–

VS, edustajanaan V. Harizanova,

–

Inspektor v Inspektorata kam Visshia sadeben savet, edustajanaan S. Mulyachka,

–

Bulgarian hallitus, asiamiehinään M. Georgieva ja T. Mitova,

–

Tšekin hallitus, asiamiehinään O. Serdula, M. Smolek ja J. Vláčil,

–

Alankomaiden hallitus, asiamiehinään M. K. Bulterman ja J. M. Hoogveld,

–

Euroopan komissio, asiamiehinään H. Kranenborg ja I. Zaloguin,

1

Ennakkoratkaisupyyntö koskee luonnollisten henkilöiden suojelusta toimivaltaisten viranomaisten suorittamassa henkilötietojen käsittelyssä rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten sekä näiden tietojen vapaasta liikkuvuudesta ja neuvoston puitepäätöksen 2008/977/YOS kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston direktiivin (EU) 2016/680 (EUVL 2016, L 119, s. 89) 1 artiklan 1 kohdan sekä erityisesti luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) (EUVL 2016, L 119, s. 1) 6 artiklan 1 kohdan tulkintaa.

2

Tämä pyyntö on esitetty asiassa, jossa asianosaisina ovat yhtäältä VS ja toisaalta Inspektor v Inspektorata kam Visshia sadeben savet (ylimmän tuomioistuinneuvoston yhteydessä toimivan valvontaviranomaisen tarkastaja, Bulgaria; jäljempänä IVSS), ja joka koskee Petrichin alueellisen syyttäjäviranomaisen (Bulgaria) suorittaman VS:ää koskevien henkilötietojen käsittelyn laillisuutta.

3

Johdanto-osan 19, 45 ja 47 perustelukappaleessa todetaan seuraavaa:

– –

– –

4

Yleisen tietosuoja-asetuksen 2 artiklan, jonka otsikko on ”Aineellinen soveltamisala”, 1 ja 2 kohdassa säädetään seuraavaa:

”1.   Tätä asetusta sovelletaan henkilötietojen käsittelyyn, joka on osittain tai kokonaan automaattista, sekä sellaisten henkilötietojen käsittelyyn muussa kuin automaattisessa muodossa, jotka muodostavat rekisterin osan tai joiden on tarkoitus muodostaa rekisterin osa.

2.   Tätä asetusta ei sovelleta henkilötietojen käsittelyyn,

– –

5

Yleisen tietosuoja-asetuksen 4 artiklassa, jonka otsikko on ”Määritelmät”, säädetään seuraavaa:

”Tässä asetuksessa tarkoitetaan

– –

– –”

6

Yleisen tietosuoja-asetuksen 5 artiklan, jonka otsikko on ”Henkilötietojen käsittelyä koskevat periaatteet”, 1 kohdassa säädetään seuraavaa:

Henkilötietojen suhteen on noudatettava seuraavia vaatimuksia:

– –

– –”

7

Yleisen tietosuoja-asetuksen 6 artiklassa, jonka otsikko on ”Käsittelyn lainmukaisuus”, säädetään seuraavaa:

”1.   Käsittely on lainmukaista ainoastaan jos ja vain siltä osin kuin vähintään yksi seuraavista edellytyksistä täyttyy:

– –

– –

Ensimmäisen alakohdan f alakohtaa ei sovelleta tietojenkäsittelyyn, jota viranomaiset suorittavat tehtäviensä yhteydessä.

– –

3.   Edellä olevan 1 kohdan c ja e alakohdassa tarkoitetun käsittelyn perustasta on säädettävä joko

Käsittelyn tarkoitus määritellään kyseisessä käsittelyn oikeusperusteessa tai, 1 kohdan e alakohdassa tarkoitetussa käsittelyssä, sen on oltava tarpeen yleistä etua koskevan tehtävän suorittamiseksi tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi. – –”

8

Yleisen tietosuoja-asetuksen 21 artiklan, jonka otsikko on ”Vastustamisoikeus”, 1 kohdassa säädetään seuraavaa:

”Rekisteröidyllä on oikeus henkilökohtaiseen erityiseen tilanteeseensa liittyvällä perusteella milloin tahansa vastustaa häntä koskevien henkilötietojen käsittelyä, joka perustuu 6 artiklan 1 kohdan e tai f alakohtaan – –. Rekisterinpitäjä ei saa enää käsitellä henkilötietoja, paitsi jos rekisterinpitäjä voi osoittaa, että käsittelyyn on olemassa huomattavan tärkeä ja perusteltu syy, joka syrjäyttää rekisteröidyn edut, oikeudet ja vapaudet tai jos se on tarpeen oikeusvaateen laatimiseksi, esittämiseksi tai puolustamiseksi.”

9

Yleisen tietosuoja-asetuksen 23 artiklan, jonka otsikko on ”Rajoitukset”, 1 kohdassa säädetään, että rekisterinpitäjään tai henkilötietojen käsittelijään sovellettavassa unionin oikeudessa tai jäsenvaltion lainsäädännössä voidaan lainsäädäntötoimenpiteellä rajoittaa niiden velvollisuuksien ja oikeuksien soveltamisalaa, joista säädetään 12–22 artiklassa, jos kyseisessä rajoituksessa noudatetaan keskeisiltä osin perusoikeuksia ja ‑vapauksia ja se on demokraattisessa yhteiskunnassa välttämätön ja oikeasuhteinen toimenpide, jotta voidaan taata muun muassa tietyt unionin tai jäsenvaltion yleiseen julkiseen etuun liittyvät tärkeät tavoitteet.

10

Direktiivin 2016/680 johdanto-osan 8–12, 27 ja 29 perustelukappaleessa säädetään seuraavaa:

– –

– –

11

Kyseisen direktiivin 1 artiklan, jonka otsikko on ”Kohde ja tavoitteet”, 1 kohdassa säädetään seuraavaa:

”Tässä direktiivissä vahvistetaan säännöt luonnollisten henkilöiden suojelulle toimivaltaisten viranomaisten suorittamassa henkilötietojen käsittelyssä rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelua ja tällaisten uhkien ehkäisyä varten.”

12

Direktiivin 3 artiklan, jonka otsikko on ”Määritelmät”, 1 ja 2 alakohdassa käytettyjen ilmaisujen ”henkilötiedot” ja ”käsittely” määritelmissä toistetaan yleisen tietosuoja-asetuksen 4 artiklan 1 ja 2 alakohdassa esitetyt määritelmät.

13

Direktiivin 2016/680 3 artiklan 7 alakohdan a alakohdassa sekä 8 alakohdassa säädetään seuraavaa:

”Tässä direktiivissä tarkoitetaan

– –

7.   ’toimivaltaisella viranomaisella’

– –

8.   ’rekisterinpitäjällä’ toimivaltaista viranomaista, joka yksin tai yhdessä muiden kanssa määrittelee henkilötietojen käsittelyn tarkoitukset ja keinot; jos tällaisen käsittelyn tarkoitukset ja keinot määritellään unionin oikeudessa tai jäsenvaltion lainsäädännössä, rekisterinpitäjä tai tämän nimittämistä koskevat erityiset kriteerit voidaan vahvistaa unionin oikeuden tai jäsenvaltion lainsäädännön mukaisesti.”

14

Direktiivin 2016/680 4 artiklan 1 kohdassa, jonka otsikko on ”Henkilötietojen käsittelyä koskevat periaatteet”, säädetään seuraavaa:

”Jäsenvaltioiden on säädettävä siitä, että

– –

– –”

15

Direktiivin 2016/680 4 artiklan 2 kohdassa säädetään seuraavaa:

”Saman tai toisen rekisterinpitäjän suorittama käsittely muuhun 1 artiklan 1 kohdassa säädettyyn tarkoitukseen kuin siihen, johon henkilötiedot kerättiin, sallitaan sikäli kuin

16

Direktiivin 2016/680 6 artiklassa, jonka otsikko on ”Eri ryhmiin kuuluvien rekisteröityjen erottaminen”, säädetään seuraavaa:

”Jäsenvaltioiden on säädettävä siitä, että rekisterinpitäjä erottaa tarvittaessa ja mahdollisuuksien mukaan selvästi toisistaan henkilötiedot, jotka koskevat eri ryhmiin kuuluvia rekisteröityjä, kuten

– –”

17

Direktiivin 2016/680 9 artiklan, jonka otsikko on ”Käsittelyä koskevat erityiset edellytykset”, 1 ja 2 kohdassa säädetään seuraavaa:

”1.   Toimivaltaisten viranomaisten 1 artiklan 1 kohdassa säädettyihin tarkoituksiin keräämiä henkilötietoja ei saa käsitellä muihin kuin 1 artiklan 1 kohdassa säädettyihin tarkoituksiin, ellei kyseistä käsittelyä sallita unionin oikeudessa tai jäsenvaltion lainsäädännössä. Jos henkilötietoja käsitellään mainittuihin muihin tarkoituksiin, sovelletaan [yleistä tietosuoja-asetusta], jollei käsittelyä suoriteta sellaisen toiminnan yhteydessä, joka ei kuulu unionin oikeuden soveltamisalaan.

2.   Jos toimivaltaisille viranomaisille on jäsenvaltion lainsäädännön nojalla annettu muita tehtäviä kuin 1 artiklan 1 kohdassa säädettyjä tarkoituksia varten toteutettavia tehtäviä, [yleistä tietosuoja-asetusta] sovelletaan tällaisia tarkoituksia varten tapahtuvaan tietojen käsittelyyn – –, paitsi jos tietojen käsittely suoritetaan sellaisen toiminnan yhteydessä, joka ei kuulu unionin oikeuden soveltamisalaan.”

18

Bulgarian tasavallan perustuslain 127 §:ssä säädetään seuraavaa:

”Syyttäjäviranomainen valvoo lakien noudattamista seuraavasti:

1.   se johtaa tutkintaa ja valvoo sen toteuttamisen laillisuutta

2.   se voi suorittaa tutkinnan

3.   se vastaa rikoksentekijöiden syytteeseenpanosta ja syytteen nostamisesta tuomioistuimissa, kun kyse on virallisen syytteen alaisista rikoksista

– –”

19

Henkilötietojen suojasta 4.1.2002 annetun lain (Zakon za zashtita na lichnite danni; DV nro 1, 4.1.2002; jäljempänä tietosuojalaki) tarkoituksena on taata luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä, johon sovelletaan yleistä tietosuoja-asetusta, sekä näiden tietojen käsittelyssä, jota toimivaltaiset viranomaiset tekevät rikosten ennalta estämiseksi, tutkimiseksi, paljastamiseksi tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten, mukaan lukien yleiseen turvallisuuteen ja järjestykseen kohdistuvilta uhkilta suojelua ja tällaisten uhkien ehkäisyä varten.

20

Tietosuojalain 17 §:n 1 momentin mukaan IVSS varmistaa yleisen tietosuoja-asetuksen, tämän lain ja henkilötietojen suojasta annettujen säädösten valvonnan ja noudattamisen, kun muun muassa syyttäjäviranomainen ja tutkintaviranomaiset käsittelevät henkilötietoja hoitaessaan oikeusviranomaisen tehtäviään rikosten ennalta estämiseksi, tutkimiseksi, paljastamiseksi tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten. Tietosuojalain 38 ter §:ssä annetaan rekisteröidylle oikeus tehdä IVSS:lle valitus siinä tapauksessa, että muun muassa nämä viranomaiset ovat loukanneet hänen oikeuksiaan.

21

Tietosuojalain 42 §:n 2 ja 3 momentilla, 45 §:n 2 momentilla ja 47 §:llä pannaan kullakin osaltaan täytäntöön direktiivin 2016/680 9 artiklan 1 ja 2 kohta, 4 artiklan 2 kohta ja 6 artikla.

22

Rikosprosessikoodeksin (Nakazatelno-protsesualen kodeks; DV nro 86, 28.10.2005), sellaisena kuin sitä sovelletaan pääasiaan, 191 §:ssä säädetään seuraavaa:

”Tutkintamenettely suoritetaan virallisen syytteen alaisissa rikoksissa.”

23

Rikosprosessikoodeksin 192 §:ssä, sellaisena kuin sitä sovelletaan pääasian tosiseikkoihin, säädetään seuraavaa:

”Tutkintamenettelyyn sisältyy esitutkinta ja syyttäjäviranomaisen toimet esitutkinnan päättämisen jälkeen.”

24

Siviiliprosessikoodeksin (Grazhdanski protsesualen kodeks; DV nro 59, 20.7.2007), sellaisena kuin sitä sovelletaan pääasiaan, 8 §:llä pannaan täytäntöön kontradiktorinen periaate ja 9 §:llä asianosaisten prosessuaalisen yhdenvertaisuuden periaate.

25

Siviiliprosessikoodeksin, sellaisena kuin sitä sovelletaan pääasiaan, 154 §:n, jonka otsikko on ”Todistustaakka”, 1 momentissa säädetään seuraavaa:

”Kunkin asianosaisen on osoitettava ne tosiseikat, joihin se perustaa päätelmänsä tai vastustuksensa.”

26

Valtioiden ja kuntien vahingonkorvausvastuuta koskevan lain (Zakon za otgovornostta na darzhavata i obshtinite za vredi; DV nro 60, 5.8.1988), 2 ter §:ssä säädetään seuraavaa:

”(1)   Valtio vastaa vahingoista, jotka ovat aiheutuneet kansalaisille ja oikeushenkilöille, kun oikeutta saada asia tutkituksi ja käsitellyksi [Roomassa 4.11.1950 allekirjoitetun ihmisoikeuksien ja perusvapauksien suojaamiseksi tehdyn yleissopimuksen] 6 artiklan 1 kappaleen mukaisen kohtuullisen ajan kuluessa on loukattu.

(2)   Edellä 1 momentissa tarkoitetut kanteet on tutkittava siviiliprosessikoodeksin mukaisesti, ja tuomioistuimen on otettava huomioon oikeudenkäynnin kokonaiskesto ja kohde, asian tosiseikkojen ja oikeudellisten seikkojen monitahoisuus, asianosaisten ja heidän oikeudenkäyntiedustajiensa tai laillisten edustajiensa menettely, muiden osapuolten ja toimivaltaisten viranomaisten menettely, samoin kuin muut asian oikean ratkaisun kannalta merkitykselliset tosiseikat.

– –”

27

Petrichin alueellinen syyttäjäviranomainen aloitti vuonna 2013 tutkintamenettelyn nro 252/2013 tuntemattomaksi jäänyttä tekijää vastaan rikoskoodeksin (Nakazatelen Kodeks) 325 §:n 1 momentissa, luettuna yhdessä sen 20 §:n 2 momentin kanssa, tarkoitetusta baarissa tapahtuneen välikohtauksen yhteydessä tapahtuneesta rikoksesta. Pääasian valittaja VS osallistui tutkintamenettelyyn kyseisen rikoksen uhrina.

28

Vuonna 2016 Petrichin alueellinen syyttäjäviranomainen kokosi monien, muun muassa VS:ään kohdistuneiden, kanteluiden johdosta useita asiakirjavihkoja, jotka sisälsivät kyseistä henkilöä koskevia tietoja, aloittamatta kuitenkaan tutkintamenettelyä, koska viitteitä rikoksesta ei ollut olemassa.

29

Syyttäjä nosti vuonna 2018 tutkintamenettelyn nro 252/2013 yhteydessä syytteen kaikkia tämän menettelyn kohteena olevaan välikohtaukseen osallistuneita henkilöitä, mukaan lukien VS:ää, vastaan.

30

VS nosti kanteen siviilioikeudenkäynnissä Okrazhen sad Blagoevgradissa (Blagoevgradin alueellinen alioikeus, Bulgaria) Bulgarian tasavallan syyttäjäviranomaista vastaan vaatien tutkintamenettelyn nro 252/2013 kohtuuttomasta kestosta aiheutuneen vahingon korvaamista. Syyttäjälaitosta edustava Petrichin alueellisen syyttäjäviranomaisen syyttäjä pyysi 15.10.2018 pidetyssä istunnossa, että syyttäjäviranomaisen vuonna 2016 avaamien asioiden asiakirjat, jotka on mainittu tämän tuomion 28 kohdassa, voidaan esittää kyseisen kanteen yhteydessä syyttäjäviranomaisen puolustuksen turvaamiseksi. Ennakkoratkaisupyynnöstä ilmenee, että syyttäjän tarkoituksena oli näin osoittaa, että pääasian kantajan väitetyt terveysongelmat eivät johtuneet mainitusta tutkintamenettelystä, kuten kantaja väitti, vaan ne olivat aiheutuneet poliisin ja Petrichin alueellisen syyttäjäviranomaisen mainittujen asioiden yhteydessä suorittamista tarkastuksista. Okrazhen sad Blagoevgrad määräsi tässä istunnossa kyseisen syyttäjäviranomaisen esittämään oikeaksi todistetut jäljennökset kyseessä olevien asiakirjavihkojen asiakirjoista, minkä syyttäjä tekikin.

31

VS valitti 12.3.2020 IVSS:ään väittäen, että Petrichin alueellinen syyttäjäviranomainen oli rikkonut henkilötietojen suojaa koskevia säännöksiä. Ensimmäisessä valitusperusteessaan hän väitti yhtäältä, että syyttäjäviranomainen oli lainvastaisesti käyttänyt häntä koskevia henkilötietoja, jotka oli kerätty silloin, kun häntä pidettiin rikoksen uhrina, syytteen nostamiseksi häntä vastaan samassa menettelyssä ja samoista teoista. Toisessa valitusperusteessaan hän vetosi toisaalta tämän tuomion 28 kohdassa mainittujen asioiden yhteydessä kerättyjen henkilötietojen käsittelyn, jota kyseinen syyttäjäviranomainen oli tehnyt hänen Bulgarian tasavallan syyttäjäviranomaista vastaan nostamansa vahingonkorvauskanteen käsittelyn yhteydessä, lainvastaisuuteen. IVSS hylkäsi tämän valituksen 22.6.2020 antamallaan päätöksellä.

32

VS nosti tästä päätöksestä ennakkoratkaisua pyytäneessä tuomioistuimessa 31.7.2020 kanteen, jossa hän väittää yhtäältä, että häntä koskevien henkilötietojen käsittely tutkintamenettelyn nro 252/2013 yhteydessä on ristiriidassa muun muassa direktiivin 2016/680 periaatteiden kanssa, ja toisaalta, että edellä tämän tuomion 28 kohdassa tarkoitettujen asioiden yhteydessä kerättyjen tietojen käsittely on ollut ristiriidassa yleisen tietosuoja-asetuksen periaatteiden kanssa sen jälkeen kun syyttäjänvirasto on kieltäytynyt käynnistämästä tutkintamenettelyä.

33

Ottaen huomioon, että unionin tuomioistuimen oikeuskäytännön valossa pääasiassa on kyse henkilötietojen käsittelystä yleisen tietosuoja-asetuksen ja direktiivin 2016/680 soveltamisalaan kuuluvien toimintojen yhteydessä, ennakkoratkaisua pyytänyt tuomioistuin pohtii unionin oikeudessa vahvistettuja rajoja sellaisten henkilötietojen myöhemmälle käsittelylle, jotka rekisterinpitäjä on alun perin kerännyt rikoksen tutkimista ja paljastamista varten.

34

Ennakkoratkaisua pyytänyt tuomioistuin kysyy erityisesti yhtäältä, että jos Bulgarian tasavallan syyttäjäviranomainen on direktiivin 2016/680 3 artiklan 7 alakohdan a alakohdassa tarkoitettuna ”toimivaltaisena viranomaisena” ja tämän direktiivin 3 artiklan 8 alakohdassa tarkoitettuna ”rekisterinpitäjänä” kerännyt rikoksen tutkimista ja paljastamista varten henkilötietoja henkilöstä, jota on tietojen keräämisen aikaan pidetty kyseisen rikoksen uhrina, palveleeko se, että sama viranomainen käsittelee näitä tietoja myöhemmin kyseisen henkilön syytteeseenpanoa varten, kyseisen direktiivin soveltamisalaan kuuluvaa tarkoitusta, joka on direktiivin 4 artiklan 2 kohdassa tarkoitettu muu tarkoitus kuin se, johon kyseiset tiedot kerättiin.

35

Ennakkoratkaisua pyytänyt tuomioistuin toteaa toisaalta, että sillä, että VS:n nostaman vahingonkorvauskanteen käsittelyn yhteydessä viitataan Petrichin alueellisen syyttäjäviranomaisen vuonna 2016 avaamien asioiden asiakirjoissa oleviin kyseistä henkilöä koskeviin tietoihin, on eri tarkoitus kuin se, johon tiedot kerättiin, ja toteaa, että tämän kanteen yhteydessä vastaajana oleva syyttäjäviranomainen ei toimi rikosten ennalta estämistä, tutkintaa, paljastamista tai syyteharkintaa varten. Ennakkoratkaisua pyytänyt tuomioistuin pohtii kuitenkin, onko pelkästään se seikka, että toimivaltaiselle siviilituomioistuimelle ilmoitetaan, että kyseiset asiakirjat koskevat VS:ää, ja että nämä tiedot tai osa niistä luovutetaan tälle tuomioistuimelle, yleisen tietosuoja-asetuksen 4 artiklan 1 alakohdassa tarkoitettujen ”henkilötietojen” kyseisen artiklan 2 alakohdassa tarkoitettua ”käsittelyä”, joka kuuluu kyseisen asetuksen soveltamisalaan sen 2 artiklan 1 kohdan mukaisesti.

36

Ennakkoratkaisua pyytänyt tuomioistuin katsoo lisäksi etenkin, että pääasiassa nousee esiin kysymys tasapainosta henkilötietojen suojan ja tuomioistuinmenettelyn asianosaisen oikeuksien välillä, kun kyseinen asianosainen on kerännyt nämä tiedot direktiivin 2016/680 3 artiklan 8 alakohdassa tarkoitettuna rekisterinpitäjänä, erityisesti kun otetaan huomioon yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohta, joka koskee tarvetta henkilötietojen käsittelyyn rekisterinpitäjän oikeutettujen etujen toteuttamiseksi.

37

Ennakkoratkaisua pyytänyt tuomioistuin katsoo nimittäin, että muut perusteet, joiden nojalla yleisen tietosuoja-asetuksen soveltamisalaan kuuluvaa henkilötietojen käsittelyä pidetään lainmukaisena ja jotka mainitaan kyseisen asetuksen 6 artiklan 1 kohdan ensimmäisessä alakohdassa, eivät ole merkityksellisiä pääasian oikeudenkäynnissä. Se katsoo erityisesti, että se, että syyttäjäviranomainen toimittaa toimivaltaiselle tuomioistuimelle tietoja avaamistaan rikosasioista voidakseen puolustautua siviiliprosessin yhteydessä, ei ole tarpeen yleistä etua koskevan tehtävän suorittamiseksi tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi kyseisen asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan e alakohdassa tarkoitetussa merkityksessä.

38

Näissä olosuhteissa Administrativen sad Blagoevgrad (Blagoevgradin hallintotuomioistuin, Bulgaria) on päättänyt lykätä asian käsittelyä ja esittää unionin tuomioistuimelle seuraavat ennakkoratkaisukysymykset:

39

Aluksi on todettava, että vaikka ennakkoratkaisua pyytänyt tuomioistuin on muodollisesti rajoittanut ensimmäisen kysymyksensä koskemaan vain direktiivin 2016/680 1 artiklan 1 kohdan tulkintaa, tämä seikka ei estä unionin tuomioistuinta esittämästä sille kaikkia unionin oikeuden tulkintaan liittyviä seikkoja, jotka saattavat olla hyödyllisiä ennakkoratkaisua pyytäneen tuomioistuimen arvioidessa käsiteltävänään olevaa asiaa, poimimalla kaikista kyseisen tuomioistuimen esittämistä seikoista ja erityisesti ennakkoratkaisupyynnön perusteluista ne unionin oikeutta koskevat seikat, joita on syytä tulkita, kun otetaan huomioon riidan kohde (ks. vastaavasti tuomio 22.4.2021, Profi Credit Slovakia, C‑485/19, EU:C:2021:313, 50 kohta oikeuskäytäntöviittauksineen).

40

Tästä seuraa, että ennakkoratkaisua pyytänyt tuomioistuin pyrkii ensimmäisellä kysymyksellään lähinnä selvittämään, onko direktiivin 2016/680 1 artiklan 1 kohtaa, luettuna yhdessä sen 4 artiklan 2 kohdan ja 6 artiklan kanssa, tulkittava siten, että henkilötietojen käsittelyllä on muu tarkoitus kuin se, johon kyseiset tiedot kerättiin, kun tällaisten tietojen kerääminen on suoritettu rikoksen paljastamiseksi ja sen tutkimiseksi, ja kun kyseessä olevaa henkilöä pidettiin tietojen keräämisen aikana rikoksen uhrina, kun taas kyseessä oleva tietojen käsittely suoritetaan kyseisen rikostutkinnan päätteeksi kyseisen henkilön syytteeseenpanoa varten, ja tarvittaessa, onko tämä käsittely sallittua.

41

Unionin tuomioistuimen vakiintuneen oikeuskäytännön mukaan unionin oikeuden säännöksen tai määräyksen tulkitsemisessa on otettava huomioon paitsi sen sanamuoto myös asiayhteys ja sillä lainsäädännöllä tavoitellut päämäärät, jonka osa säännös tai määräys on. Myös unionin oikeuden säännöksen tai määräyksen syntyhistoriasta voi ilmetä sen tulkinnan kannalta merkityksellisiä seikkoja (ks. vastaavasti tuomio 1.10.2019, Planet49, C‑673/17, EU:C:2019:801, 48 kohta oikeuskäytäntöviittauksineen).

42

Ensinnäkin on todettava aivan aluksi, että direktiivin 2016/680 1 artiklan 1 kohdan, joka koskee kyseisen direktiivin kohdetta, sanamuodossa erotetaan nimenomaisesti eri toimintojen ryhmät, joita varten kyseisen direktiivin soveltamisalaan kuuluva henkilötietojen käsittely voi tapahtua. Tältä osin mainitun säännöksen eri kieliversioista, muun muassa bulgarian-, espanjan-, saksan-, kreikan-, englannin- ja italiankielisistä versioista, ilmenee, että 1 artiklan 1 kohdassa tarkoitetut eri tavoitteet vastaavat rikosten ”ennalta estämistä”, niiden ”paljastamista”, niiden alalla suoritettavaa ”tutkintaa”, rikoksiin liittyviä ”syytetoimia” ja ”rikosoikeudellisten seuraamusten täytäntöönpanoa”, mukaan lukien ”yleiseen turvallisuuteen kohdistuvilta uhkilta suojelu” ja tällaisten uhkien ”ehkäisy”.

43

Tämän jälkeen on todettava, että kyseisen direktiivin 4 artiklan 2 kohdan sanamuoto, jossa säädetään, että käsittely ”muuhun [kyseisen direktiivin] 1 artiklan 1 kohdassa säädettyyn tarkoitukseen kuin siihen, johon henkilötiedot kerättiin” on sallittua, kunhan kyseisessä säännöksessä asetettuja vaatimuksia noudatetaan, vahvistaa nimenomaisesti, että kyseisessä 1 artiklan 1 kohdassa luetellut ilmaisut, joita ovat ”ennalta estäminen”, ”paljastaminen”,”tutkinta”, ”syytetoimet”, ”rikosoikeudellisten seuraamusten täytäntöönpano”, ”yleiseen turvallisuuteen kohdistuvilta uhkilta suojelu” ja ”tällaisten uhkien ehkäisy”, koskevat saman direktiivin soveltamisalaan kuuluvan henkilötietojen käsittelyn useita eri tarkoituksia.

44

Direktiivin 2016/680 1 artiklan 1 kohdan sanamuodostakin, luettuna yhdessä kyseisen direktiivin 4 artiklan 2 kohdan kanssa, voidaan näin ollen päätellä, että kun henkilötiedot on kerätty rikosten ”paljastamista” ja ”tutkintaa” varten ja niitä käsitellään myöhemmin ”syytetoimia” varten, mainituilla tietojen keräämisellä ja niiden käsittelyllä on erilaiset tarkoitukset.

45

On vielä huomattava, että saman direktiivin 6 artiklan mukaan jäsenvaltioiden on säädettävä siitä, että rekisterinpitäjä erottaa tarvittaessa ja mahdollisuuksien mukaan selvästi toisistaan henkilötiedot, jotka koskevat eri ryhmiin kuuluvia rekisteröityjä, kuten muun muassa kyseisen artiklan a, b ja c alakohdassa mainittuja henkilöitä, eli henkilöitä, joiden voidaan vakavin perustein uskoa syyllistyneen tai olevan syyllistymässä rikokseen, rikoksesta tuomittuja henkilöitä ja rikoksen uhreja tai henkilöitä, joiden voidaan tiettyjen seikkojen pohjalta olettaa voivan joutua rikoksen uhriksi.

46

Sen vuoksi henkilön, jonka henkilötietoja käsitellään syytteen nostamiseksi häntä vastaan, on katsottava kuuluvan niiden direktiivin 2016/680 6 artiklan a alakohdassa tarkoitettujen henkilöiden ryhmään, joiden voidaan vakavin perustein uskoa syyllistyneen rikokseen. Tästä seuraa, että jos – kuten ensimmäisessä kysymyksessä tarkoitetussa tilanteessa – kyseistä henkilöä on alun perin pidetty kyseisen direktiivin 6 artiklan c alakohdassa tarkoitettuna rikoksen uhrina, kyseinen käsittely ilmentää kyseisen henkilön ryhmän muutosta, mikä rekisterinpitäjän on otettava huomioon kyseisessä artiklassa säädetyn eri henkilöryhmien tietojen selkeää erottelua koskevan vaatimuksen nojalla.

47

On kuitenkin todettava, ettei direktiivin 2016/680 1 artiklan 1 kohdassa eikä sen 4 artiklan 2 kohdassa viitata kyseisen direktiivin 6 artiklaan tai sen sisältöön kyseisen direktiivin soveltamisalaan kuuluvan henkilötietojen käsittelyn tarkoituksen määrittämiseksi.

48

Kuten julkisasiamies on tuonut esiin ratkaisuehdotuksensa 62 kohdassa, direktiivin 2016/680 6 artiklassa käytetty ilmaisu ”tarvittaessa ja mahdollisuuksien mukaan” osoittaa selvästi, ettei ole välttämättä mahdollista tehdä selkeää eroa tällaisten tietojen välillä, muun muassa silloin, kun – kuten nyt käsiteltävässä asiassa – kyseiset tiedot kerätään ”tutkintaa” tai rikosten ”paljastamista” varten, sillä sama henkilö voi kuulua useisiin kyseisen direktiivin 6 artiklassa mainittuihin henkilöryhmiin ja näiden ryhmien määrittely todennäköisesti muuttuu tutkinnan aikana sitä mukaan kuin kyseessä olevat tosiseikat vähitellen selkiytyvät.

49

Tästä on pääteltävä, että kyseisessä 6 artiklassa vahvistetaan 4 artiklan 2 kohdassa säädetystä velvoitteesta erillinen velvollisuus, ja kuten julkisasiamies on todennut ratkaisuehdotuksensa 61–64 kohdassa, kyseisellä velvollisuudella ei ole merkitystä sen määrittämiseksi, vastaako henkilötietojen käsittely tässä viimeksi mainitussa säännöksessä tarkoitettua muuta tarkoitusta kuin sitä, johon kyseiset tiedot kerättiin.

50

Toiseksi kyseessä olevan säännöstön asiayhteydestä on todettava, että direktiivin 2016/680 4 artiklan 1 kohdan b ja c alakohdassa säädetään yhtäältä, että henkilötiedot on kerättävä tiettyjä nimenomaisia ja laillisia tarkoituksia varten, eikä niitä saa käsitellä näiden tarkoitusten kanssa yhteen sopimattomalla tavalla, ja toisaalta, että henkilötietojen on oltava asianmukaisia ja olennaisia eivätkä ne saa olla liian laajoja niihin tarkoituksiin, joita varten niitä käsitellään. Nämä kaksi vaatimusta on esitetty pääosin samalla tavalla yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan b ja c alakohdassa, joissa täsmennetään, että vaatimukset vastaavat käyttötarkoitussidonnaisuuden ja tietojen minimoinnin periaatteita.

51

Direktiivin johdanto-osan 29 perustelukappaleen valossa on kuitenkin huomattava, että direktiivin 4 artiklan 2 kohdassa sallitaan henkilötietojen myöhempi käsittely muuhun tarkoitukseen kuin siihen, johon kyseiset tiedot kerättiin, kun tämä tarkoitus kuuluu saman direktiivin 1 artiklan 1 kohdassa säädettyihin tarkoituksiin ja kun tämä käsittely täyttää kyseisen 4 artiklan 2 kohdan a ja b alakohdassa säädetyt kaksi edellytystä. Yhtäältä rekisterinpitäjällä on oltava lupa käsitellä tällaisia henkilötietoja tällaista tarkoitusta varten unionin oikeuden tai jäsenvaltion lainsäädännön mukaisesti. Toisaalta käsittelyn tätä muuta tarkoitusta varten on oltava tarpeellista ja oikeasuhteista.

52

Erityisesti on todettava, että eri toimivaltaiset viranomaiset voivat tarvittaessa käsitellä myöhemmin henkilötietoja, jotka on kerätty rikosten ”ennalta estämistä” ja ”paljastamista” tai ”tutkintaa” varten, ”syytetoimia” tai ”rikosoikeudellisten seuraamusten täytäntöönpanoa” varten, kun rikos on yksilöity ja näin ollen edellyttää lainvalvontatoimia.

53

Kun henkilötietoja kerätään rikosten ”paljastamista” ja ”tutkintaa” varten, toimivaltaisten viranomaisten on kuitenkin kerättävä kaikki kyseessä olevan rikoksen tunnusmerkistön täyttävien tekojen toteamisen kannalta mahdollisesti merkitykselliset tiedot siinä vaiheessa, kun kyseisiä tekoja ei ole vielä todettu. Sitä vastoin silloin, kun henkilötietoja käsitellään ”syytetoimia” varten, näillä tiedoilla pyritään esittämään riittävä näyttö syytettyjen syyksi väitetyistä teoista sekä näiden tekojen rikosoikeudellisen luonnehdinnan oikeellisuus, jotta toimivaltainen tuomioistuin voi ratkaista asian.

54

Näin ollen yhtäältä henkilötiedot, jotka ovat tarpeen rikoksen ”paljastamiseksi” ja sen ”tutkintaa varten”, eivät järjestelmällisesti ole tarpeen ”syytetoimia” varten. Toisaalta henkilötietojen käsittelyn seuraukset rekisteröityjen kannalta voivat olla olennaisesti erilaisia, erityisesti siltä osin kuin on kyse heidän näiden tietojen suojaa koskevaan oikeuteensa puuttumisen asteesta ja tämän käsittelyn vaikutuksista heidän oikeusasemaansa kyseessä olevassa rikosoikeudellisessa menettelyssä.

55

Lisäksi on todettava, että kyseisen 4 artiklan 2 kohdan soveltamisala ei rajoitu henkilötietojen käsittelyyn sen saman rikoksen yhteydessä, joka oikeutti näiden tietojen keräämisen. Kuten direktiivin 2016/680 johdanto-osan 27 perustelukappaleessa todetaan, kyseisessä direktiivissä otetaan huomioon rikosten torjunnassa toimivaltaisten viranomaisten tarve käsitellä henkilötietoja muuhun tarkoitukseen kuin siihen, joka on johtanut näiden tietojen keräämiseen, erityisesti ymmärtääkseen rikollista toimintaa ja havaitakseen yhteyksiä selvitettävien rikosten välillä.

56

Edellä esitetystä seuraa, että jotta direktiivin 2016/680 4 artiklan 2 kohdan a ja b alakohdassa tarkoitetut vaatimukset täytetään, sen arvioimisessa, noudattaako henkilötietojen käsittely, jota sama tai toinen rekisterinpitäjä suorittaa muuhun 1 artiklan 1 kohdassa säädettyyn tarkoitukseen kuin siihen, johon kyseiset tiedot kerättiin, näitä vaatimuksia, jokaista tässä 1 artiklan 1 kohdassa tarkoitettua tarkoitusta on pidettävä erityisenä ja erillisenä.

57

Kolmanneksi kyseessä olevan säännöstön tavoitteista on todettava, että – kuten direktiivin 2016/680 johdanto-osan 10 ja 11 perustelukappaleesta ilmenee – unionin lainsäätäjän tarkoituksena on ollut ottaa käyttöön sääntöjä, joissa otetaan huomioon kyseisen direktiivin kattaman alan erityisluonne.

58

Tältä osin johdanto-osan 12 kappaleessa todetaan, että poliisiviranomaisten tai muiden lainvalvontaviranomaisten suorittamat toimet keskittyvät lähinnä rikosten ennalta estämiseen, tutkimiseen, paljastamiseen tai rikoksiin liittyviin syytetoimiin, mukaan lukien poliisin toimet, jotka koskevat häiriöitä, joista ei ennakkoon tiedetä, onko kyse rikoksesta.

59

Tästä seuraa, että unionin lainsäätäjän tarkoituksena oli antaa sääntöjä, jotka vastaavat toimivaltaisten viranomaisten kyseisellä direktiivillä säännellyllä alalla harjoittamille toiminnoille ominaisia erityispiirteitä, ottaen samalla huomioon sen seikan, että kyseessä on toisistaan erilliset toiminnot, joilla kullakin pyritään omiin tavoitteisiinsa.

60

Tätä tulkintaa kyseessä olevan säännökseen asiayhteyden ja sillä säännöstöllä, jonka osa se on, tavoiteltujen päämäärien valossa tukee sen syntyhistoria, erityisesti neuvoston perustelut, jotka koskevat neuvoston ensimmäisen käsittelyn kantaa (EU) N:o 5/2016 Euroopan parlamentin ja neuvoston direktiivin antamiseksi luonnollisten henkilöiden suojelusta toimivaltaisten viranomaisten suorittamassa henkilötietojen käsittelyssä rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten sekä näiden tietojen vapaasta liikkuvuudesta ja neuvoston puitepäätöksen 2008/977/YOS kumoamisesta (EUVL 2016, C 158, s. 46). Neuvosto perustelee kyseisissä perusteluissa mainitun säännöksen sisällyttämistä direktiiviin 2016/680 todeten, että se ”mahdollistaa esimerkiksi sen, että syyttäjä voi käsitellä rikoksesta syyttämistä varten samoja henkilötietoja, joita poliisi on käsitellyt rikoksen paljastamista varten, edellyttäen että esimerkin molemmat tarkoitukset sisältyvät 1 artiklan 1 kohtaan”.

61

Ennakkoratkaisua pyytäneen tuomioistuimen on siis pääasian ratkaisemiseksi arvioitava, voitiinko Petrichin piirikunnan syyttäjäviranomaisen suorittama VS:ää koskevien henkilötietojen käsittely kyseisen henkilön syytetoimia varten sallia direktiivin 2016/680 4 artiklan 2 kohdan edellytysten perusteella, tarkistamalla yhtäältä, mahdollistiko Bulgarian rikosoikeus sen, että kyseinen viranomainen suorittaa kyseisen käsittelyn, ja toisaalta, oliko se tarpeellinen ja oikeasuhteinen siihen tarkoitukseen, johon se tehtiin.

62

Tältä osin on todettava, että ennakkoratkaisua pyytänyt tuomioistuin voi tällaisen käsittelyn tarpeellisuuden ja oikeasuhteisuuden arvioimiseksi tarvittaessa ottaa huomioon sen seikan, että näistä syytetoimista vastaavan viranomaisen on voitava tukeutua mainitun tutkinnan aikana kerättyihin tietoihin todisteina teoista, jotka täyttävät rikoksen tunnusmerkistön, erityisesti niihin tietoihin, jotka koskevat rikokseen osallistuneita henkilöitä, siltä osin kuin nämä tiedot ovat tarpeen heidän tunnistamiseksi ja osallisuuden määrittämiseksi.

63

Edellä esitetyn huomioon ottaen ensimmäiseen kysymykseen on vastattava, että direktiivin 2016/680 1 artiklan 1 kohtaa, luettuna yhdessä kyseisen direktiivin 4 artiklan 2 kohdan ja 6 artiklan kanssa, on tulkittava siten, että henkilötietojen käsittely palvelee muuta tarkoitusta kuin sitä, johon kyseiset tiedot kerättiin, kun tällaisten tietojen kerääminen on suoritettu rikoksen paljastamiseksi ja sen tutkimiseksi, kun taas mainittu käsittely suoritetaan henkilön syytteeseen asettamiseksi kyseisen rikostutkinnan päätyttyä, ja näin on riippumatta siitä, että kyseistä henkilöä pidettiin mainitun rikoksen uhrina tietojen keräämishetkellä, ja että tällainen käsittely on kyseisen direktiivin 4 artiklan 2 kohdan nojalla sallittu edellyttäen, että siinä noudatetaan kyseisessä säännöksessä säädettyjä edellytyksiä.

64

Toisella kysymyksellään ennakkoratkaisua pyytänyt tuomioistuin tiedustelee lähinnä yhtäältä, onko direktiivin 2016/680 3 artiklan 8 alakohtaa ja 9 artiklan 1 ja 2 kohtaa sekä yleisen tietosuoja-asetuksen 2 artiklan 1 ja 2 kohtaa tulkittava siten, että tätä asetusta sovelletaan henkilötietojen käsittelyyn, jota jäsenvaltion syyttäjäviranomainen suorittaa käyttääkseen puolustautumisoikeuksiaan valtion vahingonkorvausvastuuta koskevan kanteen yhteydessä, siinä tapauksessa, että syyttäjäviranomainen ilmoittaa toimivaltaiselle tuomioistuimelle siitä, että kanteen nostaneesta asianosaisesta luonnollisesta henkilöstä on avattu asioita direktiivin 1 artiklan 1 kohdassa säädettyihin tarkoituksiin, ja että syyttäjäviranomainen luovuttaa näiden asioiden asiakirjat kyseiselle tuomioistuimelle, ja toisaalta, jos näin on, onko kyseisen asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohtaa tulkittava siten, että tällaista henkilötietojen käsittelyä voidaan pitää lainmukaisena rekisterinpitäjän oikeutettujen etujen toteuttamiseksi kyseisessä säännöksessä tarkoitetussa merkityksessä.

65

IVSS kyseenalaistaa kirjallisissa huomautuksissaan toisen kysymyksen tutkittavaksi ottamisen sillä perusteella, että ennakkoratkaisua pyytänyt tuomioistuin on esittänyt sen tutkiessaan VS:n esittämää perustetta, joka oli jätetty tutkimatta pääasian kanteen kohteena olevalla päätöksellä, koska sen esittämiselle asetettu lakisääteinen määräaika oli päättynyt.

66

Unionin tuomioistuimen vakiintuneen oikeuskäytännön mukaan olettamana on, että kansallisen tuomioistuimen niiden oikeudellisten seikkojen ja tosiseikkojen perusteella, joiden määrittämisestä se vastaa ja joiden paikkansapitävyyden selvittäminen ei ole unionin tuomioistuimen tehtävä, esittämillä unionin oikeuden tulkintaan liittyvillä kysymyksillä on merkitystä asian ratkaisun kannalta. Unionin tuomioistuin voi jättää tutkimatta kansallisen tuomioistuimen esittämän ennakkoratkaisukysymyksen ainoastaan, jos on ilmeistä, että pyydetyllä unionin oikeuden tulkitsemisella ei ole mitään yhteyttä kansallisessa tuomioistuimessa käsiteltävän asian tosiseikkoihin tai kohteeseen, jos kyseinen ongelma on luonteeltaan hypoteettinen taikka jos unionin tuomioistuimella ei ole tiedossaan niitä tosiseikkoja ja oikeudellisia seikkoja, jotka ovat tarpeen, jotta se voisi antaa hyödyllisen vastauksen sille esitettyihin kysymyksiin (ks. vastaavasti tuomio 27.9.2017, Puškár, C‑73/16, EU:C:2017:725, 50 kohta oikeuskäytäntöviittauksineen).

67

Nyt käsiteltävässä asiassa on todettava, että – kuten julkisasiamies on todennut ratkaisuehdotuksensa 76 ja 77 kohdassa – VS:n IVSS:lle tekemän valituksen yhteydessä esittämien valitusperusteiden tutkittavaksi ottaminen kuuluu täysin ennakkoratkaisua pyytäneen tuomioistuimen toimivaltaan. Kyseinen tuomioistuin totesi lisäksi ennakkoratkaisupyynnössään pitävänsä toista kysymystä merkityksellisenä siitä huolimatta, että IVSS jätti sen tutkimatta tämän tuomion 65 kohdassa mainitulla perusteella. Unionin tuomioistuimen tehtävänä ei missään tapauksessa ole tutkia uudelleen tätä arviointia.

68

Tästä seuraa, että toinen kysymys voidaan ottaa tutkittavaksi.

69

Ensimmäiseksi on selvitettävä, onko se, että jäsenvaltion syyttäjäviranomainen käyttää tietoja, jotka koskevat luonnollista henkilöä ja jotka se on kerännyt ja käsitellyt direktiivin 2016/680 1 artiklan 1 kohdan soveltamisalaan kuuluvaa tarkoitusta varten, käyttääkseen puolustautumisoikeuksiaan siviilioikeudenkäynnissä, yleisen tietosuoja-asetuksen 4 artiklan 1 alakohdassa tarkoitettujen ”henkilötietojen” kyseisen artiklan 2 alakohdassa tarkoitettua ”käsittelyä”.

70

Aluksi on muistutettava, että yleisen tietosuoja-asetuksen 4 artiklan 1 alakohdassa tarkoitettuina ”henkilötietoina” on pidettävä ”kaikkia tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön liittyviä tietoja”, ja oikeuskäytännön mukaan tätä määritelmää sovelletaan, kun tiedot liittyvät tiettyyn henkilöön sisältönsä, tarkoituksensa tai vaikutuksensa vuoksi (ks. vastaavasti tuomio 20.12.2017, Nowak, C‑434/16, EU:C:2017:994, 35 kohta). Lisäksi tietosuoja-asetuksen 4 artiklan 2 alakohdan mukaan ”käsittelyllä” tarkoitetaan ”toimintoa tai toimintoja, joita kohdistetaan henkilötietoihin tai henkilötietoja sisältäviin tietojoukkoihin joko automaattista tietojenkäsittelyä käyttäen tai manuaalisesti”, kuten muun muassa ”kyselyä, käyttöä, tietojen luovuttamista siirtämällä, levittämällä tai asettamalla ne muutoin saataville”. Nämä määritelmät kuvastavat unionin lainsäätäjän pyrkimystä antaa näille kahdelle käsitteelle laaja merkitys (ks. vastaavasti tuomio 20.12.2017, Nowak, C‑434/16, EU:C:2017:994, 34 kohta ja tuomio 24.2.2022, Valsts ieņēmumu dienests (Henkilötietojen käsittely verotusta varten), C‑175/20, EU:C:2022:124, 35 kohta).

71

Tältä osin yhtäältä se, että siviilioikeudenkäynnin vastaaja ilmoittaa toimivaltaiselle tuomioistuimelle, vaikkakin lyhyesti, kirjallisissa lausumissaan tai suullisessa käsittelyssä, että kyseisen menettelyn aloittanutta luonnollista henkilöä koskevia asioita on avattu muun muassa rikosten ”paljastamiseksi” tai ”tutkimiseksi”, merkitsee sitä, että tämä vastaaja on yleisen tietosuoja-asetuksen 4 artiklan 2 alakohdassa tarkoitetulla tavalla kysellyt, käyttänyt ja siirtänyt tai toimittanut kyseisen artiklan 1 alakohdassa tarkoitettuja henkilötietoja. Näin ollen sekä näiden tietojen sisällön että tarkoituksen ja vaikutuksen vuoksi nämä tiedot liittyvät määrättyyn henkilöön, joka on sekä tiedot ilmaisseen asianosaisen että sen tuomioistuimen, jolle tiedot on siirretty, yksilöitävissä.

72

Toisaalta se seikka, että vastaaja esittää toimivaltaisen tuomioistuimen pyynnöstä kyseistä luonnollista henkilöä koskevia menettelyjä koskevat asiakirjavihkot, merkitsee ainakin yleisen tietosuoja-asetuksen 4 artiklan 1 alakohdassa tarkoitettujen ”henkilötietojen” kyseisen artiklan 2 alakohdassa tarkoitettuja ”käyttämistä” ja ”luovuttamista siirtämällä”.

73

Toiseksi on muistutettava, että yleisen tietosuoja-asetuksen 2 artiklan 1 kohdassa määritellään laajasti tämän asetuksen asiallinen soveltamisala (tuomio 22.6.2021, Latvijas Republikas Saeima (Liikennerikkomuspisteet), C‑439/19, EU:C:2021:504, 61 kohta); kyseistä asetusta sovelletaan ”henkilötietojen käsittelyyn, joka on osittain tai kokonaan automaattista, sekä sellaisten henkilötietojen käsittelyyn muussa kuin automaattisessa muodossa, jotka muodostavat rekisterin osan tai joiden on tarkoitus muodostaa rekisterin osa”. Tämän laajan määritelmän välittömänä seurauksena on, että yleisen tietosuoja-asetuksen soveltamista koskevia poikkeuksia, jotka luetellaan sen 2 artiklan 2 kohdassa, on tulkittava suppeasti. Näin on erityisesti kyseisen artiklan 2 kohdan d alakohdassa säädetyn poikkeuksen osalta, joka koskee toimivaltaisten viranomaisten suorittamaa henkilötietojen käsittelyä rikosten ennalta estämiseksi, paljastamiseksi, tutkimiseksi ja rikoksiin liittyviä syytetoimia varten tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten (ks. vastaavasti tuomio 24.2.2022, Valsts ieņēmumu dienests (Henkilötietojen käsittely verotusta varten), C‑175/20, EU:C:2022:124, 40 ja 41 kohta oikeuskäytäntöviittauksineen).

74

Tältä osin unionin tuomioistuin on todennut, että – kuten kyseisen asetuksen johdanto-osan 19 perustelukappaleesta ilmenee – kyseisen poikkeuksen perusteluna on se seikka, että toimivaltaisten viranomaisten suorittamaa henkilötietojen käsittelyä yleisen tietosuoja-asetuksen 2 artiklan 2 kohdan d alakohdassa mainittuja tarkoituksia varten sääntelee erillinen unionin toimi eli direktiivi 2016/680, joka annettiin samana päivänä kuin yleinen tietosuoja-asetus (ks. vastaavasti tuomio 24.2.2022, Valsts ieņēmumu dienests (Henkilötietojen käsittely verotusta varten), C‑175/20, EU:C:2022:124, 42 kohta oikeuskäytäntöviittauksineen).

75

Kuten direktiivin 2016/680 johdanto-osan 12 perustelukappaleesta ilmenee, unionin lainsäätäjä on säätänyt kyseisen direktiivin 9 artiklassa säännöistä, jotka koskevat henkilötietojen käsittelyä muihin kuin kyseisen direktiivin 1 artiklan 1 kohdassa säädettyihin tarkoituksiin, johon kyseiset tiedot kerättiin.

76

Tältä osin direktiivin 2016/680 9 artiklan 1 kohdassa säädetään yhtäältä, että tällaista henkilötietojen käsittelyä ei lähtökohtaisesti saa suorittaa, ellei se ole unionin oikeudessa tai jäsenvaltion lainsäädännössä sallittua, ja toisaalta, että tähän käsittelyyn sovelletaan yleistä tietosuoja-asetusta, jollei käsittelyä suoriteta sellaisen toiminnan yhteydessä, joka ei kuulu unionin oikeuden soveltamisalaan. Lisäksi kyseisen direktiivin 9 artiklan 2 kohdassa säädetään, että jollei käsittelyä suoriteta tällaisen toiminnan yhteydessä, toimivaltaisten viranomaisten muiden kuin kyseisen direktiivin 1 artiklan 1 kohdassa säädettyjä tarkoituksia varten toteuttamien tehtävien yhteydessä suorittamaan käsittelyyn sovelletaan yleistä tietosuoja-asetusta.

77

Tämän tuomion 71 ja 72 kohdassa tarkoitetuissa tapauksissa kuitenkin se, että jäsenvaltion syyttäjäviranomainen kerää ja käsittelee henkilötietoja rikosten ”ennalta estämistä”, ”paljastamista”, ”tutkintaa” tai ”syytetoimia” varten, on epäilemättä direktiivin 2016/680 9 artiklan 1 ja 2 kohdassa tarkoitettua henkilötietojen käsittelyä kyseisen direktiivin 1 artiklan 1 kohdassa säädettyihin tarkoituksiin.

78

Vaikka valtion vahingonkorvausvastuuta koskevan kanteen nostaminen johtuu syyttäjäviranomaisen rikosoikeudellisessa menettelyssä tekemiksi väitetyistä virheistä, kuten nyt käsiteltävässä asiassa asian saamista käsitellyksi kohtuullisessa ajassa koskevan oikeuden väitetyistä rikkomisista, valtion puolustuksen tavoitteena ei kuitenkaan ole tällaisen kanteen yhteydessä varmistaa sellaisinaan tehtäviä, jotka kuuluvat kyseiselle syyttäjäviranomaiselle direktiivin 2016/680 1 artiklan 1 kohdassa säädettyjä tarkoituksia varten.

79

Kun lisäksi otetaan huomioon yleisen tietosuoja-asetuksen soveltamista koskevien poikkeusten suppean tulkinnan periaate, henkilötietojen näiden samojen käsittelyjen ei voida katsoa tapahtuvan yleisen tietosuoja-asetuksen 2 artiklan 2 kohdan a alakohdassa ja direktiivin 2016/680 9 artiklan 1 ja 2 kohdassa tarkoitetun ”sellaisen toiminnan yhteydessä, joka ei kuulu unionin oikeuden soveltamisalaan”. Oikeuskäytännöstä ilmenee tältä osin, että tämän ilmaisun ainoana tarkoituksena on sulkea yleisen tietosuoja-asetuksen soveltamisalan ulkopuolelle sellainen henkilötietojen käsittely, jota valtion viranomaiset suorittavat sellaisen toiminnan yhteydessä, jonka tarkoituksena on kansallisen turvallisuuden turvaaminen, tai sellaisen toiminnan yhteydessä, jonka voidaan katsoa kuuluvan samaan ryhmään. Sillä, että viranomainen osallistuu siviilioikeudenkäyntiin vastaajana valtion vahingonkorvausvastuuta koskevan kanteen yhteydessä, ei kuitenkaan pyritä kansallisen turvallisuuden turvaamiseen, eikä sen voida katsoa kuuluvan samaan toiminnan ryhmään (ks. vastaavasti tuomio 22.6.2021, Latvijas Republikas Saeima (Liikennerikkomuspisteet), C‑439/19, EU:C:2021:504, 66–68 kohta oikeuskäytäntöviittauksineen).

80

Kolmanneksi on todettava, että yleisen tietosuoja-asetuksen soveltamiseksi tämän tuomion 71 ja 72 kohdassa tarkoitettuihin tietojen käsittelyihin syyttäjäviranomaisen on katsottava olevan sekä tietosuoja-asetuksen 4 artiklan 7 alakohdassa että direktiivin 2016/680 3 artiklan 8 alakohdassa tarkoitettu ”rekisterinpitäjä”, sillä se ”yksin tai yhdessä muiden kanssa määrittelee henkilötietojen käsittelyn tarkoitukset ja keinot”. Juuri tämä viranomainen menettelyn asianosaisena nimittäin ilmoittaa toimivaltaiselle tuomioistuimelle toisen asianosaisen osalta rikosasioissa avattujen asioiden asiakirjojen olemassaolosta ja luovuttaa sille kyseiset asiakirjavihkot. Kyseisen viranomaisen ”rekisterinpitäjän” asema, kun otetaan huomioon tämän käsitteen laaja määritelmä, jolla pyritään varmistamaan rekisteröityjen tehokas ja kattava suojelu, on riippumaton sen osallistumisasteesta ja vastuun tasosta, ja se saattaa poiketa sen toimivaltaisen tuomioistuimen osallistumisasteesta ja vastuun tasosta, jonka tehtävänä on sallia tai jopa määrätä tällaisesta käsittelystä (ks. analogisesti tuomio 29.7.2019, Fashion ID, C‑40/17, EU:C:2019:629, 66–70 kohta).

81

Riippumatta kuitenkaan siitä, kuuluvatko tämän tuomion 80 kohdassa tarkoitetut tietojen käsittelyt direktiivin 2016/680 9 artiklan 1 kohdan tai 2 kohdan soveltamisalaan, näiden kohtien sanamuodosta ja niiden välisestä suhteesta ilmenee, että yleistä tietosuoja-asetusta sovelletaan kaikkeen kyseisen direktiivin 1 artiklan 1 kohdassa säädettyjä tarkoituksia varten kerättyjen henkilötietojen käsittelyyn muihin kuin näihin tarkoituksiin, paitsi jos kyseinen käsittely ei kuulu unionin oikeuden soveltamisalaan, myös silloin, kun kyseisen direktiivin 3 artiklan 8 alakohdassa tarkoitettu ”rekisterinpitäjä” on kyseisen direktiivin 3 artiklan 7 alakohdan a alakohdassa tarkoitettu ”toimivaltainen viranomainen” ja käsittelee henkilötietoja muiden kuin kyseisen direktiivin 1 artiklan 1 kohdassa säädettyjen tarkoitusten toteuttamiseksi suoritettavien tehtävien yhteydessä.

82

Kaiken edellä esitetyn perusteella on katsottava, että yleistä tietosuoja-asetusta sovelletaan henkilötietojen käsittelyyn, jota jäsenvaltion syyttäjäviranomainen suorittaa käyttääkseen puolustautumisoikeuksiaan valtion vahingonkorvausvastuuta koskevan kanteen yhteydessä, kun se yhtäältä ilmoittaa toimivaltaiselle tuomioistuimelle kyseisen kanteen nostaneena asianosaisena olevaa luonnollista henkilöä koskevien sellaisten asioiden olemassaolosta, jotka on avattu direktiivin 2016/680 1 artiklan 1 kohdassa säädettyjä tarkoituksia varten, ja toisaalta kun se luovuttaa näiden asioiden asiakirjat kyseiselle tuomioistuimelle.

83

On syytä muistaa, että yleisen tietosuoja-asetuksen 6 artiklassa vahvistetaan tyhjentävä luettelo tilanteista, joissa henkilötietojen käsittelyn voidaan katsoa olevan lainmukaista (ks. vastaavasti tuomio 22.6.2021, Latvijas Republikas Saeima (Liikennerikkomuspisteet), C‑439/19, EU:C:2021:504, 99 kohta).

84

Näihin tilanteisiin kuuluu se, että yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan e alakohdassa säädetään käsittelystä, joka on tarpeen yleistä etua koskevan tehtävän suorittamiseksi tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi, ja kyseisen asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohdassa tarkoitetaan käsittelyä, joka on tarpeen rekisterinpitäjän tai kolmannen osapuolen oikeutettujen etujen toteuttamiseksi, paitsi milloin henkilötietojen suojaa edellyttävät rekisteröidyn edut tai perusoikeudet ja ‑vapaudet syrjäyttävät tällaiset edut. Kyseisen asetuksen 6 artiklan 1 kohdan toisen alakohdan mukaan 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohtaa ei sovelleta tietojenkäsittelyyn, jota viranomaiset suorittavat tehtäviensä yhteydessä.

85

On todettava, että – kuten Euroopan komissio on kirjallisissa huomautuksissaan perustellusti huomauttanut – yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan toisen alakohdan sanamuodosta ilmenee selvästi, että henkilötietojen käsittely, jonka viranomainen suorittaa tehtäviensä yhteydessä, ei voi kuulua tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohdan, joka koskee rekisterinpitäjän oikeutettujen etujen toteuttamiseksi tarpeellista henkilötietojen käsittelyä, soveltamisalaan. Kuten yleisen tietosuoja-asetuksen johdanto-osan 47 perustelukappaleesta ilmenee ja kuten komissio väittää, viimeksi mainittua säännöstä ei voida soveltaa tällaiseen tietojen käsittelyyn, koska lainsäätäjän on säädettävä sen oikeusperusteesta. Tästä seuraa, että kun viranomaisen suorittama käsittely on tarpeen yleistä etua koskevan tehtävän suorittamiseksi ja kun se näin ollen kuuluu yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan toisessa alakohdassa mainittuihin tehtäviin, yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan e alakohdan ja sen 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohdan soveltaminen ovat toisensa poissulkevia.

86

Sen vuoksi – ennen kuin tarkastellaan kysymystä yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohdan soveltamisesta – on määritettävä, onko se, että jäsenvaltion syyttäjäviranomainen käsittelee henkilötietoja, jotka on alun perin kerätty yhtä tai useampaa direktiivin 2016/680 1 artiklan 1 kohdassa säädettyä tarkoitusta varten, valtion tai julkisen elimen puolustuksen varmistamiseksi, sellaisen vahingonkorvauskanteen yhteydessä, jolla vaaditaan korvausta valtion tai julkisen elimen tehtävien hoitamisessa tekemästä virheestä, tarpeellista yleistä etua koskevan tehtävän suorittamiseksi tai sille kuuluvan julkisen vallan käyttämiseksi kyseisen asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan e alakohdassa tarkoituksessa merkityksessä.

87

On kuitenkin niin, kuten julkisasiamies on todennut ratkaisuehdotuksensa 94 ja 100 kohdassa, että kun syyttäjäviranomaisen tehtävänä on puolustaa valtion oikeudellisia ja taloudellisia etuja sellaisen vahingonkorvauskanteen yhteydessä, jolla kyseenalaistetaan kyseisen viranomaisen toiminta tai menettely sille rikosasioissa annettujen yleistä etua koskevien tehtävien yhteydessä, näiden etujen puolustaminen voi kansallisen oikeuden mukaan olla mainitun asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan e alakohdassa tarkoitettu yleistä etua koskeva tehtävä.

88

Käyttäessään sille vastaajana annettuja menettelyllisiä oikeuksia, kyseinen viranomainen nimittäin yhtäältä turvaa oikeusvarmuuden sellaisten yleisen edun vuoksi toteutettujen toimien ja annettujen päätösten osalta, jotka kantaja on riitauttanut. Syyttäjäviranomaisen kannanotoilla kantajan perusteisiin ja perusteluihin voidaan tarvittaessa välttää vaara siitä, että ne vaarantaisivat säännösten tehokkaan soveltamisen, joka kuuluu sille niiden tehtävien yhteydessä, joiden virheellisestä hoitamisesta sitä syytetään.

89

Sama viranominen voi toisaalta puolustautumisperusteillaan ja ‑perusteluillaan todennäköisesti korostaa silloin, kun asia on näin, kantajan vahingonkorvausvaatimusten mahdollista perusteettomuutta tai liiallisuutta muun muassa sen välttämiseksi, että vahingonkorvauskanteen yhteydessä kyseenalaistettu yleistä etua koskevien tehtävien suorittaminen estyy tulevien vahingonkorvauskanteiden vuoksi silloin, kun nämä tehtävät saattavat vahingoittaa yksityisten etuja.

90

Tältä osin merkitystä ei ole sillä seikalla, että valtion vahingonkorvausvastuuta koskevan kanteen yhteydessä syyttäjäviranomainen toimii vastaajana yhdenvertaisesti muiden asianosaisten kanssa eikä käytä julkista valtaa, kuten hoitaessaan rikosoikeudellisia tehtäviään.

91

Nyt käsiteltävässä asiassa ennakkoratkaisupyynnöstä ja Bulgarian hallituksen vastauksena unionin tuomioistuimen esittämiin kysymyksiin esittämistä täsmennyksistä ilmenee, että vahingonkorvauskanne, joka on osittain pääasian taustalla, perustuu valtion ja kuntien vahingonkorvausvastuusta annettuun lakiin, joka on mainittu tämän tuomion 26 kohdassa ja jolla on otettu käyttöön järjestelmä, joka koskee valtion vastuuta vahingoista, jotka ovat aiheutuneet siitä, että oikeutta saada asia tutkituksi ja käsitellyksi kohtuullisessa ajassa on loukattu, ja tämän lain 7 §:n mukaan se viranomainen, jonka lainvastaiset teot, toimet tai laiminlyönnit ovat aiheuttaneet vahingon, on asianosainen oikeudenkäynnissä ja näin ollen osallistuu menettelyyn valtion sijasta.

92

Väitetyn vahingon aiheuttaneen viranomaisen rooli tällaisen vahingonkorvauskanteen yhteydessä eroaa siten vastaajan roolista valtion sellaisen takautumiskanteen yhteydessä, joka on nostettu sellaista julkishallinnon työntekijää vastaan, joka on henkilökohtaisesti vastuussa tehtäviään hoitaessaan tapahtuneiden laiminlyöntien vuoksi, koska viimeksi mainitussa tapauksessa tässä roolissa pyritään yksityisten etujen puolustamiseen (ks. vastaavasti tuomio 18.5.2021, Asociația Forumul Judecătorilor din România ym., C‑83/19, C‑127/19, C‑195/19, C‑291/19, C‑355/19 ja C‑397/19, EU:C:2021:393, 225 kohta).

93

Edellä esitetyistä syistä on katsottava, että jäsenvaltion syyttäjäviranomaisen suorittama sellaisten henkilötietojen käsittely, jotka on alun perin kerätty ja joita on alun perin käsitelty yhdessä tai useammassa direktiivin 2016/680 1 artiklan 1 kohdassa säädetyssä tarkoituksessa, valtion oikeuksien puolustamiseksi sellaisen vahingonkorvauskanteen yhteydessä, jossa vaaditaan syyttäjäviranomaisen tehtäviensä hoidon yhteydessä tekemän virheen aiheuttaman vahingon korvaamista, ei lähtökohtaisesti kuulu yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohdan soveltamisalaan, vaan enemminkin kyseisen asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan e alakohdan soveltamisalaan.

94

Ei myöskään voida sulkea pois sitä, että kun jäsenvaltion syyttäjäviranomainen luovuttaa valtion puolustuksen turvaamiseksi vahingonkorvauskanteen yhteydessä henkilötietoja toimivaltaiselle tuomioistuimelle tämän pyynnöstä, tämä tietojen luovuttaminen voi myös kuulua tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan c alakohdan soveltamisalaan, kun kyseisen syyttäjäviranomaisen on sovellettavan kansallisen oikeuden nojalla suostuttava tällaiseen pyyntöön.

95

Näin ollen sen toteamiseksi, kuuluvatko pääasiassa kyseessä olevien kaltaiset henkilötietojen käsittelyt yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan säännösten soveltamisalaan, ennakkoratkaisua pyytäneen tuomioistuimen on tarkistettava, että kyseisen asetuksen 6 artiklan 3 kohdan mukaisesti kansallisessa oikeudessa määritellään yhtäältä tällaisten käsittelyjen perusta ja toisaalta käsittelyjen tarkoitukset, tai siltä osin kuin kyse on 6 artiklan 1 kohdan ensimmäisen alakohdan e alakohdasta, että käsittelyt ovat tarpeen, jotta syyttäjänvirasto voi suorittaa yleistä etua koskevan tehtävänsä.

96

Ennakkoratkaisua pyytäneen tuomioistuimen on lisäksi ratkaistava, vastaako se, että syyttäjänvirasto ilmaisee vahingonkorvauskanteen kantajaa koskevia tietoja, jotka sisältyvät muissa asioissa kuin tämän kanteen perusteena olevassa asiassa avattuihin asiakirjavihkoihin, muita yleisessä tietosuoja-asetuksessa säädettyjä vaatimuksia, ja erityisesti sen 5 artiklan 1 kohdan c alakohdassa tarkoitettua ”tietojen minimointia” koskevaa periaatetta, jonka mukaan henkilötietojen on oltava asianmukaisia ja olennaisia ja ne on rajattava siihen, mikä on tarpeen niitä tarkoituksia varten, joita varten niitä käsitellään, mikä on ilmaus suhteellisuusperiaatteesta (ks. vastaavasti tuomio 22.6.2021, Latvijas Republikas Saeima (Liikennerikkomuspisteet), C‑439/19, EU:C:2021:504, 98 kohta). Lisäksi sen tehtävänä on tarkistaa, että henkilötietoja on käsitelty noudattaen asianmukaisia takeita, erityisesti mahdollisuutta tehokkaasti ilmaista käsitys syyttäjäviranomaisen tässä yhteydessä toimittamista tiedoista ja todisteita, mutta myös yleisen tietosuoja-asetuksen 21 artiklan 1 kohdan mukaisesti vastustaa näiden tietojen ja todisteiden toimittamista toimivaltaiselle tuomioistuimelle, jollei kansallisessa lainsäädännössä kyseisen asetuksen 23 artiklan 1 kohdan mukaisesti tähän vastustamisoikeuteen säädetyistä rajoituksista muuta johdu.

97

Kaiken edellä esitetyn perusteella toiseen ennakkoratkaisukysymykseen on vastattava, että

98

Pääasian asianosaisten osalta asian käsittely unionin tuomioistuimessa on välivaihe kansallisessa tuomioistuimessa vireillä olevan asian käsittelyssä, minkä vuoksi kansallisen tuomioistuimen asiana on päättää oikeudenkäyntikulujen korvaamisesta. Oikeudenkäyntikuluja, jotka ovat aiheutuneet muille kuin näille asianosaisille huomautusten esittämisestä unionin tuomioistuimelle, ei voida määrätä korvattaviksi.

Näillä perusteilla unionin tuomioistuin (viides jaosto) on ratkaissut asian seuraavasti: