CONCLUSIE VAN ADVOCAAT-GENERAAL

CAMPOS SÁNCHEZ-BORDONA

van 19 mei 2022 ( 1 )

Zaak C‑180/21

tegen

Inspektor v Inspektorata kam Visshia sadeben savet

in tegenwoordigheid van:

Teritorialno otdelenie – Petrich kam Rayonna prokuratura – Blagoevgrad

[verzoek van de Administrativen sad – Blagoevgrad (bestuursrechter in eerste aanleg Blagoëvgrad, Bulgarije) om een prejudiciële beslissing]

„Verzoek om een prejudiciële beslissing – Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens – Verordening (EU) 2016/679 – Artikelen 4 en 6 – Richtlijn (EU) 2016/680 – Artikelen 1, 2 tot en met 4 en 9 – Rechtmatigheid van de verwerking van persoonsgegevens in het kader van een strafprocedure – Verwerking van gegevens betreffende het slachtoffer van een strafbaar feit met het oog op diens latere beschuldiging en ten behoeve van de verdediging van het openbaar ministerie in een civiele procedure – Begrip ,andere doeleinden dan dat waarvoor ze verzameld zijn’”

Een van de basisbeginselen van verordening (EU) 2016/679 ( 2 ), die de algemene regeling voor de bescherming van persoonsgegevens bevat, en richtlijn (EU) 2016/680 ( 3 ) (lex specialis ter zake in strafprocedures) is de beperking van de verzameling en de verwerking van die gegevens tot specifieke, bij wet vastgestelde doeleinden.

In deze zaak moet het Hof een antwoord geven op de vragen van een Bulgaarse rechter over de uitlegging van de AVG en van richtlijn 2016/680, teneinde te bepalen of er sprake is van een onrechtmatige verwerking van persoonsgegevens door het openbaar ministerie van een lidstaat wanneer:

–	die gegevens werden verkregen van een persoon die aanvankelijk de hoedanigheid van slachtoffer had, maar die vervolgens in diezelfde strafprocedure werd aangeklaagd, en

–

het openbaar ministerie probeert om te zijner verdediging de bij diverse strafrechtelijke onderzoeken verkregen gegevens aan te voeren als bewijsmateriaal tegen een civielrechtelijke vordering waarin de verzoeker een schadevergoeding vordert wegens buitensporige vertraging bij de strafrechtelijke procedure.

A. Toepasselijke bepalingen – Unierecht

1. AVG

Artikel 2 AVG („Materieel toepassingsgebied”) luidt als volgt:

„1. Deze verordening is van toepassing op de geheel of gedeeltelijk geautomatiseerde verwerking van persoonsgegevens, alsmede op de verwerking van persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen.

2. Deze verordening is niet van toepassing op de verwerking van persoonsgegevens:

a)	in het kader van activiteiten die buiten de werkingssfeer van het Unierecht vallen;

[…]

d)	door de bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid.

[…]”

In artikel 4 („Definities”) is bepaald:

„Voor de toepassing van deze verordening wordt verstaan onder:

[…]

,verwerking’: een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens;

[…]

,verwerkingsverantwoordelijke’: een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt; wanneer de doelstellingen van en de middelen voor deze verwerking in het Unierecht of het lidstatelijke recht worden vastgesteld, kan daarin worden bepaald wie de verwerkingsverantwoordelijke is of volgens welke criteria deze wordt aangewezen;

[…]”

In artikel 5 („Beginselen inzake verwerking van persoonsgegevens”) is bepaald:

„1. Persoonsgegevens moeten:

a)	worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is (,rechtmatigheid, behoorlijkheid en transparantie’);

voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en mogen vervolgens niet verder op een met die doeleinden onverenigbare wijze worden verwerkt; de verdere verwerking met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden wordt overeenkomstig artikel 89, lid 1, niet als onverenigbaar met de oorspronkelijke doeleinden beschouwd (,doelbinding’);

c)	toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt (‚minimale gegevensverwerking’);

[…]”

Artikel 6 („Rechtmatigheid van de verwerking”) luidt als volgt:

„1. De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan:

a)	de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden;

[…]

c)	de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust;

[…]

e)	de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen;

de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is.

De eerste alinea, punt f), geldt niet voor de verwerking door overheidsinstanties in het kader van de uitoefening van hun taken.

[…]

3. De rechtsgrond voor de in lid 1, punten c) en e), bedoelde verwerking moet worden vastgesteld bij:

a)	Unierecht; of

b)	lidstatelijk recht dat op de verwerkingsverantwoordelijke van toepassing is.

Het doel van de verwerking wordt in die rechtsgrond vastgesteld of is met betrekking tot de in lid 1, punt e), bedoelde verwerking noodzakelijk voor de vervulling van een taak van algemeen belang of voor de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is verleend. Die rechtsgrond kan specifieke bepalingen bevatten om de toepassing van de regels van deze verordening aan te passen […]. Het Unierecht of het lidstatelijke recht moet beantwoorden aan een doelstelling van algemeen belang en moet evenredig zijn met het nagestreefde gerechtvaardigde doel.

4. Wanneer de verwerking voor een ander doel dan dat waarvoor de persoonsgegevens zijn verzameld niet berust op toestemming van de betrokkene of op een Unierechtelijke bepaling of een lidstaatrechtelijke bepaling die in een democratische samenleving een noodzakelijke en evenredige maatregel vormt ter waarborging van de in artikel 23, lid 1, bedoelde doelstellingen houdt de verwerkingsverantwoordelijke bij de beoordeling van de vraag of de verwerking voor een ander doel verenigbaar is met het doel waarvoor de persoonsgegevens aanvankelijk zijn verzameld onder meer rekening met:

a)	ieder verband tussen de doeleinden waarvoor de persoonsgegevens zijn verzameld, en de doeleinden van de voorgenomen verdere verwerking;

b)	het kader waarin de persoonsgegevens zijn verzameld, met name wat de verhouding tussen de betrokkenen en de verwerkingsverantwoordelijke betreft;

c)	de aard van de persoonsgegevens, met name of bijzondere categorieën van persoonsgegevens worden verwerkt, overeenkomstig artikel 9, en of persoonsgegevens over strafrechtelijke veroordelingen en strafbare feiten worden verwerkt, overeenkomstig artikel 10;

d)	de mogelijke gevolgen van de voorgenomen verdere verwerking voor de betrokkenen;

e)	het bestaan van passende waarborgen, waaronder eventueel versleuteling of pseudonimisering.”

2. Richtlijn 2016/680

Artikel 1 („Onderwerp en doelstellingen”) van de richtlijn luidt als volgt:

„1. Bij deze richtlijn worden de regels vastgesteld betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing of de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid.

2. Overeenkomstig deze richtlijn hebben de lidstaten de verplichting:

a)	de grondrechten en fundamentele vrijheden van natuurlijke personen en met name hun recht op bescherming van persoonsgegevens te beschermen; […]

[…]”

Artikel 2 („Toepassingsgebied”) luidt:

„1. Deze richtlijn is van toepassing op de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de doeleinden van artikel 1, lid 1.

[…]

3. Deze richtlijn is niet van toepassing op de verwerking van persoonsgegevens:

a)	in het kader van activiteiten die buiten de werkingssfeer van het Unierecht vallen;

[…]”

9.	In artikel 3, punten 1, 2 en 8, zijn de definities uit artikel 4, punten 1, 2 en 7, AVG overgenomen.

10.

Artikel 4 („Beginselen inzake verwerking van persoonsgegevens”) schrijft voor:

„[…]

2. Verwerking door dezelfde of een andere verwerkingsverantwoordelijke voor een ander doel van artikel 1, lid 1, dan dat waarvoor de persoonsgegevens worden verzameld, is toegelaten voor zover:

a)	de verwerkingsverantwoordelijke overeenkomstig het Unierecht of het lidstatelijke recht gemachtigd is deze persoonsgegevens voor een dergelijk doel te verwerken; en

b)	de verwerking noodzakelijk is en in verhouding staat tot dat andere doel overeenkomstig het Unierecht of het lidstatelijke recht.

[…]”

11.

In artikel 6 („Onderscheid tussen verschillende categorieën van betrokkenen”) is bepaald:

„De lidstaten schrijven voor dat de verwerkingsverantwoordelijke, in voorkomend geval en voor zover mogelijk, een duidelijk onderscheid maakt tussen persoonsgegevens betreffende verschillende categorieën van betrokkenen, zoals:

a)	personen ten aanzien van wie er gegronde vermoedens bestaan dat zij een strafbaar feit hebben gepleegd of zullen plegen;

b)	personen die voor een strafbaar feit zijn veroordeeld;

c)	slachtoffers van een strafbaar feit, of personen ten aanzien van wie bepaalde feiten aanleiding geven tot het vermoeden dat zij het slachtoffer zouden kunnen worden van een strafbaar feit; en

andere personen die bij een strafbaar feit betrokken zijn, zoals personen die als getuige kunnen worden opgeroepen in een onderzoek naar strafbare feiten of een daaruit voortvloeiende strafrechtelijke procedure, personen die informatie kunnen verstrekken over strafbare feiten, of personen die contact hebben of banden onderhouden met een van de personen als bedoeld onder a) en b).”

12.

Artikel 8 („Rechtmatigheid van de verwerking”) luidt als volgt:

„1. De lidstaten zorgen ervoor dat verwerking alleen rechtmatig is indien en voor zover die verwerking noodzakelijk is voor de uitvoering door een bevoegde autoriteit van een taak voor de in artikel 1, lid 1, bedoelde doeleinden, en dat die verwerking gebaseerd is op het Unierecht of het lidstatelijke recht.

2. In het lidstatelijke recht dat verwerking binnen het toepassingsgebied van deze richtlijn regelt, worden ten minste de verwerkingsdoeleinden, de te verwerken persoonsgegevens en de doeleinden van de verwerking gespecificeerd.”

13.

In artikel 9 („Specifieke verwerkingsvoorwaarden”) is bepaald:

„1. Persoonsgegevens die door bevoegde autoriteiten voor de in artikel 1, lid 1 omschreven doeleinden worden verzameld, worden niet verwerkt voor andere doeleinden, tenzij die verwerking krachtens het Unierecht of het lidstatelijke recht is toegestaan. Wanneer persoonsgegevens voor zulke andere doeleinden worden verwerkt, is [de AVG] van toepassing, tenzij de verwerking geschiedt in het kader van een activiteit die buiten de werkingssfeer van het Unierecht valt.

2. Wanneer aan bevoegde autoriteiten krachtens het lidstatelijke recht andere taken dan die ter verwezenlijking van de in artikel 1, lid 1, omschreven doeleinden worden toevertrouwd, is [de AVG] van toepassing op verwerking voor die doeleinden, waaronder archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden, tenzij de verwerking geschiedt in het kader van een activiteit die buiten de werkingssfeer van het Unierecht valt.

[…]”

B. Nationaal recht

1. Grondwet van de Republiek Bulgarije

14.

Bij artikel 127 van de grondwet van de Republiek Bulgarije ( 4 ) is aan het openbaar ministerie de exclusieve bevoegdheid toegekend om leiding te geven aan strafrechtelijke onderzoeken, delinquenten aan te klagen en strafrechtelijke vervolging in te stellen ter zake van ambtshalve te vervolgen strafbare feiten.

2. Zakon za zashtita na lichnite danni

15.

Artikel 1 van de Zakon za zashtita na lichnite danni ( 5 ) bepaalt het volgende:

„(1) Deze wet ziet op de overheidsbetrekkingen aangaande de bescherming van de rechten van natuurlijke personen met betrekking tot de verwerking van hun persoonsgegevens, voor zover die niet geregeld zijn bij de [AVG].

(2) In deze wet worden eveneens de regels vastgesteld inzake de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens door de bevoegde autoriteiten met het oog op de voorkoming, de opsporing, het onderzoek of de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid.

[…]”

16.

Artikel 17 bepaalt:

„(1) De inspectiedienst van de hoge raad van justitie verzekert het toezicht op en de naleving van de [AVG], de onderhavige wet en de handelingen inzake de bescherming van persoonsgegevens wat betreft de verwerking van persoonsgegevens door:

1. de rechter in uitvoering van zijn taken als autoriteit van de rechterlijke macht, en

2. het openbaar ministerie en de onderzoeksinstanties in uitvoering van hun taken als rechterlijke autoriteiten met het oog op de voorkoming, de opsporing, het onderzoek en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen.

[…]”

17.

Artikel 42 bepaalt:

„(1) De regels in dit hoofdstuk zijn van toepassing bij de verwerking van persoonsgegevens door de bevoegde autoriteiten met het oog op de voorkoming, de opsporing, het onderzoek of de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid.

(2) Persoonsgegevens die voor de in lid 1 omschreven doeleinden worden verzameld, worden niet verwerkt voor andere doeleinden, tenzij anders bepaald in het Unierecht of het recht van de Republiek Bulgarije.

(3) Wanneer de krachtens lid 1 bevoegde autoriteiten persoonsgegevens verwerken voor andere dan de in lid 1 omschreven doeleinden alsmede in de in lid 2 bedoelde gevallen, zijn de [AVG] en de relevante bepalingen van de onderhavige wet waarbij maatregelen tot uitvoering van die verordening worden vastgesteld, van toepassing.

(4) Onder ,bevoegde autoriteit’ in de zin van lid 1 wordt verstaan elke overheidsinstantie die bevoegd is voor de voorkoming, de opsporing, het onderzoek of de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid.

(5) Voor zover de wet niet anders bepaalt, is een verantwoordelijke voor de verwerking van persoonsgegevens voor de in lid 1 omschreven doeleinden in de zin van dit hoofdstuk een bevoegde autoriteit in de zin van lid 4 of de administratieve eenheid waarvan die autoriteit deel uitmaakt en die, alleen of samen met andere autoriteiten, de doeleinden van en de middelen voor de verwerking van gegevens vaststelt.”

18.

In artikel 45 is bepaald:

„[…]

(2) De verwerking van persoonsgegevens, door de verwerkingsverantwoordelijke die deze aanvankelijk heeft verzameld of door een andere verwerkingsverantwoordelijke, voor een ander doel van artikel 42, lid 1, dan dat waarvoor de persoonsgegevens werden verzameld, is geoorloofd voor zover:

1. de verwerkingsverantwoordelijke volgens het Unierecht of de wettelijke bepalingen van de Republiek Bulgarije bevoegd is om persoonsgegevens voor dit doel te verwerken, en

2. de verwerking voor dit doel zowel noodzakelijk als evenredig is volgens het Unierecht of de wettelijke bepalingen van de Republiek Bulgarije.

[…]”

19.	In artikel 47 is artikel 6 van richtlijn 2016/680 overgenomen.

20.

In artikel 49 is bepaald:

„De verwerking van persoonsgegevens is rechtmatig indien zij noodzakelijk is voor de uitoefening van de bevoegdheden door een bevoegde autoriteit voor de in artikel 42, lid 1, omschreven doeleinden en geregeld is in het Unierecht of in een wettelijke bepaling waarin de doeleinden van de verwerking en de categorieën van de te verwerken persoonsgegevens zijn vastgelegd.”

II. Feiten, procedure en prejudiciële vragen

21.	Onder leiding van de Rayonna prokuratura – Petrich (regionaal parket Petrich, Bulgarije; hierna: „RP-Petrich”) werd een strafrechtelijk onderzoek (nr. 252/2013 van de politie van Petrich) ( 6 ) ingesteld om strafbare feiten op te helderen ( 7 ) die plaatsvonden op 18 april 2013.

22.	Tijdens dat onderzoek werden aanvankelijk persoonsgegevens van VS als slachtoffer verzameld.

23.	Bij besluiten van het openbaar ministerie van 4 en 5 april 2018 werden vier personen (waaronder VS) van die feiten beschuldigd.

24.	Op 10 november 2020 heeft de Rayonen sad Petrich (rechter in eerste aanleg Petrich, Bulgarije) het strafproces afgedaan zonder beslissing omdat de verjaringstermijn was verstreken.

25.	In 2016 en 2017 opende de RP-Petrich wegens klachten tegen VS diverse dossiers ( 8 ), die vervolgens niet tot strafvervolging hebben geleid, omdat er geen aanwijzingen voor strafbare feiten waren.

26.	In 2018 stelde VS bij de Okrazhen sad – Blagoevgrad (regionale rechter Blagoëvgrad, Bulgarije) een civiele procedure ( 9 ) in tegen het openbaar ministerie van de Republiek Bulgarije, waarin hij een schadevergoeding vorderde wegens de buitensporige duur van strafrechtelijk onderzoek nr. 252/2013.

27.	Teneinde zich te verdedigen tegen deze civiele vordering, verzocht het openbaar ministerie de rechter om toelating van de dossiers nrs. 517/2016 en 1872/2016 van de RP-Petrich als bewijsmiddel.

28.	Bij beschikking van 15 oktober 2018 gelastte de Okrazhen sad – Blagoevgrad de RP-Petrich de kopieën van de stukken in de dossiers nrs. 517/2016 en 1872/2016 over te leggen.

29.

Op 12 maart 2020 diende VS een klacht in bij de Inspektorata kam Visshia sadeben savet (toezichthoudende autoriteit bij de hoge raad van justitie; hierna: „IVSS”) wegens wat hij beschouwde als een dubbele onrechtmatige verwerking van zijn persoonsgegevens door het openbaar ministerie, dat onrechtmatig gebruik had gemaakt van:

–	de gegevens die met betrekking tot hem als slachtoffer waren verzameld, en die vervolgens verder werden verwerkt in verband met zijn hoedanigheid van verdachte in strafprocedure nr. 252/2013;

–	de gegevens die over hem waren verzameld in de dossiers nrs. 517/2016 en 1872/2016, voor gebruik door het openbaar ministerie in civiele procedure nr. 144/2018.

30.	Op 22 juni 2020 heeft de IVSS de dubbele klacht van VS ongegrond verklaard.

31.

VS heeft tegen die beslissing van de IVSS beroep ingesteld bij de Administrativen sad Blagoevgrad (bestuursrechter in eerste aanleg Blagoëvgrad, Bulgarije), die het Hof verzoekt om een beslissing over de volgende prejudiciële vragen:

„1)	Moet artikel 1, lid 1, van [richtlijn 2016/680] aldus worden uitgelegd dat de begrippen ,de voorkoming, het onderzoek, de opsporing of de vervolging van strafbare feiten’ bij de vermelding van de doelstellingen worden opgesomd als onderdelen van een algemene doelstelling?

Gelden de bepalingen van [de AVG] voor het openbaar ministerie van de Republiek Bulgarije wanneer informatie over een persoon die het openbaar ministerie, als ,verwerkingsverantwoordelijke’ in de zin van artikel 3, punt 8, van [richtlijn 2016/680], in een over die persoon aangelegd dossier heeft verzameld om na te gaan of er aanwijzingen voor een strafbaar feit bestaan, is gebruikt in het kader van de gerechtelijke verdediging van het openbaar ministerie, doordat vermeld is dat het dossier werd aangelegd of doordat de inhoud van het dossier ter beschikking werd gesteld?

2.1)

Zo ja:

Moet de in artikel 6, lid 1, onder f), [AVG] gebezigde uitdrukking ,gerechtvaardigde belangen’ aldus worden uitgelegd dat zij zich mede uitstrekt tot de volledige of gedeeltelijke openbaarmaking van informatie over een persoon die is verzameld in een dossier dat over die persoon is aangelegd met het oog op de voorkoming, het onderzoek, de opsporing of de vervolging van strafbare feiten, wanneer deze openbaarmaking plaatsvindt met het oog op het verweer van de verwerkingsverantwoordelijke als partij in een civiele procedure, en is de instemming van de betrokkene uitgesloten?”

III. Procedure bij het Hof

32.	Het verzoek om een prejudiciële beslissing is bij de griffie van het Hof ingekomen op 23 maart 2021.

33.	VS, de IVSS, de Bulgaarse, de Tsjechische en de Nederlandse regering en de Europese Commissie zijn in rechte verschenen en hebben schriftelijke opmerkingen bij het Hof ingediend.

34.	Het Hof achtte het houden van een openbare terechtzitting niet noodzakelijk, en hierom werd evenmin verzocht door de partijen.

IV. Analyse

A. Opmerkingen vooraf over de toepasselijke bepalingen van het Unierecht

35.

De AVG en richtlijn 2016/680 vormen een samenhangend stelsel waarin:

–	de algemene voorschriften voor de bescherming van natuurlijke personen met betrekking tot de verwerking van hun persoonsgegevens zijn vastgesteld in de AVG;

–	de specifieke voorschriften voor de verwerking van die gegevens op het gebied van justitiële samenwerking in strafzaken en politiële samenwerking zijn vastgesteld in richtlijn 2016/680.

36.

De bescherming die door de uit deze beide instrumenten bestaande regeling wordt verleend, is gebaseerd op de beginselen van rechtmatigheid, behoorlijkheid en transparantie en, voor zover hier van belang, op het beginsel van de strikte beperking van de gegevensverzameling en -verwerking tot de bij wet vastgestelde doeleinden. ( 10 )

37.

Concreet schrijft artikel 5, lid 1, onder b), AVG voor dat de gegevens „voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en […] vervolgens niet verder op een met die doeleinden onverenigbare wijze [mogen] worden verwerkt”. ( 11 ) Die bewoordingen komen ook terug in artikel 4, lid 1, onder b), van richtlijn 2016/680, als lex specialis.

38.	Persoonsgegevens mogen dus niet algemeen worden verzameld of verwerkt, maar alleen voor specifieke doeleinden ( 12 ) en volgens de door de Uniewetgever vastgestelde rechtmatigheidsvoorwaarden.

39.	Het beginsel van strikte binding tussen de gegevensverzameling en ‑verwerking enerzijds, en de doeleinden die beide bewerkingen moeten dienen anderzijds, is niet absoluut, aangezien zowel de AVG als richtlijn 2016/680 een zekere flexibiliteit toelaat, zoals ik hierna zal toelichten.

40.

In het hoofdgeding moet de bestuursrechter zich uitspreken over de vraag of de toezichthoudende autoriteit (de IVSS) ( 13 ) in overeenstemming met het recht heeft gehandeld waar zij de klacht van VS dat het Bulgaarse openbaar ministerie zich schuldig heeft gemaakt aan onrechtmatige verwerking van zijn persoonsgegevens, heeft afgewezen.

41.

Die gegevens waren, zoals reeds uiteengezet, verzameld in twee verschillende contexten:

–	in het kader van een strafrechtelijk onderzoek dat in 2013 door het openbaar ministerie werd ingesteld met betrekking tot feiten waarvan VS het vermeende slachtoffer was. Deze gegevens werden later in dezelfde strafrechtelijke procedure gebruikt tégen VS in de hoedanigheid van verdachte;

–

in het kader van andere strafrechtelijke onderzoeken, die in 2016 en 2017 door hetzelfde openbaar ministerie werden geopend op basis van verschillende klachten die onder meer tegen VS waren gericht wegens feiten die losstonden van de feiten uit 2013. ( 14 ) In deze zaak heeft het openbaar ministerie verzocht (en dat verzoek werd door de bevoegde rechter toegewezen) om de gegevens die in het kader van die onderzoeken waren verzameld, te mogen gebruiken met het oog op zijn verweer in de door VS ingestelde civiele procedure, waarin deze schadevergoeding van het openbaar ministerie vorderde.

42.

De vragen van de verwijzende rechter betreffen dus:

–	de rechtmatigheid van het gebruik van de persoonsgegevens van VS op twee opeenvolgende momenten in dezelfde strafrechtelijke procedure (eerste prejudiciële vraag);

–	de rechtmatigheid van de verwerking van de persoonsgegevens van VS die tijdens een door het openbaar ministerie geopend strafrechtelijk onderzoek werden verzameld en die dit laatste wil gebruiken in een civiel geding waarin het door VS wordt aangeklaagd (tweede prejudiciële vraag).

43.	Ik ben het eens met de verwijzende rechter en met alle interveniënten in de prejudiciële procedure dat de verwerking van persoonsgegevens waarop de eerste prejudiciële vraag betrekking heeft, onder richtlijn 2016/680 valt.

44.

Volgens artikel 1, lid 1, en artikel 2, lid 1, van richtlijn 2016/680 is deze richtlijn van toepassing op de verwerking van persoonsgegevens door de bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten. In deze zaak werden de gegevens van VS verzameld en verwerkt in het kader van een strafrechtelijk onderzoek.

45.

Wat de doorgifte van persoonsgegevens met het oog op de civiele procedure tegen het openbaar ministerie betreft (tweede prejudiciële vraag), regelt evenwel de AVG de vraag of die doorgifte een gegevensverwerking vormt voor andere dan de in artikel 1, lid 1, van richtlijn 2016/680 omschreven doeleinden, die echter passen binnen een activiteit die onder het Unierecht valt.

B. Eerste prejudiciële vraag: hergebruik ad intra van persoonsgegevens die zijn verzameld voor doeleinden die tot de werkingssfeer van richtlijn 2016/680 behoren

46.

Overeenkomstig artikel 4, lid 2, van richtlijn 2016/680 is verwerking door dezelfde of een andere verwerkingsverantwoordelijke voor een ander doel van artikel 1, lid 1 ( 15 ), dan dat waarvoor de persoonsgegevens worden verzameld, toegelaten voor zover:

a)	de verwerkingsverantwoordelijke gemachtigd is deze persoonsgegevens voor een dergelijk doel te verwerken, en

b)	de verwerking noodzakelijk is en in verhouding staat tot dat andere doel overeenkomstig het Unierecht of het lidstatelijke recht.

47.

Richtlijn 2016/680 staat derhalve hergebruik ad intra toe van persoonsgegevens die overeenkomstig haar bepalingen zijn verzameld. Gegevens die zijn verzameld voor een van de in artikel 1, lid 1, ervan opgesomde doeleinden, mogen onder bepaalde voorwaarden eveneens worden gebruikt voor een ander doel of andere doeleinden die in die opsomming zijn opgenomen.

48.

Het probleem dat met de eerste prejudiciële vraag wordt opgeworpen, is of de persoonsgegevens die van VS werden verzameld toen hij als slachtoffer van het onderzochte strafbare feit werd beschouwd, in de loop van dezelfde strafprocedure verder mogen worden verwerkt in zijn nadeel, wanneer hij wordt aangemerkt als persoon die het voorwerp van onderzoek uitmaakt of als verdachte.

49.

Er moet met andere woorden worden opgehelderd of de persoonsgegevens van VS werden verwerkt voor hetzelfde doel als dat waarvoor zij aanvankelijk werden verzameld, dan wel voor twee verschillende doeleinden, die evenwel beide binnen de werkingssfeer van richtlijn 2016/680 vallen. In het tweede geval is de verwerking onderworpen aan de specifieke voorwaarden van artikel 4, lid 2, van die richtlijn.

50.

De verwijzende rechter heeft zijn eerste vraag enigszins dubbelzinnig geformuleerd wat het voorwerp van het geding betreft. Hij wenst – letterlijk – te vernemen of artikel 1, lid 1, van richtlijn 2016/680 aldus moet worden uitgelegd „dat de begrippen ,de voorkoming, het onderzoek, de opsporing of de vervolging van strafbare feiten’ bij de vermelding van de doelstellingen worden opgesomd als onderdelen van een algemene doelstelling”.

51.

Gelet op de uiteenzetting van de verwijzende rechter zou het misschien dienstig zijn om zijn eerste vraag te herformuleren, zoals de interveniënten in deze prejudiciële procedure hebben voorgesteld. Waar het hier echt om gaat (en waar de klacht van VS in werkelijkheid betrekking op heeft), is niet zozeer de abstracte verhouding tussen het algemene en het specifieke doel, maar wel of het doel waarvoor de gegevens van een persoon in de hoedanigheid van vermeend slachtoffer van een strafbaar feit zijn verzameld in het kader van een strafrechtelijke procedure die onder richtlijn 2016/680 valt, nog steeds geldt wanneer die gegevens ertoe leiden dat die persoon later in dezelfde procedure van dat strafbare feit wordt verdacht.

52.

Op basis van de letterlijke uitlegging van artikel 1, lid 1, van richtlijn 2016/680 kunnen er in die bepaling drie soorten doeleinden worden onderscheiden, die overeenkomen met verschillende tijdstippen en activiteiten:

–	ten eerste „voorkoming”, waaronder voorkoming van gevaren voor de openbare veiligheid;

–	ten tweede „onderzoek” (in ruime zin) van strafbare feiten, waaronder de opsporing van die feiten, het eigenlijke onderzoek en de vervolging ervan;

–	ten derde „tenuitvoerlegging van straffen”.

53.

Uit systematisch of contextueel oogpunt pleit artikel 4, lid 2, van richtlijn 2016/680 ervoor om elk van deze doeleinden afzonderlijk te beschouwen. Anders zou deze bepaling, zoals de Nederlandse regering heeft opgemerkt, worden uitgehold, aangezien zij juist betrekking heeft op „een ander doel van artikel 1, lid 1, dan dat waarvoor de persoonsgegevens worden verzameld […]”.

54.

Hiervan uitgaand zal ik proberen uit te leggen waarom de betwiste gegevens in de onderhavige zaak werden verkregen en verwerkt voor een van de in artikel 1, lid 1, van richtlijn 2016/680 genoemde doeleinden (te weten „onderzoek”), waardoor de richtlijn van toepassing is en de verwerking derhalve rechtmatig is.

55.	Subsidiair geldt dat indien de verzameling en de verwerking twee van de in artikel 4, lid 2, van richtlijn 2016/680 bedoelde doeleinden zouden hebben gediend, de rechtmatigheid ervan evenmin ter discussie zou staan.

1. Een en hetzelfde doel

56.

Bij strafrechtelijke onderzoeken kan niet altijd van in het begin worden vastgesteld wat de status van de betrokkenen in het proces is. Met die onderzoeken wordt in veel gevallen geprobeerd personen die op het eerste gezicht daders, slachtoffers of getuigen van de feiten zijn, (als zodanig) te identificeren en dus te „categoriseren”.

57.	In deze voorbereidende fase is het logisch dat die categorisatie enigszins veranderlijk is. Het onderzoek zal, aan de hand van de resultaten die het oplevert, moeten uitwijzen in welke hoedanigheid die personen precies interveniëren wanneer de feiten door de rechter worden beoordeeld.

58.	Dat is in het bijzonder het geval in zaken zoals de onderhavige. Volgens de verwijzende rechter was er sprake van onderlinge agressie tussen meerdere personen. Een van die personen, die aanvankelijk in beeld kwam als slachtoffer, werd uiteindelijk aangeklaagd als dader van de feiten.

59.	In die context valt de verrichte activiteit in haar geheel onder het begrip „onderzoek” als bedoeld in artikel 1, lid 1, van richtlijn 2016/680. Deze activiteit had dus maar één doel, dat overeenkomt met een van de „doeleinden” waarvoor persoonsgegevens mogen worden verwerkt.

60.	De verwijzende rechter betwijfelt echter of die uitlegging van artikel 1, lid 1, van richtlijn 2016/680 verenigbaar is met overweging 31 van die richtlijn. ( 16 )

61.	Ik deel de mening van de meerderheid van de partijen dat deze overweging, net als artikel 6 van richtlijn 2016/680, waarin de overweging is overgenomen, niet relevant is om te bepalen of er sprake is van een wijziging van het doel zoals bedoeld in artikel 4, lid 2, van die richtlijn.

62.

Overeenkomstig artikel 6 van richtlijn 2016/680 moet slechts „in voorkomend geval en voor zover mogelijk” een duidelijk onderscheid worden gemaakt tussen persoonsgegevens betreffende verschillende categorieën van betrokkenen. Om de eerder uiteengezette redenen is het in de eerste fase van een procedure wegens feiten zoals die welke hier hebben plaatsgevonden niet gemakkelijk om de „verschillende categorieën van betrokkenen” van in het begin duidelijk vast te stellen. Een en dezelfde deelnemer aan die feiten kan overigens zowel slachtoffer als dader van de agressie zijn.

63.

Zelfs indien de verantwoordelijke voor de verwerking van de in het strafrechtelijke onderzoek verzamelde gegevens erin slaagt om van in het begin en gedurende het gehele onderzoek een duidelijk onderscheid te maken tussen slachtoffers, verdachten en getuigen, zou dat niets veranderen aan het doel dat aan die gegevensverzameling en ‑verwerking ten grondslag ligt (het onderzoek).

64.

Dat de personen die betrokken zijn bij een strafrechtelijk onderzoek achtereenvolgens verschillende hoedanigheden toegeschreven krijgen (slachtoffer, getuige, betrokkene), houdt met andere woorden niet noodzakelijk een wijziging van de doeleinden in de zin van artikel 4, lid 2, van richtlijn 2016/680 in.

2. Twee gelijktijdige doeleinden

65.

In het geval dat er sprake zou zijn van de in artikel 4, lid 2, van richtlijn 2016/680 bedoelde situatie, geldt subsidiair dat de verwerking van de betwiste persoonsgegevens in overeenstemming zou zijn geweest met de bij die richtlijn vastgestelde rechtmatigheidsvoorwaarden. Dat hebben de Bulgaarse en de Tsjechische regering opgemerkt, en ik ben het met hen eens.

66.

Hoewel het aan de verwijzende rechter staat om dit na te gaan, lijkt vast te staan dat het Bulgaarse openbaar ministerie overeenkomstig het nationaal recht de autoriteit is die verantwoordelijk is voor de verwerking van de persoonsgegevens van VS „voor een ander doel van artikel 1, lid 1, dan dat waarvoor de persoonsgegevens worden verzameld”. Het eerste vereiste, dat is opgenomen in artikel 4, lid 2, onder a), van richtlijn 2016/680, is derhalve vervuld.

67.

Wat het tweede vereiste betreft, in punt b) van datzelfde artikel 4, lid 2 (te weten dat „de verwerking noodzakelijk is en in verhouding staat tot dat andere doel”), ben ik van oordeel dat:

–	de verwerking noodzakelijk is vanwege de onzekerheid en het vage karakter van de eerste strafrechtelijke onderzoeken;

–	het aan de verwijzende rechter staat om te beoordelen of zij in verhouding staat tot het andere doel, waarbij deze moet bekijken of de verwerking beperkt was tot wat strikt noodzakelijk was om het nieuwe doel te bereiken.

68.

Toegepast op de onderhavige zaak, zijn de vereisten van artikel 4, lid 2, van richtlijn 2016/680 van weinig belang, en het wordt bevestigd dat de verzameling van de betwiste persoonsgegevens slechts één doel dient: de latere verwerking die tot de beschuldiging van de betrokkene heeft geleid, vormt een logische voortzetting van de aanvankelijke verwerking.

69.

Het zou derhalve niet nodig zijn om de bevoegdheid van een nieuwe verwerkingsverantwoordelijke te bevestigen (die steeds dezelfde zou zijn), en het zou ook niet moeilijk zijn om de noodzaak van de tweede verwerking (in het kader van dezelfde procedure) aan te tonen, aangezien het evenredigheidscriterium voor alle verwerkingen hetzelfde is, zoals blijkt uit de beginselen die in artikel 4, lid 1, van richtlijn 2016/680 zijn uiteengezet.

C. Tweede prejudiciële vraag: hergebruik ad extra van de verzamelde persoonsgegevens

70.	Volgens artikel 9, lid 1, van richtlijn 2016/680 bestaat de mogelijkheid om krachtens die richtlijn verzamelde persoonsgegevens ad extra verder te gebruiken.

71.

Uitgaand van de algemene regel dat die gegevens die „voor de in artikel 1, lid 1, omschreven doeleinden worden verzameld, […] niet [worden] verwerkt voor andere doeleinden”, wordt in artikel 9, lid 1, van richtlijn 2016/680 voorzien in een uitzondering wanneer de verwerking voor andere dan de in artikel 1, lid 1, omschreven doeleinden krachtens het Unierecht of het lidstatelijke recht is toegestaan. In dat geval is de AVG van toepassing (voor zover de activiteit binnen de werkingssfeer van het Unierecht valt).

72.

Met zijn tweede prejudiciële vraag wenst de verwijzende rechter te vernemen:

–

of de AVG van toepassing is wanneer de gegevens die zijn verzameld tijdens een door het openbaar ministerie ingesteld strafrechtelijk onderzoek later ten behoeve van datzelfde openbaar ministerie worden gebruikt als verweermiddel in een civiele procedure die door de houder van de gegevens tegen dat openbaar ministerie is ingesteld;

–	of, indien die vraag bevestigend moet worden beantwoord, de uitdrukking „gerechtvaardigde belangen” van artikel 6, lid 1, onder f), AVG de mogelijkheid omvat dat de betwiste gegevens worden aangevoerd voor de verdediging van het openbaar ministerie in voornoemde civiele procedure.

1. Ontvankelijkheid van de vraag

73.	De IVSS stelt dat aangezien de klacht van VS destijds als tardief werd verworpen, de tweede prejudiciële vraag niet-ontvankelijk is.

74.	Ik deel deze kritiek niet.

75.

Het Hof kan slechts weigeren uitspraak te doen op een verzoek van een nationale rechter wanneer duidelijk blijkt dat de gevraagde uitlegging van het Unierecht geen verband houdt met een reëel geschil of met het voorwerp van het hoofdgeding, of wanneer het vraagstuk van hypothetische aard is of het Hof niet beschikt over de gegevens, feitelijk en rechtens, die noodzakelijk zijn om een zinvol antwoord te geven op de gestelde vragen. ( 17 )

76.	Het bezwaar van de IVSS betreft een punt dat tot de uitsluitende bevoegdheid van de verwijzende rechter behoort. Alleen hij kan, onder zijn eigen verantwoordelijkheid, het wettelijke en feitelijke kader schetsen waarbinnen de aan het Hof voorgelegde vraag moet worden beschouwd. ( 18 )

77.

Zowel de uitspraak van de IVSS over de tardiviteit als de relevantie hiervan voor het geding, is een element waarover alleen de verwijzende rechter kan oordelen. In deze zaak heeft de verwijzende rechter erop gewezen dat de vraag relevant is voor de beslechting van het hoofdgeding, ondanks de door de IVSS aangevoerde tardiviteit. ( 19 )

78.	Die beoordeling kan niet worden getoetst door het Hof, dat zich in beginsel moet houden aan de uitlegging en de toepassing van het nationaal materieel en procesrecht door de rechters bij het bepalen van het kader waarin de prejudiciële verwijzing zich afspeelt.

2. Ten gronde

79.

Gelet op de redenen die de verwijzende rechter aanhaalt om de tweede prejudiciële vraag te rechtvaardigen, wenst hij in werkelijkheid van het Hof te vernemen of de doorgifte van de betwiste gegevens een „gegevensverwerking” in de zin van artikel 4, punten 1 en 2, AVG vormt ( 20 ) en of die verwerking rechtmatig is overeenkomstig artikel 6 van die verordening.

a) Bestaan van een gegevensverwerking

80.	In artikel 4, punten 1 en 2, AVG en artikel 3, punten 1 en 2, van richtlijn 2016/680 zijn de begrippen „persoonsgegevens” en „verwerking” in dezelfde bewoordingen gedefinieerd.

81.	Gelet op die definities leid ik af dat het openbaar ministerie ten behoeve van zijn verdediging bij de civiele rechter „informatie over een natuurlijke persoon” wilde gebruiken die „persoonsgegevens” van VS omvatte.

82.

Bij de overdracht van die persoonsgegevens naar de civiele procedure hebben verschillende opeenvolgende „bewerkingen” plaatsgevonden die een „gegevensverwerking” zonder toestemming van de betrokkene vormen. Het openbaar ministerie heeft de gegevens op zijn minst moeten raadplegen om te bepalen of zij nuttig konden zijn met het oog op de verdediging van zijn standpunt in de civiele procedure. Voorts kan worden aangenomen dat de gegevens daartoe zijn georganiseerd, gestructureerd, aangepast of gewijzigd en, uiteraard, meegedeeld en verspreid, al was het maar in geringe mate, wanneer het openbaar ministerie heeft verzocht om ze in de civiele procedure te mogen overleggen. ( 21 )

83.

Het openbaar ministerie heeft dus een verwerking van de persoonsgegevens van VS uitgevoerd door de informatie waarover het tijdens het strafonderzoek beschikte te registreren, op te nemen in zijn archieven, te bewaren en te raadplegen en door de verwijzende rechter te verzoeken om die informatie als bewijs toe te laten.

84.	De IVSS en de Commissie stellen dat het openbaar ministerie slechts „verwerkingsverantwoordelijke” kan zijn voor zover het de autoriteit is die bevoegd is voor de binnen de werkingssfeer van richtlijn 2016/680 vallende doeleinden van strafrechtelijke aard.

85.	Dat houdt mijns inziens niet in dat de tweede prejudiciële vraag zonder voorwerp is, zoals de IVSS aanvoert. Het betekent eerder dat de rechtmatigheid van de verwerking krachtens artikel 9, lid 1, van richtlijn 2016/680 moet worden getoetst aan de AVG.

86.

De rechter die bevoegd is om het hoofdgeding te beslechten, zal verantwoordelijk zijn voor de verwerking van de gegevens in die procedure wanneer zij daarin worden opgenomen. Zijn beslissingen ontsnappen aan het toezicht van de toezichthoudende autoriteit op grond van artikel 55, lid 3, AVG, aangezien zij worden vastgesteld in de uitoefening van rechterlijke taken. ( 22 )

87.

De verwijzende rechter heeft zijn vraag beperkt tot de toepasselijkheid van de AVG op het moment waarop het openbaar ministerie de informatie die het als „verwerkingsverantwoordelijke” in de zin van richtlijn 2016/680 heeft verzameld, probeert te gebruiken met het oog op zijn verdediging in de civiele procedure.

88.	Om de redenen die ik heb uiteengezet, ben ik van oordeel dat de AVG van toepassing is, aangezien de verdediging van het openbaar ministerie in een civiele procedure niet onder de in artikel 1, lid 1, van richtlijn 2016/680 omschreven doeleinden valt.

b) Rechtmatigheid van de verwerking in het licht van de AVG

89.

De voorwaarden waaronder een verwerking van persoonsgegevens rechtmatig is, zijn vermeld in artikel 6, lid 1, AVG: „[d]e verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan”, die vervolgens worden omschreven. Deze opsomming is uitputtend. ( 23 )

90.

Wat die voorwaarden betreft, is mijns inziens voldaan noch aan de voorwaarde van toestemming van de betrokkene [onder a)], noch aan die inzake de uitvoering van een overeenkomst [onder b)], noch aan die betreffende het vervullen van een wettelijke verplichting [onder c)] ( 24 ) en evenmin aan die inzake de bescherming van de vitale belangen van de betrokkene of een derde [onder d)].

91.

Volgens de verwijzende rechter is voldaan aan de voorwaarde van artikel 6, lid 1, onder f), AVG. Zoals de Commissie heeft aangevoerd, wordt die voorwaarde in de onderhavige zaak evenwel uitgesloten door de laatste alinea van lid 1, aangezien zij „niet [geldt] voor de verwerking door overheidsinstanties in het kader van de uitoefening van hun taken”. ( 25 )

92.

In haar antwoord op een vraag van het Hof heeft de Bulgaarse regering, die dienaangaande wordt gesteund door de Tsjechische en de Nederlandse regering, erop gewezen dat de in artikel 6, lid 1, onder f), AVG vermelde voorwaarde wel degelijk van toepassing is. Zij voert aan dat rekening moet worden gehouden met „de aard van de activiteit die wordt uitgeoefend door het openbaar ministerie”, dat weliswaar een overheidsinstantie is, maar „op gelijke voet” kan deelnemen aan civiele processen. ( 26 )

93.

Desalniettemin zijn de „gerechtvaardigde belangen” die het openbaar ministerie als overheidsinstantie verdedigt in een proces waarin het aansprakelijk wordt gesteld voor zijn procedurele handelingen uitgesloten van het in artikel 6, lid 1, onder f), AVG bedoelde geval, aangezien dit uitdrukkelijk zo is bepaald in de laatste alinea van dat lid.

94.

Voor autoriteiten die handelen in uitoefening van de hun bij wet opgedragen taken (in dit geval het verrichten van de strafvervolging en het vertegenwoordigen van de staat in vorderingen tot overheidsaansprakelijkheid), is het relevante belang voor de toepassing van artikel 6, lid 1, AVG het algemene belang dat zij dienen volgens letter e) van die bepaling.

95.

De onder f) bedoelde voorwaarde betreft de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen.

96.

Deze clausule heeft derhalve niet zozeer betrekking op de mogelijkheden van verweer van de overheidsinstantie – die onder letter e) kunnen vallen –, maar op de eventuele voorrang van de belangen, rechten en vrijheden van de betrokkene op die van de verwerkingsverantwoordelijke of van een derde. Zij is vooral van toepassing op conflicten tussen (particuliere) partijen, wier belangen niet van publieke aard zijn.

97.	Aangezien het openbaar ministerie per definitie in zijn hoedanigheid van staatsinstelling optreedt, moet worden geanalyseerd of de betwiste verwerking onder artikel 6, lid 1, onder e), AVG valt.

98.	Dat zou het geval zijn indien de verwerking „noodzakelijk [blijkt] voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen”.

99.

Ik zal ingaan op het eerste van die twee doeleinden, zonder dat het tweede hoeft te worden behandeld ( 27 ), om te bepalen of de interventie van het openbaar ministerie in de civiele procedure waarin een schadevergoeding wordt gevorderd wegens het gedrag van dat openbaar ministerie beantwoordt aan de vervulling van een taak van algemeen belang.

100.

Overeenkomstig het nationale recht ( 28 ) staat het aan het openbaar ministerie om de staat te vertegenwoordigen in processen inzake niet-contractuele aansprakelijkheid voor schade die de staat door vertraging heeft veroorzaakt. Daarmee treedt het openbaar ministerie op ter verdediging van de algemene (financiële) belangen van de staat en dus in de uitoefening van een taak van algemeen belang. ( 29 )

101.

In artikel 9, lid 1, van richtlijn 2016/680 wordt hergebruik ad extra van de in de dossiers vervatte gegevens onderworpen aan de voorwaarde dat de verwerking ervan krachtens het Unierecht of het lidstatelijke recht is toegestaan. In casu staat het aan de verwijzende rechter om na te gaan of dat het geval is, gelet op de uitoefening van de aan het openbaar ministerie toegewezen taak van algemeen belang om het vermogen van de staat te beschermen.

102.

Volgens artikel 6, lid 3, AVG kan de rechtsgrond van de in lid 1, onder e), bedoelde verwerking „specifieke bepalingen bevatten om de toepassing van de regels van [de AVG] aan te passen”. ( 30 ) Indien een dergelijke rechtsgrond is vastgesteld in het op de verwerkingsverantwoordelijke van toepassing zijnde recht van de lidstaat, staat het aan de nationale rechter om deze te bepalen. ( 31 )

103.

Tot slot geldt dat ook indien de verwijzende rechter de relevante rechtsgrond niet vaststelt, de verenigbaarheid van de betwiste verwerking met het doel waarvoor de betwiste gegevens werden verzameld, moet worden bepaald overeenkomstig artikel 6, lid 4, AVG. Daartoe moet onder meer rekening worden gehouden met een eventueel verband tussen de oorspronkelijke doeleinden en het nieuwe doel, de context waarin de persoonsgegevens werden verzameld en de aard van die gegevens, de mogelijke gevolgen van de nieuwe verwerking voor de betrokkene en het bestaan van passende waarborgen.

V. Conclusie

104.

Gelet op een en ander geef ik het Hof in overweging om de vragen van de Administrativen sad – Blagoevgrad te beantwoorden als volgt:

„1)

Artikel 4, lid 2, van richtlijn (EU) 2016/680 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, en betreffende het vrije verkeer van die gegevens en tot intrekking van kaderbesluit 2008/977/JBZ van de Raad, moet aldus worden uitgelegd dat gegevens die in een strafprocedure zijn verzameld met betrekking tot een persoon in zijn hoedanigheid van vermeend slachtoffer van een strafbaar feit, voor hetzelfde doel worden verwerkt als het doel dat het verzamelen ervan rechtvaardigde wanneer die persoon later in dezelfde procedure als verdachte wordt aangemerkt.

Artikel 9, lid 1, van richtlijn 2016/680 moet aldus worden uitgelegd dat verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG, van toepassing is op de situatie waarin het openbaar ministerie informatie die is verkregen in het kader van een strafrechtelijk onderzoek gebruikt ten behoeve van zijn verdediging in een civiele procedure.

Wanneer persoonsgegevens die zijn verzameld in het kader van een strafrechtelijk onderzoek, na registratie, bewaring en raadpleging ervan worden doorgegeven met het oog op de verdediging van het openbaar ministerie in een civiele procedure waarin van dit laatste een vergoeding wordt gevorderd voor de schade die ten gevolge van zijn handelingen in de uitoefening van zijn taken is veroorzaakt, is er sprake van een ‚verwerking van persoonsgegevens’ in de zin van artikel 4, punt 1, van verordening 2016/679.

4)	Een dergelijke verwerking kan in beginsel als rechtmatig worden beschouwd op grond van artikel 6, lid 1, onder e), van verordening 2016/679.”

( 1 ) Oorspronkelijke taal: Spaans.

( 2 ) Verordening van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB 2016, L 119, blz. 1, met rectificatie in PB 2021, L 74, blz. 35; hierna: „AVG”).

( 3 ) Richtlijn van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, en betreffende het vrije verkeer van die gegevens en tot intrekking van kaderbesluit 2008/977/JBZ van de Raad (PB 2016, L 119, blz. 89).

( 4 ) DV nr. 56 van 13 juli 1991.

( 5 ) Wet inzake gegevensbescherming, DV nr. 1 van 4 januari 2002. De bepalingen van deze wet worden getranscribeerd overeenkomstig de ten tijde van de betwiste feiten geldende versie.

( 6 ) Dossier nr. 1548/2013 van de RP-Petrich.

( 7 ) Volgens de verwijzingsbeslissing (punt 8.1) betrof het een strafbaar feit als bedoeld in artikel 325, lid 1, gelezen in samenhang met artikel 20, lid 2, van de Nakazatelen kodeks (wetboek van strafrecht).

( 8 ) Dossiers nr. 517/2016, nr. 1870/2016, nr. 1872/2016 en nr. 2217/2016.

( 9 ) Civiele procedure nr. 144/2018.

( 10 ) Overweging 39 AVG en overweging 26 van richtlijn 2016/680.

( 11 ) Cursivering van mij.

( 12 ) Deze doeleinden zijn opgesomd in artikel 1, lid 1, van richtlijn 2016/680 (zie voetnoot 15 hieronder). Buiten de specifieke werkingssfeer van richtlijn 2016/680 zijn de bij de AVG toegestane doeleinden alle potentieel rechtmatig. Er geldt dus een vrijheidsbeginsel, waarvan de beperking wordt getoetst op basis van de rechtmatigheid van de voorwaarden voor gegevensverwerking en de rechten van de betrokkene (hoofdstukken II en III AVG).

( 13 ) Overeenkomstig artikel 45, lid 2, van richtlijn 2016/680 „schrijft [elke lidstaat] voor dat elke toezichthoudende autoriteit niet bevoegd is voor het toezicht op verwerkingen door gerechten in het kader van hun rechterlijke taken”.

( 14 ) Hoewel dit niet uitdrukkelijk is vermeld in de door de verwijzende rechter verstrekte informatie, lijkt alles erop te wijzen dat het wel degelijk om andere feiten gaat.

( 15 ) Volgens artikel 1, lid 1, van richtlijn 2016/680 zijn deze doeleinden „de voorkoming, het onderzoek, de opsporing of de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid”. De Spaanse versie van deze bepaling wijkt af van de andere officiële taalversies wat de term „enjuiciamiento” betreft. Zo wordt in de Franse versie het substantief „poursuites” gebruikt, dat equivalent is aan „prosecution” in de Engelse versie, „perseguimento” in de Italiaanse versie, „Verfolgung” in de Duitse versie en „vervolging” in de Nederlandse versie. Deze en andere versies (met uitzondering van de Spaanse) verwijzen naar een activiteit die voorafgaat aan de eigenlijke „enjuiciamiento” („berechting”), die uitsluitend is voorbehouden aan de rechterlijke instanties.

( 16 ) „Het is inherent aan de verwerking van persoonsgegevens op het gebied van justitiële samenwerking in strafzaken en politiële samenwerking dat persoonsgegevens betreffende verschillende categorieën van betrokkenen worden verwerkt. Daarom moet in voorkomend geval en zoveel mogelijk een onderscheid worden gemaakt tussen persoonsgegevens betreffende verschillende categorieën van betrokkenen […].” Cursivering van mij.

( 17 ) Arrest van 27 september 2017, Puškár (C‑73/16, EU:C:2017:725, punt 50).

( 18 ) Arrest van 17 juli 2014, YS e.a. (C‑141/12 en C‑372/12, EU:C:2014:2081, punt 63).

( 19 ) Derde alinea van punt 34.12 van de verwijzingsbeslissing.

( 20 ) Dat bevestigt hij in de eerste alinea van punt 34.12 van de verwijzingsbeslissing.

( 21 ) Het verzoek om de gegevens in de dossiers van het openbaar ministerie toe te laten als bewijs, vergt een doorgifte van de persoonsgegevens van VS, aangezien het verzoek gerechtvaardigd moest worden door de relevantie van die gegevens, die, al was het louter indicatief, slechts uit de inhoud van de gegevens kon blijken.

( 22 ) Zie over de uitlegging van deze bepaling arrest van 24 maart 2022, Autoriteit Persoonsgegevens (C‑245/20, EU:C:2022:216, punten 23 e.v.).

( 23 ) Zie, in verband met de analoge tekst in richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PB 1995, L 281, blz. 31), het arrest van 24 november 2011, ASNEF (C‑468/10 en C‑469/10, EU:C:2011:777).

( 24 ) Het openbaar ministerie is niet wettelijk verplicht om te verzoeken om opname van de betwiste gegevens in de civiele procedure.

( 25 ) Overweging 47 AVG luidt dat „[a]angezien het aan de wetgever staat om de rechtsgrond voor persoonsgegevensverwerking door overheidsinstanties te creëren, […] die rechtsgrond niet van toepassing [mag] zijn op de verwerking door overheidsinstanties in het kader van de uitvoering van hun taken”.

( 26 ) Punten 45 en 49 van de memorie van antwoord van de Bulgaarse regering op een vraag van het Hof.

( 27 ) Zoals de Nederlandse regering aangeeft, vormt de verdediging van de belangen van de staat in een civiele procedure als dusdanig en op zichzelf geen uitoefening van openbaar gezag als bedoeld in het tweede deel van artikel 6, lid 1, onder e), AVG.

( 28 ) Zakon za otgovornostta na darzhavata i obshtinite za vredi (wet betreffende de aansprakelijkheid van de staat en de gemeenten voor schade; DV nr. 60 van 5 augustus 1988). In haar antwoord op een vraag van het Hof heeft de Bulgaarse regering verduidelijkt dat de rechtsgrond op basis waarvan het openbaar ministerie werd aangeklaagd bij de civiele rechter artikel 2b van die wet is, waarin de vereisten en voorwaarden zijn geregeld voor het ontstaan van de niet-contractuele aansprakelijkheid van de staat bij schendingen van het recht om binnen een redelijke termijn te worden berecht.

( 29 ) Volgens de Bulgaarse wettelijke bepalingen moeten aansprakelijkheidsvorderingen worden gericht tegen de autoriteiten die verantwoordelijk worden geacht voor de schade. Die autoriteiten zijn de verwerende partij in de overeenkomstige civiele procedure. Los van deze procesrechtelijke inrichting staat vast dat de schadevordering uiteindelijk gericht is tegen de staat in zijn geheel, die in elke zaak wordt verdedigd door het staatsorgaan dat rechtstreeks aan de oorsprong ligt van de (vermeende) aangevoerde schade.

( 30 ) Deze bepalingen kunnen betrekking hebben op „de algemene voorwaarden inzake de rechtmatigheid van verwerking door de verwerkingsverantwoordelijke; de types verwerkte gegevens; de betrokkenen; de entiteiten waaraan en de doeleinden waarvoor de persoonsgegevens mogen worden verstrekt; de doelbinding; de opslagperioden, en de verwerkingsactiviteiten en -procedures, waaronder maatregelen om te zorgen voor een rechtmatige en behoorlijke verwerking, zoals die voor andere specifieke verwerkingssituaties als bedoeld in hoofdstuk IX”.

( 31 ) In haar antwoord op een vraag van het Hof heeft de Bulgaarse regering aangevoerd dat de rechtsgrond moet worden gezocht in de context van de dubbele rol van het openbaar ministerie: verdediger van de staat in de civiele procedure, enerzijds, en uitgevende instelling van een officieel document dat van juridisch belang is voor het geding, anderzijds. Er zou derhalve een dubbele rechtsgrond zijn: artikel 6, lid 1, onder c), AVG, als „uitgevende instelling van een officieel document” in de zin van artikel 179 van het wetboek van burgerlijke rechtsvordering, gelezen in samenhang met artikel 186 daarvan, en artikel 6, lid 1, onder e), AVG, als partij in het geding in de uitoefening van zijn wettelijke verplichtingen (punten 31 en 32 van de memorie van antwoord van de Bulgaarse regering).