–

Inspektorat kam Visshia sadeben savet ved T. Tochkova, som befuldmægtiget,

–

den bulgarske regering ved T. Mitova, S. Ruseva og R. Stoyanov, som befuldmægtigede,

–

den polske regering ved B. Majczyna, som befuldmægtiget,

–

Europa-Kommissionen ved A. Bouchagiar, C. Georgieva, H. Kranenborg og P. Van Nuffel, som befuldmægtigede,

1

Anmodningerne om præjudiciel afgørelse vedrører fortolkningen af artikel 19, stk. 1, andet afsnit, TEU, artikel 2, stk. 2, litra a), artikel 4, nr. 7), artikel 32, stk. 1, litra b), artikel 33, stk. 3, litra d), artikel 51, artikel 57, stk. 1, litra b), og artikel 79, stk. 1, i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT 2016, L 119, s. 1, herefter »databeskyttelsesforordningen«), sammenholdt med artikel 47 i Den Europæiske Unions charter om grundlæggende rettigheder (herefter »chartret«).

2

Anmodningerne er blevet indgivet i forbindelse med sager anlagt af Inspektorat kam Visshia sadeben savet (inspektoratet ved det øverste retsråd, Bulgarien) (herefter »inspektoratet«) med henblik på at anordne videregivelse til inspektoratet af oplysninger vedrørende flere dommeres, anklageres og disses familiemedlemmers bankkonti.

3

16. og 20. betragtning til databeskyttelsesforordningen har følgende ordlyd:

[...]

4

Denne forordnings artikel 2 med overskriften »Materielt anvendelsesområde« bestemmer følgende i stk. 1 og 2:

»1.   Denne forordning finder anvendelse på behandling af personoplysninger, der helt eller delvis foretages ved hjælp af automatisk databehandling, og på anden ikkeautomatisk behandling af personoplysninger, der er eller vil blive indeholdt i et register.

2.   Denne forordning gælder ikke for behandling af personoplysninger:

[...]«

5

Den nævnte forordnings artikel 4 med overskriften »Definitioner« fastsætter:

»I denne forordning forstås ved:

[...]

[...]

[...]«

6

Databeskyttelsesforordningens artikel 12 med overskriften »Gennemsigtig oplysning, meddelelser og nærmere regler for udøvelsen af den registreredes rettigheder« fastsætter i stk. 1:

»1.   Den dataansvarlige træffer passende foranstaltninger til at give enhver oplysning som omhandlet i artikel 13 og 14 og enhver meddelelse i henhold til artikel 15-22 og 34 om behandling til den registrerede i en kortfattet, gennemsigtig, letforståelig og lettilgængelig form og i et klart og enkelt sprog, [...] Oplysningerne gives skriftligt eller med andre midler, herunder, hvis det er hensigtsmæssigt, elektronisk. [...]«

7

Denne forordnings artikel 14 med overskriften »Oplysningspligt, hvis personoplysninger ikke er indsamlet hos den registrerede«, bestemmer i stk. 1 og 2:

»1.   Hvis personoplysningerne ikke er indsamlet hos den registrerede, giver den dataansvarlige den registrerede følgende oplysninger:

2.   Ud over de oplysninger, der er omhandlet i stk. 1, giver den dataansvarlige den registrerede følgende oplysninger, der er nødvendige for at sikre en rimelig og gennemsigtig behandling for så vidt angår den registrerede:

8

Databeskyttelsesforordningens artikel 21 med overskriften »Ret til indsigelse« fastsætter i stk. 1:

»Den registrerede har til enhver tid ret til af grunde, der vedrører den pågældendes særlige situation, at gøre indsigelse mod behandling af sine personoplysninger baseret på artikel 6, stk. 1, litra e) eller f), herunder profilering baseret på disse bestemmelser. Den dataansvarlige må ikke længere behandle personoplysningerne, medmindre den dataansvarlige påviser vægtige legitime grunde til behandlingen, der går forud for registreredes interesser, rettigheder og frihedsrettigheder, eller behandlingen er nødvendig for, at retskrav kan fastlægges, gøres gældende eller forsvares.«

9

Forordningens artikel 32 med overskriften »Behandlingssikkerhed« fastsætter i stk. 1:

»Under hensyntagen til det aktuelle tekniske niveau, implementeringsomkostningerne og den pågældende behandlings karakter, omfang, sammenhæng og formål samt risiciene af varierende sandsynlighed og alvor for fysiske personers rettigheder og frihedsrettigheder gennemfører den dataansvarlige og databehandleren passende tekniske og organisatoriske foranstaltninger for at sikre et sikkerhedsniveau, der passer til disse risici, herunder bl.a. alt efter hvad der er relevant:

[...]

[...]«

10

Den nævnte forordnings artikel 33 med overskriften »Anmeldelse af brud på persondatasikkerheden til tilsynsmyndigheden« bestemmer i stk. 1 og 3:

»1.   Ved brud på persondatasikkerheden anmelder den dataansvarlige uden unødig forsinkelse og om muligt senest 72 timer, efter at denne er blevet bekendt med det, bruddet på persondatasikkerheden til den tilsynsmyndighed, som er kompetent i overensstemmelse med artikel 55, medmindre […] det er usandsynligt, at bruddet på persondatasikkerheden indebærer en risiko for fysiske personers rettigheder eller frihedsrettigheder. Foretages anmeldelsen til tilsynsmyndigheden ikke inden for 72 timer, ledsages den af en begrundelse for forsinkelsen.

[...]

3.   Den i stk. 1 omhandlede anmeldelse skal mindst:

[...]

11

Databeskyttelsesforordningens kapitel VI med overskriften »Uafhængige tilsynsmyndigheder« indeholder forordningens artikel 51-59.

12

Denne forordnings artikel 51 med overskriften »Tilsynsmyndighed« har følgende ordlyd:

»1.   Hver medlemsstat sikrer, at en eller flere uafhængige offentlige myndigheder er ansvarlige for at føre tilsyn med anvendelsen af denne forordning, for at beskytte fysiske personers grundlæggende rettigheder og frihedsrettigheder i forbindelse med behandling og for at lette fri udveksling af personoplysninger i Unionen (»tilsynsmyndighed«).

[...]

3.   Hvis der er mere end én tilsynsmyndighed i en medlemsstat, udpeger den pågældende medlemsstat en tilsynsmyndighed, der skal repræsentere disse myndigheder i [Det Europæiske Databeskyttelsesråd], og fastsætter en mekanisme, som sikrer, at de andre myndigheder overholder reglerne vedrørende den sammenhængsmekanisme, der er omhandlet i artikel 63.

4.   Hver medlemsstat giver senest den 25. maj 2018 Kommissionen meddelelse om de bestemmelser, som den vedtager i henhold til dette kapitel, og underretter den straks om alle senere ændringer, der berører dem.«

13

Den nævnte forordnings artikel 55 med overskriften »Kompetence« bestemmer:

»1.   Hver tilsynsmyndighed er kompetent til at udføre de opgaver og udøve de beføjelser, der tillægges den i overensstemmelse med denne forordning, på sin egen medlemsstats område.

2.   Hvis behandling foretages af offentlige myndigheder eller af private organer, der handler på grundlag af artikel 6, stk. 1, litra c) eller e), er tilsynsmyndigheden i den pågældende medlemsstat kompetent. I så fald finder artikel 56 ikke anvendelse.

3.   Tilsynsmyndigheder er ikke kompetente til at føre tilsyn med domstoles behandlingsaktiviteter, når disse handler i deres egenskab af domstol.«

14

Databeskyttelsesforordningens artikel 57 med overskriften »Opgaver« fastsætter følgende i stk. 1:

»Uden at dette berører andre opgaver, der er fastsat i denne forordning, skal hver tilsynsmyndighed på sit område:

[...]

[...]«

15

Denne forordnings artikel 58 med overskriften »Beføjelser« opregner i stk. 1, de undersøgelsesbeføjelser, som tilsynsmyndighederne har, og i stk. 2, de korrigerende beføjelse, som disse myndigheder har.

16

Databeskyttelsesforordningens kapitel VIII med overskriften »Retsmidler, ansvar og sanktioner« indeholder forordningens artikel 77-84.

17

Denne forordnings artikel 77 med overskriften »Ret til at indgive klage til en tilsynsmyndighed« fastsætter i stk. 1:

»Uden at det berører andre administrative klageadgange eller adgang til retsmidler, har enhver registreret ret til at indgive klage til en tilsynsmyndighed, navnlig i den medlemsstat, hvor vedkommende har sit sædvanlige opholdssted eller sit arbejdssted, eller hvor den påståede overtrædelse har fundet sted, hvis den registrerede finder, at behandlingen af personoplysninger vedrørende vedkommende overtræder denne forordning.«

18

Denne forordnings artikel 78 med overskriften »Adgang til effektive retsmidler over for en tilsynsmyndighed« fastsætter i stk. 1:

»Uden at det berører andre administrative eller udenretslige klageadgange, har enhver fysisk eller juridisk person ret til effektive retsmidler over for en juridisk bindende afgørelse truffet af en tilsynsmyndighed vedrørende vedkommende.«

19

Databeskyttelsesforordningens artikel 79 med overskriften »Adgang til effektive retsmidler over for en dataansvarlig eller databehandler« bestemmer i stk. 1:

»Uden at det berører andre tilgængelige administrative eller udenretslige klageadgange, herunder retten til at indgive klage til en tilsynsmyndighed i henhold til artikel 77, skal den enkelte registrerede have adgang til effektive retsmidler, hvis vedkommende finder, at vedkommendes rettigheder i henhold til denne forordning er blevet krænket som følge af behandling af vedkommendes personoplysninger i strid med denne forordning.«

20

Artikel 117, stk. 2, i Konstitutsija na Republika Bulgaria (Republikken Bulgariens forfatning) i den affattelse, der finder anvendelse på de faktiske omstændigheder i hovedsagerne (herefter »den bulgarske forfatning«), bestemmer:

»Den dømmende magt er uafhængig. Under udøvelsen af deres hverv er dommere, lægdommere, anklagere og undersøgelsesdommere alene underlagt loven.«

21

Artikel 132a i den bulgarske forfatning i den affattelse, der fandt anvendelse på tidspunktet for indgivelsen af de foreliggende anmodninger om præjudiciel afgørelse, fastsatte:

»(1)   Der oprettes et inspektorat inden for det øverste retsråd, der består af en chefinspektør og ti inspektører.

(2)   Chefinspektøren vælges af nationalforsamlingen med et flertal på to tredjedele af dens medlemmer for en embedsperiode på fem år.

(3)   Inspektørerne vælges af nationalforsamlingen i overensstemmelse med de i stk. 2, fastsatte bestemmelser for en embedsperiode på fire år.

(4)   Chefinspektøren og inspektørerne kan genvælges, dog ikke for to på hinanden følgende embedsperioder.

[...]

(6)   Inspektoratet fører tilsyn med de judicielle myndigheders aktiviteter, uden at det berører dommeres, lægdommeres, anklageres og undersøgelsesdommeres uafhængighed under udøvelsen af deres hverv. [Inspektoratet] fører tilsyn med dommeres, anklageres og undersøgelsesdommeres integritet og interessekonflikter og med deres formueerklæringer samt identificerer handlinger, der skader retsvæsenets omdømme, og handlinger, der er forbundet med krænkelse af dommeres, anklageres og undersøgelsesdommeres uafhængighed. Chefinspektøren og inspektørerne er uafhængige, og under udøvelsen af deres hverv er de alene underlagt loven.

(7)   Inspektoratet handler ex officio, på initiativ af borgere, juridiske personer og statslige myndigheder, herunder dommere, anklagere og undersøgelsesdommere.

[...]

(10)   Betingelserne og procedurerne for valg og afskedigelse af chefinspektøren og inspektørerne samt for inspektoratets opbygning og funktion fastsættes ved lov.«

22

Artikel 46 i Zakon za sadebnata vlast (lov om den dømmende myndighed) (DV nr. 64 af 7.8 2007) i den affattelse, der finder anvendelse på de faktiske omstændigheder i hovedsagerne (herefter »ZSV«), fastsætter:

»Nationalforsamlingen vælger chefinspektøren og hver af inspektørerne individuelt med et flertal på to tredjedele af medlemmerne.«

23

Denne lovs artikel 54, stk. 1 og 2, bestemmer:

»(1)   Inspektoratet:

[...]

[...]

[...]

(2)   Ved udøvelsen af det tilsyn, der er omhandlet i stk. 1, nr. 15, udfører inspektoratet de opgaver og udøver de beføjelser, der er fastsat i loven om beskyttelse af personoplysninger.«

24

Nævnte lovs artikel 175a, stk. 1, fastsætter:

»Dommere, anklagere og undersøgelsesdommere indgiver følgende erklæringer til [inspektoratet]:

25

ZSV’s artikel 175b, stk. 4, har følgende ordlyd:

»Dommere, anklagere og undersøgelsesdommere skal angive deres ægtefællers eller samlivspartneres, samt deres mindreårige børns formue og indtægter.«

26

Denne lovs artikel 175d fastsætter:

»(1)   [Inspektoratet] fører og vedligeholder elektroniske offentlige registre over:

(2)   [Inspektoratet] indfører i det offentlige register, der er omhandlet i stk. 1, nr. 1, erklæringer om formue og interesser samt erklæringer om ændrede omstændigheder. Det er udelukkende embedsmænd, der er bemyndiget af chefinspektøren, som kan foretage denne indførsel.

[…]

(4)   Enhver har ret til at få adgang til oplysningerne i det offentlige register.

(5)   Med forbehold af kravene vedrørende beskyttelse af personoplysninger, gives der adgang via [inspektoratets] websted.«

27

Den nævnte lovs artikel 175e, stk. 1 og 6, bestemmer:

»(1)   Senest seks måneder efter udløbet af fristen for indgivelse af erklæringen kontrollerer [inspektoratet] rigtigheden af de indberettede forhold. [...]

[...]

(6)   [Inspektoratet] kan indhente oplysninger fra de informationssystemer, der er omhandlet i artikel 56 og 56a i lov om kreditinstitutter. [Inspektoratets] chefinspektør og inspektørerne kan anmode Rajonen sad [(kredsdomstol)] i den retskreds, hvor den berørte person har bopæl, om ophævelse af bankhemmeligheden, medmindre der er indhentet samtykke i overensstemmelse med artikel 62, stk. 5, nr. 1, i lov om kreditinstitutter. Samtykket gives skriftligt til [inspektoratet] uden notarbekræftelse af underskriften på en blanket, der er godkendt af chefinspektøren.«

28

ZVS’s artikel 307, stk. 2, fastsætter:

»Den disciplinære forseelse udgør en culpøs tilsidesættelse af tjenstlige forpligtelser og en krænkelse af den dømmende magts værdighed.«

29

Denne lovs artikel 311 har følgende ordlyd:

»Den disciplinære sanktion pålægges

[…]

30

Den nævnte lovs artikel 312, stk. 1, bestemmer:

»Et forslag om at indlede en disciplinærsag med henblik på at pålægge en dommer, anklager og undersøgelsesdommer, en administrativ leder og en assisterende administrativ leder en disciplinær sanktion kan fremsættes af:

[...]

3. [Inspektoratet]:

[...]«

31

Samme lovs artikel 323, stk. 1, fastsætter:

»Den afgørelse, der er truffet af plenarforsamlingen, eller af den berørte afdeling inden for det øverste retsråd, kan anfægtes af den person, der er pålagt den disciplinære sanktion, og – når der ikke er pålagt en disciplinær sanktion, eller sanktionen er mindre streng end den foreslåede – af den, der har indstillet til disciplinær forfølgning senest 14 dage efter forkyndelsen af denne afgørelse ved Varhoven administrativen sad [(øverste domstol i forvaltningsretlige sager, Bulgarien)].«

32

Artikel 62 i Zakon za kreditnite institutsii (lov om kreditinstitutter) (DV nr. 59 af 21.7.2006), i den version, der finder anvendelse på de faktiske omstændigheder i hovedsagerne, fastsætter:

»(1)   Bankansatte, medlemmer af bankernes ledelses- og tilsynsorganer, ansatte i den bulgarske nationalbank (BNB), ansatte og medlemmer af bestyrelsen for indskudsgarantifonden, likvidatorer, midlertidige administratorer og kuratorer samt alle andre personer, der arbejder for en bank, må ikke til egen fordel eller til gavn for deres familiemedlemmer videregive eller anvende oplysninger, der udgør bankhemmeligheder.

(2)   Bankhemmeligheden vedrører fakta og omstændigheder, der har betydning for saldi og transaktioner på bankens kunders konti og indlån.

[...]

(5)   Bortset fra videregivelse til BNB og til de formål og på de betingelser, der er fastsat i artikel 56, må banken kun give de i stk. 2 omhandlede oplysninger om individuelle kunder

(6)   En domstol kan endvidere give pålæg om videregivelse af de i stk. 2, nævnte oplysninger efter anmodning fra

[...]

12. chefinspektøren eller en inspektør [fra inspektoratet].

(7)   Dommeren ved Rajonen sad [(kredsdomstol)] træffer senest 24 timer efter modtagelsen af den i stk. 6, omhandlede anmodning i et lukket retsmøde en begrundet afgørelse med angivelse af den periode, som de i stk. 1 omhandlede oplysninger vedrører. Rettens afgørelse kan ikke appelleres. Rettens afgørelse kan ikke appelleres.

[…]«

33

Artikel 6, stk. 1, i Zakon za zasjtjita na litjnite danni (loven om beskyttelse af personoplysninger) (DV nr. 1, af 4.1.2002) i den affattelse, der finder anvendelse på de faktiske omstændigheder i hovedsagerne (herefter »ZZLD«), har følgende ordlyd:

»Komisia za zasjtjita na litjnite danni (kommission for beskyttelse af personoplysninger, Bulgarien) (herefter »KZLD«) er en permanent og uafhængig tilsynsmyndighed, der sikrer beskyttelsen af enkeltpersoner under behandlingen af deres personoplysninger og under adgangen til sådanne oplysninger samt overvåger overholdelsen af [databeskyttelsesforordningen] og denne lov.«

34

Denne lovs artikel 17, stk. 1 og 2, bestemmer:

»(1)   [Inspektoratet] overvåger og fører tilsyn med overholdelsen af [databeskyttelsesforordningen], denne lov og retsakter om beskyttelse af personoplysninger, når personoplysninger behandles af:

(2)   De nærmere bestemmelser for gennemførelsen af den i stk. 1, omhandlede virksomhed, herunder tilsyn med og undersøgelse af procedurerne ved inspektoratet, fastsættes i den bekendtgørelse, der er omhandlet i [ZSV’s] artikel 55, stk. 8.«

35

ZZLD’s artikel 17a, stk. 1, fastsætter:

»Når inspektoratet kontrollerer en domstols behandling af personoplysninger i forbindelse med udøvelsen af sin virksomhed som judiciel myndighed, undtagen i tilfælde af behandling af personoplysninger i henhold til artikel 42, stk. 1, skal inspektoratet

36

ZZLD’s artikel 39 fastsætter:

»(1)   I tilfælde af krænkelse af den registreredes rettigheder i henhold til [databeskyttelsesforordningen] og denne lov kan den registrerede anfægte den dataansvarliges og databehandlerens handlinger for en domstol i overensstemmelse med den procedure, der er fastsat i forvaltningsretsplejeloven.

[...]

(4)   Den registrerede kan ikke indbringe en sag for en domstol, hvis der verserer en sag ved [KZLD] vedrørende den samme overtrædelse, eller hvis en afgørelse truffet af [KZLD] vedrørende den samme overtrædelse er blevet appelleret, og der ikke foreligger en retsafgørelse, der er blevet endelig. Efter anmodning fra den registrerede eller en domstol bekræfter [KZLD], at der ikke verserer en retssag for den i samme tvist.

(5)   Stk. 4, finder tilsvarende anvendelse på sager, der verserer for inspektoratet.«

37

Den 15. maj 2023 indgav inspektoratet – efter udløbet af den frist, der er fastsat i ZSV’s artikel 175a og 175b for indgivelse af dommeres, anklageres og disses familiemedlemmers årlige formueerklæringer for 2022 – en anmodning til Sofiyski rajonen sad (kredsdomstolen i Sofia, Bulgarien), der er den forelæggende ret, om ophævelse af bankhemmeligheden med hensyn til bankkonti tilhørende flere dommere, anklagere og disses familiemedlemmer i henhold til ZKI’s artikel 62, stk. 6, nr. 12.

38

Den forelæggende ret har for det første anført, at den skal efterprøve, om inspektoratet har kompetence til at indgive en sådan anmodning til den. Den har i denne henseende præciseret, at dette organ, der blev oprettet ved en ændring af den bulgarske forfatning i 2007, har til opgave at undersøge, om dommere og anklagere udsættes for utilbørlig påvirkning, at verificere sidstnævntes formueerklæringer og identificere eventuelle interessekonflikter og indgreb i dommerstandens uafhængighed.

39

Den forelæggende ret har anført, at inspektoratet består af en chefinspektør og ti inspektører, som vælges af nationalforsamlingen for en periode på henholdsvis fem og fire år. Embedsperioden for samtlige medlemmer af inspektoratet udløb i løbet af 2020, uden at nationalforsamlingen havde valgt nye medlemmer.

40

Ved dom af 27. september 2022 fastslog Konstitutsionen sad (forfatningsdomstol, Bulgarien) ganske vist, at den bulgarske forfatning skal fortolkes således, at chefinspektøren og inspektørerne, hvis embedsperiode er udløbet, fortsætter med at udøve deres hverv, indtil nationalforsamlingen vælger nye medlemmer af inspektoratet, idet det blev lagt til grund, at bevarelsen af inspektoratets opgaver er vigtigere end risiciene for misbrug af de medlemmer, hvis embedsperiode er udløbet. Den forelæggende ret har imidlertid anført, at denne dom ikke behandlede spørgsmålet om, hvorvidt de medlemmer af inspektoratet, der efter udløbet af deres embedsperiode fortsætter med at udøve deres hverv, kan udøve en utilbørlig indflydelse på den dømmende magt, eller selv blive udsat for pres fra medlemmerne.

41

Den forelæggende ret er derfor i tvivl om, hvorvidt EU-retten fastlægger strengere betingelser end den bulgarske forfatning som fortolket af Konstitutsionen sad (forfatningsdomstol). Navnlig er den forelæggende ret, henset til Domstolens praksis i dom af 11. maj 2023, Inspecția Judiciară (C-817/21, EU:C:2023:391, præmis 50 og 51), i tvivl om, hvorvidt en forlængelse af embedsperioden for medlemmerne af inspektoratet kan skade garantierne for denne myndigheds uafhængighed i dens egenskab af en myndighed, der har beføjelse til at indlede disciplinærsager mod dommere og anklagere, og i bekræftende fald, hvilke kriterier der skal lægges til grund for vurderingen af, om en sådan forlængelse er tilladt, og eventuelt hvor længe.

42

For det andet ønsker den forelæggende ret oplyst, hvilken rolle og hvilke forpligtelser der påhviler de nationale domstole, der giver inspektoratet adgang til personoplysninger om dommere og anklagere.

43

I denne henseende har den forelæggende ret anført, at de bulgarske medier i løbet af 2019 blev opmærksomme på et alvorligt problem vedrørende sikkerheden omkring de oplysninger, som inspektoratet var i besiddelse af. KZLD havde nemlig konstateret, at personoplysninger vedrørende ca. 20 dommere og anklagere, som inspektoratet var i besiddelse af, ulovligt var blevet offentliggjort i deres helhed på inspektoratets websted, hvilket foranledigede KZLD til at pålægge inspektoratet en bøde. Den forelæggende ret har anført, at den ikke råder over nogen oplysninger, der gør det muligt for den at vide, om der siden denne hændelse er blevet truffet foranstaltninger med henblik på at sikre oplysningernes sikkerhed.

44

Den forelæggende ret er i tvivl om, hvorvidt den adgang, som den giver inspektoratet til personoplysninger, der er omfattet af bankhemmeligheden, er omfattet af databeskyttelsesforordningens anvendelsesområde, og i bekræftende fald, hvilke konsekvenser dette vil have for den prøvelse, som den skal foretage. Den har i denne henseende fremhævet, at databeskyttelsesforordningen pålægger de personer, der behandler personoplysninger, de dataansvarlige og tilsynsmyndighederne forpligtelser.

45

Derimod er de forpligtelser, der påhviler en domstol, som giver en myndighed tilladelse til at få adgang til sådanne oplysninger, ikke direkte reguleret af databeskyttelsesforordningen. Det skal derfor afgøres, om en sådan domstol skal anses for »dataansvarlig« som omhandlet i databeskyttelsesforordningens artikel 4, nr. 7), eller som en »tilsynsmyndighed« som omhandlet i denne forordnings artikel 51, for så vidt som den giver inspektoratet en tilladelse, uden hvilken der ikke kan gives adgang til de omhandlede oplysninger. Med henblik på de formål, der er omhandlet i ZSV’s artikel 175a og 175d i ZSV, indsamler og kontrollerer inspektoratet oplysninger om dommeres og anklageres formue, mens domstolene kontrollerer denne aktivitet ved at give eller nægte adgang til de pågældende oplysninger.

46

I denne henseende har den forelæggende ret anført, at dens prøvelse ifølge den fortolkning af national ret, der gælder i Bulgarien, skal være rent formel og begrænset til en efterprøvelse af, om de personer, med hensyn til hvilke bankhemmeligheden ønskes ophævet, er personer, der er omfattet af forpligtelsen til at afgive en erklæring i henhold til ZSV, det vil sig, om der er tale om dommere eller anklagere eller personer med en familiemæssig eller anden tilknytning til de pågældende som omhandlet i denne lov. Når disse betingelser er opfyldt, bør domstolene principielt altid tillade, at bankhemmeligheden ophæves. Dette er derimod ikke tilfældet, hvis de domstole, der udøver den forudgående kontrol, kan anses for at være dataansvarlige for de personoplysninger, som de giver adgang til, således at de skal sikre oplysningernes sikkerhed i henhold til databeskyttelsesforordningens artikel 32-34.

47

Selv om disse domstole ikke har direkte adgang til personoplysninger, der er omfattet af bankhemmeligheden, fastlægger de i et vist omfang formålet med behandlingen ved at tillade eller forbyde adgangen til disse oplysninger. Endvidere præciserer de nationale bestemmelser, der finder anvendelse i hovedsagerne, i tilfælde hvor formålet med behandlingen af personoplysningerne er fastsat ved lov, ikke hvilken myndighed der er underlagt de rettigheder og forpligtelser, der påhviler en dataansvarlig i forbindelse med behandling af personoplysninger.

48

Den forelæggende ret ønsker endvidere oplyst, om den, inden den giver adgang til oplysningerne, kan efterprøve, om inspektoratet har truffet foranstaltninger til at sikre, at oplysningerne bliver behandlet i overensstemmelse med loven, således, at den ikke blot agerer registreringskontor.

49

Endelig og selv om den domstol, der giver inspektoratet adgang til personoplysninger, der er omfattet af bankhemmeligheden, ikke har status som dataansvarlig eller tilsynsmyndighed, opstår endelig spørgsmålet, om den skal føre et sådant tilsyn med henblik på at sikre den adgang til effektive retsmidler, der er fastsat i databeskyttelsesforordningens artikel 79. Det er korrekt, at denne bestemmelse regulerer de tilfælde, hvor den registrerede anlægger sag med henblik på at beskytte sine rettigheder. Når proceduren for videregivelse af oplysninger gennemføres uden den registreredes deltagelse, og den nationale lovgivning indeholder bestemmelser om forudgående domstolsprøvelse, bør en lignende forpligtelse imidlertid gælde ex officio. Dette følger ligeledes af den adgang til effektive retsmidler, der er fastsat i chartrets artikel 47. I mangel af en sådan forpligtelse vil retsinstansen altid begrænse sig til en formel undersøgelse og en bekræftelse af myndighedens handlinger, hvilket kan synes at være i strid med formålene med databeskyttelsesforordningens artikel 79.

50

På denne baggrund har Sofijski rajonen sad (kredsdomstolen i Sofia) besluttet at udsætte sagerne og forelægge Domstolen følgende præjudicielle spørgsmål, der er affattet enslydende i sagerne C-313/23, C-316/23 og C-332/23:

51

Ved afgørelse truffet af Domstolens præsident den 30. juni 2023 er sagerne C-313/23, C-316/23 og C-332/23 blevet forenet med henblik på den skriftlige forhandling, den mundtlige forhandling og dommen.

52

Ved processkrift indleveret til Domstolens Justitskontor den 30. oktober 2024 har inspektoratet anmodet om, at retsforhandlingernes skriftlige del genåbnes i henhold til artikel 83 i Domstolens procesreglement. Eftersom nævnte artikel 83 regulerer genåbningen af retsforhandlingernes mundtlige del, og da denne fase i det foreliggende tilfælde var blevet afsluttet efter generaladvokatens fremsættelse af forslaget til afgørelse, skal denne anmodning forstås således, at den vedrører genåbning af retsforhandlingernes mundtlige del.

53

Til støtte for sin anmodning har inspektoratet anført to grunde, der er forbundet med det første præjudicielle spørgsmål. For det første er der sket en ny udvikling, nemlig ændringen i december 2023 af artikel 132a, stk. 4, i den bulgarske forfatning, således at medlemmer af inspektoratet fremover kan vælges for to på hinanden følgende embedsperioder. For det andet foretog generaladvokaten i sit forslag til afgørelse en urigtig vurdering af den i hovedsagerne omhandlede situation ved at henvise til en national lovgivning og en udtalelse fra Den Europæiske Kommission for Demokrati gennem Ret (kaldet »Venedigkommissionen«), som ikke er relevante i de foreliggende sager.

54

Det skal i denne henseende for det første bemærkes, at der i statutten for Den Europæiske Unions Domstol og i procesreglementet ikke er fastsat en mulighed for, at de berørte personer, der er omfattet af denne statuts artikel 23, kan afgive indlæg som svar på generaladvokatens forslag til afgørelse. For det andet skal generaladvokaten i medfør af artikel 252, stk. 2, TEUF fuldstændig upartisk og uafhængigt offentligt fremsætte begrundede forslag til afgørelse af de sager, der i overensstemmelse med statutten for Den Europæiske Unions Domstol kræver dennes deltagelse. Domstolen er hverken bundet af disse forslag til afgørelse eller af den begrundelse, hvorpå generaladvokaten har støttet disse. En parts uenighed med generaladvokatens forslag til afgørelse, uanset hvilke spørgsmål der undersøges heri, kan følgelig ikke i sig selv udgøre et forhold, som kan begrunde genåbning af retsforhandlingernes mundtlige del (dom af 19.12.2024, Ford Italia, C-157/23, EU:C:2024:1045, præmis 26 og den deri nævnte retspraksis).

55

I overensstemmelse med procesreglementets artikel 83 kan Domstolen ganske vist til enhver tid, efter at have hørt generaladvokaten, ved kendelse bestemme, at retsforhandlingernes mundtlige del skal genåbnes, navnlig hvis den finder, at sagen er utilstrækkeligt oplyst, eller såfremt en part, efter at denne del af retsforhandlingerne er afsluttet, er fremkommet med nye oplysninger vedrørende sagens faktiske omstændigheder, som er af afgørende betydning for Domstolens afgørelse, eller såfremt sagen bør afgøres på grundlag af et argument, som ikke har været drøftet af de berørte.

56

I det foreliggende tilfælde råder Domstolen imidlertid over alle de oplysninger, der er nødvendige for at træffe afgørelse om anmodningerne om præjudiciel afgørelse, og de foreliggende sager skal ikke afgøres på grundlag af argumenter, som ikke er blevet drøftet af de berørte parter. Desuden fremgår det ikke af anmodningen om genåbning af retsforhandlingernes mundtlige del, at der foreligger nye faktiske omstændigheder, som kan have afgørende betydning for den afgørelse, som Domstolen skal træffe i disse sager.

57

Under disse omstændigheder finder Domstolen, at det er ufornødent at genåbne retsforhandlingernes mundtlige del.

58

Den bulgarske regering har udtrykt tvivl om, hvorvidt anmodningerne om præjudiciel afgørelse kan antages til realitetsbehandling med den begrundelse, at det organ, der udgør den forelæggende ret, i hovedsagerne ikke har karakter af en »ret« som omhandlet i artikel 267 TEUF. For det første er procedurerne ved dette organ nemlig ensidige, for så vidt som de gennemføres uden de berørte personers deltagelse. For det andet er formålet med disse procedurer ikke at løse en retlig tvist, idet deres eneste formål er at efterprøve, om betingelserne for ophævelse af bankhemmeligheden er opfyldt.

59

Det følger af Domstolens faste praksis, at Domstolen for at bedømme, om det pågældende forelæggende organ er en »ret« i henhold til artikel 267 TEUF – et spørgsmål, som alene skal afgøres på grundlag af EU-retten – tager en hel række forhold i betragtning, herunder bl.a., om organet er oprettet ved lov, har permanent karakter, virker som obligatorisk retsinstans og træffer afgørelse på grundlag af retsregler, samt om det er uafhængigt (jf. i denne retning dom af 29.3.2022, Getin Noble Bank, C-132/20, EU:C:2022:235, præmis 66, og af 7.5.2024, NADA m.fl., C-115/22, EU:C:2024:384, præmis 35 og den deri nævnte retspraksis).

60

Det fremgår ligeledes af fast retspraksis, at selv om en forelæggelse for Domstolen i medfør af artikel 267 TEUF ikke forudsætter, at den procedure, hvorunder den nationale ret formulerer præjudicielle spørgsmål, er kontradiktorisk, kan de nationale retter kun forelægge spørgsmål for Domstolen, hvis der verserer en tvist for dem, og hvis forelæggelsen sker med henblik på afgørelse af en retssag. Afgørelsen af, om et organ har ret til at forelægge spørgsmål for Domstolen, træffes således på grundlag af såvel strukturelle som funktionelle kriterier. Et nationalt organ kan således være en »ret« som omhandlet i artikel 267 TEUF, når det udøver judicielle funktioner, hvorimod dette ikke er tilfældet, når det udøver andre funktioner, bl.a. af administrativ karakter (jf. i denne retning dom af 3.5.2022, CityRail, C-453/20, EU:C:2022:341, præmis 42 og 43 samt den deri nævnte retspraksis).

61

Det er ubestridt, at Sofiyski rajonen sad (kredsdomstolen i Sofia) som sådan opfylder de i denne doms præmis 59 omhandlede krav om, at organet skal være oprettet ved lov, have permanent karakter, træffe afgørelse på grundlag af retsregler og være uafhængigt, og der foreligger ingen oplysninger i de sagsakter, som Domstolen råder over, som giver anledning til tvivl i denne henseende. Det, som den bulgarske regering i det foreliggende tilfælde har rejst tvivl om, er hvorvidt denne domstol skal afgøre en retssag. Det skal i denne forbindelse bemærkes, at denne domstol har fået forelagt en anmodning fra inspektoratet om ophævelse af bankhemmeligheden i henhold til ZKI’s artikel 62, stk. 6, nr. 12. Selv om den bulgarske regering har gjort gældende, at den undersøgelse, som den forelæggende ret skal foretage, er af rent formel karakter, forholder det sig ikke desto mindre således, at den pågældende domstol skal efterprøve, om de retlige betingelser for ophævelse af bankhemmeligheden er opfyldt, træffe afgørelse ved begrundet afgørelse og fastsætte den periode, hvori bankhemmeligheden ophæves.

62

Navnlig har den tilladelse, som den forelæggende ret kan give, således som det fremgår af ZKI’s artikel 62, stk. 5, til formål at erstatte de berørte personers samtykke. Denne tilladelse kan gøres gældende over for de banker, hvor de berørte personer har bankkonti, og bevirker, at inspektoratet får adgang til personoplysninger vedrørende de pågældende konti. Desuden indebærer en sådan adgang et indgreb i de nævnte personers grundlæggende rettigheder, der er sikret ved chartrets artikel 7 og 8 (jf. i denne retning dom af 6.10.2020, État luxembourgeois (Ret til at anlægge søgsmål til prøvelse af en anmodning om oplysninger på skatteområdet), C-245/19 og C-246/19, EU:C:2020:795, præmis 74).

63

Under disse omstændigheder består de funktioner, som den forelæggende ret udøver i henhold til ZKI’s artikel 62, stk. 6, nr. 12, ikke i en vedtagelse af forvaltningsakter af administrativ karakter, der kan gøres til genstand for domstolsprøvelse, men skal kvalificeres som judicielle, idet den forelæggende ret skal træffe en uafhængig afgørelse med henblik på at sikre lovligheden af ophævelsen af bankhemmeligheden (jf. analogt kendelse af 15.1.2004, Saetti og Frediani, C-235/02, EU:C:2004:26, præmis 23).

64

Følgelig kan anmodningerne om præjudiciel afgørelse antages til realitetsbehandling.

65

Det skal indledningsvis anføres, at som led i den samarbejdsprocedure mellem de nationale retter og Domstolen, som er indført ved artikel 267 TEUF, tilkommer det Domstolen at give den forelæggende ret et hensigtsmæssigt svar, som sætter denne i stand til at afgøre de tvister, der verserer for den. Ud fra dette synspunkt påhviler det Domstolen efter omstændighederne at omformulere det spørgsmål, den forelægges (dom af 30.1.2024, Direktor na Glavna direktsia Natsionalna politsia pri MVR – Sofia, C-118/22, EU:C:2024:97, præmis 31 og den deri nævnte retspraksis).

66

Selv om det første spørgsmål i de foreliggende tilfælde henviser til et retsligt organ, »som kan idømme dommere disciplinære sanktioner og har beføjelse til at indsamle oplysninger om disse dommeres formueforhold«, fremgår det såvel af anmodningerne om præjudiciel afgørelse som af de sagsakter, som Domstolen råder over, at dette organ fører tilsyn med dommeres og anklageres judicielle virksomhed under udøvelsen af deres hverv, de pågældendes integritet og fraværet af interessekonflikter hos dem, og at det i denne forbindelse har beføjelse til at indsamle personoplysninger, der vedrører de pågældende. Det nævnte organ har navnlig beføjelse til efter et sådan tilsyn at foreslå et andet retsligt organ at indlede en disciplinærsag med henblik på at pålægge de berørte personer disciplinære sanktioner.

67

Som det fremgår af anmodningerne om præjudiciel afgørelse, er den forelæggende ret af den opfattelse, at den omstændighed, at inspektoratets medlemmer, der vælges af et flertal på to tredjedele af medlemmerne af nationalforsamlingen, fortsætter med at udøve deres hverv på trods af udløbet af deres embedsperiode, kan give anledning til tvivl med hensyn til kravet om dommerstandens uafhængighed. Den forelæggende ret er nemlig i tvivl om, hvorvidt medlemmerne af dette retslige organ i en sådan sammenhæng kan udøve en utilbørlig indflydelse på dommere og anklagere, eller udføre deres virksomhed under pres fra medlemmer af nationalforsamlingen.

68

Det første præjudicielle spørgsmål vedrører således udelukkende fortolkningen af artikel 19, stk. 1, andet afsnit, TEU, sammenholdt med chartrets artikel 47, med hensyn til forlængelsen af de udløbne embedsperioder for medlemmerne af inspektoratet, uden at omfanget af dette retslige organs beføjelser som sådan er omfattet af dette spørgsmål.

69

Under disse omstændigheder må det lægges til grund, at den forelæggende ret med sit første spørgsmål nærmere bestemt ønsker oplyst, om og i givet fald på hvilke betingelser artikel 19, stk. 1, andet afsnit, TEU, sammenholdt med chartrets artikel 47, er til hinder for en medlemsstats praksis, hvorefter medlemmerne af et retsligt organ i denne medlemsstat, der er valgt af den pågældende medlemsstats parlament for en embedsperiode af en bestemt varighed, og som har kompetence til at føre tilsyn med dommeres og anklageres judicielle virksomhed under udøvelsen af deres hverv, deres integritet og fraværet af interessekonflikter hos dem samt at foreslå et andet retsligt organ at indlede en disciplinærsag med henblik på at pålægge de pågældende dommere og anklagere disciplinære sanktioner, kan fortsætte med at udøve deres virksomhed ud over den for dem lovbestemte embedsperiode, der er fastsat i denne medlemsstats forfatning, indtil parlamentet vælger nye medlemmer.

70

Den polske regering har gjort gældende, at Domstolen ikke har kompetence til at besvare det første spørgsmål, eftersom Unionen ikke har nogen kompetence på området for organiseringen af den dømmende magt i medlemsstaterne.

71

Selv om organiseringen af den dømmende magt i denne henseende henhører under medlemsstaternes kompetence, er de under udøvelsen af denne kompetence ikke desto mindre forpligtede til at overholde de forpligtelser, der påhviler dem i henhold til EU-retten, og navnlig artikel 19, stk. 1, andet afsnit, TEU (jf. i denne retning dom af 9.1.2024, G. m.fl. (Udnævnelse af dommere ved de almindelige domstole i Polen), C-181/21 og C-269/21, EU:C:2024:1, præmis 57 og den deri nævnte retspraksis).

72

Dette er tilfældet for så vidt angår de nationale regler, der gælder for dommeres disciplinære ansvar (jf. i denne retning dom af 21.12.2021, Euro Box Promotion m.fl., C-357/19, C-379/19, C-547/19, C-811/19 og C-840/19, EU:C:2021:1034, præmis 133, og af 11.5.2023, Inspecţia Judiciară, C-817/21, EU:C:2023:391, præmis 44 og den deri nævnte retspraksis), herunder dem, der vedrører opbygningen og funktionen af et retsligt organ, der i lighed med inspektoratet har kompetence til at føre tilsyn med dommeres virksomhed under udøvelsen af deres hverv, kontrollere deres integritet og eventuelle interessekonflikter hos sidstnævnte og foreslå et andet retsligt organ at indlede en disciplinærsag med henblik på at pålægge de pågældende dommere disciplinære sanktioner.

73

Under disse omstændigheder, og eftersom det første præjudicielle spørgsmål vedrører fortolkningen af EU-retten, har Domstolen kompetence til at besvare dette spørgsmål.

74

Den bulgarske regering og inspektoratet har rejst tvivl om, hvorvidt det første spørgsmål kan antages til realitetsbehandling med den begrundelse, at inspektoratet ikke har kompetence til at pålægge disciplinære sanktioner, således at dette første spørgsmål ikke har nogen forbindelse med genstanden for hovedsagerne.

75

Inspektoratet har endvidere gjort gældende, at det første spørgsmål er hypotetisk. For det første har hovedsagerne nemlig ingen forbindelse med disciplinærsager. For det andet, og selv om konstateringen af en tilsidesættelse af artikel 19, stk. 1, andet afsnit, TEU kræver en strukturel tilsidesættelse af kravene om uafhængighed, har den forelæggende ret ikke præciseret, hvorledes den i hovedsagerne hævdede tilsidesættelse er af strukturel karakter.

76

Det følger i denne henseende af fast retspraksis, at det udelukkende tilkommer den nationale ret, for hvilken tvisten er indbragt, og som har ansvaret for den retsafgørelse, der skal træffes, på grundlag af omstændighederne i den konkrete sag at vurdere såvel nødvendigheden som relevansen af de spørgsmål, som den forelægger Domstolen. Når de forelagte spørgsmål vedrører fortolkningen af en EU-retlig regel, er Domstolen derfor principielt forpligtet til at træffe afgørelse (dom af 16.2.2023, Rzecznik Praw Dziecka m.fl. (Udsættelse af en afgørelse om tilbagegivelse)C-638/22 PPU, EU:C:2023:103, præmis 47, og af 24.7.2023, Lin, C-107/23 PPU, EU:C:2023:606, præmis 61).

77

Der foreligger dermed en formodning for, at spørgsmål om EU-retten er relevante. Domstolen kan kun afvise at træffe afgørelse om et præjudicielt spørgsmål fremsat af en national ret, hvis det klart fremgår, at den ønskede fortolkning af EU-retten savner enhver forbindelse med realiteten i hovedsagen eller dennes genstand, såfremt problemet er af hypotetisk karakter, eller såfremt Domstolen ikke råder over de faktiske og retlige oplysninger, som er nødvendige for, at den kan give en hensigtsmæssig besvarelse af de forelagte spørgsmål (jf. i denne retning dom af 16.2.2023, Rzecznik Praw Dziecka m.fl. (Udsættelse af en afgørelse om tilbagegivelse), C-638/22 PPU, EU:C:2023:103, præmis 48, og af 24.7.2023, Lin, C-107/23 PPU, EU:C:2023:606, præmis 62).

78

I det foreliggende tilfælde er den forelæggende ret i tvivl om, hvordan inspektoratets anmodninger om at få adgang til oplysninger om bankkonti tilhørende flere dommere og anklagere samt deres familiemedlemmer skal besvares. Den forelæggende ret ønsker navnlig oplyst, om EU-retten er til hinder for, at et sådant retsligt organ kan indgive anmodninger af denne art til den, når embedsperioderne for alle dets medlemmer er udløbet for flere år siden. Det synes derfor, at det tilkommer den forelæggende ret som led i sagen at træffe afgørelse in limine litis om dette spørgsmål, før den kan træffe afgørelse om udfaldet af de anmodninger, der er indgivet den. Det følger heraf, at den ønskede fortolkning af EU-retten opfylder et objektivt behov med hensyn til den afgørelse, som den forelæggende ret skal træffe (jf. i denne retning dom af 18.5.2021, Asociaţia Forumul Judecătorilor din România m.fl., C-83/19, C-127/19, C-195/19, C-291/19, C-355/19 og C-397/19, EU:C:2021:393, præmis 118 og 119).

79

Hvad angår de betragtninger fra inspektoratet, der er anført i denne doms præmis 75, vedrørende bl.a. de beføjelser, som inspektoratet råder over i forbindelse med hovedsagerne, og den omstændighed, at der ikke foreligger en strukturel tilsidesættelse af de krav, der følger af artikel 19, stk. 1, andet afsnit, TEU, falder disse betragtninger faktisk inden for rammerne af realitetsbehandlingen af det første spørgsmål og kan derfor ikke føre til, at det afvises.

80

Følgelig kan det første præjudicielle spørgsmål antages til realitetsbehandling.

81

I henhold til artikel 19, stk. 1, andet afsnit, TEU skal enhver medlemsstat sørge for, at de retsinstanser, der som »retter« i EU-rettens forstand skal træffe afgørelse om spørgsmål, der er knyttet til anvendelsen eller til fortolkningen af denne ret, og som således henhører under medlemsstatens retsmiddelsystem på de områder, der er omfattet af EU-retten, opfylder kravene til en effektiv domstolsbeskyttelse, herunder kravet om uafhængighed (dom af 11.7.2024, Hann-Invest m.fl., C-554/21, C-622/21 og C-727/21, EU:C:2024:594, præmis 47 og den deri nævnte retspraksis).

82

Selve eksistensen af en effektiv domstolsprøvelse, som skal sikre overholdelsen af EU-retten, er uløseligt forbundet med eksistensen af en retsstat. I overensstemmelse med artikel 19, stk. 1, andet afsnit, TEU tilkommer det i denne henseende medlemsstaterne at fastsætte et retsmiddel- og proceduresystem, som sikrer borgerne, at deres ret til en effektiv retsbeskyttelse er overholdt på de områder, som er omfattet af EU-retten. Princippet om en effektiv retsbeskyttelse af borgernes rettigheder som sikret ved EU-retten, hvortil der således henvises i artikel 19, stk. 1, andet afsnit, TEU, udgør et generelt princip i EU-retten, som udspringer af medlemsstaternes fælles forfatningstraditioner, og som er fastslået i artikel 6 og 13 i den europæiske konvention til beskyttelse af menneskerettigheder og grundlæggende frihedsrettigheder, undertegnet i Rom den 4. november 1950, og som nu er bekræftet i chartrets artikel 47 (dom af 21.12.2021, Euro Box Promotion m.fl., C-357/19, C-379/19, C-547/19, C-811/19 og C-840/19, EU:C:2021:1034, præmis 219 og den deri nævnte retspraksis).

83

Med henblik herpå er det afgørende at sikre, at retsinstanser, som kan anmodes om at træffe afgørelse vedrørende spørgsmål, der er forbundet med anvendelsen eller fortolkningen af EU-retten, er i stand til at tilbyde den effektive retsbeskyttelse, som kræves i henhold til chartrets artikel 47, stk. 2, der nævner adgangen til en »uafhængig« domstol som et af de krav, der er forbundet med den grundlæggende ret til effektive retsmidler (dom af 18.5.2021, Asociaţia Forumul Judecătorilor din România m.fl., C-83/19, C-127/19, C-195/19, C-291/19, C-355/19 og C-397/19, EU:C:2021:393, præmis 194 og den deri nævnte retspraksis).

84

Dette krav om domstolenes uafhængighed, som er uløseligt forbundet med udøvelsen af dømmende myndighed, er en del af kerneindholdet i retten til en effektiv retsbeskyttelse og i den grundlæggende ret til en retfærdig rettergang, der har afgørende betydning som garant for beskyttelsen af samtlige de rettigheder, som borgerne afleder af EU-retten, og for bevarelsen af medlemsstaternes fælles værdier, der er nævnt i artikel 2 TEU, herunder retsstatsprincippet. Retsinstansernes uafhængighed skal i overensstemmelse med det princip om magtens tredeling, som er kendetegnende for en retsstats funktionsmåde, bl.a. sikres i forhold til den lovgivende og den udøvende magt (dom af 18.5.2021, Asociația Forumul Judecătorilor Din România m.fl., C-83/19, C-127/19, C-195/19, C-291/19, C-355/19 og C-397/19, EU:C:2021:393, præmis 195 og den deri nævnte retspraksis).

85

Det fremgår af fast retspraksis, at de garantier for uafhængighed og upartiskhed, som kræves efter EU-retten, forudsætter, at der findes regler, som gør det muligt at fjerne enhver rimelig tvivl hos de retsundergivne om, at det omhandlede organ er uimodtageligt for påvirkninger udefra og neutralt i forhold til de interesser, som står over for hinanden (dom af 20.4.2021, Repubblika, C-896/19, EU:C:2021:311, præmis 53 og den deri nævnte retspraksis, og af 8.5.2021, Asociația Forumul Judecătorilor Din România m.fl., C-83/19, C-127/19, C-195/19, C-291/19, C-355/19 og C-397/19, EU:C:2021:393, præmis 196).

86

Hvad nærmere bestemt angår de regler, der regulerer disciplinærordningen for dommere, indebærer kravet om domstolenes uafhængighed i artikel 19, stk. 1, andet afsnit, TEU, at denne ordning frembyder de nødvendige garantier for at undgå enhver risiko for, at en sådan ordning anvendes som et system til politisk kontrol med retsafgørelsers indhold. Fastsættelsen af regler, som bl.a. både definerer, hvilken adfærd der udgør disciplinærforseelser, og hvilke sanktioner der konkret finder anvendelse, som foreskriver et uafhængigt organs indgriben i henhold til en procedure, der fuldt ud garanterer rettighederne i chartrets artikel 47 og 48, bl.a. retten til forsvar, og som fastsætter en mulighed for at indbringe disciplinærorganers afgørelser for domstolene, udgør i denne forbindelse en helhed af væsentlige garantier med henblik på at bevare den dømmende magts uafhængighed (dom af 18.5.2021, Asociația Forumul Judecătorilor Din România m.fl., C-83/19, C-127/19, C-195/19, C-291/19, C-355/19 og C-397/19, EU:C:2021:393, præmis 198 og den deri nævnte retspraksis, og af 11.5.2023, Inspecţia Judiciară, C-817/21, EU:C:2023:391, præmis 48 og den deri nævnte retspraksis).

87

Idet udsigten til at indlede en disciplinær undersøgelse som sådan kan lægge pres på dem, der har til opgave at udøve dømmende myndighed, har Domstolen allerede fastslået, at det er væsentligt, at det organ, der har kompetence til at gennemføre undersøgelserne og føre disciplinærsagen, handler objektivt og upartisk under varetagelsen af sine opgaver, og at dette organ med henblik herpå er beskyttet mod enhver udefrakommende indflydelse (dom af 18.5.2021, Asociația Forumul Judecătorilor Din România m.fl., C-83/19, C-127/19, C-195/19, C-291/19, C-355/19 og C-397/19, EU:C:2021:393, præmis 199, og af 11.5.2023, Inspecţia Judiciară, C-817/21, EU:C:2023:391, præmis 49). Dette gælder navnlig for et retsligt organ, der i lighed med inspektoratet råder over en vid beføjelse til at føre tilsyn med dommeres og anklageres judicielle virksomhed under udøvelsen af deres hverv, deres integritet og fraværet af interessekonflikter hos dem samt til, efter et sådant tilsyn, at foreslå et andet retsligt organ at indlede en disciplinærsag med henblik på at pålægge de pågældende dommere og anklagere disciplinære sanktioner.

88

Det er således vigtigt, at alle de regler, der regulerer et sådant organs opbygning og funktion, herunder dem, der regulerer proceduren for udnævnelse af dets medlemmer, er affattet på en sådan måde, at de fjerner enhver rimelig tvivl hos de retsundergivne med hensyn til, hvorvidt et sådant organs beføjelser og funktioner anvendes som middel til at lægge pres på denne judicielle virksomhed eller som middel til politisk kontrol med denne virksomhed (jf. i denne retning dom af 11.5.2023, Inspecţia Judiciară, C-817/21, EU:C:2023:391, præmis 50 og 51 og den deri nævnte retspraksis).

89

Disse regler kan nemlig generelt påvirke organets praksis direkte og dermed forhindre eller tværtimod fremme iværksættelsen af disciplinærsager, som har til formål eller til følge at lægge pres på dem, der har til opgave at bedømme eller sikre en politisk kontrol med deres virksomhed (jf. i denne retning dom af 11.5.2023, Inspecţia Judiciară, C-817/21, EU:C:2023:391, præmis 52).

90

Det tilkommer i sidste ende den forelæggende ret at tage stilling til, om det i hovedsagerne omhandlede organ er uimodtagelig for påvirkninger udefra og til dets objektivitet og upartiskhed i forhold til udførelsen af dets opgaver, efter at have foretaget de nødvendige vurderinger i denne henseende. Det skal nemlig bemærkes, at artikel 267 TEUF ikke giver Domstolen kompetence til at anvende EU-retlige regler på et bestemt tilfælde, men kun til at udtale sig om fortolkningen af traktaterne og retsakter vedtaget af Den Europæiske Unions institutioner. I henhold til fast retspraksis kan Domstolen imidlertid som led i det retslige samarbejde, der er indført ved artikel 267 TEUF, og på grundlag af sagsakterne forsyne en national ret med de EU-retlige fortolkningselementer, der kan være hensigtsmæssige for den ved vurderingen af den ene eller den anden EU-retlige bestemmelses virkninger (jf. i denne retning dom af 11.5.2023, Inspecţia Judiciară, C-817/21, EU:C:2023:391, præmis 58).

91

I det foreliggende tilfælde består inspektoratet af en chefinspektør og ti inspektører, der vælges af nationalforsamlingen med et flertal på to tredjedele af dens medlemmer for en embedsperiode på henholdsvis fem og fire år. I henhold til den nationale lovgivning, der var gældende på tidspunktet for indgivelsen af de foreliggende anmodninger om præjudiciel afgørelse, kunne inspektoratets medlemmer ikke genvælges for en anden embedsperiode i træk.

92

Hvad angår den i hovedsagerne omhandlede situation, hvor embedsperioden for inspektoratets medlemmer var udløbet, uden at nationalforsamlingen havde valgt sine nye medlemmer, synes den nationale lovgivning ikke at indeholde nogen regel om, at medlemmerne af det inspektorat, hvis embedsperiode er udløbet, kan fortsætte udøvelsen af deres hverv. Ifølge den forelæggende rets oplysninger fortsætter inspektoratets medlemmer i en sådan situation i overensstemmelse med praksis fra Konstitutsionen sad (forfatningsdomstol) ganske vist med at udøve deres hverv, indtil nationalforsamlingen vælger nye medlemmer. Ud over den omstændighed, at bulgarsk ret ikke indeholder nogen regler for udøvelsen af disse udvidede funktioner, indeholder den imidlertid heller ikke nogen lovbestemmelse, der kan bringe en eventuel blokering af processen med udnævnelse af nye medlemmer af inspektoratet til ophør, således at forlængelsen af de tidligere medlemmers embedsperiode i praksis synes at kunne forlænges uden nogen tidsbegrænsning.

93

Selv om det imidlertid for det første alene tilkommer medlemsstaterne at afgøre, om de vil give tilladelse til, at medlemmerne af et retsligt organ, der er beføjet til at føre tilsyn med dommeres og anklageres virksomhed og til at foreslå, at der indledes disciplinærsager mod de pågældende dommere og anklagere, kan udøve deres hverv ud over den lovbestemte varighed af de disse medlemmers embedsperiode med henblik på at sikre kontinuiteten i det nævnte organs funktion, er medlemsstaterne, når de vælger at foretage en sådan forlængelse af embedsperioden, forpligtede til at sikre, at udøvelsen af hvervet efter embedsperiodens udløb hviler på et udtrykkeligt retsgrundlag i national ret, der indeholder klare og præcise regler, der kan regulere denne udøvelse.

94

Medlemsstaterne skal desuden sikre, at de betingelser og den fremgangsmåde, som en sådan udøvelse er underlagt, er udformet således, at de pågældende medlemmer af et sådant retsligt organ ved udførelsen af deres opgaver kan handle objektivt og upartisk, og at de med henblik herpå er fri for enhver udefrakommende indflydelse, således som det kræves i henhold til den retspraksis, der er nævnt i nærværende doms præmis 87 og 88.

95

For det andet, og således som generaladvokaten har anført i punkt 58 i forslaget til afgørelse, forholder det sig sådan, at selv om en forlængelse af embedsperioderne under visse omstændigheder kan være nødvendig, henset til betydningen af de funktioner, der udøves af det pågældende retslige organ, gælder det stadig, at det pågældende organ ud over den lovlige varighed af de nævnte embedsperioder handler uden noget udtrykkeligt retsgrundlag i national ret, der indeholder klare og præcise regler for udøvelsen af disse funktioner. Det er derfor kun undtagelsesvis og på betingelse af, at denne forlængelse er underlagt klare og præcise regler, der i praksis udelukker muligheden for, at den kan være tidsubegrænset, at en sådan forlængelse kan komme på tale.

96

Når en medlemsstat gennemfører en sådan ramme, må den imidlertid hverken ændre sin lovgivning eller sin forfatning på en måde, som medfører en forringelse af beskyttelsen af retsstatsprincippet, som navnlig artikel 19 TEU udmønter, særligt for så vidt angår garantierne for dommeres uafhængighed i forhold til den lovgivende og den udøvende magt (jf. i denne retning dom af 20.4.2021, Repubblika, C-896/19, EU:C:2021:311, præmis 63 og 65).

97

Henset til ovenstående betragtninger skal det første spørgsmål besvares med, at artikel 19, stk. 1, andet afsnit, TEU, sammenholdt med chartrets artikel 47, skal fortolkes således, at princippet om dommeres uafhængighed er til hinder for en medlemsstats praksis, hvorefter medlemmerne af et retsligt organ i denne medlemsstat, der er valgt af den pågældende medlemsstats parlament for en embedsperiode af en bestemt varighed, og som har kompetence til at føre tilsyn med dommeres og anklageres judicielle virksomhed under udøvelsen af deres hverv, deres integritet og fraværet af interessekonflikter hos dem samt at foreslå et andet retsligt organ at indlede en disciplinærsag med henblik på at pålægge de pågældende dommere og anklagere disciplinære sanktioner, kan fortsætte med at udøve deres hverv ud over den for dem lovbestemte embedsperiode, der er fastsat i denne medlemsstats forfatning, indtil parlamentet vælger nye medlemmer, uden at forlængelsen af de udløbne embedsperioder hviler på et udtrykkeligt retsgrundlag i national ret, der indeholder klare og præcise regler, der kan danne ramme for udøvelsen af det pågældende hverv, og uden at det er sikret, at denne forlængelse i praksis er tidsbegrænset.

98

Med det andet spørgsmål ønsker den forelæggende ret nærmere bestemt oplyst, om databeskyttelsesforordningens artikel 2 skal fortolkes således, at videregivelse til et retsligt organ af personoplysninger, der er beskyttet af bankhemmeligheden, og som vedrører dommere og anklage samt deres familiemedlemmer, med henblik på at kontrollere de – offentliggjorte – erklæringer, som de pågældende dommere og anklagere har afgivet vedrørende deres egne og deres familiemedlemmers formue, udgør en behandling af personoplysninger, der er omfattet af denne forordnings materielle anvendelsesområde.

99

Ifølge fast retspraksis indeholder databeskyttelsesforordningens artikel 2, stk. 1, en meget bred definition af denne forordnings materielle anvendelsesområde. Med forbehold af de tilfælde, der er nævnt i dens artikel 2, stk. 2 og 3, finder databeskyttelsesforordningen anvendelse på behandlinger, der udføres af såvel private som af offentlige myndigheder, herunder som anført i 20. betragtning hertil judicielle myndigheder såsom domstole (jf. i denne retning dom af 24.3.2022, Autoriteit Persoonsgegevens, C-245/20, EU:C:2022:216, præmis 25, og af 16.1.2024, Österreichische Datenschutzbehörde, C-33/22, EU:C:2024:46, præmis 33 og 36).

100

Domstolen har desuden allerede fastslået, at hverken det forhold, at de oplysninger, der er genstand for de nationale bestemmelser, vedrører dommere, eller den omstændighed, at disse oplysninger eventuelt kan have en vis forbindelse til disses udøvelse af deres hverv, som sådan kan undtage disse nationale bestemmelser fra databeskyttelsesforordningens anvendelsesområde (dom af 5.6.2023, Kommissionen mod Polen (Dommeres uafhængighed og privatliv), C-204/21, EU:C:2023:442, præmis 315).

101

Databeskyttelsesforordningens artikel 2, stk. 2 og 3, fastsætter nemlig udtømmende undtagelser til den regel, der definerer forordningens materielle anvendelsesområde i stk. 1, hvoraf navnlig undtagelserne i stk. 2 skal fortolkes strengt (jf. i denne retning dom af 22.6.2021, Latvijas Republikas Saeima (Strafpoint), C-439/19, EU:C:2021:504, præmis 62, af 5.6.2023, Kommissionen mod Polen (Dommeres uafhængighed og privatliv), C-204/21, EU:C:2023:442, præmis 316, og af 16.1.2024, Österreichische Datenschutzbehörde, C-33/22, EU:C:2024:46, præmis 37).

102

Databeskyttelsesforordningens artikel 2, stk. 2, litra a), der specifikt er omhandlet i det andet præjudicielle spørgsmål, fastsætter, at denne forordning ikke gælder for behandling af personoplysninger »under udøvelse af aktiviteter, der falder uden for EU-retten«.

103

I overensstemmelse med fast retspraksis har denne bestemmelse, sammenholdt med 16. betragtning til databeskyttelsesforordningen, alene til formål at udelukke statslige myndigheders behandling af personoplysninger under udøvelse af en aktivitet, som tilsigter at beskytte statens sikkerhed, eller en aktivitet, som kan henføres til samme kategori, fra anvendelsesområdet for databeskyttelsesforordningen, idet det præciseres, at de aktiviteter, som har til formål at beskytte den nationale sikkerhed, navnlig omfatter de aktiviteter, hvis formål er at beskytte centrale statslige funktioner og samfundets grundlæggende interesser. Den omstændighed alene, at en aktivitet er statens eller en offentlig myndigheds, er således ikke tilstrækkelig til, at denne undtagelse automatisk finder anvendelse på en sådan aktivitet (jf. i denne retning dom af 22.6.2021, Latvijas Republikas Saeima (Strafpoint), C-439/19, EU:C:2021:504, præmis 66 og 67, af 8.12.2022, Inspektor v Inspektorata kam Visshia sadeben savet (Formål med behandling af personoplysninger – strafferetlig efterforskning), C-180/21, EU:C:2022:967, præmis 79, og af 5.6.2023Kommissionen mod Polen (Dommeres uafhængighed og privatliv), C-204/21, EU:C:2023:442, præmis 317 og 318).

104

Selv om god retspleje skal sikres i alle medlemsstaterne, og navnlig fastsættelsen af regler, der finder anvendelse på dommeres og anklageres status, bl.a. dommeres, og udøvelsen af deres hverv, henhører under medlemsstaternes kompetence (jf. i denne retning dom af 5.6.2023, Kommissionen mod Polen (Dommeres uafhængighed og privatliv), C-204/21, EU:C:2023:442, præmis 319), forholder det sig ikke desto mindre således, at en behandling af oplysninger som den i hovedsagerne omhandlede, der har til formål at kontrollere dommernes integritet og efterprøve, om der foreligger eventuelle interessekonflikter hos dem, hverken henhører under en aktivitet, som tilsigter at beskytte statens sikkerhed, eller en aktivitet, som kan henføres til samme kategori.

105

Det skal i øvrigt bemærkes, at videregivelsen til et retsligt organ af personoplysninger, der er beskyttet af bankhemmeligheden, og som vedrører dommere og anklagere samt deres familiemedlemmer, med henblik på kontrol af de pågældende dommeres og anklageres samt deres familiemedlemmers formueerklæringer, for så vidt som disse erklæringer er genstand for offentliggørelse, udgør en »behandling« som omhandlet i databeskyttelsesforordningens artikel 4, nr. 2). En sådan videregivelse udgør nemlig en overladelse af disse personoplysninger til dette organ.

106

Det andet præjudicielle spørgsmål skal derfor besvares med, at databeskyttelsesforordningens artikel 2 skal fortolkes således, at videregivelse til et retsligt organ af personoplysninger, der er beskyttet af bankhemmeligheden, og som vedrører dommere og anklage samt deres familiemedlemmer, med henblik på at kontrollere de – i givet fald offentliggjorte – erklæringer, som de pågældende dommere og anklagere har afgivet vedrørende deres egne og deres familiemedlemmers formue, udgør en behandling af personoplysninger, der er omfattet af denne forordnings materielle anvendelsesområde.

107

Med det tredje spørgsmål ønsker den forelæggende ret oplyst, om databeskyttelsesforordningens artikel 4, nr. 7), skal fortolkes således, at en ret, der har kompetence til efter anmodning fra et andet retsligt organ at give tilladelse til, at en bank videregiver oplysninger om dommeres og anklageres samt deres familiemedlemmers bankkonti til dette organ, kan kvalificeres som dataansvarlig som omhandlet i denne bestemmelse.

108

I henhold til databeskyttelsesforordningens artikel 4, nr. 7), omfatter begrebet »dataansvarlig« fysiske eller juridiske personer, offentlige myndigheder, institutioner eller andre organer, der alene eller sammen med andre afgør, til hvilke formål og med hvilke hjælpemidler der må foretages behandling af personoplysninger. Det fremgår ligeledes af denne bestemmelse, at når formålene med og hjælpemidlerne til denne behandling er fastlagt i bl.a. medlemsstaternes nationale ret, kan den dataansvarlige eller de specifikke kriterier for udpegelse af denne fastsættes i denne ret.

109

I overensstemmelse med Domstolens faste praksis tilsigter den nævnte bestemmelse ved en bred definition af begrebet »dataansvarlig« – i overensstemmelse med databeskyttelsesforordningens formål – at sikre en effektiv og fuldstændig beskyttelse af fysiske personers grundlæggende rettigheder og frihedsrettigheder samt bl.a. at sikre et højt beskyttelsesniveau for enhver persons ret til beskyttelse af personoplysninger vedrørende vedkommende (jf. i denne retning dom af 5.12.2023, Nacionalinis visuomenės sveikatos centras, C-683/21, EU:C:2023:949, præmis 28 og 29, og af 7.3.2024, IAB Europe, C-604/22, EU:C:2024:214, præmis 53-55 og den deri nævnte retspraksis).

110

Med henblik på at afgøre, om en person eller en enhed skal kvalificeres som dataansvarlig som omhandlet i databeskyttelsesforordningens artikel 4, nr. 7), skal det derfor undersøges, om denne person eller denne enhed alene eller sammen med andre fastlægger formålene med og hjælpemidlerne til behandlingen, eller om disse formål og hjælpemidler er fastlagt i national ret. Når en sådan fastlæggelse er sket i national ret, skal det undersøges, om denne nationale ret udpeger den dataansvarlige eller fastsætter de specifikke kriterier for udpegelsen af denne (dom af 27.2.2025, Amt der Tiroler Landesregierung, C-638/23, EU:C:2025:127, præmis 27).

111

Det skal endvidere præciseres, at henset til den brede definition af begrebet »dataansvarlig« som omhandlet i databeskyttelsesforordningens artikel 4, nr. 7), kan fastlæggelsen af formålene med og hjælpemidlerne til behandlingen, og i givet fald udpegelsen af denne ansvarlige i henhold til national ret, ikke blot være eksplicit, men også implicit. I sidstnævnte tilfælde kræves det ikke desto mindre, at denne fastlæggelse af formålene med og hjælpemidlerne til behandling følger tilstrækkeligt klart af den rolle, den opgave og de beføjelser, som er tillagt den pågældende person eller enhed (dom af 27.2.2025, Amt der Tiroler Landesregierung, C-638/23, EU:C:2025:127, præmis 28).

112

Det ville nemlig indskrænke beskyttelsen af de registrerede, hvis databeskyttelsesforordningens artikel 4, nr. 7), blev fortolket restriktivt til kun at omfatte de tilfælde, hvor formålene med og hjælpemidlerne til en behandling af oplysninger, der foretoges af en person, en offentlig myndighed, en institution eller et organ, udtrykkeligt var fastlagt i national ret, selv om disse formål og hjælpemidler i det væsentlige fremgik af de lovbestemmelser, der regulerede den pågældende enheds aktivitet (dom af 11.1.2024, État belge (Databehandling i en statstidende), C-231/22, EU:C:2024:7, præmis 30).

113

I den foreliggende sag ønsker den forelæggende ret oplyst, om den skal anses for at være dataansvarlig for den i hovedsagerne omhandlede behandling, nemlig videregivelsen til inspektoratet af personoplysninger, der er omfattet af bankhemmeligheden, idet den i medfør af loven er ansvarlig for at give tilladelse til en sådan videregivelse.

114

I denne henseende har inspektoratet i henhold til den nationale lovgivning, der finder anvendelse i hovedsagerne, kompetence til bl.a. at føre tilsyn med dommeres og anklageres integritet og fravær af interessekonflikter mellem dem samt deres formueerklæringer. Med henblik herpå giver denne lovgivning inspektoratet mulighed for at anmode om adgang til oplysninger om dommeres og anklageres samt deres familiemedlemmers bankkonti. I det tilfælde, hvor de registrerede ikke har givet samtykke til en sådan adgang, har dette retslige organ i medfør af den nævnte lovgivning beføjelse til at anmode om en forudgående retlig godkendelse med henblik på at få adgang til de nævnte oplysninger.

115

Det fremgår således, at det er den i hovedsagerne omhandlede nationale lovgivning, som præcisere den relevante kreds af personer, og de oplysninger, der kan behandles, som fastsætter formålene med den pågældende behandling, og som udpeger det kompetente organ, dvs. inspektoratet, med henblik på at opfylde disse formål. Den ret, for hvilken der er indgivet en anmodning om tilladelse til videregivelse, handler alene efter anmodning fra inspektoratet i forbindelse med udøvelsen af de beføjelser, den er tillagt i henhold til national ret og begrænser sig til at efterprøve, om de betingelser for lovlighed, der er fastsat i denne lov, er opfyldt. Det er ligeledes ikke denne ret, men inspektoratet, som i henhold til de gældende nationale regler udpeger de personer, hvis personoplysninger den ønsker at få adgang til i forbindelse med udøvelsen af de nævnte beføjelser, og med hensyn til hvilke den indgiver en anmodning om adgang til den nævnte ret.

116

Selv om det således tilkommer denne ret at undersøge, om og i hvilket omfang betingelserne for behandlingens lovlighed er opfyldt i en given sag, præciserer den hverken formålet med behandlingen eller de berørte personer og oplysninger af egen drift. Under disse omstændigheder er det ikke denne ret, der er ansvarlig for behandlingen som omhandlet i databeskyttelsesforordningens artikel 4, stk. 7, men det organ, der er kompetent til at varetage de forfulgte formål.

117

Henset til ovenstående betragtninger skal det tredje spørgsmål besvares med, at databeskyttelsesforordningens artikel 4, nr. 7), skal fortolkes således, at en ret, der har kompetence til efter anmodning fra et andet retsligt organ at give tilladelse til, at en bank videregiver oplysninger om dommeres og anklageres samt deres familiemedlemmers bankkonti til dette organ, ikke kan kvalificeres som dataansvarlig som omhandlet i denne bestemmelse.

118

Med det fjerde spørgsmål ønsker den forelæggende ret nærmere bestemt oplyst, om databeskyttelsesforordningens artikel 51 skal fortolkes således, at en ret, der har kompetence til at tillade videregivelse af personoplysninger til et andet retsligt organ, udgør en tilsynsmyndighed som omhandlet i denne artikel.

119

Databeskyttelsesforordningens artikel 51, stk. 1, pålægger medlemsstaterne at sikre, at en eller flere uafhængige offentlige myndigheder er ansvarlige for at føre tilsyn med anvendelsen af denne forordning. Oprettelsen af sådanne myndigheder, som ligeledes er fastsat i den primære EU-ret, dvs. chartrets artikel 8, stk. 3, og artikel 16, stk. 2, TEUF, er et væsentligt led i beskyttelsen af personer i forbindelse med behandling af personoplysninger (jf. i denne retning dom af 8.4.2014, Kommissionen mod Ungarn, C-288/12, EU:C:2014:237, præmis 48, og udtalelse 1/15 (PNR-aftalen mellem EU og Canada) af 26.7.2017, EU:C:2017:592, præmis 229).

120

Disse myndigheders væsentligste opgave i medfør af databeskyttelsesforordningens artikel 51, stk. 1 og 2, og artikel 57, stk. 1, litra a) og g), er at føre tilsyn med og håndhæve anvendelsen af denne forordning, idet de bidrager til, at forordningen anvendes på en ensartet måde i hele EU, med henblik på at beskytte fysiske personers grundlæggende rettigheder og frihedsrettigheder i forbindelse med behandlingen af deres personoplysninger og for at lette den frie udveksling af personoplysninger i EU. Med henblik herpå har de forskellige beføjelser, som de er tillagt i henhold til databeskyttelsesforordningens artikel 58 (jf. i denne retning dom af 4.7.2023, Meta Platforms m.fl. (Almindelige betingelser for anvendelse af et socialt netværk), C-252/21, EU:C:2023:537, præmis 45).

121

Medlemsstaterne er i henhold til databeskyttelsesforordningens artikel 51, stk. 4, forpligtede til at give Kommissionen meddelelse om de bestemmelser, som den vedtager i henhold til denne forordnings kapitel VI, navnlig dem, der vedrører den eller de tilsynsmyndigheder, der de har fået til opgave at føre tilsyn med anvendelsen af denne forordning.

122

I det foreliggende tilfælde fremgår det ikke af nogen af de sagsakter, som Domstolen råder over, at den forelæggende ret i henhold til bulgarsk ret har til opgave at føre tilsyn med anvendelsen af databeskyttelsesforordningen, og at den navnlig har de beføjelser, som en tilsynsmyndighed skal have i henhold til denne forordnings artikel 58.

123

Det fjerde spørgsmål skal derfor besvares med, at databeskyttelsesforordningens artikel 51 skal fortolkes således, at en ret, der har kompetence til at tillade videregivelse af personoplysninger til et andet retsligt organ, ikke udgør en tilsynsmyndighed som omhandlet i denne artikel, når den pågældende ret ikke af den medlemsstat, som den henhører under, har fået til opgave at føre tilsyn med anvendelsen af denne forordning med henblik på bl.a. at beskytte fysiske personers grundlæggende rettigheder og frihedsrettigheder i forbindelse med behandlingen af deres personoplysninger.

124

Det femte spørgsmål er kun stillet for det tilfælde, at Domstolen besvarer det tredje eller det fjerde spørgsmål bekræftende. Som det er fastslået i denne doms præmis 117 og 123, skal det tredje og det fjerde spørgsmål besvares benægtende.

125

Det er følgelig ufornødent at tage stilling til det femte præjudicielle spørgsmål.

126

Med det sjette spørgsmål ønsker den forelæggende ret nærmere bestemt oplyst, om databeskyttelsesforordningens artikel 79, stk. 1, sammenholdt med chartrets artikel 47, skal fortolkes således, at en ret, der har kompetence til at give tilladelse til videregivelse af personoplysninger til et andet retsligt organ, af egen drift – når der ikke er anlagt en sag for denne ret i henhold til denne bestemmelse – skal sikre beskyttelsen af de personer, hvis oplysninger er berørt, for så vidt angår overholdelsen af forordningens bestemmelser om sikkerhed i tilknytning til personoplysninger, herunder når det er velkendt, at denne myndighed tidligere har overtrådt disse bestemmelser.

127

I denne henseende har den forelæggende ret præciseret, at dette spørgsmål er stillet, for så vidt som den sag, der er indledt for den, gennemføres uden deltagelse af de personer, hvis personoplysninger er berørt, og for så vidt som den retlige godkendelse af videregivelsen af disse oplysninger til inspektoratet har til formål at erstatte de berørte personers samtykke uden at kunne gøres til genstand for et søgsmål. Den forelæggende ret er af den opfattelse, at hvis den begrænser sig til en rent formel undersøgelse af den anmodning om adgang, der er givet af inspektoratet, uden at sikre sig, at dette organ garanterer sikkerheden for de berørte personers oplysninger, vil den retsbeskyttelse af de registrerede, der er fastsat i databeskyttelsesforordningens artikel 79, blive frataget sin effektive virkning. Det er under disse omstændigheder, at den forelæggende ret er i tvivl om, hvorvidt den er forpligtet til ex officio at sikre, at inspektoratet overholder reglerne om datasikkerhed ved at kræve, at sidstnævnte giver den oplysninger om hvilke sikkerhedsforanstaltninger, der er truffet i henhold til denne forordnings artikel 33, stk. 3, litra d).

128

Det skal i denne henseende bemærkes, at databeskyttelsesforordningen indfører en række materielle og processuelle regler om datasikkerhed, som den dataansvarlige skal overholde, samtidig med at den i kapitel VIII fastsætter de retsmidler, der har til formål at beskytte rettighederne for de personer, hvis personoplysninger angiveligt er blevet behandlet i strid med den nævnte forordnings bestemmelser, og som disse personer kan anvende samtidigt og uafhængigt af hinanden (jf. i denne retning dom af 12.1.2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C-132/21, EU:C:2023:2, præmis 35).

129

Eftersom det beskyttelsesniveau, der tilstræbes med databeskyttelsesforordningen, afhænger af de sikkerhedsforanstaltninger, som de dataansvarlige for personoplysningerne træffer, skal disse, ved at de bærer bevisbyrden for, at disse foranstaltninger er passende, tilskyndes til at gøre alt, hvad der står i deres magt, for at forebygge, at der finder behandlingsaktiviteter sted, som ikke er i overensstemmelse med denne forordning (dom af 14.12.2023, Natsionalna agentsia za prihodite, C-340/21, EU:C:2023:986, præmis 55).

130

Kontrollen med overholdelsen af de sikkerhedskrav, der er fastsat i databeskyttelsesforordningen, påhviler dels tilsynsmyndighederne, dels de nationale retter, for hvilke der er indbragt et søgsmål i henhold til databeskyttelsesforordningens artikel 78, stk. 1, eller artikel 79, stk. 1.

131

Hvad angår tilsynsmyndighederne er den væsentligste opgave for dem, således som det er anført i nærværende doms præmis 120, at føre tilsyn med anvendelsen af databeskyttelsesforordningen og at sikre, at den overholdes. Navnlig skal de i henhold til denne forordnings artikel 33 underrettes om de dataansvarliges brud på persondatasikkerheden.

132

Databeskyttelsesforordningens artikel 58, stk. 1 og 2, tillægger desuden de nævnte myndigheder betydelige undersøgelsesbeføjelser og beføjelser til at vedtage forskellige korrigerende foranstaltninger. Det skal i denne henseende præciseret, at de er forpligtede til at gribe ind, når vedtagelsen af en eller flere af de korrigerende foranstaltninger under hensyntagen til alle omstændighederne i det konkrete tilfælde er passende, nødvendig og forholdsmæssig med henblik på at afhjælpe den konstaterede mangel og sikre fuld overholdelse af databeskyttelsesforordningen (dom af 26.9.2024, Land Hessen (Databeskyttelsesmyndighedens handlepligt), C-768/21, EU:C:2024:785, præmis 42).

133

Det er derudover særlig vigtigt, at tilsynsmyndighederne råder over effektive beføjelser med henblik på at gribe effektivt ind over for tilsidesættelser af databeskyttelsesforordningen og navnlig bringe disse til ophør, herunder i tilfælde, hvor de registrerede ikke er blevet underrettet om behandlingen af deres personoplysninger, ikke har kendskab hertil eller under alle omstændigheder ikke har indgivet en klage i henhold til denne forordnings artikel 77, stk. 1 (jf. i denne retning dom af 14.3.2024, Újpesti Polgármesteri Hivatal, C-46/23, EU:C:2024:239, præmis 41).

134

Disse myndigheder skal ligesom de nationale retter, for hvilke der er anlagt et søgsmål i henhold til databeskyttelsesforordningens artikel 78, stk. 1, eller artikel 79, stk. 1, sikre sig, at de tekniske og organisatoriske foranstaltninger, som den dataansvarlige har valgt, er passende med henblik på at sikre et sikkerhedsniveau, der passer til risiciene, således som det kræves i henhold til denne forordnings artikel 32, stk. 1, samtidig med, at de foretager en materiel undersøgelse af disse foranstaltninger ud fra alle de kriterier, der er nævnt i denne artikel, samt de særlige omstændigheder i den konkrete sag og de beviser, som denne ret råder over i denne henseende (jf. i denne retning dom af 14.12.2023, Natsionalna agentsia za prihodite, C-340/21, EU:C:2023:986, præmis 43 og 45, og af 28.11.2024, Másdi,C-169/23, EU:C:2024:988, præmis 71).

135

Derimod er nationale retsinstanser, for hvilke der ikke er anlagt et søgsmål i henhold til databeskyttelsesforordningens artikel 78, stk. 1, eller artikel 79, stk. 1, i mangel af regler, der udtrykkeligt tillægger dem kontrolbeføjelser, ikke forpligtede til at sikre overholdelsen af denne forordnings materielle bestemmelser med henblik på at sikre deres effektive virkning.

136

Da den forelæggende ret bl.a. er i tvivl om effektiviteten af det retsmiddel, der er fastsat i databeskyttelsesforordningens artikel 79, stk. 1, skal det med henblik på at give den et hensigtsmæssigt svar endvidere fremhæves, at medlemsstaterne skal sikre sig, at de konkrete regler for udøvelse af de retsmidler, der er fastsat i denne forordnings artikel 77, stk. 1, artikel 78, stk. 1, og artikel 79, stk. 1, faktisk opfylder de krav, der følger af den adgang til effektive retsmidler, der er fastsat i chartrets artikel 47 (jf. i denne retning dom af 12.1.2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C-132/21, EU:C:2023:2, præmis 51).

137

Med henblik herpå er det vigtigt, at den dataansvarlige, dvs. det kompetente retslige organ, som har fået adgang til personoplysningerne, giver de personer, hvis oplysninger er berørt, de oplysninger, der er opregnet i databeskyttelsesforordningens artikel 14, stk. 1 og 2, og i henhold til de nærmere bestemmelser i denne forordnings artikel 12, stk. 1, og artikel 14, stk. 3, idet disse oplysninger er nødvendige for, at de nævnte personer i givet fald kan udøve de rettigheder, som de er tillagt ved denne forordning, navnlig deres ret til at gøre indsigelse mod behandlingen af deres personoplysninger som fastsat i databeskyttelsesforordningens artikel 21, og deres adgang i medfør af denne forordnings artikel 79 og 82 til at iværksætte retsmidler, såfremt de har lidt skade (jf. analogt dom af 22.6.2023, Pankki S, C-579/21, EU:C:2023:501, præmis 58 og den deri nævnte retspraksis).

138

På grundlag af ovenstående betragtninger skal det andet præjudicielle spørgsmål besvares med, at databeskyttelsesforordningens artikel 79, stk. 1, sammenholdt med chartrets artikel 47, skal fortolkes således, at en ret, der har kompetence til at give tilladelse til videregivelse af personoplysninger til et andet retsligt organ, ikke af egen drift – når der ikke er anlagt en sag for denne ret i henhold til denne bestemmelse – skal sikre beskyttelsen af de personer, hvis oplysninger er berørt, for så vidt angår overholdelsen af forordningens bestemmelser om sikkerhed i tilknytning til personoplysninger, herunder når det er velkendt, at det pågældende organ tidligere har overtrådt disse bestemmelser.

139

Da sagernes behandling i forhold til hovedsagernes parter udgør et led i de sager, der verserer for den forelæggende ret, tilkommer det denne at træffe afgørelse om sagsomkostningerne. Bortset fra de nævnte parters udgifter kan de udgifter, som er afholdt i forbindelse med afgivelse af indlæg for Domstolen, ikke erstattes.

På grundlag af disse præmisser kender Domstolen (Første Afdeling) for ret: