CELEX: 62021CC0180
Language: hu
Date: 2022-05-19
Title: M. Campos Sánchez-Bordona főtanácsnok indítványa, az ismertetés napja: 2022. május 19.###

Ideiglenes változat
CAMPOS SÁNCHEZ‑BORDONA
FŐTANÁCSNOK INDÍTVÁNYA
Az ismertetés napja: 2022. május 19.(1)

C‑180/21. sz. ügy

VS

kontra

Inspektor v Inspektorata kam Visshia sadeben savet;

a Teritorialno otdelenie – Petrich kam Rayonna prokuratura – Blagoevgrad 

részvételével

(az Administrativen sad – Blagoevgrad [blagoevgradi közigazgatási bíróság, Bulgária] által benyújtott előzetes döntéshozatal iránti kérelem)
„Előzetes döntéshozatal – A természetes személyeknek a személyes adatok kezelése tekintetében történő védelme – (EU) 2016/679 rendelet – 4. és 6. cikk – (EU) 2016/680 irányelv – 1., 2–4. és 9. cikk – A személyes adatok büntetőeljárás keretében történő kezelésének jogszerűsége – A bűncselekmény sértettjére vonatkozó adatoknak az ellene történő későbbi vádemelés és az ügyészség polgári eljárásban való védekezése céljából történő kezelése – Az »adatgyűjtés céljától eltérő cél« fogalma”

1.        A személyes adatok védelme terén az általános szabályokat képező  (EU) 2016/679 rendelet(2) és az (ugyanebben a tárgykörben a büntetőeljárásokra vonatkozóan lex specialisnak minősülő) (EU) 2016/680 irányelv(3) alapelve, hogy ezen adatok gyűjtését és kezelését a jogszabályokban meghatározott konkrét célokra korlátozza.

2.        A jelen ügyben a Bíróságnak egy bolgár bíróságnak a 2016/679 rendelet és a 2016/680 irányelv értelmezésével kapcsolatos kérdéseire kell választ adnia, hogy tisztázza, jogellenesen kezelték‑e a valamely tagállam ügyészségének birtokában lévő személyes adatokat, amikor:
–      egyrészt ezen adatok olyan személytől származnak, aki kezdetben sértettként szerepelt, de akivel szemben később ugyanabban a büntetőeljárásban vádat emeltek;
–      másrészt a különböző büntetőeljárásokban szerzett adatokat az ügyészség egy olyan polgári eljárásban igyekszik saját védelmében bizonyítékként felhasználni, amelyben a személyes adatokkal érintett személy a büntetőeljárás túlzott elhúzódása miatt kér kártérítést.
A.      Jogi háttér. Az uniós jog

1.      A 2016/679 rendelet

3.        A 2. cikk („Tárgyi hatály”) értelmében:
„(1)      E rendeletet kell alkalmazni a személyes adatok részben vagy egészben automatizált módon történő kezelésére, valamint azoknak a személyes adatoknak a nem automatizált módon történő kezelésére, amelyek valamely nyilvántartási rendszer részét képezik, vagy amelyeket egy nyilvántartási rendszer részévé kívánnak tenni.
(2)      E rendelet nem alkalmazandó a személyes adatok kezelésére, ha azt:
a)      az uniós jog hatályán kívül eső tevékenységek során végzik;
[…]
d)      az illetékes hatóságok bűncselekmények megelőzése, nyomozása, felderítése, vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása céljából végzik, ideértve a közbiztonságot fenyegető veszélyekkel szembeni védelmet és e veszélyek megelőzését.
[…].”

4.        Az 4. cikk („Fogalommeghatározások”) kimondja:
„E rendelet alkalmazásában:
[…]
2.      »adatkezelés«: a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közlés, továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel útján, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés;
[…]
7.      »adatkezelő«: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza; ha az adatkezelés céljait és eszközeit az uniós vagy a tagállami jog határozza meg, az adatkezelőt vagy az adatkezelő kijelölésére vonatkozó különös szempontokat az uniós vagy a tagállami jog is meghatározhatja;
[…].”

5.        Az 5. cikk („A személyes adatok kezelésére vonatkozó elvek”) a következőket írja elő:
„(1)      A személyes adatok:
a)      kezelését jogszerűen és tisztességesen, valamint az érintett számára átlátható módon kell végezni (»jogszerűség, tisztességes eljárás és átláthatóság«);
b)      gyűjtése csak meghatározott, egyértelmű és jogszerű célból történjen, és azokat ne kezeljék ezekkel a célokkal össze nem egyeztethető módon; a 89. cikk (1) bekezdésének megfelelően nem minősül az eredeti céllal össze nem egyeztethetőnek a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból történő további adatkezelés (»célhoz kötöttség«);
c)      az adatkezelés céljai szempontjából megfelelőek és relevánsak kell, hogy legyenek, és a szükségesre kell korlátozódniuk (»adattakarékosság«);
[…].”

6.        A 6. cikk („Az adatkezelés jogszerűsége”) így szól:
„(1)      A személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül:
a)      az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez;
[…]
c)      az adatkezelés az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges;
[…]
e)      az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges;
f)      az adatkezelés az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítéséhez szükséges, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé, különösen, ha az érintett gyermek.
Az első albekezdés f) pontja nem alkalmazható a közhatalmi szervek által feladataik ellátása során végzett adatkezelésre.
[…]
(3)      Az (1) bekezdés c) és e) pontja szerinti adatkezelés jogalapját a következőknek kell megállapítania:
a)      az uniós jog, vagy
b)      azon tagállami jog, amelynek hatálya alá az adatkezelő tartozik.
Az adatkezelés célját e jogalapra hivatkozással kell meghatározni, illetve az (1) bekezdés e) pontjában említett adatkezelés tekintetében annak szükségesnek kell lennie valamely közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához. Ez a jogalap tartalmazhat az e rendeletben foglalt szabályok alkalmazását kiigazító rendelkezéseket […]. Az uniós vagy tagállami jognak közérdekű célt kell szolgálnia, és arányosnak kell lennie az elérni kívánt jogszerű céllal.
(4)      Ha az adatgyűjtés céljától eltérő célból történő adatkezelés nem az érintett hozzájárulásán vagy valamely olyan uniós vagy tagállami jogon alapul, amely szükséges és arányos intézkedésnek minősül egy demokratikus társadalomban a 23. cikk (1) bekezdésében rögzített célok eléréséhez, annak megállapításához, hogy az eltérő célú adatkezelés összeegyeztethető‑e azzal a céllal, amelyből a személyes adatokat eredetileg gyűjtötték, az adatkezelő többek között figyelembe veszi:
a)      a személyes adatok gyűjtésének céljait és a tervezett további adatkezelés céljai közötti esetleges kapcsolatokat;
b)      a személyes adatok gyűjtésének körülményeit, különös tekintettel az érintettek és az adatkezelő közötti kapcsolatokra;
c)      a személyes adatok jellegét, különösen pedig azt, hogy a 9. cikk szerinti személyes adatok különleges kategóriáinak kezeléséről van‑e szó, illetve, hogy büntetőjogi felelősség megállapítására és bűncselekményekre vonatkozó adatoknak a 10. cikk szerinti kezeléséről van‑e szó;
d)      azt, hogy az érintettekre nézve milyen esetleges következményekkel járna az adatok tervezett további kezelése;
e)      megfelelő garanciák meglétét, ami jelenthet titkosítást vagy álnevesítést is”.
2.      A 2016/680 irányelv

7.        Az 1. cikk („Tárgy és célok”) értelmében:
„(1)      Ez az irányelv szabályokat állapít meg a természetes személyek védelmére a személyes adatoknak az illetékes hatóságok által a bűncselekmények megelőzése, nyomozása, felderítése, a vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása – így többek között a közbiztonságot fenyegető veszélyekkel szembeni védelem és e veszélyek megelőzése – céljából végzett kezelése tekintetében.
(2)      A tagállamok ezen irányelvvel összhangban:
a)      védik a természetes személyek alapvető jogait és szabadságait, különösen a személyes adatok védelméhez való jogukat, […]
[…].”

8.        A 2. cikk („Hatály”) a következőképpen rendelkezik:
„(1)      Ez az irányelv a személyes adatoknak az illetékes hatóságok által az 1. cikk (1) bekezdésében meghatározott célokból végzett kezelésére alkalmazandó.
[…]
(3)      Ezen irányelv nem alkalmazandó:
a)      a személyes adatoknak az uniós jog hatályán kívül eső tevékenységek során végzett kezelésére;
[…].”

9.        A 3. cikk 1., 2. és 8. pontja átvette a 2016/679 rendelet 4. cikke 1., 2. és 7. pontjának fogalommeghatározásait.

10.      Az 4. cikk („A személyes adatok kezelésére vonatkozó elvek”) a következőket írja elő:
„[…]
(2)      Az azonos vagy más adatkezelő által az 1. cikk (1) bekezdésében meghatározott, de a személyes adatok gyűjtésének céljától eltérő célból végzett adatkezelés akkor megengedett, ha:
a)      az adatkezelő az uniós vagy tagállami joggal összhangban jogosult az említett személyes adatokat az említett célból kezelni, és
b)      az adatkezelés az uniós vagy tagállami joggal összhangban, az említett egyéb cél szempontjából szükséges és arányos.
[…]”

11.      A 6. cikk („Az érintettek különböző kategóriái közötti különbségtétel”) a következőket írja elő:
„A tagállamok előírják az adatkezelő számára, hogy adott esetben és amennyire lehetséges, tegyen világos különbséget az érintettek különböző kategóriáinak személyes adatai között az alábbiak szerint:
a)      olyan személyek, akik tekintetében alapos okkal feltételezhető, hogy bűncselekményt követtek el vagy készülnek elkövetni;
b)      bűncselekmény elkövetéséért elítélt személyek;
c)      bűncselekmény áldozatai, illetve olyan személyek, akikről bizonyos tények alapján okkal feltételezhető, hogy bűncselekmény áldozatai lehetnek, és
d)      a bűncselekmény kapcsán érintett egyéb felek, például olyan személyek, akik a bűncselekményekkel kapcsolatos nyomozás vagy az azt követő büntetőeljárás során felszólíthatók vallomástételre, bűncselekményről információval szolgálhatnak, vagy az a) és b) pontban említett személyekkel kapcsolatban vannak vagy e személyek bűntársai.”

12.      A 8. cikk („Az adatkezelés jogszerűsége”) a következőképpen szól:
„(1)      A tagállamok biztosítják, hogy az adatkezelés csak akkor és kizárólag annyiban legyen jogszerű, ha és amennyiben olyan feladat ellátásához szükséges, amelyet valamely illetékes hatóság az 1. cikk (1) bekezdésében meghatározott célokból végez, és uniós vagy tagállami jog alapján történik.
(2)      Az ezen irányelv hatálya alá tartozó adatkezelést szabályozó tagállami jogban rendelkezni kell legalább az adatkezelés célkitűzéseiről, a kezelendő személyes adatokról és az adatkezelés céljairól.”

13.      A 9. cikk („Különös adatkezelési feltételek”) szerint:
„(1)      Az illetékes hatóságok által az 1. cikk (1) bekezdésében meghatározott célokból gyűjtött személyes adatok az 1. cikk (1) bekezdésében meghatározottaktól eltérő célból nem kezelhetők, kivéve, ha az az ilyen adatkezelésre uniós vagy tagállami jog felhatalmazást ad. Ha személyes adatokat ilyen más célokból kezelnek, [a 2016/679] rendeletet kell alkalmazni, kivéve, ha az adatkezelést az uniós jog hatályán kívül eső tevékenység keretében végzik.
(2)      Ha a tagállami jog az 1. cikk (1) bekezdésében meghatározott célokból végzett feladatoktól eltérő feladatok elvégzését írja elő az illetékes hatóságok számára, az ilyen célokból történő adatkezelésre, ideértve a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból folytatott adatkezelést is, [a 2016/679] rendeletet kell alkalmazni, kivéve, ha az adatkezelést az uniós jog hatályán kívül eső tevékenység keretében végzik.
[…].”
B.      A nemzeti jog

1.      A Bolgár Köztársaság alkotmánya(4)

14.      A 127. cikk megállapítja az ügyészség kizárólagos hatáskörét a nyomozások irányítása és a közvádra üldözendő bűncselekmények esetében a bűntetőjogi felelősség megállapítása és a bíróság előtti vádemelés tekintetében.
2.      Zakon za zashtita na lichnite danni(5)

15.      Az 1. cikk a következőképpen rendelkezik: 
„(1)      E törvény szabályozza a természetes személyeknek a személyes adatok kezelése tekintetében történő jogainak védelmével kapcsolatos társadalmi jogviszonyokat, amennyiben azokat a [2016/679 rendelet] nem szabályozza.
(2)      E törvény megállapítja továbbá a természetes személyeknek a személyes adatok illetékes hatóságok által bűncselekmények megelőzése és felderítése, nyomozása, a vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása céljából végzett kezelése tekintetében történő védelmére vonatkozó szabályokat, beleértve a közrendet és a közbiztonságot fenyegető veszélyekkel szembeni védelmet és e veszélyek megelőzését.
[…].”

16.      A 17. cikk kimondja:
„(1)      A legfelsőbb igazságszolgáltatási tanács felügyelete biztosítja a [2016/679 rendeletnek], e törvénynek és a személyes adatok védelmére vonatkozó jogszabályoknak a személyes adatok kezelése tekintetében való ellenőrzését és tiszteletben tartását:
1.      a bíróságok által az igazságszolgáltatás hatalmi feladatainak ellátása során, és
2.      az ügyészségnek és nyomozóhatóságoknak a bűncselekmények megelőzése, felderítése, nyomozása, illetve a vádeljárás lefolytatása vagy a büntetőjogi szankciók végrehajtása céljából történő igazságügyi hatósági feladataik ellátása során.
[…].”

17.      A 42. cikk a következőket rögzíti:
„(1)      E fejezet szabályai alkalmazandók a személyes adatoknak az illetékes hatóságok által bűncselekmények megelőzése és felderítése, nyomozása, a vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása céljából végzett kezelése esetében, beleértve a közrendet és a közbiztonságot fenyegető veszélyekkel szembeni védelmet és e veszélyek megelőzését.
(2)      Az (1) bekezdésben meghatározott célokra gyűjtött személyes adatok más célból nem kezelhetők, kivéve, ha az uniós jog vagy a Bolgár Köztársaság jogszabályai másként rendelkeznek.
(3)      Amennyiben az (1) bekezdés szerinti illetékes hatóságok a személyes adatokat az (1) bekezdésben említett céltól eltérő más célból, valamint a (2) bekezdésben foglalt esetekben kezelnek, a [2016/679 rendeletet] és e törvény végrehajtási intézkedéseket bevezető vonatkozó rendelkezéseit kell alkalmazni.
(4)      Az »illetékes hatóság« alatt az (1) bekezdés értelmében minden olyan közhatalmi szerv értendő, amely a bűncselekmények megelőzését és felderítését, nyomozását, a vádeljárás lefolytatását vagy büntetőjogi szankciók végrehajtását illetően eljárni jogosult, beleértve a közrendet és a közbiztonságot fenyegető veszélyekkel szembeni védelmet és e veszélyek megelőzését.
(5)      Ha jogszabály eltérően nem rendelkezik, a személyes adatokat a jelen fejezet értelmében – az (1) bekezdésben meghatározott célból – a (4) bekezdés szerinti illetékes hatóság vagy azon közigazgatási szerv kezeli, amely e hatóság részét képezi, és amely önállóan vagy más hatóságokkal együtt a személyes adatok kezelésének céljait és módját meghatározza.”

18.      A 45. cikk előírja:
„[…]
(2)      A személyes adatoknak az eredetileg gyűjtő adatkezelő vagy más adatkezelő által végzett, a 42. cikk (1) bekezdésében meghatározott személyes adatok gyűjtésének céljától eltérő bármely más célból végzett kezelése abban az esetben engedélyezett, ha:
1.      az adatkezelő az uniós joggal vagy a Bolgár Köztársaság jogával összhangban jogosult személyes adatokat az említett célból kezelni, és
2.      az adatkezelés – az uniós joggal vagy a Bolgár Köztársaság jogával összhangban – az említett egyéb cél szempontjából szükséges és arányos.
[…]”

19.      A 47. cikk a 2016/680 irányelv 6. cikkét veszi át.

20.      A 49. cikk szerint:
„A személyes adatok kezelése akkor jogszerű, ha az az illetékes hatóság hatáskörének gyakorlásához a 42. cikk (1) bekezdésében említett célból szükséges, és ha azt az uniós jog vagy az adatkezelés céljait és a kezelendő személyes adatok kategóriáit meghatározó jogszabály előírja.”
II.    A tényállás, az eljárások és az előzetes döntéshozatalra előterjesztett kérdések

21.      A Rayonna prokuratura – Petrich (petrichi kerületi ügyészség, Bulgária)(6) irányításával egy 2013. április 18‑án elkövetett bűncselekményt megvalósító cselekmények(7) tisztázására nyomozás indult (a petrichi rendőrség 252/2013. sz. ügye).

22.      Ezen eljárások során VS személyes adatait eredetileg sértetti minőségben gyűjtötték.

23.      Az ügyészség 2018. április 4‑i és 5‑i határozatával négy személyt (köztük VS‑t) vádolt meg.

24.      2020. november 10‑én a Rayonen sad Petrich (petrichi kerületi bíróság, Bulgária) elévülés miatt a büntetőeljárás érdemi határozat nélküli megszüntetéséről döntött.

25.      A petrichi kerületi ügyészség 2016‑ban és 2017‑ben a VS‑sel szemben benyújtott panaszok következtében több olyan eljárást indított,(8) amelyek büntetőjogi bizonyíték hiányában nem eredményezték büntetőeljárás megindítását.

26.      VS 2018‑ban a 252/2013. sz. büntetőeljárás túlzott időtartamával okozott kár megtérítése iránti polgári jogi keresetet indított(9) a Bolgár Köztársaság ügyészsége ellen az Okrazhen sad – Blagoevgrad (blagoevgradi regionális bíróság, Bulgária) előtt.

27.      A polgári jogi keresettel szembeni védekezés keretében az ügyészség a petrichi kerületi ügyészség 517/2016. és 1872/2016. sz. ügyiratainak csatolását kérte a bíróságtól.

28.      A 2018. október 15‑i végzéssel az Okrazhen sad – Blageovgrad (blageovgradi regionális bíróság) arra kötelezte a petrichi kerületi ügyészséget, hogy nyújtsa be az 517/2016. és 1872/2016. sz. ügyészségi ügyiratok tartalmának másolatát.

29.      2020. március 12‑én VS panaszt tett az Inspektorata kam Visshia sadeben savetnél (a legfelsőbb igazságszolgáltatási tanács felügyeleti hatósága; a továbbiakban: IVSS) személyes adatainak az ügyészség általi jogellenes kettős kezelése miatt, mivel az ügyészség szerinte jogosulatlanul használta fel:
–      a VS-ről mint sértettről gyűjtött adatokat, azoknak a 252/2013. sz. büntetőeljárásban mint terheltre vonatkozó  adatoknak a további kezelése céljából.
–      VS‑nek az 517/2016. és 1872/2016. sz. ügyiratokban gyűjtött adatait az ügyészség által a 144/2018. sz. polgári eljárásban való felhasználásra.

30.      2020. június 22‑én az IVSS elutasította VS ezen kettős kifogását.

31.      VS az IVSS ezen határozatát megtámadta az Administrativen sad Blagoevgrad (blagoevgradi közigazgatási bíróság, Bulgária) előtt, amely bíróság előzetes döntéshozatal céljából az alábbi kérdéseket terjesztette a Bíróság elé:
„1)      Úgy kell‑e értelmezni a [2016/680 irányelv] 1. cikkének (1) bekezdését, hogy a célok felsorolásában a »bűncselekmények megelőzése, nyomozása, felderítése, a vádeljárás lefolytatása« fogalmak egy általános cél alkotóelemeiként kerülnek felsorolásra?
2)      Alkalmazandók‑e a [2016/679 rendelet] rendelkezései a Bolgár Köztársaság ügyészségére a tekintetben, hogy egy személyre vonatkozó azon információkat, amelyeket az ügyészség a [2016/680 irányelv] 3. cikkének 8. pontja szerinti »adatkezelői« minőségében az e személyről bűncselekményre utaló jelek vizsgálata céljából összeállított ügyirattal kapcsolatban gyűjtött, az ügyirat összeállítására vonatkozó információ közlésével vagy az ügyirat tartalmának rendelkezésre bocsátásával felhasználták az ügyészség mint polgári eljárásban részt vevő fél bíróság előtti védekezése keretében?
2.1)      Az e kérdésre adandó igenlő válasz esetén:
Úgy kell‑e értelmezni a [2016/679] rendelet 6. cikke (1) bekezdésének f) pontjában szereplő »jogos érdek« kifejezést, hogy az magában foglalja a valamely személyre vonatkozó olyan információk teljes vagy részleges közlését, amelyeket az e személyről bűncselekmények megelőzése, nyomozása, felderítése vagy a vádeljárás lefolytatása céljából összeállított ügyészségi ügyirattal kapcsolatban gyűjtöttek, ha e közlés az adatkezelő mint polgári eljárásban részt vevő fél védekezése céljából történik, és kizárt‑e az érintett személy hozzájárulása?”
III. A Bíróság előtti eljárás

32.      Az előzetes döntéshozatal iránti kérelmet 2021. március 23‑án vették nyilvántartásba a Bíróságnál.

33.      Az Európai Bizottságon kívül VS, az IVSS, a bolgár, a cseh és a holland kormány vett részt az eljárásban, és terjesztett elő írásbeli észrevételeket.

34.      A felek nem kérték nyilvános tárgyalás megtartását, így a Bíróság úgy tekintette, hogy az mellőzhető.
IV.    Értékelés

A.      Az alkalmazandó uniós joggal kapcsolatos előzetes megfontolások

35.      A 2016/679 rendelet és a 2016/680 irányelv egy következetes rendszert hozott létre, amelyben:
–      A 2016/679 rendelet általános szabályokat határoz meg a természetes személyeknek a személyes adatok kezelése tekintetében történő védelme érdekében.
–      A 2016/680 irányelv ezen adatoknak a büntetőügyekben folytatott igazságügyi együttműködés és a rendőrségi együttműködés területén történő kezelésének különös szabályait állapítja meg.

36.      Az e két szabályozásból eredő rendszer által biztosított védelem a jogszerűség, a tisztességes eljárás és az átláthatóság elvén, valamint – ami a jelen ügy vonatkozásában releváns – az adatgyűjtés és az adatkezelés jogszabályban meghatározott célhoz kötöttségének elvén alapul.(10)

37.      Egész pontosan a 2016/679 rendelet 5. cikke (1) bekezdésének b) pontja előírja, hogy a személyes adatok „gyűjtése csak meghatározott, egyértelmű és jogszerű célból történjen, és azokat ne kezeljék ezekkel a célokkal össze nem egyeztethető módon”.(11)Lex specialisként a 2016/680 irányelv 4. cikke (1) bekezdésének b) pontja ugyanígy fogalmaz.

38.      A személyes adatok tehát általános jelleggel nem gyűjthetők vagy kezelhetők, hanem csak meghatározott célokból(12) és az uniós jogalkotó által megállapított jogszerűségi feltételek mellett.

39.      Az adatgyűjtés és adatkezelés, valamint a két művelet által szolgálandó célok közötti szoros kapcsolat főszabály szerint nem abszolút, mivel mind a 2016/679 rendelet, mind a 2016/680 irányelv bizonyos rugalmasságot biztosít, amint azt az alábbiakban kifejtem.

40.      Az alapeljárásban a közigazgatási bíróságnak kell határoznia arról, hogy a felügyeleti hatóság (IVSS)(13) helyesen járt‑e el, amikor elutasította azon panaszt, amelyben VS a bolgár ügyészséggel szemben a személyes adatainak jogellenes kezelését kifogásolta.

41.      Amint már kifejtettem, ezen adatokat két különböző összefüggésben gyűjtötték:
–      Az ügyészség által 2013‑ban olyan cselekmények kapcsán indított büntetőeljárásban, amelyben VS feltételezett sértettként szerepelt. Ezen adatokat később ugyanabban a büntetőeljárásban felhasználták VS mint terheltellen.
–      Más, 2016‑tól és 2017‑től kezdődő, az ügyészség által többek között a 2013. évihez nem kapcsolódó cselekmények miatt VS ellen tett különböző feljelentések alapján indított büntetőeljárásokban. Ebben az ügyben az ügyészség kérte (és az illetékes bíróság a kérelmének helyt adott), hogy az eljárásokban szereplő adatokat a kártérítést követelő VS által indított polgári eljárásban védekezés céljából felhasználhassa.(14)

42.      A kérdést előterjesztő bíróság kérdései ezzel összefüggésben a következőkre terjednek ki:
–      VS személyes adatainak ugyanazon büntetőeljárás két egymást követő időpontjában történő felhasználásának jogszerűségére (az előzetes döntéshozatalra előterjesztett első kérdés).
–      Az ügyészség által indított büntetőeljárás során gyűjtött és a VS által indított polgári perben az ügyészség által felhasználni kívánt, VS‑re vonatkozó személyes adatok kezelésének jogszerűségére (az előzetes döntéshozatalra előterjesztett második kérdés).

43.      Egyetértek a kérdést előterjesztő bírósággal és a jelen előzetes döntéshozatali eljárásban részt vevő valamennyi féllel abban, hogy az előzetes döntéshozatalra előterjesztett első kérdés tárgyát képező személyes adatok kezelésére a 2016/680 irányelv irányadó.

44.      A 2016/680 irányelv 1. cikkének (1) bekezdése és 2. cikkének (1) bekezdése értelmében a személyes adatok kezelésére ezen irányelv alkalmazandó, ha az adatkezelést az illetékes hatóságok bűncselekmények megelőzése, nyomozása, felderítése vagy vádeljárás lefolytatása céljából végzik. Ebben az ügyben VS adatait pontosan egy bűnügyi nyomozás keretében gyűjtötték és kezelték.

45.      A személyes adatoknak az ügyészséggel szembeni polgári eljárás céljából történő továbbítása (az előzetes döntéshozatalra előterjesztett második kérdés) tekintetében azonban a 2016/679 rendelet alkalmazandó, amennyiben e továbbítás a 2016/680 irányelv 1. cikkének (1) bekezdésében meghatározott céloktól eltérő, de az uniós jog hatálya alá tartozó tevékenységhez tartozó adatkezelésnek minősül.
B.      Az előzetes döntéshozatalra előterjesztett első kérdés: a 2016/680 irányelv hatálya alá tartozó célokból gyűjtött személyes adatok ad intra újrabesorolása

46.      A 2016/680 irányelv 4. cikkének (2) bekezdése értelmében az azonos vagy más adatkezelő által az 1. cikk (1) bekezdésében meghatározott,(15) de a személyes adatok gyűjtésének céljától eltérő célból végzett adatkezelés akkor megengedett, ha:
a)      az adatkezelő jogosult az említett személyes adatokat az említett célból kezelni, és
b)      az adatkezelés az uniós vagy tagállami joggal összhangban az említett egyéb cél szempontjából szükséges és arányos.

47.      A 2016/680 irányelv engedélyezi tehát a hatálya alatt gyűjtött személyes adatok ad intra újrabesorolását. Az 1. cikk (1) bekezdésében felsorolt célok valamelyikére gyűjtött adatok bizonyos feltételek mellett a felsorolásban szereplő más célból vagy más célokból is felhasználhatók.

48.      Az előzetes döntéshozatalra előterjesztett első kérdés által felvetett probléma az, hogy VS‑nek a nyomozás tárgyát képező bűncselekmény feltételezett sértetti minőségében való feltüntetésekor szerzett személyes adatai kezelhetők‑e a későbbiekben ugyanazon büntetőeljárás során vele mint terhelttel vagy vádlottal szemben.

49.      Más szóval meg kell határozni, hogy VS személyes adatait az eredeti adatgyűjtést indokoló céllal azonos célból vagy pontosabban két különböző, de a 2016/680 irányelv hatálya alá tartozó célból kezelték‑e. E második körülmény fennállása esetén a kezelésre az említett irányelv 4. cikkének (2) bekezdésében meghatározott külön feltételek vonatkoznak.

50.      A kérdést előterjesztő bíróság a jogvita tárgyával kapcsolatban kissé félreérthetően fogalmazta meg első kérdését. Szó szerint azt kívánja megtudni, hogy a 2016/680 irányelv 1. cikkének (1) bekezdését „úgy kell‑e értelmezni […], hogy a célok felsorolásában a »bűncselekmények megelőzése, nyomozása, felderítése, a vádeljárás lefolytatása« fogalmak egy általános cél alkotóelemeiként kerülnek felsorolásra”.

51.      A kérdést előterjesztő bíróság előadására tekintettel – amint azt a jelen előzetes döntéshozatali eljárás felei és résztvevői javasolták – talán helyénvaló lenne az első kérdést átfogalmazni. Az absztrakt általános cél/konkrét cél kapcsolaton való elmélkedésen túl az a döntő jelentőségű (és amire valójában VS panasza vonatkozott), hogy a 2016/680 irányelvben szabályozott büntetőeljárás keretében továbbra is fennáll‑e az a cél, amely egy személy adatainak bűncselekmény feltételezett sértetti minőségben való gyűjtéséhez vezetett, amikor ezen adatok az ugyanazon eljárásban való későbbi vádemeléshez vezetnek.

52.      A 2016/680 irányelv 1. cikke (1) bekezdésének szó szerinti értelmezése azt sugallja, hogy ezen belül háromféle célt lehet megkülönböztetni, amelyek különböző időpontokra és tevékenységekre vonatkoznak:
–      Egyrészt a – többek között a közbiztonságot fenyegető veszélyekkel szembeni fellépésre irányuló – „megelőzés” célja.
–      Másrészt a büntetőjogi vonatkozású cselekmények (tág értelemben vett) „nyomozásának” célja, amely magában foglalja a cselekmények felderítését, magát a nyomozást és a vádeljárás lefolytatását.
–      Végül a „büntetőjogi szankciók végrehajtásának” célja.

53.      Rendszertani szempontból vagy az összefüggésekre tekintettel a 2016/680 irányelv 4. cikkének (2) bekezdése amellett szól, hogy e célok mindegyike elkülöníthető. Ellenkező esetben – amint azt a holland kormány is megjegyezte – e rendelkezés értelmét veszítené, mivel az éppen „az 1. cikk (1) bekezdésében meghatározott […] gyűjtés[…] céljától eltérő célból […]” történő adatkezelésre vonatkozik.

54.      Ezen előfeltevésből kiindulva megpróbálom elmagyarázni, hogy e konkrét esetben a vitatott adatokat a 2016/680 irányelv 1. cikkének (1) bekezdésében említett célok valamelyike (a „nyomozás”) céljából miért szerezték meg és kezelték, ami meghatározza ennek alkalmazását és az adatkezelés ezzel összefüggő jogszerűségét.

55.      Másodlagosan, amennyiben az adatok megszerzése és kezelése a 2016/680 irányelv 4. cikkének (2) bekezdésében felsorolt célok közül két cél elérésére is irányult volna, jogszerűsége akkor sem lenne vitatható.
1.      Azonos cél

56.      Egyes büntetőeljárásokban az érintett személyek eljárási jogállása a kezdetekben nem mindig határozható meg. Ezen eljárások során sok esetben megkísérlik azonosítani és így „kategorizálni” azon alanyokat, akik első látásra a cselekmények elkövetőiként, sértettjeiként vagy tanúiként szerepelnek.

57.      Ezen előkészítő szakaszban logikus, hogy a kategorizálásban érvényesüljön bizonyos gördülékenység. A nyomozásnak – az általa hozott eredményekkel összhangban – el kell vezetnie annak pontos azonosításához, hogy ezen személyek az eljárás lefolytatásakor milyen jogcímen fognak fellépni.

58.      Ez különösen igaz a jelen ügyhöz hasonló esetekben. A kérdést előterjesztő bíróság szerint több személy között történt kölcsönösen elkövetett erőszak. Egyiküket, aki kezdetben sértettként szerepelt, végül az erőszak elkövetőjeként vádolták meg.

59.      Ebben az összefüggésben az elvégzett tevékenység egésze megfelel a 2016/680 irányelv 1. cikkének (1) bekezdésében szereplő „nyomozás” fogalmának. E tevékenység célja tehát egyedi volt, és megfelel azon „célok” valamelyikének, amelyekre a személyes adatok kezelése szolgálhat.

60.      A kérdést előterjesztő bíróság azonban kétséget támaszt azzal kapcsolatban, hogy a 2016/680 irányelv 1. cikke (1) bekezdésének ezen értelmezése összhangban van‑e az irányelv (31) preambulumbekezdésével.(16)

61.      Egyetértek a felek többségének azon véleményével, hogy e preambulumbekezdés – a 2016/680 irányelvnek az e preambulumbekezdést  átvevő 6. cikkéhez hasonlóan – nem bír jelentőséggel annak megállapítása tekintetében, hogy az említett irányelv 4. cikkének (2) bekezdésében említett célok megváltoztak‑e.

62.      A 2016/680 irányelv 6. cikke értelmében az érintettek különböző kategóriáinak személyes adatai közötti világos különbségtétel csak „adott esetben és amennyire lehetséges” tehető. A fent kifejtett okokból a jelenlegihez hasonló cselekmények miatti kezdeti eljárásokban nem könnyű egyértelműen meghatározni az „érintettek különböző kategóriáit”. Ezenkívül a tényállás ugyanazon résztvevője egyesítheti az erőszak sértetti és elkövetői minőségét.

63.      Még ha a büntetőeljárásban megszerzett adatok kezelője a nyomozás kezdetén és a nyomozás során egyértelműen különbséget is tenne a sértettek, a gyanúsítottak és a tanúk között, az nem változtatná meg ezen adatok gyűjtésének és kezelésének célját (a nyomozás).

64.      Más szóval, a 2016/680 irányelv 4. cikkének (2) bekezdése értelmében egyik vagy másik körülménynek (sértett, tanú, érintett) a bűnügyi nyomozásban részt vevő személyekhez történő egymás utáni kapcsolása nem feltétlenül jelenti a célok megváltoztatását a 2016/680 irányelv 4. cikkének (2) bekezdése értelmében.
2.      Két, egymással versengő cél

65.      Másodlagosan, a 2016/680 irányelv 4. cikkének (2) bekezdésében előírt körülmény fennállása esetén a személyes adatok vitatott kezelése megfelelt volna az irányelvben meghatározott jogszerűségi feltételeknek. Erre a bolgár és a cseh kormány hívta fel a figyelmet, és én is osztom ezen álláspontot.

66.      Noha ennek vizsgálata a kérdést előterjesztő bíróság feladata, kétségtelen, hogy a nemzeti joggal összhangban a bolgár ügyészség lenne a VS személyes adatainak „az 1. cikk (1) bekezdésében meghatározott, de a személyes adatok gyűjtésének céljától eltérő célból végzett” kezeléséért felelős hatóság. Teljesül tehát a 2016/680 irányelv 4. cikke (2) bekezdésének a) pontjában előírt első követelmény.

67.      Ugyanezen 4. cikk (2) bekezdésének b) pontjában foglalt második követelmény kapcsán (amely szerint „az adatkezelés […] az említett egyéb cél szempontjából szükséges és arányos”) megjegyzem, hogy:
–      szükségességét az első bűnügyi nyomozásokra jellemző bizonytalanság és határozatlanság indokolja.
–      az arányossága értékelését a kérdést előterjesztő bíróságnak kell elvégeznie, mérlegelve, hogy az adatkezelést a kialakult cél eléréséhez feltétlenül szükséges mértékre korlátozták‑e.

68.      Ebben az ügyben a 2016/680 irányelv 4. cikke (2) bekezdésének követelményei nem számottevőek, és megerősítik a személyes adatok vitatott gyűjtésében rejlő cél egyedi jellegét: olyan logikai folytonosság áll fenn a kezdeti és a későbbi adatkezelés között, amely az érintett személy elleni vádemeléséhez vezetett.

69.      Nem lenne szükség tehát az új adatkezelő hatáskörének megerősítésére (amely ugyanaz maradna), és nem okozna nehézséget a második (ugyanazon eljárás keretében végzett) adatkezelés szükségességének bizonyítása sem, amennyiben az arányosság kritériuma mindegyik adatkezelés tekintetében közös, amint az a 2016/680 irányelv 4. cikkének (1) bekezdésében felsorolt elvekből kitűnik.
C.      Az előzetes döntéshozatalra előterjesztett második kérdés: a gyűjtött személyes adatok ad extra újrabesorolása

70.      A 2016/680 irányelv 9. cikkének (1) bekezdése lehetővé teszi a hatálya alatt gyűjtött személyes adatok ad extra újrabesorolását.

71.      Főszabályként abból kell kiindulni, hogy az említett adatok „az 1. cikk (1) bekezdésében meghatározottaktól eltérő célból nem kezelhetők”; a 2016/680 irányelv 9. cikkének (1) bekezdése olyan kivételt állapít meg, amely szerint az uniós vagy a tagállami jog engedélyezi az 1. cikk (1) bekezdésében foglaltaktól eltérő célból történő adatkezelést. Ilyen esetben a 2016/679 rendeletet kell alkalmazni (feltéve, hogy a tevékenység az uniós jog hatálya alá tartozik).

72.      Az előzetes döntéshozatalra előterjesztett második kérdésével a kérdést előterjesztő bíróság azt kívánja megtudni, hogy
–      A 2016/679 rendelet alkalmazandó‑e olyan ügyre, amelyben az ügyészség által indított büntetőeljárásban gyűjtött információt később maga az ügyészség használja fel védekezési jogalapként az érintett által az ügyészség ellen indított polgári eljárásban.
–      Az e kérdésre adandó igenlő válasz esetén, a 2016/679 rendelet 6. cikke (1) bekezdésének f) pontjában szereplő „jogos érdekek” kifejezés magában foglalja‑e a vitatott adatoknak az ügyészségnek az említett polgári eljárásban való védekezése céljából történő rendelkezésre bocsátását.
1.      A kérdés elfogadhatósága

73.      Az IVSS azt állítja, hogy mivel VS panaszát annak idején elkésettként elutasították, az előzetes döntéshozatalra előterjesztett második kérdés elfogadhatatlan.

74.      Nem értek egyet ezzel a kifogással.

75.      A Bíróság csak akkor tagadhatja meg a nemzeti bíróságok által előzetes döntéshozatalra előterjesztett kérdés megválaszolását, ha az uniós jog kért értelmezése nyilvánvalóan semmilyen összefüggésben nem áll az alapügy tényállásával vagy tárgyával, ha a probléma hipotetikus jellegű, vagy ha nem állnak a Bíróság rendelkezésére azok a ténybeli és jogi elemek, amelyek szükségesek ahhoz, hogy az elé terjesztett kérdésekre hasznos választ adhasson.(17)

76.      Az IVSS kifogása egy olyan kérdésre vonatkozik, amely a kérdést előterjesztő bíróság kizárólagos hatáskörébe tartozik. Egyedül az ő feladata, hogy saját felelősségére meghatározza azt a jogszabályi és ténybeli hátteret, amelyben a Bíróság elé terjesztett kérdést megfogalmazzák.(18)

77.      Mind az IVSS által felvetett, elkésettségre vonatkozó vizsgálat, mind pedig annak a jogvita szempontjából való relevanciájának értékelése olyan tényezők, amelyek értékelése csak a kérdést előterjesztő bíróságra tartozik. Ebben az ügyben a bíróság hangsúlyozta, hogy – az IVSS által hivatkozott elkésettség ellenére – a kérdés az alapügy megoldása szempontjából releváns.(19)

78.      Ezt az értékelést a Bíróság nem vizsgálhatja felül, amelynek főszabály szerint a nemzeti eljárási és anyagi jognak az előzetes döntéshozatalra vonatkozó keret meghatározásakor a bíróságok által képviselt értelmezését és alkalmazását kell figyelembe vennie.
2.      Az ügy érdeméről

79.      Az alapügyben eljáró bíróság által az előzetes döntéshozatalra előterjesztett második kérdés előterjesztésének indokolásaként kifejtett okokra tekintettel a kérdést előterjesztő bíróság igazából azt kívánja, hogy a Bíróság határozza meg, hogy a vitatott adatok továbbítása a 2016/679 rendelet 4. cikkének 1. és 2. pontja értelmében vett „adatkezelésnek” minősül‑e,(20) és hogy ez az adatkezelés az említett rendelet 6. cikke alapján jogszerű volt‑e.
a)      Az adatkezelés fennállása 

80.      A 2016/679 rendelet 4. cikkének 1. és 2. pontja, valamint a 2016/680 irányelv 3. cikkének 1. és 2. pontja azonos módon határozza meg a „személyes adat” és az „adatkezelés” fogalmát.

81.      E meghatározások értelmében arra következtetek, hogy az ügyészség a polgári bíróság előtti védekezése keretében a VS „személyes adatait” tartalmazó „azonosított […] természetes személyre […] vonatkozó […] információ[t]” szándékozott felhasználni.

82.      Ezen személyes adatok polgári eljárás számára történő továbbítása során több „adatkezelésnek” minősülő „művelet” az érintett hozzájárulása nélkül történt. Legalább magának az ügyészségnek meg kellett volna vizsgálnia ezeket az adatokat, hogy értékelje azok esetleges hasznosságát a polgári perben képviselt álláspontja védelmében. Feltételezhető továbbá az is, hogy az adatokat ugyanezen céllal rendszerezték, tagolták, átalakították vagy megváltoztatták, és természetesen – még ha minimálisan is – közölték és terjesztették, amikor a polgári eljárásban való felhasználásukat kérték.(21)

83.      Az ügyészség az adatok rögzítésével, irattárába helyezésével, tárolásával, az azokba történő betekintéssel, valamint a polgári bíróságtól a büntetőeljárásban szereplő információk bizonyítékként való elfogadására irányuló kérelemével végső soron VS személyes adatait kezelte.

84.      Az IVSS és a Bizottság azt állítja, hogy az ügyészség csak a 2016/680 irányelv hatálya alá tartozó büntetőjogi célokból lehet illetékes hatóságként „adatkezelő”.

85.      Ez véleményem szerint nem jelenti azt – amint azt az IVSS állítja –, hogy az előzetes döntéshozatalra előterjesztett második kérdés okafogyottá vált. E helyett azt jelenti, hogy az adatkezelés jogszerűségét a 2016/680 irányelv 9. cikkének (1) bekezdése értelmében a 2016/679 rendelet fényében kell megvizsgálni.

86.      A polgári eljárás eldöntésére hatáskörrel rendelkező bíróság felel az adatoknak az eljárásban történő kezeléséért, amennyiben azokat az eljárás során felhasználják. A 2016/679 rendelet 55. cikkének (3) bekezdése értelmében a felügyeleti hatóság hatásköre nem terjed ki az igazságszolgáltatási feladatok ellátása során hozott határozataikra.(22)

87.      Márpedig a kérdését az előterjesztő bíróság a 2016/679 rendeletnek abban az időpontban történő alkalmazhatóságára korlátozza, amikor az ügyészség az általa a 2016/680 irányelv értelmében vett „adatkezelőként” gyűjtött információkat a polgári eljárásban történő védekezésre igyekszik felhasználni.

88.      A fentiekben kifejtettek alapján úgy vélem, hogy a 2016/679 rendelet alkalmazható, mivel az ügyészség polgári eljárásban való védekezése nem tartozik a 2016/680 irányelv 1. cikkének (1) bekezdésében említett célok közé.
b)      Az adatkezelésnek a 2016/679 rendeletre tekintettel fennálló jogszerűségéről

89.      A személyes adatok jogszerű kezelésének feltételeit a 2016/679 rendelet 6. cikkének (1) bekezdése sorolja fel: „[a] személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül”, amely feltételeket ezt követően ismertet. Felsorolásuk kimerítő jellegű.(23)

90.      Ezen feltételek közül véleményem szerint nem teljesül sem az érintett hozzájárulásán (a) pont), sem a szerződés teljesítésén (b) pont), sem a jogi kötelezettség teljesítésén (c) pont)(24), sem pedig az érintett vagy egy másik természetes személy létfontosságú érdekeinek védelmén (d) pont) alapuló feltétel.

91.      A kérdést előterjesztő bíróság szerint a 2016/679 rendelet 6. cikke (1) bekezdésének f) pontjában meghatározott feltétel teljesül. Mindazonáltal – amint azt a Bizottság hangsúlyozta – e bekezdés utolsó albekezdése e feltételt ebben az ügyben kizárja, e feltétel tehát „nem alkalmazható a közhatalmi szervek által feladataik ellátása során végzett adatkezelésre”.(25)

92.      A Bíróság kérdésére válaszul a cseh és a holland kormány által támogatott bolgár kormány hangsúlyozta a 2016/679 rendelet 6. cikke (1) bekezdésének f) pontjában foglalt feltétel alkalmazhatóságát. Azzal érvel, hogy figyelemmel kell lenni „az ügyészség által végzett tevékenység jellegére”, amely bár közjogi jogalany, a polgári eljárásban „egyenlő félként” vehet részt.(26)

93.      Mindazonáltal azon „jogos érdekek”, amelyeket az ügyészség közhatalmi szervként védene egy olyan eljárásban, amelyben a felelőssége megállapítását eljárási cselekménye miatt kérik, a 2016/679 rendelet 6. cikke (1) bekezdésének f) pontjában meghatározott esetből – az ugyanezen bekezdés utolsó albekezdésének kifejezett rendelkezése szerint – ki vannak zárva.

94.      A jogszabályok által rájuk bízott feladatok (ebben az esetben a vádhatósági eljárás lefolytatása és az állam képviselete a felelősség megállapítása iránti keresetekkel szemben) végrehajtása során eljáró hatóságok tekintetében a 2016/679 rendelet 6. cikke (1) bekezdésének értelmében a vonatkozó érdek az említett rendelkezés e) pontja szerint szolgált közérdek.

95.      Az f) pontban megállapított feltétel az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítésére vonatkozik, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett olyan érdekei vagy alapvető jogai és szabadságai, amelyek személyes adatok védelmét teszik szükségessé.

96.      E kitétel tehát nem annyira a közhatalmi szerv – e) pontban megfogalmazható – védekezési lehetőségeire vonatkozik, mintsem az érintett érdekeinek, jogainak és szabadságainak az adatkezelővel vagy egy harmadik féllel szembeni esetleges elsőbbségére. Inkább olyan (magánszemély) felek közötti vitára vonatkozik, akiknek érdekei nem közjogi jellegűek.

97.      Mivel az ügyészség fogalmilag állami intézményként jár el, meg kell vizsgálni, hogy a vitatott adatkezelés a 2016/679 rendelet 6. cikke (1) bekezdése e) pontjának hatálya alá tartozik‑e.

98.      Ez a helyzet abban az esetben, ha az adatkezelés „közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges”.

99.      E két cél közül – anélkül, hogy szükség lenne a második cél vizsgálatára –(27) az elsővel fogok foglalkozni, annak meghatározásához, hogy az ügyészség azon polgári eljárásban való részvétele, amelyben cselekménye miatt kártérítési igénnyel lépnek fel vele szemben, közérdekű feladat végrehajtásának minősül‑e.

100. A nemzeti jog szerint(28) az ügyészség feladata az állam képviselete a késedelme által előidézett, szerződésen kívül okozott kárért való felelősség megállapítása iránti eljárásokban. Az ügyészség ily módon az állam általános (pénzügyi) érdekeinek védelmében, és ezáltal közérdekű feladat végrehajtásában is részt vesz.(29)

101. A 2016/680 irányelv 9. cikkének (1) bekezdése az ügyiratokkal kapcsolatban gyűjtött adatok ad extra besorolását az uniós vagy tagállami jog által engedélyezett adatkezeléshez köti. A jelen ügyben az említett felhatalmazás meglétének ellenőrzése – az ügyészségre az államvagyon védelme érdekében háruló közérdekű feladat végrehajtására tekintettel – a kérdést előterjesztő bíróság feladata.

102. A 2016/679 rendelet 6. cikkének (3) bekezdése értelmében az (1) bekezdés e) pontja szerinti adatkezelés jogalapja „tartalmazhat [a 2016/679] rendeletben foglalt szabályok alkalmazását kiigazító rendelkezéseket”.(30) Amennyiben ezen jogalapot az adatkezelőre vonatkozó tagállam joga állapítja meg, annak meghatározása a nemzeti bíróság feladata.(31)

103. Még ha a kérdést előterjesztő bíróság nem is határozza meg a releváns jogalapot, a 2016/679 rendelet 6. cikkének (4) bekezdésével összhangban meg kell határozni a vitatott adatkezelés összeegyeztethetőségét azzal a céllal, amelynek érdekében a vitatott adatokat gyűjtötték. Ezért figyelembe kell venni többek között az eredeti célok és a kialakult cél között fennálló összefüggést, a személyes adatok gyűjtésének körülményeit és a személyes adatok jellegét, az új adatkezelés lehetséges következményeit az érintettre nézve, valamint a megfelelő garanciák meglétét.
V.      Végkövetkeztetés

104. A fent kifejtettek értelmében azt javaslom, hogy a Bíróság az Administrativen sad – Blagoevgrad (blagoevgradi közigazgatási bíróság, Bulgária) számára az alábbi választ adja:
„1)      A személyes adatoknak az illetékes hatóságok által a bűncselekmények megelőzése, nyomozása, felderítése, a vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása céljából végzett kezelése tekintetében a természetes személyek védelméről és az ilyen adatok szabad áramlásáról, valamint a 2008/977/IB tanácsi kerethatározat hatályon kívül helyezéséről szóló, 2016. április 27‑i (EU) 2016/680 európai parlamenti és tanácsi irányelv 4. cikkének (2) bekezdését úgy kell értelmezni, hogy egy bűncselekmény feltételezett sértettjének minősülő személytől a büntetőeljárás keretében gyűjtött adatokat ugyanabból a célból kezelik, mint amely e személynek az ugyanezen büntetőeljárás során történt későbbi, terheltkénti adatainak gyűjtését indokolta.
2)      A 2016/680 irányelv 9. cikkének (1) bekezdését úgy kell értelmezni, hogy a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló, 2016. április 27‑i (EU) 2016/679 európai parlamenti és tanácsi rendelet alkalmazandó a nyomozás során szerzett információknak a polgári eljárásban az ügyészség védekezése érdekében történő, ügyészség általi felhasználására.
3)      A 2016/679 rendelet 4. cikkének 1. pontja értelmében vett »személyes adatok kezelésének« minősül a nyomozás keretében gyűjtött személyes adatoknak az ügyészség védekezése érdekében olyan polgári eljárásban történő közlése, amelyben a tevékenysége során kifejtett cselekménye miatt kártérítési igénnyel lépnek fel az ügyészséggel szemben, és amely közlést a személyes adatok rögzítése, tárolása és az abba való betekintés előz meg.
4)      Ezen adatkezelés jogszerűsége főszabály szerint a 2016/679 rendelet 6. cikke (1) bekezdésének e) pontján alapulhat.”

1      Eredeti nyelv: spanyol.

2      A természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló, 2016. április 27‑i európai parlamenti és tanácsi rendelet (általános adatvédelmi rendelet) (HL 2016. L 119., 1. o.; helyesbítések: HL 2016. L 314., 72. o.; HL 2018. L 127., 2. o.; HL 2021. L 74., 35. o.). A továbbiakban: 2016/679 rendelet.

3      A személyes adatoknak az illetékes hatóságok által a bűncselekmények megelőzése, nyomozása, felderítése, a vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása céljából végzett kezelése tekintetében a természetes személyek védelméről és az ilyen adatok szabad áramlásáról, valamint a 2008/977/IB tanácsi kerethatározat hatályon kívül helyezéséről szóló, 2016. április 27‑i európai parlamenti és tanácsi irányelv (HL 2016. L 119., 89. o.; helyesbítések: HL 2018. L 127., 7. o.; HL 2021. L 74., 39. o.).

4      A DV 1991. július 13‑i 56. száma.

5      Adatvédelmi törvény; a DV 2002. január 4‑i 1. száma. A rendelkezések átvétele a vitatott cselekmények elkövetésekor hatályos változat alapján történik.

6      A petrichi kerületi ügyészség 1548/2013. sz. ügyirata.

7      Az előzetes döntéshozatalra utaló végzés (8.1. pont) szerint a bűncselekmény a Nakazatelen kodeks (büntető törvénykönyv) 20. cikkének (2) bekezdésével összefüggésben értelmezett 325. cikkének (1) bekezdésében szerepel.

8      Az 517/2016. sz., az 1870/2016. sz., az 1872/2016. sz. és a 2217/2016. sz. ügyirat.

9      A 144/2018. sz. polgári eljárás.

10      A 2016/679 rendelet (39) preambulumbekezdése és a 2016/680 irányelv (26) preambulumbekezdése.

11      Kiemelés tőlem.

12      A 2016/680 irányelv 1. cikkének (1) bekezdése sorolja fel e célokat (lásd alább a 15. lábjegyzetet). A 2016/680 irányelv saját hatályán kívül a 2016/679 rendelet által megengedett célok mindegyike potenciálisan jogszerű. A szabadság elve érvényesül tehát, amelynek korlátait az adatkezelés feltételeinek jogszerűsége és az érintett jogai igazolják (a 2016/679 rendelet II. és III. fejezete).

13      A 2016/680 irányelv 45. cikkének (2) bekezdése értelmében a tagállamok „rendelkeznek arról, hogy felügyeleti hatóságaik hatásköre nem terjed ki a bíróságok által igazságügyi feladataik ellátása során végzett adatkezelési műveletek felügyeletére”.

14      Noha a kérdést előterjesztő bíróság által közölt információk ezt kifejezetten nem pontosítják, úgy tűnik, minden arra utal, hogy valójában különböző cselekményekről van szó.

15      A 2016/680 irányelv 1. cikkének (1) bekezdése ilyennek tekinti „a bűncselekmények megelőzése, nyomozása, felderítése, a vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása – így többek között a közbiztonságot fenyegető veszélyekkel szembeni védelem és e veszélyek megelőzése –” célját. E rendelkezés spanyol nyelvi változata eltér a többi hivatalos nyelvtől az „enjuiciamiento” kifejezés tekintetében. A francia nyelvi változat a „poursuites” főnevet használja, amely az angol nyelvi változatban használt „prosecution”, az olasz nyelvi változatban használt „perseguimento”, a német nyelvi változatban használt „Verfolgung” vagy a holland nyelvi változatban használt „vervolging” szóval egyenértékű. Ezen és más változatok (a spanyol nyelvi változat kivételével) olyan tevékenységre vonatkoznak, amely megelőzi magát a kizárólag a bíróságok számára fenntartott „enjuiciamiento”-t.

16      „A személyes adatoknak a büntetőügyekben folytatott rendőrségi és igazságügyi együttműködés területén történő kezelésével együtt jár, hogy az érintettek különböző kategóriáira vonatkozó személyes adatok kezelésére kerül sor. Ezért – amennyire lehetséges és kivitelezhető – egyértelműen különbséget kell tenni az érintettek különböző kategóriáihoz tartozó személyes adatok között […]”. Kiemelés tőlem.

17      2017. szeptember 27‑i Puškár ítélet (C‑73/16, EU:C:2017:725, 50. pont).

18      2014. július 17‑i YS és társai ítélet (C‑141/12 és C‑372/12, EU:C:2014:2081, 63. pont).

19      Az előzetes döntéshozatalra utaló végzés 34.12. pontjának harmadik albekezdése

20      Mint azt az előzetes döntéshozatalra utaló végzés 34.12. pontjának első bekezdése tartalmazza.

21      Az ügyészség ügyirataiban szereplő adatok bizonyítékként való elfogadására irányuló kérelem a VS személyére vonatkozó információ továbbítását vonta maga után, a kérelemnek tehát ezen adatok látszatra fontos – tartalmát tekintve legalábbis jelzésértékű – relevanciája alapján kellett érkeznie.

22      E rendelkezés értelmezésével kapcsolatban lásd: 2022. március 24‑i Autoriteit Persoonsgegevens ítélet (C‑245/20, EU:C:2022:216, 23. és azt követő pontok).

23      A személyes adatok feldolgozása (helyesen: kezelése) vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról szóló, 1995. október 24‑i 95/46/EK európai parlamenti és tanácsi irányelv (HL 1995. L 281., 31. o.; magyar nyelvű különkiadás 13. fejezet, 15. kötet, 355. o.) hasonló szövege kapcsán lásd a 2011. november 24‑i ASNEF ítéletet (C‑468/10 és C‑469/10, EU:C:2011:777).

24      Az ügyészség jogilag nem köteles a vitatott adatok polgári eljárásban történő rendelkezésre bocsátását kérni.

25      A 2016/679 rendelet (47) preambulumbekezdése értelmében „[m]ivel a jogalkotó feladata, hogy jogszabályban határozza meg, hogy a közhatalmi szervek milyen jogalapon kezelhetnek személyes adatokat, az adatkezelő jogszerű érdekét alátámasztó jogalapot nem lehet alkalmazni a közhatalmi szervek által feladataik ellátása során végzett adatkezelésre”.

26      A bolgár kormány Bíróság kérdésére adott válaszának 45. és 49. pontja.

27      Amint arra a holland kormány rámutat, az állam érdekeinek polgári eljárásban történő védelme önmagában és önállóan nem minősül a 2016/679 rendelet 6. cikke (1) bekezdése e) pontjának második részében említett közhatalmi jogosítvány gyakorlásának.

28      Zakon za otgovornostta na darzhavata i obshtinite za vredi (az állam és az önkormányzatok kárfelelősségéről szóló törvény; a DV 1988. augusztus 5‑i 60. száma). A bolgár kormány a Bíróság kérdésére válaszul kifejtette, hogy az említett törvénynek az észszerű határidőn belüli eljáráshoz való jog sérelme esetén az állam szerződésen kívül okozott kárét való felelősségének megállapítására vonatkozó feltételeit és részletes szabályait tartalmazó 2b. cikke az a jogalap, amely alapján az ügyészség ellen a polgári bíróság előtt eljárást indítottak.

29      A bolgár szabályozás értelmében a felelősséggel kapcsolatos kereseteket a kár elkövetésével gyanúsított hatóságok ellen kell indítani. A vonatkozó polgári eljárásban e hatóságok alperesi minőségben járnak el. Ezen eljárásjogi szabályozáson túlmenően kétségtelen, hogy a kártérítési kérelem végső soron az állam egésze ellen irányul, amelyet minden esetben az érvényesíteni kívánt (állítólagos) kárt közvetlenül okozó szervek védenek.

30      Ezen rendelkezések érinthetik „az adatkezelő általi adatkezelés jogszerűségére irányadó általános feltételeket, az adatkezelés tárgyát képező adatok típusát, az érintetteket, azokat a jogalanyokat, amelyekkel a személyes adatok közölhetők, illetve az ilyen adatközlés céljait, az adatkezelés céljára vonatkozó korlátozásokat, az adattárolás időtartamát és az adatkezelési műveleteket, valamint egyéb adatkezelési eljárásokat, így a törvényes és tisztességes adatkezelés biztosításához szükséges intézkedéseket is, ideértve a IX. fejezetben meghatározott egyéb konkrét adatkezelési helyzetekre vonatkozóan”.

31      A bolgár kormány a Bíróság kérdésére válaszul arra hivatkozott, hogy a jogalapot az ügyészség kettős szerepével összefüggésben kell keresni: egyrészt a polgári eljárásokban az állam védelmezője, másrészt a jogvita szempontjából jogi jelentőséggel bíró hivatalos dokumentum kibocsátója. Kettős jogalapról van tehát szó: a 2016/679 rendelet 6. cikke (1) bekezdésének c) pontja által a polgári perrendtartás 186. cikkével összefüggésben értelmezett 179. cikke értelmében vett „hivatalos dokumentum kibocsátójaként” biztosított jogalap. Valamint a 2016/679 rendelet 6. cikke (1) bekezdésének e) pontja által a jogszabályi kötelezettségek gyakorlása keretében az eljárásban részt vevő félként biztosított jogalap (a bolgár kormány válaszának 31. és 32. pontja).