1.

Temeljno načelo Uredbe (EU) 2016/679 ( 2 ), općeg propisa u području zaštite osobnih podataka i Direktive (EU) 2016/680 ( 3 ) (lex specialis iz istog područja u kaznenim postupcima) jest načelo ograničavanja prikupljanja takvih podataka i njihove obrade u posebne, zakonom predviđene svrhe.

2.

Sud u ovom predmetu treba odgovoriti na dvojbe bugarskog suda u pogledu tumačenja GDPR‑a i Direktive 2016/680 kako bi se razjasnilo postoji li nezakonita obrada osobnih podataka kojima raspolaže državno odvjetništvo države članice kad:

3.

U skladu s člankom 2. („Glavno područje primjene”):

„1.   Ova se Uredba primjenjuje na obradu osobnih podataka koja se u cijelosti obavlja automatizirano te na neautomatiziranu obradu osobnih podataka koji čine dio sustava pohrane ili su namijenjeni biti dio sustava pohrane.

2.   Ova se Uredba ne odnosi na obradu osobnih podataka:

[…]

[…].”

4.

Člankom 4. („Definicije”) određuje se:

„Za potrebe ove Uredbe:

[…]

[…]

[…].”

5.

Člankom 5. („Načela obrade osobnih podataka”) određuje se:

„1.   Osobni podaci moraju biti:

[…].”

6.

Članak 6. („Zakonitost obrade”) glasi:

„1.   Obrada je zakonita samo ako i u onoj mjeri u kojoj je ispunjeno najmanje jedno od sljedećega:

[…]

[…]

Točka (f) prvog podstavka ne odnosi se na obradu koju provode tijela javne vlasti pri izvršavanju svojih zadaća.

[…]

3.   Pravna osnova za obradu iz stavka 1. točaka (c) i (e) utvrđuje se u:

Svrha obrade određuje se tom pravnom osnovom ili, u pogledu obrade iz stavka 1. točke (e), mora biti nužna za izvršavanje zadaće od javnog interesa ili izvršavanje službene ovlasti voditelja obrade. Ta pravna osnova može sadržavati posebne odredbe kako bi se prilagodila primjena pravila ove Uredbe […]. Pravom Unije ili pravom države članice mora se ostvariti cilj od javnog interesa te ono mora biti razmjerno zakonitom cilju koji se želi postići.

4.   Ako se obrada u svrhu koja je različita od svrhe u koju su podaci prikupljeni ne temelji na privoli ispitanika ili na pravu Unije ili pravu države članice koje predstavlja nužnu i razmjernu mjeru u demokratskom društvu za zaštitu ciljeva iz članka 23. stavka 1., voditelj obrade, s ciljem utvrđivanja je li obrada u drugu svrhu u skladu sa svrhom u koju su osobni podaci prvotno prikupljeni, uzima u obzir, među ostalim:

7.

U skladu s člankom 1. („Predmet i ciljevi”):

„1.   Ovom se Direktivom utvrđuju pravila povezana sa zaštitom pojedinaca u pogledu obrade osobnih podataka od strane nadležnih tijela u svrhe sprečavanja, istrage, otkrivanja ili progona kaznenih djela ili izvršavanja kaznenih sankcija, uključujući zaštitu od prijetnji javnoj sigurnosti i njihovo sprečavanje.

2.   U skladu s ovom Direktivom države članice:

[…].”

8.

Članak 2. („Područje primjene”) glasi:

„1.   Ova se Direktiva primjenjuje na obradu osobnih podataka od strane nadležnih tijela u svrhe utvrđene u članku 1. stavku 1.

[…]

3.   Ova se Direktiva ne primjenjuje na obradu osobnih podataka:

[…].”

9.

U članku 3. stavcima 1., 2. i 8. preuzimaju se definicije iz članka 4. stavaka 1., 2. i 7. GDPR‑a.

10.

Člankom 4. („Načela obrade osobnih podataka”) propisuje se:

„[…]

2.   Obrada koju obavlja isti ili neki drugi voditelj obrade u svrhu iz članka 1. stavka 1. različitu od one za koju su osobni podaci prikupljeni dopuštena je:

[…].”

11.

Člankom 6. („Razlika između različitih kategorija ispitanika”) određuje se:

„Države članice osiguravaju da voditelj obrade, prema potrebi i koliko je god to moguće, radi jasnu razliku između osobnih podataka različitih kategorija ispitanika, kao što su:

12.

