CELEX: 62021CC0180
Language: sk
Date: 2022-05-19
Title: Návrhy prednesené 19. mája 2022 – generálny advokát M. Campos Sánchez-Bordona.###

Predbežné znenie
NÁVRHY  GENERÁLNEHO  ADVOKÁTA
MANUEL  CAMPOS  SÁNCHEZ‑BORDONA
prednesené  19. mája  2022(1)

Vec C‑180/21

VS

proti

Inspektor v Inspektorata kam Visšia sadeben savet,

za účasti:

Teritorialno otdelenie – Petrič kam Rajonna prokuratura – Blagoevgrad

[návrh  na  začatie  prejudiciálneho  konania,  ktorý  podal  Administrativen  săd  Blagoevgrad  (Správny  súd  Blagoevgrad,  Bulharsko)]
„Návrh na začatie prejudiciálneho konania – Ochrana fyzických osôb pri spracúvaní osobných údajov – Nariadenie (EÚ) 2016/679 – Články 4 a 6 – Smernica (EÚ) 2016/680 – Články 1, 2 až 4 a 9 – Oprávnenosť spracúvania osobných údajov v rámci trestného konania – Spracúvanie údajov týkajúcich sa obete trestného činu na účely jej neskoršieho obvinenia a obrany prokuratúry v civilnom konaní – Pojem ‚úče[l]…, ktorý je iný než účel, na ktorý sa osobné údaje získavajú‘“

1.        Jednou  zo  základných  zásad  nariadenia  (EÚ)  2016/679(2),  ktoré  je  všeobecným  predpisom v oblasti  ochrany  osobných  údajov, a smernice  (EÚ)  2016/680(3) (lex  specialis v tejto  oblasti v trestných  konaniach)  je  zásada  spočívajúca v obmedzení  získavania  týchto  údajov a ich  spracúvania  na  osobitné  účely  stanovené  zákonom.

2.        V tejto  veci  má  Súdny  dvor  odpovedať  na  otázky  bulharského  súdu  týkajúce  sa  výkladu  GDPR a smernice  2016/680 s cieľom  objasniť,  či  dochádza k nezákonnému  spracúvaniu  osobných  údajov,  ktorými  disponuje  prokuratúra  členského  štátu,  ak
–      na  jednej  strane  uvedené  údaje  boli  zadovážené  od  osoby,  ktorá  sa  pôvodne  javila  ako  poškodená,  ale  ktorá  bola  neskôr v tom  istom  trestnom  konaní  obvinená,
–      na  druhej  strane  sa  prokuratúra  usiluje  použiť  na  svoju  obranu  údaje  zadovážené  vo  viacerých  trestných  vyšetrovaniach  ako  dôkazný  prostriedok  na  obranu  proti  civilnej  žalobe,  ktorou  sa  osoba,  ktorej  sa  tieto  údaje  týkajú,  domáha  náhrady  škody  za  neprimeranú  dĺžku  trestného  konania.
A.      Právny rámec. Právo Únie

1.      GDPR

3.        Podľa článku 2 („Vecná  pôsobnosť“):
„1.      Toto  nariadenie  sa  vzťahuje  na  spracúvanie  osobných  údajov  vykonávané  úplne  alebo  čiastočne  automatizovanými  prostriedkami a na  spracúvanie  inými  než  automatizovanými  prostriedkami v prípade  osobných  údajov,  ktoré  tvoria  súčasť  informačného  systému  alebo  sú  určené  na  to,  aby  tvorili  súčasť  informačného  systému.
2.      Toto  nariadenie  sa  nevzťahuje  na  spracúvanie  osobných  údajov:
a)      v rámci  činnosti,  ktorá  nepatrí  do  pôsobnosti  práva  Únie;
…
d)      príslušnými  orgánmi  na  účely  predchádzania  trestným  činom,  ich  vyšetrovania,  odhaľovania  alebo  stíhania,  alebo  výkonu  trestných  sankcií  vrátane  ochrany  pred  ohrozením  verejnej  bezpečnosti a jeho  predchádzania.
…“.

4.        Článok 4 („Vymedzenie  pojmov“)  stanovuje:
„Na  účely  tohto  nariadenia:
…
2.      ‚spracúvanie‘  je  operácia  alebo  súbor  operácií s osobnými  údajmi  alebo  súbormi  osobných  údajov,  napríklad  získavanie,  zaznamenávanie,  usporadúvanie,  štruktúrovanie,  uchovávanie,  prepracúvanie  alebo  zmena,  vyhľadávanie,  prehliadanie,  využívanie,  poskytovanie  prenosom,  šírením  alebo  poskytovanie  iným  spôsobom,  preskupovanie  alebo  kombinovanie,  obmedzenie,  vymazanie  alebo  likvidácia,  bez  ohľadu  na  to,  či  sa  vykonávajú  automatizovanými  alebo  neautomatizovanými  prostriedkami;
…
7.      ‚prevádzkovateľ‘  je  fyzická  alebo  právnická  osoba,  orgán  verejnej  moci,  agentúra  alebo  iný  subjekt,  ktorý  sám  alebo  spoločne s inými  určí  účely a prostriedky  spracúvania  osobných  údajov; v prípade,  že  sa  účely a prostriedky  tohto  spracúvania  stanovujú v práve  Únie  alebo v práve  členského  štátu,  možno  prevádzkovateľa  alebo  konkrétne  kritériá  na  jeho  určenie  určiť v práve  Únie  alebo v práve  členského  štátu;
…“.

5.        V článku 5 („Zásady  spracúvania  osobných  údajov“)  sa  uvádza:
„1.      Osobné  údaje  musia  byť:
a)      spracúvané  zákonným  spôsobom,  spravodlivo a transparentne  vo  vzťahu k dotknutej  osobe  (‚zákonnosť,  spravodlivosť a transparentnosť‘);
b)      získavané  na  konkrétne  určené,  výslovne  uvedené a legitímne  účely a nesmú  sa  ďalej  spracúvať  spôsobom,  ktorý  nie  je  zlučiteľný s týmito  účelmi;  ďalšie  spracúvanie  na  účely  archivácie  vo  verejnom  záujme,  na  účely  vedeckého  alebo  historického  výskumu  či  štatistické  účely  sa v súlade s článkom 89  ods. 1  nepovažuje  za  nezlučiteľné s pôvodnými  účelmi  (‚obmedzenie  účelu‘);
c)      primerané,  relevantné a obmedzené  na  rozsah,  ktorý  je  nevyhnutný  vzhľadom  na  účely,  na  ktoré  sa  spracúvajú  (‚minimalizácia  údajov‘);
…“.

6.        Článok 6 („Zákonnosť  spracúvania“)  znie:
„1.      Spracúvanie  je  zákonné  iba  vtedy a iba v tom  rozsahu,  keď  je  splnená  aspoň  jedna z týchto  podmienok:
a)      dotknutá  osoba  vyjadrila  súhlas  so  spracúvaním  svojich  osobných  údajov  na  jeden  alebo  viaceré  konkrétne  účely;
…
c)      spracúvanie  je  nevyhnutné  na  splnenie  zákonnej  povinnosti  prevádzkovateľa;
…
e)      spracúvanie  je  nevyhnutné  na  splnenie  úlohy  realizovanej  vo  verejnom  záujme  alebo  pri  výkone  verejnej  moci  zverenej  prevádzkovateľovi;
f)      spracúvanie  je  nevyhnutné  na  účely  oprávnených  záujmov,  ktoré  sleduje  prevádzkovateľ  alebo  tretia  strana, s výnimkou  prípadov,  keď  nad  takýmito  záujmami  prevažujú  záujmy  alebo  základné  práva a slobody  dotknutej  osoby,  ktoré  si  vyžadujú  ochranu  osobných  údajov,  najmä  ak  je  dotknutou  osobu  dieťa.
Písmeno  f)  prvého  pododseku  sa  nevzťahuje  na  spracúvanie  vykonávané  orgánmi  verejnej  moci  pri  výkone  ich  úloh.
…
3.      Základ  pre  spracúvanie  uvedené v odseku  1 písm. c) a e)  musí  byť  stanovený:
a)      v práve  Únie  alebo
b)      v práve  členského  štátu  vzťahujúcom  sa  na  prevádzkovateľa.
Účel  spracúvania  sa  stanoví v tomto  právnom  základe,  alebo  pokiaľ  ide o spracúvanie  uvedené v odseku  1 písm. e),  spracúvanie  je  nevyhnutné  na  splnenie  úlohy  realizovanej  vo  verejnom  záujme  alebo  pri  výkone  verejnej  moci  zverenej  prevádzkovateľovi.  Uvedený  právny  základ  môže  obsahovať  osobitné  ustanovenia  na  prispôsobenie  uplatňovania  pravidiel  tohto  nariadenia….  Právo  Únie  alebo  právo  členského  štátu  musí  spĺňať  cieľ  verejného  záujmu a byť  primerané  sledovanému  oprávnenému  cieľu.
4.      Ak  spracúvanie  na iné  účely  ako  na  účely,  na ktoré  boli  osobné  údaje  získavané,  nie  je  založené  na súhlase  dotknutej  osoby  alebo  na  práve  Únie  alebo  práve  členského  štátu,  ktoré  predstavuje  potrebné a primerané  opatrenie v demokratickej  spoločnosti  na ochranu  cieľov  uvedených v článku 23  ods. 1,  prevádzkovateľ  na zistenie  toho,  či  je  spracúvanie  na iný  účel  zlučiteľné s účelom,  na  ktorý  boli  osobné  údaje  pôvodne  získané,  okrem  iného  zohľadní:
a)      akékoľvek  prepojenie  medzi  účelmi,  na  ktoré  sa  osobné  údaje  získali, a účelmi  zamýšľaného  ďalšieho  spracúvania;
b)      okolnosti,  za akých  sa  osobné  údaje  získali,  najmä  týkajúce  sa  vzťahu  medzi  dotknutými  osobami a prevádzkovateľom;
c)      povahu  osobných  údajov,  najmä  či  sa  spracúvajú  osobitné  kategórie  osobných  údajov  podľa  článku 9  alebo  osobné  údaje  týkajúce  sa  uznania  viny  za trestné  činy a priestupky  podľa článku 10;
d)      možné  následky  zamýšľaného  ďalšieho  spracúvania  pre  dotknuté  osoby;
e)      existenciu  primeraných  záruk,  ktoré  môžu  zahŕňať  šifrovanie  alebo  pseudonymizáciu.“
2.      Smernica 2016/680

7.        Podľa článku 1 („Predmet  úpravy a ciele“):
„1.      Touto  smernicou  sa  stanovujú  pravidlá  ochrany  fyzických  osôb  pri  spracúvaní  osobných  údajov  príslušnými  orgánmi  na  účely  predchádzania  trestným  činom,  ich  vyšetrovania,  odhaľovania  alebo  stíhania  alebo  na  účely  výkonu  trestných  sankcií,  vrátane  ochrany  pred  ohrozením  verejnej  bezpečnosti a predchádzania  takémuto  ohrozeniu.
2.      Členské  štáty v súlade s touto  smernicou:
a)      chránia  základné  práva a slobody  fyzických  osôb,  najmä  ich  právo  na  ochranu  osobných  údajov,…
…“.

8.        Článok 2 („Rozsah  pôsobnosti“)  stanovuje:
„1.      Táto  smernica  sa  vzťahuje  na  spracúvanie  osobných  údajov  príslušnými  orgánmi  na  účely  stanovené v článku 1 ods. 1.
…
3.      Táto  smernica  sa  nevzťahuje  na  spracúvanie  osobných  údajov:
a)      v rámci  činnosti,  ktorá  nepatrí  do  pôsobnosti  práva  Únie;
…“.

9.        V článku 3 ods. 1,  2 a 8  sú  prevzaté  definície  uvedené v odsekoch  1,  2 a 7 článku 4 GDPR.

10.      Článok 4 („Zásady  týkajúce  sa  spracúvania  osobných  údajov“)  stanovuje:
„…
2.      Spracúvanie  tým  istým  alebo  iným  prevádzkovateľom  na  ktorýkoľvek z účelov  stanovených v článku 1 ods. 1,  ktorý  je  iný  než  účel,  na  ktorý  sa  osobné  údaje  získavajú,  je  povolené,  pokiaľ:
a)      je  prevádzkovateľ  oprávnený  na  spracúvanie  takýchto  osobných  údajov  na  tento  účel v súlade s právom  Únie  alebo s právom  členského  štátu;  a
b)      spracúvanie  je  nevyhnutné a primerané  takémuto  inému  účelu v súlade s právom  Únie  alebo s právom  členského  štátu.
…“.

11.      V článku 6 („Rozlišovanie  medzi  rôznymi  kategóriami  dotknutých  osôb“)  sa  uvádza:
„Členské  štáty  stanovia,  že  prevádzkovateľ  je v príslušných  prípadoch a v najväčšej  možnej  miere  povinný  jasne  rozlišovať  medzi  osobnými  údajmi  rôznych  kategórií  dotknutých  osôb,  ako  sú  napríklad:
a)      osoby, v prípade  ktorých  sa  možno  odôvodnene  domnievať,  že  spáchali  alebo  sa  chystajú  spáchať  trestný  čin;
b)      osoby  odsúdené  za  spáchanie  trestného  činu;
c)      obete  trestného  činu,  alebo  osoby, v prípade  ktorých  sú  na  základe  určitých  skutočností  dôvody  domnievať  sa,  že  sú  alebo  by  mohli  byť  obeťami  trestného  činu;  a
d)      iné  tretie  osoby v súvislosti s trestným  činom,  ako  sú  napríklad  osoby,  ktoré  môžu  byť  vyzvané,  aby  svedčili v rámci  vyšetrovania v súvislosti s trestnými  činmi  alebo v rámci  následného  trestného  konania,  osoby,  ktoré  môžu  poskytnúť  informácie o trestných  činoch,  alebo  kontaktné  osoby  či  spoločníci  niektorej z osôb  uvedených v písmenách  a) a b).“

12.      Článok 8 („Zákonnosť  spracúvania“)  znie:
„1.      Členské  štáty  stanovia,  že  spracúvanie  je  zákonné  iba  vtedy a do  takej  miery,  pokiaľ  je  nevyhnutné  na  splnenie  úlohy  realizovanej  príslušným  orgánom  na  účely  stanovené v článku 1 ods. 1, a ak  je  založené  na  práve  Únie  alebo  na  práve  členského  štátu.
2.      Právo  členského  štátu  upravujúce  spracúvanie v rámci  rozsahu  pôsobnosti  tejto  smernice  stanoví  aspoň  ciele  spracúvania,  osobné  údaje,  ktoré  sa  majú  spracúvať, a účely  spracúvania.“

13.      Podľa článku 9 („Osobitné  podmienky  spracúvania“):
„1.      Osobné  údaje  získané  príslušnými  orgánmi  na  účely  stanovené v článku 1 ods. 1  sa  nesmú  spracúvať  na  iné  účely,  ako  sú  účely  stanovené v článku 1 ods. 1, s výnimkou  prípadu,  keď  je  takéto  spracúvanie  prípustné  podľa  práva  Únie  alebo  práva  členského  štátu.  Ak  sa  osobné  údaje  spracúvajú  na  takéto  iné  účely,  uplatňuje  sa  [GDPR],  pokiaľ  sa  spracúvanie  nevykonáva v rámci  činnosti,  ktorá  nepatrí  do  pôsobnosti  práva  Únie.
2.      Ak  sú  príslušné  orgány  poverené  na  základe  práva  členského  štátu  výkonom  iných  úloh,  ako  sú  úlohy  vykonávané  na  účely  stanovené v článku 1 ods. 1,  [GDPR]  sa  uplatňuje  na  spracúvanie  na  takéto  účely  vrátane  účelov  archivácie  vo  verejnom  záujme,  účelov  vedeckého  alebo  historického  výskumu  alebo  štatistických  účelov,  pokiaľ  sa  spracúvanie  nevykonáva v rámci  činnosti,  ktorá  nepatrí  do  pôsobnosti  práva  Únie.
…“.
B.      Vnútroštátne právo

1.      Ústava Bulharskej republiky(4)

14.      Článok 127  stanovuje,  že  prokuratúra  má  výlučnú  právomoc  viesť  vyšetrovanie,  vznášať  obvinenie  proti  páchateľom  trestných  činov a podávať  obžalobu  na  súde v prípade  trestných  činov  stíhaných z úradnej  povinnosti.
2.      Zakon za zaštita na ličnite danni(5)

15.      § 1  stanovuje:
„(1)      Týmto  zákonom  sa  spravujú  verejnoprávne  vzťahy  týkajúce  sa  ochrany  práv  fyzických  osôb  pri  spracúvaní  ich  osobných  údajov v rozsahu, v akom  ich  neupravuje  [GDPR].
(2)      Tento  zákon  tiež  stanovuje  pravidlá  týkajúce  sa  ochrany  fyzických  osôb  pri  spracúvaní  osobných  údajov  príslušnými  orgánmi  na  účely  predchádzania  trestným  činom,  ich  vyšetrovania,  odhaľovania  alebo  stíhania  alebo  výkonu  trestných  sankcií,  vrátane  ochrany  pred  ohrozením  verejného  poriadku a verejnej  bezpečnosti a predchádzania  takémuto  ohrozeniu.
…“.

16.      V § 17  sa  uvádza:
„(1)      Dozorný orgán pri Najvyššej súdnej rade zabezpečuje kontrolu a dodržiavanie [GDPR],  tohto  zákona a právnych  predpisov  týkajúcich  sa  ochrany  osobných  údajov v súvislosti  so  spracúvaním  osobných  údajov,  ktoré  vykonávajú:
1.      súdy  pri  výkone  svojich  právomocí  súdnych  orgánov  a
2.      prokuratúra a vyšetrovacie  orgány  pri  výkone  svojich  právomocí  súdnych  orgánov  na  účely  predchádzania  trestným  činom,  ich  vyšetrovania,  odhaľovania  alebo  stíhania  alebo  výkonu  trestných  sankcií.
…“.

17.      § 42  znie:
„(1)      Ustanovenia  tejto  kapitoly  sa  uplatnia v prípade  spracúvania  osobných  údajov  príslušnými  orgánmi  na  účely  predchádzania  trestným  činom,  ich  vyšetrovania,  odhaľovania  alebo  stíhania  alebo  výkonu  trestných  sankcií,  vrátane  ochrany  pred  ohrozením  verejného  poriadku a verejnej  bezpečnosti a predchádzania  takémuto  ohrozeniu.
(2)      Osobné  údaje  získané  na  účely  uvedené v odseku  1  sa  nebudú  spracúvať  na  iné  účely,  pokiaľ  právo  Únie  alebo  právne  predpisy  Bulharskej  republiky  nestanovujú  niečo  iné.
(3)      Ak  príslušné  orgány  podľa  odseku  1  spracúvajú  osobné  údaje  na  iné  účely  než  tie,  ktoré  sú  uvedené v odseku  1,  ako  aj v prípadoch  uvedených v odseku  2  sa  uplatní  [GDPR] a príslušné  ustanovenia  tohto  zákona,  ktorými  sa  zavádzajú  opatrenia  na  jeho  uplatňovanie.
(4)      ‚Príslušný  orgán‘ v zmysle  odseku  1  je  každý  verejnoprávny  orgán  príslušný  na  účely  predchádzania  trestným  činom,  ich  vyšetrovania,  odhaľovania  alebo  stíhania  alebo  výkonu  trestných  sankcií,  vrátane  ochrany  pred  ohrozením  verejného  poriadku a verejnej  bezpečnosti a predchádzania  takémuto  ohrozeniu.
(5)      Pokiaľ  zákon  nestanovuje  niečo  iné,  prevádzkovateľom  spracúvania  osobných  údajov  na  účely  stanovené v odseku  1 v zmysle  tejto  kapitoly  je  príslušný  orgán v zmysle  odseku  4  alebo  správny  orgán,  ktorého  súčasťou  je  tento  orgán,  ktorý  sám  alebo  spoločne s inými  orgánmi  určuje  účely a prostriedky  spracúvania  osobných  údajov.“

18.      § 45  stanovuje:
„…
(2)      Spracúvanie  osobných  údajov  prevádzkovateľom,  ktorý  ich  pôvodne  získal,  alebo  iným  prevádzkovateľom  na  niektorý z účelov  uvedených v § 42 ods. 1,  ktorý  je  iný  než  ten,  na  ktorý  boli  osobné  údaje  získané,  je  povolené  pod  podmienkou,  že
1.      prevádzkovateľ  je  podľa práva  Únie  alebo  právnych  predpisov  Bulharskej  republiky  oprávnený  spracúvať  osobné  údaje  na  tento  účel  a
2.      spracúvanie  je  podľa práva  Únie  alebo  právnych  predpisov  Bulharskej  republiky  nevyhnutné a primerané  na  dosiahnutie  tohto  iného  účelu.
…“.

19.      V § 47  je  prevzaté  znenie článku 6 smernice  2016/680.

20.      § 49  stanovuje:
„Spracúvanie  osobných  údajov  je  zákonné,  ak  je  nevyhnutné  na  vykonávanie  právomocí  príslušného  orgánu  na  účely  uvedené v § 42 ods. 1 a stanovené v práve  Únie  alebo v právnom  predpise,  ktorý  určuje  účely  spracúvania a kategórie  osobných  údajov,  ktoré  sa  majú  spracúvať.“
II.    Skutkový stav, konania vo veci samej a prejudiciálne otázky

21.      Pod  vedením  Rajonna  prokuratura – Petrič  (Okresná  prokuratúra  Petrič,  Bulharsko)  sa  uskutočnilo  vyšetrovanie  (vyšetrovanie  polície  Petrič č. 252/2013)(6) s cieľom  objasniť  skutky,  ktoré  sú  trestným  činom(7),  spáchané  18. apríla  2013.

22.      Počas  uvedeného  vyšetrovania  boli  pôvodne  získané  osobné  údaje  pána  VS v postavení  poškodeného.

23.      Rozhodnutiami  prokuratúry  zo  4. a z 5. apríla  2018  boli z uvedených  skutkov  obvinené  štyri  osoby  (vrátane  pána  VS).

24.      Rajonen  săd  Petrič  (Okresný  súd  Petrič,  Bulharsko)  10. novembra  2020  zastavil  trestné  konanie z dôvodu  premlčania.

25.      V rokoch  2016 a 2017  okresná  prokuratúra  Petrič  na  základe  trestných  oznámení  podaných  na  pána  VS  začala  viaceré  vyšetrovania(8),  ktoré  neviedli k začatiu  trestného  stíhania,  keďže  neboli  zistené  okolnosti  nasvedčujúce  spáchaniu  trestného  činu.

26.      V roku  2018  VS  podal  na  Okražen  săd  Blagoevgrad  (Krajský  súd  Blagoevgrad,  Bulharsko)  civilnú  žalobu(9) proti  prokuratúre  Bulharskej  republiky,  ktorou  sa  domáhal  náhrady  škody  spôsobenej  neprimeranou  dĺžkou  trestného  konania č. 252/2013.

27.      V rámci  svojej  obrany  proti  uvedenej  civilnej  žalobe  prokuratúra  navrhla  založiť  do  súdneho  spisu  spisy  okresnej  prokuratúry  Petrič č. 517/2016 a 1872/2016.

28.      Okražen  săd  Blagoevgrad  (Krajský  súd  Blagoevgrad)  uznesením z 15. októbra  2018  nariadil  uložil  okresnej  prokuratúre  Petrič  povinnosť  predložiť  kópie  dokumentov  obsiahnutých v spisoch č. 517/2016 a 1872/2016.

29.      VS  podal  12. marca 2020  sťažnosť  na  Inspektorat  kam  Visšia  sadeben  savet  (Dozorný orgán pri Najvyššej súdnej rade, Bulharsko; ďalej len „IVSS“) z dôvodu,  že  podľa  jeho  názoru  sa  prokuratúra  dopustila  dvojakého  nezákonného  spracúvania  jeho  osobných  údajov,  pričom  neoprávnene  použila:
–      jeho  údaje  získané v postavení  poškodeného  na  to,  aby  voči  nemu  neskôr  vzniesla  obvinenie v trestnom  konaní č. 252/2013,
–      jeho  údaje  získané  vo  veciach č. 517/2016 a 1872/2016  na  to,  aby  ich  použila v civilnom  konaní č. 144/2018.

30.      Dňa  22. júna  2020  IVSS  zamietol  obe  žiadosti  pána  VS.

31.      VS  napadol  uvedené  rozhodnutie  IVSS  žalobou  na  Administrativen  săd  Blagoevgrad  (Správny  súd  Blagoevgrad,  Bulharsko),  ktorý  kladie  Súdnemu  dvoru  tieto  prejudiciálne  otázky:
„1.      Má  sa  článok 1  ods. 1  [smernice  2016/680]  vykladať v tom  zmysle,  že  pri  uvedení  cieľov  sú  pojmy  ‚predchádzani[e] trestným  činom,  ich  vyšetrovani[e],  odhaľovani[e] alebo  stíhani[e]‘  vymenované  ako  aspekty  všeobecného  cieľa?
2.      Uplatnia  sa  ustanovenia  [GDPR]  na  prokuratúru  Bulharskej  republiky  so  zreteľom  na  to,  že  informácie o osobe,  ktoré  prokuratúra  získala v postavení  ‚prevádzkovateľa‘  podľa  článku 3  bodu 8  [smernice  2016/680]  do  spisu  týkajúceho  sa  tejto  osoby  založeného  na  účely  preskúmania  okolností  nasvedčujúcich  spáchaniu  trestného  činu,  boli  použité v rámci  obrany  prokuratúry  na  súde  ako  účastníka  civilného  konania, a to  poskytnutím  informácie o založení  tohto  spisu  alebo  sprístupnením  jeho  obsahu?
2.1.      V prípade  kladnej  odpovede  na  túto  otázku:
Má  sa  slovné  spojenie  ‚oprávnen[é] záujm[y]‘  uvedené v článku 6  ods. 1 písm. f) [GDPR]  vykladať v tom  zmysle,  že  zahŕňa  úplné  alebo  čiastočné  poskytnutie  informácií,  ktoré  boli  získané  do  spisu  prokuratúry  týkajúceho  sa  tejto  osoby  založeného  na  účely  predchádzania  trestným  činom,  ich  vyšetrovania,  odhaľovania  alebo  stíhania,  ak  ich  prevádzkovateľ  poskytne  na  svoju  obranu  ako  účastník  civilného  konania, a to  bez  súhlasu  dotknutej  osoby?“
III. Konanie na Súdnom dvore

32.      Návrh  na  začatie  prejudiciálneho  konania  bol  doručený  do  kancelárie  Súdneho  dvora  23. marca 2021.

33.      Na  konaní  sa  zúčastnili a písomné  pripomienky  predložili  VS,  IVSS,  bulharská,  česká a holandská  vláda,  ako  aj  Európska  komisia.

34.      Súdny  dvor  nepovažoval  za  nevyhnutné  uskutočniť  pojednávanie,  ktoré  žiadny z účastníkov  konania  nenavrhol  nariadiť.
IV.    Analýza

A.      Úvodné úvahy o uplatniteľnom práve Únie

35.      GDPR a smernica  2016/680  tvoria  koherentný  systém, v ktorom:
–      cieľom  GDPR  je  stanoviť  všeobecné  pravidlá  na  ochranu  fyzických  osôb  pri  spracúvaní  ich  osobných  údajov,
–      smernicou  2016/680  sa  zavádzajú  osobitné  pravidlá  týkajúce  sa  spracúvania  týchto  údajov v oblasti  justičnej  spolupráce v trestných  veciach a policajnej  spolupráce.

36.      Ochrana,  ktorú  poskytuje  režim  tvorený  oboma  predpismi,  je  založená  na  zásadách  zákonnosti,  spravodlivosti,  transparentnosti a – v rozsahu  relevantnom  pre  prejednávanú  vec – na  zásade  prísneho  obmedzenia  získavania  údajov a ich  spracúvania  na  účely  stanovené  právnymi  predpismi.(10)

37.      Článok 5 ods. 1 písm. b)  GDPR  konkrétne  stanovuje,  že  údaje  musia  byť  „získavané  na  konkrétne  určené,  výslovne  uvedené a legitímne  účely a nesmú  sa  ďalej  spracúvať  spôsobom,  ktorý  nie  je  zlučiteľný s týmito  účelmi“(11).  Podobne  je  sformulovaný  aj článok 4 ods. 1 písm. b)  smernice  2016/680  ako  lex  specialis.

38.      Osobné  údaje  sa  teda  nemôžu  získavať  ani  spracúvať  všeobecne,  ale  len  na  základe  určených  účelov(12) a pri  dodržaní  podmienok  zákonnosti  stanovených  normotvorcom  Únie.

39.      Zásada  striktnej  súvislosti  medzi  získavaním a spracúvaním  údajov  na  jednej  strane a účelmi,  na  ktoré  obe  operácie  majú  slúžiť,  na  druhej  strane  nemá  absolútnu  povahu,  lebo  tak  GDPR,  ako  aj  smernica  2016/680  pripúšťajú  určitú  flexibilitu,  ako  to  vysvetlím  neskôr.

40.      V spore  vo  veci  samej  má  správny  súd  rozhodnúť,  či  dozorný  orgán  (IVSS)(13) postupoval v súlade s právom,  keď  zamietol  sťažnosť, v ktorej  VS  vytýkal  bulharskej  prokuratúre  nezákonné  spracúvanie  jeho  osobných  údajov.

41.      Ako  som  už  vysvetlil,  uvedené  údaje  boli  získané v dvoch  rôznych  situáciách:
–      v jednom  trestnom  vyšetrovaní,  ktoré  začala  prokuratúra v roku  2013 v súvislosti  so  skutkami, v prípade  ktorých  sa  VS  javil  ako  údajný  poškodený.  Tieto  údaje  sa  neskôr  použili  proti  pánovi  VS  ako  vyšetrovanému v tom  istom  trestnom  konaní,
–      v iných  trestných  vyšetrovaniach z rokov  2016 a 2017,  ktoré  začala  tá  istá  prokuratúra  na  základe  rôznych  trestných  oznámení  podaných  okrem  iného  na  pána  VS  pre  iné  skutky  než  tie,  ktoré  boli  spáchané v roku  2013.(14) V tomto  prípade  prokuratúra  požiadala  (a príslušný  súd  vyhovel  jej  žiadosti) o použitie  údajov  obsiahnutých v spisoch  týkajúcich  sa  uvedených  vyšetrovaní  na  jej  obranu v civilnom  konaní  začatom  na  návrh  pána  VS,  ktorý  sa  domáhal  náhrady  škody.

42.      Otázky  vnútroštátneho  súdu  sa  súčasne  týkajú:
–      zákonnosti  použitia  osobných  údajov  pána  VS v dvoch  po  sebe  idúcich  fázach  toho  istého  trestného  konania  (prvá  prejudiciálna  otázka),
–      zákonnosti  spracúvania  osobných  údajov  pána  VS,  ktoré  boli  získané  počas  trestných  vyšetrovaní  začatých  prokuratúrou a ktoré  chce  prokuratúra  použiť v civilnom  konaní, v ktorom  ju  VS  žaluje  (druhá  prejudiciálna  otázka).

43.      Súhlasím s vnútroštátnym  súdom a so  všetkými  účastníkmi  tohto  prejudiciálneho  konania v tom,  že  spracúvanie  osobných  údajov,  ktoré  je  predmetom  prvej  prejudiciálnej  otázky,  sa  spravuje  smernicou  2016/680.

44.      Podľa článku 1 ods. 1 a článku 2 ods. 1  smernice  2016/680  sa  táto  smernica  vzťahuje  na  spracúvanie  osobných  údajov  príslušnými  orgánmi  na  účely  predchádzania  trestným  činom,  ich  vyšetrovania,  odhaľovania  alebo  stíhania. V tejto  veci  boli  údaje  pána  VS  získané a spracúvané  práve v rámci  trestného  vyšetrovania.

45.      Pokiaľ  však  ide o poskytnutie  osobných  údajov  pre  potreby  civilného  konania  vedeného  proti  prokuratúre  (druhá  prejudiciálna  otázka),  uplatní  sa  GDPR,  ak  toto  poskytnutie  predstavuje  spracúvanie  údajov  na  iné  účely  než  tie,  ktoré  sú  uvedené v článku 1 ods. 1  smernice  2016/680,  ale  spadajú  pod  činnosť,  ktorá  patrí  do  pôsobnosti  práva  Únie.
B.      Prvá prejudiciálna otázka: interné prekvalifikovanie osobných údajov získaných na účely patriace do pôsobnosti smernice 2016/680

46.      Podľa článku 4 ods. 2  smernice  2016/680  spracúvanie  tým  istým  alebo  iným  prevádzkovateľom  na  ktorýkoľvek z účelov  stanovených v článku 1 ods. 1(15),  ktorý  je  iný  než  účel,  na  ktorý  sa  osobné  údaje  získavajú,  je  povolené,  pokiaľ:
a)      je  prevádzkovateľ  oprávnený  na  spracúvanie  takýchto  osobných  údajov  na  tento  účel v súlade s právom  Únie  alebo s právom  členského  štátu;  a
b)      spracúvanie  je  nevyhnutné a primerané  takémuto  inému  účelu v súlade s právom  Únie  alebo s právom  členského  štátu.

47.      Smernica  2016/680  teda  dovoľuje  interné  prekvalifikovanie  osobných  údajov  získaných  na  základe  nej.  Osobné  údaje,  ktoré  boli  získané  na  jeden z účelov  vymenovaných v článku 1 ods. 1  tejto  smernice,  možno  za  určitých  podmienok  tiež  použiť  na  jeden  alebo  viaceré  iné  účely  vymenované v tomto  ustanovení.

48.      Problémom,  ktorý  vyvoláva  prvá  prejudiciálna  otázka,  je,  či  po  tom,  čo  boli  osobné  údaje  pána  VS  získané v čase,  keď  sa  zdalo,  že  je  údajnou  obeťou  prešetrovaného  trestného  činu,  možno  tieto  osobné  údaje  použiť  proti  nemu  ako  vyšetrovanému  alebo  obvinenému  počas  toho  istého  trestného  konania.

49.      Inak  povedané,  treba  objasniť,  či  boli  osobné  údaje  pána  VS  spracúvané  na  ten  istý  účel,  na  ktorý  boli  pôvodne  získané,  alebo  naopak  na  dva  rôzne  účely,  ktoré  však  patria  do  pôsobnosti  smernice  2016/680.  Ak  by  išlo o tento  druhý  prípad,  na  spracúvanie  by  sa  mali  uplatniť  osobitné  podmienky  stanovené v článku 4 ods. 2  uvedenej  smernice.

50.      Vnútroštátny  súd  sformuloval  svoju  prvú  otázku  trochu  nejednoznačne,  pokiaľ  ide o predmet  sporu.  Doslovne  sa  pýta,  či  sa  má článok 1 ods. 1  smernice  2016/680  vykladať  „v tom  zmysle,  že  pri  uvedení  cieľov  sú  pojmy  ‚predchádzani[e] trestným  činom,  ich  vyšetrovani[e],  odhaľovani[e] alebo  stíhani[e]‘  vymenované  ako  aspekty  všeobecného  cieľa“.

51.      Vzhľadom  na  opis,  ktorý  uvádza  vnútroštátny  súd,  by  možno  bolo  vhodné  preformulovať  jeho  prvú  otázku,  ako  to  navrhli  účastníci  konania  vo  veci  samej a ďalší  účastníci  tohto  prejudiciálneho  konania.  Namiesto  rozboru  abstraktného  vzťahu  medzi  všeobecným a osobitným  účelom  je  skutočne  rozhodujúce  (a toho  sa v skutočnosti  týkala  sťažnosť  pána  VS),  či  je v rámci  trestného  konania,  ktoré  sa  spravuje  smernicou  2016/680,  účel,  na  základe  ktorého  boli  získané  údaje  od  určitej  osoby v postavení  údajnej  obete  trestného  činu,  stále  splnený,  ak  sa  na  základe  týchto  údajov v tom  istom  konaní  neskôr  vznesie  obvinenie  voči  tejto  osobe.

52.      Gramatický  výklad článku 1 ods. 1  smernice  2016/680  nasvedčuje  tomu,  že v rámci  neho  možno  rozlíšiť  tri  kategórie  účelov,  ktoré  zodpovedajú  rôznym  štádiám a činnostiam:
–      po  prvé  účel  týkajúci  sa  „predchádzania“,  vrátane  účelu  týkajúceho  sa  predchádzania  ohrozeniu  verejnej  bezpečnosti,
–      po  druhé  účel  týkajúci  sa  „vyšetrovania“  (v širšom  zmysle)  skutkov,  ktoré  môžu  byť  trestné,  ktorý  zahŕňa  ich  odhaľovanie,  ich  vyšetrovanie v pravom  zmysle  slova a stíhanie  trestných  činov,
–      napokon  účel  týkajúci  sa  „výkonu  trestných  sankcií“.

53.      Zo  systematického  alebo kontextového  hľadiska článok 4 ods. 2  smernice  2016/680  nasvedčuje  tomu,  že  každý z týchto  účelov  sa  má  považovať  za  samostatný.  Ak  by  to  nebolo  tak – ako  poznamenala  holandská  vláda  –,  uvedené  ustanovenie  by  bolo  bezpredmetné,  lebo  je v ňom  spomenutý  práve  „ktorýkoľvek z účelov  stanovených v článku 1 ods. 1,  ktorý  je  iný  než  účel,  na  ktorý  sa  osobné  údaje  získavajú“.

54.      Vychádzajúc z tohto  predpokladu,  pokúsim  sa  vysvetliť,  prečo  sporné  údaje  boli v tejto  veci  získané a spracúvané  na  jeden z účelov  (účel  týkajúci  sa  „vyšetrovania“)  spomenutých v článku 1 ods. 1  smernice  2016/680, z čoho  vyplýva,  že  sa  uplatní  táto  smernica a v dôsledku  toho  je  spracúvanie  zákonné.

55.      Subsidiárne,  ak  by  získanie a spracúvanie  sledovali  dva z účelov  vymenovaných v článku 4 ods. 2  smernice  2016/680,  ich  zákonnosť  by  tiež  nebola  sporná.
1.      Ten istý účel

56.      V trestnom  vyšetrovaní  sa  nedá  vždy  už  na  začiatku  určiť  procesné  postavenie  zúčastnených  osôb.  Cieľom  tohto  vyšetrovania  je v mnohých  prípadoch  identifikovať, a teda  „kategorizovať“  osoby,  ktoré  sa  na  prvý  pohľad  zdajú  byť  páchateľmi,  obeťami  alebo  svedkami  predmetných  skutkov.

57.      Je  logické,  že  počas  tejto  prípravnej  fázy  kategorizácia  nie  je  úplne  ustálená.  Vyšetrovanie  musí – na  základe  výsledkov,  ktoré  prinesie – viesť k presnému  určeniu  postavenia,  ktoré  budú  mať  uvedené  osoby v súdnom  konaní, v ktorom  sa  budú  prejedávať  predmetné  skutky.

58.      Tak  je  to  najmä v prípadoch,  ako  je  prejednávaný  prípad.  Podľa  vnútroštátneho  súdu  došlo k súbežným  násilným  činom,  ktorých  sa  dopustili  viaceré  osoby.  Jedna z nich,  ktorá  sa  pôvodne  javila  ako  poškodená,  bola  napokon  obvinená  ako  páchateľ  uvedených  násilných  činov.

59.      Za  týchto  okolností  vykonávaná  činnosť  ako  celok  zodpovedá  pojmu  „vyšetrovanie“ v zmysle článku 1 ods. 1  smernice  2016/680.  Uvedená  činnosť  teda  mala  jediný  cieľ,  ktorý  zodpovedá  jednému z „účelov“,  na  ktoré  sa  môžu  osobné  údaje  spracúvať.

60.      Vnútroštátny  súd  však  pochybuje,  či  je  uvedený  výklad článku 1 ods. 1  smernice  2016/680  zlučiteľný s odôvodnením  31  tejto  smernice.(16)

61.      Súhlasím s názorom  väčšiny  účastníkov  konania,  že  uvedené  odôvodnenie,  tak  ako článok 6 smernice  2016/680, v ktorom  je  prevzatý  jeho  obsah,  nie  sú  dôležité  na  určenie,  či  došlo k zmene  účelov,  ktorá  je  spomenutá v článku 4 ods. 2  tejto  smernice.

62.      Podľa článku 6 smernice  2016/680  je  potrebné  jasne  rozlišovať  medzi  osobnými  údajmi  rôznych  kategórií  dotknutých  osôb  iba  „v príslušných  prípadoch a v najväčšej  možnej  miere“. Z vyššie  uvedených  dôvodov  nie  je  jednoduché v počiatočnom  vyšetrovaní  začatom  pre  skutky,  ako  sú  tie,  ku  ktorým  došlo v tomto  prípade,  jasne a od  začiatku  rozlišovať  „rôzne  kategórie  dotknutých  osôb“.  Okrem  toho  osoba,  ktorá  sa  podieľala  na  týchto  skutkoch,  môže  byť  obeťou a zároveň  páchateľom  násilných  činov.

63.      Aj  keby  prevádzkovateľ  spracúvania  údajov  zadovážených  počas  trestného  vyšetrovania  dokázal  na  začiatku a počas  celého  vyšetrovania  jasne  rozlišovať  medzi  poškodenými,  podozrivými a svedkami,  účel,  na  ktorom  je  založené  získavanie a spracúvanie  týchto  údajov  (vyšetrovanie),  by  sa  nezmenil.

64.      Inak  povedané,  ak  sa  osobám,  ktoré  vystupujú v trestnom  vyšetrovaní,  postupne  prizná  také  či  onaké  postavenie  (poškodený,  svedok,  páchateľ),  nevyhnutne  to  nepredstavuje  zmenu  účelov v zmysle článku 4 ods. 2  smernice  2016/680.
2.      Dva súbežné účely

65.      Subsidiárne v prípade,  ak  by  nastala  situácia  uvedená v článku 4 ods. 2  smernice  2016/680,  spracúvanie  sporných  osobných  údajov  by  spĺňalo  podmienky  zákonnosti  stanovené v tejto  smernici.  Poukázali  na  to  bulharská  vláda a česká  vláda, s ktorými  súhlasím.

66.      Aj  keď  prináleží  vnútroštátnemu  orgánu  overiť  to,  podľa  všetkého  niet  pochýb,  že  bulharská  prokuratúra  by  podľa  vnútroštátneho  práva  bola  orgánom,  ktorý  je  prevádzkovateľom  spracúvania  osobných  údajov  pána  VS  „na  ktorýkoľvek z účelov  stanovených v článku 1 ods. 1,  ktorý  je  iný  než  účel,  na  ktorý  sa  osobné  údaje  získavajú“.  Prvá  podmienka  stanovená v článku 4 ods. 2 písm. a)  smernice  2016/680  je  teda  splnená.

67.      Pokiaľ  ide o druhú  podmienku  stanovenú v článku 4 ods. 2 písm. b)  tejto  smernice  (aby  „spracúvanie  [bolo]  nevyhnutné a primerané  takémuto  inému  účelu“),  domnievam  sa,  že
–      spracúvanie  je  nevyhnutné z dôvodu  neistoty a neurčitosti,  ktorými  sa  vyznačuje  prvé  trestné  vyšetrovanie,
–      primeranosť  spracúvania  musí  posúdiť  vnútroštátny  súd,  pričom  musí  zvážiť,  či  bolo  spracúvanie  obmedzené  na  to,  čo  je  striktne  nevyhnutné  na  dosiahnutie  dodatočného  účelu.

68.      Ak  sa  podmienky  stanovené v článku 4 ods. 2  smernice  2016/680  uplatnia  na  túto  vec,  nie  sú  veľmi  významné a potvrdí  sa,  že  sporné  osobné  údaje  sa  spracúvali  len  na  jeden  účel:  spracúvanie,  ktoré  neskôr  viedlo k obvineniu  dotknutej  osoby,  logicky  nadväzuje  na  ich  pôvodné  spracúvanie.

69.      Nebolo  by  teda  potrebné  potvrdiť  právomoc  nového  prevádzkovateľa  spracúvania  údajov  (ktorý  by  bol  stále  rovnaký)  ani  by  nevznikli  ťažkosti  spojené s preukázaním  nevyhnutnosti  druhého  spracúvania  (ku  ktorému  došlo v rámci  toho  istého  konania),  ak  sa  kritérium  primeranosti  vzťahuje  na  každé  spracúvanie,  ako  to  vyplýva  zo  zásad  vymenovaných v článku 4 ods. 1  smernice  2016/680.
C.      Druhá prejudiciálna otázka: interné prekvalifikovanie získaných osobných údajov

70.      V článku 9 ods. 1  smernice  2016/680  je  stanovená  možnosť  interného  prekvalifikovania  osobných  údajov  získaných  na  základe  tejto  smernice.

71.      Článok 9 ods. 1  smernice  2016/680,  ktorý  vychádza z pravidla,  že  uvedené  údaje  „sa  nesmú  spracúvať  na  iné  účely,  ako  sú  účely  stanovené v článku 1 ods. 1“  tejto  smernice,  stanovuje  výnimku  pre  prípad,  že  ich  spracúvanie  na  iné  účely  než  tie,  ktoré  sú  uvedené v článku 1 ods. 1,  je  prípustné  podľa  práva  Únie  alebo  práva  členského  štátu. V takom  prípade  sa  uplatní  GDPR  (pokiaľ  predmetná  činnosť  patrí  do  pôsobnosti  práva  Únie).

72.      Vnútroštátny  súd  sa  svojou  druhou  prejudiciálnou  otázkou  pýta,  či
–      sa  GDPR  uplatní  na  prípad, v ktorom  sa  informácie  získané v trestnom  vyšetrovaní  začatom  prokuratúrou  neskôr  použijú  ako  prostriedok  na  obranu  tejto  prokuratúry v civilnom  konaní  začatom  proti  nej  na  základe  návrhu  osoby,  ktorej  sa  tieto  údaje  týkajú,
–      za  predpokladu,  že  odpoveď  na  uvedenú  otázku  bude  kladná,  slovné  spojenie  „oprávnené  záujmy“  uvedené v článku 6 ods. 1 písm. f)  GDPR  zahŕňa  poskytnutie  sporných  údajov  na  účely  obrany  prokuratúry v uvedenom  civilnom  konaní.
1.      Prípustnosť otázky

73.      IVSS  tvrdí,  že  vzhľadom  na  to,  že  sťažnosť  pána  VS  už  bola  zamietnutá  ako  oneskorená,  druhá  prejudiciálna  otázka  je  neprípustná.

74.      S touto  námietkou  nesúhlasím.

75.      Súdny  dvor  môže  odmietnuť  návrh  na  začatie  prejudiciálneho  konania  podaný  vnútroštátnym  súdom  len  vtedy,  ak  je  zjavné,  že  požadovaný  výklad  práva  Únie  nemá  nijakú  súvislosť s existenciou  alebo  predmetom  sporu  vo  veci  samej,  pokiaľ  ide o hypotetický  problém  alebo  ak  Súdny  dvor  nedisponuje  skutkovými  ani  právnymi  okolnosťami  potrebnými  na  užitočnú  odpoveď  na  otázky,  ktoré  sa  mu  položili.(17)

76.      Námietka  IVSS  sa  týka  aspektu,  ktorý  patrí  do  výlučnej  pôsobnosti  vnútroštátneho  súdu.  Len  jemu  prináleží  na  vlastnú  zodpovednosť  vymedziť  skutkové  okolnosti a právnu  úpravu, v rámci  ktorých  sa  kladie  otázka  Súdnemu  dvoru.(18)

77.      Tak  posúdenie  oneskorenosti,  na  ktorú  poukazuje  IVSS,  ako  aj  posúdenie  jej  významu  na  účely  konania  sú  okolnosti,  ktoré  môže  posúdiť  jedine  vnútroštátny  súd. V tejto  veci  uvedený  súd  potvrdil,  že  otázka  je  relevantná  pre  rozhodnutie  vo  veci  samej, a to  napriek  oneskorenosti,  ktorú  namieta  IVSS.(19)

78.      Súdny  dvor  nemôže  preskúmať  uvedené  posúdenie a musí  sa v zásade  riadiť  výkladom a uplatňovaním  vnútroštátnych  procesných a hmotnoprávnych  predpisov, z ktorých  vychádzajú  súdy  pri  vymedzení  rámca, v ktorom  sa  podáva  návrh  na  začatie  prejudiciálneho  konania.
2.      O veci samej

79.      Vzhľadom  na  dôvody,  ktoré  uvádza  vnútroštátny  súd s cieľom  odôvodniť  podanie  druhej  prejudiciálnej  otázky,  tento  súd v skutočnosti  žiada  Súdny  dvor,  aby  určil,  či  poskytnutie  sporných  údajov  predstavuje  „spracúvanie  údajov“ v zmysle článku 4 bodov 1 a 2  GDPR(20) a či  toto  spracúvanie  bolo  podľa článku 6 GDPR  zákonné.
a)      Existencia spracúvania údajov

80.      Pojmy  „osobné  údaje“ a „spracúvanie“  sú v článku 4 bodoch 1 a 2  GDPR,  ako  aj v článku 3 bodoch 1 a 2  smernice  2016/680  vymedzené  rovnako.

81.      Podľa uvedených  definícií  som  dospel k záveru,  že  prokuratúra  chcela  použiť  na  svoju  obranu v civilnom  konaní  „informácie  týkajúce  sa  identifikovanej fyzickej  osoby“,  ktorých  súčasťou  boli  „osobné  údaje“  pána  VS.

82.      Pri  poskytnutí  uvedených  osobných  údajov  pre  potreby  civilného  konania  došlo k viacerým  „operáciám“  predstavujúcim  „spracúvanie  údajov“  bez  súhlasu  dotknutej  osoby.  Prinajmenšom  bolo  potrebné,  aby  si  ich  samotná  prokuratúra  prehliadla s cieľom  posúdiť,  či  môžu  byť  užitočné  na  obranu  jej  stanoviska v civilnom  konaní.  Navyše  možno  predpokladať,  že  uvedené  údaje  boli s tým  istým  cieľom – hoci  aj  minimálne – usporiadané,  štruktúrované,  prepracované  alebo zmenené a samozrejme  poskytované a šírené,  keď  prokuratúra  požiadala o ich  vloženie  do  spisu  týkajúceho  sa  civilného  konania.(21)

83.      Prokuratúra  tým,  že  zaznamenala  informácie  obsiahnuté v spisoch  týkajúcich  sa  trestných  vyšetrovaní,  vložila  ich  do  svojich  archívov,  uchovávala a prehliadala  ich a navrhla,  aby  ich  civilný  súd  pripustil  ako  dôkaz, v konečnom  dôsledku  vykonala  spracúvanie  osobných  údajov  pána  VS.

84.      IVSS a Komisia  tvrdia,  že  prokuratúra  môže  byť  len  „prevádzkovateľom“  ako  príslušný  orgán  na  účely  trestnoprávnej  povahy,  ktoré  patria  do  pôsobnosti  smernice  2016/680.

85.      Z toho  podľa  môjho  názoru  nevyplýva,  že  druhá  prejudiciálna  otázka  je  bezpredmetná,  ako  to  tvrdí  IVSS.  Skôr  to  znamená,  že  zákonnosť  spracúvania  bude  potrebné  na  základe článku 9 ods. 1  smernice  2016/680  overiť z hľadiska  GDPR.

86.      Súd,  ktorý  má  právomoc  rozhodnúť  civilný  spor,  bude  prevádzkovateľom  spracúvania  údajov v tomto  konaní,  keď  sa  vložia  do  spisu  týkajúceho  sa  tohto  konania.  Jeho  rozhodnutia  sú  vyňaté z dohľadu  dozorného  orgánu  podľa článku 55 ods. 3  GDPR,  pokiaľ  sa  prijímajú  pri výkone  súdnej  právomoci.(22)

87.      Vnútroštátny  súd  však  obmedzuje  svoju  otázku  na  uplatniteľnosť  GDPR v prípade,  ak  sa  prokuratúra  usiluje  použiť  informácie,  ktoré  získala  ako  „prevádzkovateľ“ v zmysle  smernice  2016/680,  na  svoju  obranu v civilnom  konaní.

88.      Vzhľadom  na  vyššie  uvedené  sa  domnievam,  že  GDPR  sa  uplatní,  lebo  medzi  účelmi,  ktoré  sú  uvedené v článku 1 ods. 1  smernice  2016/680,  sa  nenachádza  obrana  prokuratúry v civilnom  konaní.
b)      Zákonnosť spracúvania z hľadiska GDPR

89.      Podmienky  zákonnosti  spracúvania  osobných  údajov  sú  vymenované v článku 6 ods. 1  GDPR:  „spracúvanie  je  zákonné  iba  vtedy a iba v tom  rozsahu,  keď  je  splnená  aspoň  jedna z týchto  podmienok“,  ktoré  sú  opísané  ďalej.  Výpočet  týchto  podmienok  je  taxatívny.(23)

90.      Domnievam  sa,  že  spomedzi  uvedených  podmienok  nie  je  splnená  podmienka  založená  na  súhlase  dotknutej  osoby  [písmeno  a)],  podmienka  založená  na  plnení  zmluvy  [písmeno  b)],  podmienka  založená  na  splnení  zákonnej  povinnosti  [písmeno  c)](24) ani  podmienka  založená  na  ochrane  životne  dôležitých  záujmov  dotknutej  osoby  alebo  tretej  osoby  [písmeno  d)].

91.      Podľa  vnútroštátneho  súdu  je  splnená  podmienka  stanovená v článku 6 ods. 1 písm. f)  GDPR.  Ako  však  uviedla  Komisia, článok 6 ods. 1  posledný  pododsek  GDPR  vylučuje  jej  uplatnenie v tejto  veci,  lebo  uvedená  podmienka  „sa  nevzťahuje  na  spracúvanie  orgánmi  verejnej  moci  pri  plnení  ich  úloh“.(25)

92.      Bulharská  vláda,  ktorú v tomto  smere  podporila  česká a holandská  vláda, v reakcii  na  otázku  Súdneho  dvora  trvala  na  tom,  že  sa  uplatní  podmienka  uvedená v článku 6 ods. 1 písm. f)  GDPR.  Táto  vláda  uvádza,  že  je  potrebné  zohľadniť  „povahu  činnosti,  ktorú  vykonáva  prokuratúra“,  ktorá  je  síce  verejnoprávnym  subjektom,  no  môže  sa  zúčastňovať  na  civilných  konaniach  ako  „rovnocenná  strana“.(26)

93.      „Oprávnené  záujmy“,  ktoré  by  prokuratúra  bránila  ako  orgán  verejnej  moci v konaní, v ktorom  je  žalovanou z dôvodu  zodpovednosti  za  jej  postup v konaní,  sú  však  vylúčené z prípadu  uvedeného v článku 6 ods. 1 písm. f)  GDPR,  lebo  to  výslovne  stanovuje článok 6 ods. 1  posledný  pododsek  GDPR.

94.      Pre  orgány,  ktoré  plnia  úlohy,  ktoré  im  zveruje  zákon  (v tomto  prípade  podávajú  obžalobu a zastupujú  štát v konaniach o návrhoch  na  náhradu  škody),  je  rozhodujúcim  záujmom  na  účely článku 6 ods. 1  GDPR  verejný  záujem,  ktorý  plnia,  podľa  písmena  e)  tohto  ustanovenia.

95.      Podmienka  uvedená v písmene  f)  sa  vzťahuje  na  oprávnené  záujmy,  ktoré  sleduje  prevádzkovateľ  alebo  tretia  strana, s výnimkou  prípadov,  keď  nad  takýmito  záujmami  prevažujú  záujmy  alebo  základné  práva a slobody  dotknutej  osoby,  ktoré  si  vyžadujú  ochranu  osobných  údajov.

96.      Uvedená  podmienka  sa  teda  netýka  tak  možností  obrany  orgánov  verejnej  moci – ktoré  sa  môžu  realizovať  prostredníctvom  písmena  e) – ako  prípadnej  prednosti  záujmov,  práv a slobôd  dotknutej  osoby  vo  vzťahu k prevádzkovateľovi  alebo  tretej  strane.  Uplatňuje  sa  skôr  na  spory  medzi  (súkromnými)  osobami,  ktorých  záujmy  nemajú  verejnoprávny  charakter.

97.      Keďže  prokuratúra  prirodzene  koná v postavení  štátnej  inštitúcie,  je  potrebné  posúdiť,  či  má  sporné  spracúvanie  oporu v článku 6 ods. 1 písm. e)  GDPR.

98.      Tak  by  to  bolo,  ak  by  bolo  uvedené  spracúvanie  „nevyhnutné  na  splnenie  úlohy  realizovanej  vo  verejnom  záujme  alebo  pri  výkone  verejnej  moci  zverenej  prevádzkovateľovi“.

99.      Budem  sa  podrobnejšie  venovať  prvému z týchto  dvoch  účelov  bez  toho,  aby  bolo  potrebné  zaoberať  sa  druhým z nich(27),  aby  som  mohol  určiť,  či  účasť  prokuratúry  na  civilnom  konaní, v ktorom  sa  od  nej  žiada  náhrada  škody  za  jej  konanie,  zodpovedá  plneniu  úlohy  vo  verejnom  záujme.

100. Podľa  vnútroštátneho  práva(28) je  úlohou  prokuratúry  zastupovať  štát v konaniach  týkajúcich  sa  mimozmluvnej  zodpovednosti  za  škodu,  ktorú  spôsobila  svojím  omeškaním. V tom  istom  rozsahu  prokuratúra v konaniach  bráni  všeobecné  (finančné)  záujmy  štátu, a preto  plní  úlohu  vo  verejnom  záujme.(29)

101. Podľa článku 9 ods. 1  smernice  2016/680  je  podmienkou  interného  prekvalifikovania  údajov  získaných v konaniach,  aby  ich  spracúvanie  bolo  prípustné  podľa  práva  Únie  alebo  práva  členského  štátu. V rozsahu  relevantnom  pre  prejednávanú  vec  prináleží  vnútroštátnemu  súdu  overiť,  či  je  také  spracúvanie  prípustné v prípade  plnenia  úlohy  vo  verejnom  záujme,  ktorá  je  zverená  prokuratúre  na  účely  ochrany  majetku  štátu.

102. Podľa článku 6 ods. 3  GDPR  právny  základ  spracúvania  uvedeného v odseku  1 písm. e)  „môže  obsahovať  osobitné  ustanovenia  na  prispôsobenie  uplatňovania  pravidiel“  GDPR.(30) Ak  uvedený  právny  základ  stanovuje  právo  členského  štátu,  ktoré  sa  vzťahuje  na  prevádzkovateľa,  prináleží  vnútroštátnemu  súdu,  aby  ho  určil.(31)

103. Napokon,  aj  keby  vnútroštátny  súd  neidentifikoval  relevantný  právny  základ, o zlučiteľnosti  sporného  spracúvania s účelom,  na  ktorý  boli  sporné  údaje  získané,  bude  potrebné  rozhodnúť  podľa článku 6 ods. 4  GDPR. V tejto  súvislosti  treba  vziať  do  úvahy  okrem  iného  akúkoľvek  súvislosť  medzi  pôvodnými  účelmi a dodatočným  účelom,  okolnosti,  za  ktorých  boli  osobné  údaje  obstarané, a ich  povahu,  možné  následky  tohto  nového  spracúvania  pre  dotknutú  osobu a existenciu  primeraných  záruk.
V.      Návrh

104. Na  základe  vyššie  uvedeného  navrhujem,  aby  Súdny  dvor  odpovedal  na  prejudiciálne  otázky,  ktoré  mu  položil  Administrativen  săd  Blagoevgrad  (Správny  súd  Blagoevgrad,  Bulharsko),  takto:
1.      Článok 4 ods. 2  smernice Európskeho parlamentu a Rady (EÚ) 2016/680 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov príslušnými orgánmi na účely predchádzania trestným činom, ich vyšetrovania, odhaľovania alebo stíhania alebo na účely výkonu trestných sankcií a o voľnom pohybe takýchto údajov a o zrušení rámcového rozhodnutia Rady 2008/977/SVV sa  má  vykladať v tom  zmysle,  že  údaje  obstarané  od  osoby v postavení  údajnej  obete  trestného  činu,  ktoré  boli  získané v rámci  trestného  konania,  sa  spracúvajú  na  ten  istý  účel,  na  ktorý  boli  získané,  ak  je  táto  osoba v tom  istom  trestnom  konaní  neskôr  obvinená.
2.      Článok 9 ods. 1  smernice  2016/680  sa  má  vykladať v tom  zmysle,  že  nariadenie Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES,  sa  uplatní  na  použitie  informácií,  ktoré  boli  zadovážené v trestnom  vyšetrovaní,  prokuratúrou  na  jej  obranu v civilnom  konaní.
3.      Poskytnutie  osobných  údajov  získaných v rámci  trestného  vyšetrovania,  ktorému  predchádzalo  ich  zaznamenávanie,  uchovávanie a prehliadanie,  na  účely  obrany  prokuratúry v civilnom  konaní, v ktorom  sa  od  nej  žiada  náhrada  škody  spôsobenej  jej  činnosťou  pri  výkone  jej  úloh,  predstavuje  „spracúvanie  osobných  údajov“ v zmysle článku 4 bodu 1 nariadenia  2016/679.
4.      Zákonnosť  uvedeného  spracúvania  môže  byť v zásade  založená  na článku 6 ods. 1 písm. e)  nariadenia  2016/679.

1      Jazyk prednesu: španielčina.

2      Nariadenie Európskeho parlamentu a Rady (EÚ) z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (Ú. v. EÚ L 119, 2016, s. 1)  (ďalej  len  „GDPR“).

3      Smernica Európskeho parlamentu a Rady z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov príslušnými orgánmi na účely predchádzania trestným činom, ich vyšetrovania, odhaľovania alebo stíhania alebo na účely výkonu trestných sankcií a o voľnom pohybe takýchto údajov a o zrušení rámcového rozhodnutia Rady 2008/977/SVV (Ú. v. EÚ L 119, 2016, s. 89).

4      DV č. 56 z 13. júla 1991.

5      Zákon o ochrane osobných údajov (DV č. 1 zo 4. januára 2002). Citované znenie jeho ustanovení zodpovedá zneniu, ktoré bolo účinné v čase spáchania sporných skutkov.

6      Spis  okresnej  prokuratúry  Petrič č. 1548/2013.

7      Podľa  rozhodnutia  vnútroštátneho  súdu  (bod 8.1)  bol  tento  trestný  čin  vymedzený v § 325 ods. 1 v spojení s § 20 ods. 2  Nakazatelen kodeks (Trestný  zákon).

8      Veci č. 517/2016,  1870/2016,  1872/2016 a 2217/2016.

9      Civilné  konanie č. 144/2018.

10      Odôvodnenie  39  GDPR a odôvodnenie  26  smernice  2016/680.

11      Kurzívou  zvýraznil  generálny  advokát.

12      Tieto  účely  sú  vymenované v článku 1 ods. 1  smernice  2016/680  (pozri  poznámku  pod  čiarou  15  nižšie).  Mimo  samotnej  pôsobnosti  smernice  2016/680  sú  účelmi,  ktoré  pripúšťa  GDPR,  všetky  potenciálne  zákonné  účely.  Uplatňuje  sa  preto  zásada  voľnosti, k obmedzeniu  ktorej  dochádza  na  úrovni  zákonnosti  podmienok  spracúvania  údajov a práv  dotknutej  osoby  (kapitoly II a III  GDPR).

13      Podľa článku 45 ods. 2  smernice  2016/680  každý  členský  štát „stanoví,  že  každý  dozorný  orgán  nie  je  príslušný  na  vykonávanie  dozoru  nad  spracovateľskými  operáciami  na  súdoch,  ak  ide o výkon  ich  súdnej  právomoci“.

14      Aj  keď v informáciách  poskytnutých  vnútroštátnym  súdom  to  nie  je  výslovne  uvedené,  všetko  nasvedčuje  tomu,  že  ide v skutočnosti o odlišné  skutky.

15      Podľa článku 1 ods. 1  smernice  2016/680  sú  to  účely  „predchádzania  trestným  činom,  ich  vyšetrovania,  odhaľovania  alebo  stíhania  alebo…  výkonu  trestných  sankcií,  vrátane  ochrany  pred  ohrozením  verejnej  bezpečnosti a predchádzania  takémuto  ohrozeniu“.  Španielska  verzia  tohto  ustanovenia  sa  odlišuje  od  verzie v iných  úradných  jazykoch,  pokiaľ  ide o pojem  „enjuiciamiento“  („súdne  konanie“).  Vo  francúzskej  verzii  je  použité  podstatné  meno  „poursuites“,  ktorý  je  rovnocenný  podstatnému  menu  „prosecution“ v anglickej  verzii,  podstatnému  menu  „perseguimento“ v talianskej  verzii,  podstatnému  menu  „Verfolgung“ v nemeckej  verzii  alebo  podstatnému  menu  „vervolging“ v holandskej  verzii. V týchto a ďalších  verziách  (okrem  španielskej)  sa  hovorí o činnosti,  ktorá  predchádza  „súdnemu  konaniu“ v pravom  zmysle  slova,  ktoré  vykonávajú  výlučne  súdy.

16      „K spracúvaniu  osobných  údajov v oblasti  justičnej  spolupráce v trestných  veciach a v oblasti  policajnej  spolupráce  nevyhnutne  patrí  spracúvanie  osobných  údajov,  ktoré  sa  týkajú  rôznych  kategórií  dotknutých  osôb.  Preto  by  sa  tam,  kde  je  [t]o uplatniteľné,  malo v čo  najväčšom  možnom  rozsahu  jasne  rozlišovať  medzi  osobnými  údajmi  rôznych  kategórií  dotknutých  osôb…“.  Kurzívou  zvýraznil  generálny  advokát.

17      Rozsudok z 27. septembra  2017,  Puškár  (C‑73/16,  EU:C:2017:725, bod 50).

18      Rozsudok  zo  17. júla  2014,  YS a i. (C‑141/12 a C‑372/12,  EU:C:2014:2081, bod 63).

19      Bod 34.12  tretí  odsek  rozhodnutia  vnútroštátneho  súdu.

20      Konštatuje  sa  to v bode 34.12  prvom  odseku  rozhodnutia  vnútroštátneho  súdu.

21      So  žiadosťou o pripustenie  údajov  obsiahnutých v spisoch  prokuratúry  ako  dôkazu  je  spojené  poskytnutie  údajov o osobe  VS,  lebo  táto  žiadosť  musela  byť  založená  na – aspoň  nepriamom – význame  uvedených  údajov,  ktorý  je  zrejmý  pri  pohľade  na  ich  obsah.

22      Pozri v súvislosti s výkladom  tohto  ustanovenia  rozsudok z 24. marca 2022,  Autoriteit  Persoonsgegevens  (C‑245/20,  EU:C:2022:216, bod 23 a nasl.).

23      Pozri v súvislosti s podobne  sformulovaným  znením  smernice  Európskeho  parlamentu a Rady  95/46/EHS z 24. októbra  1995 o ochrane  fyzických  osôb  pri  spracovaní  osobných  údajov a voľnom  pohybe  týchto  údajov  (Ú. v. ES L 281,  1995,  s. 31;  Mim.  vyd.  13/015,  s. 355)  rozsudok z 24. novembra  2011,  ASNEF  (C‑468/10 a C‑469/10,  EU:C:2011:777).

24      Prokuratúra  nie  je  podľa  zákona  povinná  navrhnúť  vloženie  sporných  údajov  do  spisu  týkajúceho  sa  civilného  konania.

25      Podľa  odôvodnenia  47  GDPR,  „keďže  je  úlohou  zákonodarcu,  aby v právnych  predpisoch  stanovil  právny  základ  pre  spracúvanie  osobných  údajov  orgánmi  verejnej  moci,  tento  právny  základ  by  sa  nemal  vzťahovať  na  spracúvanie  orgánmi  verejnej  moci  pri  plnení  ich  úloh“.

26      Body 45 a 49  písomnej  odpovede  bulharskej  vlády  na  otázku  Súdneho  dvora.

27      Ako  uvádza  holandská  vláda,  obrana  záujmov  štátu v civilnom  konaní  ako  taká  samostatne  nepredstavuje  výkon  verejnej  moci,  ktorá  je  spomenutá v článku 6 ods. 1 písm. e)  druhej časti GDPR.

28      Zakon  za  otgovornostta  na  daržavata i obštinite  za  vredi  (zákon o zodpovednosti  štátu a obcí  za  škodu;  DV č. 60 z 5. augusta  1988).  Bulharská  vláda v reakcii  na  otázku  Súdneho  dvora  vysvetlila,  že  právnym  základom  žaloby  proti  prokuratúre  podanej  na  civilnom  súde  je § 2b  tohto  zákona,  ktorý  upravuje  požiadavky a podmienky  vzniku  mimozmluvnej  zodpovednosti  štátu v prípade  porušenia  práva  na  prejednanie  veci v primeranej  lehote.

29      Podľa  bulharských  právnych  predpisov  sa  musí  žaloba o určenie  zodpovednosti  podať  proti  orgánu,  ktorému  sa  vytýka,  že  spôsobil  škodu.  Tento  orgán  má  postavenie  žalovaného v príslušnom  civilnom  konaní.  Odhliadnuc  od  tejto  organizácie  konania,  je  nesporné,  že  žaloba o náhradu  škody  smeruje v konečnom  dôsledku  proti  štátu  ako  celku,  ktorý v každom  prípade  zastupuje  ten z jeho  orgánov,  ktorý  priamo  spôsobil  (údajnú)  škodu, o náhradu  ktorej  sa  žiada.

30      Uvedené  ustanovenia  sa  môžu  týkať  „všeobecných  podmienok  vzťahujúcich  sa  na  zákonnosť  spracúvania  prevádzkovateľom;  typov  spracúvaných  údajov;  dotknutých  osôb;  subjektov,  ktorým  sa  môžu  osobné  údaje  poskytnúť, a účel[ov],  na  ktoré  ich  možno  poskytnúť;  obmedzenia  účelu;  doby  uchovávania; a spracovateľských  operácií a postupov  vrátane  opatrení  na  zabezpečenie  zákonného a spravodlivého  spracúvania,  ako  napríklad  tie  na  iné  osobitné  situácie  spracúvania,  ako  sú  stanovené v kapitole IX“.

31      Bulharská  vláda v reakcii  na  otázku  Súdneho  dvora  uviedla,  že  právny  základ  treba  hľadať v kontexte  dvojakého  postavenia  prokuratúry,  ktorá  na  jednej  strane  koná v mene  štátu v civilnom  konaní a na  druhej  strane  vydáva  úradný  dokument,  ktorý  má  právny  význam  pre  konanie.  Existoval  by  teda  dvojaký  právny  základ:  právny  základ  spočívajúci v článku 6 ods. 1 písm. c)  GDPR  týkajúci  sa  „orgánu,  ktorý  vydal  úradný  dokument“, v zmysle § 179 v spojení s § 186  civilného  súdneho  poriadku a právny  základ  spočívajúci v článku 6 ods. 1 písm. e)  GDPR  týkajúci  sa  účastníka  konania,  ktorý  plní  svoje  zákonné  povinnosti  (body 31 a 32  písomnej  odpovede  bulharskej  vlády).