CELEX: 62021CC0180
Language: da
Date: 2022-05-19 00:00:00
Title: Forslag til afgørelse fra generaladvokat M. Campos Sánchez-Bordona fremsat den 19. maj 2022.###

Foreløbig udgave
FORSLAG TIL AFGØRELSE FRA GENERALADVOKAT
M. CAMPOS SÁNCHEZ-BORDONA
fremsat den 19. maj 2022 (1)

Sag C-180/21

VS

mod

Inspektor v Inspektorata kam Vissjia sadeben savet

procesdeltager:

Teritorialno otdelenie – Petrij kam Rajonna prokuratura – Blagoevgrad

(anmodning om præjudiciel afgørelse indgivet af Administrativen sad – Blagoevgrad (forvaltningsdomstolen i Blagoevgrad, Bulgarien))
»Præjudiciel forelæggelse – beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – forordning (EU) 2016/679 – artikel 4 og 6 – direktiv (EU) 2016/680 – artikel 1, 2-4 og 9 – lovligheden af behandling af personoplysninger i forbindelse med en straffesag – behandling af personoplysninger vedrørende et offer for en strafbar handling med henblik på efterfølgende retsforfølgning og anklagemyndighedens forsvar i en civil retssag – begrebet »andre formål end dem, hvortil de blev indsamlet««

1.        Et grundlæggende princip i forordning (EU) 2016/679 (2), som fastsætter de generelle regler om beskyttelse af personoplysninger, og i direktiv (EU) 2016/680 (3) (lex specialis på det samme område i straffesager) er at begrænse indsamling og behandling af sådanne oplysninger til de specifikke formål, der er fastsat i lovgivningen.

2.        I den foreliggende sag skal Domstolen tage stilling til en bulgarsk rets tvivl om fortolkningen af forordning 2016/679 og direktiv 2016/680 med henblik på at afklare, om der foreligger ulovlig behandling af personoplysninger, som anklagemyndigheden i en medlemsstat er i besiddelse af, når:
–      disse oplysninger på den ene side er indhentet fra en person, der oprindeligt blev betragtet som forurettet, men som senere blev sigtet i den samme straffesag
–      anklagemyndigheden på den anden side søger at anvende oplysninger, der er indhentet i flere straffesager, som bevismateriale i et civilt søgsmål, hvor indehaveren kræver erstatning for en uforholdsmæssigt lang sagsbehandlingstid i straffesagen.
A.      Retsforskrifter. EU-retten

1.      Forordning 2016/679

3.        Artikel 2 (»Materielt anvendelsesområde«) bestemmer:
»1.      Denne forordning finder anvendelse på behandling af personoplysninger, der helt eller delvis foretages ved hjælp af automatisk databehandling, og på anden ikke automatisk behandling af personoplysninger, der er eller vil blive indeholdt i et register.
2.      Denne forordning gælder ikke for behandling af personoplysninger:
a)      under udøvelse af aktiviteter, der falder uden for EU-retten
[…]
d)      som foretages af kompetente myndigheder med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod og forebygge trusler mod den offentlige sikkerhed.
[…]«

4.        Artikel 4 (»Definitioner«) bestemmer:
»I denne forordning forstås ved:
[…]
2)      »behandling«: enhver aktivitet eller række af aktiviteter – med eller uden brug af automatisk behandling – som personoplysninger eller en samling af personoplysninger gøres til genstand for, f.eks. indsamling, registrering, organisering, systematisering, opbevaring, tilpasning eller ændring, genfinding, søgning, brug, videregivelse ved transmission, formidling eller enhver anden form for overladelse, sammenstilling eller samkøring, begrænsning, sletning eller tilintetgørelse
[…]
7)      »dataansvarlig«: en fysisk eller juridisk person, en offentlig myndighed, en institution eller et andet organ, der alene eller sammen med andre afgør, til hvilke formål og med hvilke hjælpemidler der må foretages behandling af personoplysninger; hvis formålene og hjælpemidlerne til en sådan behandling er fastlagt i EU-retten eller medlemsstaternes nationale ret, kan den dataansvarlige eller de specifikke kriterier for udpegelse af denne fastsættes i EU-retten eller medlemsstaternes nationale ret
[…]«

5.        Artikel 5 (»Principper for behandling af personoplysninger«) fastsætter:
»1.      Personoplysninger skal:
a)      behandles lovligt, rimeligt og på en gennemsigtig måde i forhold til den registrerede (»lovlighed, rimelighed og gennemsigtighed«)
b)      indsamles til udtrykkeligt angivne og legitime formål og må ikke viderebehandles på en måde, der er uforenelig med disse formål; viderebehandling til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål i overensstemmelse med artikel 89, stk. 1, skal ikke anses for at være uforenelig med de oprindelige formål (»formålsbegrænsning«)
c)      være tilstrækkelige, relevante og begrænset til, hvad der er nødvendigt i forhold til de formål, hvortil de behandles (»dataminimering«)
[…]«

6.        Artikel 6 (»Lovlig behandling«) har følgende ordlyd:
»1.      Behandling er kun lovlig, hvis og i det omfang mindst ét af følgende forhold gør sig gældende:
a)      Den registrerede har givet samtykke til behandling af sine personoplysninger til et eller flere specifikke formål.
[…]
c)      Behandling er nødvendig for at overholde en retlig forpligtelse, som påhviler den dataansvarlige.
[…]
e)      Behandling er nødvendig af hensyn til udførelse af en opgave i samfundets interesse eller som henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt.
f)      Behandling er nødvendig for, at den dataansvarlige eller en tredjemand kan forfølge en legitim interesse, medmindre den registreredes interesser eller grundlæggende rettigheder og frihedsrettigheder, der kræver beskyttelse af personoplysninger, går forud herfor, navnlig hvis den registrerede er et barn.
Første afsnit, litra f), gælder ikke for behandling, som offentlige myndigheder foretager som led i udførelsen af deres opgaver.
[…]
3.      Grundlaget for behandling i henhold til stk. 1, litra c) og e), skal fremgå af:
a)      EU-retten, eller
b)      medlemsstaternes nationale ret, som den dataansvarlige er underlagt.
Formålet med behandlingen skal være fastlagt i dette retsgrundlag eller for så vidt angår den behandling, der er omhandlet i stk. 1, litra e), være nødvendig for udførelsen af en opgave i samfundets interesse eller som henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt. Dette retsgrundlag kan indeholde særlige bestemmelser for at tilpasse anvendelsen af bestemmelserne i denne forordning [...]. EU-retten eller medlemsstaternes nationale ret skal opfylde et formål i samfundets interesse og stå i rimeligt forhold til det legitime mål, der forfølges.
4.      Når behandling til et andet formål end det, som personoplysningerne er indsamlet til, ikke er baseret på den registreredes samtykke eller EU-retten eller medlemsstaternes nationale ret, som udgør en nødvendig og forholdsmæssig foranstaltning i et demokratisk samfund af hensyn til de mål, der er omhandlet i artikel  23, stk. 1, tager den dataansvarlige, for at afgøre, om behandling til et andet formål er forenelig med det formål, som personoplysningerne oprindelig blev indsamlet til, bl.a. hensyn til følgende:
a)      enhver forbindelse mellem det formål, som personoplysningerne er indsamlet til, og formålet med den påtænkte viderebehandling
b)      den sammenhæng, hvori personoplysningerne er blevet indsamlet, navnlig med hensyn til forholdet mellem den registrerede og den dataansvarlige
c)      personoplysningernes art, navnlig om særlige kategorier af personoplysninger behandles, jf. artikel 9, eller om personoplysninger vedrørende straffedomme og lovovertrædelser behandles, jf. artikel  10
d)      den påtænkte viderebehandlings mulige konsekvenser for de registrerede
e)      tilstedeværelse af fornødne garantier, som kan omfatte kryptering eller pseudonymisering.«
2.      Direktiv 2016/680

7.        Artikel 1 med overskriften »Genstand og formål« bestemmer:
»1.      I dette direktiv fastsættes regler om beskyttelse af fysiske personer i forbindelse med de kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod eller forebygge trusler mod den offentlige sikkerhed.
2.      Medlemsstaterne sikrer i overensstemmelse med dette direktiv:
a)      at fysiske personers grundlæggende rettigheder og frihedsrettigheder, navnlig deres ret til beskyttelse af personoplysninger, beskyttes, […]
[…]«

8.        Artikel 2 med overskriften »Anvendelsesområde« er affattet som følger:
»1.      Dette direktiv finder anvendelse på kompetente myndigheders behandling af personoplysninger med henblik på artikel 1, stk. 1.
[…]
3.      Dette direktiv gælder ikke for behandling af personoplysninger:
a)      under udøvelse af aktiviteter, der falder uden for EU-retten
[…]«

9.        Artikel 3, stk. 1, 2 og 8, overtager definitionerne i artikel 4, stk. 1, 2 og 7, i forordning 2016/679.

10.      Artikel 4 (»Principper for behandling af personoplysninger«) foreskriver:
»[…]
2.      Behandling, der foretages af den samme eller en anden dataansvarlig til et andet formål omfattet af artikel 1, stk. 1, end det, hvortil personoplysningerne er indsamlet, er tilladt i det omfang:
a)      den dataansvarlige er bemyndiget til at behandle sådanne personoplysninger til et sådant formål i overensstemmelse med EU-retten eller medlemsstaternes nationale ret, og
b)      behandlingen er nødvendig for og forholdsmæssig i forhold til dette andet formål i overensstemmelse med EU-retten eller medlemsstaternes nationale ret.
[…]«

11.      Artikel 6 med overskriften »Sondring mellem forskellige kategorier af registrerede« bestemmer:
»Medlemsstaterne fastsætter bestemmelser om, at den dataansvarlige, hvor det er relevant og så vidt muligt, klart sondrer mellem personoplysninger om forskellige kategorier af registrerede såsom:
a)      personer, om hvem der er væsentlig grund til at tro, at de har begået eller vil begå en strafbar handling
b)      personer, der er dømt for en strafbar handling
c)      ofre for en strafbar handling eller personer, om hvem visse faktiske omstændigheder giver anledning til at tro, at de kunne blive offer for en strafbar handling, og
d)      andre parter i forbindelse med en strafbar handling, såsom personer, der kan blive indkaldt som vidner i efterforskninger i forbindelse med strafbare handlinger eller i efterfølgende straffesager, personer, der kan tilvejebringe oplysninger om strafbare handlinger, eller kontakt- eller ledsagepersoner for en af de i litra a) og b) omhandlede personer.«

12.      Artikel 8 med overskriften »Lovlig behandling« fastsætter:
»1.      Medlemsstaterne fastsætter bestemmelser om, at behandling kun er lovlig, hvis og i det omfang denne behandling er nødvendig, for at en kompetent myndighed kan udføre en opgave med henblik på artikel 1, stk. 1, og at den sker på grundlag af EU-retten eller medlemsstaternes nationale ret.
2.      Medlemsstaternes nationale ret, der regulerer behandling inden for dette direktivs anvendelsesområde, skal som minimum angive målene med behandling, de personoplysninger, der skal behandles, og formålene med behandlingen.

13.      Artikel 9 med overskriften »Særlige betingelser for behandling« bestemmer:
»1.      Personoplysninger indsamlet af kompetente myndigheder med henblik på artikel 1, stk. 1, må ikke behandles til andre formål end med henblik på artikel 1, stk. 1, medmindre en sådan behandling er hjemlet i EU-retten eller medlemsstaternes nationale ret. Hvis personoplysninger behandles til disse andre formål, finder forordning  […] 2016/679 anvendelse, medmindre behandlingen udføres i forbindelse med en aktivitet, der falder uden for EU-rettens anvendelsesområde.
2.      Hvis kompetente myndigheder i henhold til medlemsstaternes nationale ret har fået overdraget andre opgaver end dem, der udføres med henblik på artikel 1, stk. 1, finder forordning  […] 2016/679 anvendelse på behandling til disse formål, herunder til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål, medmindre behandlingen udføres i forbindelse med en aktivitet, der falder uden for EU-rettens anvendelsesområde.
[…]«
B.      Nationale bestemmelser

1.      Republikken Bulgariens forfatning (4)

14.      Artikel 127 bestemmer, at anklagemyndigheden har enekompetence til at lede efterforskningen, anklage lovovertrædere og indlede strafforfølgning af strafbare handlinger, som er underlagt offentlig påtale.
2.      Zakon za zasjtjita na litjnite danni (5)

15.      Artikel 1 fastsætter:
»(1)      Denne lov regulerer offentlige forhold vedrørende beskyttelse af fysiske personers rettigheder i forbindelse med behandling af deres personoplysninger, for så vidt som de ikke er reguleret af [forordning 2016/679].
(2)      Denne lov fastsætter ligeledes regler om beskyttelse af fysiske personer i forbindelse med de kompetente myndigheders behandling af personoplysninger med henblik på forebyggelse og afsløring af strafbare handlinger, efterforskning og retsforfølgning på dette område eller fuldbyrdelse af strafferetlige sanktioner, herunder beskyttelse mod og forebyggelse af trusler mod den offentlige sikkerhed og orden.
[…]«

16.      Artikel 17 bestemmer:
»(1)      Tilsynsmyndigheden ved det øverste råd for retsvæsenet skal sikre kontrol og overholdelse af [forordning 2016/679], af nærværende lov og af retsakter om beskyttelse af personoplysninger i forbindelse med behandling af personoplysninger af:
1.      retten i forbindelse med udøvelsen af sine funktioner som judiciel myndighed og
2.      anklagemyndigheden og efterforskningsmyndighederne under udøvelsen af deres funktioner som judicielle myndigheder med henblik på forebyggelse, afsløring, efterforskning eller retsforfølgning af strafbare handlinger eller fuldbyrdelse af strafferetlige sanktioner.
[…]«

17.      I artikel 42 er fastsat:
»(1)      Bestemmelserne i dette kapitel finder anvendelse i tilfælde af de kompetente myndigheders behandling af personoplysninger med henblik på forebyggelse og afsløring af strafbare handlinger, efterforskning og retsforfølgning på dette område eller fuldbyrdelse af strafferetlige sanktioner, herunder beskyttelse mod og forebyggelse af trusler mod den offentlige sikkerhed og orden.
(2)      Personoplysninger, der er indsamlet med henblik på de i stk. 1 nævnte formål, må ikke behandles til andre formål, medmindre andet er fastsat i EU-retten eller Republikken Bulgariens lovgivning.
(3)      Såfremt de kompetente myndigheder i henhold til stk. 1 behandler personoplysninger til andre formål end dem, der er nævnt i stk. 1, samt i de tilfælde, der er omhandlet i stk. 2, finder [forordning 2016/679] og de relevante bestemmelser i denne lov, der indfører gennemførelsesforanstaltninger hertil, anvendelse.
(4)      Ved »kompetent myndighed« som omhandlet i stk. 1 forstås enhver offentlig myndighed, der har kompetence til at forebygge og afsløre strafbare handlinger, foretage efterforskning og retsforfølgning på dette område eller fuldbyrde strafferetlige sanktioner, herunder beskyttelse mod og forebyggelse af trusler mod den offentlige sikkerhed og orden.
(5)      Medmindre andet er fastsat i lovgivningen, er en ansvarlig for behandling,  som omhandlet dette kapitel,  af personoplysninger med henblik på de i stk. 1 nævnte formål en kompetent myndighed i henhold til stk. 4 eller den administrative enhed, som denne myndighed er en del af, og som alene eller i fællesskab med andre myndigheder fastlægger formålene med og midlerne til behandling af personoplysninger.«

18.      I artikel 45 fastsættes følgende:
»[…]
(2)      Behandling af personoplysninger af den dataansvarlige, der oprindeligt indsamlede dem, eller af en anden dataansvarlig til et af de formål, der er omhandlet i artikel 42, stk. 1, som er forskelligt fra det formål, hvortil personoplysningerne blev indsamlet, er tilladt på betingelse af, at:
1.      den dataansvarlige er bemyndiget til at behandle personoplysninger til dette formål i overensstemmelse med EU-retten eller Republikken Bulgariens lovgivning, og
2.      behandlingen er nødvendig og forholdsmæssig i forhold til at nå dette andet formål i overensstemmelse med EU-retten eller Republikken Bulgariens lovgivning.
[…]«

19.      Artikel 47 gengiver artikel 6 i direktiv 2016/680.

20.      Artikel 49 har følgende ordlyd:
»Behandlingen af personoplysninger er lovlig, når den er nødvendig for, at en kompetent myndighed kan udøve sine beføjelser til de formål, der er omhandlet i artikel 42, stk. 1, og er fastsat i EU-retten eller i en lov, der fastlægger formålene med behandlingen og de kategorier af personoplysninger, der gøres til genstand for behandling.«
II.    Sagens faktiske omstændigheder, retsforhandlinger og præjudicielle spørgsmål

21.      Rajonna prokuratura – Petrij (kredsanklagemyndigheden i Petrij, Bulgarien) indledte en sag (efterforskning nr. 252/2013, som blev udført af kredspolitiforvaltningen i Petrij) (6) med henblik på at undersøge forhold, som udgjorde en strafbar handling (7), der fandt sted den 18. april 2013.

22.      Under denne efterforskning blev der oprindeligt indsamlet personoplysninger fra VS i hans egenskab af forurettet.

23.      Ved afgørelser truffet af anklagemyndigheden den 4. og den 5. april 2018 blev fire personer (herunder VS) sigtet for disse handlinger.

24.      Den 10. november 2020 indstillede Rajonen sad Petrij (kredsdomstolen i Petrij, Bulgarien) straffesagen med den begrundelse, at den var forældet.

25.      I 2016 og 2017 indledte kredsanklagemyndigheden i Petrij efter klager, der var rettet mod VS, en række sager (8), som i mangel af  indikationer for en strafbar handling ikke gav anledning til nogen strafferetlig efterforskning.

26.      I 2018 anlagde VS et civilt søgsmål (9) mod Republikken Bulgariens anklagemyndighed ved Okrazjen sad – Blagoevgrad (den regionale domstol i Blagoevgrad, Bulgarien) med krav om erstatning for skade forårsaget af en uforholdsmæssig lang sagsbehandlingstid  i straffesag nr. 252/2013.

27.      Med henblik på forsvar mod dette civile søgsmål anmodede anklagemyndigheden dommeren om at inddrage aktmapperne fra sag nr. 517/2016 og nr. 1872/2016 fra kredsanklagemyndigheden i Petrij.

28.      Ved kendelse af 15. oktober 2018 pålagde Okrazjen sad – Blagoevgrad (den regionale domstol i Blagoevgrad, Bulgarien) kredsanklagemyndigheden i Petrij at udlevere kopier af dokumenterne i aktmapperne nr. 517/16 og nr. 1872/16.

29.      Den 12. marts 2020 klagede VS til Inspektorata kam Visshia sadeben savet (tilsynsmyndigheden ved det øverste råd for retsvæsenet, herefter »tilsynsmyndigheden«) over det, som han anså for at være ulovlig dobbeltbehandling af hans personoplysninger fra anklagemyndighedens side, som angiveligt havde misbrugt:
–      oplysninger om VS, som var indsamlet i hans egenskab af forurettet, med henblik på efterfølgende behandling som tiltalt i straffesag nr. 252/2013.
–      oplysningerne VS, som var indsamlet i aktmappe nr. 517/2016 og nr. 1872/2016, med henblik på anklagemyndighedens anvendelse af disse i civilsag nr. 144/2018.

30.      Den 22. juni 2020 afviste tilsynsmyndigheden begge VS’s anbringender.

31.      VS har indbragt  tilsynsmyndighedens afgørelse for  Administrativen sad Blagoevgrad (forvaltningsdomstolen i Blagoevgrad, Bulgarien), som har forelagt Domstolen følgende præjudicielle spørgsmål:
»1)      Skal artikel 1, stk. 1, i [direktiv 2016/680] fortolkes således, at begreberne »forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger« i forbindelse med angivelsen af formålet opregnes som aspekter af et generelt formål?
2)      Finder bestemmelserne i [forordning 2016/679] anvendelse på Republikken Bulgariens anklagemyndighed, henset til det forhold, at oplysninger om en person, som anklagemyndigheden i sin egenskab af »dataansvarlig« som omhandlet i artikel 3, nr. 8), i [direktiv 2016/680] har indsamlet til en aktmappe om denne person med henblik på at undersøge, om der er grundlag for at antage, at der foreligger en strafbar handling, er blevet anvendt som en del af anklagemyndighedens retlige forsvar som part i en civil sag – idet det anføres, at denne aktmappe er blevet oprettet, eller idet dens indhold fremlægges?
2)      1)      Såfremt dette spørgsmål besvares bekræftende:
Skal udtrykket »legitim interesse« i artikel 6, stk. 1, litra f), i [forordning 2016/679] fortolkes således, at det omfatter en fuldstændig eller delvis videregivelse af oplysninger om en person, som er blevet indsamlet af anklagemyndigheden til en aktmappe om denne person med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger, når denne videregivelse sker som led i den dataansvarliges forsvar som part i en civil sag, og er den registreredes samtykke udelukket?«
III. Retsforhandlinger for Domstolen

32.      Anmodningen om præjudiciel afgørelse blev indleveret til Domstolen den 23. marts 2021.

33.      VS, tilsynsmyndigheden, den bulgarske, den tjekkiske og den nederlandske regering samt Europa-Kommissionen har givet møde og indgivet skriftlige bemærkninger.

34.      Domstolen har ikke fundet det nødvendigt at afholde et offentlig retsmøde, og ingen af parterne har anmodet herom.
IV.    Bedømmelse

A.      Indledende bemærkninger om gældende EU-ret

35.      forordning 2016/679 og direktiv 2016/680 indeholder et sammenhængende system, hvori
–      i  forordning 2016/679 fastsættes de generelle regler for beskyttelse af fysiske personer i forbindelse med behandling af deres personoplysninger
–      i direktiv 2016/680 fastsættes de specifikke regler for behandling af sådanne oplysninger inden for det strafferetlige samarbejde og politisamarbejdet.

36.      Den beskyttelse, der ydes i henhold til det system, som udgøres af disse to retsakter, bygger på principperne om lovlighed, rimelighed og gennemsigtighed og, hvilket  er relevant i det foreliggende tilfælde, på princippet om, at indsamlingen af oplysninger og behandlingen heraf er strengt begrænset til de formål, der er fastsat i loven (10).

37.      Artikel 5, stk. 1, litra b), i forordning 2016/679 bestemmer navnlig, at data skal »indsamles til udtrykkeligt angivne og legitime formål og […]  ikke [må] viderebehandles på en måde, der er uforenelig med disse formål« (11). Dette er ligeledes ordlyden, som lex specialis, i artikel 4, stk. 1, litra b), i direktiv 2016/680.

38.      Personoplysninger må således ikke indsamles og behandles generelt, men udelukkende til bestemte formål (12) og på de betingelser for lovlighed, der er fastsat af EU-lovgiveren.

39.      Princippet om streng sammenhæng mellem indsamling og behandling af data på den ene side og de formål, som begge handlinger skal tjene, på den anden side, er ikke absolut i sin natur, idet både forordning 2016/679 og direktiv 2016/680 giver en vis fleksibilitet, for hvilken jeg vil redegøre senere.

40.      I den foreliggende sag skal forvaltningsdomstolen tage stilling til, om tilsynsmyndigheden (tilsynsmyndigheden) (13) handlede i overensstemmelse med loven ved at afvise den klage, hvori VS beskyldte den bulgarske anklagemyndighed for ulovlig behandling af hans personoplysninger.

41.      Disse oplysninger var, som jeg allerede har redegjort for, indsamlet i to forskellige sammenhænge:
–      I forbindelse med en strafferetlig efterforskning, der blev indledt af den offentlige anklagemyndighed i 2013 vedrørende forhold, hvor VS optrådte som formodet forurettet. Disse oplysninger blev efterfølgende anvendt mod VS som tiltalt i den samme straffesag.
–      I andre straffesager i 2016 og 2017 indledt af den samme anklagemyndighed på baggrund af forskellige klager, der bl.a. var rettet mod VS for handlinger, der ikke havde relation til sagen fra 2013 (14). I dette tilfælde anmodede anklagemyndigheden (og den kompetente domstol imødekom anmodningen) om at anvende oplysningerne i disse sager i sit forsvar i den civile sag anlagt af VS, som havde krævet erstatning af  anklagemyndigheden.

42.      Den forelæggende rets spørgsmål omfatter således:
–      lovligheden af anvendelsen af VS’ personoplysninger i to på hinanden følgende faser af den samme straffesag (det første præjudicielle spørgsmål)
–      lovligheden af behandlingen af VS’ personoplysninger, der er indsamlet i forbindelse med en straffesag indledt af anklagemyndigheden, og som denne søger at anvende i en civil retssag, hvori den er sagsøgt (det andet præjudicielle spørgsmål).

43.      Jeg er enig med den forelæggende ret og med alle de parter, der har deltaget i denne præjudicielle procedure, i, at den behandling af personoplysninger, der er genstand for det første præjudicielle spørgsmål, er omfattet af direktiv 2016/680.

44.      I henhold til artikel 1, stk. 1, og artikel 2, stk. 1, i direktiv 2016/680 finder direktivet anvendelse på kompetente myndigheders behandling af personoplysninger med henblik på forebyggelse, efterforskning, afsløring eller retsforfølgning af straffelovsovertrædelser. I det foreliggende tilfælde blev VS’ oplysninger netop indsamlet og behandlet i forbindelse med en strafferetlig efterforskning.

45.      For så vidt angår videregivelse af personoplysninger med henblik på den civile sag mod anklagemyndigheden (det andet præjudicielle spørgsmål) skal det imidlertid afgøres på grundlag af  forordning 2016/679,  om denne videregivelse udgør en behandling af oplysninger til andre formål end dem, der er omhandlet i artikel 1, stk. 1, i direktiv 2016/680, men som henhører under EU-rettens anvendelsesområde.
B.      Det første præjudicielle spørgsmål: intern genregistrering af personoplysninger, der er indsamlet til formål, der er omfattet af anvendelsesområdet for direktiv 2016/680

46.      I henhold til artikel 4, stk. 2, i direktiv 2016/680 er behandling, der foretages af den samme eller en anden dataansvarlig til et andet formål omfattet af artikel 1, stk. 1,  (15) end det, hvortil personoplysningerne er indsamlet, tilladt, i det omfang:
a)      den dataansvarlige er bemyndiget til at behandle [oplysningerne til dette nye formål], og
b)      behandlingen er nødvendig for og forholdsmæssig i forhold til dette andet formål  i overensstemmelse med EU-retten eller medlemsstaternes nationale ret.

47.      Direktiv 2016/680 tillader derfor en intern genregistrering af personoplysninger, der er indsamlet under dets anvendelsesområde. De oplysninger, der er indsamlet til et af de formål, der er omfattet af artikel 1, stk. 1, kan på visse betingelser ligeledes anvendes til et eller flere andre formål, der er omfattet af denne opregning.

48.      Det spørgsmål, der rejses i det første præjudicielle spørgsmål, er, om VS’ personoplysninger, der blev indsamlet, da han fremstod som formodet offer for den strafbare handling, der er genstand for efterforskningen, efterfølgende kan anvendes mod ham som efterforsket eller tiltalt i forbindelse med den samme straffesag.

49.      Det er med andre ord nødvendigt at afgøre, om VS’ personoplysninger blev behandlet til det samme formål, som det, der lå til grund for den oprindelige indsamling heraf, eller snarere til to forskellige formål, men som falder ind under anvendelsesområdet for direktiv 2016/680. I sidstnævnte tilfælde skal behandlingen underlægges de særlige betingelser i det nævnte direktivs artikel 4, stk. 2.

50.      Den forelæggende ret har formuleret sit første spørgsmål på en lidt tvetydig måde i forhold til tvistens genstand. Retten ønsker, bogstaveligt talt, at få oplyst, om artikel 1, stk. 1, i direktiv 2016/680 skal fortolkes »således, at begreberne »forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger« i forbindelse med angivelsen af formålet opregnes som aspekter af et generelt formål«.

51.      På baggrund af den forelæggende rets redegørelse kan det være hensigtsmæssigt at omformulere det første spørgsmål, således som parterne og intervenienterne i denne præjudicielle procedure har foreslået. I stedet for at fokusere på det abstrakte forhold mellem det generelle formål og det specifikke formål er det, der reelt er afgørende (og som VS’ klage faktisk vedrører), om det formål, der førte til indsamling af en persons oplysninger i dennes egenskab af formodet offer for en lovovertrædelse, fortsat er gældende i forbindelse med straffesager, der er omfattet af direktiv 2016/680, når disse oplysninger efterfølgende fører til en sigtelse af pågældende i samme sag.

52.      Ved fortolkning af ordlyden i af artikel 1, stk. 1, i direktiv 2016/680, skelnes der i denne bestemmelse mellem tre typer af formål, der vedrører forskellige tidspunkter og handlinger:
–      Den første vedrører at »forebygge«, herunder at imødegå trusler mod den offentlige sikkerhed.
–      Den anden omhandler at »efterforske« (i bred forstand) strafbare forhold af relevans, som omfatter afsløring, den faktiske efterforskning samt retsforfølgning af disse strafbare handlinger.
–      Den sidste vedrører at »fuldbyrde strafferetlige sanktioner«.

53.      Ud fra et systematisk eller kontekstuelt synspunkt taler artikel 4, stk. 2, i direktiv 2016/680 for at anse hvert af disse formål for  særskilte. I modsat fald ville denne bestemmelse, som den nederlandske regering har påpeget, miste sit indhold, idet den netop henviser til »et andet formål omfattet af artikel 1, stk. 1, end det, hvortil personoplysningerne er indsamlet [...]«.

54.      På baggrund af dette vil jeg redegøre for, hvorfor de omtvistede oplysninger i den foreliggende sag blev indsamlet og behandlet med henblik på et af de formål (»efterforskning«), der er omhandlet i artikel 1, stk. 1, i direktiv 2016/680, hvilket er afgørende for anvendelsen af direktivet og for den dertil knyttede lovlighed af behandlingen.

55.      Subsidiært, hvis indsamlingen og behandlingen blev foretaget til to af de formål, der er anført i artikel 4, stk. 2, i direktiv 2016/680, ville deres lovlighed heller ikke kunne anfægtes.
1.      Det samme formål

56.      I forbindelse med en strafferetlig efterforskning kan de involverede personers processuelle status ikke altid afgøres i den indledende fase. Disse efterforskninger har ofte til formål at identificere og således »kategorisere« de personer, der umiddelbart fremstår som gerningsmænd, ofre eller vidner til sagens faktiske omstændigheder.

57.      I denne forberedende fase er det indlysende, at denne »kategorisering« må ske med en vis fleksibilitet. Undersøgelsen bør på baggrund af resultaterne føre til identifikation af den nøjagtige kategori, hvori de involverede personer skal henhøre, når der træffes afgørelse vedrørende de faktiske forhold.

58.      Det gælder særligt i sager som den foreliggende. Ifølge den forelæggende ret var der tale om flere personer, som angreb hinanden. En af disse involverede personer, der i første omgang fremstod som forurettede, blev i sidste ende anklaget for at være gerningsmand til disse aggressive handlinger.

59.      I denne sammenhæng er hele den udøvede aktivitet omfattet af begrebet »efterforske« som omhandlet i artikel 1, stk. 1, i direktiv 2016/680. Der var således et enkelt formål med denne aktivitet, og det var i overensstemmelse med et af de »formål«, som behandlingen af personoplysninger kan tjene.

60.      Den forelæggende ret er imidlertid i tvivl om, hvorvidt denne fortolkning af artikel 1, stk. 1, i direktiv 2016/680 er forenelig med 31. betragtning til samme direktiv (16).

61.      Jeg er enig med flertallet af parterne i, at denne betragtning i lighed med artikel 6 i direktiv 2016/680, som sætter den i kraft, ikke er relevant med henblik på at afgøre, om der er sket den ændring af formålet, der er omhandlet i direktivets artikel 4, stk. 2.

62.      I henhold til artikel 6 i direktiv 2016/680 er en klar sondring mellem personoplysninger om forskellige kategorier af registrerede personer kun hensigtsmæssig, »hvor det er relevant og så vidt muligt«. Af de ovenfor anførte årsager er det ikke lige til i en indledende efterforskning som den, der fandt sted i den foreliggende sag, klart og fra starten at identificere de »forskellige kategorier af registrerede«. Desuden kan den samme involverede person i disse forhold have status af både forurettet og gerningsmand i forhold til de aggressive handlinger.

63.      Selv om den ansvarlige for behandlingen de oplysninger, der er indsamlet i forbindelse med straffesager, indledningsvis og i løbet af efterforskningen, klart sondrer mellem forurettede, mistænkte og vidner, ville dette ikke ændre det formål (at efterforske), der ligger til grund for indsamlingen og behandlingen af disse oplysninger.

64.      Med andre ord medfører det ikke nødvendigvis en ændring af formålet i henhold til artikel 4, stk. 2, i direktiv 2016/680, at personer, der optræder i en strafferetlig efterforskning, løbende tildeles den ene eller den anden status (forurettede, vidne, meddelagtig).
2.      To samtidige formål

65.      Subsidiært ville behandlingen af de omtvistede personoplysninger, såfremt den i artikel 4, stk. 2, i direktiv 2016/680 nævnte omstændighed var opfyldt, have været i overensstemmelse med de betingelser for lovlighed, der er fastsat i dette direktiv. Dette har både den bulgarske og tjekkiske regering anført, hvilket jeg er enig med dem i.

66.      Selv om det er op til den forelæggende ret at efterprøve dette, synes der ikke at være nogen tvivl om, at den bulgarske anklagemyndighed i henhold til national ret er den myndighed, der er ansvarlig for at behandle VS’ personoplysninger »til et andet formål omfattet af artikel 1, stk. 1, end det, hvortil personoplysningerne er indsamlet«. Den første betingelse i artikel 4, stk. 2, litra a), i direktiv 2016/680 er således opfyldt.

67.      For så vidt angår den anden betingelse i litra b) i samme artikel 4, stk. 2 (at »behandlingen er nødvendig for og forholdsmæssig i forhold til dette andet formål«), er det min opfattelse, at
–      nødvendigheden heraf er begrundet i den usikkerhed og uklarhed, der kendetegner en indledende strafferetlig efterforskning
–      det er den forelæggende ret, der skal foretage en afvejning af, om behandlingen var begrænset til det, der er strengt nødvendigt for det opståede formål.

68.      Anvendt på denne sag er betingelserne i artikel 4, stk. 2, i direktiv 2016/680 af ringe betydning, og det eneste formål med indsamlingen af de pågældende personoplysninger er det samme: Der foreligger en logisk kontinuitet mellem den oprindelige behandling og den behandling, der efterfølgende førte til tiltalen mod den pågældende person.

69.      Der er således ikke behov for at bekræfte en ny dataansvarligs bemyndigelse (som altid ville være den samme), og det er heller ikke vanskeligt at fastslå nødvendigheden af den anden behandling (udført inden for rammerne af samme procedure), når proportionalitetskriteriet er det samme for al behandling, som det følger af principperne i artikel 4, stk. 1, i direktiv 2016/680.
C.      Det andet præjudicielle spørgsmål: ekstern genregistrering af indsamlede personoplysninger

70.      Artikel 9, stk. 1, i direktiv 2016/680 giver mulighed for, at personoplysninger, der er indsamlet i henhold til direktivet, kan genregistreres eksternt til andre formål.

71.      Artikel 9, stk. 1, i direktiv 2016/680 fastsætter som udgangspunkt, at sådanne oplysninger »[ikke må] behandles til andre formål end med henblik på artikel 1, stk. 1«, medmindre EU-retten eller medlemsstaternes lovgivning tillader behandling til opfyldelse af andre formål end dem, der er fastsat i artikel 1, stk. 1. I et sådant tilfælde finder forordning 2016/679 anvendelse (forudsat at aktiviteten er omfattet af EU-rettens anvendelsesområde).

72.      Med sit andet præjudicielle spørgsmål ønsker den forelæggende ret at få oplyst følgende:
–      Om forordning 2016/679 finder anvendelse i et tilfælde, hvor oplysninger, der er indsamlet i en straffesag indledt af anklagemyndigheden, efterfølgende anvendes som et middel til forsvar af anklagemyndigheden selv i en civil retssag anlagt mod denne af dataindehaveren.
–      Såfremt dette spørgsmål besvares bekræftende, spørges, om udtrykket »legitim interesse« i artikel 6, stk. 1, litra f), i forordning 2016/679 omfatter videregivelse af de omtvistede oplysninger med henblik på anklagemyndighedens forsvar i den nævnte civile sag.
1.      Formaliteten vedrørende spørgsmålet

73.      Tilsynsmyndigheden har gjort gældende, at idet VS’ klage dengang blev afvist som for sent indgivet, bør det andet præjudicielle spørgsmål afvises.

74.      Jeg er ikke enig i denne indsigelse.

75.      Domstolen kan kun afvise en anmodning fra en national ret, såfremt det klart fremgår, at den ønskede fortolkning af EU-retten savner enhver forbindelse med realiteten i hovedsagen eller dennes genstand, når problemet er af hypotetisk karakter, eller når Domstolen ikke råder over de faktiske og retlige oplysninger, som er nødvendige for, at den kan foretage en sagligt korrekt besvarelse af de stillede spørgsmål (17).

76.      Tilsynsmyndighedens indsigelse vedrører et forhold, der henhører under den forelæggende rets enekompetence. Det tilkommer alene den forelæggende ret under sit ansvar at fastlægge de faktiske omstændigheder og retlige regler, som det spørgsmål, der forelægges Domstolen, er omfattet af (18).

77.      Såvel bedømmelsen af den af tilsynsmyndigheden konstaterede manglende rettidighed som  vurderingen af dens relevans for tvistens formål er forhold, hvis vurdering det alene tilkommer den forelæggende ret at foretage. I den foreliggende sag har denne ret fastholdt, at spørgsmålet er relevant for afgørelsen af hovedsagen, på trods af den af tilsynsmyndigheden påberåbte manglende rettidighed (19).

78.      Denne vurdering kan ikke efterprøves af Domstolen, som i princippet skal følge den fortolkning og anvendelse af national ret, såvel processuel som materiel, som de nationale domstole har foretaget ved fastlæggelsen af de rammer, inden for hvilke anmodningen om præjudiciel afgørelse er blevet indgivet.
2.      Realiteten

79.      Henset til de grunde, som den forelæggende ret har anført til støtte for det andet præjudicielle spørgsmål, anmodes Domstolen reelt om at afgøre, om videregivelsen af de omtvistede oplysninger udgør en »behandling af oplysninger« som omhandlet i artikel 4, stk. 1 og 2, i forordning 2016/679 (20), og om denne behandling var lovlig i henhold til  forordningens artikel 6.
a)      Forekomst af behandling af personoplysninger

80.      I artikel 4, stk. 1 og 2, i forordning 2016/679 og artikel 3, stk. 1 og 2, i direktiv 2016/680 defineres begreberne »personoplysninger« og »behandling« på samme måde.

81.      På grundlag af disse definitioner udleder jeg, at anklagemyndigheden havde til hensigt at anvende »information om en identificeret [...] fysisk person«, som omfattede VS’ »personoplysninger«.

82.      Ved videregivelsen af disse personoplysninger i forbindelse med den civile sag har flere »aktiviteter« fundet sted, der udgør »behandling af personoplysninger« uden den registreredes samtykke. Det har som minimum været nødvendigt for anklagemyndigheden selv at konsultere  oplysningerne for at vurdere deres potentielle nytteværdi i forbindelse med sit forsvar i den civile sag. Det må også antages, at oplysningerne med henblik herpå er blevet organiseret, struktureret, tilpasset eller ændret og naturligvis meddelt og formidlet, selv om dette måtte være i mindre grad, da det drejede sig om at fremlægge dem i den civile retssag (21).

83.      Kort sagt foretog anklagemyndigheden en behandling af VS’ personoplysninger ved at registrere dem, optage dem i sine arkiver, opbevare dem, konsultere dem og anmode den civile dommer om at tillade oplysningerne i straffesagen som bevismateriale.

84.      Tilsynsmyndigheden og Kommissionen har gjort gældende, at anklagemyndigheden kun kan være »dataansvarlig« som kompetent myndighed til de formål af strafferetlig karakter, der henhører under anvendelsesområdet for direktiv 2016/680.

85.      Dette indebærer efter min opfattelse ikke, at det andet præjudicielle spørgsmål er uden genstand, således som tilsynsmyndigheden har gjort gældende. Det forudsætter snarere, at lovligheden af behandlingen i henhold til artikel 9, stk. 1, i direktiv 2016/680 skal efterprøves i lyset af forordning 2016/679.

86.      Den domstol, der er kompetent til at afgøre den civile sag, er ansvarlig for behandlingen af de oplysninger der indgår heri, efter at de er indarbejdet i sagsakterne. Denne domstols beslutninger er i medfør af artikel 55, stk. 3, i forordning 2016/679 ikke omfattet af tilsynsmyndighedernes kontrol, når de vedtages i dens egenskab af domstol (22).

87.      Den forelæggende ret har imidlertid begrænset sit spørgsmål til, hvorvidt forordning 2016/679 finder anvendelse på det tidspunkt, hvor anklagemyndigheden søger at anvende de oplysninger, som den har indsamlet som »dataansvarlig« som omhandlet i direktiv 2016/680, til sit forsvar i den civile sag.

88.      I lyset af det ovenstående er det min opfattelse, at forordning 2016/679 finder anvendelse, idet de formål, der er nævnt i artikel 1, stk. 1, i direktiv 2016/680, ikke omfatter forsvaret af anklagemyndigheden i en civil retssag.
b)      Behandlingens lovlighed i henhold til forordning 2016/679

89.      Betingelserne for lovlig behandling af personoplysninger opregnes i artikel 6, stk. 1, i forordning 2016/679: »Behandling er kun lovlig, hvis og i det omfang mindst ét af følgende forhold gør sig gældende«, hvorefter disse forhold beskrives. Opregningen heraf er udtømmende (23).

90.      Disse betingelser er efter min opfattelse ikke opfyldt, hverken betingelsen om den registreredes samtykke [litra a)], opfyldelsen af en kontrakt [litra b)], opfyldelsen af en retlig forpligtelse [litra c)] (24) eller beskyttelsen af registreredes eller en tredjemands vitale interesser [litra d)].

91.      Ifølge den forelæggende ret er betingelsen i artikel 6, stk. 1, litra f), i forordning 2016/679 opfyldt. Det sidste afsnit i dette stykke udelukker imidlertid, som Kommissionen har anført, at litra f) finder anvendelse  i den foreliggende sag, idet denne betingelse »[ikke gælder] for behandling, som offentlige myndigheder foretager som led i udførelsen af deres opgaver« (25).

92.      Som svar på et spørgsmål fra Domstolen har den bulgarske regering, støttet på dette punkt af den tjekkiske og den nederlandske regering, insisteret på, at den betingelse, der er fastsat i artikel 6, stk. 1, litra f), i forordning 2016/679, finder anvendelse. Nævnte regering har henvist til behovet for at tage hensyn til »karakteren af den aktivitet, der udøves af anklagemyndigheden«, der, selv om den er en offentlig enhed, kan deltage i civile sager som »ligeværdig part« (26).

93.      De »legitime interesser«, som anklagemyndigheden som offentlig myndighed ville forsvare i en sag, hvor den holdes ansvarlig for sin proceduremæssige adfærd, er imidlertid udelukket fra det tilfælde, der er omhandlet i artikel 6, stk. 1, litra f), i forordning 2016/679, hvilket udtrykkeligt fremgår af samme stykkes sidste afsnit.

94.      For myndigheder, der handler i forbindelse med udførelsen af de opgaver, som de har fået overdraget ved lov (i dette tilfælde at udføre strafferetlig forfølgning og repræsentere staten mod erstatningskrav), er den relevante interesse i henhold til artikel 6, stk. 1, i forordning 2016/679 samfundets interesse, som de tjener i henhold til samme bestemmelses litra e).

95.      Betingelsen i litra f) fastsætter, at den dataansvarlige eller en tredjemand kan forfølge en legitim interesse, medmindre den registreredes interesser eller grundlæggende rettigheder og frihedsrettigheder, der kræver beskyttelse af personoplysninger, går forud herfor.

96.      Denne bestemmelse vedrører således ikke så meget den offentlige myndigheds muligheder for at forsvare sig – som kan finde støtte i litra e) – som den eventuelle forrang for den registreredes interesser, rettigheder og frihedsrettigheder over for den dataansvarlige eller en tredjepart. Bestemmelsen finder snarere anvendelse på konflikter mellem (private) parter, hvis interesser ikke er af samfundsmæssig karakter.

97.      Eftersom anklagemyndigheden pr. definition handler i sin egenskab af statslig institution, bør det undersøges, om den pågældende behandling er omfattet af artikel 6, stk. 1, litra e), i forordning 2016/679.

98.      Dette ville være tilfældet, hvis behandlingen var »nødvendig af hensyn til udførelse af en opgave i samfundets interesse eller som henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt«.

99.      Jeg vil tage stilling til det første af disse to formål, uden at det er nødvendigt at behandle det andet (27), for at kunne afgøre, om anklagemyndighedens mellemkomst i den civile retssag, hvori nævnte myndighed kræves erstatning for sin adfærd, svarer til udførelsen af en opgave af samfundsinteresse.

100. I henhold til national ret (28) tilkommer det anklagemyndigheden at repræsentere staten i sager om ansvar uden for kontraktforhold for den skade, som staten måtte have forvoldt ved sin forsinkelse. Således deltager anklagemyndigheden i varetagelsen af statens almene (økonomiske) interesser og dermed i udøvelsen af opgaver af samfundsinteresse (29).

101. I henhold til artikel 9, stk. 1, i direktiv 2016/680 er det en forudsætning for at kunne foretage en ekstern registrering af de oplysninger, der er indsamlet i sagsakterne, at behandlingen af disse er tilladt i henhold til EU-retten eller medlemsstaternes lovgivning. I den foreliggende sag påhviler det den forelæggende ret at efterprøve, om der foreligger en sådan tilladelse i forbindelse med udøvelsen af en opgave af samfundsinteresse, som er betroet anklagemyndigheden med henblik på forsvar af statens formue.

102. Det fremgår af artikel 6, stk. 3, i forordning 2016/679, at retsgrundlaget for den behandling, der er omhandlet i stk. 1, litra e), »kan indeholde specifikke bestemmelser med henblik på at tilpasse anvendelsen af bestemmelserne« i samme forordning (30). Hvis dette retsgrundlag er fastsat i lovgivningen i den medlemsstat, der finder anvendelse på den dataansvarlige, tilkommer det den nationale domstol at identificere det (31).

103. Endelig skal det, selv om den forelæggende ret ikke har identificeret det relevante retsgrundlag, i overensstemmelse med artikel 6, stk. 4, i forordning 2016/679 afgøres, om den omtvistede behandling er forenelig med det formål, som de omtvistede oplysninger blev indsamlet til. Med henblik herpå skal der bl.a. tages hensyn til enhver forbindelse mellem det oprindelige formål og det opståede formål, den sammenhæng, hvori personoplysningerne blev indsamlet, og disse oplysningers karakter, de mulige konsekvenser for den registrerede af den nye behandling og eksistensen af relevante garantier.
V.      Forslag til afgørelse

104. På baggrund af det ovenstående foreslår jeg Domstolen at svare Administrativen sad – Blagoevgrad (forvaltningsdomstolen i Blagoevgrad, Bulgarien) således:
»1)      Artikel  4, stk. 2, i Europa-Parlamentets og Rådets direktiv (EU) 2016/680 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger og om ophævelse af Rådets rammeafgørelse 2008/977/RIA skal fortolkes således, at oplysninger, der er indsamlet i forbindelse med en straffesag fra en person i dennes egenskab af formodet offer for en strafbar handling, behandles til samme formål som det, hvortil de blev indsamlet, i det tilfælde, hvor den pågældende person efterfølgende sigtes i samme straffesag.
2)      Artikel 9, stk. 1, i direktiv 2016/680 skal fortolkes således, at Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF finder anvendelse på anklagemyndighedens anvendelse af oplysninger, der er indhentet i straffesager, til brug for dens forsvar i civile sager.
3)      Videregivelse af personoplysninger, der er indsamlet under en straffesag, og som forud for videregivelsen er blevet registreret, opbevaret og konsulteret med henblik på anklagemyndighedens forsvar i en civil sag, hvori denne myndighed er sagsøgt med krav om erstatning for dennes adfærd under udøvelsen af sine opgaver, udgør »behandling af personoplysninger« som omhandlet i artikel 4, stk. 1, i forordning 2016/679.
4)      Lovligheden af en sådan behandling kan i princippet være baseret på artikel 6, stk. 1, litra e), i forordning 2016/679.«

1 –      Originalsprog: spansk.

2 –      Europa-Parlamentets og Rådets forordning af 27.4.2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT 2016, L 119, s. 1).

3 –      Europa-Parlamentets og Rådets direktiv af 27.4.2016 om beskyttelse af fysiske personer i forbindelse med kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger og om ophævelse af Rådets rammeafgørelse 2008/977/RIA (EUT 2016, L 119, s. 89).

4 –      DV nr. 56 af 13.7.1991.

5 –      Lov om databeskyttelse, DV nr. 1 af 4.1.2002. Afskriften er i overensstemmelse med den version, der var gældende på det tidspunkt, hvor de omtvistede handlinger blev begået.

6 –      Aktmappe nr. 1548/2013 fra kredsanklagemyndigheden i Petrij.

7 –      I henhold til forelæggelsesafgørelsen (præmis 8.1) blev lovovertrædelsen defineret som en overtrædelse af artikel 325, stk. 1, i Nakazatelen kodeks (straffeloven) sammenholdt med artikel 20, stk. 2.

8 –      Aktmapper nr. 517/2016, nr. 1870/2016, nr. 1872/2016 og nr. 2217/2016.

9 –      Civilsag nr. 144/2018.

10 –      39. betragtning til forordning 2016/679 og 26. betragtning til direktiv 2016/680.

11 –      Min fremhævelse.

12 –      Disse fremgår af artikel 1, stk. 1, i direktiv 2016/680 (jf. fodnote 15 nedenfor). Uden for det egentlige anvendelsesområde for direktiv 2016/680 er de formål, som er tilladte i henhold til forordning 2016/679, alle potentielt lovlige formål. Der findes således et frihedsprincip, hvis begrænsning efterprøves i forbindelse med lovligheden af betingelserne for databehandlingen og den registreredes rettigheder (kapitel II og III i forordning 2016/679).

13 –      I henhold til artikel 45, stk. 2, i direktiv 2016/680 skal medlemsstaterne fastsætte »bestemmelser om, at den enkelte tilsynsmyndighed ikke skal have kompetence til at føre tilsyn med domstolenes behandlingsaktiviteter, når de handler i deres egenskab af domstol«.

14 –      Selv om det ikke fremgår udtrykkeligt af de oplysninger, som den forelæggende ret har fremlagt, synes det at forholde sig således, at der ikke desto mindre er tale om forskellige handlinger.

15 –      I henhold til artikel 1, stk. 1, i direktiv 2016/680 består sådanne andre formål i »at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod eller forebygge trusler mod den offentlige sikkerhed«. Den spanske udgave af denne bestemmelse adskiller sig fra de andre officielle sprog for så vidt angår begrebet »retsforfølge« (»enjuiciamiento« i den spanske version). I den franske version anvendes således substantivet »poursuites«, som svarer til »prosecution« i den engelske version, »perseguimento« i den italienske version, »Verfolgung« i den tyske version og »vervolging« i den nederlandske version. Disse og andre versioner (med undtagelse af den spanske) henviser til en aktivitet, der går forud for den egentlige »enjuiciamiento« (retsforfølgninge), som udelukkende er forbeholdt domstolene.

16 –      »Behandling af personoplysninger inden for retligt samarbejde i straffesager og politisamarbejde indebærer i sagens natur behandling af personoplysninger om forskellige kategorier af registrerede. Der bør således, hvis det er relevant og så vidt muligt, sondres klart mellem personoplysninger om forskellige kategorier af registrerede [...]« Min fremhævelse.

17 –      Dom af 27.9.2017, Puškár (C-73/16, EU:C:2017:725, præmis 50).

18 –      Dom af 17.7.2014, YS m.fl. (C-141/12 og C-372/12, EU:C:2014:2081, præmis 63).

19 –      Forelæggelsesafgørelsens præmis 34.12, tredje afsnit.

20 –      Dette fremgår af forelæggelsesafgørelsens præmis 34,12, første afsnit.

21 –      Anmodningen om, at oplysningerne blev tilladt som bevis for oplysninger i anklagemyndighedens sagsakter, indebar en videregivelse af oplysninger om VS’ person, idet anmodningen skulle baseres på disse oplysningers relevans, som måtte være synlig, om end blot indirekte, i anmodningens indhold.

22 –      Jf. vedrørende fortolkningen af denne bestemmelse dom af 24.3.2022, Autoriteit Persoonsgegevens (C-245/20, EU:C:2022:216, præmis 23 ff.).

23 –      Jf. vedrørende den tilsvarende ordlyd i Europa-Parlamentets og Rådets direktiv 95/46/EF af 24.10.1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (EFT 1995, L 281, s. 31), dom af 24.11.2011, ASNEF (C-468/10 og C-469/10, EU:C:2011:777).

24 –      Den offentlige anklagemyndighed er ikke retligt forpligtet til at anmode om fremlæggelse af de omstridte oplysninger i den civile retssag.

25 –      Det fremgår af 47. betragtning til forordning 2016/679, at »eftersom det er op til lovgiver ved lov at fastsætte retsgrundlaget for offentlige myndigheders behandling af personoplysninger, bør dette retsgrundlag ikke gælde for behandling, som offentlige myndigheder foretager som led i udførelsen af deres opgaver«.

26 –      Punkt 45 og 49 i den bulgarske regerings svar på et spørgsmål stillet af Domstolen.

27 –      Som den nederlandske regering har påpeget, udgør forsvaret af statens interesser i civile sager ikke i sig selv og selvstændigt en offentlig myndighedsudøvelse som omhandlet i artikel 6, stk. 1, litra e), anden del, i forordning 2016/679.

28 –      Zakon za otgovornostta na darzjavata i obsjtjinite za vredi (lov om statens og kommunernes ansvar for skader; DV nr. 60 af 5.8.1988). Som svar på et spørgsmål fra Domstolen har den bulgarske regering præciseret, at det retsgrundlag, på hvilket anklagemyndigheden blev sagsøgt ved den civile domstol, er denne lovs artikel 2b, som fastsætter betingelserne og de nærmere bestemmelser for statens ansvar uden for kontraktforhold i tilfælde af en tilsidesættelse af retten til at blive stillet for en domstol inden for en rimelig frist.

29 –      I henhold til bulgarsk lovgivning skal erstatningskrav rettes mod de myndigheder, der holdes ansvarlige for at have forårsaget skaden. Disse myndigheder kan optræde som sagsøgt i den pågældende civile sag. Ud over denne processuelle regel forholder det sig ikke desto mindre således, at erstatningskravet i sidste ende er rettet mod staten som helhed, der i hvert enkelt tilfælde forsvares af det af dens organer, der er den umiddelbare årsag til den (angivelige) skade, der påberåbes.

30 –      Disse bestemmelser kan vedrøre »de generelle betingelser for lovlighed af den dataansvarliges behandling, hvilke typer oplysninger der skal behandles, berørte registrerede, hvilke enheder personoplysninger må videregives til, og formålet hermed, formålsbegrænsninger, opbevaringsperioder og behandlingsaktiviteter samt behandlingsprocedurer, herunder foranstaltninger til sikring af lovlig og rimelig behandling såsom i andre specifikke databehandlingssituationer som omhandlet i kapitel IX«.

31 –      Som svar på et spørgsmål fra Domstolen har den bulgarske regering anført, at retsgrundlaget skal findes i den offentlige anklagemyndigheds dobbelte rolle: På den ene side agerer den i statens forsvar i en civil retssag, og på den anden side agerer den som udsteder af et officielt dokument af retlig betydning for tvisten. Der foreligger således to retsgrundlag: artikel 6, stk. 1, litra c), i forordning 2016/679 vedrørende anklagemyndigheden som »udsteder af et officielt dokument« i henhold til artikel 179 i den civile retsplejelov, sammenholdt med artikel 186 i samme lov, og artikel 6, stk. 1, litra e), i forordning 2016/679 vedrørende anklagemyndigheden som en part i sagen i forbindelse med sin offentlige myndighedsudøvelse (punkt 31 og 32 i den bulgarske regerings svarskrift).