U članku 8. („Zakonitost obrade”) navodi se:

„1.   Države članice osiguravaju da je obrada zakonita samo ako je nužna i samo u onoj mjeri u kojoj je nužna kako bi nadležno tijelo obavilo zadaću u svrhe navedene u članku 1. stavku 1. te da se temelji na pravu Unije ili pravu države članice.

2.   Pravom države članice kojim se uređuje obrada unutar područja primjene ove Direktive navode se barem ciljevi obrade, osobni podaci za obradu i svrhe obrade.

13.

U skladu s člankom 9. („Posebni uvjeti obrade”):

„1.   Osobni podaci koje nadležna tijela prikupljaju za svrhe utvrđene u članku 1. stavku 1. ne smiju se obrađivati u svrhe koje su različite od onih utvrđenih u članku 1. stavku 1. osim ako je takva obrada odobrena pravom Unije ili pravom države članice. Ako se osobni podaci obrađuju u druge svrhe, primjenjuje se [GDPR], osim ako se obrada obavlja kao djelatnost koja je izvan područja primjene prava Unije.

2.   Ako je pravom države članice nadležnim tijelima povjereno obavljanje zadaća drukčijih od onih koje se obavljaju u svrhe iz članka 1. stavka 1., [GDPR se] primjenjuje […] na obradu u takve svrhe, među ostalim i za arhiviranje u javnom interesu, ili u svrhe znanstvenog ili povijesnog istraživanja ili u statističke svrhe, osim ako se obrada provodi u okviru djelatnosti koja je izvan područja primjene prava Unije.

[…].”

14.

Člankom 127. utvrđuje se isključiva nadležnost državnog odvjetništva za vođenje istraga, pripisivanje kaznene odgovornosti i pokretanje kaznenog postupka pred sudom u slučaju kaznenih djela koja se progone po službenoj dužnosti.

15.

Člankom 1. utvrđuje se:

„(1)   Ovim se zakonom uređuju odnosi s javnošću u pogledu zaštite prava pojedinaca u vezi s obradom njihovih osobnih podataka, s obzirom na to da nisu uređeni [GDPR‑om].

(2)   Ovim se zakonom također utvrđuju pravila povezana sa zaštitom pojedinaca u vezi s obradom osobnih podataka od strane nadležnih tijela u svrhe sprečavanja i otkrivanja kaznenih djela, istrage i progona u tom području ili izvršavanja kaznenih sankcija, uključujući zaštitu od prijetnji javnoj sigurnosti i javnom poretku te njihovo sprečavanje.

[…].”

16.

Člankom 17. određuje se:

„(1)   Inspektorat Vrhovnog sudskog vijeća osigurava nadzor i poštovanje [GDPR‑a], ovog zakona i akata u području zaštite osobnih podataka u vezi s obradom osobnih podataka koju izvršavaju:

1. sudovi prilikom izvršavanja svojih zadaća sudbene vlasti; i

2. državno odvjetništvo ili istražna tijela prilikom izvršavanja svojih zadaća koje imaju kao pravosudna tijela u svrhu sprečavanja, otkrivanja, istrage ili progona kaznenih djela ili izvršenja kaznenih sankcija.

[…].”

17.

Člankom 42. predviđa se:

„(1)   Pravila iz ovog poglavlja primjenjuju se u slučaju obrade osobnih podataka od strane nadležnih tijela u svrhe sprečavanja i otkrivanja kaznenih djela, istrage i progona u tom području ili izvršavanja kaznenih sankcija, uključujući zaštitu od prijetnji javnoj sigurnosti i javnom poretku i njihovo sprečavanje.

(2)   Osobni podaci prikupljeni u svrhe utvrđene u stavku 1. ne smiju se obrađivati u druge svrhe, osim ako u pravu Unije ili u zakonodavstvu Republike Bugarske nije drukčije određeno.

(3)   Kad tijela nadležna na temelju stavka 1. obrađuju osobne podatke u svrhe koje nisu utvrđene stavkom 1., kao i u slučajevima predviđenim stavkom 2., primjenjuju se [GDPR] i relevantne odredbe ovog zakona kojima se uspostavljaju mjere za njegovu primjenu.

(4)   ‚Nadležnim tijelom’ u smislu stavka 1. smatra se svako tijelo javne vlasti nadležno za sprečavanje i otkrivanje kaznenih djela, istrage i progon u tom području ili izvršavanje kaznenih sankcija, uključujući zaštitu od prijetnji javnoj sigurnosti i javnom poretku i njihovo sprečavanje.

