Voorlopige editie
ARREST VAN HET HOF (Vijfde kamer)
4 juni 2026 (*)
„ Prejudiciële verwijzing – Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens in strafzaken – Verordening (EU) 2016/679 – Richtlijn (EU) 2016/680 – Toepassingsgebieden – Verwerking van gegevens die zijn verzameld in het kader van een onderzoek tegen een politieagent als verdachte van een strafbaar feit – Registratie van de gegevens van dit onderzoek in het personeelsdossier van de politieagent – Rechtmatigheid van de verwerking – Artikel 6, lid 1, eerste alinea, onder c), en artikel 6, lid 3, van die verordening – Verwerking die noodzakelijk is om te voldoen aan een wettelijke verplichting – Rechtsgrond voor de verwerking – Artikel 17 van die verordening – Recht op gegevenswissing ”
In zaak C‑312/24 [Darashev] (i),
betreffende een verzoek om een prejudiciële beslissing krachtens artikel 267 VWEU, ingediend door de Sofiyski rayonen sad (rechter in eerste aanleg Sofia, Bulgarije) bij beslissing van 30 januari 2024, ingekomen bij het Hof op 29 april 2024, in de procedure
CL
tegen
Prokuratura na Republika Bulgaria,
wijst
HET HOF (Vijfde kamer),
samengesteld als volgt: M. L. Arastey Sahún, kamerpresident, J. Passer, E. Regan (rapporteur), D. Gratsias en B. Smulders, rechters,
advocaat-generaal: M. Szpunar,
griffier: R. Stefanova-Kamisheva, administrateur,
gezien de stukken en na de terechtzitting op 21 mei 2025,
gelet op de opmerkingen van:
– de Bulgaarse regering, vertegenwoordigd door T. Mitova, S. Ruseva en R. Stoyanov als gemachtigden,
– de Hongaarse regering, vertegenwoordigd door Zs. Biró-Tóth en M. Z. Fehér als gemachtigden,
– de Europese Commissie, vertegenwoordigd door A. Bouchagiar, G. Koleva en H. Kranenborg als gemachtigden,
gehoord de conclusie van de advocaat-generaal ter terechtzitting van 4 september 2025,
het navolgende
Arrest
1 Het verzoek om een prejudiciële beslissing betreft de uitlegging van artikel 1 van richtlijn 2000/78/EG van de Raad van 27 november 2000 tot instelling van een algemeen kader voor gelijke behandeling in arbeid en beroep (PB 2000, L 303, blz. 16), artikel 2, lid 1, artikel 4, punten 2 en 6, artikel 9, lid 2, onder b), en artikel 17, lid 1, onder a) en d), van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB 2016, L 119, blz. 1, met rectificatie in PB 2021, L 74, blz. 35; hierna: „AVG”), artikel 3, punten 1 en 2, artikel 9, lid 1, en artikel 16, lid 2, van richtlijn (EU) 2016/680 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, en betreffende het vrije verkeer van die gegevens en tot intrekking van kaderbesluit 2008/977/JBZ van de Raad (PB 2016, L 119, blz. 89), alsmede artikel 52 van het Handvest van de grondrechten van de Europese Unie (hierna: „Handvest”).
2 Dit verzoek is ingediend in het kader van een geding tussen CL en de Prokuratura na Republika Bulgaria (parket van de Republiek Bulgarije; hierna: „parket”) betreffende een door CL gevorderde vergoeding voor de schade die hij stelt te hebben geleden wegens de tegen hem genomen onderzoeksmaatregelen in het kader van een strafrechtelijk onderzoek dat tegen hem is ingesteld en de daaruit voortvloeiende gevolgen.
Toepasselijke bepalingen
Unierecht
Richtlijn 2000/78
3 Artikel 1 („Doel”) van richtlijn 2000/78 luidt als volgt:
„Deze richtlijn heeft tot doel met betrekking tot arbeid en beroep een algemeen kader te creëren voor de bestrijding van discriminatie op grond van godsdienst of overtuiging, handicap, leeftijd of seksuele geaardheid zodat in de lidstaten het beginsel van gelijke behandeling toegepast kan worden.”
AVG
4 In de overwegingen 4, 10, 19, 39, 41, 65 en 66 AVG staat te lezen:
„(4) [...] Deze verordening eerbiedigt alle grondrechten alsook de vrijheden en beginselen die zijn erkend in het Handvest zoals dat in de Verdragen is verankerd, met name de eerbiediging van het privéleven en het familie- en gezinsleven, [...].
[...]
(10) Teneinde natuurlijke personen een consistent en hoog beschermingsniveau te bieden en de belemmeringen voor het verkeer van persoonsgegevens binnen de [Europese] Unie op te heffen, dient het niveau van bescherming van de rechten en vrijheden van natuurlijke personen op het vlak van verwerking van deze gegevens in alle lidstaten gelijkwaardig te zijn. Er moet gezorgd worden voor een in de gehele Unie coherente en homogene toepassing van de regels inzake bescherming van de grondrechten en de fundamentele vrijheden van natuurlijke personen in verband met de verwerking van persoonsgegevens. [...]
[...]
(19) [...]
Aangaande de verwerking van persoonsgegevens door die bevoegde instanties voor doeleinden die binnen het toepassingsgebied van deze verordening vallen, moeten de lidstaten meer specifieke bepalingen kunnen handhaven of invoeren om de toepassing van de regels van deze verordening aan te passen. In die bepalingen kunnen meer bepaald specifieke voorschriften voor de verwerking van persoonsgegevens door die bevoegde instanties voor de genoemde andere doeleinden worden vastgesteld, rekening houdend met de grondwettelijke, organisatorische en bestuurlijke structuur van de lidstaat in kwestie. [...]
[...]
(39) [...] De persoonsgegevens dienen toereikend en ter zake dienend te zijn en beperkt te blijven tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt. Dit vereist met name dat ervoor wordt gezorgd dat de opslagperiode van de persoonsgegevens tot een strikt minimum wordt beperkt. Persoonsgegevens mogen alleen worden verwerkt indien het doel van de verwerking niet redelijkerwijs op een andere wijze kan worden verwezenlijkt. [...]
[...]
(41) Wanneer in deze verordening naar een rechtsgrond of een wetgevingsmaatregel wordt verwezen, vereist dit niet noodzakelijkerwijs dat een door een parlement vastgestelde wetgevingshandeling nodig is, onverminderd de vereisten overeenkomstig de grondwettelijke orde van de lidstaat in kwestie. Deze rechtsgrond of wetgevingsmaatregel moet evenwel duidelijk en nauwkeurig zijn, en de toepassing daarvan moet voorspelbaar zijn voor degenen op wie deze van toepassing is, zoals vereist door de rechtspraak van het Hof van Justitie van de Europese Unie [...] en het Europees Hof voor de Rechten van de Mens [(EHRM)].
[...]
(65) Een betrokkene moet het recht hebben om hem betreffende persoonsgegevens te laten rectificeren en dient te beschikken over een ‚recht op vergetelheid’ wanneer de bewaring van dergelijke gegevens inbreuk maakt op deze verordening die of op Unierecht of het lidstatelijke recht dat op de verwerkingsverantwoordelijke van toepassing is. Meer bepaald moeten betrokkenen het recht hebben hun persoonsgegevens te laten wissen en niet verder te laten verwerken wanneer de persoonsgegevens niet langer noodzakelijk zijn voor de doeleinden waarvoor zij zijn verzameld of anderszins verwerkt, wanneer de betrokkenen [...] bezwaar maken tegen de verwerking van hun persoonsgegevens, of wanneer de verwerking van hun persoonsgegevens op een ander punt niet met deze verordening in overeenstemming is. [...] Het dient echter rechtmatig te zijn persoonsgegevens langer te bewaren wanneer dat noodzakelijk is voor de [...] nakoming van een wettelijke verplichting, voor de uitvoering van een taak in het algemeen belang of in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is verleend, [...].
(66) Ter versterking van het recht op vergetelheid in de onlineomgeving, dient het recht op wissing te worden uitgebreid door de verwerkingsverantwoordelijke die persoonsgegevens openbaar heeft gemaakt te verplichten de verwerkingsverantwoordelijken die deze persoonsgegevens verwerken, ervan op de hoogte te stellen dat de betrokkene heeft verzocht om het wissen van links naar, of kopieën of reproducties van die persoonsgegevens. [...]”
5 Artikel 1 („Onderwerp en doelstellingen”) AVG bepaalt in lid 2:
„Deze verordening beschermt de grondrechten en de fundamentele vrijheden van natuurlijke personen en met name hun recht op bescherming van persoonsgegevens.”
6 Artikel 2 („Materieel toepassingsgebied”) AVG bepaalt:
„1. Deze verordening is van toepassing op de geheel of gedeeltelijk geautomatiseerde verwerking van persoonsgegevens, alsmede op de verwerking van persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen.
2. Deze verordening is niet van toepassing op de verwerking van persoonsgegevens:
[...]
d) door de bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid.
[...]”
7 Artikel 4 („Definities”) AVG luidt als volgt:
„Voor de toepassing van deze verordening wordt verstaan onder:
1) ,persoonsgegevens’: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon [...]; als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon;
2) ‚verwerking’: een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens;
[...]
6) ‚bestand’: elk gestructureerd geheel van persoonsgegevens die volgens bepaalde criteria toegankelijk zijn, ongeacht of dit geheel gecentraliseerd of gedecentraliseerd is dan wel op functionele of geografische gronden is verspreid;
[...]”
8 Artikel 5 („Beginselen inzake verwerking van persoonsgegevens”) AVG bepaalt in lid 1:
„Persoonsgegevens moeten:
a) worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is (‚rechtmatigheid, behoorlijkheid en transparantie’);
[...]
e) worden bewaard in een vorm die het mogelijk maakt de betrokkenen niet langer te identificeren dan voor de doeleinden waarvoor de persoonsgegevens worden verwerkt noodzakelijk is; persoonsgegevens mogen voor langere perioden worden opgeslagen voor zover de persoonsgegevens louter met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden worden verwerkt overeenkomstig artikel 89, lid 1, mits de bij deze verordening vereiste passende technische en organisatorische maatregelen worden getroffen om de rechten en vrijheden van de betrokkene te beschermen (‚opslagbeperking’);
[...]”
9 In artikel 6 („Rechtmatigheid van de verwerking”) AVG is bepaald:
„1. De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan:
[...]
c) de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust;
[...]
3. De rechtsgrond voor de in lid 1, punten c) en e), bedoelde verwerking moet worden vastgesteld bij:
a) Unierecht; of
b) lidstatelijk recht dat op de verwerkingsverantwoordelijke van toepassing is.
Het doel van de verwerking wordt in die rechtsgrond vastgesteld of is met betrekking tot de in lid 1, punt e), bedoelde verwerking noodzakelijk voor de vervulling van een taak van algemeen belang of voor de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is verleend. Die rechtsgrond kan specifieke bepalingen bevatten om de toepassing van de regels van deze verordening aan te passen, met inbegrip van de algemene voorwaarden inzake de rechtmatigheid van verwerking door de verwerkingsverantwoordelijke; de types verwerkte gegevens; de betrokkenen; de entiteiten waaraan en de doeleinden waarvoor de persoonsgegevens mogen worden verstrekt; de doelbinding; de opslagperioden; en de verwerkingsactiviteiten en -procedures, waaronder maatregelen om te zorgen voor een rechtmatige en behoorlijke verwerking, zoals die voor andere specifieke verwerkingssituaties als bedoeld in hoofdstuk IX. Het Unierecht of het lidstatelijke recht moet beantwoorden aan een doelstelling van algemeen belang en moet evenredig zijn met het nagestreefde gerechtvaardigde doel.
[...]”
10 In artikel 9 („Verwerking van bijzondere categorieën van persoonsgegevens”) AVG staat te lezen:
„1. Verwerking van persoonsgegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, of het lidmaatschap van een vakbond blijken, en verwerking van genetische gegevens, biometrische gegevens met het oog op de unieke identificatie van een persoon, of gegevens over gezondheid, of gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid zijn verboden.
2. Lid 1 is niet van toepassing wanneer aan een van de onderstaande voorwaarden is voldaan:
[...]
b) de verwerking is noodzakelijk met het oog op de uitvoering van verplichtingen en de uitoefening van specifieke rechten van de verwerkingsverantwoordelijke of de betrokkene op het gebied van het arbeidsrecht en het socialezekerheids- en socialebeschermingsrecht, voor zover zulks is toegestaan bij Unierecht of lidstatelijk recht of bij een collectieve overeenkomst op grond van lidstatelijk recht die passende waarborgen voor de grondrechten en de fundamentele belangen van de betrokkene biedt;
[...]”
11 In artikel 10 („Verwerking van persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten”) AVG is bepaald:
„Persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten of daarmee verband houdende veiligheidsmaatregelen mogen op grond van artikel 6, lid 1, alleen worden verwerkt onder toezicht van de overheid of indien de verwerking is toegestaan bij Unierechtelijke of lidstaatrechtelijke bepalingen die passende waarborgen voor de rechten en vrijheden van de betrokkenen bieden. [...]”
12 Artikel 17 [„Recht op gegevenswissing (‚recht op vergetelheid’)”] AVG bepaalt:
„1. De betrokkene heeft het recht van de verwerkingsverantwoordelijke zonder onredelijke vertraging wissing van hem betreffende persoonsgegevens te verkrijgen en de verwerkingsverantwoordelijke is verplicht persoonsgegevens zonder onredelijke vertraging te wissen wanneer een van de volgende gevallen van toepassing is:
a) de persoonsgegevens zijn niet langer nodig voor de doeleinden waarvoor zij zijn verzameld of anderszins verwerkt;
[...]
d) de persoonsgegevens zijn onrechtmatig verwerkt;
[...]
3. De leden 1 en 2 zijn niet van toepassing voor zover verwerking nodig is:
[...]
b) voor het nakomen van een in het Unierecht of het lidstatelijke recht neergelegde wettelijke verwerkingsverplichting die op de verwerkingsverantwoordelijke rust, of voor het vervullen van een taak van algemeen belang of het uitoefenen van het openbaar gezag dat aan de verwerkingsverantwoordelijke is verleend;
[...]”
Richtlijn 2016/680
13 De overwegingen 11 en 12 van richtlijn 2016/680 luiden:
„(11) Derhalve is het aangewezen dat die gebieden worden behandeld in een richtlijn waarin specifieke regels worden vastgesteld betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing of de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid, daarbij rekening houdend met de specifieke aard van die activiteiten. Die bevoegde autoriteiten kunnen niet alleen overheidsinstanties zoals de rechterlijke autoriteiten, de politie of andere rechtshandhavingsautoriteiten omvatten, maar ook ieder ander orgaan dat of iedere andere entiteit die krachtens het lidstatelijke recht is gemachtigd openbaar gezag en openbare bevoegdheden uit te oefenen voor de doeleinden van deze richtlijn. Wanneer dat orgaan of die entiteit persoonsgegevens verwerkt voor andere doeleinden dan die van deze richtlijn, is [de AVG] van toepassing. [De AVG] is dan ook van toepassing in gevallen waarin een orgaan of entiteit persoonsgegevens verzamelt voor andere doeleinden en die persoonsgegevens verder verwerkt met het oog op nakoming van een wettelijke verplichting waaraan het orgaan of de entiteit is onderworpen. [...]
(12) De door de politie of andere rechtshandhavingsautoriteiten verrichte activiteiten zijn hoofdzakelijk gericht op de voorkoming, het onderzoek, de opsporing of de vervolging van strafbare feiten, met inbegrip van politieactiviteiten waarbij vooraf niet bekend is of een voorval al dan niet een strafbaar feit is. [...] Zij omvatten ook de rechts- en ordehandhaving als een, zo nodig, aan de politie of andere rechtshandhavingsautoriteiten toevertrouwde taak ter bescherming tegen en voorkoming van gevaren voor de openbare veiligheid en voor bij wet beschermde fundamentele belangen van de samenleving, die tot strafbare feiten kunnen leiden. [...]”
14 Artikel 1 („Onderwerp en doelstellingen”) van deze richtlijn bepaalt in lid 1:
„Bij deze richtlijn worden de regels vastgesteld betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing of de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid.”
15 Artikel 2 („Toepassingsgebied”) van die richtlijn bepaalt in lid 1:
„Deze richtlijn is van toepassing op de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de doeleinden van artikel 1, lid 1.”
16 Artikel 3 („Definities”) van die richtlijn luidt als volgt:
„Voor de toepassing van deze richtlijn wordt verstaan onder:
1. ,persoonsgegevens’: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon [...]; als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificatiemiddel zoals een naam, een identificatienummer, locatiegegevens, een online identificatiemiddel of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon;
2. ‚verwerking’: een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, bekendmaking door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens;
[...]
7. ‚bevoegde autoriteit’:
a) iedere overheidsinstantie die bevoegd is voor de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid; [...]
[...]
8. ‚verwerkingsverantwoordelijke’: de bevoegde autoriteit die, alleen of samen met andere, de doeleinden van en de middelen voor de verwerking van persoonsgegevens vaststelt; wanneer de doeleinden van en de middelen voor die verwerking in het Unierecht of het lidstatelijke recht worden vastgesteld, kan daarin worden bepaald wie de verwerkingsverantwoordelijke is of volgens welke criteria deze wordt aangewezen;
[...]”
17 Artikel 9 („Specifieke verwerkingsvoorwaarden”) van richtlijn 2016/680 bepaalt:
„1. Persoonsgegevens die door bevoegde autoriteiten voor de in artikel 1, lid 1 omschreven doeleinden worden verzameld, worden niet verwerkt voor andere doeleinden, tenzij die verwerking krachtens het Unierecht of het lidstatelijke recht is toegestaan. Wanneer persoonsgegevens voor zulke andere doeleinden worden verwerkt, is [de AVG] van toepassing, tenzij de verwerking geschiedt in het kader van een activiteit die buiten de werkingssfeer van het Unierecht valt.
2. Wanneer aan bevoegde autoriteiten krachtens het lidstatelijke recht andere taken dan die ter verwezenlijking van de in artikel 1, lid 1, omschreven doeleinden worden toevertrouwd, is [de AVG] van toepassing op verwerking voor die doeleinden, waaronder archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden, tenzij de verwerking geschiedt in het kader van een activiteit die buiten de werkingssfeer van het Unierecht valt.
[...]”
18 Artikel 10 van deze richtlijn bepaalt de voorwaarden met betrekking tot de verwerking van bijzondere categorieën van persoonsgegevens.
19 Artikel 16 van die richtlijn („Recht op rectificatie of wissing van persoonsgegevens en verwerkingsbeperking”) bepaalt in lid 2:
„De lidstaten schrijven voor dat de verwerkingsverantwoordelijke de persoonsgegevens zonder onnodige vertraging wist, en voorzien in het recht voor de betrokkene om van de verwerkingsverantwoordelijke zonder onnodige vertraging wissing van hem betreffende persoonsgegevens te verkrijgen wanneer verwerking indruist tegen artikel 4, 8 of 10 of wanneer de persoonsgegevens moeten worden gewist om te voldoen aan een op de verwerkingsverantwoordelijke rustende wettelijke verplichting.”
Bulgaars recht
20 De zakon za otgovornostta na darzhavata i obshtinite za vredi (wet betreffende de aansprakelijkheid van de staat en de gemeenten voor schade) (DV nr. 60 van 5 augustus 1988), in de op het hoofdgeding toepasselijke versie, bepaalt in artikel 2, lid 1, punten 2 en 3:
„De staat is aansprakelijk voor schade die aan burgers wordt toegebracht door de onderzoeksdiensten, het openbaar ministerie of de rechter in het geval van: [...] 2. schending van de door artikel 5, leden 2 tot en met 4, van het Verdrag beschermde rechten; 3. beschuldiging van het plegen van een strafbaar feit, indien de persoon wordt vrijgesproken of de strafprocedure is beëindigd omdat de handeling niet door de betrokkene is gepleegd of omdat de gepleegde handeling geen strafbaar feit vormt, of omdat de strafprocedure is ingeleid na verjaring of amnestie; [...]”
21 De zakon za ministerstvoto na vatreshnite raboti (wet op het ministerie van Binnenlandse Zaken) (DV nr. 53 van 27 juni 2014), in de op het hoofdgeding toepasselijke versie (hierna: „ZMVR”), bepaalt in artikel 2, lid 1:
„De activiteiten van het ministerie van Binnenlandse Zaken zijn gericht op de bescherming van de rechten en vrijheden van de burgers, de bestrijding van criminaliteit, de bescherming van de nationale veiligheid, de handhaving van de openbare orde, brandbeveiliging en de bescherming van de bevolking.”
22 Artikel 26, lid 2, ZMVR luidt als volgt:
„De termijnen voor opslag van de in lid 1 bedoelde gegevens of voor de periodieke evaluatie van de noodzaak van de opslag worden vastgesteld door de minister van Binnenlandse Zaken. Die gegevens worden ook gewist ter uitvoering van een vonnis of een besluit van het comité voor de bescherming [van persoonsgegevens] [(hierna: ‚comité’)].”
23 Artikel 29, leden 1 en 2, ZMVR bepaalt:
„(1) De verantwoordelijke voor de verwerking van persoonsgegevens is de minister van Binnenlandse Zaken, die de verwerking van persoonsgegevens kan toevertrouwen aan door hem aangewezen ambtenaren. (2) De specifieke voorwaarden van de gegevensverwerking worden vastgesteld bij instructie van de minister van Binnenlandse Zaken.”
24 In artikel 147 ZMVR is bepaald:
„(1) Voor elke ambtenaar van het ministerie van Binnenlandse Zaken wordt een personeelsdossier opgesteld en bijgehouden. (2) De voorwaarden voor het opstellen, het beheer en de bewaring van de personeelsdossiers alsook de voorwaarden voor het gebruik ervan worden vastgesteld bij instructie van de minister van Binnenlandse Zaken.”
25 Artikel 150 ZMVR luidt als volgt:
„(1) De minister van Binnenlandse Zaken stelt een gedragscode op voor ambtenaren van het ministerie van Binnenlandse Zaken, die in de Darzhaven vestnik [(publicatieblad)] wordt bekendgemaakt. (2) De ambtenaren moeten zich houden aan de regels die zijn vastgesteld in de gedragscode voor ambtenaren van het ministerie van Binnenlandse Zaken.”
26 Artikel 155, leden 1 en 4, ZMVR bepaalt:
„(1) Een ambtenaar van het ministerie van Binnenlandse Zaken is een handelingsbekwame natuurlijke persoon die aan de volgende voorwaarden voldoet: [...] 2. niet veroordeeld zijn geweest voor een opzettelijk gepleegd strafbaar feit van gemeen recht, ook al is die persoon in zijn rechten hersteld; 3. niet in staat van beschuldiging zijn gesteld of niet zijn vervolgd voor een opzettelijk gepleegd strafbaar feit van gemeen recht; [...]
[...]
(4) De in lid 1, punt 2, bedoelde omstandigheden worden ambtshalve door het tot aanstelling bevoegde gezag vastgesteld.”
27 De zakon za zashtita na lichnite danni (wet op de bescherming van persoonsgegevens) (DV nr. 1 van 4 januari 2002), in de op het hoofdgeding toepasselijke versie (hierna: „ZZLD”), bepaalt in artikel 6, leden 1 en 2:
„(1) Het [comité] [...] is een onafhankelijke en permanente toezichthoudende autoriteit die de bescherming van personen bij de verwerking van en de toegang tot hun persoonsgegevens en het toezicht op de naleving van [de AVG] en de onderhavige wet waarborgt. (2) Het comité draagt bij tot de uitvoering van het overheidsbeleid inzake de bescherming van persoonsgegevens.”
28 Artikel 42 ZZLD luidt als volgt:
„(1) De regels van dit hoofdstuk zijn van toepassing op de verwerking van persoonsgegevens door de bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing of de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare orde en de openbare veiligheid. (2) Persoonsgegevens die voor de in lid 1 omschreven doeleinden worden verzameld, worden niet verwerkt voor andere doeleinden, tenzij anders bepaald in het Unierecht of het recht van de Republiek Bulgarije. (3) Wanneer de in lid 1 bedoelde bevoegde autoriteiten persoonsgegevens verwerken voor andere dan de in lid 1 omschreven doeleinden en in de in lid 2 bedoelde gevallen, zijn de [AVG] en de relevante bepalingen van de onderhavige wet ter uitvoering van die verordening van toepassing. (4) De in lid 1 bedoelde bevoegde autoriteiten zijn de overheidsorganen die belast zijn met de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid. (5) Voor zover de wet niet anders bepaalt, is een verwerkingsverantwoordelijke in de zin van dit hoofdstuk bij de verwerking van persoonsgegevens voor de in lid 1 omschreven doeleinden een bevoegde autoriteit in de zin van lid 4 of het bestuursorgaan waarvan die autoriteit deel uitmaakt en die, alleen of samen met andere autoriteiten, de doeleinden van en de middelen voor de verwerking van persoonsgegevens vaststelt.”
29 Artikel 43 ZZLD bepaalt:
„De bepalingen van het onderhavige hoofdstuk zijn van toepassing op de geheel of gedeeltelijk geautomatiseerde verwerking van persoonsgegevens, alsmede op de verwerking van persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen.”
30 Artikel 46 ZZLD luidt als volgt:
„(1) Wanneer de termijnen voor het wissen van persoonsgegevens of voor de periodieke evaluatie van de noodzaak van de opslag niet bij wet zijn vastgesteld, worden deze termijnen vastgesteld door de verwerkingsverantwoordelijke. (2) De in lid 1 bedoelde periodieke evaluatie wordt gedocumenteerd en het besluit om de gegevens verder op te slaan wordt met redenen omkleed.”
31 Instructie nr. 8121z-532 van 9 september 2014 betreffende het opmaken, het bijhouden, de opslag en het gebruik van de personeelsdossiers van de ambtenaren van het ministerie van Binnenlandse Zaken (DV nr. 78 van 19 september 2014, zoals gewijzigd en aangevuld bij DV nr. 27 van 14 april 2015, zoals gewijzigd en aangevuld bij DV nr. 53 van 25 juni 2021) (hierna: „instructie betreffende de personeelsdossiers”) bepaalt in artikel 3:
„De personeelsdossiers worden samengesteld en bewaard door de eenheid ‚personeelszaken’ van de desbetreffende structuren, genummerd in oplopende volgorde, beschreven in een logboek [...] en opgeslagen in ruimten (registers) die voldoen aan de eisen voor het opslaan van materiaal dat gerubriceerde gegevens bevat.”
32 In artikel 5 van de instructie betreffende de personeelsdossiers is bepaald:
„(1) De verwerking van persoonsgegevens in de personeelsdossiers geschiedt overeenkomstig de bepalingen van de zakon za zashtita na klasifitsiranata informatsia [...] [(wet inzake de bescherming van gerubriceerde informatie)], de [ZZLD] en de [AVG]. (2) De in de personeelsdossiers opgeslagen informatie wordt verwerkt met het oog op: 1. de aanvang, de wijziging en de beëindiging van het arbeids- of dienstverband van de ambtenaren; 2. de uitvoering van de arbeidsovereenkomst, met inbegrip van de nakoming van verplichtingen die zijn vastgelegd bij wet of in collectieve arbeidsovereenkomsten, het beheer, de planning en de organisatie van het werk, gelijkheid en diversiteit op de werkplek, gezondheid en veiligheid op het werk, en de bescherming van de goederen van de werkgever of de werknemer; 3. de uitoefening en het genot van de rechten en de voordelen van het ambt, zij het op individuele of collectieve basis; 4. archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden. (3) De toegang tot de in de personeelsdossiers opgeslagen informatie is beperkt en vindt plaats met inachtneming van de bepalingen van de [wet inzake de bescherming van gerubriceerde informatie], de [ZZLD] en de [AVG].”
33 Artikel 6 van die instructie bepaalt:
„(1) In de personeelsdossiers worden documenten verzameld en opgeslagen in drie rubrieken met gegevens en informatie over de studie, de benoeming, de sluiting van arbeidsovereenkomsten, de verandering van functie en de beëindiging van het dienstverband van de ambtenaren. (2) De eerste rubriek bevat documenten met betrekking tot de indiensttreding bij het ministerie van Binnenlandse Zaken. (3) De tweede rubriek bevat documenten over de loopbaanontwikkeling (verklaringen, notulen, voorstellen, beoordelingsverslagen, persoonlijke fiches, certificaten van de gevolgde opleidingen, documenten betreffende deelname aan vergelijkende onderzoeken, veiligheidscontrole, kopieën van ziektebriefjes, enz.). (4) De derde rubriek bevat documenten met betrekking tot de verandering van functie [besluiten, akten van indiensttreding en beëindiging van de functie, documenten inzake tuchtprocedures, arbeidsovereenkomsten, aanvullende overeenkomsten en kennisgevingen als bedoeld in artikel 62 van de Kodeks na truda (arbeidswetboek) enz.].”
Hoofdgeding en prejudiciële vragen
34 Verzoeker in het hoofdgeding bekleedde tussen 2012 en 2023 diverse functies als politieagent bij het directoraat-generaal „Veiligheidspolitie” en het directoraat-generaal „Nationale politie” van het Bulgaarse ministerie van Binnenlandse Zaken.
35 Op 1 maart 2016 werd door het directoraat „Binnenlandse Veiligheid” van dit ministerie een onderzoek geopend tegen een onbekende dader wegens diefstal met geweld, gepleegd met medewerking van anderen.
36 Op 17 mei 2016 vond een algemene vergadering plaats met alle politieagenten van het directoraat waarvoor verzoeker in het hoofdgeding werkte. Aan deze vergadering hebben ook het hoofd van de betrokken afdeling, een vertegenwoordiger van dat directoraat „Binnenlandse veiligheid”, een officier van justitie van de Sofiyska gradska prokuratura (parket van de stad Sofia, Bulgarije) en een rechercheur deelgenomen. Tijdens die vergadering is verzoeker in het hoofdgeding in het bijzijn van iedereen in voorlopige hechtenis geplaatst en heeft hij zijn badge, zijn wapen en zijn dienstpas moeten inleveren.
37 In het kader van het betrokken onderzoek zijn ten aanzien van verzoeker in het hoofdgeding, als verdachte, verschillende onderzoeksmaatregelen genomen, te weten fouillering, de afname van vingerafdrukken en, na afgifte van rechterlijke toestemming, een huiszoeking in zijn woning die tot inbeslagneming heeft geleid. Hij heeft deelgenomen aan een confrontatie, waarbij de slachtoffers hem niet als dader hebben geïdentificeerd, en op de voorwerpen van de slachtoffers zijn geen sporen van zijn vingerafdrukken aangetroffen. Na 24 uur in hechtenis te zijn geplaatst werd verzoeker in het hoofdgeding vrijgelaten en werd hij vervolgens noch in staat van beschuldiging gesteld, noch aangeklaagd voor diefstal met geweld. Aangezien de dader niet kon worden geïdentificeerd, werd het onderzoek opgeschort.
38 Verzoeker in het hoofdgeding is zijn functie bij het ministerie van Binnenlandse Zaken blijven uitoefenen en heeft deelgenomen aan vergelijkende onderzoeken met het oog op bevordering, hetgeen hem is geweigerd omdat hij als verdachte in hechtenis was geplaatst in het kader van het onderzoek naar diefstal met geweld. In zijn personeelsdossier en in de archieven van dit ministerie staat vermeld dat hij in hechtenis was geplaatst en dat er tegen hem, als verdachte, onderzoeksmaatregelen waren genomen.
39 Verzoeker in het hoofdgeding heeft bij de Sofiyski rayonen sad (rechter in eerste aanleg Sofia, Bulgarije), de verwijzende rechter, beroep ingesteld tot veroordeling van het parket tot betaling van een vergoeding voor de immateriële schade die hij heeft geleden door de tegen hem genomen maatregelen in het kader van het betrokken onderzoek en de daaruit voortvloeiende gevolgen. Hij voert aan dat hij immateriële schade heeft geleden doordat hij, als medewerker van het ministerie van Binnenlandse Zaken met vele dienstjaren, in het bijzijn van zijn collega’s in voorlopige hechtenis is geplaatst voor een strafbaar feit waarvan niet is aangetoond dat hij het heeft gepleegd. Deze vernederende maatregel vormt een belemmering voor zijn loopbaanontwikkeling en hij merkt in dit verband op dat zijn werkgever, die de opdracht heeft gegeven om hem in voorlopige hechtenis te plaatsen, een database bijhoudt waarin dit onderzoek en zijn naam als verdachte zijn opgenomen, en weigert deze gegevens te schrappen of te wissen.
40 Uit de verwijzingsbeslissing blijkt dat volgens de rechtspraak van de Varhoven kasatsionen sad na Republika Balgaria (hoogste rechter in burgerlijke en strafzaken, Bulgarije) een verdachte die niet is vervolgd en ten aanzien van wie besloten is om de zaak te seponeren, recht heeft op schadevergoeding.
41 De verwijzende rechter merkt op dat het ministerie van Binnenlandse Zaken één enkele administratieve autoriteit is, die tot taak heeft de openbare orde te handhaven en die bestaat uit verschillende directoraten, waaronder „Nationale politie” en „Veiligheidspolitie” – die optreden in het kader van de bescherming van de openbare orde – en „Binnenlandse Veiligheid” – dat onderzoeken verricht met betrekking tot medewerkers van dat ministerie, ongeacht de aard van de ten laste gelegde strafbare feiten en de eenheid waartoe zij behoren.
42 Als een enkele administratieve autoriteit is het ministerie van Binnenlandse Zaken de werkgever van alle aldaar werkzame ambtenaren, maar elk directoraat binnen het ministerie bewaart de gegevens van zijn eigen ambtenaren en neemt die op in hun personeelsdossier. Bij deelname aan vergelijkende onderzoeken met het oog op een bevordering of overplaatsing dient de betrokken werknemer zijn personeelsdossier over te leggen, alsmede informatie over de wijze waarop hij zijn verplichtingen is nagekomen en met betrekking tot de vraag of hij verdacht of beschuldigd is geweest van een strafbaar feit, of hij strafrechtelijk is vervolgd, of hij een tuchtrechtelijke inbreuk heeft gepleegd en of hij de openbare orde heeft verstoord. De via een onderzoek verkregen informatie wordt in het personeelsdossier bewaard.
43 In de eerste plaats vraagt de verwijzende rechter zich af of de AVG van toepassing is op gevallen als dat in het hoofdgeding, te weten wanneer het gaat om een en dezelfde organisatiestructuur waarin een onderdeel de functie van werkgever vervult, terwijl een ander onderdeel optreedt als onderzoeksautoriteit in strafprocedures.
44 Indien die vraag bevestigend wordt beantwoord, vraagt deze rechter zich in de tweede plaats af of de bewaring van de in punt 42 van het onderhavige arrest bedoelde informatie in het personeelsdossier van een medewerker een „verwerking van persoonsgegevens” vormt in de zin van artikel 4, punt 2, AVG en of dit dossier een „bestand” is in de zin van artikel 4, punt 6, AVG. Ook rijst de vraag of de bewaring van dergelijke gegevens binnen de werkingssfeer van artikel 9, lid 2, onder b), AVG valt.
45 In de derde plaats vraagt de verwijzende rechter zich af of het ministerie van Binnenlandse Zaken, als werkgever, de bevordering van een van zijn medewerkers kan weigeren op de enkele grond dat die medewerker verdachte, beklaagde of beschuldigde is geweest, terwijl de strafprocedure uiteindelijk is opgeschort. Hoewel algemeen bekend is dat het personeel van het ministerie van Binnenlandse Zaken, dat toeziet op de naleving van de openbare orde, aan hogere morele en ethische criteria moet voldoen dan andere categorieën werknemers of medewerkers, heeft deze rechter twijfels of de voorschriften betreffende de verwerking van gegevens, in het personeelsdossier van medewerkers van dat ministerie, met betrekking tot de status van verdachte, beklaagde of beschuldigde evenredig zijn aan de vereisten die voor dit soort medewerkers gelden. Volgens die rechter vormt alleen een onherroepelijke veroordeling een geldige grond om de arbeidsovereenkomst met een medewerker eenzijdig te beëindigen.
46 In de vierde plaats vraagt de verwijzende rechter zich af of het in artikel 17, lid 1, onder a), AVG geformuleerde beginsel inzake het „recht op vergetelheid”, gelezen in het licht van de overwegingen 65 en 66, aldus moet worden uitgelegd dat de gegevens uit het personeelsdossier van een medewerker moeten worden gewist, indien die zijn verzameld door een andere eenheid van de werkgever dan die waartoe hij behoort, welke eenheid belast is met het onderzoek, en indien daarin wordt vermeld dat die medewerker van een strafbaar feit werd verdacht of beschuldigd of strafrechtelijk werd vervolgd. Deze rechter heeft in dit verband ook twijfels over de draagwijdte van het begrip „onrechtmatige verwerking” in de zin van artikel 17, lid 1, onder d), AVG.
47 In de vijfde plaats vraagt de verwijzende rechter zich af of de bepalingen van richtlijn 2016/680 van toepassing zijn op de situatie in het hoofdgeding en, zo ja, of de bewaring van de in het hoofdgeding aan de orde zijnde gegevens rechtmatig en evenredig is in het licht van artikel 9, lid 1, en artikel 10 van deze richtlijn, en of deze gegevens krachtens artikel 16, lid 2, al dan niet moeten worden gewist.
48 In de zesde en laatste plaats benadrukt deze rechter dat verzoeker in het hoofdgeding heeft deelgenomen aan vergelijkende onderzoeken met het oog op een bevordering en overplaatsing en dat hij, ondanks het feit dat hij bovenaan op de lijst is geplaatst, niet in aanmerking is genomen omdat hij als verdachte in het kader van het onderzoek naar diefstal met geweld werd genoemd. In deze context vraagt de verwijzende rechter zich af of de bewaring van persoonsgegevens door één enkele administratieve autoriteit, zoals het ministerie van Binnenlandse Zaken, een vorm van discriminatie uitmaakt in de zin van artikel 1 van richtlijn 2000/78.
49 Tegen deze achtergrond heeft de Sofiyski rayonen sad de behandeling van de zaak geschorst en het Hof verzocht om een prejudiciële beslissing over de volgende vragen:
„1) Moet artikel 2, lid 1, AVG aldus worden uitgelegd dat de gegevensverwerking activiteiten van een en dezelfde organisatiestructuur omvat waarin sommige van haar directoraten de taken van een werkgever uitvoeren, terwijl een enkel ander directoraat optreedt als onderzoeksautoriteit in strafprocedures tegen medewerkers van de andere directoraten? Indien deze vraag bevestigend moet worden beantwoord:
2) Moet de uitdrukking ‚verwerking van persoonsgegevens’ als bedoeld in artikel 4, punt 2, AVG aldus worden uitgelegd dat het een activiteit omvat die erin bestaat dat in het personeelsdossier van een medewerker informatie over hem wordt opgenomen die de werkgever heeft verkregen via een van zijn directoraten in zijn hoedanigheid van onderzoekende autoriteit?
3) Moet de uitdrukking ‚bestand’ in artikel 4, punt 6, AVG aldus worden uitgelegd dat het een personeelsdossier omvat van een medewerker of een werknemer die bij een directoraat van de werkgever werkt, terwijl de informatie is verzameld door een ander directoraat van de werkgever dat optreedt in de hoedanigheid van onderzoekende autoriteit?
4) Moet artikel 9, lid 2, onder b), AVG aldus worden uitgelegd dat een organisatorische eenheid van een werkgever gegevens mag verzamelen en opslaan met betrekking tot het feit dat de medewerker verdachte, beklaagde of beschuldigde in een strafprocedure is geweest, terwijl die informatie is verzameld door een andere organisatorische eenheid van de werkgever die de hoedanigheid van onderzoekende autoriteit heeft?
5) Moet het ‚recht op vergetelheid’ als bedoeld in artikel 17, lid 1, onder a), AVG aldus worden uitgelegd dat een werkgever uit het personeelsdossier van de medewerker alle gegevens moet wissen die hij via een van zijn andere directoraten met de hoedanigheid van de met het onderzoek jegens zijn ambtenaar belaste autoriteit heeft verzameld en opgeslagen met betrekking tot het feit dat de medewerker:
– van een strafbaar feit wordt verdacht of beschuldigd dan wel in een lopende strafprocedure strafrechtelijk wordt vervolgd;
– van een strafbaar feit is verdacht of beschuldigd dan wel strafrechtelijk is vervolgd wegens dat strafbare feit, ten aanzien waarvan de procedure is opgeschort of de zaak is geseponeerd?
6) Moeten ‚onrechtmatig verwerkte’ persoonsgegevens in de zin van artikel 17, lid 1, onder d), AVG aldus worden uitgelegd dat zij gegevens omvatten die door de werkgever zijn verkregen, verzameld en opgeslagen via een van zijn andere organisatorische eenheden die onderzoekstaken verricht in strafprocedures tegen medewerkers van andere organisatorische eenheden van de werkgever, waarbij die gegevens in het personeelsdossier zijn opgeslagen en betrekking hebben op het feit dat de medewerker:
– van een strafbaar feit wordt verdacht of beschuldigd dan wel in een lopende strafprocedure strafrechtelijk wordt vervolgd;
– van een strafbaar feit is verdacht of beschuldigd dan wel strafrechtelijk is vervolgd wegens dat strafbare feit, ten aanzien waarvan de procedure is opgeschort of de zaak is geseponeerd?
7) Moeten ,persoonsgegevens’ in de zin van artikel 3, punt 1, van [richtlijn 2016/680] juncto artikel 52 van het [Handvest] aldus worden uitgelegd dat het gaat om gegevens die door de werkgever zijn verkregen, verzameld en opgeslagen via een van zijn organisatorische eenheden, die de taken van een onderzoeksautoriteit vervult in de strafprocedure tegen een medewerker die voor een andere organisatorische eenheid van de werkgever werkt?
8) Moet ‚verwerking’ in de zin van artikel 3, punt 2, van [richtlijn 2016/680] juncto artikel 52 van het [Handvest] aldus worden uitgelegd dat dit begrip bestaat in de opslag, door de werkgever, in het personeelsdossier van een medewerker van gegevens die hij heeft [verkregen], verzameld en opgeslagen via zijn eenheid die is belast met het onderzoek in een strafprocedure tegen deze medewerker die voor een andere eenheid van de werkgever werkt?
9) Moet artikel 9, lid 1, van [richtlijn 2016/680] juncto artikel 52 van het [Handvest] aldus worden uitgelegd dat het de werkgever toestaat om informatie te verzamelen en op te slaan over een medewerker die wordt verdacht, beschuldigd of aangeklaagd, terwijl de werkgever die informatie heeft verzameld via een van zijn andere organisatorische eenheden die is belast met het onderzoek in de tegen deze medewerker ingestelde strafprocedure?
10) Moet artikel 16, lid 2, van [richtlijn 2016/680] juncto artikel 52 van het [Handvest] aldus worden uitgelegd dat de werkgever uit het personeelsdossier van de medewerker alle gegevens moet wissen die hij heeft verzameld en opgeslagen via een van zijn andere organisatorische eenheden met de hoedanigheid van onderzoeksautoriteit in de tegen die ambtenaar ingestelde strafprocedure, en die betrekking hebben op het feit dat de medewerker:
– van een strafbaar feit wordt verdacht of beschuldigd dan wel in een lopende strafprocedure strafrechtelijk wordt vervolgd;
– van een strafbaar feit is verdacht of beschuldigd dan wel strafrechtelijk is vervolgd wegens dat strafbare feit, ten aanzien waarvan de procedure is opgeschort of de zaak is geseponeerd?
11) Moet artikel 1 van [richtlijn 2000/78] aldus worden uitgelegd dat het een werkgever wiens organisatorische eenheid onderzoeksmaatregelen tegen een medewerker van een andere organisatorische eenheid uitvoert, niet toestaat om de promotie van een medewerker te weigeren, enkel en alleen omdat de medewerker:
– van een strafbaar feit wordt verdacht of beschuldigd dan wel in een lopende strafprocedure strafrechtelijk wordt vervolgd;
– van een strafbaar feit is verdacht of beschuldigd dan wel strafrechtelijk is vervolgd wegens dat strafbare feit, ten aanzien waarvan de procedure is opgeschort of de zaak is geseponeerd?”
Beantwoording van de prejudiciële vragen
Ontvankelijkheid
50 De Bulgaarse regering stelt dat alle prejudiciële vragen kennelijk niet-ontvankelijk zijn.
51 Deze regering voert aan dat de vordering tot schadevergoeding uitsluitend is gericht tegen het parket, dat deel uitmaakt van de rechterlijke macht, terwijl alleen het ministerie van Binnenlandse Zaken, dat deel uitmaakt van de uitvoerende macht en de werkgever is van verzoeker in het hoofdgeding, beschikt over de informatie in het personeelsdossier van verzoeker in het hoofdgeding. Deze kan het parket dus niet verzoeken om wissing van zijn gegevens en kan het evenmin aansprakelijk stellen voor het feit dat het ministerie van Binnenlandse Zaken deze informatie in zijn bezit heeft, noch kan hij het parket verwijten zijn loopbaanontwikkeling te hebben belemmerd.
52 De Bulgaarse regering betoogt dat de verwijzende rechter, om het parket aansprakelijk te kunnen stellen, overeenkomstig de nationale regeling inzake de aansprakelijkheid van de staat moet nagaan of de rechten van de betrokkene als verdachte zijn geschonden en of hem ten onrechte een strafbaar feit ten laste is gelegd. Het hoofdgeding heeft geen betrekking op de toepassing van de AVG, noch op die van de nationale regeling tot omzetting van de richtlijnen 2016/680 en 2000/78. Derhalve is de uitlegging van deze handelingen van het Unierecht niet noodzakelijk om dit geding te beslechten.
53 Dienaangaande volgt uit vaste rechtspraak van het Hof dat er een vermoeden van relevantie rust op vragen betreffende de uitlegging van het Unierecht die de nationale rechter heeft gesteld binnen het onder zijn eigen verantwoordelijkheid geschetste wettelijke en feitelijke kader, ten aanzien waarvan het niet aan het Hof is de juistheid te onderzoeken. Het Hof kan slechts weigeren uitspraak te doen op een verzoek van een nationale rechter om een prejudiciële beslissing wanneer duidelijk blijkt dat de gevraagde uitlegging van het Unierecht geen verband houdt met een reëel geschil of met het voorwerp van het hoofdgeding, wanneer het vraagstuk van hypothetische aard is of wanneer het Hof niet beschikt over de gegevens, feitelijk en rechtens, die noodzakelijk zijn om een zinvol antwoord te geven op de gestelde vragen (zie arrest van 8 mei 2025, Stadt Wuppertal, C‑130/24, EU:C:2025:340, punt 42 en aldaar aangehaalde rechtspraak).
54 Bovendien dient in herinnering te worden gebracht dat het Hof niet bevoegd is om zich uit te spreken over de uitlegging van nationale bepalingen en te beoordelen of de daaraan door de nationale rechter gegeven uitlegging of toepassing juist is, aangezien uitsluitend deze rechter bevoegd is om die bepalingen uit te leggen [arrest van 4 oktober 2024, Bezirkshauptmannschaft Landeck (Poging tot het verkrijgen van toegang tot op een mobiele telefoon opgeslagen persoonsgegevens), C‑548/21, EU:C:2024:830, punt 53 en aldaar aangehaalde rechtspraak].
55 Het Hof moet in het kader van de bevoegdheidsverdeling tussen de rechterlijke instanties van de Unie en de nationale rechterlijke instanties dus uitgaan van de in de verwijzingsbeslissing omschreven feitelijke en juridische context waarin de prejudiciële vragen moeten worden geplaatst. Ongeacht de kritiek van de regering van een lidstaat op de uitlegging van het nationale recht door de verwijzende rechter, moeten de prejudiciële vragen dus op basis van die uitlegging worden onderzocht en staat het niet aan het Hof om de juistheid daarvan te onderzoeken [arrest van 29 juli 2024, CU en ND (Sociale bijstand – Indirecte discriminatie), C‑112/22 en C‑223/22, EU:C:2024:636, punt 40 en aldaar aangehaalde rechtspraak].
56 Om het Hof in staat te stellen een uitlegging van het Unierecht te geven die nuttig is voor de nationale rechter, volgt uit artikel 94, onder c), van het Reglement voor de procesvoering van het Hof dat het verzoek om een prejudiciële beslissing de uiteenzetting van de redenen die de verwijzende rechter ertoe hebben gebracht om zich over de uitlegging of de geldigheid van bepalingen van het Unierecht vragen te stellen, alsook het verband tussen die bepalingen en de op het hoofdgeding toepasselijke nationale wettelijke regeling, dient te bevatten (arrest van 2 juli 2015, Gullotta en Farmacia di Gullotta Davide & C., C‑497/12, EU:C:2015:436, punt 17).
57 Wat in casu het voorwerp van het hoofdgeding betreft, staat vast dat de prejudiciële vragen zijn gerezen in het kader van een bij de verwijzende rechter aanhangig geding betreffende een vordering tot vergoeding van de schade die verzoeker in het hoofdgeding niet alleen wegens de maatregelen die tegen hem zijn genomen in het kader van een onderzoek, maar ook wegens de daaruit voortvloeiende gevolgen zou hebben geleden. Wat dit laatste betreft, blijkt uit de verwijzingsbeslissing dat de vermeende geleden schade met name het gevolg is van de opslag en het latere gebruik door de werkgever van persoonsgegevens die in het kader van dat onderzoek zijn verzameld, aangezien deze werkgever heeft geweigerd verzoeker in het hoofdgeding te bevorderen op grond dat hij in het kader van dat onderzoek als verdachte werd genoemd. Verzoeker in het hoofdgeding vordert ook dat zijn naam wordt gewist uit de database waarin hij als verdachte wordt genoemd.
58 Uit het dossier waarover het Hof beschikt, blijken dus, ten eerste, het bestaan van een verband tussen het voorwerp van het hoofdgeding en de Unierechtelijke regels inzake de bescherming van persoonsgegevens en, ten tweede, de redenen waarom de verwijzende rechter zich afvraagt of de weigering van de werkgever om de betrokken gegevens te wissen verenigbaar is met die regels.
59 Wat specifiek de relevantie van de uitlegging van richtlijn 2000/78 voor de beslechting van het hoofdgeding betreft, strekt de desbetreffende vraag in essentie ertoe vast te stellen of de schade die verzoeker in het hoofdgeding heeft geleden ten gevolge van een weigering om hem te bevorderen wegens zijn status van verdachte, kan worden onderzocht in het licht van de bepalingen van die richtlijn, zodat die vraag inhoudt dat in de omstandigheden van de onderhavige zaak een antwoord ten gronde dient te worden gegeven over de uitlegging van artikel 1 van deze richtlijn, dat het voorwerp ervan afbakent.
60 Bijgevolg rechtvaardigen de door de Bulgaarse regering aangevoerde argumenten niet dat alle prejudiciële vragen als niet-ontvankelijk worden beschouwd.
61 Daarentegen moet in de eerste plaats worden opgemerkt dat de verwijzende rechter met zijn vierde vraag verwijst naar artikel 9 AVG, dat, zoals blijkt uit het opschrift ervan, de verwerking van bijzondere categorieën van persoonsgegevens regelt. Uit het verzoek om een prejudiciële beslissing blijkt evenwel niet dat de in het hoofdgeding aan de orde zijnde gegevens onder een van de in artikel 9, lid 1, genoemde categorieën gegevens vallen. De in dat lid 1 genoemde gegevens zijn met name gegevens waaruit ras of etnische afkomst blijkt, de verwerking van genetische gegevens, biometrische gegevens met het oog op de unieke identificatie van een persoon en gegevens over de gezondheid van een natuurlijke persoon. Aangezien de gevraagde uitlegging van artikel 9, lid 2, onder b), AVG niet ter zake dienend is voor de beslechting van het hoofdgeding, moet deze vierde vraag niet-ontvankelijk worden verklaard.
62 In de tweede plaats zijn bepaalde omstandigheden die worden vermeld in de formulering van de vijfde, de zesde en de negende tot en met de elfde vraag niet relevant voor de situatie in het hoofdgeding, die – zoals blijkt uit de verwijzingsbeslissing en is samengevat in de punten 35 tot en met 37 van het onderhavige arrest – betrekking heeft op een persoon die ervan wordt verdacht een strafbaar feit te hebben gepleegd in het kader van een strafrechtelijk onderzoek dat uiteindelijk is opgeschort. Bijgevolg hoeven deze vragen niet te worden beantwoord voor zover zij betrekking hebben op de verwerking van gegevens van een medewerker die wordt of is beschuldigd van het plegen van een strafbaar feit of die strafrechtelijk wordt of is vervolgd, aangezien die vragen in zoverre hypothetisch zijn.
63 In de derde plaats heeft de Bulgaarse regering, wat betreft bepaalde andere feitelijke uitgangspunten waarop de elfde vraag berust, ter terechtzitting aangegeven dat verzoeker in het hoofdgeding in de periode na het betrokken strafrechtelijke onderzoek, anders dan hij beweert, meerdere malen is bevorderd. Evenwel moet worden benadrukt dat het in punt 53 van het onderhavige arrest in herinnering gebrachte vermoeden van relevantie van de prejudiciële vragen niet kan worden weerlegd door de loutere omstandigheid dat een van de partijen in het hoofdgeding bepaalde feiten betwist waarvan het niet aan het Hof is om de juistheid te verifiëren en die bepalend zijn voor het voorwerp van het geding (arrest van 5 december 2006, Cipolla e.a., C‑94/04 en C‑202/04, EU:C:2006:758, punt 26).
Ten gronde
Eerste tot en met derde vraag en zevende tot en met negende vraag
64 In herinnering dient te worden gebracht dat het de taak van het Hof is, in het kader van de bij artikel 267 VWEU ingestelde procedure van samenwerking tussen de nationale rechterlijke instanties en het Hof, om de nationale rechter een nuttig antwoord te geven, aan de hand waarvan hij het bij hem aanhangige geding kan beslechten. Daartoe dient het Hof de voorgelegde vragen indien nodig te herformuleren. Tevens kan het Hof rekening houden met bepalingen van het Unierecht waarvan de nationale rechter bij de formulering van zijn vraag geen melding heeft gemaakt (arrest van 18 januari 2024, Hewlett Packard Development Company, C‑367/21, EU:C:2024:61, punt 44 en aldaar aangehaalde rechtspraak).
65 In dit verband moet worden opgemerkt dat, zoals de advocaat-generaal in de punten 47 tot en met 53 van zijn conclusie heeft opgemerkt, de verwijzende rechter met zijn tweede, derde, zevende en achtste vraag het Hof weliswaar formeel verzoekt om uitlegging van de begrippen „verwerking” van persoonsgegevens en „bestand” in de zin van artikel 4, punten 2 en 6, AVG, alsook van de begrippen „persoonsgegevens” en „verwerking” in de zin van artikel 3, punten 1 en 2, van richtlijn 2016/680, deze rechter in werkelijkheid wenst te vernemen of de in het hoofdgeding aan de orde zijnde situatie binnen de werkingssfeer valt van de AVG dan wel richtlijn 2016/680, afgezien van het feit dat laatstgenoemde begrippen in dezelfde bewoordingen zijn gedefinieerd als degene die in de AVG worden gebruikt. Uit de motivering van de verwijzingsbeslissing en uit die vragen blijkt immers dat het eigenlijke voorwerp ervan betrekking heeft op de vraag welke van deze handelingen van toepassing is op een verwerking van gegevens door het directoraat van een overheidsinstantie, handelend als werkgever, waarbij die verwerking erin bestaat dat in het personeelsdossier van een medewerker van die instantie gegevens worden bewaard over zijn status van verdachte in het kader van een strafrechtelijk onderzoek, terwijl dat directoraat deze gegevens heeft verkregen via een ander directoraat van dezelfde overheidsinstantie, dat bevoegd is om dit soort onderzoeken uit te voeren.
66 In die omstandigheden dient te worden opgemerkt dat de verwijzende rechter met zijn eerste tot en met derde en zevende tot en met negende vraag, die samen moeten worden onderzocht, in essentie wenst te vernemen of artikel 2, lid 1, AVG en artikel 9, lid 1, van richtlijn 2016/680 aldus moeten worden uitgelegd dat deze verordening van toepassing is op een verwerking van persoonsgegevens door het directoraat van een overheidsinstantie waarbij in het personeelsdossier van een van haar ambtenaren gegevens worden bewaard betreffende zijn status van verdachte in het kader van een strafrechtelijk onderzoek (hierna: „in het hoofdgeding aan de orde zijnde verwerking”), terwijl dat directoraat deze gegevens heeft verkregen via een ander directoraat dat tot dezelfde overheidsinstantie behoort en dat bevoegd is om dit soort onderzoeken uit te voeren.
67 Krachtens artikel 2, lid 2, onder d), AVG is deze verordening niet van toepassing op de verwerking van persoonsgegevens door de bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid.
68 Artikel 1, lid 1, van richtlijn 2016/680 bepaalt daarentegen dat bij deze richtlijn de regels worden vastgesteld betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing of de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid.
69 Bovendien bepaalt artikel 9, lid 1, van deze richtlijn met name dat wanneer persoonsgegevens worden verwerkt voor andere dan de in artikel 1, lid 1, van die richtlijn genoemde doeleinden, de AVG van toepassing is, tenzij de verwerking geschiedt in het kader van een activiteit die buiten de werkingssfeer van het Unierecht valt.
70 Hieruit volgt dat indien de bevoegde autoriteiten persoonsgegevens verwerken met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, richtlijn 2016/680 van toepassing is. Indien de verwerking voor andere doeleinden wordt verricht, dan is de AVG van toepassing [zie in die zin arrest van 8 december 2022, Inspektor v Inspektorata kam Visshia sadeben savet (Doeleinden van de verwerking van persoonsgegevens – Strafrechtelijk onderzoek), C‑180/21, EU:C:2022:967, punten 73 en 74, en aldaar aangehaalde rechtspraak].
71 Hoewel in casu de oorspronkelijke verzameling van persoonsgegevens door het directoraat „Binnenlandse Veiligheid” van het ministerie van Binnenlandse Zaken met het oog op het onderzoek naar verzoeker in het hoofdgeding onder richtlijn 2016/680 valt, valt daarentegen de in het hoofdgeding aan de orde zijnde verwerking, voor zover deze wordt verricht met het oog op personeelsbeheer, onder de AVG.
72 Het is van belang dat wordt gepreciseerd dat aan de toepasselijkheid van de AVG op de in het hoofdgeding aan de orde zijnde verwerking niet wordt afgedaan door de omstandigheid dat de werkgever de betrokken informatie heeft verkregen via het directoraat van het ministerie van Binnenlandse Zaken dat belast is met het onderzoek naar verzoeker in het hoofdgeding. In dit verband heeft het Hof reeds geoordeeld dat uit de bewoordingen van artikel 9, leden 1 en 2, van richtlijn 2016/680 en uit de onderlinge samenhang van die leden blijkt dat de AVG van toepassing is op elke verwerking van persoonsgegevens voor andere doeleinden dan de in artikel 1, lid 1, van deze richtlijn omschreven doeleinden waarvoor die persoonsgegevens zijn verzameld, tenzij de betrokken verwerking niet onder het Unierecht valt, ook wanneer de „verwerkingsverantwoordelijke” in de zin van artikel 3, punt 8, van die richtlijn een „bevoegde autoriteit” in de zin van artikel 3, punt 7, onder a), van die richtlijn is en hij de persoonsgegevens verwerkt in het kader van andere taken dan de taken die voor de in artikel 1, lid 1, van die richtlijn genoemde doeleinden worden verricht [arrest van 8 december 2022, Inspektor v Inspektorata kam Visshia sadeben savet (Doeleinden van de verwerking van persoonsgegevens – Strafrechtelijk onderzoek), C‑180/21, EU:C:2022:967, punt 81].
73 Gelet op een en ander moet op de eerste tot en met de derde en de zevende tot en met de negende vraag worden geantwoord dat artikel 2, lid 1, AVG en artikel 9, lid 1, van richtlijn 2016/680 aldus moeten worden uitgelegd dat deze verordening van toepassing is op de activiteit die door het directoraat van een overheidsinstantie wordt verricht en die erin bestaat dat in het personeelsdossier van een van haar ambtenaren gegevens worden bewaard betreffende zijn status van verdachte in het kader van een strafrechtelijk onderzoek. In dit verband is het niet van belang dat dit directoraat deze gegevens heeft verkregen via een ander directoraat dat tot dezelfde overheidsinstantie behoort en dat bevoegd is om dit soort onderzoeken uit te voeren.
Vijfde en zesde vraag
74 Opgemerkt zij dat de vijfde en de zesde vraag in essentie betrekking hebben op de mogelijkheid voor de betrokken ambtenaar om te verkrijgen dat de in het hoofdgeding aan de orde zijnde gegevens uit zijn personeelsdossier worden gewist op grond van artikel 17, lid 1, onder a) en d), AVG.
75 Uit het aan het Hof overgelegde dossier blijkt dat de nationale wet die de activiteiten van het ministerie van Binnenlandse Zaken regelt, voorziet in de verplichting voor dit ministerie om voor elke ambtenaar ervan een personeelsdossier op te stellen en bij te houden, alsmede een gedragscode in te voeren, die deze ambtenaren in acht moeten nemen. Die wet vereist voor de uitoefening van hun functie ook dat die ambtenaren niet veroordeeld zijn geweest, in staat van beschuldiging zijn gesteld of vervolgd zijn geweest voor een opzettelijk gepleegd strafbaar feit van gemeen recht. Evenzo bepaalt deze wet dat de minister van Binnenlandse Zaken verantwoordelijk is voor de gegevensverwerking door zijn ambtenaren en dat hij de specifieke voorwaarden voor de gegevensverwerking bij instructie vaststelt.
76 Overeenkomstig artikel 17, lid 1, AVG heeft de betrokkene het recht van de verwerkingsverantwoordelijke zonder onredelijke vertraging wissing van hem betreffende persoonsgegevens te verkrijgen en is de verwerkingsverantwoordelijke verplicht persoonsgegevens zonder onredelijke vertraging te wissen wanneer een van de in die bepaling genoemde gevallen van toepassing is.
77 Dat is volgens artikel 17, lid 1, onder a), AVG het geval wanneer de persoonsgegevens „niet langer nodig [zijn] voor de doeleinden waarvoor zij zijn verzameld of anderszins verwerkt” of, overeenkomstig artikel 17, lid 1, onder d), wanneer de betrokken gegevens „onrechtmatig [zijn] verwerkt”.
78 Zoals de advocaat generaal in punt 69 van zijn conclusie heeft opgemerkt, blijkt uit de gezamenlijke lezing van de vijfde en de zesde vraag alsmede uit de motivering van het verzoek om een prejudiciële beslissing dat de verwijzende rechter, om zich te kunnen uitspreken over de vordering van verzoeker in het hoofdgeding om wissing van gegevens, met deze vragen meer fundamenteel wenst te vernemen of de in het hoofdgeding aan de orde zijnde bewaring van de gegevens in het personeelsdossier van verzoeker rechtmatig is.
79 Daartoe moet in herinnering worden gebracht dat artikel 6, lid 1, eerste alinea, AVG een uitputtende en limitatieve lijst bevat van de gevallen waarin de verwerking van persoonsgegevens als rechtmatig kan worden beschouwd. Een dergelijke verwerking kan dus alleen als rechtmatig worden aangemerkt indien zij valt onder een van de in deze bepaling genoemde gevallen (arrest van 4 oktober 2024, Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, punt 94 en aldaar aangehaalde rechtspraak). Artikel 6, lid 1, eerste alinea, onder c), AVG bepaalt dat een verwerking van persoonsgegevens rechtmatig is indien die noodzakelijk is om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust.
80 In artikel 6, lid 3, AVG wordt met name gepreciseerd dat de in artikel 6, lid 1, eerste alinea, onder c), bedoelde verwerking haar grondslag moet vinden in het Unierecht of het lidstatelijke recht dat op de verwerkingsverantwoordelijke van toepassing is, alsmede dat deze rechtsgrond moet beantwoorden aan een doelstelling van algemeen belang en evenredig moet zijn met het nagestreefde gerechtvaardigde doel (zie in die zin arrest van 12 september 2024, HTB Neunte Immobilien Portfolio en Ökorenta Neue Energien Ökostabil IV, C‑17/22 en C‑18/22, EU:C:2024:738, punt 67 en aldaar aangehaalde rechtspraak).
81 Bovendien moet worden opgemerkt dat de rechtmatigheidsgrond van artikel 6, lid 1, eerste alinea, onder c), AVG, gelezen in samenhang met artikel 6, lid 3, wordt weerspiegeld in artikel 17, lid 3, onder b), van deze verordening, dat het in artikel 17, lid 1, neergelegde recht op gegevenswissing uitsluit wanneer met name de gegevensverwerking nodig is voor het nakomen van een in het Unierecht of het lidstatelijke recht neergelegde wettelijke verwerkingsverplichting die op de verwerkingsverantwoordelijke rust.
82 Het Hof heeft reeds geoordeeld dat, gesteld dat een verwerking van persoonsgegevens daadwerkelijk beantwoordt aan de rechtmatigheidsgrond in artikel 6, lid 1, eerste alinea, onder c), AVG, in die bepaling, en meer bepaald in artikel 6, lid 3, tweede alinea, expliciet het vereiste is neergelegd dat er een afweging moet worden gemaakt tussen de in de artikelen 7 en 8 van het Handvest neergelegde grondrechten op eerbiediging van het privéleven en op bescherming van persoonsgegevens enerzijds, en de doelstellingen die rechtmatig worden nagestreefd door het Unierecht of het lidstatelijke recht dat ten grondslag ligt aan de wettelijke verplichting op grond waarvan de verwerking noodzakelijk is, anderzijds (zie in die zin arrest van 4 oktober 2024, Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, punt 124 en aldaar aangehaalde rechtspraak).
83 In deze context zij eraan herinnerd dat in artikel 52, lid 1, van het Handvest wordt erkend dat aan de uitoefening van rechten zoals die welke in de artikelen 7 en 8 van het Handvest zijn neergelegd, beperkingen kunnen worden gesteld, voor zover deze beperkingen bij wet worden gesteld, de wezenlijke inhoud van die rechten en vrijheden eerbiedigen, en, met inachtneming van het evenredigheidsbeginsel, noodzakelijk zijn en daadwerkelijk beantwoorden aan door de Unie erkende doelstellingen van algemeen belang of aan de eisen van de bescherming van de rechten en vrijheden van anderen [arrest van 24 september 2019, GC e.a. (Verwijdering van links naar gevoelige gegevens), C‑136/17, EU:C:2019:773, punt 58 en aldaar aangehaalde rechtspraak].
84 In die omstandigheden en gelet op de in punt 64 van het onderhavige arrest uiteengezette rechtspraak moet worden geoordeeld dat de verwijzende rechter met zijn vijfde en zesde vraag in essentie wenst te vernemen of artikel 17, lid 3, onder b), AVG, gelezen in samenhang met artikel 6, lid 1, eerste alinea, onder c), en artikel 6, lid 3, alsmede in het licht van artikel 52, lid 1, van het Handvest, aldus moet worden uitgelegd dat de bewaring, in het personeelsdossier van een politieagent, van persoonsgegevens die betrekking hebben op diens status van verdachte in het kader van een opgeschort strafrechtelijk onderzoek, waarbij die agent noch aangeklaagd noch vervolgd is geweest voor het betrokken strafbaar feit, met het oog op het beheer van zijn loopbaan en op de controle van de naleving door die agent van de aan zijn functie inherente regels, als gerechtvaardigd kan worden beschouwd ter nakoming van een wettelijke verplichting waaraan de overheidsinstantie, de werkgever van die agent, krachtens het nationale recht is onderworpen.
85 Vooraf zij eraan herinnerd dat de AVG volgens artikel 1, lid 2, ervan, gelezen in samenhang met de overweging 4 en 10, met name tot doel heeft een hoog niveau van bescherming van de fundamentele vrijheden en de grondrechten van natuurlijke personen te waarborgen in verband met de verwerking van persoonsgegevens, welk recht tevens is erkend in artikel 8 van het Handvest en nauw samenhangt met het in artikel 7 van het Handvest neergelegde recht op eerbiediging van het privéleven (zie in die zin arrest van 1 augustus 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, punt 61).
86 In dit verband en volgens vaste rechtspraak van het Hof, moet elke verwerking van persoonsgegevens in overeenstemming zijn met de in artikel 5 AVG verankerde beginselen inzake gegevensverwerking en, in het bijzonder gelet op het in lid 1, onder a), van dat artikel neergelegde beginsel dat de verwerking rechtmatig is, moet die verwerking beantwoorden aan een van de in artikel 6 van die verordening genoemde voorwaarden inzake de rechtmatigheid van de verwerking (arrest van 7 maart 2024, Endemol Shine Finland, C‑740/22, EU:C:2024:216, punt 45 en aldaar aangehaalde rechtspraak).
87 Ook moet in herinnering worden gebracht dat het volgens artikel 5 AVG aan de verwerkingsverantwoordelijke staat om te bewijzen dat deze gegevens met name voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld, dat zij toereikend en ter zake dienend zijn alsook beperkt blijven tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt, en dat zij worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is (arrest van 4 oktober 2024, Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, punt 97 en aldaar aangehaalde rechtspraak).
88 Bovendien moeten de in artikel 6, lid 1, eerste alinea, onder b) tot en met f), van deze verordening genoemde rechtvaardigingsgronden restrictief worden uitgelegd, aangezien de verwerking van persoonsgegevens daardoor rechtmatig kan zijn zonder dat de betrokkene toestemming heeft gegeven (arrest van 4 oktober 2024, Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, punt 96 en aldaar aangehaalde rechtspraak).
89 Het staat weliswaar aan de verwijzende rechter om te bepalen of een verwerking als in het hoofdgeding noodzakelijk is voor de nakoming van een wettelijke verplichting die op de verwerkingsverantwoordelijke rust in de zin van artikel 17, lid 3, onder b), AVG, gelezen in samenhang met artikel 6, lid 1, eerste alinea, onder c), en artikel 6, lid 3, maar het Hof kan hem niettemin nuttige aanwijzingen verschaffen om het bij hem aanhangige geding te kunnen beslechten (zie in die zin arrest van 4 oktober 2024, Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, punt 98 en aldaar aangehaalde rechtspraak).
90 Zoals blijkt uit het dossier van het Hof en met name uit de toelichting die de Bulgaarse regering ter terechtzitting heeft verstrekt, berust de bewaring van de in het hoofdgeding aan de orde zijnde gegevens op verschillende bepalingen van de instructies die de minister van Binnenlandse Zaken op basis van de ZMVR heeft vastgesteld om te voldoen aan de wettelijke verplichtingen die op hem rusten zowel krachtens deze wet op het gebied van het beheer van de personeelsdossiers en de tuchtrechtelijke aansprakelijkheid van de ambtenaren, als krachtens de bevoegdheid die hem door deze wet wordt verleend om een regelgevende bevoegdheid uit te oefenen. Bijgevolg lijkt uit deze elementen te volgen dat de in het hoofdgeding aan de orde zijnde gegevensverwerking noodzakelijk kan zijn om te voldoen aan wettelijke verplichtingen in de zin van artikel 6, lid 1, eerste alinea, onder c), AVG, waarin de toepasselijke nationale wetgeving voorziet en die ten uitvoer worden gelegd door de voor de verwerking verantwoordelijke overheidsinstantie bij regelgevende instructies die aldus de rechtsgrond vormen voor de gegevensverwerking door haar ambtenaren.
91 De vraag rijst dan ook of de rechtsgrond voor de verwerking in de zin van artikel 6, lid 3, van de AVG, kan voortvloeien uit een regelgevingshandeling die door een overheidsinstantie van een lidstaat is vastgesteld krachtens een wettelijke bevoegdheid waarin een wetgevingshandeling voorziet, teneinde te voldoen aan de wettelijke verplichtingen die krachtens laatstgenoemde handeling op haar rusten.
92 Uit overweging 41 AVG blijkt dat wanneer in deze verordening naar een rechtsgrond of een wetgevingsmaatregel wordt verwezen, dit niet noodzakelijkerwijs vereist dat een door een parlement vastgestelde wetgevingshandeling nodig is, onverminderd de vereisten overeenkomstig de grondwettelijke orde van de lidstaat in kwestie. Deze rechtsgrond of wetgevingsmaatregel moet echter duidelijk en nauwkeurig zijn, en de toepassing daarvan moet voorspelbaar zijn voor de betrokkenen, zoals vereist door de rechtspraak van het Hof en het EHRM.
93 In overweging 19 AVG staat voorts te lezen dat, aangaande de verwerking van persoonsgegevens door de bevoegde instanties in de zin van richtlijn 2016/680 voor doeleinden die binnen het toepassingsgebied van de AVG vallen, de lidstaten meer specifieke bepalingen moeten kunnen handhaven of invoeren om de toepassing van de regels van deze verordening aan te passen. In die bepalingen kunnen meer bepaald specifieke voorschriften voor de verwerking van persoonsgegevens door die bevoegde instanties voor de genoemde andere doeleinden worden vastgesteld, rekening houdend met de grondwettelijke, organisatorische en bestuurlijke structuur van de lidstaat in kwestie.
94 Hieruit moet dan ook worden afgeleid dat artikel 6, lid 3, AVG zich er niet tegen verzet dat de rechtsgrond voor een verwerking van persoonsgegevens wordt vastgesteld door de voor de verwerking verantwoordelijke overheidsinstantie in een regelgevingshandeling ter uitvoering van de wettelijke verplichtingen die op haar rusten in de zin van artikel 6, lid 1, eerste alinea, onder c), van deze verordening, voor zover deze instantie krachtens het nationale recht bevoegd is om die handeling vast te stellen, die rechtsgrond duidelijk en nauwkeurig is en de toepassing ervan voorspelbaar is voor de betrokkenen.
95 In casu blijkt duidelijk uit het dossier waarover het Hof beschikt dat de instructies van de minister van Binnenlandse Zaken regelgevingshandelingen zijn die zijn vastgesteld op grond van de in de ZMVR vastgestelde wettelijke bevoegdheid en dat die instructies worden bekendgemaakt in het Bulgaarse staatsblad. In het bijzonder moet echter nog worden nagegaan of de doeleinden van de verwerking in die rechtsgrond duidelijk en nauwkeurig zijn omschreven, zodat de toepassing ervan voorspelbaar is overeenkomstig artikel 6, lid 3, AVG, gelezen in het licht van overweging 41 van deze verordening.
96 Wat dit laatste betreft, blijkt uit het aan het Hof overgelegde dossier dat de instructies van die instantie, wat de documenten betreft die in het personeelsdossier van de ambtenaar moeten worden opgenomen, verwijzen naar documenten inzake tuchtprocedures.
97 Het staat aan de verwijzende rechter om te beoordelen of, gelet op alle relevante bepalingen van het Bulgaarse recht, een dergelijke vermelding op voldoende duidelijke, nauwkeurige en voorspelbare wijze aldus kan worden uitgelegd dat zij ook ziet op de bewaring van gegevens inzake een strafrechtelijk onderzoek tegen een ambtenaar, zelfs wanneer die ambtenaar noch aangeklaagd noch vervolgd is geweest voor het betrokken strafbaar feit en dat onderzoek niet tot tuchtprocedures heeft geleid.
98 Indien deze vraag bevestigend wordt beantwoord, rijst de vraag of de wettelijke verplichting in kwestie, voor zover zij een verwerking van persoonsgegevens als die in het hoofdgeding oplegt, beantwoordt aan een doelstelling van algemeen belang en evenredig is aan het nagestreefde gerechtvaardigde doel overeenkomstig artikel 6, lid 3, tweede alinea, AVG.
99 Wat de vraag betreft of de nationale regeling in kwestie beantwoordt aan een doelstelling van algemeen belang, heeft de Bulgaarse regering in essentie betoogd dat er een algemeen belang bestaat bij het bewaren van gegevens als die welke in het hoofdgeding aan de orde zijn, gelet op de specifieke taken waarmee politieagenten zijn belast en die met name bestaan in de handhaving van de openbare orde en de bescherming van de bevolking.
100 Zoals de advocaat-generaal in punt 86 van zijn conclusie heeft opgemerkt, wordt in dit verband algemeen aanvaard dat de taken van een politieagent vereisen dat deze strikte gedragsnormen naleeft en, zoals blijkt uit punt 45 van het onderhavige arrest, moeten politieagenten in Bulgarije aan hogere morele en ethische criteria voldoen dan andere categorieën werknemers of medewerkers, teneinde aan te tonen dat zij dus over de vereiste professionele en menselijke kwaliteiten beschikken om hun taken uit te oefenen. Zoals in punt 75 van het onderhavige arrest is opgemerkt, zijn deze gedragsnormen en criteria overigens uitdrukkelijk neergelegd in de nationale wet die de activiteiten van het ministerie van Binnenlandse Zaken en zijn ambtenaren regelt.
101 Derhalve kan worden geoordeeld dat het opleggen aan politieagenten van de verplichting om aan dergelijke criteria te voldoen, beantwoordt aan een doelstelling van algemeen belang die dus gerechtvaardigd is in de zin van artikel 6, lid 3, AVG, te weten de doelstelling die in essentie erin bestaat de integriteit te waarborgen van medewerkers die met name belast zijn met de handhaving van de openbare orde en de bescherming van de bevolking.
102 Bijgevolg kan een dergelijk legitiem doel rechtvaardigen dat in het personeelsdossier van een politieagent informatie wordt bewaard die met name betrekking heeft op diens status van verdachte in het kader van een strafrechtelijk onderzoek, wanneer dat strafrechtelijk onderzoek loopt of tot zijn vervolging of veroordeling heeft geleid, aangezien de bevoegde autoriteit in dergelijke gevallen mogelijkerwijs conservatoire of, in voorkomend geval, disciplinaire maatregelen moet nemen teneinde de naleving van de in punt 100 van het onderhavige arrest bedoelde gedragsnormen en criteria te waarborgen.
103 In een situatie zoals die in het hoofdgeding, waarin het strafrechtelijk onderzoek tegen de betrokken politieagent uiteindelijk is opgeschort omdat de identiteit van de dader niet kon worden vastgesteld, en waarin is geconcludeerd dat er geen bewijs bestond dat deze politieagent een strafbaar feit heeft gepleegd en er geen tuchtprocedure tegen hem is ingeleid, blijkt daarentegen niet uit de gegevens van het dossier waarover het Hof beschikt dat een nationale regeling die voorziet in de bewaring van gegevens met betrekking tot een dergelijk onderzoek, geschikt is om aan deze legitieme doelstelling te voldoen.
104 Mocht de verwijzende rechter niettemin tot de slotsom komen dat de in het hoofdgeding aan de orde zijnde nationale regeling aan een legitiem doel beantwoordt, dan dient hij voorts te beoordelen of de nationale regeling die deze verwerking voorschrijft, evenredig is. Wat in het bijzonder de bewaring van deze gegevens betreft, moet artikel 17, lid 3, onder b), AVG, gelezen in samenhang met artikel 5, lid 1, onder e), aldus worden uitgelegd dat wanneer de periode van opslag van die gegevens langer is dan noodzakelijk om aan deze verplichting te voldoen, de betrokkene zijn recht op gegevenswissing kan herkrijgen, met name om de in artikel 17, lid 1, onder a), van die verordening genoemde reden. Het staat dus in voorkomend geval aan de verwijzende rechter om na te gaan of de periode van opslag van de gegevens betreffende de strafprocedure tegen verzoeker in het hoofdgeding niet buitensporig lang was.
105 Aangezien de artikelen 7 tot en met 11 AVG – die net als de artikelen 5 en 6 AVG zijn opgenomen in hoofdstuk II van deze verordening, dat betrekking heeft op de „beginselen” – tot doel hebben de omvang te preciseren van de verplichtingen van de verwerkingsverantwoordelijke uit hoofde van artikel 5, lid 1, onder a), en artikel 6, lid 1, van die verordening, dient hieraan te worden toegevoegd dat de verwerking van persoonsgegevens slechts rechtmatig is indien zij ook in overeenstemming is met de andere bepalingen van hoofdstuk II, die in essentie betrekking hebben op de toestemming, de verwerking van bijzondere categorieën van gevoelige persoonsgegevens en de verwerking van persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten, zoals uit de rechtspraak van het Hof blijkt [arrest van 4 mei 2023, Bundesrepublik Deutschland (Gerechtelijke elektronische postbus), C‑60/22, EU:C:2023:373, punt 58 en aldaar aangehaalde rechtspraak].
106 De in het hoofdgeding aan de orde zijnde gegevens zijn persoonsgegevens „betreffende strafrechtelijke veroordelingen en strafbare feiten of daarmee verband houdende veiligheidsmaatregelen” in de zin van artikel 10 AVG, waarvan de verwerking is onderworpen aan de aanvullende rechtmatigheidsvoorwaarden van dat artikel 10, en dit ongeacht het feit dat tijdens het strafrechtelijk onderzoek niet is vastgesteld dat de inbreuk waarvan de persoon wordt verdacht, is gepleegd. In het bijzonder mogen volgens die bepaling dergelijke gegevens „alleen worden verwerkt onder toezicht van de overheid”, tenzij de verwerking „is toegestaan bij Unierechtelijke of lidstaatrechtelijke bepalingen die passende waarborgen voor de rechten en vrijheden van de betrokkenen bieden” [zie in die zin arrest van 24 september 2019, GC e.a. (Verwijdering van links naar gevoelige gegevens), C‑136/17, EU:C:2019:773, punten 72 en 73].
107 Zoals de advocaat-generaal in punt 98 van zijn conclusie heeft opgemerkt, vindt in de onderhavige zaak de in het hoofdgeding aan de orde zijnde verwerking uitsluitend plaats binnen het ministerie van Binnenlandse Zaken, dat de verwerkingsverantwoordelijke is. Bijgevolg vindt deze verwerking plaats „onder toezicht van de overheid” in de zin van artikel 10 AVG.
108 Wat ten slotte de in het hoofdgeding aan de orde zijnde vordering om wissing op grond van artikel 17 AVG betreft, moet worden opgemerkt dat – zoals de Europese Commissie heeft aangegeven – indien de verwijzende rechter na zijn beoordeling van de rechtmatigheid van die verwerking tot de slotsom komt dat deze verwerking onrechtmatig is, het aan het ministerie van Binnenlandse Zaken als verwerkingsverantwoordelijke staat om overeenkomstig artikel 17, lid 1, onder d), AVG de betrokken gegevens zonder onredelijke vertraging te wissen, voor zover geen van de uitzonderingen van artikel 17, lid 3, van de AVG van toepassing zouden zijn (zie in die zin arrest van 4 oktober 2024, Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, punt 118 en aldaar aangehaalde rechtspraak).
109 Gelet op een en ander moet op de vijfde en de zesde vraag worden geantwoord dat artikel 17, lid 3, onder b), AVG, gelezen in samenhang met artikel 6, lid 1, eerste alinea, onder c), en artikel 6, lid 3, alsmede in het licht van artikel 52, lid 1, van het Handvest, aldus moet worden uitgelegd dat de bewaring, in het personeelsdossier van een politieagent, van persoonsgegevens die betrekking hebben op diens status van verdachte in het kader van een opgeschort strafrechtelijk onderzoek, waarbij die agent noch aangeklaagd noch vervolgd is geweest voor het betrokken strafbaar feit, met het oog op het beheer van zijn loopbaan en op de controle van de naleving door die agent van de aan zijn functie inherente regels, als gerechtvaardigd kan worden beschouwd ter nakoming van een wettelijke verplichting waaraan de overheidsinstantie, de werkgever van die agent, krachtens het nationale recht is onderworpen, op voorwaarde dat die rechtsgrond duidelijk en nauwkeurig is, de toepassing ervan voorspelbaar is voor de betrokkenen en die verplichting beantwoordt aan een doelstelling van algemeen belang en daaraan evenredig is.
Tiende vraag
110 Gelet op de antwoorden op de eerste tot en met de derde en de vijfde tot en met de negende vraag, waaruit blijkt dat de vordering om wissing van de in het hoofdgeding aan de orde zijnde gegevens onder de AVG en in het bijzonder onder artikel 17 valt, hoeft de tiende vraag niet te worden beantwoord, aangezien die vraag betrekking heeft op dezelfde vordering, maar dan op grond van artikel 16, lid 2, van richtlijn 2016/680.
Elfde vraag
111 Met zijn elfde vraag wenst de verwijzende rechter in essentie te vernemen of artikel 1 van richtlijn 2000/78 aldus moet worden uitgelegd dat deze richtlijn eraan in de weg staat dat een overheidsinstantie, waarvan een directoraat belast is met het voeren van strafrechtelijke onderzoeken naar de bij die instantie in dienst zijnde ambtenaren, in haar hoedanigheid van werkgever weigert om een van haar ambtenaren te bevorderen, uitsluitend op grond van het feit dat deze de status van verdachte had in het kader van een dergelijk onderzoek dat uiteindelijk is opgeschort, waarbij die agent noch aangeklaagd noch vervolgd is geweest voor het betrokken strafbaar feit.
112 In dit verband dient in herinnering te worden gebracht dat richtlijn 2000/78, zoals blijkt uit artikel 1, tot doel heeft met betrekking tot arbeid en beroep een algemeen kader te creëren voor de bestrijding van discriminatie op grond van godsdienst of overtuiging, handicap, leeftijd of seksuele geaardheid. Zoals met name blijkt uit artikel 2, lid 1, van deze richtlijn, zijn deze gronden limitatief opgesomd (zie in die zin arresten van 21 mei 2015, SCMD, C‑262/14, EU:C:2015:336, punt 29 en aldaar aangehaalde rechtspraak, en 9 maart 2017, Milkova, C‑406/15, EU:C:2017:198, punt 34 en aldaar aangehaalde rechtspraak).
113 De weigering om een persoon te bevorderen omdat hij verdachte is geweest in een strafrechtelijk onderzoek dat uiteindelijk is opgeschort, valt derhalve niet onder de werkingssfeer van richtlijn 2000/78.
114 Wat discriminatie op grond van het dienstverband als zodanig betreft, heeft het Hof voorts reeds geoordeeld dat een dergelijke discriminatie niet valt binnen het door richtlijn 2000/78 vastgestelde algemeen kader (arrest van 9 maart 2017, Milkova, C‑406/15, EU:C:2017:198, punt 44 en aldaar aangehaalde rechtspraak).
115 Bijgevolg moet op de elfde vraag worden geantwoord dat artikel 1 van richtlijn 2000/78 aldus moet worden uitgelegd dat deze richtlijn niet van toepassing is wanneer een overheidsinstantie, waarvan een directoraat belast is met het voeren van strafrechtelijke onderzoeken naar de bij die instantie in dienst zijnde ambtenaren, in haar hoedanigheid van werkgever weigert om een van haar ambtenaren te bevorderen, uitsluitend op grond van het feit dat deze de status van verdachte had in het kader van een dergelijk onderzoek dat uiteindelijk is opgeschort, waarbij die agent noch aangeklaagd noch vervolgd is geweest voor het betrokken strafbaar feit.
Kosten
116 Ten aanzien van de partijen in het hoofdgeding is de procedure als een aldaar gerezen incident te beschouwen, zodat de verwijzende rechter over de kosten heeft te beslissen. De door anderen wegens indiening van hun opmerkingen bij het Hof gemaakte kosten komen niet voor vergoeding in aanmerking.
Het Hof (Vijfde kamer) verklaart voor recht:
1) Artikel 2, lid 1, van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming), en artikel 9, lid 1, van richtlijn (EU) 2016/680 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, en betreffende het vrije verkeer van die gegevens en tot intrekking van kaderbesluit 2008/977/JBZ van de Raad
moeten aldus worden uitgelegd dat
deze verordening van toepassing is op de activiteit die door het directoraat van een overheidsinstantie wordt verricht en die erin bestaat dat in het personeelsdossier van een van haar ambtenaren gegevens worden bewaard betreffende zijn status van verdachte in het kader van een strafrechtelijk onderzoek. In dit verband is het niet van belang dat dit directoraat deze gegevens heeft verkregen via een ander directoraat dat tot dezelfde overheidsinstantie behoort en dat bevoegd is om dit soort onderzoeken uit te voeren.
2) Artikel 17, lid 3, onder b), van verordening 2016/679, gelezen in samenhang met artikel 6, lid 1, eerste alinea, onder c), en artikel 6, lid 3, alsmede in het licht van artikel 52, lid 1, van het Handvest van de grondrechten van de Europese Unie,
moet aldus worden uitgelegd dat
de bewaring, in het personeelsdossier van een politieagent, van persoonsgegevens die betrekking hebben op diens status van verdachte in het kader van een opgeschort strafrechtelijk onderzoek, waarbij die agent noch aangeklaagd noch vervolgd is geweest voor het betrokken strafbaar feit, met het oog op het beheer van zijn loopbaan en op de controle van de naleving door die agent van de aan zijn functie inherente regels, als gerechtvaardigd kan worden beschouwd ter nakoming van een wettelijke verplichting waaraan de overheidsinstantie, de werkgever van die agent, krachtens het nationale recht is onderworpen, op voorwaarde dat die rechtsgrond duidelijk en nauwkeurig is, de toepassing ervan voorspelbaar is voor de betrokkenen en die verplichting beantwoordt aan een doelstelling van algemeen belang en daaraan evenredig is.
3) Artikel 1 van richtlijn 2000/78/EG van de Raad van 27 november 2000 tot instelling van een algemeen kader voor gelijke behandeling in arbeid en beroep
moet aldus worden uitgelegd dat
deze richtlijn niet van toepassing is wanneer een overheidsinstantie, waarvan een directoraat belast is met het voeren van strafrechtelijke onderzoeken naar de bij die instantie in dienst zijnde ambtenaren, in haar hoedanigheid van werkgever weigert om een van haar ambtenaren te bevorderen, uitsluitend op grond van het feit dat deze de status van verdachte had in het kader van een dergelijk onderzoek dat uiteindelijk is opgeschort, waarbij die agent noch aangeklaagd noch vervolgd is geweest voor het betrokken strafbaar feit.
ondertekeningen
* Procestaal: Bulgaars.
i Dit is een fictieve naam, die niet overeenkomt met de werkelijke naam van enige partij in de procedure.