Edición provisional
CONCLUSIONES DEL ABOGADO GENERAL
SR. DEAN SPIELMANN
presentadas el 5 de marzo de 2026 (1)
Asunto C‑5/25 [Pilev] (i)
Procedimiento penal
contra
WE
con intervención de
Sofiyska gradska prokuratura
[Petición de decisión prejudicial planteada por el Sofiyski gradski sad (Tribunal de la ciudad de Sofía, Bulgaria)]
« Procedimiento prejudicial — Cooperación judicial en materia penal — Protección de las personas físicas en lo que respecta al tratamiento de datos personales en materia penal — Operaciones de tratamiento efectuadas por los tribunales en el ejercicio de su función judicial — Aplicabilidad de la Directiva
(UE) 2016/680 — Comprobación de la identidad del acusado en una vista pública — Datos relativos al lugar de nacimiento, la nacionalidad, el lugar de residencia, la formación académica, el estado civil, los antecedentes penales y el origen étnico »
Introducción
1.        El presente asunto tiene por objeto el alcance de la recogida, por parte de un órgano jurisdiccional nacional penal, de datos personales de un acusado con el único fin de comprobar que es efectivamente la persona a la que se refiere el escrito de acusación. Sin embargo, no versa sobre la independencia del juez en su función de juez del fondo del asunto y su margen de maniobra para preguntar al acusado a este respecto.
2.        Así pues, el caso de autos brinda al Tribunal de Justicia la oportunidad de precisar el ámbito de aplicación de la Directiva (UE) 2016/680 (2) en relación con el Reglamento (UE) 2016/679 (3) y de consolidar su jurisprudencia sobre la proporcionalidad, a la luz del objetivo perseguido, de la recogida de datos personales por un órgano jurisdiccional penal.
Marco jurídico
Directiva 2016/680
3.        El artículo 1 de esta Directiva, titulado «Objeto y objetivos», establece en su apartado 1:
«La presente Directiva establece las normas relativas a la protección de las personas físicas en lo que respecta al tratamiento de los datos personales por parte de las autoridades competentes, con fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, incluidas la protección y la prevención frente a las amenazas contra la seguridad pública.»
4.        El artículo 2 de la citada Directiva, cuyo epígrafe es «Ámbito de aplicación», dispone en su apartado 1:
«La presente Directiva se aplica al tratamiento de datos personales por parte de las autoridades competentes a los fines establecidos en el artículo 1, apartado 1.»
5.        A tenor del artículo 3 de la Directiva 2016/680, titulado «Definiciones»:
«A efectos de la presente Directiva se entenderá por:
[…]
7.      “autoridad competente”:
a)      toda autoridad pública competente para la prevención, investigación, detección o enjuiciamiento de infracciones penales o la ejecución de sanciones penales, incluidas la protección y prevención frente a amenazas para la seguridad pública, o
b)      cualquier otro órgano o entidad a quien el Derecho del Estado miembro haya confiado el ejercicio de la autoridad pública y las competencias públicas a efectos de prevención, investigación, detección o enjuiciamiento de infracciones penales o ejecución de sanciones penales, incluidas la protección y prevención frente a amenazas para la seguridad pública;
[…]»
6.        De conformidad con el artículo 4 de la referida Directiva, cuya rúbrica es «Principios relativos al tratamiento de datos personales»:
«1.      Los Estados miembros dispondrán que los datos personales sean:
[…]
c)      adecuados, pertinentes y no excesivos en relación con los fines para los que son tratados;
[…]»
7.        El artículo 8 de dicha Directiva, titulado «Licitud del tratamiento», dispone en su apartado 1:
«Los Estados miembros dispondrán que el tratamiento solo sea lícito en la medida en que sea necesario para la ejecución de una tarea realizada por una autoridad competente, para los fines establecidos en el artículo 1, apartado 1, y esté basado en el Derecho de la Unión o del Estado miembro.»
8.        El artículo 10 de la Directiva 2016/680, con la rúbrica «Tratamiento de categorías especiales de datos personales», está redactado en los siguientes términos:
«El tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, así como el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o a la vida sexual o las orientaciones sexuales de una persona física solo se permitirá cuando sea estrictamente necesario, con sujeción a las salvaguardias adecuadas para los derechos y libertades del interesado y únicamente cuando:
a)      lo autorice el Derecho de la Unión o del Estado miembro;
b)      sea necesario para proteger los intereses vitales del interesado o de otra persona física, o
c)      dicho tratamiento se refiera a datos que el interesado haya hecho manifiestamente públicos.»
Derecho búlgaro
Código de Enjuiciamiento Criminal (NPK)
9.        El artículo 138, apartados [2] y 3, del nakazatelno-protsesualen kodeks (Código de Enjuiciamiento Criminal), (4) de 29 de abril de 2006 (en lo sucesivo, «NPK»), tiene el siguiente tenor:
«[...]
2.      Antes del interrogatorio, la autoridad competente comprobará la identidad del acusado.
3.      El interrogatorio del acusado comenzará con la pregunta de si comprende la acusación; a continuación se le pedirá que, si así lo desea, exponga con sus propias palabras todo lo que sabe sobre la causa penal.»
10.      El artículo 272, apartado 1, del NPK establece:
«El presidente del tribunal comprobará la identidad del acusado preguntándole su nombre completo, fecha y lugar de nacimiento, origen (narodnost) étnico, nacionalidad, lugar de residencia, formación académica, estado civil y número del documento de identidad, así como sus antecedentes penales.»
11.      El artículo 311, apartado 1, punto 2, del NPK dispone:
«El acta de la vista […] contendrá […] los datos de identificación del acusado».
Ley sobre el Registro Civil (ZGR)
12.      La Zakon za grazhdanskata registratsia (Ley sobre el Registro Civil), (5) de 27 de julio de 1999 (en lo sucesivo, «ZGR»), prevé en su artículo 8, apartado 1, que los principales datos sobre el estado civil de las personas son su nombre completo, fecha (día, mes y año) y lugar de nacimiento, sexo, nacionalidad y número de identificación personal.
Ley sobre los Documentos de Identidad Búlgaros (ZBLD)
13.      De conformidad con el artículo 3, apartado 1, de la Zakon za balgarskite lichni dokumenti (Ley sobre los Documentos de Identidad Búlgaros), (6) de 1 de abril de 1999 (en lo sucesivo, «ZBLD»):
«Los documentos de identidad certifican la identidad y, en su caso, la nacionalidad en virtud de los datos que contienen.»
14.      El artículo 6 de la ZBLD dispone:
«Los ciudadanos están obligados a acreditar su identidad a petición de los funcionarios públicos competentes especificados por la ley.»
15.      Con arreglo al artículo 16, apartado 1, de la ZBLD:
«Los documentos de identidad búlgaros contendrán los siguientes datos personales obligatorios:
1.      nombre;
2.      fecha de nacimiento;
3.      número de identificación personal (número de identificación o número de identificación de extranjero);
4.      sexo;
5.      nacionalidad.»
Ley de Organización del Poder Judicial (ZSV)
16.      La Zakon za sadebnata vlast (Ley de Organización del Poder Judicial; en lo sucesivo «ZSV»), (7) prevé en su artículo 8, apartado 2:
«En el ejercicio de las funciones jurisdiccionales […] no podrán restringirse derechos ni concederse ventajas por razón de […] origen (narodnost) étnico […]».