(5)   Osim ako zakonskom odredbom nije drukčije određeno, voditeljem obrade osobnih podataka u svrhe utvrđene u stavku 1., u smislu ovog poglavlja, smatra se nadležno tijelo u smislu stavka 4. ili upravno tijelo čiji je nadležno tijelo dio i koje samostalno ili zajedno s ostalim tijelima utvrđuje svrhe i oblike obrade osobnih podataka”.

18.

Člankom 45. propisuje se:

„[…]

(2)   Obrada osobnih podataka koju izvršava voditelj obrade koji ih je prvotno prikupio ili drugi voditelj obrade u neku od svrha predviđenih člankom 42. stavkom 1., a koja se razlikuje od svrhe u koju su osobni podaci prikupljeni, dopuštena je:

1. ako je voditelj ovlašten za obradu osobnih podataka u takvu svrhu u skladu s pravom Unije ili zakonodavstvom Republike Bugarske; te

2. ako je obrada nužna i proporcionalna toj drugoj svrsi u skladu s pravom Unije ili zakonodavstvom Republike Bugarske.

[…].”

19.

Članak 47. istovjetan je članku 6. Direktive 2016/680.

20.

Članak 49. glasi:

„Obrada osobnih podataka zakonita je ako je nužna kako bi nadležno tijelo izvršilo svoje ovlasti u svrhe utvrđene člankom 42. stavkom 1. i ako je predviđena pravom Unije ili zakonom kojim se određuju svrhe obrade i kategorije osobnih podataka koji se obrađuju.”

21.

Pod vodstvom Rajona prokurature – Petrič (Općinsko državno odvjetništvo u Petriču, Bugarska) provedene su istražne radnje (br. 252/2013 pri policijskoj upravi u Petriču) ( 6 ) radi utvrđivanja činjenica kaznenog djela ( 7 ) koje je počinjeno 18. travnja 2013.

22.

Tijekom tih istražnih radnji prvotno su prikupljeni osobni podaci osobe VS u svojstvu žrtve.

23.

Odlukama državnog odvjetništva od 4. i 5. travnja 2018. za navedena djela optužene su četiri osobe (među njima i osoba VS).

24.

Rajonen sad Petrič (Općinski sud u Petriču, Bugarska) 10. studenoga 2020. obustavio je kazneni postupak zbog zastare.

25.

Općinsko državno odvjetništva u Petriču započelo je 2016. i 2017., povodom prijava protiv osobe VS, različite istražne radnje ( 8 ) koje zbog nedostatka indicija o kaznenom djelu nisu dovele do pokretanja kaznenog postupka.

26.

Osoba VS podnijela je 2018. građansku tužbu ( 9 ) protiv državnog odvjetništva Republike Bugarske Okržen sadu – Blagoevgrad (Okružni sud u Blagoevgradu, Bugarska), u kojoj zahtijeva naknadu štete zbog predugog trajanja kaznenog postupka br. 252/2013.

27.

Za potrebe obrane u toj građanskoj tužbi, državno odvjetništvo zatražilo je od suda da se uključe spisi br. 517/16 i br. 1872/16 samog Općinskog državnog odvjetništva u Petriču.

28.

Okržen sad – Blagoevgrad (Okružni sud u Blagoevgradu) rješenjem od 15. listopada 2018. naložio je Općinskom državnom odvjetništvu u Petriču da dostavi preslike dokumenata iz spisa br. 517/16 i br. 1872/16.

29.

Osoba VS prijavila je 12. ožujka 2020. Inspektoratu kam Visšia sadeben savet (Inspektorat Višeg sudskog vijeća, Bugarska, u daljnjem tekstu: IVSS) kako smatra da državno odvjetništvo provodi dvostruku nezakonitu obradu njezinih osobnih podataka i da je nepropisno iskoristilo:

30.

IVSS je 22. lipnja 2020. odbio taj dvostruki zahtjev osobe VS.

31.

Osoba VS pobija tu IVSS‑ovu odluku pred Administrativen sadom – Blagoevgrad (Upravni sud u Blagoevgradu, Bugarska), koji Sudu upućuje sljedeća prethodna pitanja:

32.

Tajništvo Suda zaprimilo je zahtjev za prethodnu odluku 23. ožujka 2021.

33.

Sudjelovali su i podnijeli pisana očitovanja osoba VS, IVSS, bugarska, češka i nizozemska vlada te Europska komisija.

34.

Sud je ocijenio da nije potrebno održati raspravu, a ni stranke je nisu zahtijevale.

35.

GDPR i Direktiva 2016/680 čine usklađen sustav u kojem:

36.

Zaštita koju pruža sustav koji čine navedena dva propisa temelji se na načelima zakonitosti, poštenja, transparentnosti i, u dijelu koji je ovdje važan, načelu strogog ograničavanja prikupljanja podataka i njihove obrade u svrhe utvrđene zakonom ( 10 ).

37.

Konkretno, člankom 5. stavkom 1. točkom (b) GDPR‑a propisuje se da osobni podaci moraju biti „prikupljeni u posebne, izričite i zakonite svrhe te se dalje ne smiju obrađivati na način koji nije u skladu s tim svrhama” ( 11 ). Tako glasi i tekst članka 4. stavka 1. točke (b) Direktive 2016/680, kao lexa specialis.

38.

Stoga se osobni podaci ne mogu prikupljati niti obrađivati na općenit način, nego samo s obzirom na određene svrhe ( 12 ) i pod uvjetima zakonitosti koje je utvrdio zakonodavac Unije.

39.

Načelo uskog povezivanja prikupljanja podataka i njihove obrade, s jedne strane, te svrhe kojima obje radnje trebaju služiti, s druge strane, nije apsolutno jer se i GDPR‑om i Direktivom 2016/680 dopušta određena fleksibilnost, kao što to navodim u nastavku.

40.

U predmetnom sporu upravni sud treba odlučiti je li nadzorno tijelo (IVSS) ( 13 ) postupilo u skladu sa zakonom kad je odbilo pritužbu u kojoj je osoba VS optužila bugarsko državno odvjetništvo za nezakonitu obradu njezinih osobnih podataka.

41.

Ti su podaci, kao što sam to već naveo, prikupljeni u dvama različitim kontekstima:

42.

U skladu s tim, pitanja suda koji je uputio zahtjev obuhvaćaju:

43.

Slažem se sa sudom koji je uputio zahtjev, i svim strankama koje su sudjelovale u ovom prethodnom postupku, da se obrada osobnih podataka, koja je predmet prvog prethodnog pitanja, uređuje Direktivom 2016/680.

44.

U skladu sa člankom 1. stavkom 1. i člankom 2. stavkom 1. Direktive 2016/680, ona se primjenjuje na obradu osobnih podataka od strane nadležnih tijela u svrhu sprečavanja, istrage, otkrivanja ili progona kaznenih djela. U ovom su predmetu podaci osobe VS prikupljeni i obrađeni upravo u okviru kaznene istrage.

45.

Međutim, kad je riječ o prijenosu osobnih podataka za potrebe građanskog postupka protiv državnog odvjetništva (drugo prethodno pitanje), GDPR se primjenjuje ako taj prijenos predstavlja obradu podataka u svrhe koje nisu navedene u članku 1. stavku 1. Direktive 2016/680, ali su dio djelatnosti obuhvaćene područjem primjene prava Unije.

46.

U skladu s člankom 4. stavkom 2. Direktive 2016/680, obrada koju obavlja isti ili neki drugi voditelj obrade u svrhu iz članka 1. stavka 1. ( 15 ) različitu od one za koju su osobni podaci prikupljeni dopuštena je:

47.

Direktivom 2016/680 dopušta se stoga ad intra prijenos osobnih podataka prikupljenih na temelju nje. Podaci prikupljeni u jednu od svrha navedenih u njezinu članku 1. stavku 1. mogu se također, pod određenih uvjetima, upotrebljavati u drugu svrhu ili druge svrhe s navedenog popisa.

48.

Problem koji se iznosi u prvom prethodnom pitanju odnosi se na to mogu li se osobni podaci osobe VS, prikupljeni u trenutku u kojem se činila navodnom žrtvom istraživanog kaznenog djela, naknadno obraditi protiv nje u svojstvu osobe nad kojom se provodi istraga, ili optuženika, tijekom istog kaznenog postupka.

49.

Drugim riječima, treba razjasniti jesu li osobni podaci osobe VS obrađeni u istu svrhu kojom je opravdano njihovo prvotno prikupljanje ili su, suprotno tomu, prikupljeni u dvije različite svrhe, ali obuhvaćene područjem primjene Direktive 2016/680. Ako je ispunjena druga okolnost, na obradu treba primijeniti posebne uvjete iz članka 4. stavka 2 te direktive.

50.

Sud koji je uputio zahtjev prvo je pitanje oblikovao djelomično nejasno s obzirom na predmet spora. Doslovno, želi znati treba li članak 1. stavak 1. Direktive 2016/680 tumačiti „na način da su pojmovi ‚sprečavanje, istraga, otkrivanje ili progon kaznenih djela’ navedeni kao aspekti općenite svrhe”.

51.

S obzirom na navode suda koji je uputio zahtjev, možda bi trebalo preoblikovati njegovo prvo pitanje, kao što su to predložile stranke i sudionici u predmetnom prethodnom postupku. Od zadržavanja na apstraktnom odnosu općenita svrha/konkretna svrha važnije je pitanje (na koje se zapravo odnosila pritužba osobe VS) je li, u okviru kaznenog postupka uređenog Direktivom 2016/680, svrha u koju su prikupljeni podaci osobe u svojstvu navodne žrtve kaznenog djela i dalje valjana kad ti podaci dovedu do naknadnog podizanja optužnice protiv nje u istom postupku.

52.

Doslovno tumačenje članka 1. stavka 1. Direktive 2016/680 upućuje na to da se u njoj razlikuju tri vrste svrha, koje se odnose na različite trenutke i djelatnosti:

53.

S gledišta sustavnog ili kontekstualnog tumačenja, u članku 4. stavku 2. Direktive 2016/680 zagovara se da se svaka od tih svrha smatra zasebnom. Da nije tako, kao što je to istaknula nizozemska vlada, ta odredba bila bi lišena sadržaja jer se njome predviđa upravo „svrh[a] iz članka 1. stavka 1. različit[a] od one za koju su osobni podaci prikupljeni […]”.

54.

Na temelju te pretpostavke pokušat ću objasniti zašto su u ovom predmetu sporni podaci prikupljeni i obrađeni u jednu svrhu (svrhu „istrage”) koja se navodi u članku 1. stavku 1. Direktive 2016/680, na temelju čega je ta direktiva primjenjiva i pripadajuća obrada zakonita.

55.

Podredno, ni da su podaci prikupljeni i obrađeni u dvije svrhe iz članka 4. stavka 2. Direktive 2016/680, ne bi se moglo raspravljati o njihovoj zakonitosti.

56.

Tijekom radnji kaznenog progona ne može se uvijek od početka odrediti postupovni status uključenih osoba. Istražnim se radnjama u mnogim slučajevima pokušava identificirati i stoga „kategorizirati” pojedince koji prima facie izgledaju kao počinitelji, žrtve ili svjedoci djela.

57.

Logično je da je tijekom te pripremne faze kategorija u određenoj mjeri neodrediva. Istraga treba na temelju svojih rezultata dovesti do točnog utvrđivanja svojstva u kojem će navedene osobe sudjelovati u postupku progona kaznenih djela.

58.

To osobito vrijedi u slučajevima poput predmetnoga. Prema mišljenju suda koji je uputio zahtjev, došlo je do međusobnog napada između više osoba. Jedna od njih, koja se prvotno činila kao žrtva, na kraju je optužena za izvršavanje tih napada.

59.

U tim okolnostima, skup provedenih aktivnosti u skladu je s pojmom „istraga” iz članka 1. stavka 1. Direktive 2016/680. Stoga je ta aktivnost imala jedan cilj, a on odgovara jednoj od „svrha” u koje se osobni podaci mogu obrađivati.

60.

Međutim, sud koji je uputio zahtjev dvoji je li to tumačenje članka 1. stavka 1. Direktive 2016/680 u skladu s njezinom uvodnom izjavom 31. ( 16 ).

61.

Slažem se s mišljenjem većine stranaka da ta uvodna izjava, kao ni članak 6. Direktive 2016/680, u kojem se ona odražava, nisu relevantni za utvrđivanje promjene svrhe na koju se odnosi članak 4. stavak 2. te direktive.

62.

U skladu s člankom 6. Direktive 2016/680, jasna razlika između osobnih podataka različitih kategorija ispitanika potrebna je „prema potrebi i koliko je god to moguće”. Zbog prethodno navedenih razloga u početnim istražnim radnjama povodom kaznenih djela poput djela o kojima je ovdje riječ nije lako jasno i otpočetka utvrditi „različite kategorije ispitanika”. Osim toga, isti sudionik u tim djelima može biti i žrtva i počinitelj napada.

63.

Čak i kad bi voditelj obrade podataka prikupljenih tijekom radnji kaznenog progona uspio, na početku i tijekom istrage, jasno razlikovati žrtve, osumnjičene i svjedoke, svrha u koju se ti podaci prikupljaju i obrađuju (istraga) ne bi se promijenila.

64.

Drugim riječima, uzastopna dodjela jednog pa drugog svojstva (žrtva, svjedok, sudionik) osobama nad kojima se provodi kaznena istraga ne podrazumijeva nužno promjenu svrhe za potrebe članka 4. stavka 2. Direktive 2016/680.

65.

Podredno, u slučaju da je ispunjena okolnost predviđena člankom 4. stavkom 2. Direktive 2016/680, obrada spornih osobnih podataka bila bi u skladu s uvjetima zakonitosti utvrđenima tom direktivom. To su istaknule bugarska i češka vlada, s kojima se slažem.

66.

Iako je na sudu koji je uputio zahtjev da to provjeri, čini se nedvojbenim da je bugarsko državno odvjetništvo, u skladu s nacionalnim pravom, tijelo odgovorno za obradu osobnih podataka osobe VS „u svrhu iz članka 1. stavka 1. različitu od one za koju su osobni podaci prikupljeni”. Prvi je uvjet predviđen člankom 4. stavkom 2. točkom (a) Direktive 2016/680 stoga ispunjen.

67.

Kad je riječ o drugom uvjetu, utvrđenom točkom (b) istog članka 4. stavka 2. („ako je obrada nužna i proporcionalna toj drugoj svrsi”), smatram da:

68.

Ako se primijene na ovaj predmet, zahtjevi iz članka 4. stavka 2. Direktive 2016/680 zanemarivi su i potvrđuje se jedinstvo svrhe svojstvene prikupljanju spornih osobnih podataka: postoji logičan kontinuitet između njihove prvotne obrade i naknadne obrade koja je dovela do podizanja optužnice protiv dotične osobe.

69.

Stoga, kad je kriterij proporcionalnosti jednak za svu obradu, kao što to proizlazi iz povezanih načela u članku 4. stavku 1. Direktive 2016/680, nije potrebno potvrditi nadležnost novog voditelja obrade podataka (koji je isti) niti postoje poteškoće u dokazivanju potrebe za drugom obradom (koja se obavlja u okviru istog postupka).

70.

Člankom 9. stavkom 1. Direktive 2016/680 predviđa se mogućnost ad extra prijenosa osobnih podataka prikupljenih na temelju nje.

71.

Polazeći od pretpostavke da se navedeni podaci, u pravilu, „ne smiju […] obrađivati u svrhe koje su različite od onih utvrđenih u [njezinu] članku 1. stavku 1.”, člankom 9. stavkom 1. Direktive 2016/680 utvrđuje se izuzeće koje se odnosi na dopuštenje njihove obrade u svrhe različite od onih iz članka 1. stavke 1. na temelju prava Unije ili države članice. U tom se slučaju primjenjuje GDPR (pod uvjetom da je predmetna djelatnost obuhvaćena područjem primjene prava Unije).

72.

Drugim prethodnim pitanjem sud koji je uputio zahtjev želi znati:

73.

Budući da je tužba osobe VS svojedobno odbačena kao nepravodobna, IVSS smatra da je drugo prethodno pitanje nedopušteno.

74.

Ne slažem se s tim mišljenjem.

75.

Sud može odbiti zahtjev za prethodnu odluku koji je podnio nacionalni sud samo ako je očito da tumačenje prava Unije koje se traži nema nikakve veze sa stvarnošću ili predmetom glavnog spora, ako je problem hipotetske naravi ili ako Sud ne raspolaže činjeničnim i pravnim elementima nužnima da na koristan način odgovori na pitanja koja su mu postavljena ( 17 ).

76.

Prigovor IVSS‑a odnosi se na pitanje koje je u isključivoj nadležnosti suda koji je uputio zahtjev. Samo on može, pod vlastitom odgovornošću, utvrditi zakonski i činjenični okvir pitanja koje se upućuje Sudu ( 18 ).

77.

Ocjena nepravodobnosti na koju upozorava IVSS, kao i njezine važnosti u svrhe predmetnog spora, elementi su prosudbe koji su u isključivoj nadležnosti suda koji je uputio zahtjev. Taj je sud u ovom predmetu ustrajao na relevantnosti pitanja za rješavanje glavnog predmeta unatoč nepravodobnosti na koju se pozvao IVSS ( 19 ).

78.

Tu ocjenu Sud ne može preispitivati jer načelno mora slijediti tumačenje i primjenu nacionalnog postupovnog i materijalnog prava kako su ih iznijeli sudovi prilikom utvrđivanja okvira u kojem se upućuje zahtjev za prethodnu odluku.

79.

S obzirom na obrazloženja koja je dao sud koji je uputio zahtjev kako bi opravdao upućivanje drugog prethodnog pitanja, ono što uistinu želi jest da Sud utvrdi predstavlja li prijenos spornih podataka „obradu podataka” u smislu članka 4. točaka 1. i 2. GDPR‑a ( 20 ) te je li ta obrada bila zakonita u skladu s njegovim člankom 6.

80.

U članku 4. točkama 1. i 2. GDPR‑a i članku 3. točkama 1. i 2. Direktive 2016/680 pojmovi „osobni podaci” i „obrada” definiraju se jednako.

81.

U skladu s tim definicijama, zaključujem da je državno odvjetništvo pokušalo u svoju obranu pred građanskim sudom upotrijebiti „poda[tke] koji se odnose na pojedinca čiji je identitet utvrđen” koji su uključivali „osobne podatke” osobe VS.

82.

Prilikom prijenosa tih osobnih podataka na građanski postupak izvršeni su različiti „postupci” koji čine „obradu podataka” bez privole ispitanika. Samo državno odvjetništvo trebalo je barem obaviti uvid radi ocjene njihove moguće korisnosti za obranu vlastitog položaja u građanskom postupku. Treba usto pretpostaviti da su podaci u istu svrhu organizirani, strukturirani, prilagođeni ili izmijenjeni te svakako preneseni i prošireni, barem minimalno, kad se pojavio interes za njihovim uključivanjem u građanski postupak ( 21 ).

83.

Konačno, državno je odvjetništvo prilikom bilježenja podataka, njihova uključivanja u vlastite baze, pohrane i obavljanja uvida te prilikom zahtijevanja da građanski sud kao dokaz dopusti podatke koje je prikupilo tijekom radnji kaznenog progona obradilo osobne podatke osobe VS.

84.

IVSS i Komisija tvrde da državno odvjetništvo može biti „voditelj obrade” samo kao tijelo nadležno za svrhe kaznene prirode koje obuhvaća područje primjene Direktive 2016/680.

85.

To, prema mojem mišljenju, ne podrazumijeva da je drugo prethodno pitanje bespredmetno, kao što to tvrdi IVSS. To prije znači da zakonitost obrade, u skladu s člankom 9. stavkom 1. Direktive 2016/680, valja provjeriti s obzirom na GDPR.

86.

Sud nadležan za donošenje odluke u građanskom sporu odgovoran je za obradu podataka u tom postupku kad ih zaprimi. Njegove odluke izuzete su iz kontrole nadzornog tijela u skladu s člankom 55. stavkom 3. GDPR‑a ako se donesu pri obavljanju sudbene funkcije ( 22 ).

87.

Međutim, sud koji je uputio zahtjev ograničava svoje pitanje na primjenjivost GDPR‑a u trenutku u kojem državno odvjetništvo pokušava iskoristiti podatke koje je prikupilo kao „voditelj obrade” u smislu Direktive 2016/680 za potrebe vlastite obrane u građanskom postupku.

88.

S obzirom na iznesena razmatranja, smatram da je GDPR primjenjiv jer obrana državnog odvjetništva u građanskom postupku nije obuhvaćena svrhama koje se navode u članku 1. stavku 1. Direktive 2016/680.

89.

Uvjeti zakonitosti obrade osobnih podataka navode se u članku 6. stavku 1. GDPR‑a: „[o]brada je zakonita samo ako i u onoj mjeri u kojoj je ispunjeno najmanje jedno od sljedećega”, nakon čega slijedi popis uvjeta. Njihov je popis iscrpan ( 23 ).

90.

Prema mojem mišljenju, od tih uvjeta nisu ispunjeni: uvjet koji se temelji na privoli ispitanika (točka (a)), uvjet koji se temelji na izvršenju ugovora (točka (b)), uvjet koji se temelji na poštovanju pravnih obveza (točka (c)) ( 24 ), kao ni uvjet koji se temelji na zaštiti ključnih interesa ispitanika ili treće strane (točka (d)).

91.

Prema mišljenju suda koji je uputio zahtjev, ispunjen je uvjet iz točke (f) članka 6. stavka 1. GDPR‑a. Međutim, kao što je to tvrdila Komisija, on je isključen na temelju posljednje točke tog stavka jer se taj uvjet „ne odnosi […] na obradu koju provode tijela javne vlasti pri izvršavanju svojih zadaća” ( 25 ).

92.

Bugarska je vlada u odgovoru na pitanje Suda, uz potporu češke i nizozemske vlade u tom pogledu, ustrajala na primjenjivosti uvjeta predviđenog točkom (f) članka 6. stavka 1. GDPR‑a. Tvrdi da je potrebno uzeti u obzir „prirodu aktivnosti koju provodi državno odvjetništvo”, koje, iako je javno tijelo, može sudjelovati u građanskim postupcima kao „ravnopravna stranka” ( 26 ).

93.

Međutim, „legitimni interesi” koje državno odvjetništvo, kao tijelo javne vlasti, brani u postupku u kojem je tužba podnesena povodom odgovornosti zbog njegovih postupovnih radnji isključeni su iz slučaja predviđenog točkom (f) članka 6. stavka 1. GDPR‑a, kao što se to izričito navodi u posljednjoj točki tog istog stavka.

94.

Za tijela koja djeluju u svrhu izvršavanja zadaća koje su im dodijeljene zakonom (u ovom slučaju, provođenja kaznenog progona i predstavljanja države u tužbama zbog imovinske odgovornosti), za potrebe članka 6. stavka 1. GDPR‑a relevantan je javni interes kojem služe, u skladu s točkom (e) te odredbe.

95.

Uvjet predviđen točkom (f) odnosi se na potrebe legitimnih interesa voditelja obrade ili treće strane, osim kada su od tih interesa jači interesi ili temeljna prava i slobode ispitanika koji zahtijevaju zaštitu osobnih podataka.

96.

Ta se odredba stoga ne odnosi toliko na mogućnosti obrane tijela javne vlasti, koje se mogu primijeniti na način naveden u točki (e), koliko na eventualnu prevlast interesa, prava ili sloboda ispitanika u odnosu na voditelja obrade ili treću stranu. Primjenjuje se prije na sporove između (privatnih) stranaka čiji interesi nisu javni.

97.

Budući da državno odvjetništvo po definiciji djeluje kao državna institucija, treba analizirati je li sporna obrada obuhvaćena točkom (e) članka 6. stavka 1. GDPR‑a.

98.

To bi bio slučaj kad bi ta obrada bila „nužna za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti” voditelja obrade.

99.

Budući da nema potrebe razmatrati drugu od tih dviju svrha ( 27 ), osvrnut ću se na prvu kako bi se razjasnilo odgovara li sudjelovanje državnog odvjetništva u građanskom postupku u kojem se zahtijeva naknada štete zbog njegova postupanja izvršavanju zadaće od javnog interesa.

100.

U skladu s nacionalnim pravom ( 28 ), državno odvjetništvo treba zastupati državu u postupcima u području izvanugovorne odgovornosti pokrenutima zbog štete pretrpljene zbog njihova predugog trajanja. U istom smislu, državno odvjetništvo sudjeluje u obrani općih (financijskih) državnih interesa i, prema tome, provođenju zadaće od javnog interesa ( 29 ).

101.

Člankom 9. stavkom 1. Direktive 2016/680 uvjetuje se ad extra prijenos prikupljenih podataka iz spisa time da je njihova obrada dopuštena na temelju prava Unije ili države članice. U dijelu koji je ovdje važan, na sudu je koji je uputio zahtjev da provjeri postoji li navedeno dopuštenje, u odnosu na izvršavanje zadaće od javnog interesa za koje je zaduženo državno odvjetništvo radi obrane imovinskih interesa države.

102.

U skladu s člankom 6. stavkom 3. GDPR‑a, pravna osnova obrade navedene u stavku 1. točki (e) „može sadržavati posebne odredbe kako bi se prilagodila primjena pravila” samog GDPR‑a ( 30 ). Ako se ta pravna osnova utvrđuje u pravu države članice koje se primjenjuje na voditelja obrade, na nacionalnom je sudu da je utvrdi ( 31 ).

103.

Konačno, čak i da sud koji je uputio zahtjev ne utvrdi relevantnu pravnu osnovu, usklađenost sporne obrade sa svrhom u koju su sporni podaci prikupljeni treba utvrditi na temelju članka 6. stavka 4. GDPR‑a. Stoga treba uzeti u obzir, među ostalim, bilo kakav odnos između prvotnih svrha i naknadne svrhe, kontekst u kojem su osobni podaci prikupljeni i njihovu prirodu, moguće posljedice nove obrade za ispitanika te postojanje odgovarajućih zaštitnih mjera.

104.

S obzirom na prethodno navedeno, predlažem Sudu da Administrativen sadu – Blagoevgrad (Upravni sud u Blagoevgradu, Bugarska) odgovori na sljedeći način: