CELEX: 62021CC0180
Language: hr
Date: 2022-05-19 00:00:00
Title: Mišljenje nezavisnog odvjetnika Campos Sánchez-Bordona iznesen 19. svibnja 2022.###

Privremena verzija
MIŠLJENJE NEZAVISNOG ODVJETNIKA
MANUELA CAMPOSA SÁNCHEZ-BORDONE
od 19. svibnja 2022.(1)

Predmet C-180/21

VS

protiv

Inspektor v Inspektorata kam Visšia sadeben savet,

uz sudjelovanje:

Teritorialno otdelenie – Petrič kam Rajonna prokuratura – Blagoevgrad

(zahtjev za prethodnu odluku koji je uputio Administrativen sad – Blagoevgrad (Upravni sud u Blagoevgradu, Bugarska))
„Zahtjev za prethodnu odluku – Zaštita pojedinaca u vezi s obradom osobnih podataka – Uredba (EU) 2016/679 – Članci 4. i 6. – Direktiva (EU) 2016/680 – Članci 1., 2., 3., 4. i 9. – Zakonitost obrade osobnih podataka u okviru kaznenog postupka – Obrada podataka koji se odnose na žrtvu kaznenog djela u svrhu kasnijeg podizanja optužnice protiv nje i obrane državnog odvjetništva u građanskom postupku – Izraz ‚u svrhu koja je različita od svrhe u koju su podaci prikupljeni’”

1.        Temeljno načelo Uredbe (EU) 2016/679(2), općeg propisa u području zaštite osobnih podataka i Direktive (EU) 2016/680(3) (lex specialis iz istog područja u kaznenim postupcima) jest načelo ograničavanja prikupljanja takvih podataka i njihove obrade u posebne, zakonom predviđene svrhe.

2.        Sud u ovom predmetu treba odgovoriti na dvojbe bugarskog suda u pogledu tumačenja GDPR-a i Direktive 2016/680 kako bi se razjasnilo postoji li nezakonita obrada osobnih podataka kojima raspolaže državno odvjetništvo države članice kad:
–      su s jedne strane, ti podaci prikupljeni od osobe koja se prvotno činila žrtvom, ali je naknadno optužena u istom kaznenom postupku;
–      s druge strane, državno odvjetništvo nastoji u vlastitu obranu iskoristiti podatke prikupljene tijekom različitih radnji kaznenog progona, kao dokazno sredstvo u okviru građanske tužbe kojom nositelj podataka zahtijeva naknadu štete zbog predugog trajanja kaznenog postupka.
A.      Zakonodavni okvir. Pravo Unije

1.      GDPR

3.        U skladu s člankom 2. („Glavno područje primjene”):
„1.      Ova se Uredba primjenjuje na obradu osobnih podataka koja se u cijelosti obavlja automatizirano te na neautomatiziranu obradu osobnih podataka koji čine dio sustava pohrane ili su namijenjeni biti dio sustava pohrane.
2.      Ova se Uredba ne odnosi na obradu osobnih podataka:
(a)      tijekom djelatnosti koja nije obuhvaćena opsegom prava Unije;
[…]
(d)      koju obavljaju nadležna tijela u svrhu sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija, uključujući zaštitu od prijetnji javnoj sigurnosti i njihova sprečavanja.
[…].”

4.        Člankom 4. („Definicije”) određuje se:
„Za potrebe ove Uredbe:
[…]
2.      ‚obrada’ znači svaki postupak ili skup postupaka koji se obavljaju na osobnim podacima ili na skupovima osobnih podataka, bilo automatiziranim bilo neautomatiziranim sredstvima kao što su prikupljanje, bilježenje, organizacija, strukturiranje, pohrana, prilagodba ili izmjena, pronalaženje, obavljanje uvida, uporaba, otkrivanje prijenosom, širenjem ili stavljanjem na raspolaganje na drugi način, usklađivanje ili kombiniranje, ograničavanje, brisanje ili uništavanje;
[…]
7.      ‚voditelj obrade’ znači fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje samo ili zajedno s drugima određuje svrhe i sredstva obrade osobnih podataka; kada su svrhe i sredstva takve obrade utvrđeni pravom Unije ili pravom države članice, voditelj obrade ili posebni kriteriji za njegovo imenovanje mogu se predvidjeti pravom Unije ili pravom države članice;
[…].”

5.        Člankom 5. („Načela obrade osobnih podataka”) određuje se:
„1.      Osobni podaci moraju biti:
(a)      zakonito, pošteno i transparentno obrađivani s obzirom na ispitanika (‚zakonitost, poštenost i transparentnost’);
(b)      prikupljeni u posebne, izričite i zakonite svrhe te se dalje ne smiju obrađivati na način koji nije u skladu s tim svrhama; daljnja obrada u svrhe arhiviranja u javnom interesu, u svrhe znanstvenog ili povijesnog istraživanja ili u statističke svrhe, u skladu s člankom 89. stavkom 1. ne smatra se neusklađenom s prvotnim svrhama (‚ograničavanje svrhe’);
(c)      primjereni, relevantni i ograničeni na ono što je nužno u odnosu na svrhe u koje se obrađuju (,smanjenje količine podataka’);
[…].”

6.        Članak 6. („Zakonitost obrade”) glasi:
„1.      Obrada je zakonita samo ako i u onoj mjeri u kojoj je ispunjeno najmanje jedno od sljedećega:
(a)      ispitanik je dao privolu za obradu svojih osobnih podataka u jednu ili više posebnih svrha;
[…]
(c)      obrada je nužna radi poštovanja pravnih obveza voditelja obrade;
[…] 
(e)      obrada je nužna za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti voditelja obrade;
(f)      obrada je nužna za potrebe legitimnih interesa voditelja obrade ili treće strane, osim kada su od tih interesa jači interesi ili temeljna prava i slobode ispitanika koji zahtijevaju zaštitu osobnih podataka, osobito ako je ispitanik dijete.
Točka (f) prvog podstavka ne odnosi se na obradu koju provode tijela javne vlasti pri izvršavanju svojih zadaća.
[…]
3.      Pravna osnova za obradu iz stavka 1. točaka (c) i (e) utvrđuje se u:
(a)      pravu Unije; ili
(b)      pravu države članice kojem voditelj obrade podliježe.
Svrha obrade određuje se tom pravnom osnovom ili, u pogledu obrade iz stavka 1. točke (e), mora biti nužna za izvršavanje zadaće od javnog interesa ili izvršavanje službene ovlasti voditelja obrade. Ta pravna osnova može sadržavati posebne odredbe kako bi se prilagodila primjena pravila ove Uredbe […]. Pravom Unije ili pravom države članice mora se ostvariti cilj od javnog interesa te ono mora biti razmjerno zakonitom cilju koji se želi postići.
4.      Ako se obrada u svrhu koja je različita od svrhe u koju su podaci prikupljeni ne temelji na privoli ispitanika ili na pravu Unije ili pravu države članice koje predstavlja nužnu i razmjernu mjeru u demokratskom društvu za zaštitu ciljeva iz članka 23. stavka 1., voditelj obrade, s ciljem utvrđivanja je li obrada u drugu svrhu u skladu sa svrhom u koju su osobni podaci prvotno prikupljeni, uzima u obzir, među ostalim:
(a)      svaku vezu između svrha prikupljanja osobnih podataka i svrha namjeravanog nastavka obrade;
(b)      kontekst u kojem su prikupljeni osobni podaci, posebno u pogledu odnosa između ispitanikâ i voditelja obrade;
(c)      prirodu osobnih podataka, osobito činjenicu obrađuju li se posebne kategorije osobnih podataka u skladu s člankom 9. ili osobni podaci koji se odnose na kaznene osude i kažnjiva djela u skladu s člankom 10.;
(d)      moguće posljedice namjeravanog nastavka obrade za ispitanike;
(e)      postojanje odgovarajućih zaštitnih mjera, koje mogu uključivati enkripciju ili pseudonimizaciju.”
2.      Direktiva 2016/680

7.        U skladu s člankom 1. („Predmet i ciljevi”):
„1.      Ovom se Direktivom utvrđuju pravila povezana sa zaštitom pojedinaca u pogledu obrade osobnih podataka od strane nadležnih tijela u svrhe sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija, uključujući zaštitu od prijetnji javnoj sigurnosti i njihovo sprečavanje.
2. U skladu s ovom Direktivom države članice:
(a)      štite temeljna prava i slobode pojedinaca, a posebno njihovo pravo na zaštitu osobnih podataka; […]
[…].”

8.        Članak 2. („Područje primjene”) glasi:
„1.      Ova se Direktiva primjenjuje na obradu osobnih podataka od strane nadležnih tijela u svrhe utvrđene u članku 1. stavku 1.
[…]
3.      Ova se Direktiva ne primjenjuje na obradu osobnih podataka:
(a)      tijekom djelatnosti koja nije obuhvaćena područjem primjene prava Unije;
[…].”

9.        U članku 3. stavcima 1., 2. i 8. preuzimaju se definicije iz članka 4. stavaka 1., 2. i 7. GDPR-a.

10.      Člankom 4. („Načela obrade osobnih podataka”) propisuje se:
„[…]
2.      Obrada koju obavlja isti ili neki drugi voditelj obrade u svrhu iz članka 1. stavka 1. različitu od one za koju su osobni podaci prikupljeni dopuštena je:
(a)      ako je voditelj obrade ovlašten za obradu takvih osobnih podataka u takvu svrhu u skladu s pravom Unije ili pravom države članice; te
(b)      ako je obrada nužna i proporcionalna toj drugoj svrsi u skladu s pravom Unije ili pravom države članice.
[…].”

11.      Člankom 6. („Razlika između različitih kategorija ispitanika”) određuje se:
„Države članice osiguravaju da voditelj obrade, prema potrebi i koliko je god to moguće, radi jasnu razliku između osobnih podataka različitih kategorija ispitanika, kao što su:
(a)      osobe za koje postoje ozbiljni razlozi za vjerovati da su počinile ili će počiniti kazneno djelo;
(b)      osobe osuđene za kazneno djelo;
(c)      žrtve kaznenog djela ili osobe u pogledu kojih postoje određene činjenice koje daju razloge vjerovati da bi ta osoba mogla biti žrtva kaznenog djela; i
(d)      druge strane u kaznenim djelima, kao što su osobe koje se može pozvati da svjedoče u istragama u vezi s kaznenim djelima ili naknadnom kaznenom postupku, osobe koje mogu dati informacije o kaznenim djelima ili osobe za kontakt ili suradnici jedne od osoba iz točaka (a) i (b).”

12.      U članku 8. („Zakonitost obrade”) navodi se:
„1.      Države članice osiguravaju da je obrada zakonita samo ako je nužna i samo u onoj mjeri u kojoj je nužna kako bi nadležno tijelo obavilo zadaću u svrhe navedene u članku 1. stavku 1. te da se temelji na pravu Unije ili pravu države članice.
2.      Pravom države članice kojim se uređuje obrada unutar područja primjene ove Direktive navode se barem ciljevi obrade, osobni podaci za obradu i svrhe obrade.

13.      U skladu s člankom 9. („Posebni uvjeti obrade”):
„1.      Osobni podaci koje nadležna tijela prikupljaju za svrhe utvrđene u članku 1. stavku 1. ne smiju se obrađivati u svrhe koje su različite od onih utvrđenih u članku 1. stavku 1. osim ako je takva obrada odobrena pravom Unije ili pravom države članice. Ako se osobni podaci obrađuju u druge svrhe, primjenjuje se [GDPR], osim ako se obrada obavlja kao djelatnost koja je izvan područja primjene prava Unije.
2.      Ako je pravom države članice nadležnim tijelima povjereno obavljanje zadaća drukčijih od onih koje se obavljaju u svrhe iz članka 1. stavka 1., [GDPR se] primjenjuje […] na obradu u takve svrhe, među ostalim i za arhiviranje u javnom interesu, ili u svrhe znanstvenog ili povijesnog istraživanja ili u statističke svrhe, osim ako se obrada provodi u okviru djelatnosti koja je izvan područja primjene prava Unije.
[…].”
B.      Nacionalno pravo

1.      Ustav Republike Bugarske(4)

14.      Člankom 127. utvrđuje se isključiva nadležnost državnog odvjetništva za vođenje istraga, pripisivanje kaznene odgovornosti i pokretanje kaznenog postupka pred sudom u slučaju kaznenih djela koja se progone po službenoj dužnosti.
2.      Zakon za zaštita na ličnite danni(5)

15.      Člankom 1. utvrđuje se:
„(1)      Ovim se zakonom uređuju odnosi s javnošću u pogledu zaštite prava pojedinaca u vezi s obradom njihovih osobnih podataka, s obzirom na to da nisu uređeni [GDPR-om].
(2)      Ovim se zakonom također utvrđuju pravila povezana sa zaštitom pojedinaca u vezi s obradom osobnih podataka od strane nadležnih tijela u svrhe sprečavanja i otkrivanja kaznenih djela, istrage i progona u tom području ili izvršavanja kaznenih sankcija, uključujući zaštitu od prijetnji javnoj sigurnosti i javnom poretku te njihovo sprečavanje.
[…].”

16.      Člankom 17. određuje se:
„(1)      Inspektorat Vrhovnog sudskog vijeća osigurava nadzor i poštovanje [GDPR-a], ovog zakona i akata u području zaštite osobnih podataka u vezi s obradom osobnih podataka koju izvršavaju:
1.      sudovi prilikom izvršavanja svojih zadaća sudbene vlasti; i
2.      državno odvjetništvo ili istražna tijela prilikom izvršavanja svojih zadaća koje imaju kao pravosudna tijela u svrhu sprečavanja, otkrivanja, istrage ili progona kaznenih djela ili izvršenja kaznenih sankcija.
[…].”

17.      Člankom 42. predviđa se:
„(1)      Pravila iz ovog poglavlja primjenjuju se u slučaju obrade osobnih podataka od strane nadležnih tijela u svrhe sprečavanja i otkrivanja kaznenih djela, istrage i progona u tom području ili izvršavanja kaznenih sankcija, uključujući zaštitu od prijetnji javnoj sigurnosti i javnom poretku i njihovo sprečavanje.
(2)      Osobni podaci prikupljeni u svrhe utvrđene u stavku 1. ne smiju se obrađivati u druge svrhe, osim ako u pravu Unije ili u zakonodavstvu Republike Bugarske nije drukčije određeno.
(3)      Kad tijela nadležna na temelju stavka 1. obrađuju osobne podatke u svrhe koje nisu utvrđene stavkom 1., kao i u slučajevima predviđenim stavkom 2., primjenjuju se [GDPR] i relevantne odredbe ovog zakona kojima se uspostavljaju mjere za njegovu primjenu.
(4)      ‚Nadležnim tijelom’ u smislu stavka 1. smatra se svako tijelo javne vlasti nadležno za sprečavanje i otkrivanje kaznenih djela, istrage i progon u tom području ili izvršavanje kaznenih sankcija, uključujući zaštitu od prijetnji javnoj sigurnosti i javnom poretku i njihovo sprečavanje.
(5)      Osim ako zakonskom odredbom nije drukčije određeno, voditeljem obrade osobnih podataka u svrhe utvrđene u stavku 1., u smislu ovog poglavlja, smatra se nadležno tijelo u smislu stavka 4. ili upravno tijelo čiji je nadležno tijelo dio i koje samostalno ili zajedno s ostalim tijelima utvrđuje svrhe i oblike obrade osobnih podataka”.

18.      Člankom 45. propisuje se:
„[…]
(2)      Obrada osobnih podataka koju izvršava voditelj obrade koji ih je prvotno prikupio ili drugi voditelj obrade u neku od svrha predviđenih člankom 42. stavkom 1., a koja se razlikuje od svrhe u koju su osobni podaci prikupljeni, dopuštena je:
1.      ako je voditelj ovlašten za obradu osobnih podataka u takvu svrhu u skladu s pravom Unije ili zakonodavstvom Republike Bugarske; te
2.      ako je obrada nužna i proporcionalna toj drugoj svrsi u skladu s pravom Unije ili zakonodavstvom Republike Bugarske.
[…].”

19.      Članak 47. istovjetan je članku 6. Direktive 2016/680.

20.      Članak 49. glasi:
„Obrada osobnih podataka zakonita je ako je nužna kako bi nadležno tijelo izvršilo svoje ovlasti u svrhe utvrđene člankom 42. stavkom 1. i ako je predviđena pravom Unije ili zakonom kojim se određuju svrhe obrade i kategorije osobnih podataka koji se obrađuju.”
II.    Činjenice, postupci i prethodna pitanja

21.      Pod vodstvom Rajona prokurature – Petrič (Općinsko državno odvjetništvo u Petriču, Bugarska) provedene su istražne radnje (br. 252/2013 pri policijskoj upravi u Petriču)(6) radi utvrđivanja činjenica kaznenog djela(7) koje je počinjeno 18. travnja 2013.

22.      Tijekom tih istražnih radnji prvotno su prikupljeni osobni podaci osobe VS u svojstvu žrtve.

23.      Odlukama državnog odvjetništva od 4. i 5. travnja 2018. za navedena djela optužene su četiri osobe (među njima i osoba VS).

24.      Rajonen sad Petrič (Općinski sud u Petriču, Bugarska) 10. studenoga 2020. obustavio je kazneni postupak zbog zastare.

25.      Općinsko državno odvjetništva u Petriču započelo je 2016. i 2017., povodom prijava protiv osobe VS, različite istražne radnje(8) koje zbog nedostatka indicija o kaznenom djelu nisu dovele do pokretanja kaznenog postupka.

26.      Osoba VS podnijela je 2018. građansku tužbu(9) protiv državnog odvjetništva Republike Bugarske Okržen sadu – Blagoevgrad (Okružni sud u Blagoevgradu, Bugarska), u kojoj zahtijeva naknadu štete zbog predugog trajanja kaznenog postupka br. 252/2013.

27.      Za potrebe obrane u toj građanskoj tužbi, državno odvjetništvo zatražilo je od suda da se uključe spisi br. 517/16 i br. 1872/16 samog Općinskog državnog odvjetništva u Petriču.

28.      Okržen sad – Blagoevgrad (Okružni sud u Blagoevgradu) rješenjem od 15. listopada 2018. naložio je Općinskom državnom odvjetništvu u Petriču da dostavi preslike dokumenata iz spisa br. 517/16 i br. 1872/16.

29.      Osoba VS prijavila je 12. ožujka 2020. Inspektoratu kam Visšia sadeben savet (Inspektorat Višeg sudskog vijeća, Bugarska, u daljnjem tekstu: IVSS) kako smatra da državno odvjetništvo provodi dvostruku nezakonitu obradu njezinih osobnih podataka i da je nepropisno iskoristilo:
–      podatke osobe VS koje je prikupilo dok je ona imala svojstvo žrtve, za njihovu naknadnu obradu u svojstvu optuženika u okviru kaznenog postupka br. 252/2013;
–      podatke osobe VS navedene u spisima br. 517/16 i br. 1872/16 u svrhu obrane državnog odvjetništva u građanskom postupku br. 144/2018.

30.      IVSS je 22. lipnja 2020. odbio taj dvostruki zahtjev osobe VS.

31.      Osoba VS pobija tu IVSS-ovu odluku pred Administrativen sadom – Blagoevgrad (Upravni sud u Blagoevgradu, Bugarska), koji Sudu upućuje sljedeća prethodna pitanja:
„1      Treba li članak 1. stavak 1. [Direktive 2016/680] tumačiti na način da su, prilikom navođenja ciljeva,  pojmovi ‚sprečavanje, istraga, otkrivanje ili progon kaznenih djela’ navedeni kao aspekti općeg cilja?
2.      Primjenjuju li se odredbe [GDPR-a] na državno odvjetništvo Republike Bugarske s obzirom na to da je državno odvjetništvo informacije o osobi koje je prikupilo kao ‚voditelj obrade’ u skladu s člankom 3. točkom 8. [Direktive 2016/680] u vezi s pomoćnim spisom otvorenim radi provjere indicija o kaznenom djelu upotrijebilo u okviru svoje obrane pred sudom kao stranka u građanskom postupku navođenjem da je taj spis otvoren ili otkrivanjem njegova sadržaja?
2.      1.      U slučaju potvrdnog odgovora na to pitanje:
Treba li izraz ‚legitimni interesi’ iz članka 6. stavka 1. točke (f) [GDPR-a] tumačiti na način da je njime obuhvaćeno potpuno ili djelomično otkrivanje informacija o osobi koje su prikupljene  u pomoćnom spisu državnog odvjetništva u svrhe sprečavanja, istrage, otkrivanja ili progona kaznenih djela, ako su otkrivene radi obrane voditelja obrade kao stranke u građanskom postupku te da se isključuje privola ispitanika?”
III. Postupak pred Sudom

32.      Tajništvo Suda zaprimilo je zahtjev za prethodnu odluku 23. ožujka 2021.

33.      Sudjelovali su i podnijeli pisana očitovanja osoba VS, IVSS, bugarska, češka i nizozemska vlada te Europska komisija.

34.      Sud je ocijenio da nije potrebno održati raspravu, a ni stranke je nisu zahtijevale.
IV.    Analiza

A.      Uvodna razmatranja o primjenjivom pravu Unije

35.      GDPR i Direktiva 2016/680 čine usklađen sustav u kojem:
–      GDPR-om treba utvrditi opća pravila za zaštitu pojedinaca u vezi s obradom njihovih osobnih podataka;
–      Direktivom 2016/680 uspostavljaju se posebna pravila za obradu tih podataka u području pravosudne suradnje u kaznenim stvarima i policijske suradnje.

36.      Zaštita koju pruža sustav koji čine navedena dva propisa temelji se na načelima zakonitosti, poštenja, transparentnosti i, u dijelu koji je ovdje važan, načelu strogog ograničavanja prikupljanja podataka i njihove obrade u svrhe utvrđene zakonom(10).

37.      Konkretno, člankom 5. stavkom 1. točkom (b) GDPR-a propisuje se da osobni podaci moraju biti „prikupljeni u posebne, izričite i zakonite svrhe te se dalje ne smiju obrađivati na način koji nije u skladu s tim svrhama”(11). Tako glasi i tekst članka 4. stavka 1. točke (b) Direktive 2016/680, kao lexa specialis.

38.      Stoga se osobni podaci ne mogu prikupljati niti obrađivati na općenit način, nego samo s obzirom na određene svrhe(12) i pod uvjetima zakonitosti koje je utvrdio zakonodavac Unije.

39.      Načelo uskog povezivanja prikupljanja podataka i njihove obrade, s jedne strane, te svrhe kojima obje radnje trebaju služiti, s druge strane, nije apsolutno jer se i GDPR-om i Direktivom 2016/680 dopušta određena fleksibilnost, kao što to navodim u nastavku.

40.      U predmetnom sporu upravni sud treba odlučiti je li nadzorno tijelo (IVSS)(13) postupilo u skladu sa zakonom kad je odbilo pritužbu u kojoj je osoba VS optužila bugarsko državno odvjetništvo za nezakonitu obradu njezinih osobnih podataka.

41.      Ti su podaci, kao što sam to već naveo, prikupljeni u dvama različitim kontekstima:
–      Tijekom radnji kaznenog progona koje je državno odvjetništvo pokrenulo 2013. u pogledu djela u kojima je osoba VS sudjelovala kao navodna žrtva. Ti su podaci naknadno upotrijebljeni protiv osobe VS u svojstvu optuženika u istom kaznenom postupku.
–      Tijekom drugih radnji kaznenog progona provedenih 2016. i 2017., koje je pokrenulo isto državno odvjetništvo povodom različitih prijava protiv, među ostalim, osobe VS, za djela koja nisu ona iz 2013.(14). Državno je odvjetništvo u tom slučaju zatražilo (a nadležni je sud prihvatio njegov zahtjev) da iskoristi podatke iz tih radnji kaznenog progona za potrebe vlastite obrane u građanskom postupku koji je pokrenula osoba VS i zahtijevala naknadu štete.

42.      U skladu s tim, pitanja suda koji je uputio zahtjev obuhvaćaju:
–      zakonitost upotrebe osobnih podataka osobe VS u dva uzastopna trenutka u istom kaznenom postupku (prvo prethodno pitanje);
–      zakonitost obrade osobnih podataka osobe VS prikupljenih tijekom radnji kaznenog progona koje je pokrenulo državno odvjetništvo, koje ono pokušava iskoristiti u građanskom sporu u kojem ga osoba VS tuži (drugo prethodno pitanje).

43.      Slažem se sa sudom koji je uputio zahtjev, i svim strankama koje su sudjelovale u ovom prethodnom postupku, da se obrada osobnih podataka, koja je predmet prvog prethodnog pitanja, uređuje Direktivom 2016/680.

44.      U skladu sa člankom 1. stavkom 1. i člankom 2. stavkom 1. Direktive 2016/680, ona se primjenjuje na obradu osobnih podataka od strane nadležnih tijela u svrhu sprečavanja, istrage, otkrivanja ili progona kaznenih djela. U ovom su predmetu podaci osobe VS prikupljeni i obrađeni upravo u okviru kaznene istrage.

45.      Međutim, kad je riječ o prijenosu osobnih podataka za potrebe građanskog postupka protiv državnog odvjetništva (drugo prethodno pitanje), GDPR se primjenjuje ako taj prijenos predstavlja obradu podataka u svrhe koje nisu navedene u članku 1. stavku 1. Direktive 2016/680, ali su dio djelatnosti obuhvaćene područjem primjene prava Unije.
B.      Prvo prethodno pitanje: ad intra prijenos osobnih podataka prikupljenih u svrhe obuhvaćene područjem primjene Direktive 2016/680

46.      U skladu s člankom 4. stavkom 2. Direktive 2016/680, obrada koju obavlja isti ili neki drugi voditelj obrade u svrhu iz članka 1. stavka 1.(15) različitu od one za koju su osobni podaci prikupljeni dopuštena je:
(a)      ako je voditelj obrade ovlašten za obradu takvih osobnih podataka u novu svrhu te
(b)      ako je obrada nužna i proporcionalna toj drugoj svrsi.

47.      Direktivom 2016/680 dopušta se stoga ad intra prijenos osobnih podataka prikupljenih na temelju nje. Podaci prikupljeni u jednu od svrha navedenih u njezinu članku 1. stavku 1. mogu se također, pod određenih uvjetima, upotrebljavati u drugu svrhu ili druge svrhe s navedenog popisa.

48.      Problem koji se iznosi u prvom prethodnom pitanju odnosi se na to mogu li se osobni podaci osobe VS, prikupljeni u trenutku u kojem se činila navodnom žrtvom istraživanog kaznenog djela, naknadno obraditi protiv nje u svojstvu osobe nad kojom se provodi istraga, ili optuženika, tijekom istog kaznenog postupka.

49.      Drugim riječima, treba razjasniti jesu li osobni podaci osobe VS obrađeni u istu svrhu kojom je opravdano njihovo prvotno prikupljanje ili su, suprotno tomu, prikupljeni u dvije različite svrhe, ali obuhvaćene područjem primjene Direktive 2016/680. Ako je ispunjena druga okolnost, na obradu treba primijeniti posebne uvjete iz članka 4. stavka 2 te direktive.

50.      Sud koji je uputio zahtjev prvo je pitanje oblikovao djelomično nejasno s obzirom na predmet spora. Doslovno, želi znati treba li članak 1. stavak 1. Direktive 2016/680 tumačiti „na način da su pojmovi ‚sprečavanje, istraga, otkrivanje ili progon kaznenih djela’ navedeni kao aspekti općenite svrhe”.

51.      S obzirom na navode suda koji je uputio zahtjev, možda bi trebalo preoblikovati njegovo prvo pitanje, kao što su to predložile stranke i sudionici u predmetnom prethodnom postupku. Od zadržavanja na apstraktnom odnosu općenita svrha/konkretna svrha važnije je pitanje (na koje se zapravo odnosila pritužba osobe VS) je li, u okviru kaznenog postupka uređenog Direktivom 2016/680, svrha u koju su prikupljeni podaci osobe u svojstvu navodne žrtve kaznenog djela i dalje valjana kad ti podaci dovedu do naknadnog podizanja optužnice protiv nje u istom postupku.

52.      Doslovno tumačenje članka 1. stavka 1. Direktive 2016/680 upućuje na to da se u njoj razlikuju tri vrste svrha, koje se odnose na različite trenutke i djelatnosti:
–      s jedne strane, svrha „sprečavanja”, koja uključuje svrhu kojom se nastoje spriječiti prijetnje javnoj sigurnosti;
–      s druge strane, svrha „istrage” (u širem smislu) djela kaznene prirode, koja obuhvaća njihovo otkrivanje, istragu u punom smislu i progon kaznenih djela;
–      Naposljetku, svrha „izvršavanja kaznenih sankcija”.

53.      S gledišta sustavnog ili kontekstualnog tumačenja, u članku 4. stavku 2. Direktive 2016/680 zagovara se da se svaka od tih svrha smatra zasebnom. Da nije tako, kao što je to istaknula nizozemska vlada, ta odredba bila bi lišena sadržaja jer se njome predviđa upravo „svrh[a] iz članka 1. stavka 1. različit[a] od one za koju su osobni podaci prikupljeni […]”.

54.      Na temelju te pretpostavke pokušat ću objasniti zašto su u ovom predmetu sporni podaci prikupljeni i obrađeni u jednu svrhu (svrhu „istrage”) koja se navodi u članku 1. stavku 1. Direktive 2016/680, na temelju čega je ta direktiva primjenjiva i pripadajuća obrada zakonita.

55.      Podredno, ni da su podaci prikupljeni i obrađeni u dvije svrhe iz članka 4. stavka 2. Direktive 2016/680, ne bi se moglo raspravljati o njihovoj zakonitosti.
1.      Ista svrha

56.      Tijekom radnji kaznenog progona ne može se uvijek od početka odrediti postupovni status uključenih osoba. Istražnim se radnjama u mnogim slučajevima pokušava identificirati i stoga „kategorizirati” pojedince koji prima facie izgledaju kao počinitelji, žrtve ili svjedoci djela.

57.      Logično je da je tijekom te pripremne faze kategorija u određenoj mjeri neodrediva. Istraga treba na temelju svojih rezultata dovesti do točnog utvrđivanja svojstva u kojem će navedene osobe sudjelovati u postupku progona kaznenih djela.

58.      To osobito vrijedi u slučajevima poput predmetnoga. Prema mišljenju suda koji je uputio zahtjev, došlo je do međusobnog napada između više osoba. Jedna od njih, koja se prvotno činila kao žrtva, na kraju je optužena za izvršavanje tih napada.

59.      U tim okolnostima, skup provedenih aktivnosti u skladu je s pojmom „istraga” iz članka 1. stavka 1. Direktive 2016/680. Stoga je ta aktivnost imala jedan cilj, a on odgovara jednoj od „svrha” u koje se osobni podaci mogu obrađivati.

60.      Međutim, sud koji je uputio zahtjev dvoji je li to tumačenje članka 1. stavka 1. Direktive 2016/680 u skladu s njezinom uvodnom izjavom 31.(16).

61.      Slažem se s mišljenjem većine stranaka da ta uvodna izjava, kao ni članak 6. Direktive 2016/680, u kojem se ona odražava, nisu relevantni za utvrđivanje promjene svrhe na koju se odnosi članak 4. stavak 2. te direktive.

62.      U skladu s člankom 6. Direktive 2016/680, jasna razlika između osobnih podataka različitih kategorija ispitanika potrebna je „prema potrebi i koliko je god to moguće”. Zbog prethodno navedenih razloga u početnim istražnim radnjama povodom kaznenih djela poput djela o kojima je ovdje riječ nije lako jasno i otpočetka utvrditi „različite kategorije ispitanika”. Osim toga, isti sudionik u tim djelima može biti i žrtva i počinitelj napada.

63.      Čak i kad bi voditelj obrade podataka prikupljenih tijekom radnji kaznenog progona uspio, na početku i tijekom istrage, jasno razlikovati žrtve, osumnjičene i svjedoke, svrha u koju se ti podaci prikupljaju i obrađuju (istraga) ne bi se promijenila.

64.      Drugim riječima, uzastopna dodjela jednog pa drugog svojstva (žrtva, svjedok, sudionik) osobama nad kojima se provodi kaznena istraga ne podrazumijeva nužno promjenu svrhe za potrebe članka 4. stavka 2. Direktive 2016/680.
2.      Dvije konkurentne svrhe

65.      Podredno, u slučaju da je ispunjena okolnost predviđena člankom 4. stavkom 2. Direktive 2016/680, obrada spornih osobnih podataka bila bi u skladu s uvjetima zakonitosti utvrđenima tom direktivom. To su istaknule bugarska i češka vlada, s kojima se slažem.

66.      Iako je na sudu koji je uputio zahtjev da to provjeri, čini se nedvojbenim da je bugarsko državno odvjetništvo, u skladu s nacionalnim pravom, tijelo odgovorno za obradu osobnih podataka osobe VS „u svrhu iz članka 1. stavka 1. različitu od one za koju su osobni podaci prikupljeni”. Prvi je uvjet predviđen člankom 4. stavkom 2. točkom (a) Direktive 2016/680 stoga ispunjen.

67.      Kad je riječ o drugom uvjetu, utvrđenom točkom (b) istog članka 4. stavka 2. („ako je obrada nužna i proporcionalna toj drugoj svrsi”), smatram da:
–      je njegova nužnost opravdana na temelju nesigurnosti i neodređenosti svojstvenih početnim kaznenim istragama;
–      njegovu proporcionalnost treba ocijeniti sud koji je uputio zahtjev, pri čemu treba odvagnuti je li obrada uključivala samo ono nužno za postizanje naknadne svrhe.

68.      Ako se primijene na ovaj predmet, zahtjevi iz članka 4. stavka 2. Direktive 2016/680 zanemarivi su i potvrđuje se jedinstvo svrhe svojstvene prikupljanju spornih osobnih podataka: postoji logičan kontinuitet između njihove prvotne obrade i naknadne obrade koja je dovela do podizanja optužnice protiv dotične osobe.

69.      Stoga, kad je kriterij proporcionalnosti jednak za svu obradu, kao što to proizlazi iz povezanih načela u članku 4. stavku 1. Direktive 2016/680, nije potrebno potvrditi nadležnost novog voditelja obrade podataka (koji je isti) niti postoje poteškoće u dokazivanju potrebe za drugom obradom (koja se obavlja u okviru istog postupka).
C.      Drugo prethodno pitanje: ad extra prijenos prikupljenih osobnih podataka

70.      Člankom 9. stavkom 1. Direktive 2016/680 predviđa se mogućnost ad extra prijenosa osobnih podataka prikupljenih na temelju nje.

71.      Polazeći od pretpostavke da se navedeni podaci, u pravilu, „ne smiju […] obrađivati u svrhe koje su različite od onih utvrđenih u [njezinu] članku 1. stavku 1.”, člankom 9. stavkom 1. Direktive 2016/680 utvrđuje se izuzeće koje se odnosi na dopuštenje njihove obrade u svrhe različite od onih iz članka 1. stavke 1. na temelju prava Unije ili države članice. U tom se slučaju primjenjuje GDPR (pod uvjetom da je predmetna djelatnost obuhvaćena područjem primjene prava Unije).

72.      Drugim prethodnim pitanjem sud koji je uputio zahtjev želi znati:
–      Primjenjuje li se GDPR u slučaju u kojem se podaci, koje je državno odvjetništvo prikupilo tijekom radnji kaznenog progona, naknadno upotrebljavaju za potrebe vlastite obrane državnog odvjetništva u građanskom postupku koji je protiv njega pokrenuo nositelj tih podataka.
–      U slučaju potvrdnog odgovora na to pitanje, obuhvaća li izraz „legitimni interesi” iz članka 6. stavka 1. točke (f) GDPR-a prilaganje spornih podataka za potrebe obrane državnog odvjetništva u navedenom građanskom postupku.
1.      Dopuštenost pitanja

73.      Budući da je tužba osobe VS svojedobno odbačena kao nepravodobna, IVSS smatra da je drugo prethodno pitanje nedopušteno.

74.      Ne slažem se s tim mišljenjem.

75.      Sud može odbiti zahtjev za prethodnu odluku koji je podnio nacionalni sud samo ako je očito da tumačenje prava Unije koje se traži nema nikakve veze sa stvarnošću ili predmetom glavnog spora, ako je problem hipotetske naravi ili ako Sud ne raspolaže činjeničnim i pravnim elementima nužnima da na koristan način odgovori na pitanja koja su mu postavljena(17).

76.      Prigovor IVSS-a odnosi se na pitanje koje je u isključivoj nadležnosti suda koji je uputio zahtjev. Samo on može, pod vlastitom odgovornošću, utvrditi zakonski i činjenični okvir pitanja koje se upućuje Sudu(18).

77.      Ocjena nepravodobnosti na koju upozorava IVSS, kao i njezine važnosti u svrhe predmetnog spora, elementi su prosudbe koji su u isključivoj nadležnosti suda koji je uputio zahtjev. Taj je sud u ovom predmetu ustrajao na relevantnosti pitanja za rješavanje glavnog predmeta unatoč nepravodobnosti na koju se pozvao IVSS(19).

78.      Tu ocjenu Sud ne može preispitivati jer načelno mora slijediti tumačenje i primjenu nacionalnog postupovnog i materijalnog prava kako su ih iznijeli sudovi prilikom utvrđivanja okvira u kojem se upućuje zahtjev za prethodnu odluku.
2.      Meritum

79.      S obzirom na obrazloženja koja je dao sud koji je uputio zahtjev kako bi opravdao upućivanje drugog prethodnog pitanja, ono što uistinu želi jest da Sud utvrdi predstavlja li prijenos spornih podataka „obradu podataka” u smislu članka 4. točaka 1. i 2. GDPR-a(20) te je li ta obrada bila zakonita u skladu s njegovim člankom 6.
a)      Postojanje obrade podataka 

80.      U članku 4. točkama 1. i 2. GDPR-a i članku 3. točkama 1. i 2. Direktive 2016/680 pojmovi „osobni podaci” i „obrada” definiraju se jednako.

81.      U skladu s tim definicijama, zaključujem da je državno odvjetništvo pokušalo u svoju obranu pred građanskim sudom upotrijebiti „poda[tke] koji se odnose na pojedinca čiji je identitet utvrđen” koji su uključivali „osobne podatke” osobe VS.

82.      Prilikom prijenosa tih osobnih podataka na građanski postupak izvršeni su različiti „postupci” koji čine „obradu podataka” bez privole ispitanika. Samo državno odvjetništvo trebalo je barem obaviti uvid radi ocjene njihove moguće korisnosti za obranu vlastitog položaja u građanskom postupku. Treba usto pretpostaviti da su podaci u istu svrhu organizirani, strukturirani, prilagođeni ili izmijenjeni te svakako preneseni i prošireni, barem minimalno, kad se pojavio interes za njihovim uključivanjem u građanski postupak(21).

83.      Konačno, državno je odvjetništvo prilikom bilježenja podataka, njihova uključivanja u vlastite baze, pohrane i obavljanja uvida te prilikom zahtijevanja da građanski sud kao dokaz dopusti podatke koje je prikupilo tijekom radnji kaznenog progona obradilo osobne podatke osobe VS.

84.      IVSS i Komisija tvrde da državno odvjetništvo može biti „voditelj obrade” samo kao tijelo nadležno za svrhe kaznene prirode koje obuhvaća područje primjene Direktive 2016/680.

85.      To, prema mojem mišljenju, ne podrazumijeva da je drugo prethodno pitanje bespredmetno, kao što to tvrdi IVSS. To prije znači da zakonitost obrade, u skladu s člankom 9. stavkom 1. Direktive 2016/680, valja provjeriti s obzirom na GDPR.

86.      Sud nadležan za donošenje odluke u građanskom sporu odgovoran je za obradu podataka u tom postupku kad ih zaprimi. Njegove odluke izuzete su iz kontrole nadzornog tijela u skladu s člankom 55. stavkom 3. GDPR-a ako se donesu pri obavljanju sudbene funkcije(22).

87.      Međutim, sud koji je uputio zahtjev ograničava svoje pitanje na primjenjivost GDPR-a u trenutku u kojem državno odvjetništvo pokušava iskoristiti podatke koje je prikupilo kao „voditelj obrade” u smislu Direktive 2016/680 za potrebe vlastite obrane u građanskom postupku.

88.      S obzirom na iznesena razmatranja, smatram da je GDPR primjenjiv jer obrana državnog odvjetništva u građanskom postupku nije obuhvaćena svrhama koje se navode u članku 1. stavku 1. Direktive 2016/680.
b)      Zakonitost obrade s obzirom na GDPR

89.      Uvjeti zakonitosti obrade osobnih podataka navode se u članku 6. stavku 1. GDPR-a: „[o]brada je zakonita samo ako i u onoj mjeri u kojoj je ispunjeno najmanje jedno od sljedećega”, nakon čega slijedi popis uvjeta. Njihov je popis iscrpan(23).

90.      Prema mojem mišljenju, od tih uvjeta nisu ispunjeni: uvjet koji se temelji na privoli ispitanika (točka (a)), uvjet koji se temelji na izvršenju ugovora (točka (b)), uvjet koji se temelji na poštovanju pravnih obveza (točka (c))(24), kao ni uvjet koji se temelji na zaštiti ključnih interesa ispitanika ili treće strane (točka (d)).

91.      Prema mišljenju suda koji je uputio zahtjev, ispunjen je uvjet iz točke (f) članka 6. stavka 1. GDPR-a. Međutim, kao što je to tvrdila Komisija, on je isključen na temelju posljednje točke tog stavka jer se taj uvjet „ne odnosi […] na obradu koju provode tijela javne vlasti pri izvršavanju svojih zadaća”(25).

92.      Bugarska je vlada u odgovoru na pitanje Suda, uz potporu češke i nizozemske vlade u tom pogledu, ustrajala na primjenjivosti uvjeta predviđenog točkom (f) članka 6. stavka 1. GDPR-a. Tvrdi da je potrebno uzeti u obzir „prirodu aktivnosti koju provodi državno odvjetništvo”, koje, iako je javno tijelo, može sudjelovati u građanskim postupcima kao „ravnopravna stranka”(26).

93.      Međutim, „legitimni interesi” koje državno odvjetništvo, kao tijelo javne vlasti, brani u postupku u kojem je tužba podnesena povodom odgovornosti zbog njegovih postupovnih radnji isključeni su iz slučaja predviđenog točkom (f) članka 6. stavka 1. GDPR-a, kao što se to izričito navodi u posljednjoj točki tog istog stavka.

94.      Za tijela koja djeluju u svrhu izvršavanja zadaća koje su im dodijeljene zakonom (u ovom slučaju, provođenja kaznenog progona i predstavljanja države u tužbama zbog imovinske odgovornosti), za potrebe članka 6. stavka 1. GDPR-a relevantan je javni interes kojem služe, u skladu s točkom (e) te odredbe.

95.      Uvjet predviđen točkom (f) odnosi se na potrebe legitimnih interesa voditelja obrade ili treće strane, osim kada su od tih interesa jači interesi ili temeljna prava i slobode ispitanika koji zahtijevaju zaštitu osobnih podataka.

96.      Ta se odredba stoga ne odnosi toliko na mogućnosti obrane tijela javne vlasti, koje se mogu primijeniti na način naveden u točki (e), koliko na eventualnu prevlast interesa, prava ili sloboda ispitanika u odnosu na voditelja obrade ili treću stranu. Primjenjuje se prije na sporove između (privatnih) stranaka čiji interesi nisu javni.

97.      Budući da državno odvjetništvo po definiciji djeluje kao državna institucija, treba analizirati je li sporna obrada obuhvaćena točkom (e) članka 6. stavka 1. GDPR-a.

98.      To bi bio slučaj kad bi ta obrada bila „nužna za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti” voditelja obrade.

99.      Budući da nema potrebe razmatrati drugu od tih dviju svrha(27), osvrnut ću se na prvu kako bi se razjasnilo odgovara li sudjelovanje državnog odvjetništva u građanskom postupku u kojem se zahtijeva naknada štete zbog njegova postupanja izvršavanju zadaće od javnog interesa.

100. U skladu s nacionalnim pravom(28), državno odvjetništvo treba zastupati državu u postupcima u području izvanugovorne odgovornosti pokrenutima zbog štete pretrpljene zbog njihova predugog trajanja. U istom smislu, državno odvjetništvo sudjeluje u obrani općih (financijskih) državnih interesa i, prema tome, provođenju zadaće od javnog interesa(29).

101. Člankom 9. stavkom 1. Direktive 2016/680 uvjetuje se ad extra prijenos prikupljenih podataka iz spisa time da je njihova obrada dopuštena na temelju prava Unije ili države članice. U dijelu koji je ovdje važan, na sudu je koji je uputio zahtjev da provjeri postoji li navedeno dopuštenje, u odnosu na izvršavanje zadaće od javnog interesa za koje je zaduženo državno odvjetništvo radi obrane imovinskih interesa države.

102. U skladu s člankom 6. stavkom 3. GDPR-a, pravna osnova obrade navedene u stavku 1. točki (e) „može sadržavati posebne odredbe kako bi se prilagodila primjena pravila” samog GDPR-a(30). Ako se ta pravna osnova utvrđuje u pravu države članice koje se primjenjuje na voditelja obrade, na nacionalnom je sudu da je utvrdi(31).

103. Konačno, čak i da sud koji je uputio zahtjev ne utvrdi relevantnu pravnu osnovu, usklađenost sporne obrade sa svrhom u koju su sporni podaci prikupljeni treba utvrditi na temelju članka 6. stavka 4. GDPR-a. Stoga treba uzeti u obzir, među ostalim, bilo kakav odnos između prvotnih svrha i naknadne svrhe, kontekst u kojem su osobni podaci prikupljeni i njihovu prirodu, moguće posljedice nove obrade za ispitanika te postojanje odgovarajućih zaštitnih mjera.
V.      Zaključak

104. S obzirom na prethodno navedeno, predlažem Sudu da Administrativen sadu – Blagoevgrad (Upravni sud u Blagoevgradu, Bugarska) odgovori na sljedeći način:
„1.      Članak 4. stavak 2. Direktive (EU) 2016/680 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka od strane nadležnih tijela u svrhe sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Okvirne odluke Vijeća 2008/977/PUP treba tumačiti na način da se podaci prikupljeni od osobe u njezinu svojstvu navodne žrtve kaznenog djela u okviru kaznenog postupka obrađuju u istu svrhu na temelju koje je opravdano njihovo prikupljanje ako navedena osoba naknadno u istom kaznenom postupku postane optuženik.
2.      Članak 9. stavak 1. Direktive 2016/680 treba tumačiti na način da se Uredba (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ primjenjuje na slučaj kad državno odvjetništvu upotrebljava podatke koje je prikupilo tijekom radnji kaznenog progona za potrebe vlastite obrane u građanskom postupku.
3.      ‚Obradu osobnih podataka’ u smislu članka 4. točke 1. Uredbe 2016/679 čini otkrivanje osobnih podataka prikupljenih tijekom radnji kaznenog progona, kojem prethodi njihovo bilježenje, pohrana i obavljanje uvida u njih, za potrebe obrane državnog odvjetništva u građanskom postupku u kojem se od njega zahtijeva naknada štete zbog njegova postupanja prilikom izvršavanja vlastitih funkcija.
4.      Zakonitost te obrade može se načelno temeljiti na članku 6. stavku 1. točki (e) Uredbe br. 2016/679.”

1      Izvorni jezik: španjolski

2      Uredba Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (SL 2016., L 119, str. 1. i ispravci SL 2018., L 127, str. 2. i SL 2021., L 74, str. 35.). U daljnjem tekstu: GDPR

3      Direktiva Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka od strane nadležnih tijela u svrhe sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Okvirne odluke Vijeća 2008/977/PUP (SL 2016., L 119, str. 89. i ispravak SL 2018., L 127, str. 14.)

4      DV br. 56 od 13. srpnja 1991.

5      Zakon o zaštiti osobnih podataka, DV br. 1 od 4. siječnja 2002. Navode se njegove odredbe u skladu s verzijom koja je bila primjenjiva u trenutku počinjenja spornih djela.

6      Pomoćni spis br. 1548/2013 Općinskog državnog odvjetništva u Petriču

7      U skladu s odlukom kojom se upućuje zahtjev za prethodnu odluku (točka 8.1.), bila je riječ o kaznenom djelu iz članka 325. stavka 1., u vezi s člankom 20. stavkom 2. Nakazatelen kodeksa (Kazneni zakonik).

8      Spisi br. 517/2016, br. 1870/2016, br. 1872/2016 i br. 2217/16

9      Građanski postupak br. 144/2018

10      Uvodna izjava 39. GDPR-a i uvodna izjava 26. Direktive 2016/680

11      Moje isticanje

12      One se navode u članku 1. stavku 1. Direktive 2016/680 (vidjeti infra bilješku br. 15). Izvan područja same Direktive 2016/680, GDPR-om su dopuštene sve svrhe koje su potencijalno zakonite. Primjenjuje se stoga načelo slobode, čije se ograničenje potvrđuje na području zakonitosti uvjeta obrade podataka i području pravă ispitanika (poglavlja II. i III. GDPR-a).

13      U skladu s člankom 45. stavkom 2. Direktive 2016/680, svaka država članica „osigurava da ni jedno nadzorno tijelo nije nadležno za nadzor postupaka obrade koju provode sudovi kada djeluju u okviru svoje sudbene nadležnosti”.

14      Iako se to među podacima koje je priložio sud koji je uputio zahtjev izričito ne navodi, sve upućuje na to da je stvarno riječ o različitim djelima.

15      Takvim se svrhama u članku 1. stavku 1. Direktive 2016/680 smatraju „sprečavanj[e], istrag[a], otkrivanj[e] ili progo[n] kaznenih djela ili izvršavanj[e] kaznenih sankcija, uključujući zaštitu od prijetnji javnoj sigurnosti i njihovo sprečavanje”. Španjolska se verzija te odredbe razlikuje od verzija na ostalim službenim jezicima u pogledu izraza „enjuiciamiento” (kazneni progon). Tako se u francuskoj verziji upotrebljava imenica „poursuites”, koja odgovara imenici „prosecution” u engleskoj verziji, „perseguimento” u talijanskoj, „Verfolgung” u njemačkoj ili „vervolging” u nizozemskoj verziji. Te i druge verzije (osim španjolske) upućuju na aktivnost koja prethodi kaznenom progonu u užem smislu, koji je u isključivoj nadležnosti sudova.

16      „Za obradu osobnih podataka na područjima pravosudne suradnje u kaznenim stvarima i policijske suradnje svojstveno je da se obrađuju osobni podaci koji se odnose na različite kategorije ispitanika. Stoga bi što je više moguće i ako je primjenjivo trebalo praviti jasnu razliku između osobnih podataka različitih kategorija ispitanika […]”. Moje isticanje

17      Presuda od 27. rujna 2017., Puškár (C-73/16, EU:C:2017:725, t. 50.)

18      Presuda od 17. srpnja 2014., YS i dr. (C-141/12 i C-372/12, EU:C:2014:2081, t. 63.)

19      Točka 34.12. treća podtočka odluke kojom se upućuje zahtjev za prethodnu odluku

20      To je potvrđeno u točki 34.12. prvoj podtočki odluke kojom se upućuje zahtjev za prethodnu odluku.

21      Zahtjev da se kao dokaz dopuste podaci sadržani u spisima državnog odvjetništva podrazumijeva prijenos podataka koji se odnose na osobu VS jer se zahtjev morao temeljiti na relevantnosti sadržaja navedenih podataka, koja je, barem na razini indicije, bila očigledna.

22      Vidjeti u pogledu tumačenja te odredbe presudu od 24. ožujka 2022., Autoriteit Persoonsgegevens (C-245/20, EU:C:2022:216, t. 23. i sljedeće).

23      Vidjeti, u pogledu sličnog teksta Direktive 95/46/EZ Europskog parlamenta i Vijeća od 24. listopada 1995. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka (SL 1995., L 281, str. 31.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 13., svezak 7., str. 88.), presudu od 24. studenoga 2011., ASNEF (C-468/10 i C-469/10, EU:C:2011:777).

24      Državno odvjetništvo nije zakonom obvezno zahtijevati uključivanje spornih podataka u građanski postupak.

25      U skladu s uvodnom izjavom 47. GDPR-a, „[b]udući da je zakonodavac dužan zakonski odrediti pravnu osnovu za obradu osobnih podataka koju provode tijela javne vlasti, ta pravna osnova ne bi se smjela primjenjivati na obradu koju provode tijela javne vlasti pri izvršavanju svojih zadaća”.

26      Točke 45. i 49. odgovora bugarske vlade na pitanje Suda

27      Kao što to ističe nizozemska vlada, obrana državnih interesa u građanskom postupku nije, sama po sebi i samostalno, izvršavanje službene ovlasti, na koje se upućuje u drugom dijelu članka 6. stavka 1. točke (e) GDPR-a.

28      Zakon za otgovornostta na daržavata i obštinite za vredi (Zakon o odgovornosti državnih tijela i tijela lokalne samouprave za štete; DV br. 60 od 5. kolovoza 1988.). Bugarska je vlada u odgovoru na pitanje Suda razjasnila da pravna osnova na temelju koje je građanskom sudu podnesena tužba protiv državnog odvjetništva članak 2.b navedenog zakona, kojim se uređuju zahtjevi i oblici nastanka izvanugovorne odgovornosti države u slučaju povrede prava na suđenje u razumnom roku.

29      U skladu s bugarskim zakonodavstvom, tužbe zbog odgovornosti treba podnijeti protiv tijela kojima se stavlja na teret počinjenje štete. Ta tijela imaju svojstvo tuženika u odgovarajućem građanskom postupku. Neovisno o tom postupovnom uređenju, točno je da je zahtjev za naknadu štete u konačnici podnesen protiv čitave države, koju u svakom pojedinačnom slučaju brani ono tijelo koje je neposredno povezano s (navodnom) štetom za koju se potražuje naknada.

30      Te odredbe mogu se odnositi na „opće uvjete kojima se uređuje zakonitost obrade od strane voditelja obrade, vrste podataka koji su predmet obrade, dotične ispitanike, subjekte kojima se osobni podaci mogu otkriti i svrhe u koje se podaci mogu otkriti, ograničavanje svrhe, razdoblje pohrane te aktivnosti obrade i postupke obrade, uključujući mjere za osiguravanje zakonite i poštene obrade, kao i za druge posebne situacije obrade kako je navedeno u poglavlju IX”.

31      Bugarska je vlada u odgovoru na pitanje Suda tvrdila da pravnu osnovu treba tražiti u kontekstu dvostruke uloge državnog odvjetništva: s jedne strane, ono je branitelj države u građanskom postupku, a, s druge strane, izdavatelj službenog dokumenta koji ima pravni značaj za spor. Stoga postoji dvostruka pravna osnova: osnova koju čini članak 6. stavak 1. točka (c) GDPR-a, u svojstvu „izdavatelja službenog dokumenta” u smislu članka 179. Graždanski procesualen kodeksa (Zakonik o građanskom postupku), u vezi s člankom 186. Također, osnova koju čini članak 6. stavak 1. točka (e) GDPR-a, u svojstvu postupovne stranke prilikom izvršavanja svojih pravnih obveza (točke 31. i 32. odgovora bugarske vlade).