Litigio principal, cuestión prejudicial y procedimiento ante el Tribunal de Justicia
17.      La Sofiyska gradska prokuratura (Fiscalía de la ciudad de Sofía, Bulgaria) presentó ante el Sofiyski gradski sad (Tribunal de la ciudad de Sofía, Bulgaria), el órgano jurisdiccional remitente, un escrito de acusación en el que se acusaba a una persona física, por una parte, de haber sobornado a agentes de policía en Sofía, el 6 de septiembre de 2023, para que estos no levantaran contra ella un acta de infracción administrativa por conducir un vehículo de motor sin permiso de conducir y, por otra parte, de ejercer la profesión de taxista, en el mismo momento y en el mismo lugar, sin ser titular de la licencia exigida al efecto. Se alega que estos hechos son constitutivos de delitos.
18.      En la primera vista, que se celebró el 5 de julio de 2024, comparecieron un representante de la Fiscalía de la ciudad de Sofía, el acusado y su abogado. El órgano jurisdiccional remitente incoó el procedimiento y, de conformidad con el artículo 272, apartado 1, del NPK, el presidente de la sala debía comprobar la identidad del acusado, preguntándole sobre las circunstancias mencionadas en dicha disposición.
19.      Basándose en el documento de identidad presentado por el acusado, el presidente de la sala verificó que la persona que comparecía ante él era la que constaba como acusada en el escrito de acusación. Sin embargo, se abstuvo de formular al acusado las preguntas sobre su identidad previstas en el artículo 272, apartado 1, del NPK y se suspendió la tramitación del asunto.
20.      El órgano jurisdiccional remitente solicitó al Konstitutsionen sad (Tribunal Constitucional, Bulgaria) que declarase la incompatibilidad del artículo 272, apartado 1, del NPK con determinadas disposiciones de la Konstitutsia na Republika Bulgaria (Constitución de la República de Bulgaria). (8) Dado que dicho Tribunal rechazó pronunciarse sobre el fondo, el órgano jurisdiccional remitente decidió plantear la presente petición de decisión prejudicial.
21.      El órgano jurisdiccional remitente señala que, si bien puede, como hizo en la primera vista, identificar al acusado con suficiente seguridad examinando su documento de identidad, que contiene todos los datos identificativos necesarios el interrogatorio relativo a los datos identificativos previsto en el artículo 272, apartado 1, del NPK es útil para que el compareciente confirme mediante sus respuestas, con mayor seguridad, que es efectivamente el acusado, es decir, que el documento de identidad utilizado no pertenece a un tercero ni ha sido falsificado. Sin embargo, indica que, para identificarle, basta con preguntar al compareciente su nombre completo, fecha de nacimiento y número de identificación personal.
22.      Por consiguiente, el órgano jurisdiccional remitente alberga dudas acerca de si, al preguntar a la persona que comparece ante él, en una vista pública, los otros datos a que se refiere el artículo 272, apartado 1, del NPK —a saber, el lugar de nacimiento, el origen étnico, la nacionalidad, el lugar de residencia, la formación académica, el estado civil y los antecedentes penales— y consignar las respuestas orales en el acta, incumple el requisito de necesidad del tratamiento de datos personales que prevé la Directiva 2016/680. Considera que, dado que esos otros datos no son necesarios para la identificación fiable y completa del acusado, sería excesivo recopilarlos, habida cuenta del objetivo del artículo 272, apartado 1, del NPK, a saber, la identificación del acusado.
23.      El órgano jurisdiccional remitente señala que algunos de los datos personales a los que se refiere el artículo 272, apartado 1, del NPK pueden servir para otros fines. Así, el lugar de residencia puede servir para determinar la dirección a la que enviar la orden de comparecencia y los antecedentes penales pueden ser importantes para individualizar la pena.
24.      No obstante, el órgano jurisdiccional remitente subraya, en esencia, que estos datos, recogidos antes del inicio de la instrucción judicial, no persiguen identificar al acusado. Además, interrogar al acusado y registrar sus respuestas no es suficiente para determinar de manera fiable esas circunstancias. Por último, de conformidad con el Derecho nacional, la información comunicada con ocasión de la comprobación de la identidad del compareciente no puede utilizarse para pronunciarse sobre el fondo. El tribunal comprueba, en primer lugar, la identidad del compareciente y solo después le informará sobre sus derechos. Por consiguiente, tales datos (origen étnico, antecedentes penales, estado civil y nivel de formación académica) carecen de valor probatorio.
25.      Por lo tanto, el órgano jurisdiccional remitente manifiesta dudas acerca de si el artículo 272, apartado 1, del NPK cumple los requisitos establecidos en los artículos 4, apartado 1, letra c) y 8, apartado 1, de la Directiva 2016/680. A su juicio, la recogida, el registro en el acta judicial y la posterior conservación en los autos del procedimiento de datos personales relativos al lugar de nacimiento, el origen étnico, la nacionalidad, el lugar de residencia, la formación académica, el estado civil y los antecedentes penales exceden de lo necesario para los fines del procedimiento penal. Duda asimismo de la conformidad del artículo 272, apartado 1, del NPK con el artículo 10 de la Directiva 2016/680, en lo que respecta la información sobre el pueblo al que pertenece la persona acusada, ya que ese dato revela el origen étnico de esta persona.
26.      En estas circunstancias, el Sofiyski gradski sad (Tribunal de la ciudad de Sofía) decidió suspender el procedimiento y plantear al Tribunal de Justicia la siguiente cuestión prejudicial:
«¿Es compatible con los artículos 4, apartado 1, letra c), 8, apartado 1, y 10 […] de la Directiva 2016/680 una disposición legislativa nacional —el artículo 272, apartado 1, del [NPK]— de conformidad con la cual, con el fin de comprobar la identidad del acusado, se tratan (recogen, registran y almacenan) datos personales relativos al lugar de nacimiento, el origen (narodnost) étnico, la nacionalidad, el lugar de residencia, la formación académica, el estado civil y los antecedentes penales del acusado si los datos personales recogidos de esta forma no son en modo alguno necesarios para los fines del procedimiento penal?»
27.      La Comisión Europea presentó observaciones escritas y formuló sus observaciones orales en la vista pública celebrada el 3 de diciembre de 2025.
Análisis
28.      Aunque de la petición de decisión prejudicial se desprende que el órgano jurisdiccional remitente da por supuesto que la normativa nacional controvertida está comprendida en el ámbito de aplicación de la Directiva 2016/680, antes de entrar en el fondo de la cuestión prejudicial planteada, procede analizar la aplicabilidad de la Directiva 2016/680, extremo al que, además, se dedicó gran parte de la vista.
Sobre la aplicabilidad de la Directiva 2016/680
29.      En primer lugar, en el litigio principal no se ha suscitado la cuestión de si existe un «tratamiento de datos personales». En efecto, de la petición de decisión prejudicial resulta que los datos identificativos personales en cuestión se recogen, se consignan en el acta judicial y se conservan en los autos. Además, incluso si se considerase que los datos fueron recogidos previamente por la autoridad competente con arreglo al Derecho nacional, (9) el concepto de «tratamiento» es amplio e incluye la consulta y la conservación por el órgano jurisdiccional remitente. Por consiguiente, se cumple el requisito relativo a la existencia de un «tratamiento de datos personales».
30.      En segundo lugar, del tenor del artículo 2, apartado 1, de la Directiva 2016/680, en relación con el artículo 1, apartado 1, de esa misma Directiva, se desprende que se exigen dos requisitos para que un tratamiento de datos personales esté incluido en el ámbito de aplicación de dicha Directiva. Por un lado, ese tratamiento debe ser realizado por una autoridad competente, en el sentido del artículo 3, punto 7, de la citada Directiva y, por otro lado, dicho tratamiento ha de efectuarse para uno de los fines enumerados en el artículo 1, apartado 1, de la Directiva 2016/680, a saber, la «prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, incluidas la protección y la prevención frente a las amenazas contra la seguridad pública». A la inversa, el RGPD, que constituye la lex generalis en materia de tratamiento de datos personales, excluye de su ámbito de aplicación los tratamientos realizados por las «autoridades competentes» para tales fines, (10) siendo, en esta materia, la Directiva 2016/680 la lex specialis aplicable. (11)
31.      Por una parte, en mi opinión, la respuesta a la cuestión de si un órgano jurisdiccional puede estar comprendido en el ámbito de aplicación ratione personae de la Directiva 2016/680 es afirmativa. En efecto, el artículo 3, punto 7, letra a), de la referida Directiva puede hacer referencia, con la expresión «autoridad pública competente», no solo a las autoridades policiales, sino también a los tribunales penales nacionales. (12) Si bien esta conclusión no se extrae de manera explícita de la definición del concepto de «autoridad pública competente», se deduce lógicamente del contexto en el que está situada esta expresión y, en particular, de varias disposiciones de la Directiva 2016/680.
32.      En efecto, según el artículo 32, apartado 1, de dicha Directiva, los Estados miembros dispondrán que el responsable del tratamiento designe un delegado de protección de datos y podrán eximir de esa obligación a los tribunales y demás autoridades judiciales independientes cuando actúen «en ejercicio de sus competencias judiciales». Asimismo, el artículo 45, apartado 2, de esa misma Directiva, en relación con el considerando 80 de esta, (13) engloba expresamente los órganos jurisdiccionales nacionales excluyendo toda competencia de la autoridad de control en lo que respecta a las operaciones de tratamiento efectuadas por «los órganos jurisdiccionales en el ejercicio de su función judicial», (14) a fin de no afectar a las normas específicas de los procesos penales ni a la independencia judicial.
33.      Estas disposiciones confirman que los órganos jurisdiccionales están sometidos, en el ejercicio de su función judicial, a las obligaciones impuestas por la Directiva 2016/680, preservándose su independencia e imparcialidad en este marco. (15)
34.      Además, las autoridades judiciales son mencionadas expresamente en el considerando 11 de la Directiva 2016/680, conforme al cual «entre dichas autoridades competentes no solo se deben incluir autoridades públicas tales como las autoridades judiciales». Los considerandos 20, 49, 107 y el artículo 18 de la citada Directiva (16) se refieren igualmente al tratamiento de datos personales por parte de «tribunales y otras autoridades judiciales, en particular en lo que respecta a los datos personales contenidos en resoluciones judiciales o en registros relacionados con procesos penales». (17)
35.      Por lo tanto, los órganos jurisdiccionales nacionales han de considerarse «autoridades públicas competentes» en el sentido de la Directiva 2016/680, sujetos a las normas de esta Directiva cuando traten datos personales contenidos en resoluciones judiciales o en registros relacionados con procesos penales. (18)
36.      Por otra parte, una cuestión más delicada que se plantea es si un tratamiento efectuado por un juez en el marco de un procedimiento judicial penal puede considerarse comprendido ratione materiae en el ámbito de aplicación de la Directiva 2016/680. Esta cuestión, a mi entender inédita, (19) equivale a preguntarse si ese tratamiento tiene o no por objeto uno de los fines enumerados en los artículos 1, apartado 1, y 3, punto 7, letra a), de la referida Directiva y, en particular, el «enjuiciamiento» en materia penal.
37.      Procede recordar que el Tribunal de Justicia ya declaró, en la sentencia Inspektor v Inspektorata kam Visshia sadeben savet (Fines del tratamiento de datos personales — Instrucción penal), (20) que los fines mencionados en el artículo 1 de la Directiva 2016/680 constituyen otros tantos fines distintos de «prevención», de «detección», de «investigación», de «enjuiciamiento» y de «ejecución de sanciones penales». Así pues, esta sentencia permitió aclarar que la intención del legislador de la Unión ha sido adoptar normas que se correspondan con las especificidades que caracterizan a las actividades llevadas a cabo por las autoridades competentes en el ámbito regulado por la Directiva mencionada, al tiempo que tiene en cuenta que estas constituyen actividades distintas que persiguen fines que les son propios. (21)
38.      Es cierto que, como indicó el Abogado General Campos Sánchez-Bordona en sus conclusiones, el concepto de «enjuiciamiento», excepto en la versión en lengua española de la referida Directiva, se refiere a una actividad que, precede al procedimiento judicial. (22) Por otra parte, sin perjuicio de las diferencias existentes en los sistemas jurídicos de los Estados miembros, este término designa en general todos los actos y procedimientos iniciados por el ministerio público (fiscalía o fiscal) contra una persona sospechosa de haber cometido un delito, con el fin de que sea juzgada para determinar su culpabilidad o inocencia. (23)
39.      Sin embargo, para delimitar el ámbito de aplicación ratione materiae de la Directiva 2016/680, me parece que, en lugar de intentar distinguir entre la función de la «autoridad de enjuiciamiento» y la del juez en el marco del procedimiento judicial penal, resulta más pertinente entender el concepto de «enjuiciamiento» desde el punto de vista del fin del enjuiciamiento en materia penal. Las normas de la citada Directiva se aplican, en efecto, a la actividad de tratamiento de datos personales «para fines» de enjuiciamiento penal.
40.      Pues bien, esta acepción finalista implica, en mi opinión, una interpretación amplia del concepto de «actividad de enjuiciamiento», que puede englobar algunas de las actividades que los órganos jurisdiccionales penales efectúan en el marco de un procedimiento judicial. En efecto, cabe considerar, en ciertas circunstancias que dependen en particular de los sistemas procesales nacionales, (24) que los tratamientos de datos personales realizados por un juez en el marco de un procedimiento judicial penal permiten acreditar el carácter suficientemente concluyente de los hechos imputados a la persona acusada y la exactitud de la calificación penal de tales hechos, de modo que pueda, en último término, dictarse sentencia. (25) En este sentido, esos tratamientos de datos por el órgano jurisdiccional responsable del tratamiento pueden considerarse realizados «para fines de enjuiciamiento» a efectos de las disposiciones pertinentes de la Directiva 2016/680.
41.      En este contexto, la actividad de «enjuiciamiento» puede incluir no solo la investigación llevada a cabo por la policía y la decisión de acusar o no acusar adoptada por el fiscal, sino también la instrucción, la remisión a un órgano jurisdiccional y, en su caso, un procedimiento judicial penal como el que es objeto del litigio principal.
42.      Debo señalar asimismo que, tal como se desprende de la petición de decisión prejudicial, tras la investigación policial, el órgano jurisdiccional remitente, una vez recibido el escrito de acusación de la fiscalía, inicia el procedimiento y ejerce por sí mismo una actividad de investigación judicial, (26) que comienza por la comprobación de la identidad de la persona acusada con arreglo al artículo 272 del NPK y posteriormente el mismo juez dicta sentencia sobre el fondo. Así, este último tiene la tarea de «tramitar el procedimiento penal en el marco del enjuiciamiento de un delito en virtud de la acusación formulada por el fiscal». Se trata, según el órgano jurisdiccional remitente, de la fase judicial del procedimiento penal incoado para el enjuiciamiento de un delito. En este contexto, adquiere todo su sentido el concepto de «actividad de enjuiciamiento» ejercida en el marco del procedimiento judicial penal.
43.      Añadiré que este enfoque amplio del concepto de «actividad de enjuiciamiento», además de presentar la ventaja de que no prejuzga los diferentes sistemas penales nacionales, no es contradictorio con el principio según el cual las excepciones a la aplicación del RGPD, lex generalis, deben interpretarse en sentido estricto. (27) En efecto, este enfoque no conduce a que el procedimiento judicial penal quede excluido de la normativa en materia de protección de datos personales, sino a que se someta a la lex specialis en la materia, prevista específicamente en el artículo 2, apartado 2, letra d), del RGPD.
44.      Por último, el enfoque finalista del concepto de «actividad de enjuiciamiento» se desprende, en mi opinión, de la génesis de la Directiva 2016/680 y se atiene a sus objetivos.
45.      En primer lugar, en efecto, en lo que atañe a la génesis de la Directiva 2016/680, debo señalar que, con la entrada en vigor del Tratado de Lisboa, el artículo 16 TFUE se convirtió en la base legal pertinente para revisar la Decisión Marco 2008/977/JAI. (28) Como se señala en el considerando 10 de la Directiva 2016/680, en la Declaración n.º 21 relativa a la protección de datos de carácter personal en los ámbitos de la cooperación judicial en materia penal y de la cooperación policial, aneja al acta final de la Conferencia Intergubernamental que adoptó el Tratado de Lisboa, (29) la Conferencia reconoció que podrían requerirse normas específicas sobre protección de datos personales y libre circulación de los mismos en los ámbitos de la cooperación judicial en materia penal y de la cooperación policial basada en el artículo 16 del TFUE, en razón de la naturaleza específica de dichos ámbitos. Así pues, la Comisión propuso dos instrumentos, uno general en forma de reglamento, que se convirtió en el RGPD, y otro específico para la protección de datos en el ámbito penal, (30) que se consideró más sensible y, por tanto, fue plasmado en una Directiva que debía ser transpuesta por los Estados miembros, que se convirtió en la Directiva 2016/680, aplicable a todos los actos que puedan realizar los operadores de la justicia penal, con independencia de que dichos actos tengan o no una dimensión transfronteriza. (31)
46.      Así pues, el enfoque de la Unión ha consistido en distinguir el tratamiento de datos en el contexto policial y penal de los demás tratamientos de datos personales, de modo que se tenga en cuenta el carácter específico del ámbito regulado por la Directiva 2016/680, a saber, la protección de datos personales en los ámbitos de la cooperación judicial en materia penal y de la cooperación policial, tal como se desprende de los considerandos 10 y 11 de la Directiva 2016/680.
47.      En segundo lugar, en lo que atañe a sus objetivos, la Directiva 2016/680 persigue, en particular, como resulta de sus considerandos 4, 7 y 15, asegurar un nivel uniforme y elevado de protección de los datos personales de las personas físicas y facilitar el intercambio de tales datos entre las autoridades competentes de los Estados miembros, para garantizar la eficacia de la cooperación judicial en materia penal y de la cooperación policial.
48.      Debe señalarse que, como ha recalcado la doctrina, el doble régimen de protección de datos puede generar dificultades considerables a la hora de determinar cuál es el instrumento pertinente, si el RGPD o la Directiva 2016/680. (32)
49.      Por consiguiente, es aún más importante que, en el marco de un mismo procedimiento penal, el tratamiento de datos personales no esté sujeto a dos instrumentos diferentes por el único motivo de que haya sido realizado por autoridades penales distintas en fases diferentes de ese mismo procedimiento. En efecto, si los órganos jurisdiccionales que se pronuncian en el procedimiento penal quedaran excluidos del ámbito de aplicación de la Directiva 2016/680, se llegaría, como subrayó la Comisión en la vista, a un régimen fragmentado en el que podrían aplicarse dos instrumentos a un mismo procedimiento penal, en función de la fase procesal de que se trate.
50.      A mi juicio, tal enfoque es contrario no solo al principio de seguridad jurídica, (33) sino también a la protección homogénea y coherente de los datos personales.
51.      Además, en ciertos casos, las autoridades penales tienen, en el ejercicio de sus funciones, mayor flexibilidad en el marco de la Directiva 2016/680 que con arreglo al RGPD. (34) En particular, el artículo 10 de dicha Directiva solo permite el tratamiento de las «categorías especiales de datos personales», que incluyen los llamados datos «sensibles», cuando sea estrictamente necesario, mientras que el artículo 9, apartado 1, del RGPD lo prohíbe, salvo en las excepciones previstas en su apartado 2. Asimismo, el artículo 4, apartado 1, letra c), de la Directiva 2016/680, que se refiere al principio de minimización de datos, dispone que los datos personales deben ser adecuados, pertinentes y no excesivos, mientras que el artículo 5, apartado 1, letra c), del RGPD prevé que han de ser adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados.
52.      Por lo tanto, la aplicación de la Directiva 2016/680 a lo largo de todo el procedimiento penal está tanto más justificada cuanto que las normas de protección de datos personales pueden diferir, en ciertos aspectos, de las del RGPD.
53.      Por último, un enfoque fragmentado del procedimiento penal es difícilmente compatible con el objetivo, recordado en el considerando 7 de la Directiva 2016/680, de facilitar el intercambio de datos personales entre las autoridades competentes de los Estados miembros para garantizar una cooperación judicial en materia penal y una cooperación policial eficaces.
54.      De todo lo anterior resulta que el tratamiento de datos personales realizado por un órgano jurisdiccional nacional al examinar un asunto penal está comprendido en el ámbito de aplicación de la Directiva 2016/680 como tratamiento efectuado por una autoridad competente a efectos del enjuiciamiento de infracciones penales.
Sobre el fondo
55.      El órgano jurisdiccional remitente pregunta, en esencia, si los artículos 4, apartado 1, letra c), 8, apartado 1, y 10 de la Directiva 2016/680 se oponen a una normativa nacional que prevé que el juez penal compruebe sistemáticamente todos los datos contemplados en el artículo 272, apartado 1, del NPK, con el único fin de identificar a la persona acusada en un procedimiento judicial penal. (35)
56.      Cabe recordar que los derechos fundamentales al respeto de la vida privada y a la protección de los datos personales, garantizados en los artículos 7 y 8 de la Carta de los Derechos Fundamentales de la Unión Europea (en lo sucesivo, «Carta»), no constituyen prerrogativas absolutas. Así pues, podrán introducirse limitaciones, siempre que, de conformidad con el artículo 52, apartado 1, de la Carta, sean establecidas por la ley y respeten el contenido esencial de los derechos fundamentales y el principio de proporcionalidad. (36)
57.      El principio de minimización de datos, previsto en el artículo 4, apartado 1, letra c), de la Directiva 2016/680, y el principio de licitud del tratamiento enunciado en el artículo 8, apartado 1, de la citada Directiva, obligan así a los Estados miembros a disponer que los datos personales en cuestión sean adecuados, pertinentes y no excesivos en relación con los fines para los que son tratados y que el tratamiento sea necesario a la luz de los fines perseguidos, de conformidad con el principio de proporcionalidad.
58.      Además, el artículo 10 de la Directiva 2016/680, que es una disposición específica que regula los tratamientos de categorías especiales de datos personales y, en particular, los datos que revelen el origen racial o étnico, pretende garantizar una mayor protección del interesado, en la medida en que, debido a su particular sensibilidad y al contexto en el que son tratados, los datos en cuestión pueden generar, como se desprende del considerando 37 de dicha Directiva, riesgos importantes para las libertades y los derechos fundamentales, como el derecho al respeto de la vida privada y el derecho a la protección de los datos personales, garantizados por los artículos 7 y 8 de la Carta. (37)
59.      En el caso de autos, el órgano jurisdiccional remitente tiene la tarea de sustanciar el procedimiento judicial en el marco del enjuiciamiento de un delito a raíz de la acusación formulada por el fiscal. Para la ejecución de esta tarea, debe comprobar formalmente la identidad de la persona compareciente y, en particular, si se trata efectivamente del acusado contra el que se ha formulado la acusación. (38) A fin de comprobar la identidad de la persona acusada, el artículo 272, apartado 1, del NPK obliga al órgano jurisdiccional remitente a preguntar sistemáticamente a la persona compareciente, en cada asunto concreto, determinados datos personales, a saber, su nombre completo, fecha y lugar de nacimiento, origen étnico, nacionalidad, lugar de residencia, formación académica, estado civil y número de identificación personal, así como sus antecedentes penales.
60.      El objetivo de comprobar la identidad de la persona acusada es, como tal, legítimo y puede responder a un interés general reconocido por la Unión en el sentido del artículo 52, apartado 1, de la Carta, en particular evitar errores acerca de la persona que comparece ante los tribunales.
61.      Por consiguiente, el órgano jurisdiccional remitente ha de controlar si la obligación de recoger los datos en cuestión es, en primer lugar, adecuada para contribuir a alcanzar el objetivo perseguido de comprobar la identidad, en segundo lugar, si es necesaria, lo que supone que no existan medidas alternativas menos atentatorias contra el derecho al respeto de la protección de los datos personales, pero igualmente eficaces para alcanzar el objetivo invocado (39) y, en tercer lugar, si es proporcionada a dicho objetivo, lo que implica una ponderación equilibrada entre, por una parte, el objetivo de interés general perseguido y, por otra parte, los derechos de la persona cuyos datos personales son recopilados, (40) y el Tribunal de Justicia es competente para ofrecerle los elementos de interpretación útiles.
62.      He de señalar que la cuestión planteada no se refiere a la recogida de determinados datos del estado civil y de identificación, como el nombre completo, la fecha de nacimiento y el número de identificación personal. Además, estos datos constituyen tradicionalmente elementos de identificación, también conforme a la legislación búlgara relativa al estado civil y a los documentos de identidad. (41)
63.      En cambio, el órgano jurisdiccional remitente se pregunta por la proporcionalidad de recoger sistemáticamente determinados datos, tales como, en primer término, el lugar de nacimiento y la nacionalidad, en segundo término, el lugar de residencia, la formación académica, el estado civil y los antecedentes penales y, en tercer término, el origen étnico, que procede examinar de forma sucesiva.
64.      En primer lugar, algunos de estos datos, como el lugar de nacimiento y la nacionalidad, constituyen «datos principales sobre el estado civil». (42) Así, pueden permitir verificar la identidad de la persona a la que se refiere el escrito de acusación y evitar cualquier confusión. Además, la injerencia en el derecho a la vida privada y a la protección de los datos personales que la recogida de tales datos entraña no es de tal intensidad que, tras una ponderación de los intereses en juego, resulte desproporcionada en relación con el objetivo perseguido de comprobación de la identidad.
65.      En segundo lugar, como recordaron el órgano jurisdiccional remitente y la Comisión en sus observaciones escritas, la recogida de datos adicionales sobre la formación académica, el estado civil, el lugar de residencia y los antecedentes penales puede ser pertinente para fines distintos de la identificación. En efecto, la formación académica y el estado civil pueden ser pertinentes para la individualización de la pena. El lugar de residencia puede desempeñar un papel para transferir la ejecución de la pena a otro Estado. Del mismo modo, los antecedentes penales pueden permitir constatar si existe o no reincidencia. No obstante, por un lado, tal como se desprende de las normas procesales búlgaras, estos datos recogidos por el presidente de la sala en esta fase de la comprobación de la identidad de la persona que comparece ante él no pueden utilizarse a la hora de pronunciarse sobre el fondo y carecen de valor probatorio. Por otro lado, y en cualquier caso, no es suficiente interrogar a la persona acusada y registrar sus respuestas para determinar la fiabilidad de esos datos. En efecto, deben consultarse o aportarse documentos oficiales, como los antecedentes penales, el estado civil o la obtención de un diploma.
66.      En estas circunstancias, estimo que una normativa que obliga, de manera indiferenciada y generalizada, a preguntar sistemáticamente a toda persona acusada sobre esos datos adicionales y consignar acto seguido las respuestas en el acta puede ir más allá de lo necesario para el único fin de identificarla. La exigencia de identificación no requiere, a mi juicio, el tratamiento sistemático de todas las categorías de datos enumeradas, sino solo de aquellas que, a la vista de las circunstancias concretas, sean necesarias para disipar toda duda razonable acerca de la identidad de la persona compareciente, lo cual incumbe apreciar al órgano jurisdiccional nacional.
67.      Además, aun suponiendo que se admitiera que determinados datos sobre la formación académica, el estado civil, el lugar de residencia y los antecedentes penales puedan, en ciertos casos, ser necesarios para identificar al acusado, el principio de proporcionalidad implica igualmente efectuar una ponderación de todos los elementos pertinentes y sopesar la importancia del objetivo de interés general perseguido y la gravedad de la injerencia en los derechos fundamentales y en la protección de los datos personales del interesado. (43) Pues bien, la circunstancia de que se pidan sistemáticamente estos datos, junto con el hecho de que la recogida de tales datos se efectúe en una vista pública y estos sean consignados en el acta y posteriormente conservados en los autos accesibles a las partes, puede constituir una injerencia que va más allá de lo necesario para la identificación en esta fase preliminar del procedimiento penal.
68.      En tercer lugar, en cuanto al dato relativo al «origen étnico», procede recordar que el artículo 10 de la Directiva 2016/680 establece que el tratamiento de datos sensibles se permitirá «solo cuando sea estrictamente necesario», requisito que constituye una condición reforzada de licitud del tratamiento de tales datos y que conlleva, en particular, un control especialmente riguroso del respeto del principio de «minimización de datos», tal como se desprende del artículo 4, apartado 1, letra c), de la citada Directiva, del que este requisito constituye una aplicación específica a dichos datos sensibles. (44) La utilización del adverbio «solo» antes de la expresión «cuando sea estrictamente necesario» subraya que el tratamiento de estas categorías especiales únicamente puede considerarse admisible en un número limitado de supuestos, mientras que el carácter «estricto» de la necesidad conlleva una apreciación especialmente rigurosa. (45)
69.      El hecho de preguntar de modo sistemático en una vista pública a toda persona acusada sobre su «pueblo de origen» y, por tanto, sobre su origen étnico no respeta en modo alguno los requisitos establecidos en el artículo 10 de la Directiva 2016/680. (46) En efecto, la identificación de la persona acusada puede garantizarse, por regla general, mediante los datos del estado civil y los elementos de identificación ya disponibles, en particular a través de los documentos de identidad, sin recurrir a un indicador referente a su origen étnico. Además, el requisito de la estricta necesidad implica demostrar sobre la base de elementos concretos que, sin este dato particular, el objetivo perseguido no puede alcanzarse de manera equivalente. Pues bien, una obligación general e indiferenciada de recoger ese dato personal, impuesta en esta fase del procedimiento para identificar al acusado y que no obedece a una dificultad especial relacionada con la identificación, es a mi juicio contraria, por principio, al requisito de la «estricta necesidad» establecido en el artículo 10 de la citada Directiva. (47)
70.      Habida cuenta de todo lo anterior, considero que procede responder al órgano jurisdiccional remitente que los artículos 4, apartado 1, letra c), 8, apartado 1, y 10 de la Directiva 2016/680 deben interpretarse en el sentido de que se oponen a una normativa nacional, como el artículo 272, apartado 1, del NPK, en la medida en que exige que datos personales de la persona acusada relativos al lugar de residencia, nivel de formación académica, estado civil, antecedentes penales y origen étnico sean tratados sistemáticamente (recogidos, registrados y conservados) al comprobar la identidad de esa persona en el marco de un procedimiento penal, aun cuando tales datos no sean necesarios para este fin, extremo que corresponde comprobar al órgano jurisdiccional remitente.
Conclusión
71.      A la luz de las consideraciones anteriores, propongo al Tribunal de Justicia que responda a la cuestión prejudicial planteada por el Sofiyski gradski sad (Tribunal de la ciudad de Sofía, Bulgaria) del siguiente modo:
«Los artículos 4, apartado 1, letra c), 8, apartado 1, y 10 de la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos y por la que se deroga la Decisión Marco 2008/977/JAI del Consejo,
deben interpretarse en el sentido de que
se oponen a una normativa nacional, como el artículo 272, apartado 1, del nakazatelno-protsesualen kodeks (Código de Enjuiciamiento Criminal búlgaro), en la medida en que exige que datos personales de la persona acusada relativos al lugar de residencia, nivel de formación académica, estado civil, antecedentes penales y origen étnico sean tratados sistemáticamente (recogidos, registrados y conservados) al comprobar la identidad de esa persona en el marco de un procedimiento penal, aun cuando tales datos no sean necesarios para este fin, extremo que corresponde comprobar al órgano jurisdiccional remitente.»
1      Lengua original: francés.
i      La denominación del presente asunto es ficticia. No se corresponde con el nombre de ninguna parte en el procedimiento.
2      Directiva del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos y por la que se deroga la Decisión Marco 2008/977/JAI del Consejo (DO 2016, L 119, p. 89).
3      Reglamento del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (DO 2016, L 119, p. 1) (en lo sucesivo, «RGPD»).
4      DV n.º 86, de 28 de octubre de 2005, en su versión modificada y completada por el DV n.º 39, de 1 de mayo de 2024.
5      DV n.º 67, de 27 de julio de 1999, en su versión modificada y completada por el DV n.º 85, de 8 de octubre de 2024.
6      DV n.º 93, de 11 de agosto de 1998, en su versión modificada y completada por el DV n.º 67, de 4 de agosto de 2023.
7      DV n.º 64, de 7 de agosto de 2007, en su versión modificada y completada por el DV n.º 67, de 9 de agosto de 2024.
8      DV n.º 56, de 13 de julio de 1991.
9      Puede discutirse así la cuestión de si el órgano jurisdiccional remitente recoge él mismo los datos o si ya fueron recopilados previamente por la autoridad competente (véase a este respecto el artículo 138, apartado 2, del NPK).
10      Véase el artículo 2, apartado 2, letra d), del RGPD.
11      No obstante, el RGPD se aplica al tratamiento de datos personales efectuado por una «autoridad competente» en el sentido del artículo 3, punto 7, de la Directiva 2016/680, cuando se persigan otros fines relativos, por ejemplo, al empleo, la formación del personal, el archivo, la investigación o la estadística. Véase, en este sentido, la sentencia de 21 de junio de 2022, Ligue des droits humains (C‑817/19, EU:C:2022:491), apartado 72 y jurisprudencia citada. Véase asimismo Leiser, M., y Custers, B., «The Law Enforcement Directive: Conceptual Challenges of EU Directive 2016/680», European Data Protection Law Review, vol. 5, n.º 3, 2019, pp. 367 a 378, en especial p. 371.
12      Considero, en cambio, que el artículo 3, punto 7, letra b), de la Directiva 2016/680 no se refiere a los órganos jurisdiccionales sino que, con la expresión «cualquier otro órgano o entidad a quien el Derecho del Estado miembro haya confiado el ejercicio de la autoridad pública y las competencias públicas a efectos de prevención, investigación, detección o enjuiciamiento de infracciones penales o ejecución de sanciones penales […]» persigue incluir a los organismos privados. Cabe pensar aquí en fuerzas policiales privatizadas o en prisiones dirigidas por una entidad privada. Véase, a este respecto, Purtova, N., «Between the GDPR and the Police Directive: navigating through the maze of information sharing in public–private partnerships», International Data Privacy Law, vol. 8, n.º 1, febrero de 2018, pp. 52 a 68. Véase también De Hert, P., y Sajfert, J., «Chapter 10: Variety, velocity and volume of personal data in criminal investigations and proceedings: the limits drawn by the purpose limitation and data minimization principles in Directive (EU) 2016/680», en Research Handbook on EU Criminal Law, editado por Mitsilegas, V., Bergström, M. y Quintel, T., Edward Elgar Publishing, 2024, 2ª ed., pp. 212 a 228.
13      Según dicho considerando, «aunque la presente Directiva también se aplica a las actividades de los órganos jurisdiccionales nacionales y otras autoridades judiciales, la competencia de las autoridades de control no debe abarcar el tratamiento de datos personales cuando los órganos jurisdiccionales actúen en ejercicio de su función jurisdiccional, con el fin de garantizar la independencia de los jueces en el desempeño de sus funciones […]».
14      Véase, por analogía, en relación con una disposición análoga del RGPD, la sentencia de 24 de marzo de 2022, Autoriteit Persoonsgegevens (C‑245/20, EU:C:2022:216), apartado 26. Esa sentencia versaba sobre un procedimiento contencioso-administrativo relativo a un tratamiento de datos efectuado por un órgano jurisdiccional para poner temporalmente a disposición de los periodistas documentos extraídos de un procedimiento judicial que contenían datos personales, tratamiento que se consideró comprendido en el ejercicio de su función judicial en el sentido del RGPD.
15      Véase, a este respecto, Tosconi, L. y Bygrave, L. A., «Article 3 – Definitions», en TheEU Law Enforcement Directive (LED): A Commentary, Kosta, E., y Boehm, F. (eds.), Oxford University Press, 2024, pp. 79 a 132, en especial p. 104, n.º 7.2.4, que cita asimismo el acta de la 12 reunión del grupo de expertos de la Comisión sobre el RGPD y la Directiva 2016/680, de 2 de octubre de 2017, que menciona el acuerdo de los Estados miembros para que esta Directiva se aplique a los órganos jurisdiccionales penales (documento disponible en la dirección siguiente: https://ec.europa.eu/transparency/expert-groups-register/screen/expert-groups/consult?lang=es&groupID=3461).
16      En particular, el artículo 18 de la citada Directiva, titulado «Derechos del interesado en las investigaciones y los procesos penales», se refiere al ejercicio de los derechos de información, acceso, rectificación y supresión, y dispone que el ejercicio de esos derechos se lleve a cabo de conformidad con el Derecho del Estado miembro cuando los datos personales figuren «en una resolución judicial o en un registro o expediente tramitado en el curso de investigaciones y procesos penales».
17      Véase el considerando 20 de la Directiva 2016/680.
18      Cabe añadir que la citada Directiva, como indica su considerando 20, no priva a los Estados miembros de la posibilidad de especificar, en sus normas procesales penales nacionales, esas operaciones y procedimientos de tratamiento.
19      Si bien el ámbito de aplicación de la Directiva 2016/680 ha sido objeto de varias sentencias del Tribunal de Justicia, ninguna de ellas se refiere a esta cuestión. Por ejemplo, no puede considerarse que las compañías aéreas, pese a estar legalmente obligadas a la transferencia de los datos de los registros de nombres de los pasajeros (PNR), sean autoridades competentes en el sentido del artículo 3, punto 7, de la Directiva 2016/680 [véase la sentencia de 21 de junio de 2022, Ligue des droits humains (C‑817/19, EU:C:2022:491), apartado 81]. Véanse asimismo las conclusiones del Abogado General Pikamäe presentadas en el asunto Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2021:991), punto 28, relativas a la Vyriausioji tarnybinės etikos komisija (Comisión Superior de Deontología de la Función Pública, Lituania) a la que se aplicó el RGPD (véase la sentencia de 1 de agosto de 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, en lo sucesivo, «sentencia Vyriausioji tarnybinės etikos komisija», EU:C:2022:601). Del mismo modo, la Ceļu satiksmes drošības direkcija (Dirección de Seguridad Vial, Letonia) no es una «autoridad competente» en el sentido de la Directiva 2016/680 en el ejercicio de las actividades controvertidas en el litigio principal, que consisten en comunicar al público, teniendo por finalidad la seguridad vial, datos personales relativos a puntos impuestos por infracciones de tráfico [véase la sentencia de 22 de junio de 2021, Latvijas Republikas Saeima (Puntos por infracciones de tráfico) (C‑439/19, EU:C:2021:504), apartado 71].
20      Sentencia de 8 de diciembre de 2022 (C‑180/21, en lo sucesivo, «sentencia Inspektor», EU:C:2022:967). En esa sentencia se planteó la cuestión de si los datos personales, obtenidos cuando la persona en cuestión aparecía como víctima del delito investigado, podían tratarse después en su contra como sujeto investigado o acusado, aunque habían sido recogidos y tratados inicialmente para otros fines, a saber, con fines de detección e investigación. En este contexto, el Tribunal de Justicia declaró que, cuando se hayan recogido datos personales con fines de «detección» y de «investigación» de una infracción penal y se hayan tratado posteriormente para su «enjuiciamiento», dicha recogida y dicho tratamiento de datos responden a fines diferentes (apartado 44) y que la apreciación del respeto de la proporcionalidad del tratamiento por el responsable del tratamiento debe realizarse considerando específico y distinto cada uno de estos fines (apartado 56).
21      Sentencia Inspektor, apartado 59.
22      Véanse las conclusiones del Abogado General Campos Sánchez-Bordona presentadas en el asunto Inspektor v Inspektorata kam Visshia sadeben savet (Fines del tratamiento de datos personales — Instrucción penal) (C‑180/21, EU:C:2022:406), nota 15. Este es el caso, en particular, de las versiones en lenguas alemana, francesa, inglesa, italiana y neerlandesa de la Directiva 2016/680, con excepción de la versión en lengua española, que se refiere al enjuiciamiento propiamente dicho, reservado en exclusiva a los órganos jurisdiccionales.
23      Sobre la diversidad de los sistemas nacionales y el carácter complementario de las funciones respectivas del juez y del ministerio fiscal, véase el Dictamen conjunto del Consejo Consultivo de Jueces Europeos (CCJE) y Consejo Consultivo de Fiscales Europeos (CCPE) sobre las relaciones entre jueces y fiscales [reunión 1075] (CM(2009)192). Véase también un enfoque comparado en Pradel, J., Droit pénal comparé, Dalloz, París, 2016, 4a ed., en especial n.º 145 y ss. Véase asimismo, sobre la transposición de la Directiva 2016/680 en distintos Estados miembros, Franssen, V., y Corhay, M., «Article 18 — Rights of the data subject in criminal investigations and proceedings», en The EU Law Enforcement Directive (LED): A Commentary, op. cit.,  pp. 321 a 330, en especial el apartado B.3. titulado «National legislation», pp. 325 a 328.
24      En su dictamen n.º 6/2015, Une nouvelle étape vers une protection européenne complètes des données, de 28 de octubre de 2015, en el apartado VI relativo a las facultades de las autoridades de control, el propio Comité Europeo de Protección de Datos (CEPD) recalcó la importancia de las diferencias de los sistemas nacionales de los Estados miembros y el hecho de que no siempre está claro si y cuándo los fiscales son «autoridades judiciales independientes» y en qué medida sus actividades revisten naturaleza judicial. Véase asimismo el acta de la 15ª reunión del grupo de expertos de la Comisión sobre el RGPD y la Directiva 2016/680, de 20 de febrero de 2018, que menciona, en el apartado 5, las dificultades de transposición de la Directiva a este respecto, pues ciertos Estados miembros señalaron que sus fiscales tienen el mismo grado de independencia que sus jueces (disponible en la dirección siguiente: https://ec.europa.eu/transparency/expert-groups-register/screen/meetings/consult?lang=en&meetingId=3656&fromExpertGroups=true).
25      Véase la sentencia Inspektor, apartado 53, en la que el Tribunal de Justicia subrayó que «en el contexto del tratamiento de datos personales con un fin de “enjuiciamiento”, estos datos tienen por objeto acreditar el carácter suficientemente concluyente de los hechos imputados a las personas encausadas y la exactitud de la calificación penal de tales hechos, al objeto de permitir al órgano jurisdiccional competente dictar sentencia».
26      Como se indicó en la vista, en el Derecho penal búlgaro no existe juez de instrucción, sino una «investigación judicial» o «instrucción judicial» posterior a la investigación policial.
27      Sobre la interpretación estricta de las excepciones a la aplicación del RGPD, véase la sentencia Inspektor, apartado 78, de la que resulta que, cuando la fiscalía actúe con el fin de defender al Estado en el marco de una acción de responsabilidad administrativa, no tiene como objetivo garantizar las funciones que incumben a esa fiscalía para los fines establecidos en el artículo 1, apartado 1, de la Directiva 2016/680, por lo que se aplica el RGPD. Del mismo modo, la recogida, por parte de la Administración Tributaria de un Estado miembro, de datos personales relativos a los anuncios de venta de vehículos publicados en el sitio de Internet de un operador económico está comprendida en el ámbito de aplicación material del RGPD, puesto que tales datos no se recopilan con el objetivo específico de iniciar procedimientos penales o en el contexto de actividades realizadas por el Estado en materia penal [véase la sentencia de 24 de febrero de 2022, Valsts ieņēmumu dienests (Tratamiento de datos personales con fines fiscales) (C‑175/20, EU:C:2022:124), apartados 44 a 46].
28      Decisión Marco 2008/977/JAI del Consejo, de 27 de noviembre de 2008, relativa a la protección de datos personales tratados en el marco de la cooperación policial y judicial en materia penal (DO 2008, L 350, p. 60). Su ámbito de aplicación se limitaba al tratamiento transfronterizo de datos personales.
29      Conferencia de los Representantes de los Gobiernos de los Estados Miembros, Acta final, adoptada en Bruselas el 3 de diciembre de 2007 (CIG 15/07), disponible en la dirección siguiente: https://data.consilium.europa.eu/doc/document/CG-15-2007-INIT/es/pdf.
30      Propuesta de Directiva del Parlamento Europeo y del Consejo relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y la libre circulación de dichos datos, de 25 de enero de 2012 [COM(2012)0010].
31      Véase De Hert, P., y Papakonstantinou, V., «The New Police and Criminal Justice Data Protection Directive. A First Analysis», New Journal of European Criminal Law, vol. 7, n.º 1, 2016, pp. 7 a 19; y Brière, C., «Défaut de transposition de la directive sur la protection des données dans le domaine pénal: vers une application ordinaire de l’article 260, paragraphe 3, TFUE. CJUE (8e ch.), 25 de febrero de 2021, Commission européenne/Royaume d’Espagne (Directive données à caractère personnel – Domaine pénal), aff. C‑658/19, EU:C:2021:138», Revue des affaires européennes, vol. 1, 2021, pp. 223 a 233.
32      Véase a este respecto Sajfert, J., y Quintel, T., «Data Protection Directive (EU) 2016/680 for Police and Criminal Justice Authorities», SSRN Electronic Journal, 2017, en especial el apartado I.1 titulado «Meandering between the Directive and the GDPR», según los cuales la distinción entre los ámbitos de aplicación respectivos del RGPD y de la Directiva 2016/680 no es evidente. Citan el ejemplo de un agente de policía que efectúa el tratamiento de datos personales con fines de archivo, supuesto que está comprendido en el ámbito de aplicación del RGPD, pero indican que no está tan claro cuál es el instrumento aplicable cuando ese agente actúa con fines de identificación en el ámbito de la emigración y el control fronterizo: el cruce ilegal de una frontera Schengen puede considerarse, en ocasiones, una infracción penal, pero si el emigrante en situación irregular solicita asilo, el tratamiento puede estar sujeto al RGPD o a otra normativa sectorial pertinente, pese al procedimiento penal iniciado. Esto pone de manifiesto la complejidad de que las autoridades competentes apliquen dos regímenes jurídicos distintos en función del fin del tratamiento. Véase asimismo Vogiatzoglou P., «Article 2 – Scope», en The EU Law Enforcement Directive (LED): A Commentary, op. cit., pp. 67 a 78, en especial el apartado C.2. titulado «Between the LED and the GDPR», pp. 74 a 75. Véase también Purtova, N., «Between the GDPR and the Police Directive: navigating through the maze of information sharing in public–private partnerships», op. cit.
33      El principio de seguridad jurídica exige que la aplicación de las normas de Derecho sea previsible para los justiciables [véase la sentencia de 4 de octubre de 2024, Bezirkshauptmannschaft Landeck (Tentativa de acceso a los datos personales almacenados en un teléfono móvil) (C‑548/21, EU:C:2024:830, apartado 76)].
34      Véase a este respecto Sajfert, J. y Quintel, T., «Data Protection Directive (EU) 2016/680 for Police and Criminal Justice Authorities», op. cit., en especial el apartado I.4 titulado «Croquis
of the Directive», p. 7, según los cuales, por ejemplo, el responsable del tratamiento tiene mayores posibilidades de restringir el derecho de acceso y el derecho a obtener información sobre la eventual denegación de la rectificación, supresión o limitación del tratamiento con arreglo a los artículos 13, apartado 3, 15, apartado 3, y 16, apartado 4, de la Directiva 2016/680 que de conformidad con el artículo 23 del RGPD. Se trata, en efecto, de «evitar que se obstaculicen indagaciones, investigaciones o procedimientos oficiales o judiciales» y de evitar que se cause perjuicio, en particular, al enjuiciamiento de infracciones penales [véase el artículo 13, apartado 3, letras a) y b), de la Directiva 2016/680]. Véase asimismo Purtova, N., «Between the GDPR and the Police Directive: navigating through the maze of information sharing in public–private partnerships», op cit., en especial p. 60; y De Hert, P. y Sajfert, J., «Chapter 10: Variety, velocity and volume of personal data in criminal investigations and proceedings: the limits drawn by the purpose limitation and data minimization principles in Directive (EU) 2016/680», op. cit., p. 222.
35      Cabe señalar, a título indicativo, que el órgano jurisdiccional remitente afirmó que había solicitado al Konstitutsionen sad (Tribunal Constitucional) que declarase la incompatibilidad de la disposición nacional controvertida en el litigio principal con la Constitución de la República de Bulgaria. Sin embargo, esa petición fue declarada inadmisible debido a que el órgano jurisdiccional remitente no había tenido en cuenta el capítulo octavo de la Zakon za zashtita na lichnite danni (Ley de Protección de Datos Personales), de 1 de enero de 2002 (DV n.º 1, de 4 de enero de 2002, en su versión modificada y completada por el DV n.º 70, de 20 de agosto de 2024; en lo sucesivo «ZZLD»), mediante la que se transpone la Directiva 2016/680. El órgano jurisdiccional remitente estima, sin embargo, que la normativa de la ZZLD es de carácter general y que el artículo 272, apartado 1, del NPK, por ser una ley especial, sigue siendo aplicable. Procede recordar que el órgano jurisdiccional remitente es competente para interpretar su Derecho nacional [véase la sentencia de 30 de abril de 2024, M.N. (EncroChat) (C‑670/22, EU:C:2024:372), apartado 76] y, por tanto, considero que debe responderse a la cuestión prejudicial planteada, que se presume pertinente [véase la sentencia de 26 de enero de 2023, Ministerstvo na vatreshnite raboti (Registro de datos biométricos y genéticos por la policía) (C‑205/21, en lo sucesivo, «sentencia Ministerstvo na vatreshnite raboti», EU:C:2023:49), apartado 54].
36      Véase la sentencia de 30 de enero de 2024, Direktor na Glavna direktsia «Natsionalna politsia» pri MVR — Sofia (C‑118/22, en lo sucesivo, «sentencia Direktor na Glavna direktsia», EU:C:2024:97), apartado 39.
37      Véase la sentencia Ministerstvo na vatreshnite raboti, apartado 116 y jurisprudencia citada. Sobre el concepto de «origen étnico» en otro contexto, véase la sentencia de 18 de diciembre de 2025, Slagelse Almennyttige Boligselskab, Afdeling Schackenborgvænge (C‑417/23, EU:C:2025:1017), apartados 71 y ss., que tiene por objeto la Directiva 2000/43/CE del Consejo, de 29 de junio de 2000, relativa a la aplicación del principio de igualdad de trato de las personas independientemente de su origen racial o étnico (DO 2000, L 180, p. 22).
38      No se trata aquí de una recogida de datos por la policía durante la investigación a efectos de identificación y comparación futuras de la persona acusada, como sucedía por ejemplo en el asunto que dio lugar a la sentencia de 20 de noviembre de 2025, Policejní prezidium (Conservación de datos biométricos y genéticos) (C‑57/23, EU:C:2025:905), apartado 84.
39      Véase, por analogía, la sentencia de 22 de junio de 2021, Latvijas Republikas Saeima (Puntos por infracciones de tráfico) (C‑439/19, EU:C:2021:504), apartados 109 y 110.
40      Véase, por analogía, la sentencia Vyriausioji tarnybinės etikos komisija, apartado 98 y jurisprudencia citada. Véase asimismo la sentencia Direktor na Glavna direktsia, apartado 62.
41      Véanse los puntos 12 a 15 de las presentes conclusiones.
42      Véase el artículo 8, apartado 1, de la ZGR cuyo contenido se ha reproducido en el punto 12 de las presentes conclusiones.
43      Véase, por analogía, la sentencia Vyriausioji tarnybinės etikos komisija, apartado 98 y jurisprudencia citada. Véase asimismo la sentencia Direktor na Glavna direktsia, apartado 62.
44      Véase la sentencia Direktor na Glavna direktsia, apartado 48 y jurisprudencia citada.
45      Véanse las sentencias Ministerstvo na vatreshnite raboti, apartados 118 y ss., y de 20 de noviembre de 2025, Policejní prezidium (Conservación de datos biométricos y genéticos) (C‑57/23, EU:C:2025:905), apartado 78. Véanse también las conclusiones del Abogado General Szpunar presentadas en el asunto Comdribus (C‑371/24, EU:C:2025:631), puntos 43 y ss.
46      Me pregunto por otra parte sobre la razón de ser de esta pregunta acerca del «pueblo de origen», que puede plantear problemas en relación con los valores de la Unión en el sentido del artículo 2 TUE.
47      Véase, en este sentido, la sentencia Ministerstvo na vatreshnite raboti, apartados 128 y 129; Simon, D., «Données personnelles — Traitement des données sensibles dans les procédures pénales», Revue Europe, LexisNexis, n.o 3, 2023, comentario n.º 112.