1.

Et grundlæggende princip i forordning (EU) 2016/679 ( 2 ), som fastsætter de generelle regler om beskyttelse af personoplysninger, og i direktiv (EU) 2016/680 ( 3 ) (lex specialis på det samme område i straffesager) er at begrænse indsamling og behandling af sådanne oplysninger til de specifikke formål, der er fastsat i lovgivningen.

2.

I den foreliggende sag skal Domstolen tage stilling til en bulgarsk rets tvivl om fortolkningen af forordning 2016/679 og direktiv 2016/680 med henblik på at afklare, om der foreligger ulovlig behandling af personoplysninger, som anklagemyndigheden i en medlemsstat er i besiddelse af, når:

3.

Artikel 2 (»Materielt anvendelsesområde«) bestemmer:

»1.   Denne forordning finder anvendelse på behandling af personoplysninger, der helt eller delvis foretages ved hjælp af automatisk databehandling, og på anden ikke automatisk behandling af personoplysninger, der er eller vil blive indeholdt i et register.

2.   Denne forordning gælder ikke for behandling af personoplysninger:

[…]

[…]«

4.

Artikel 4 (»Definitioner«) bestemmer:

»I denne forordning forstås ved:

[…]

[…]

[…]«

5.

Artikel 5 (»Principper for behandling af personoplysninger«) fastsætter:

»1.   Personoplysninger skal:

[…]«

6.

Artikel 6 (»Lovlig behandling«) har følgende ordlyd:

»1.   Behandling er kun lovlig, hvis og i det omfang mindst ét af følgende forhold gør sig gældende:

[…]

[…]

Første afsnit, litra f), gælder ikke for behandling, som offentlige myndigheder foretager som led i udførelsen af deres opgaver.

[…]

3.   Grundlaget for behandling i henhold til stk. 1, litra c) og e), skal fremgå af:

Formålet med behandlingen skal være fastlagt i dette retsgrundlag eller for så vidt angår den behandling, der er omhandlet i stk. 1, litra e), være nødvendig for udførelsen af en opgave i samfundets interesse eller som henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt. Dette retsgrundlag kan indeholde særlige bestemmelser for at tilpasse anvendelsen af bestemmelserne i denne forordning […]. EU-retten eller medlemsstaternes nationale ret skal opfylde et formål i samfundets interesse og stå i rimeligt forhold til det legitime mål, der forfølges.

4.   Når behandling til et andet formål end det, som personoplysningerne er indsamlet til, ikke er baseret på den registreredes samtykke eller EU-retten eller medlemsstaternes nationale ret, som udgør en nødvendig og forholdsmæssig foranstaltning i et demokratisk samfund af hensyn til de mål, der er omhandlet i artikel 23, stk. 1, tager den dataansvarlige, for at afgøre, om behandling til et andet formål er forenelig med det formål, som personoplysningerne oprindelig blev indsamlet til, bl.a. hensyn til følgende:

7.

Artikel 1 med overskriften »Genstand og formål« bestemmer:

»1.   I dette direktiv fastsættes regler om beskyttelse af fysiske personer i forbindelse med de kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod eller forebygge trusler mod den offentlige sikkerhed.

2.   Medlemsstaterne sikrer i overensstemmelse med dette direktiv:

[…]«

8.

Artikel 2 med overskriften »Anvendelsesområde« er affattet som følger:

»1.   Dette direktiv finder anvendelse på kompetente myndigheders behandling af personoplysninger med henblik på artikel 1, stk. 1.

[…]

3.   Dette direktiv gælder ikke for behandling af personoplysninger:

[…]«

9.

Artikel 3, stk. 1, 2 og 8, overtager definitionerne i artikel 4, stk. 1, 2 og 7, i forordning 2016/679.

10.

Artikel 4 (»Principper for behandling af personoplysninger«) foreskriver:

»[…]

2.   Behandling, der foretages af den samme eller en anden dataansvarlig til et andet formål omfattet af artikel 1, stk. 1, end det, hvortil personoplysningerne er indsamlet, er tilladt i det omfang:

[…]«

11.

Artikel 6 med overskriften »Sondring mellem forskellige kategorier af registrerede« bestemmer:

»Medlemsstaterne fastsætter bestemmelser om, at den dataansvarlige, hvor det er relevant og så vidt muligt, klart sondrer mellem personoplysninger om forskellige kategorier af registrerede såsom:

12.

Artikel 8 med overskriften »Lovlig behandling« fastsætter:

»1.   Medlemsstaterne fastsætter bestemmelser om, at behandling kun er lovlig, hvis og i det omfang denne behandling er nødvendig, for at en kompetent myndighed kan udføre en opgave med henblik på artikel 1, stk. 1, og at den sker på grundlag af EU-retten eller medlemsstaternes nationale ret.

2.   Medlemsstaternes nationale ret, der regulerer behandling inden for dette direktivs anvendelsesområde, skal som minimum angive målene med behandling, de personoplysninger, der skal behandles, og formålene med behandlingen.«

13.

Artikel 9 med overskriften »Særlige betingelser for behandling« bestemmer:

»1.   Personoplysninger indsamlet af kompetente myndigheder med henblik på artikel 1, stk. 1, må ikke behandles til andre formål end med henblik på artikel 1, stk. 1, medmindre en sådan behandling er hjemlet i EU-retten eller medlemsstaternes nationale ret. Hvis personoplysninger behandles til disse andre formål, finder forordning […] 2016/679 anvendelse, medmindre behandlingen udføres i forbindelse med en aktivitet, der falder uden for EU-rettens anvendelsesområde.

2.   Hvis kompetente myndigheder i henhold til medlemsstaternes nationale ret har fået overdraget andre opgaver end dem, der udføres med henblik på artikel 1, stk. 1, finder forordning […] 2016/679 anvendelse på behandling til disse formål, herunder til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål, medmindre behandlingen udføres i forbindelse med en aktivitet, der falder uden for EU-rettens anvendelsesområde.

[…]«

14.

Artikel 127 bestemmer, at anklagemyndigheden har enekompetence til at lede efterforskningen, anklage lovovertrædere og indlede strafforfølgning af strafbare handlinger, som er underlagt offentlig påtale.

15.

Artikel 1 fastsætter:

»(1)   Denne lov regulerer offentlige forhold vedrørende beskyttelse af fysiske personers rettigheder i forbindelse med behandling af deres personoplysninger, for så vidt som de ikke er reguleret af [forordning 2016/679].

(2)   Denne lov fastsætter ligeledes regler om beskyttelse af fysiske personer i forbindelse med de kompetente myndigheders behandling af personoplysninger med henblik på forebyggelse og afsløring af strafbare handlinger, efterforskning og retsforfølgning på dette område eller fuldbyrdelse af strafferetlige sanktioner, herunder beskyttelse mod og forebyggelse af trusler mod den offentlige sikkerhed og orden.

[…]«

16.

Artikel 17 bestemmer:

»(1)   Tilsynsmyndigheden ved det øverste råd for retsvæsenet skal sikre kontrol og overholdelse af [forordning 2016/679], af nærværende lov og af retsakter om beskyttelse af personoplysninger i forbindelse med behandling af personoplysninger af:

1. retten i forbindelse med udøvelsen af sine funktioner som judiciel myndighed og

2. anklagemyndigheden og efterforskningsmyndighederne under udøvelsen af deres funktioner som judicielle myndigheder med henblik på forebyggelse, afsløring, efterforskning eller retsforfølgning af strafbare handlinger eller fuldbyrdelse af strafferetlige sanktioner.

[…]«

17.

I artikel 42 er fastsat:

»(1)   Bestemmelserne i dette kapitel finder anvendelse i tilfælde af de kompetente myndigheders behandling af personoplysninger med henblik på forebyggelse og afsløring af strafbare handlinger, efterforskning og retsforfølgning på dette område eller fuldbyrdelse af strafferetlige sanktioner, herunder beskyttelse mod og forebyggelse af trusler mod den offentlige sikkerhed og orden.

(2)   Personoplysninger, der er indsamlet med henblik på de i stk. 1 nævnte formål, må ikke behandles til andre formål, medmindre andet er fastsat i EU-retten eller Republikken Bulgariens lovgivning.

(3)   Såfremt de kompetente myndigheder i henhold til stk. 1 behandler personoplysninger til andre formål end dem, der er nævnt i stk. 1, samt i de tilfælde, der er omhandlet i stk. 2, finder [forordning 2016/679] og de relevante bestemmelser i denne lov, der indfører gennemførelsesforanstaltninger hertil, anvendelse.

(4)   Ved »kompetent myndighed« som omhandlet i stk. 1 forstås enhver offentlig myndighed, der har kompetence til at forebygge og afsløre strafbare handlinger, foretage efterforskning og retsforfølgning på dette område eller fuldbyrde strafferetlige sanktioner, herunder beskyttelse mod og forebyggelse af trusler mod den offentlige sikkerhed og orden.

(5)   Medmindre andet er fastsat i lovgivningen, er en ansvarlig for behandling, som omhandlet dette kapitel, af personoplysninger med henblik på de i stk. 1 nævnte formål en kompetent myndighed i henhold til stk. 4 eller den administrative enhed, som denne myndighed er en del af, og som alene eller i fællesskab med andre myndigheder fastlægger formålene med og midlerne til behandling af personoplysninger.«

18.

I artikel 45 fastsættes følgende:

»[…]

(2)   Behandling af personoplysninger af den dataansvarlige, der oprindeligt indsamlede dem, eller af en anden dataansvarlig til et af de formål, der er omhandlet i artikel 42, stk. 1, som er forskelligt fra det formål, hvortil personoplysningerne blev indsamlet, er tilladt på betingelse af, at:

1. den dataansvarlige er bemyndiget til at behandle personoplysninger til dette formål i overensstemmelse med EU-retten eller Republikken Bulgariens lovgivning, og

2. behandlingen er nødvendig og forholdsmæssig i forhold til at nå dette andet formål i overensstemmelse med EU-retten eller Republikken Bulgariens lovgivning.

[…]«

19.

Artikel 47 gengiver artikel 6 i direktiv 2016/680.

20.

Artikel 49 har følgende ordlyd:

»Behandlingen af personoplysninger er lovlig, når den er nødvendig for, at en kompetent myndighed kan udøve sine beføjelser til de formål, der er omhandlet i artikel 42, stk. 1, og er fastsat i EU-retten eller i en lov, der fastlægger formålene med behandlingen og de kategorier af personoplysninger, der gøres til genstand for behandling.«

21.

Rajonna prokuratura – Petrij (kredsanklagemyndigheden i Petrij, Bulgarien) indledte en sag (efterforskning nr. 252/2013, som blev udført af kredspolitiforvaltningen i Petrij) ( 6 ) med henblik på at undersøge forhold, som udgjorde en strafbar handling ( 7 ), der fandt sted den 18. april 2013.

22.

Under denne efterforskning blev der oprindeligt indsamlet personoplysninger fra VS i hans egenskab af forurettet.

23.

Ved afgørelser truffet af anklagemyndigheden den 4. og den 5. april 2018 blev fire personer (herunder VS) sigtet for disse handlinger.

24.

Den 10. november 2020 indstillede Rajonen sad Petrij (kredsdomstolen i Petrij, Bulgarien) straffesagen med den begrundelse, at den var forældet.

25.

I 2016 og 2017 indledte kredsanklagemyndigheden i Petrij efter klager, der var rettet mod VS, en række sager ( 8 ), som i mangel af indikationer for en strafbar handling ikke gav anledning til nogen strafferetlig efterforskning.

26.

I 2018 anlagde VS et civilt søgsmål ( 9 ) mod Republikken Bulgariens anklagemyndighed ved Okrazjen sad – Blagoevgrad (den regionale domstol i Blagoevgrad, Bulgarien) med krav om erstatning for skade forårsaget af en uforholdsmæssig lang sagsbehandlingstid i straffesag nr. 252/2013.

27.

Med henblik på forsvar mod dette civile søgsmål anmodede anklagemyndigheden dommeren om at inddrage aktmapperne fra sag nr. 517/2016 og nr. 1872/2016 fra kredsanklagemyndigheden i Petrij.

28.

Ved kendelse af 15. oktober 2018 pålagde Okrazjen sad – Blagoevgrad (den regionale domstol i Blagoevgrad, Bulgarien) kredsanklagemyndigheden i Petrij at udlevere kopier af dokumenterne i aktmapperne nr. 517/2016 og nr. 1872/2016.

29.

Den 12. marts 2020 klagede VS til Inspektorata kam Visshia sadeben savet (tilsynsmyndigheden ved det øverste råd for retsvæsenet, herefter »tilsynsmyndigheden«) over det, som han anså for at være ulovlig dobbeltbehandling af hans personoplysninger fra anklagemyndighedens side, som angiveligt havde misbrugt:

30.

Den 22. juni 2020 afviste tilsynsmyndigheden begge VS’s anbringender.

31.

VS har indbragt tilsynsmyndighedens afgørelse for Administrativen sad Blagoevgrad (forvaltningsdomstolen i Blagoevgrad, Bulgarien), som har forelagt Domstolen følgende præjudicielle spørgsmål:

32.

Anmodningen om præjudiciel afgørelse blev indleveret til Domstolen den 23. marts 2021.

33.

VS, tilsynsmyndigheden, den bulgarske, den tjekkiske og den nederlandske regering samt Europa-Kommissionen har givet møde og indgivet skriftlige bemærkninger.

34.

Domstolen har ikke fundet det nødvendigt at afholde et offentligt retsmøde, og ingen af parterne har anmodet herom.

35.

forordning 2016/679 og direktiv 2016/680 indeholder et sammenhængende system, hvori

36.

Den beskyttelse, der ydes i henhold til det system, som udgøres af disse to retsakter, bygger på principperne om lovlighed, rimelighed og gennemsigtighed og, hvilket er relevant i det foreliggende tilfælde, på princippet om, at indsamlingen af oplysninger og behandlingen heraf er strengt begrænset til de formål, der er fastsat i loven ( 10 ).

37.

Artikel 5, stk. 1, litra b), i forordning 2016/679 bestemmer navnlig, at data skal »indsamles til udtrykkeligt angivne og legitime formål og […] ikke [må] viderebehandles på en måde, der er uforenelig med disse formål« ( 11 ). Dette er ligeledes ordlyden, som lex specialis, i artikel 4, stk. 1, litra b), i direktiv 2016/680.

38.

Personoplysninger må således ikke indsamles og behandles generelt, men udelukkende til bestemte formål ( 12 ) og på de betingelser for lovlighed, der er fastsat af EU-lovgiveren.

39.

Princippet om streng sammenhæng mellem indsamling og behandling af data på den ene side og de formål, som begge handlinger skal tjene, på den anden side, er ikke absolut i sin natur, idet både forordning 2016/679 og direktiv 2016/680 giver en vis fleksibilitet, for hvilken jeg vil redegøre senere.

40.

I den foreliggende sag skal forvaltningsdomstolen tage stilling til, om tilsynsmyndigheden (tilsynsmyndigheden) ( 13 ) handlede i overensstemmelse med loven ved at afvise den klage, hvori VS beskyldte den bulgarske anklagemyndighed for ulovlig behandling af hans personoplysninger.

41.

Disse oplysninger var, som jeg allerede har redegjort for, indsamlet i to forskellige sammenhænge:

42.

Den forelæggende rets spørgsmål omfatter således:

43.

Jeg er enig med den forelæggende ret og med alle de parter, der har deltaget i denne præjudicielle procedure, i, at den behandling af personoplysninger, der er genstand for det første præjudicielle spørgsmål, er omfattet af direktiv 2016/680.

44.

I henhold til artikel 1, stk. 1, og artikel 2, stk. 1, i direktiv 2016/680 finder direktivet anvendelse på kompetente myndigheders behandling af personoplysninger med henblik på forebyggelse, efterforskning, afsløring eller retsforfølgning af straffelovsovertrædelser. I det foreliggende tilfælde blev VS’ oplysninger netop indsamlet og behandlet i forbindelse med en strafferetlig efterforskning.

45.

For så vidt angår videregivelse af personoplysninger med henblik på den civile sag mod anklagemyndigheden (det andet præjudicielle spørgsmål) skal det imidlertid afgøres på grundlag af forordning 2016/679, om denne videregivelse udgør en behandling af oplysninger til andre formål end dem, der er omhandlet i artikel 1, stk. 1, i direktiv 2016/680, men som henhører under EU-rettens anvendelsesområde.

46.

I henhold til artikel 4, stk. 2, i direktiv 2016/680 er behandling, der foretages af den samme eller en anden dataansvarlig til et andet formål omfattet af artikel 1, stk. 1, ( 15 ) end det, hvortil personoplysningerne er indsamlet, tilladt, i det omfang:

47.

Direktiv 2016/680 tillader derfor en intern genregistrering af personoplysninger, der er indsamlet under dets anvendelsesområde. De oplysninger, der er indsamlet til et af de formål, der er omfattet af artikel 1, stk. 1, kan på visse betingelser ligeledes anvendes til et eller flere andre formål, der er omfattet af denne opregning.

48.

Det spørgsmål, der rejses i det første præjudicielle spørgsmål, er, om VS’ personoplysninger, der blev indsamlet, da han fremstod som formodet offer for den strafbare handling, der er genstand for efterforskningen, efterfølgende kan anvendes mod ham som efterforsket eller tiltalt i forbindelse med den samme straffesag.

49.

Det er med andre ord nødvendigt at afgøre, om VS’ personoplysninger blev behandlet til det samme formål, som det, der lå til grund for den oprindelige indsamling heraf, eller snarere til to forskellige formål, men som falder ind under anvendelsesområdet for direktiv 2016/680. I sidstnævnte tilfælde skal behandlingen underlægges de særlige betingelser i det nævnte direktivs artikel 4, stk. 2.

50.

Den forelæggende ret har formuleret sit første spørgsmål på en lidt tvetydig måde i forhold til tvistens genstand. Retten ønsker, bogstaveligt talt, at få oplyst, om artikel 1, stk. 1, i direktiv 2016/680 skal fortolkes »således, at begreberne »forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger« i forbindelse med angivelsen af formålet opregnes som aspekter af et generelt formål«.

51.

På baggrund af den forelæggende rets redegørelse kan det være hensigtsmæssigt at omformulere det første spørgsmål, således som parterne og intervenienterne i denne præjudicielle procedure har foreslået. I stedet for at fokusere på det abstrakte forhold mellem det generelle formål og det specifikke formål er det, der reelt er afgørende (og som VS’ klage faktisk vedrører), om det formål, der førte til indsamling af en persons oplysninger i dennes egenskab af formodet offer for en lovovertrædelse, fortsat er gældende i forbindelse med straffesager, der er omfattet af direktiv 2016/680, når disse oplysninger efterfølgende fører til en sigtelse af pågældende i samme sag.

52.

Ved fortolkning af ordlyden i af artikel 1, stk. 1, i direktiv 2016/680, skelnes der i denne bestemmelse mellem tre typer af formål, der vedrører forskellige tidspunkter og handlinger:

53.

Ud fra et systematisk eller kontekstuelt synspunkt taler artikel 4, stk. 2, i direktiv 2016/680 for at anse hvert af disse formål for særskilte. I modsat fald ville denne bestemmelse, som den nederlandske regering har påpeget, miste sit indhold, idet den netop henviser til »et andet formål omfattet af artikel 1, stk. 1, end det, hvortil personoplysningerne er indsamlet […]«.

54.

På baggrund af dette vil jeg redegøre for, hvorfor de omtvistede oplysninger i den foreliggende sag blev indsamlet og behandlet med henblik på et af de formål (»efterforskning«), der er omhandlet i artikel 1, stk. 1, i direktiv 2016/680, hvilket er afgørende for anvendelsen af direktivet og for den dertil knyttede lovlighed af behandlingen.

55.

Subsidiært, hvis indsamlingen og behandlingen blev foretaget til to af de formål, der er anført i artikel 4, stk. 2, i direktiv 2016/680, ville deres lovlighed heller ikke kunne anfægtes.

56.

I forbindelse med en strafferetlig efterforskning kan de involverede personers processuelle status ikke altid afgøres i den indledende fase. Disse efterforskninger har ofte til formål at identificere og således »kategorisere« de personer, der umiddelbart fremstår som gerningsmænd, ofre eller vidner til sagens faktiske omstændigheder.

57.

I denne forberedende fase er det indlysende, at denne »kategorisering« må ske med en vis fleksibilitet. Undersøgelsen bør på baggrund af resultaterne føre til identifikation af den nøjagtige kategori, hvori de involverede personer skal henhøre, når der træffes afgørelse vedrørende de faktiske forhold.

58.

Det gælder særligt i sager som den foreliggende. Ifølge den forelæggende ret var der tale om flere personer, som angreb hinanden. En af disse involverede personer, der i første omgang fremstod som forurettede, blev i sidste ende anklaget for at være gerningsmand til disse aggressive handlinger.

59.

I denne sammenhæng er hele den udøvede aktivitet omfattet af begrebet »efterforske« som omhandlet i artikel 1, stk. 1, i direktiv 2016/680. Der var således et enkelt formål med denne aktivitet, og det var i overensstemmelse med et af de »formål«, som behandlingen af personoplysninger kan tjene.

60.

Den forelæggende ret er imidlertid i tvivl om, hvorvidt denne fortolkning af artikel 1, stk. 1, i direktiv 2016/680 er forenelig med 31. betragtning til samme direktiv ( 16 ).

61.

Jeg er enig med flertallet af parterne i, at denne betragtning i lighed med artikel 6 i direktiv 2016/680, som sætter den i kraft, ikke er relevant med henblik på at afgøre, om der er sket den ændring af formålet, der er omhandlet i direktivets artikel 4, stk. 2.

62.

I henhold til artikel 6 i direktiv 2016/680 er en klar sondring mellem personoplysninger om forskellige kategorier af registrerede personer kun hensigtsmæssig, »hvor det er relevant og så vidt muligt«. Af de ovenfor anførte årsager er det ikke lige til i en indledende efterforskning som den, der fandt sted i den foreliggende sag, klart og fra starten at identificere de »forskellige kategorier af registrerede«. Desuden kan den samme involverede person i disse forhold have status af både forurettet og gerningsmand i forhold til de aggressive handlinger.

63.

Selv om den ansvarlige for behandlingen de oplysninger, der er indsamlet i forbindelse med straffesager, indledningsvis og i løbet af efterforskningen, klart sondrer mellem forurettede, mistænkte og vidner, ville dette ikke ændre det formål (at efterforske), der ligger til grund for indsamlingen og behandlingen af disse oplysninger.

64.

Med andre ord medfører det ikke nødvendigvis en ændring af formålet i henhold til artikel 4, stk. 2, i direktiv 2016/680, at personer, der optræder i en strafferetlig efterforskning, løbende tildeles den ene eller den anden status (forurettede, vidne, meddelagtig).

65.

Subsidiært ville behandlingen af de omtvistede personoplysninger, såfremt den i artikel 4, stk. 2, i direktiv 2016/680 nævnte omstændighed var opfyldt, have været i overensstemmelse med de betingelser for lovlighed, der er fastsat i dette direktiv. Dette har både den bulgarske og tjekkiske regering anført, hvilket jeg er enig med dem i.

66.

Selv om det er op til den forelæggende ret at efterprøve dette, synes der ikke at være nogen tvivl om, at den bulgarske anklagemyndighed i henhold til national ret er den myndighed, der er ansvarlig for at behandle VS’ personoplysninger »til et andet formål omfattet af artikel 1, stk. 1, end det, hvortil personoplysningerne er indsamlet«. Den første betingelse i artikel 4, stk. 2, litra a), i direktiv 2016/680 er således opfyldt.

67.

For så vidt angår den anden betingelse i litra b) i samme artikel 4, stk. 2 (at »behandlingen er nødvendig for og forholdsmæssig i forhold til dette andet formål«), er det min opfattelse, at

68.

Anvendt på denne sag er betingelserne i artikel 4, stk. 2, i direktiv 2016/680 af ringe betydning, og det eneste formål med indsamlingen af de pågældende personoplysninger er det samme: Der foreligger en logisk kontinuitet mellem den oprindelige behandling og den behandling, der efterfølgende førte til tiltalen mod den pågældende person.

69.

Der er således ikke behov for at bekræfte en ny dataansvarligs bemyndigelse (som altid ville være den samme), og det er heller ikke vanskeligt at fastslå nødvendigheden af den anden behandling (udført inden for rammerne af samme procedure), når proportionalitetskriteriet er det samme for al behandling, som det følger af principperne i artikel 4, stk. 1, i direktiv 2016/680.

70.

Artikel 9, stk. 1, i direktiv 2016/680 giver mulighed for, at personoplysninger, der er indsamlet i henhold til direktivet, kan genregistreres eksternt til andre formål.

71.

Artikel 9, stk. 1, i direktiv 2016/680 fastsætter som udgangspunkt, at sådanne oplysninger »[ikke må] behandles til andre formål end med henblik på artikel 1, stk. 1«, medmindre EU-retten eller medlemsstaternes lovgivning tillader behandling til opfyldelse af andre formål end dem, der er fastsat i artikel 1, stk. 1. I et sådant tilfælde finder forordning 2016/679 anvendelse (forudsat at aktiviteten er omfattet af EU-rettens anvendelsesområde).

72.

Med sit andet præjudicielle spørgsmål ønsker den forelæggende ret at få oplyst følgende:

73.

Tilsynsmyndigheden har gjort gældende, at idet VS’ klage dengang blev afvist som for sent indgivet, bør det andet præjudicielle spørgsmål afvises.

74.

Jeg er ikke enig i denne indsigelse.

75.

Domstolen kan kun afvise en anmodning fra en national ret, såfremt det klart fremgår, at den ønskede fortolkning af EU-retten savner enhver forbindelse med realiteten i hovedsagen eller dennes genstand, når problemet er af hypotetisk karakter, eller når Domstolen ikke råder over de faktiske og retlige oplysninger, som er nødvendige for, at den kan foretage en sagligt korrekt besvarelse af de stillede spørgsmål ( 17 ).

76.

Tilsynsmyndighedens indsigelse vedrører et forhold, der henhører under den forelæggende rets enekompetence. Det tilkommer alene den forelæggende ret under sit ansvar at fastlægge de faktiske omstændigheder og retlige regler, som det spørgsmål, der forelægges Domstolen, er omfattet af ( 18 ).

77.

Såvel bedømmelsen af den af tilsynsmyndigheden konstaterede manglende rettidighed som vurderingen af dens relevans for tvistens formål er forhold, hvis vurdering det alene tilkommer den forelæggende ret at foretage. I den foreliggende sag har denne ret fastholdt, at spørgsmålet er relevant for afgørelsen af hovedsagen, på trods af den af tilsynsmyndigheden påberåbte manglende rettidighed ( 19 ).

78.

Denne vurdering kan ikke efterprøves af Domstolen, som i princippet skal følge den fortolkning og anvendelse af national ret, såvel processuel som materiel, som de nationale domstole har foretaget ved fastlæggelsen af de rammer, inden for hvilke anmodningen om præjudiciel afgørelse er blevet indgivet.

79.

