Sofiyska gradska prokuratura
[verzoek van de Sofiyski gradski sad (rechter in eerste aanleg Sofia, Bulgarije) om een prejudiciële beslissing]
„ Prejudiciële verwijzing – Justitiële samenwerking in strafzaken – Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens in strafzaken – Verwerkingen door gerechten bij de uitoefening van hun rechterlijke taken – Toepasselijkheid van richtlijn (EU) 2016/680 – Verificatie van de identiteit van de verdachte ter openbare terechtzitting – Gegevens met betrekking tot geboorteplaats, nationaliteit, woonplaats, opleiding, burgerlijke staat, strafblad en etnische achtergrond ”
Inleiding
1.        De onderhavige zaak betreft de mate waarin een nationale strafrechter persoonsgegevens mag verzamelen van een persoon tegen wie vervolging is ingesteld, met als enig doel na te gaan of die persoon inderdaad de in de tenlastelegging bedoelde persoon is. Deze zaak betreft echter niet de onafhankelijkheid van de rechter in het kader van zijn taak als feitenrechter noch de vrijheid die hij heeft om de vervolgde persoon vragen te stellen in dat verband.
2.        Deze zaak biedt het Hof dus de gelegenheid om de werkingssfeer van richtlijn (EU) 2016/680(2) ten opzichte van verordening (EU) 2016/679(3) te verduidelijken en om zijn rechtspraak over de evenredigheid van de verwerking van de door een strafrechter verzamelde persoonsgegevens met het nagestreefde doel te bevestigen.
Toepasselijke bepalingen
Richtlijn 2016/680
3.        Artikel 1 („Onderwerp en doelstellingen”), lid 1, van deze richtlijn bepaalt:
„Bij deze richtlijn worden de regels vastgesteld betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing of de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid.”
4.        Artikel 2 („Toepassingsgebied”), lid 1, van deze richtlijn bepaalt:
„Deze richtlijn is van toepassing op de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de doeleinden van artikel 1, lid 1.”
5.        Artikel 3 („Definities”) van richtlijn 2016/680 luidt als volgt:
„Voor de toepassing van deze richtlijn wordt verstaan onder:
[...]
7)      ‚bevoegde autoriteit’:
a)      iedere overheidsinstantie die bevoegd is voor de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid; of
b)      ieder ander orgaan dat of iedere andere entiteit die krachtens het lidstatelijke recht is gemachtigd openbaar gezag en openbare bevoegdheden uit te oefenen met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid;
[...]”
6.        Artikel 4 („Beginselen inzake verwerking van persoonsgegevens”) van deze richtlijn luidt:
„1.      De lidstaten schrijven voor dat persoonsgegevens:
[...]
c)      toereikend, ter zake dienend en niet bovenmatig in verhouding tot de doeleinden waarvoor zij worden verwerkt, zijn;
[...]”
7.        Artikel 8 („Rechtmatigheid van de verwerking”), lid 1, van die richtlijn bepaalt:
„De lidstaten zorgen ervoor dat verwerking alleen rechtmatig is indien en voor zover die verwerking noodzakelijk is voor de uitvoering door een bevoegde autoriteit van een taak voor de in artikel 1, lid 1, bedoelde doeleinden, en dat die verwerking gebaseerd is op het Unierecht of het lidstatelijke recht.”
8.        Artikel 10 („Verwerking van bijzondere categorieën van persoonsgegevens”) van richtlijn 2016/680 luidt als volgt:
„Verwerking van persoonsgegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, of het lidmaatschap van een vakbond blijkt, en verwerking van genetische gegevens, biometrische gegevens met het oog op de unieke identificatie van een natuurlijke persoon, gegevens over gezondheid of gegevens over seksueel gedrag of seksuele gerichtheid van een natuurlijke persoon zijn slechts toegelaten wanneer de verwerking strikt noodzakelijk is, geschiedt met inachtneming van passende waarborgen voor de rechten en vrijheden van de betrokkene, en:
a)      bij het Unierecht of het lidstatelijke recht is toegestaan;
b)      noodzakelijk is om vitale belangen van de betrokkene of een andere natuurlijke persoon te beschermen; of
c)      die verwerking betrekking heeft op gegevens die kennelijk door de betrokkene zelf openbaar zijn gemaakt.”
Bulgaars recht
Nakazatelno-protsesualen kodeks
9.        Artikel 138, leden 2 en 3, van de nNakazatelno-protsesualen kodeks (wetboek van strafvordering)(4) van 29 april 2006 (hierna: „NPK”) luidt als volgt:
„(2)      Vóór het verhoor stelt de betreffende autoriteit de identiteit van de verdachte vast.
(3)      Het verhoor van de verdachte begint met de vraag of hij de tenlastelegging begrijpt; vervolgens wordt hij verzocht indien hij dat wenst in zijn eigen woorden al hetgeen hij met betrekking tot de strafzaak weet, uiteen te zetten.”
10.      Artikel 272, lid 1, NPK luidt:
„De voorzitter controleert de identiteit van de verdachte door hem te vragen naar zijn volledige naam, geboortedatum en -plaats, etnische achtergrond, nationaliteit, woonplaats, opleiding, burgerlijke staat en persoonlijk identificatienummer en zijn strafblad.”
11.      Artikel 311, lid 1, punt 2, NPK bepaalt:
„Het proces-verbaal van de terechtzitting [...] bevat [...] de identiteitsgegevens van de verdachte.”
Zakon za grazhdanskata registratsia
12.      Artikel 8, lid 1, van de Zakon za grazhdanskata registratsia (wet op de burgerlijke stand)(5) van 27 juli 1999 (hierna: „ZGR”) bepaalt dat de belangrijkste gegevens met betrekking tot de burgerlijke staat van personen zijn: naam, geboortedatum (dag, maand, jaar), geboorteplaats, geslacht, nationaliteit en persoonlijk identificatienummer.
Zakon za balgarskite lichni dokumenti
13.      Artikel 3, lid 1, van de Zakon za balgarskite lichni dokumenti (wet op de Bulgaarse identiteitsdocumenten)(6) van 1 april 1999 (hierna: „ZBLD”) bepaalt:
„Identiteitsdocumenten bewijzen de identiteit en, in voorkomend geval, de nationaliteit op grond van de daarin vermelde gegevens.”
14.      Artikel 6 ZBLD bepaalt:
„Bulgaarse staatsburgers zijn verplicht zich te identificeren op verzoek van bij wet aangewezen bevoegde overheidsfunctionarissen.”
15.      Artikel 16, lid 1, ZBLD luidt als volgt:
„Bulgaarse identiteitsdocumenten bevatten de volgende verplichte persoonsgegevens:
1.      naam;
2.      geboortedatum;
3.      persoonlijk identificatienummer (identificatienummer of buitenlands identificatienummer);
4.      geslacht;
5.      nationaliteit.”
Zakon za sadebnata vlast
16.      Artikel 8, lid 2, van de Zakon za sadebnata vlast (wet op de rechterlijke organisatie)(7) bepaalt:
„Bij de uitoefening van rechterlijke taken [...] mogen geen rechten worden beperkt of voordelen worden toegekend op grond van [...] etnische achtergrond [...].”
Hoofdgeding, prejudiciële vraag en procedure bij het Hof
17.      Bij de Sofiyski gradski sad (rechter in eerste aanleg Sofia, Bulgarije), de verwijzende rechter, is een tenlastelegging ingediend door de Sofiyska gradska prokuratura (parket bij het openbaar ministerie Sofia, Bulgarije), waarin een natuurlijke persoon ervan wordt beschuldigd op 6 september 2023 in Sofia politieagenten te hebben omgekocht teneinde te voorkomen dat zij tegen hem een proces-verbaal zouden opmaken wegens een administratieve overtreding, te weten het besturen van een motorvoertuig zonder rijbewijs, alsook tegelijkertijd ter plaatse het beroep van taxichauffeur te hebben uitoefend zonder in het bezit te zijn van de vereiste vergunning. Gesteld wordt dat dit strafbare feiten zijn.
18.      Op de eerste zitting, die plaatsvond op 5 juli 2024, zijn een vertegenwoordiger van het parket bij het openbaar ministerie van Sofia, de verdachte en zijn raadsman verschenen. De verwijzende rechter heeft de procedure vervolgd. Overeenkomstig artikel 272, lid 1, NPK diende de kamervoorzitter de identiteit van de verdachte vast te stellen en hem te vragen naar de in deze bepaling genoemde gegevens.
19.      Aan de hand van het door de verdachte overgelegde identiteitsbewijs heeft de kamervoorzitter zich ervan vergewist dat de persoon die voor hem was verschenen, de persoon was die in de tenlastelegging als verdachte werd genoemd. Hij heeft de verdachte echter niet gevraagd naar de identiteitsgegevens genoemd in artikel 272, lid 1, NPK en de behandeling van de zaak is geschorst.
20.      De verwijzende rechter heeft de Konstitutsionen sad (grondwettelijk hof, Bulgarije) verzocht vast te stellen dat artikel 272, lid 1, NPK niet in overeenstemming is met sommige bepalingen van de Konstitutsia na Republika Bulgaria (grondwet van de Republiek Bulgarije; hierna: „Bulgaarse grondwet”)(8). Gelet op het feit dat de Konstitutsionen sad heeft geweigerd om uitspraak te doen ten gronde, heeft de verwijzende rechter besloten om het onderhavige verzoek om een prejudiciële beslissing in te dienen.
21.      Net als tijdens de eerste terechtzitting benadrukt de verwijzende rechter dat hij de verdachte weliswaar met voldoende zekerheid kan identificeren aan de hand van diens identiteitsbewijs, dat alle noodzakelijke identificatiegegevens bevat, maar dat het vragen naar de in artikel 272, lid 1, NPK genoemde identificatiegegevens nuttig is om op basis van de antwoorden van de verschenen persoon nog meer zekerheid te verkrijgen dat deze persoon de verdachte is, dus dat het overgelegde identiteitsdocument niet van iemand anders is en niet vervalst is. Hij merkt evenwel op dat het ter identificatie van de verschenen persoon volstaat om hem te vragen naar zijn volledige naam, geboortedatum en persoonlijk identificatienummer.
22.      Bijgevolg vraagt de verwijzende rechter zich af of hij het in richtlijn 2016/680 neergelegde vereiste dat de verwerking van persoonsgegevens noodzakelijk is, schendt door de persoon die voor hem verschijnt ter openbare terechtzitting te vragen naar de andere in artikel 272, lid 1, NPK genoemde gegevens – te weten geboorteplaats, etnische achtergrond, nationaliteit, woonplaats, opleiding, burgerlijke staat en strafblad – en door de mondelinge antwoorden in het proces-verbaal op te nemen. Aangezien deze andere gegevens niet noodzakelijk zijn om de identiteit van de verdachte met zekerheid en volledigheid vast te stellen, zou het verzamelen daarvan bovenmatig zijn, gelet op het doel van artikel 272, lid 1, NPK, namelijk de identificatie van die persoon.
23.      De verwijzende rechter merkt op dat een deel van de in artikel 272, lid 1, NPK genoemde persoonsgegevens voor andere doeleinden kan worden gebruikt. De woonplaats kan bijvoorbeeld van belang zijn voor het bepalen van het adres waarnaar de oproeping tot verschijning moet worden toegestuurd en het strafblad kan belangrijk zijn voor een individuele strafbepaling.
24.      De verwijzende rechter benadrukt evenwel in wezen dat deze gegevens, die al vóór de opening van het gerechtelijk onderzoek worden verzameld, geen betrekking hebben op het identificeren van de verdachte. Het ondervragen van de verdachte en het vastleggen van zijn antwoorden is bovendien niet voldoende om die feiten op betrouwbare wijze vast te stellen. Tot slot kan de informatie die bij de identificatie van de verschenen persoon bekend wordt, op grond van het nationale recht niet worden gebruikt voor de beslissing ten gronde. De rechter stelt eerst de identiteit van de verschenen persoon vast, alvorens hem te wijzen op zijn rechten. Bijgevolg hebben die gegevens (etnische achtergrond, strafblad, burgerlijke staat, opleidingsniveau) geen bewijskracht.
25.      De verwijzende rechter vraagt zich daarom af of artikel 272, lid 1, NPK voldoet aan de vereisten van artikel 4, lid 1, onder c), en artikel 8, lid 1, van richtlijn 2016/680. Volgens hem is het verzamelen van persoonsgegevens betreffende geboorteplaats, etnische achtergrond, nationaliteit, woonplaats, opleiding, burgerlijke staat en strafblad, het vastleggen van die gegevens in het gerechtelijk proces-verbaal en het bewaren ervan in het dossier van de zaak bovenmatig in het licht van de doelstellingen van de strafprocedure. Hij twijfelt er ook aan of artikel 272, lid 1, NPK in overeenstemming is met artikel 10 van richtlijn 2016/680, voor zover het betrekking heeft op informatie over de etnische achtergrond van de verdachte, aangezien daaruit de etnische afkomst van die persoon blijkt.
26.      In die omstandigheden heeft de Sofiyski gradski sad besloten de behandeling van de zaak te schorsen en het Hof de volgende prejudiciële vraag voor te leggen:
„Is een nationale wettelijke regeling als artikel 272, lid 1, NPK die bepaalt dat voor de vaststelling van de identiteit van de verdachte zijn persoonsgegevens betreffende geboorteplaats, etnische achtergrond, nationaliteit, woonplaats, opleiding, burgerlijke staat en strafblad worden verwerkt (verzameld, vastgelegd en opgeslagen) verenigbaar met artikel 4, lid 1, onder [c)], artikel 8, lid 1, en artikel 10 [...] van richtlijn 2016/680 indien de aldus verzamelde persoonsgegevens op geen enkele wijze noodzakelijk zijn voor de doeleinden van de strafprocedure?”
27.      Schriftelijke opmerkingen zijn ingediend door de Europese Commissie, die tevens mondelinge opmerkingen heeft gemaakt tijdens de openbare terechtzitting van 3 december 2025.
Analyse
28.      Hoewel uit het verzoek om een prejudiciële beslissing blijkt dat de verwijzende rechter ervan uitgaat dat de litigieuze nationale regeling binnen de werkingssfeer van richtlijn 2016/680 valt, moet eerst de vraag naar de toepasselijkheid van richtlijn 2016/680 worden onderzocht, waaraan overigens een groot deel van de terechtzitting is besteed, alvorens ten gronde op de vraag van de verwijzende rechter in te gaan.
Toepasselijkheid van richtlijn 2016/680
29.      Om te beginnen is de vraag of er sprake is van „verwerking van persoonsgegevens” niet aan de orde in het hoofdgeding. Uit het verzoek om een prejudiciële beslissing blijkt namelijk dat de betrokken persoonsgegevens worden verzameld, in het gerechtelijk proces-verbaal worden vastgelegd en in het dossier worden bewaard. Bovendien, zelfs indien ervan wordt uitgegaan dat de gegevens al eerder zijn verzameld door de volgens het nationale recht bevoegde autoriteit(9), is het begrip „verwerking” ruim en omvat het ook raadpleging en bewaring door de verwijzende rechter. Aan de voorwaarde dat er sprake is van een „verwerking van persoonsgegevens” is dus voldaan.
30.      Vervolgens blijkt uit de bewoordingen van artikel 2, lid 1, van richtlijn 2016/680, gelezen in samenhang met artikel 1, lid 1, van deze richtlijn, dat verwerking van persoonsgegevens binnen de werkingssfeer van deze richtlijn valt indien aan twee voorwaarden is voldaan. Ten eerste moet de verwerking worden verricht door een bevoegde autoriteit in de zin van artikel 3, lid 7, van deze richtlijn en ten tweede moet de verwerking worden verricht voor een van de in artikel 1, lid 1, van richtlijn 2016/680 genoemde doeleinden, te weten „de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid”. Omgekeerd sluit de AVG, de lex generalis op het gebied van de verwerking van persoonsgegevens, verwerkingen door „bevoegde autoriteiten” voor dergelijke doeleinden uit van haar werkingssfeer(10), aangezien richtlijn 2016/680 op dit gebied de toepasselijke lex specialis is(11).
31.      In de eerste plaats dient de vraag of een rechterlijke instantie binnen de personele werkingssfeer van richtlijn 2016/680 kan vallen, mijns inziens bevestigend te worden beantwoord. De uitdrukking „bevoegde overheidsinstantie” in artikel 3, lid 7, onder a), van deze richtlijn kan namelijk niet alleen betrekking hebben op politiediensten, maar ook op nationale strafrechtelijke instanties.(12) Deze vaststelling vloeit weliswaar niet uitdrukkelijk voort uit de definitie van het begrip „bevoegde overheidsinstantie”, maar kan logischerwijs worden afgeleid uit de context van deze bepaling en in het bijzonder uit verschillende bepalingen van richtlijn 2016/680.
32.      Volgens artikel 32, lid 1, van deze richtlijn bepalen de lidstaten namelijk dat de verwerkingsverantwoordelijke een functionaris voor gegevensbescherming aanwijst en dat zij rechtbanken en andere onafhankelijke rechterlijke autoriteiten van deze verplichting kunnen vrijstellen „bij de uitoefening van hun rechterlijke taken”. Evenzo verwijst artikel 45, lid 2, van richtlijn 2016/680, gelezen in het licht van overweging 80(13) ervan, uitdrukkelijk naar de nationale rechterlijke instanties door elke bevoegdheid van de toezichthoudende autoriteit met betrekking tot verwerkingen door „gerechten in het kader van hun taken”(14) uit te sluiten, teneinde geen afbreuk te doen aan de specifieke regels van de strafprocedure en de onafhankelijkheid van de rechterlijke macht.
33.      Deze bepalingen bevestigen dat rechterlijke instanties bij de uitoefening van hun rechterlijke taken onderworpen zijn aan de verplichtingen van richtlijn 2016/680, waarbij hun onafhankelijkheid en onpartijdigheid in dat kader worden gewaarborgd.(15)
34.      Bovendien worden rechterlijke autoriteiten uitdrukkelijk genoemd in overweging 11 van richtlijn 2016/680, waarin staat te lezen dat „[d]ie bevoegde autoriteiten [...] overheidsinstanties zoals de rechterlijke autoriteiten [...] [kunnen] omvatten”. De overwegingen 20, 49 en 107 en artikel 18 van deze richtlijn(16) verwijzen ook naar de verwerking van persoonsgegevens door „gerechten en andere rechterlijke autoriteiten [...], met name wat betreft persoonsgegevens die zijn vervat in een rechterlijke beslissing of in registers betreffende strafrechtelijke procedures”(17).
35.      Nationale rechterlijke instanties moeten derhalve worden beschouwd als „bevoegde overheidsinstanties” in de zin van richtlijn 2016/680 en moeten worden geacht onder de bepalingen van deze richtlijn te vallen wanneer zij persoonsgegevens verwerken in rechterlijke beslissingen of registers betreffende strafrechtelijke procedures.(18)
36.      In de tweede plaats moet antwoord worden gegeven op de lastigere vraag of de verwerking van persoonsgegevens door een rechter in het kader van een strafrechtelijke procedure kan worden geacht binnen de materiële werkingssfeer van richtlijn 2016/680 te vallen. Deze vraag, die bij mijn weten nog nooit is gesteld(19), houdt kortweg in dat moet worden nagegaan of deze verwerking betrekking heeft op een van de in artikel 1, lid 1, en artikel 3, lid 7, onder a), van deze richtlijn genoemde doeleinden, en in het bijzonder op het doel „vervolging” van strafbare feiten.
37.      Ik herinner eraan dat het Hof in het arrest Inspektor v Inspektorata kam Visshia sadeben savet (Doeleinden van de verwerking van persoonsgegevens – Strafrechtelijk onderzoek)(20) reeds heeft geoordeeld dat de in artikel 1 van richtlijn 2016/680 genoemde doeleinden verwijzen naar de verschillende doeleinden van „voorkoming”, „opsporing”, „onderzoek”, „vervolging” en „tenuitvoerlegging van straffen”. Zo heeft dit arrest verduidelijkt dat de Uniewetgever regels heeft willen vaststellen die beantwoorden aan de specifieke kenmerken van de activiteiten die de bevoegde autoriteiten verrichten op het door deze richtlijn bestreken gebied, rekening houdend met het feit dat deze activiteiten verschillend zijn en elk hun eigen doelstellingen nastreven.(21)
38.      Zoals advocaat-generaal Campos Sánchez-Bordona in zijn conclusie heeft opgemerkt, verwijst het begrip „vervolging” naar een activiteit die, behalve in de versie van die richtlijn in de Spaanse taal, voorafgaat aan de gerechtelijke procedure.(22) Onder voorbehoud van de verschillen in de rechtsstelsels van de lidstaten worden met deze term in het algemeen alle handelingen en procedures bedoeld die het openbaar ministerie (parket of openbaar aanklager) initieert tegen een persoon die ervan wordt verdacht een strafbaar feit te hebben gepleegd, teneinde hem te doen berechten om zijn schuld of onschuld vast te stellen.(23)
39.      Om de materiële werkingssfeer van richtlijn 2016/680 vast te stellen lijkt het mij echter beter om het begrip „vervolging” vanuit het oogpunt van het doel van de strafvervolging te bezien, in plaats van te proberen een onderscheid te maken tussen de rol van de „vervolgingsautoriteit” en die van de rechter in het kader van de strafrechtelijke procedure. De bepalingen van deze richtlijn zijn namelijk van toepassing op de verwerking van persoonsgegevens „met het oog op” strafvervolging.
40.      Deze van het doel van de strafvervolging uitgaande benadering brengt mijns inziens een ruime uitlegging van het begrip „vervolging” met zich mee, die ook sommige activiteiten van strafrechters in het kader van een gerechtelijke procedure kan omvatten. In bepaalde omstandigheden, die met name afhangen van de nationale procedurele stelsels(24), kan het door de verwerking van persoonsgegevens door een rechter in het kader van een gerechtelijke strafprocedure namelijk mogelijk worden de strafbare feiten waarvan de vervolgde persoon wordt beschuldigd, afdoende te bewijzen en de deze feiten strafrechtelijk juist te kwalificeren, zodat uiteindelijk vonnis kan worden gewezen.(25) In die zin kan deze gegevensverwerking door de voor de verwerking verantwoordelijke rechterlijke instantie worden beschouwd als verricht „met het oog op vervolging” in de zin van de relevante bepalingen van richtlijn 2016/680.
41.      In deze context kan de activiteit „vervolging” niet alleen het onderzoek door de politie en de beslissing van de openbaar aanklager om al dan niet vervolging in te stellen omvatten, maar ook het onderzoek, de verwijzing naar een rechterlijke instantie en, in voorkomend geval, een strafrechtelijke procedure als in het hoofdgeding.
42.      Zoals blijkt uit het verzoek om een prejudiciële beslissing zet de verwijzende rechter, bij wie de tenlastelegging van het openbaar ministerie is ingediend, de procedure na het politieonderzoek voort en verricht hij zelf een gerechtelijk onderzoek(26), dat begint met de verificatie van de identiteit van de verdachte op grond van artikel 272 NPK en uitmondt in het vonnis ten gronde van die rechter. Deze rechter heeft dus tot taak om „de gerechtelijke procedure [te voeren] in het kader van de strafvervolging op grond van een door het openbaar ministerie uitgebrachte tenlastelegging”. Volgens de verwijzende rechter gaat het om de gerechtelijke fase van de strafprocedure die is ingeleid met het oog op strafvervolging. In deze context krijgt het begrip „vervolging” in het kader van de strafprocedure zijn volledige betekenis.
43.      Bovendien heeft deze ruime benadering van het begrip „vervolging” niet alleen het voordeel dat zij geen afbreuk doet aan de verschillende nationale strafrechtstelsels, maar is zij ook niet in tegenspraak met het beginsel dat uitzonderingen op de toepassing van de AVG, de lex generalis, strikt moeten worden uitgelegd.(27) Met deze benadering ontsnapt de strafprocedure namelijk niet aan de regeling inzake de bescherming van persoonsgegevens, maar komt zij te vallen onder de specifiek in artikel 2, lid 2, onder d), AVG bepaalde lex specialis op dat gebied.
44.      Ten slotte lijkt mij dat de van het doel uitgaande benadering van het begrip „vervolging” voortvloeit uit de ontstaansgeschiedenis van richtlijn 2016/680 en in overeenstemming is met de doelstellingen van deze richtlijn.
45.      Wat ten eerste de ontstaansgeschiedenis van die richtlijn betreft, merk ik op dat met de inwerkingtreding van het Verdrag van Lissabon artikel 16 VWEU de relevante rechtsgrondslag voor de herziening van kaderbesluit 2008/977/JBZ(28) is geworden. Zoals vermeld in overweging 10 van richtlijn 2016/680 heeft de intergouvernementele conferentie(29) die het Verdrag van Lissabon heeft aangenomen, in verklaring nr. 21 betreffende de bescherming van persoonsgegevens op het gebied van justitiële samenwerking in strafzaken en politiële samenwerking, gehecht aan de slotakte van die conferentie, erkend dat in strafzaken en bij politiële samenwerking vanwege de specifieke aard van de justitiële samenwerking op die gebieden specifieke voorschriften inzake de bescherming van persoonsgegevens en het vrije verkeer van persoonsgegevens op basis van artikel 16 VWEU nodig zouden kunnen blijken. De Commissie heeft daarom twee teksten voorgesteld, een algemene, in de vorm van een verordening, de latere AVG, en een specifieke, voor gegevensbescherming op strafrechtelijk gebied(30), die als gevoeliger werd beschouwd en dus werd neergelegd in een richtlijn die door de lidstaten moest worden omgezet, de latere richtlijn 2016/680, die geldt voor alle handelingen, met of zonder grensoverschrijdende dimensie, die door strafrechtelijke actoren kunnen worden verricht.(31)
46.      De benadering van de Unie was dus om een onderscheid te maken tussen de verwerking van gegevens in de politiële en strafrechtelijke context en andere vormen van verwerking van persoonsgegevens, om rekening te houden met de specifieke aard van het door richtlijn 2016/680 bestreken gebied, namelijk de bescherming van persoonsgegevens op het gebied van justitiële samenwerking in strafzaken en politiële samenwerking, zoals blijkt uit de overwegingen 10 en 11 van deze richtlijn.
47.      Wat ten tweede de doelstellingen van richtlijn 2016/680 betreft, heeft deze richtlijn blijkens de overwegingen 4, 7 en 15 daarvan met name tot doel om een hoge en consequente mate van bescherming van de persoonsgegevens van natuurlijke personen te waarborgen en de uitwisseling van dergelijke gegevens tussen de bevoegde autoriteiten van de lidstaten te vergemakkelijken, teneinde de doeltreffendheid van de justitiële samenwerking in strafzaken en de politiële samenwerking te waarborgen.
48.      Zoals in de literatuur is benadrukt kan het bestaan van twee regelingen voor gegevensbescherming tot aanzienlijke problemen leiden bij het beantwoorden van de vraag wat nu het relevante instrument is, de AVG of de richtlijn.(32)
49.      Daarom is het des te meer van belang dat er niet twee verschillende teksten van toepassing zijn op het verwerken van persoonsgegevens in het kader van eenzelfde strafrechtelijke procedure op de enkele grond dat deze verwerkingen door verschillende rechtshandhavingsinstanties in verschillende stadia van dezelfde procedure zijn verricht. Indien strafrechters die in het kader van de strafprocedure uitspraak doen, van de werkingssfeer van deze richtlijn zouden worden uitgesloten, zou dat namelijk leiden tot een versnipperde regeling waarin in dezelfde strafprocedure afhankelijk van de betrokken procedurele fase twee teksten van toepassing zouden kunnen zijn, zoals de Commissie ter terechtzitting heeft benadrukt.
50.      Een dergelijke benadering zou mijns inziens niet alleen in strijd zijn met het rechtszekerheidsbeginsel(33), maar ook met de consequente en coherente bescherming van persoonsgegevens.
51.      Bovendien hebben rechtshandhavingsinstanties in bepaalde gevallen meer flexibiliteit bij de uitoefening van hun taken in het kader van richtlijn 2016/680 dan zij zouden hebben in het kader van de AVG.(34) In het bijzonder is op grond van artikel 10 van deze richtlijn de verwerking van „bijzondere categorieën van persoonsgegevens”, waaronder zogenoemde „gevoelige” gegevens, alleen toegestaan wanneer dat strikt noodzakelijk is, terwijl artikel 9, lid 1, AVG de verwerking van deze gegevens verbiedt, behoudens de uitzonderingen bepaald in lid 2 van dat artikel. Evenzo bepaalt artikel 4, lid 1, onder c), van richtlijn 2016/680, dat betrekking heeft op het beginsel van minimale gegevensverwerking, dat persoonsgegevens toereikend, ter zake dienend en niet bovenmatig moeten zijn, terwijl artikel 5, lid 1, onder c), AVG bepaalt dat persoonsgegevens toereikend en ter zake dienend moeten zijn en beperkt moeten blijven tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt.
52.      De toepassing van richtlijn 2016/680 gedurende de gehele strafprocedure is dus des te meer gerechtvaardigd omdat de regels inzake de bescherming van persoonsgegevens in bepaalde opzichten kunnen verschillen van die van de AVG.
53.      Tot slot is een versnipperde benadering van de strafprocedure moeilijk te rijmen met de in overweging 7 van richtlijn 2016/680 genoemde doelstelling om de uitwisseling van persoonsgegevens tussen de bevoegde autoriteiten van de lidstaten te vergemakkelijken, teneinde een doeltreffende justitiële samenwerking in strafzaken en een doeltreffende politiële samenwerking te waarborgen.
54.      Uit het voorgaande volgt dat de verwerking van persoonsgegevens door een nationale rechterlijke instantie in het kader van het onderzoek van een strafzaak binnen de werkingssfeer van richtlijn 2016/680 valt als verwerking door een bevoegde autoriteit met het oog op de vervolging van strafbare feiten.
Ten gronde
55.      De verwijzende rechter wenst in wezen te vernemen of artikel 4, lid 1, onder c), artikel 8, lid 1, en artikel 10 van richtlijn 2016/680 zich verzetten tegen een nationale regeling die bepaalt dat de strafrechter alle in artikel 272, lid 1, NPK genoemde gegevens systematisch verifieert, uitsluitend met het oog op de identificatie van de verdachte in het kader van een strafrechtelijke procedure.(35)
56.      Ik wijs erop dat de door de artikelen 7 en 8 van het Handvest van de grondrechten van de Europese Unie (hierna: „Handvest”) gewaarborgde grondrechten op eerbiediging van het privéleven en op bescherming van persoonsgegevens geen absolute gelding hebben. Zij kunnen worden beperkt, mits de beperkingen overeenkomstig artikel 52, lid 1, van het Handvest bij wet worden gesteld en de wezenlijke inhoud van de grondrechten en het evenredigheidsbeginsel eerbiedigen.(36)
57.      Zo dienen de lidstaten op grond van het in artikel 4, lid 1, onder c), van richtlijn 2016/680 neergelegde beginsel van minimale gegevensverwerking en het in artikel 8, lid 1, van deze richtlijn neergelegde beginsel van rechtmatigheid van de verwerking te bepalen dat de betrokken persoonsgegevens toereikend en ter zake dienend moeten zijn en niet bovenmatig in verhouding tot de doeleinden waarvoor zij worden verwerkt, en dat de verwerking overeenkomstig het evenredigheidsbeginsel noodzakelijk moet zijn in het licht van de nagestreefde doeleinden.
58.      Daarnaast beoogt artikel 10 van richtlijn 2016/680, een specifieke bepaling die de verwerking van bijzondere categorieën van persoonsgegevens regelt, en met name gegevens waaruit de raciale of etnische afkomst blijkt, de betrokkene een versterkte bescherming te waarborgen, aangezien die gegevens, wegens hun bijzondere gevoeligheid en de context waarin zij worden verwerkt, zoals uit overweging 37 van die richtlijn naar voren komt, aanzienlijke risico’s kunnen meebrengen voor de grondrechten en de fundamentele vrijheden, zoals het recht op eerbiediging van het privéleven en het recht op bescherming van persoonsgegevens, die door de artikelen 7 en 8 van het Handvest zijn gewaarborgd.(37)
59.      In casu heeft de verwijzende rechter tot taak om de gerechtelijke procedure te voeren in het kader van de strafvervolging op grond van een door de openbaar aanklager uitgebrachte tenlastelegging. Om deze taak te kunnen vervullen moet hij formeel de identiteit van de verschenen persoon vaststellen en in het bijzonder nagaan of het inderdaad gaat om de persoon waarop de tenlastelegging betrekking heeft.(38) Met het oog op de verificatie van de identiteit van de verdachte verplicht artikel 272, lid 1, NPK de verwijzende rechter om de persoon die in het kader van elke specifieke zaak verschijnt, systematisch te vragen naar een aantal persoonsgegevens, te weten zijn volledige naam, geboortedatum en -plaats, etnische achtergrond, nationaliteit, woonplaats, opleiding, burgerlijke staat en persoonlijk identificatienummer, alsmede zijn strafblad.
60.      De doelstelling om de identiteit van de verdachte te controleren is als zodanig legitiem en kan vallen onder een door de Unie erkend algemeen belang in de zin van artikel 52, lid 1, van het Handvest, in het bijzonder het belang om elke vergissing met betrekking tot de persoon die in rechte verschijnt, te voorkomen.
61.      De verwijzende rechter moet dus nagaan of het vereiste om de betrokken gegevens te verzamelen, ten eerste, kan bijdragen aan de verwezenlijking van de nagestreefde doelstelling van verificatie van de identiteit, ten tweede, noodzakelijk is, hetgeen betekent dat er geen alternatieve maatregelen bestaan die minder inbreuk maken op het recht op bescherming van persoonsgegevens, maar even doeltreffend zijn om het aangevoerde doel te bereiken(39) en, ten derde, evenredig is aan dat doel, hetgeen een zorgvuldige afweging impliceert tussen enerzijds de doelstelling van algemeen belang en anderzijds de rechten van de persoon van wie de persoonsgegevens worden verzameld(40), waarbij het Hof bevoegd is om de verwijzende rechter te voorzien van de gegevens die dienstig kunnen zijn voor de uitlegging.
62.      Ik merk op dat de gestelde vraag geen betrekking heeft op het verzamelen van bepaalde gegevens met betrekking tot de burgerlijke staat en identificatiegegevens, zoals volledige naam, geboortedatum en persoonlijk identificatienummer. Deze gegevens worden overigens traditioneel als identificatiegegevens beschouwd, ook volgens de Bulgaarse wetgeving inzake de burgerlijke stand en de identiteitsdocumenten.(41)
63.      De verwijzende rechter heeft daarentegen twijfels over de evenredigheid van het systematisch verzamelen van bepaalde gegevens, zoals, ten eerste, geboorteplaats en nationaliteit, ten tweede, woonplaats, opleiding, burgerlijke staat en strafblad en, ten derde, etnische achtergrond, die achtereenvolgens moeten worden behandeld.
64.      In de eerste plaats maken sommige van deze gegevens, zoals geboorteplaats en nationaliteit, deel uit van de „belangrijkste gegevens met betrekking tot de burgerlijke staat”(42). Daarmee kan de identiteit van de persoon op wie de tenlastelegging betrekking heeft, worden gecontroleerd en kunnen vergissingen worden voorkomen. Bovendien is de inmenging in het recht op eerbiediging van het privéleven en op bescherming van persoonsgegevens die het verzamelen van deze gegevens met zich meebrengt, niet van dien aard dat zij, na afweging van de betrokken belangen, onevenredig is aan de nagestreefde doelstelling van identiteitscontrole.
65.      In de tweede plaats kan het verzamelen van aanvullende gegevens over opleiding, burgerlijke staat, woonplaats en strafblad relevant zijn voor andere doeleinden dan identificatie, zoals de verwijzende rechter heeft opgemerkt en de Commissie in haar schriftelijke opmerkingen heeft gesteld. Opleiding en burgerlijke staat kunnen namelijk van belang zijn voor de individuele strafbepaling. De woonplaats kan een rol spelen bij de overdracht van de tenuitvoerlegging van de straf naar een andere staat. Evenzo kan aan de hand van het strafregister worden vastgesteld of er sprake is van recidive. Zoals blijkt uit de Bulgaarse procedureregels, mogen deze gegevens, die de kamerpresident in dit stadium van de identiteitscontrole van de voor hem verschenen persoon verzamelt, echter niet worden gebruikt bij de beslissing ten gronde en hebben zij geen bewijskracht. Daarnaast is het vragen naar persoonsgegevens van de verdachte en het registreren van zijn antwoorden hoe dan ook niet voldoende om de betrouwbaarheid van die gegevens aan te tonen. Daarvoor zouden namelijk officiële documenten moeten worden geraadpleegd of overgelegd, zoals het strafregister, de registers van de burgerlijke stand of een diploma.
66.      In die omstandigheden ben ik van mening dat een regeling die op ongedifferentieerde en algemene wijze vereist dat elke verdachte stelselmatig wordt gevraagd naar die aanvullende gegevens en dat zijn antwoorden vervolgens in het proces-verbaal worden opgenomen, mogelijk verder gaat dan noodzakelijk is voor het enkele doel van zijn identificatie. Bij de voorgeschreven identiteitscontrole is het mijns inziens niet vereist dat alle vermelde categorieën gegevens systematisch worden verwerkt, maar alleen die gegevens die, gelet op de concrete omstandigheden, noodzakelijk zijn om redelijke twijfel over de identiteit van de verschenen persoon weg te nemen, een en ander ter beoordeling van de nationale rechter.
67.      Zelfs indien wordt aangenomen dat bepaalde gegevens betreffende opleiding, burgerlijke staat, woonplaats en strafblad in bepaalde gevallen noodzakelijk kunnen zijn voor de identificatie van de verdachte, brengt het evenredigheidsbeginsel bovendien met zich mee dat alle relevante elementen tegen elkaar worden afgewogen en dat het belang van de nagestreefde doelstelling van algemeen belang wordt afgewogen tegen de ernst van de inmenging in de grondrechten en de bescherming van de persoonsgegevens van de betrokkene.(43) De omstandigheid dat stelselmatig naar deze gegevens wordt gevraagd, samen met het feit dat het verzamelen van deze gegevens plaatsvindt in het kader van een openbare terechtzitting, dat deze gegevens in het proces-verbaal worden opgenomen en vervolgens worden bewaard in het dossier dat voor de partijen toegankelijk is, kan een inmenging vormen die verder gaat dan hetgeen is vereist voor de identificatie in dit voorstadium van de strafprocedure.
68.      Wat in de derde plaats het gegeven met betrekking tot de „etnische achtergrond” betreft, zij eraan herinnerd dat artikel 10 van richtlijn 2016/680 voorschrijft dat verwerking van gevoelige gegevens „slechts [is] toegelaten wanneer [dat] strikt noodzakelijk is”. Dit vereiste van strikte noodzakelijkheid vormt een strengere voorwaarde voor de rechtmatigheid van de verwerking van die gegevens en betekent onder meer dat de naleving van het uit artikel 4, lid 1, onder c), van die richtlijn voortvloeiende beginsel van „minimale gegevensverwerking”, waarvan dat vereiste een specifieke toepassing op die gevoelige gegevens vormt, bijzonder streng moet worden gecontroleerd.(44) Het gebruik van het bijwoord „slechts” vóór de uitdrukking „wanneer strikt noodzakelijk” benadrukt dat de verwerking van bijzondere categorieën van gegevens alleen in een beperkt aantal gevallen noodzakelijk kan worden geacht. Verder impliceert het feit dat de verwerking van dergelijke gegevens „strikt” noodzakelijk moet zijn, dat deze noodzaak bijzonder streng wordt beoordeeld.(45)
69.      Het systematisch vragen naar de „etnische achtergrond” van iedere verdachte ter openbare terechtzitting en dus naar de etnische afstamming van die persoon voldoet geenszins aan de vereisten van artikel 10 van richtlijn 2016/680.(46) De identiteit van de verdachte kan in de regel immers worden vastgesteld aan de hand van de gegevens met betrekking tot de burgerlijke staat en de reeds beschikbare identificatiegegevens, met name van identiteitsdocumenten, zonder dat gebruik hoeft te worden gemaakt van informatie over zijn etnische afstamming. Bovendien houdt het vereiste van strikte noodzakelijkheid in dat aan de hand van concrete informatie wordt aangetoond dat het nagestreefde doel bij gebreke van dat specifieke gegeven niet op soortgelijke wijze kan worden bereikt. Een algemene en ongedifferentieerde verplichting om een dergelijk persoonsgegeven te verzamelen, die in dit stadium van de procedure wordt opgelegd met het oog op de identificatie van de verdachte en niet samenhangt met een bijzonder probleem in verband met die identificatie, lijkt mij in beginsel in strijd met het in artikel 10 van die richtlijn geformuleerde vereiste van „strikte noodzakelijkheid”.(47)
70.      Uit het voorgaande volgt dat het antwoord aan de verwijzende rechter moet luiden dat artikel 4, lid 1, onder c), artikel 8, lid 1, en artikel 10 van richtlijn 2016/680 aldus moeten worden uitgelegd dat zij zich verzetten tegen een nationale regeling als artikel 272, lid 1, NPK die vereist dat voor de vaststelling van de identiteit van de verdachte in het kader van een strafzaak systematisch persoonsgegevens betreffende woonplaats, opleidingsniveau, burgerlijke staat, strafblad en etnische achtergrond worden verwerkt (verzameld, vastgelegd en opgeslagen), terwijl die gegevens niet noodzakelijk zijn voor dat doel, hetgeen ter beoordeling is van de verwijzende rechter.
Conclusie
71.      Gelet op het bovenstaande geef ik het Hof in overweging om de prejudiciële vraag van de Sofiyski gradski sad te beantwoorden als volgt:
„Artikel 4, lid 1, onder c), artikel 8, lid 1, en artikel 10 van richtlijn (EU) 2016/680 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, en betreffende het vrije verkeer van die gegevens en tot intrekking van kaderbesluit 2008/977/JBZ van de Raad,
moeten aldus worden uitgelegd dat
zij zich verzetten tegen een nationale regeling als artikel 272, lid 1, van de Nakazatelno-protsesualen kodeks (Bulgaars wetboek van strafvordering) die vereist dat voor de vaststelling van de identiteit van de verdachte in het kader van een strafzaak systematisch persoonsgegevens betreffende woonplaats, opleidingsniveau, burgerlijke staat, strafblad en etnische achtergrond worden verwerkt (verzameld, vastgelegd en opgeslagen), terwijl die gegevens niet noodzakelijk zijn voor dat doel, hetgeen ter beoordeling is van de verwijzende rechter.”
1      Oorspronkelijke taal: Frans.
i      Dit is een fictieve naam, die niet overeenkomt met de werkelijke naam van enige partij in de procedure.
2      Richtlijn van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, en betreffende het vrije verkeer van die gegevens en tot intrekking van kaderbesluit 2008/977/JBZ van de Raad (PB 2016, L 119, blz. 89).
3      Verordening van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB 2016, L 119, blz. 1; hierna: „AVG”).
4      DV nr. 86 van 28 oktober 2005, zoals gewijzigd en aangevuld bij DV nr. 39 van 1 mei 2024.
5      DV nr. 67 van 27 juli 1999, zoals gewijzigd en aangevuld bij DV nr. 85 van 8 oktober 2024.
6      DV nr. 93 van 11 augustus 1998, zoals gewijzigd en aangevuld bij DV nr. 67 van 4 augustus 2023.
7      DV nr. 64 van 7 augustus 2007, zoals gewijzigd en aangevuld bij DV nr. 67 van 9 augustus 2024.
8      DV nr. 56 van 13 juli 1991.
9      Zo is er discussie mogelijk over de vraag of de verwijzende rechter de gegevens zelf verzamelt dan wel of ze al eerder door de bevoegde autoriteit zijn verzameld (zie in dat verband artikel 138, lid 2, NPK).
10      Zie artikel 2, lid 2, onder d), AVG.
11      Dat neemt niet weg dat de AVG van toepassing is op de verwerking van persoonsgegevens door een „bevoegde autoriteit” in de zin van artikel 3, lid 7, van richtlijn 2016/680, wanneer deze autoriteit die gegevens verwerkt voor andere doeleinden, zoals werkgelegenheid, opleiding van personeel, archivering, onderzoek of statistieken. Zie in die zin arrest van 21 juni 2022, Ligue des droits humains (C‑817/19, EU:C:2022:491, punt 72 en aldaar aangehaalde rechtspraak). Zie ook Leiser, M., en Custers, B., „The Law Enforcement Directive: Conceptual Challenges of EU Directive 2016/680”, European Data Protection Law Review, deel 5, nr. 3, 2019, blz. 367‑378, in het bijzonder blz. 371.
12      Volgens mij heeft artikel 3, lid 7, onder b), van richtlijn 2016/680 daarentegen geen betrekking op rechterlijke instanties, maar heeft de uitdrukking „ieder ander orgaan dat of iedere andere entiteit die krachtens het lidstatelijke recht is gemachtigd openbaar gezag en openbare bevoegdheden uit te oefenen met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen” betrekking op particuliere organisaties. Men kan hier denken aan geprivatiseerde politiediensten of door een particuliere entiteit bestuurde gevangenissen. Zie in dit verband Purtova, N., „Between the GDPR and the Police Directive: navigating through the maze of information sharing in public-private partnerships”, International Data Privacy Law, deel 8, nr. 1, februari 2018, blz. 52‑68. Zie tevens De Hert, P., en Sajfert, J., „Chapter 10: Variety, velocity and volume of personal data in criminal investigations and proceedings: the limits drawn by the purpose limitation and data minimization principles in Directive (EU) 2016/680”, in Research Handbook on EU Criminal Law, Mitsilegas, V., Bergström, M., en Quintel, T. (red.), Edward Elgar Publishing, 2024, 2e druk, blz. 212‑228.
13      In deze overweging staat te lezen dat „[h]oewel deze richtlijn ook van toepassing is op de activiteiten van nationale gerechten en andere rechterlijke autoriteiten, [...] de competentie van de toezichthoudende autoriteiten zich niet [dient] uit te strekken tot de verwerking van persoonsgegevens door gerechten in het kader van hun taken, teneinde de onafhankelijkheid van rechters bij de uitvoering van hun gerechtelijke taken te vrijwaren”.
14      Zie naar analogie, met betrekking tot de overeenkomstige bepaling van de AVG, arrest van 24 maart 2022, Autoriteit Persoonsgegevens (C‑245/20, EU:C:2022:216, punt 26). Dit arrest betrof een bestuursrechtelijke procedure over de verwerking van persoonsgegevens door een rechterlijke instantie in het kader van de tijdelijke terbeschikkingstelling aan journalisten van stukken uit een gerechtelijke procedure die persoonsgegevens bevatten, welke verwerking werd geacht deel uit te maken van de uitoefening van de rechterlijke taken van die instantie in de zin van de AVG.
15      Zie in dit verband Tosconi, L., en Bygrité, L. A., „Article 3 – Definitions”, in The EU Law Enforcement Directive (LED): A Commentary, Kosta, E., en Boehm, F., (red.), Oxford University Press, 2024, blz. 79‑132, in het bijzonder blz. 104, nr. 7.2.4, onder verwijzing naar de notulen van de 12e vergadering van de deskundigengroep van de Commissie over de AVG en richtlijn 2016/680 van 2 oktober 2017, waarin melding wordt gemaakt van de instemming van de lidstaten met de toepassing van die richtlijn op strafrechtelijke instanties (document beschikbaar op: https://ec.europa.eu/transparency/expert-groups-register/screen/expert-groups/consult?lang=fr&groupID=3461).
16      Met name artikel 18 („Rechten van de betrokkene bij strafrechtelijke onderzoeken en procedures”) van die richtlijn betreft de uitoefening van het recht op informatie, toegang, rectificatie en verwijdering en bepaalt dat de uitoefening van deze rechten overeenkomstig het lidstatelijke recht geschiedt wanneer de persoonsgegevens „in een rechterlijke beslissing, register of dossier zijn vervat en in het kader van strafrechtelijke onderzoeken en procedures worden verwerkt”.
17      Zie overweging 20 van richtlijn 2016/680.
18      Zoals in overweging 20 van die richtlijn is vermeld, ontneemt dat de lidstaten niet de mogelijkheid om deze verwerkingsactiviteiten en -procedures in hun nationale strafprocesrecht nader te omschrijven.
19      Het Hof heeft weliswaar reeds arresten gewezen met betrekking tot de werkingssfeer van richtlijn 2016/680, maar deze arresten gaan niet over die vraag. Zo kunnen luchtvaartmaatschappijen, ofschoon wettelijk verplicht om persoonsgegevens van passagiers (PNR-gegevens) door te geven, niet worden beschouwd als bevoegde autoriteiten in de zin van artikel 3, lid 7, van richtlijn 2016/680 [zie arrest van 21 juni 2022, Ligue des droits humains (C‑817/19, EU:C:2022:491, punt 81)]. Zie ook de conclusie van advocaat-generaal Pikamäe in de zaak Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2021:991, punt 28) met betrekking tot de Vyriausioji tarnybinės etikos komisija (hoge commissie voor de voorkoming van belangenconflicten in de openbare dienst, Litouwen), waarop de AVG is toegepast (zie arrest van 1 augustus 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601; hierna: „arrest Vyriausioji tarnybinės etikos komisija”). Evenzo is de Ceļu satiksmes drošības direkcija (directie verkeersveiligheid, Letland) geen „bevoegde autoriteit” in de zin van richtlijn 2016/680 bij de uitoefening van de in het hoofdgeding aan de orde zijnde activiteiten, die erin bestaan dat persoonsgegevens die betrekking hebben op strafpunten openbaar worden gemaakt met het oog op de verkeersveiligheid [zie arrest van 22 juni 2021, Latvijas Republikas Saeima (Strafpunten) (C‑439/19, EU:C:2021:504, punt 71)].
20      Arrest van 8 december 2022 (C‑180/21, EU:C:2022:967; hierna: „arrest Inspektor”). In dat arrest rees de vraag of persoonsgegevens die waren verkregen toen de betrokken persoon slachtoffer leek van het onderzochte strafbare feit, vervolgens konden worden verwerkt toen hij beklaagde of verdachte was, hoewel zij aanvankelijk waren verzameld en verwerkt voor andere doeleinden, namelijk met het oog op opsporing en onderzoek. In dat kader heeft het Hof geoordeeld dat wanneer persoonsgegevens zijn verzameld met het oog op het „opsporen” en „onderzoeken” van een strafbaar feit en verder zijn verwerkt met het oog op „vervolging”, het verzamelen en verwerken van die gegevens verschillende doeleinden dienen (punt 44) en dat bij de beoordeling of is voldaan aan de evenredigheid van de verwerking door de verwerkingsverantwoordelijke elk van deze doeleinden als specifiek en afzonderlijk moet worden beschouwd (punt 56).
21      Arrest Inspektor (punt 59).
22      Zie de conclusie van advocaat-generaal Campos Sánchez-Bordona in de zaak Inspektor v Inspektorata kam Visshia sadeben savet (Doeleinden van de verwerking van persoonsgegevens – Strafrechtelijk onderzoek) (C‑180/21, EU:C:2022:406, voetnoot 15). Dit is met name het geval voor de versies van richtlijn 2016/680 in de Duitse, de Franse, de Engelse, de Italiaanse en de Nederlandse taal, met uitzondering van de versie in de Spaanse taal, die verwijst naar de eigenlijke „enjuiciamiento” (berechting), die uitsluitend is voorbehouden aan de rechterlijke instanties.
23      Zie over de verscheidenheid van de nationale stelsels en de complementariteit van de respectieve functies van de rechter en de openbaar aanklager het Gezamenlijk advies van de Adviesraad van Europese rechters (CCJE) en de Adviesraad van Europese aanklagers (CCPE) over de betrekkingen tussen rechters en aanklagers [1075e vergadering] [CM(2009) 192]. Zie voor een vergelijkende benadering ook Pradel, J., Droit pénal comparé, Dalloz, Parijs, 2016, 4e druk, in het bijzonder nr. 145 e.v. Zie over de omzetting van richtlijn 2016/680 in verschillende lidstaten ook Franssen, V., en Corhay, M., „Article 18 – Rights of the data subject in criminal investigations and proceedings”, in The EU Law Enforcement Directive (LED): A Commentary, op. cit., blz. 321‑330, in het bijzonder onderdeel B.3. („National legislation”), blz. 325‑328.
24      Het Europees Comité voor gegevensbescherming (EDPB) heeft in zijn advies nr. 6/2015, A further step towards comprehensive EU data protection, van 28 oktober 2015, in punt VI over de bevoegdheden van de toezichthoudende autoriteiten, zelf gewezen op de grote verschillen tussen de nationale systemen van de lidstaten en op het feit dat het niet altijd duidelijk is of en wanneer openbare aanklagers „onafhankelijke rechterlijke autoriteiten” zijn en in hoeverre hun activiteiten gerechtelijke activiteiten zijn. Zie ook de notulen van de 15e vergadering van de deskundigengroep van de Commissie inzake de AVG en richtlijn 2016/680, van 20 februari 2018, waarin in punt 5 wordt gewezen op de problemen die zich in dit verband voordoen bij de omzetting van de richtlijn, aangezien sommige lidstaten aangeven dat hun aanklagers hetzelfde niveau van onafhankelijkheid hebben als hun rechters (beschikbaar op: https://ec.europa.eu/transparency/expert-groups-register/screen/meetings/consult?lang=en&meetingId=3656&fromExpertGroups=true).
25      Zie het arrest Inspektor (punt 53), waarin het Hof heeft benadrukt dat „[b]ij de verwerking van persoonsgegevens met het oog op ‚vervolging’ [...] het er daarentegen om [gaat] deze gegevens te gebruiken om de strafbare feiten waarvan de vervolgde personen worden beschuldigd afdoende te bewijzen en de juiste strafrechtelijke kwalificatie van deze feiten te geven, zodat de bevoegde rechter een beslissing kan nemen”.
26      Zoals ter terechtzitting is opgemerkt, kent het Bulgaarse strafrecht geen onderzoeksrechter, maar is er wel sprake van een „gerechtelijk onderzoek” dat volgt op het politieonderzoek.
27      Zie met betrekking tot de strikte uitlegging van de uitzonderingen op de toepassing van de AVG het arrest Inspektor (punt 78), waaruit volgt dat wanneer het openbaar ministerie optreedt met het oog op de verdediging van de staat in het kader van een beroep wegens bestuursrechtelijke aansprakelijkheid, de verdediging van de staat in een dergelijk beroep niet tot doel heeft om de taken die voor de doeleinden van artikel 1, lid 1, van richtlijn 2016/680 op het openbaar ministerie rusten, als zodanig te verzekeren, zodat de AVG van toepassing is. Evenzo valt het verzamelen door de belastingdienst van een lidstaat van persoonsgegevens met betrekking tot advertenties voor de verkoop van voertuigen die op de website van een marktdeelnemer zijn gepubliceerd, binnen de materiële werkingssfeer van de AVG, wanneer die gegevens niet worden verzameld met als specifiek doel strafvervolgingen in te stellen of in het kader van de activiteiten van de staat op strafrechtelijk gebied [zie arrest van 24 februari 2022, Valsts ieņēmumu dienests (Verwerking van persoonsgegevens voor fiscale doeleinden) (C‑175/20, EU:C:2022:124, punten 44‑46)].
28      Kaderbesluit van de Raad van 27 november 2008 over de bescherming van persoonsgegevens die worden verwerkt in het kader van de politiële en justitiële samenwerking in strafzaken (PB 2008, L 350, blz. 60). De werkingssfeer ervan was beperkt tot de grensoverschrijdende verwerking van persoonsgegevens.
29      Conferentie van de vertegenwoordigers van de regeringen der lidstaten, Slotakte, aangenomen te Brussel op 3 december 2007 (CIG 15/07), beschikbaar op: https://data.consilium.europa.eu/doc/document/CG-15‑2007-INIT/nl/pdf.
30      Voorstel van 25 januari 2012 voor een richtlijn van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, en betreffende het vrije verkeer van die gegevens [COM(2012) 0010].
31      Zie De Hert, P., en Papakonstantinou, V., „The New Police and Criminal Justice Data Protection Directive. A First Analysis”, New Journal of European Criminal Law, deel 7, nr. 1, 2016, blz. 7‑19, en Brière, C., „Défaut de transposition de la directive sur la protection des données dans le domaine pénal: vers une application ordinaire de l’article 260, paragraphe 3, TFUE. CJUE (8e ch.), 25 février 2021, Commission européenne/Royaume d’Espagne (Directive données à caractère personnel – Domaine pénal), aff. C‑658/19, EU:C:2021:138”, Revue des affaires européennes, deel 1, 2021, blz. 223‑233.
32      Zie in dit verband Sajfert, J., en Quintel, T., „Data Protection Directive (EU) 2016/680 for Police and Criminal Justice Authorities”, SSRN Electronic Journal, 2017, in het bijzonder onderdeel I.1 („Meandering between the Directive and the GDPR”), die stellen dat het onderscheid tussen de werkingssferen van de AVG en richtlijn 2016/680 niet duidelijk is. Zij noemen het voorbeeld van een politieagent die persoonsgegevens verwerkt met het oog op archivering en in dat geval onder de AVG valt, maar wijzen erop dat het minder duidelijk is welk instrument van toepassing is wanneer de politieagent handelt met het oog op identificatie op het gebied van migratie en grenstoezicht: het illegaal overschrijden van een Schengengrens kan soms als een strafbaar feit worden beschouwd, maar als de irreguliere migrant asiel aanvraagt, kan de verwerking onder de AVG of een andere relevante sectorale regeling vallen, ondanks de ingeleide strafrechtelijke procedure. Daaruit blijk dat het voor de bevoegde autoriteiten ingewikkeld is om afhankelijk van het doel van de verwerking twee verschillende wettelijke regelingen toe te passen. Zie tevens Vogiatzoglou, P., „Article 2 – Scope”, in The EU Law Enforcement Directive (LED): A Commentary, op. cit., blz. 67‑78, in het bijzonder onderdeel C.2. („Between the LED and the GDPR”), blz. 74‑75. Zie ook Purtova, N., „Between the GDPR and the Police Directive: navigating through the maze of information sharing in public-private partnerships”, op. cit.
33      Het rechtszekerheidsbeginsel vereist dat de toepassing van rechtsregels voor de justitiabelen voorzienbaar is [zie arrest van 4 oktober 2024, Bezirkshauptmannschaft Landeck (Poging tot het verkrijgen van toegang tot op een mobiele telefoon opgeslagen persoonsgegevens) (C‑548/21, EU:C:2024:830, punt 76)].
34      Zie in dit verband Sajfert, J., en Quintel, T., „Data Protection Directive (EU) 2016/680 for Police and Criminal Justice Authorities”, op. cit, in het bijzonder onderdeel I.4 („Croquis of the Directive”), blz. 7, die bijvoorbeeld stellen dat de verwerkingsverantwoordelijke meer mogelijkheden heeft tot beperking van het recht van inzage en het recht op informatie over de eventuele weigering van rectificatie, verwijdering of verwerkingsbeperking, op grond van artikel 13, lid 3, artikel 15, lid 3, en artikel 16, lid 4, van richtlijn 2016/680 dan in het kader van artikel 23 AVG. Het gaat er namelijk om „belemmering van officiële of gerechtelijke onderzoeken of procedures te voorkomen” en om nadelige gevolgen voor met name de vervolging van strafbare feiten te voorkomen [zie artikel 13, lid 3, onder a) en b), van richtlijn 2016/680]. Zie tevens Purtova, N., „Between the GDPR and the Police Directive: navigating through the maze of information sharing in public-private partnerships”, op. cit., in het bijzonder blz. 60, en De Hert, P., en Sajfert, J., „Chapter 10: Variety, velocity and volume of personal data in criminal investigations and proceedings: the limits drawn by the purpose limitation and data minimization principles in Directive (EU) 2016/680”, op. cit., blz. 222.
35      Ter informatie merk ik op dat de verwijzende rechter aangeeft dat hij zich tot de Konstitutsionen sad heeft gewend met het verzoek vast te stellen dat de in het hoofdgeding aan de orde zijnde nationale bepaling onverenigbaar is met de Bulgaarse grondwet. Dit verzoek is echter niet-ontvankelijk verklaard op grond dat de verwijzende rechter geen rekening heeft gehouden met het achtste hoofdstuk van de Zakon za zashtita na lichnite danni (wet inzake de bescherming van persoonsgegevens) van 1 januari 2002 (DV nr. 1 van 4 januari 2002, zoals gewijzigd en aangevuld bij DV nr. 70 van 20 augustus 2024) (hierna: „ZZLD”), waarbij richtlijn 2016/680 is omgezet. De verwijzende rechter is evenwel van oordeel dat de regeling van de ZZLD van algemene aard is en dat artikel 272, lid 1, NPK een bijzondere wet is en daarom van toepassing blijft. Ik herinner eraan dat de verwijzende rechter bevoegd is om zijn nationale recht uit te leggen [zie arrest van 30 april 2024, M.N. (EncroChat) (C‑670/22, EU:C:2024:372, punt 76)], en ben derhalve van mening dat antwoord moet worden gegeven op de vraag zoals deze is gesteld, waarvoor een vermoeden van relevantie geldt [zie arrest van 26 januari 2023, Ministerstvo na vatreshnite raboti (Registratie van biometrische en genetische gegevens door de politie) (C‑205/21, EU:C:2023:49, punt 54; hierna: „arrest Ministerstvo na vatreshnite raboti”).
36      Zie arrest van 30 januari 2024, Direktor na Glavna direktsia „Natsionalna politsia” pri MVR – Sofia (C‑118/22, EU:C:2024:97, punt 39; hierna: „arrest Direktor na Glavna direktsia”).
37      Zie het arrest Ministerstvo na vatreshnite raboti (punt 116 en aldaar aangehaalde rechtspraak). Zie met betrekking tot het begrip „etnische afstamming” in een andere context arrest van 18 december 2025, Slagelse Almennyttige Boligselskab, Afdeling Schackenborgvænge (C‑417/23, EU:C:2025:1017, punten 71 e.v.), betreffende richtlijn 2000/43/EG van de Raad van 29 juni 2000 houdende toepassing van het beginsel van gelijke behandeling van personen ongeacht ras of etnische afstamming (PB 2000, L 180, blz. 22).
38      Het gaat hier niet om het verzamelen van gegevens door de politie tijdens het onderzoek met het oog op de toekomstige identificatie of vergelijking van de verdachte, zoals bijvoorbeeld het geval was in de zaak die heeft geleid tot het arrest van 20 november 2025, Policejní prezidium (Bewaring van biometrische en genetische gegevens) (C‑57/23, EU:C:2025:905, punt 84).
39      Zie naar analogie arrest van 22 juni 2021, Latvijas Republikas Saeima (Strafpunten) (C‑439/19, EU:C:2021:504, punten 109 en 110).
40      Zie naar analogie het arrest Vyriausioji tarnybinės etikos komisija (punt 98 en aldaar aangehaalde rechtspraak). Zie tevens het arrest Direktor na Glavna direktsia (punt 62).
41      Zie de punten 12-15 supra.
42      Zie artikel 8, lid 1, ZGR, waarvan de inhoud in punt 12 supra is weergegeven.
43      Zie naar analogie het arrest Vyriausioji tarnybinės etikos komisija (punt 98 en aldaar aangehaalde rechtspraak). Zie tevens het arrest Direktor na Glavna direktsia (punt 62).
44      Zie het arrest Direktor na Glavna direktsia (punt 48 en aldaar aangehaalde rechtspraak).
45      Zie het arrest Ministerstvo na vatreshnite raboti (punten 118 e.v.) en arrest van 20 november 2025, Policejní prezidium (Bewaring van biometrische en genetische gegevens) (C‑57/23, EU:C:2025:905, punt 78). Zie ook de conclusie van advocaat-generaal Szpunar in de zaak Comdribus (C‑371/24, EU:C:2025:631, punten 43 e.v.).
46      Ik vraag mij overigens af wat de bestaansreden is van deze vraag over de „etnische achtergrond”, die problematisch kan zijn in het licht van de waarden van de Unie in de zin van artikel 2 VEU.
47      Zie in die zin het arrest Ministerstvo na vatreshnite raboti (punten 128 en 129); Simon, D., „Données personnelles – Traitement des données sensibles dans les procédures pénales”, Revue Europe, LexisNexis, nr. 3, 2023, commentaar nr. 112.