Henset til de grunde, som den forelæggende ret har anført til støtte for det andet præjudicielle spørgsmål, anmodes Domstolen reelt om at afgøre, om videregivelsen af de omtvistede oplysninger udgør en »behandling af oplysninger« som omhandlet i artikel 4, stk. 1 og 2, i forordning 2016/679 ( 20 ), og om denne behandling var lovlig i henhold til forordningens artikel 6.

80.

I artikel 4, stk. 1 og 2, i forordning 2016/679 og artikel 3, stk. 1 og 2, i direktiv 2016/680 defineres begreberne »personoplysninger« og »behandling« på samme måde.

81.

På grundlag af disse definitioner udleder jeg, at anklagemyndigheden havde til hensigt at anvende »information om en identificeret […] fysisk person«, som omfattede VS’ »personoplysninger«.

82.

Ved videregivelsen af disse personoplysninger i forbindelse med den civile sag har flere »aktiviteter« fundet sted, der udgør »behandling af personoplysninger« uden den registreredes samtykke. Det har som minimum været nødvendigt for anklagemyndigheden selv at konsultere oplysningerne for at vurdere deres potentielle nytteværdi i forbindelse med sit forsvar i den civile sag. Det må også antages, at oplysningerne med henblik herpå er blevet organiseret, struktureret, tilpasset eller ændret og naturligvis meddelt og formidlet, selv om dette måtte være i mindre grad, da det drejede sig om at fremlægge dem i den civile retssag ( 21 ).

83.

Kort sagt foretog anklagemyndigheden en behandling af VS’ personoplysninger ved at registrere dem, optage dem i sine arkiver, opbevare dem, konsultere dem og anmode den civile dommer om at tillade oplysningerne i straffesagen som bevismateriale.

84.

Tilsynsmyndigheden og Kommissionen har gjort gældende, at anklagemyndigheden kun kan være »dataansvarlig« som kompetent myndighed til de formål af strafferetlig karakter, der henhører under anvendelsesområdet for direktiv 2016/680.

85.

Dette indebærer efter min opfattelse ikke, at det andet præjudicielle spørgsmål er uden genstand, således som tilsynsmyndigheden har gjort gældende. Det forudsætter snarere, at lovligheden af behandlingen i henhold til artikel 9, stk. 1, i direktiv 2016/680 skal efterprøves i lyset af forordning 2016/679.

86.

Den domstol, der er kompetent til at afgøre den civile sag, er ansvarlig for behandlingen af de oplysninger der indgår heri, efter at de er indarbejdet i sagsakterne. Denne domstols beslutninger er i medfør af artikel 55, stk. 3, i forordning 2016/679 ikke omfattet af tilsynsmyndighedernes kontrol, når de vedtages i dens egenskab af domstol ( 22 ).

87.

Den forelæggende ret har imidlertid begrænset sit spørgsmål til, hvorvidt forordning 2016/679 finder anvendelse på det tidspunkt, hvor anklagemyndigheden søger at anvende de oplysninger, som den har indsamlet som »dataansvarlig« som omhandlet i direktiv 2016/680, til sit forsvar i den civile sag.

88.

I lyset af det ovenstående er det min opfattelse, at forordning 2016/679 finder anvendelse, idet de formål, der er nævnt i artikel 1, stk. 1, i direktiv 2016/680, ikke omfatter forsvaret af anklagemyndigheden i en civil retssag.

89.

Betingelserne for lovlig behandling af personoplysninger opregnes i artikel 6, stk. 1, i forordning 2016/679: »Behandling er kun lovlig, hvis og i det omfang mindst ét af følgende forhold gør sig gældende«, hvorefter disse forhold beskrives. Opregningen heraf er udtømmende ( 23 ).

90.

Disse betingelser er efter min opfattelse ikke opfyldt, hverken betingelsen om den registreredes samtykke [litra a)], opfyldelsen af en kontrakt [litra b)], opfyldelsen af en retlig forpligtelse [litra c)] ( 24 ) eller beskyttelsen af registreredes eller en tredjemands vitale interesser [litra d)].

91.

Ifølge den forelæggende ret er betingelsen i artikel 6, stk. 1, litra f), i forordning 2016/679 opfyldt. Det sidste afsnit i dette stykke udelukker imidlertid, som Kommissionen har anført, at litra f) finder anvendelse i den foreliggende sag, idet denne betingelse »[ikke gælder] for behandling, som offentlige myndigheder foretager som led i udførelsen af deres opgaver« ( 25 ).

92.

Som svar på et spørgsmål fra Domstolen har den bulgarske regering, støttet på dette punkt af den tjekkiske og den nederlandske regering, insisteret på, at den betingelse, der er fastsat i artikel 6, stk. 1, litra f), i forordning 2016/679, finder anvendelse. Nævnte regering har henvist til behovet for at tage hensyn til »karakteren af den aktivitet, der udøves af anklagemyndigheden«, der, selv om den er en offentlig enhed, kan deltage i civile sager som »ligeværdig part« ( 26 ).

93.

De »legitime interesser«, som anklagemyndigheden som offentlig myndighed ville forsvare i en sag, hvor den holdes ansvarlig for sin proceduremæssige adfærd, er imidlertid udelukket fra det tilfælde, der er omhandlet i artikel 6, stk. 1, litra f), i forordning 2016/679, hvilket udtrykkeligt fremgår af samme stykkes sidste afsnit.

94.

For myndigheder, der handler i forbindelse med udførelsen af de opgaver, som de har fået overdraget ved lov (i dette tilfælde at udføre strafferetlig forfølgning og repræsentere staten mod erstatningskrav), er den relevante interesse i henhold til artikel 6, stk. 1, i forordning 2016/679 samfundets interesse, som de tjener i henhold til samme bestemmelses litra e).

95.

Betingelsen i litra f) fastsætter, at den dataansvarlige eller en tredjemand kan forfølge en legitim interesse, medmindre den registreredes interesser eller grundlæggende rettigheder og frihedsrettigheder, der kræver beskyttelse af personoplysninger, går forud herfor.

96.

Denne bestemmelse vedrører således ikke så meget den offentlige myndigheds muligheder for at forsvare sig – som kan finde støtte i litra e) – som den eventuelle forrang for den registreredes interesser, rettigheder og frihedsrettigheder over for den dataansvarlige eller en tredjepart. Bestemmelsen finder snarere anvendelse på konflikter mellem (private) parter, hvis interesser ikke er af samfundsmæssig karakter.

97.

Eftersom anklagemyndigheden pr. definition handler i sin egenskab af statslig institution, bør det undersøges, om den pågældende behandling er omfattet af artikel 6, stk. 1, litra e), i forordning 2016/679.

98.

Dette ville være tilfældet, hvis behandlingen var »nødvendig af hensyn til udførelse af en opgave i samfundets interesse eller som henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt«.

99.

Jeg vil tage stilling til det første af disse to formål, uden at det er nødvendigt at behandle det andet ( 27 ), for at kunne afgøre, om anklagemyndighedens mellemkomst i den civile retssag, hvori nævnte myndighed kræves erstatning for sin adfærd, svarer til udførelsen af en opgave af samfundsinteresse.

100.

I henhold til national ret ( 28 ) tilkommer det anklagemyndigheden at repræsentere staten i sager om ansvar uden for kontraktforhold for den skade, som staten måtte have forvoldt ved sin forsinkelse. Således deltager anklagemyndigheden i varetagelsen af statens almene (økonomiske) interesser og dermed i udøvelsen af opgaver af samfundsinteresse ( 29 ).

101.

I henhold til artikel 9, stk. 1, i direktiv 2016/680 er det en forudsætning for at kunne foretage en ekstern registrering af de oplysninger, der er indsamlet i sagsakterne, at behandlingen af disse er tilladt i henhold til EU-retten eller medlemsstaternes lovgivning. I den foreliggende sag påhviler det den forelæggende ret at efterprøve, om der foreligger en sådan tilladelse i forbindelse med udøvelsen af en opgave af samfundsinteresse, som er betroet anklagemyndigheden med henblik på forsvar af statens formue.

102.

Det fremgår af artikel 6, stk. 3, i forordning 2016/679, at retsgrundlaget for den behandling, der er omhandlet i stk. 1, litra e), »kan indeholde specifikke bestemmelser med henblik på at tilpasse anvendelsen af bestemmelserne« i samme forordning ( 30 ). Hvis dette retsgrundlag er fastsat i lovgivningen i den medlemsstat, der finder anvendelse på den dataansvarlige, tilkommer det den nationale domstol at identificere det ( 31 ).

103.

Endelig skal det, selv om den forelæggende ret ikke har identificeret det relevante retsgrundlag, i overensstemmelse med artikel 6, stk. 4, i forordning 2016/679 afgøres, om den omtvistede behandling er forenelig med det formål, som de omtvistede oplysninger blev indsamlet til. Med henblik herpå skal der bl.a. tages hensyn til enhver forbindelse mellem det oprindelige formål og det opståede formål, den sammenhæng, hvori personoplysningerne blev indsamlet, og disse oplysningers karakter, de mulige konsekvenser for den registrerede af den nye behandling og eksistensen af relevante garantier.

104.

På baggrund af det ovenstående foreslår jeg Domstolen at svare Administrativen sad – Blagoevgrad (forvaltningsdomstolen i Blagoevgrad, Bulgarien) således: