This document is an excerpt from the EUR-Lex website
Document 62021CC0180
Opinion of Advocate General Campos Sánchez-Bordona delivered on 19 May 2022.###
Opinia rzecznika generalnego Campos Sánchez-Bordona przedstawiona w dniu 19 maja 2022 r.
VS przeciwko Inspektor v Inspektorata kam Visshia sadeben savet.
Wniosek o wydanie orzeczenia w trybie prejudycjalnym złożony przez Administrativen sad – Blagoevgrad.
Odesłanie prejudycjalne – Ochrona osób fizycznych w zakresie przetwarzania danych osobowych – Rozporządzenie (UE) 2016/679 – Artykuły 2, 4 i 6 – Możliwość stosowania rozporządzenia nr 2016/679 – Pojęcie „prawnie uzasadnionego interesu” – Pojęcie „zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej” – Dyrektywa (UE) 2016/680 – Artykuły 1, 3, 4, 6 i 9 – Zgodność z prawem przetwarzania danych osobowych zgromadzonych w ramach postępowania karnego – Dalsze przetwarzanie danych dotyczących potencjalnej ofiary czynu zabronionego dla celów oskarżenia tej osoby – Pojęcie „celu innego niż cel, w którym dane osobowe zostały zebrane” – Dane używane przez prokuraturę państwa członkowskiego w celu jej obrony w ramach skargi o stwierdzenie odpowiedzialności odszkodowawczej państwa.
Sprawa C-180/21.
Opinia rzecznika generalnego Campos Sánchez-Bordona przedstawiona w dniu 19 maja 2022 r.
VS przeciwko Inspektor v Inspektorata kam Visshia sadeben savet.
Wniosek o wydanie orzeczenia w trybie prejudycjalnym złożony przez Administrativen sad – Blagoevgrad.
Odesłanie prejudycjalne – Ochrona osób fizycznych w zakresie przetwarzania danych osobowych – Rozporządzenie (UE) 2016/679 – Artykuły 2, 4 i 6 – Możliwość stosowania rozporządzenia nr 2016/679 – Pojęcie „prawnie uzasadnionego interesu” – Pojęcie „zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej” – Dyrektywa (UE) 2016/680 – Artykuły 1, 3, 4, 6 i 9 – Zgodność z prawem przetwarzania danych osobowych zgromadzonych w ramach postępowania karnego – Dalsze przetwarzanie danych dotyczących potencjalnej ofiary czynu zabronionego dla celów oskarżenia tej osoby – Pojęcie „celu innego niż cel, w którym dane osobowe zostały zebrane” – Dane używane przez prokuraturę państwa członkowskiego w celu jej obrony w ramach skargi o stwierdzenie odpowiedzialności odszkodowawczej państwa.
Sprawa C-180/21.
Court reports – general
ECLI identifier: ECLI:EU:C:2022:406
MANUELA CAMPOSA SÁNCHEZA-BORDONY
przedstawiona w dniu 19 maja 2022 r. ( 1 )
Sprawa C‑180/21
VS
przeciwko
Inspektor v Inspektorata kym Wisszija sydeben sywet,
przy udziale:
Teritorialno otdelenie – Petricz kym Rajonna prokuratura – Błagojewgrad
[wniosek o wydanie orzeczenia w trybie prejudycjalnym złożony przez Administratiwen syd – Błagojewgrad (sąd administracyjny w mieście Błagojewgrad, Bułgaria)]
Odesłanie prejudycjalne – Ochrona osób fizycznych w zakresie przetwarzania danych osobowych – Rozporządzenie (UE) 2016/679 – Artykuły 4 i 6 – Dyrektywa (UE) 2016/680 – Artykuły 1, 2–4 i 9 – Zgodność z prawem przetwarzania danych osobowych w ramach postępowania karnego – Przetwarzanie danych osobowych dotyczących pokrzywdzonego w wyniku czynu zabronionego w celu późniejszego postawienia mu zarzutów i obrony prokuratury w postępowaniu cywilnym – Pojęcie „celów innych niż ten, w którym dane zostały zebrane”
1. |
Podstawową zasadą rozporządzenia (UE) 2016/679 ( 2 ), które stanowi ogólne uregulowanie w dziedzinie ochrony danych osobowych, oraz dyrektywy (UE) 2016/680 ( 3 ) (lex specialis w tej samej dziedzinie w postępowaniach karnych) jest ograniczenie zbierania takich danych i ich przetwarzania do konkretnych celów określonych przepisami prawa. |
2. |
W niniejszej sprawie Trybunał musi odpowiedzieć na wątpliwości sądu bułgarskiego dotyczące wykładni RODO i dyrektywy 2016/680, aby wyjaśnić, czy doszło do niezgodnego z prawem przetwarzania danych osobowych będących w posiadaniu prokuratury państwa członkowskiego, w przypadku gdy:
|
A. Ramy prawne. Prawo Unii
1. RODO
3. |
Zgodnie z art. 2 („Materialny zakres stosowania”): „1. Niniejsze rozporządzenie ma zastosowanie do przetwarzania danych osobowych w sposób całkowicie lub częściowo zautomatyzowany oraz do przetwarzania w sposób inny niż zautomatyzowany danych osobowych stanowiących część zbioru danych lub mających stanowić część zbioru danych. 2. Niniejsze rozporządzenie nie ma zastosowania do przetwarzania danych osobowych:
[…]
[…]”. |
4. |
Artykuł 4 („Definicje”) stanowi: „Na użytek niniejszego rozporządzenia: […]
[…]
[…]”. |
5. |
Artykuł 5 („Zasady dotyczące przetwarzania danych osobowych”) stanowi: „1. Dane osobowe muszą być:
[…]”. |
6. |
Artykuł 6 („Zgodność przetwarzania z prawem”) brzmi następująco: „1. Przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest co najmniej jeden z poniższych warunków:
[…]
[…]
Akapit pierwszy lit. f) nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań. […] 3. Podstawa przetwarzania, o którym mowa w ust. 1 lit. c) i e), musi być określona:
Cel przetwarzania musi być określony w tej podstawie prawnej lub, w przypadku przetwarzania, o którym mowa w ust. 1 lit. e) – musi być ono niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi. Podstawa prawna może zawierać przepisy szczegółowe dostosowujące stosowanie przepisów niniejszego rozporządzenia […]. Prawo Unii lub prawo państwa członkowskiego muszą służyć realizacji celu leżącego w interesie publicznym, oraz być proporcjonalne do wyznaczonego, prawnie uzasadnionego celu. 4. Jeżeli przetwarzanie w celu innym niż cel, w którym dane osobowe zostały zebrane, nie odbywa się na podstawie zgody osoby, której dane dotyczą, ani prawa Unii lub prawa państwa członkowskiego stanowiących w demokratycznym społeczeństwie niezbędny i proporcjonalny środek służący zagwarantowaniu celów, o których mowa w art. 23 ust. 1, administrator – aby ustalić, czy przetwarzanie w innym celu jest zgodne z celem, w którym dane osobowe zostały pierwotnie zebrane – bierze pod uwagę między innymi:
|
2. Dyrektywa 2016/680
7. |
Zgodnie z art. 1 („Przedmiot i cele”): „1. Niniejsza dyrektywa ustanawia przepisy o ochronie osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w tym ochrony przed zagrożeniami dla bezpieczeństwa publicznego i zapobiegania takim zagrożeniom. 2. Zgodnie z niniejszą dyrektywą państwa członkowskie:
[…]”. |
8. |
Artykuł 2 („Zakres zastosowania”) stanowi: „1. Niniejsza dyrektywa ma zastosowanie do przetwarzania danych osobowych przez właściwe organy do celów określonych w art. 1 ust. 1. […] 3. Niniejsza dyrektywa nie ma zastosowania do przetwarzania danych osobowych:
[…]”. |
9. |
W art. 3 ust. 1, 2 i 8 powtórzono definicje zawarte w art. 4 ust. 1, 2 i 7 RODO. |
10. |
Artykuł 4 („Zasady dotyczące przetwarzania danych osobowych”) stanowi: „[…] 2. Przetwarzanie przez tego samego lub innego administratora w jednym z celów określonych w art. 1 ust. 1 innym niż cel, w którym dane osobowe zostały zebrane, jest dozwolone, o ile:
[…]”. |
11. |
Artykuł 6 („Rozróżnianie poszczególnych kategorii osób, których dane dotyczą”) stanowi: „Państwa członkowskie zapewniają, by administrator – w stosownym przypadku i w miarę możliwości – wyraźnie rozróżniał dane osobowe poszczególnych kategorii osób, których dane dotyczą, takich jak:
|
12. |
Artykuł 8 („Zgodność przetwarzania z prawem”) brzmi następująco: „1. Państwa członkowskie zapewniają, by przetwarzanie było zgodne z prawem wyłącznie wówczas i w zakresie, w jakim jest ono niezbędne do wykonania zadania realizowanego przez właściwy organ w celach określonych w art. 1 ust. 1 oraz ma podstawę w prawie Unii lub prawie państwa członkowskiego. 2. Prawo państwa członkowskiego regulujące przetwarzanie w zakresie stosowania niniejszej dyrektywy określa co najmniej powody przetwarzania, dane osobowe mające podlegać przetwarzaniu oraz cele przetwarzania”. |
13. |
Zgodnie z art. 9 („Szczególne warunki przetwarzania”): „1. Danych osobowych zebranych przez właściwe organy do celów określonych w art. 1 ust. 1 nie przetwarza się do celów innych niż określone w art. 1 ust. 1, chyba że takie przetwarzanie jest dozwolone prawem Unii lub prawem państwa członkowskiego. Jeżeli przetwarzanie danych osobowych odbywa się w takich innych celach, zastosowanie ma [RODO], chyba że przetwarzanie odbywa się w toku działalności nieobjętej prawem Unii. 2. Jeżeli prawo państwa członkowskiego powierza właściwym organom wykonywanie zadań innych niż zadania wykonywane w celach określonych w art. 1 ust. 1, to do przetwarzania w takich celach, w tym na potrzeby archiwizacji w interesie publicznym, wykorzystania do celów naukowych, statystycznych lub historycznych, ma zastosowanie [RODO], chyba że przetwarzanie odbywa się w toku działalności nieobjętej prawem Unii. […]”. |
B. Prawo krajowe
1. Konstytucja Republiki Bułgarii ( 4 )
14. |
Artykuł 127 ustanawia wyłączne uprawnienia prokuratury do kierowania postępowaniem przygotowawczym, stawiania zarzutów i wnoszenia oskarżenia przed sądem w sprawach karnych prowadzonych z oskarżenia publicznego. |
2. Zakon za zasztita na licznite danni ( 5 )
15. |
Artykuł 1 stanowi: „1) Niniejsza ustawa reguluje stosunki publiczne związane z ochroną praw osób fizycznych w odniesieniu do przetwarzania ich danych osobowych w zakresie, w jakim nie są one uregulowane w [RODO]. 2) Niniejsza ustawa ustanawia również zasady ochrony osób fizycznych w przypadku przetwarzania danych osobowych przez właściwe organy dla celów zapobiegania przestępczości i wykrywania czynów zabronionych, prowadzenia postępowań przygotowawczych i ścigania czynów zabronionych lub wykonania kar, w tym ochrony przed zagrożeniami dla porządku publicznego i bezpieczeństwa publicznego oraz zapobiegania takim zagrożeniom. […]”. |
16. |
Artykuł 17 stanowi: „1) Inspektorat wyższej rady sądownictwa zapewnia kontrolę i przestrzeganie [RODO], niniejszej ustawy oraz aktów dotyczących ochrony danych osobowych w odniesieniu do przetwarzania danych osobowych przez: 1. sąd w ramach wykonywania jego zadań jako organu władzy sądowniczej; oraz 2. prokuraturę i organy ścigania w ramach wykonywania ich zadań jako organów sądowych w celach zapobiegania przestępczości, wykrywania czynów zabronionych, prowadzenia postępowań przygotowawczych i ścigania czynów zabronionych lub wykonania kar. […]”. |
17. |
Artykuł 42 stanowi: „1) Przepisy niniejszego rozdziału stosuje się w przypadku przetwarzania danych osobowych przez właściwe organy dla celów zapobiegania przestępczości i wykrywania czynów zabronionych, prowadzenia postępowań przygotowawczych i ścigania czynów zabronionych lub wykonania kar, w tym ochrony przed zagrożeniami dla porządku publicznego i bezpieczeństwa publicznego oraz zapobiegania takim zagrożeniom. 2) Dane osobowe zebrane w celach określonych w ust. 1 nie mogą być przetwarzane w innych celach, chyba że prawo Unii lub prawo Republiki Bułgarii stanowią inaczej. 3) W przypadku gdy organy właściwe zgodnie z ust. 1 przetwarzają dane osobowe w celach innych niż te, o których mowa w ust. 1, jak również w przypadkach przewidzianych w ust. 2 stosuje się [RODO] oraz odpowiednie przepisy niniejszej ustawy wprowadzające środki wykonujące RODO. 4) »Właściwy organ« w rozumieniu ust. 1 oznacza każdy organ publiczny właściwy w zakresie zapobiegania przestępczości i wykrywania czynów zabronionych, prowadzenia postępowań przygotowawczych i ścigania czynów zabronionych lub wykonania kar, w tym ochrony przed zagrożeniami dla porządku publicznego i bezpieczeństwa publicznego oraz zapobiegania takim zagrożeniom. 5) O ile przepisy ustawy nie stanowią inaczej, administratorem danych osobowych w rozumieniu niniejszego rozdziału do celów określonych w ust. 1 jest właściwy organ w rozumieniu ust. 4 lub jednostka administracyjna, w skład której wchodzi ten organ, która samodzielnie lub wspólnie z innymi organami określa cele i sposoby przetwarzania danych osobowych”. |
18. |
Artykuł 45 stanowi: „[…] 2) Na przetwarzanie danych osobowych przez administratora, który pierwotnie je zebrał, lub przez innego administratora w jednym z celów, o których mowa w art. 42 ust. 1, innym niż cel, w którym dane osobowe zostały zebrane, zezwala się, pod warunkiem że: 1. administrator jest uprawniony do przetwarzania danych osobowych w takim celu zgodnie z prawem Unii lub prawem Republiki Bułgarii; oraz 2. przetwarzanie jest niezbędne i proporcjonalne do tego innego celu zgodnie z prawem Unii lub prawem Republiki Bułgarii. […]”. |
19. |
Artykuł 47 stanowi powtórzenie art. 6 dyrektywy 2016/680. |
20. |
Artykuł 49 stanowi: „Przetwarzanie danych osobowych jest zgodne z prawem, gdy jest niezbędne dla wykonywania uprawnień przez właściwy organ w celach, o których mowa w art. 42 ust. 1, i jest przewidziane w prawie Unii lub w ustawie, w której określono cele przetwarzania i kategorie przetwarzanych danych osobowych”. |
II. Okoliczności faktyczne, postępowanie i pytania prejudycjalne
21. |
Pod kierunkiem Rajonna prokuratura – Petricz (prokuratury rejonowej w mieście Petricz, Bułgaria) wszczęto postępowanie przygotowawcze (sprawa nr 252/2013 policji w mieście Petricz) ( 6 ) w celu ustalenia czynów stanowiących przestępstwo ( 7 ), które miały miejsce w dniu 18 kwietnia 2013 r. |
22. |
Dane osobowe VS zostały pierwotnie zebrane w toku tego postępowania, gdy miał on status pokrzywdzonego. |
23. |
Postanowieniami prokuratury z dni 4 i 5 kwietnia 2018 r. czterem osobom (w tym VS) postawiono zarzuty popełnienia tych czynów. |
24. |
W dniu 10 listopada 2020 r. Rajonen syd – Petricz (sąd rejonowy w mieście Petricz, Bułgaria) umorzył postępowanie karne z powodu przedawnienia. |
25. |
W 2016 i 2017 r., w związku z zawiadomieniami o popełnieniu przestępstwa skierowanymi przeciwko VS prokuratura rejonowa w mieście Petricz zarządziła postępowania sprawdzające w kilku sprawach ( 8 ), które nie doprowadziły do wszczęcia jakiegokolwiek postępowania karnego z powodu braku danych wskazujących na popełnienie przestępstwa. |
26. |
W 2018 r. VS wniósł powództwo cywilne ( 9 ) przeciwko prokuraturze Republiki Bułgarii do Okryżen syd – Błagojewgrad (sądu okręgowego w mieście Błagojewgrad, Bułgaria), wnosząc o zasądzenie odszkodowania za szkodę spowodowaną przewlekłością postępowania karnego nr 252/2013. |
27. |
W celu obrony przed tym powództwem cywilnym prokuratura wniosła do sądu o dołączenie akt spraw nr 517/2016 i nr 1872/2016 prokuratury rejonowej w mieście Petricz. |
28. |
Postanowieniem z dnia 15 października 2018 r. Okryżen syd – Błagojewgrad (sąd okręgowy w mieście Błagojewgrad) nakazał prokuraturze rejonowej w mieście Petricz przedstawienie odpisów dokumentów zawartych w aktach spraw nr 517/2016 i 1872/2016. |
29. |
W dniu 12 marca 2020 r. VS wniósł skargę do Inspektorata kym Wisszija sydeben sywet (inspektoratu wyższej rady sądownictwa, zwanego dalej „IVSS”), ponieważ jego zdaniem miało miejsce podwójne niezgodne z prawem przetwarzanie jego danych osobowych przez prokuraturę, która miała wykorzystać w sposób niewłaściwy:
|
30. |
W dniu 22 czerwca 2020 r. IVSS oddalił podwójną skargę VS. |
31. |
VS zaskarżył tę decyzję IVSS do Administratiwen syd – Błagojewgrad (sądu administracyjnego w mieście Błagojewgrad, Bułgaria), który zwraca się do Trybunału z następującymi pytaniami prejudycjalnymi:
|
III. Postępowanie przed Trybunałem
32. |
Wniosek o wydanie orzeczenia w trybie prejudycjalnym wpłynął do sekretariatu Trybunału w dniu 23 marca 2021 r. |
33. |
VS, IVSS, rządy Bułgarii, Czech i Niderlandów oraz Komisja Europejska wzięły udział w postępowaniu i przedstawiły uwagi na piśmie. |
34. |
Trybunał nie uznał za niezbędne przeprowadzenia rozprawy, o którą nie wnioskowała żadna ze stron. |
IV. Analiza
A. Uwagi wstępne dotyczące mającego zastosowanie prawa Unii
35. |
RODO i dyrektywa 2016/680 tworzą spójny system, w którym:
|
36. |
Ochrona zapewniona przez system utworzony przez te dwa akty prawne opiera się na zasadach zgodności z prawem, rzetelności, przejrzystości oraz – w zakresie, w jakim to ma znaczenie w niniejszej sprawie – na zasadzie ścisłego ograniczenia zbierania danych i ich przetwarzania w celach określonych przez prawo ( 10 ). |
37. |
W szczególności art. 5 ust. 1 lit. b) RODO stanowi, że dane muszą być „zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami” ( 11 ). Takie jest też brzmienie art. 4 ust. 1 lit. b) dyrektywy 2016/680 jako lex specialis. |
38. |
Dane osobowe nie mogą być zatem zbierane i przetwarzane w sposób ogólny, lecz tylko w określonych celach ( 12 ) i z zastrzeżeniem warunków zgodności z prawem ustanowionych przez prawodawcę Unii. |
39. |
Zasada ścisłego powiązania między zbieraniem i przetwarzaniem danych, z jednej strony, a celami, którym obie te operacje powinny służyć, z drugiej strony, nie ma charakteru bezwzględnego, ponieważ zarówno RODO, jak i dyrektywa 2016/680 dopuszczają pewną elastyczność, co wyjaśnię w dalszej części. |
40. |
W sporze w postępowaniu głównym sąd administracyjny musi rozstrzygnąć, czy organ nadzorczy (IVSS) ( 13 ) działał zgodnie z prawem, oddalając skargę, w której VS zarzucił bułgarskiej prokuraturze niezgodne z prawem przetwarzanie jego danych osobowych. |
41. |
Jak już wyjaśniłem, dane te zostały zebrane w dwóch różnych kontekstach:
|
42. |
Pytania sądu odsyłającego dotyczą odpowiednio:
|
43. |
Zgadzam się z sądem odsyłającym oraz ze wszystkimi stronami, które są uczestnikami niniejszego postępowania prejudycjalnego, że przetwarzanie danych osobowych, które jest przedmiotem pierwszego pytania prejudycjalnego, jest objęte zakresem dyrektywy 2016/680. |
44. |
Zgodnie z art. 1 ust. 1 i art. 2 ust. 1 dyrektywy 2016/680 dyrektywa ta ma zastosowanie do przetwarzania danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych. W niniejszej sprawie dane VS zostały zebrane i przetworzone właśnie w ramach postępowania przygotowawczego. |
45. |
Jednakże w odniesieniu do przekazywania danych osobowych do celów postępowania cywilnego prowadzonego przeciwko prokuraturze (drugie pytanie prejudycjalne) zastosowanie będzie miało RODO, jeżeli to przekazywanie stanowi przetwarzanie danych w celach innych niż określone w art. 1 ust. 1 dyrektywy 2016/680, ale objętych działalnością wchodzącą w zakres prawa Unii. |
B. Pierwsze pytanie prejudycjalne: zmiana przeznaczenia ad intra danych osobowych zbieranych w celach objętych zakresem zastosowania dyrektywy 2016/680
46. |
Zgodnie z art. 4 ust. 2 dyrektywy 2016/680 „[p]rzetwarzanie przez tego samego lub innego administratora w jednym z celów określonych w art. 1 ust. 1[ ( 15 )] innym niż cel, w którym dane osobowe zostały zebrane, jest dozwolone, o ile:
|
47. |
Dyrektywa 2016/680 zezwala zatem na przeznaczenie ad intra danych osobowych zebranych na jej podstawie. Dane, które zostały zebrane w jednym z celów wymienionych w art. 1 ust. 1 tej dyrektywy, mogą również, pod pewnymi warunkami, być wykorzystane w jednym lub w kilku innych celach zawartych w tym wyliczeniu. |
48. |
Kwestia podniesiona w pierwszym pytaniu prejudycjalnym dotyczy tego, czy dane osobowe VS uzyskane w czasie, gdy występował on jako domniemany pokrzywdzony w wyniku przestępstwa będącego przedmiotem dochodzenia, mogą być następnie przetwarzane przeciwko niemu jako osobie podejrzanej lub oskarżonej w toku tego samego postępowania karnego. |
49. |
Innymi słowy, konieczne jest wyjaśnienie, czy dane osobowe VS były przetwarzane w tym samym celu, który uzasadniał ich pierwotne zbieranie, czy też raczej w dwóch różnych celach, lecz objętych zakresem stosowania dyrektywy 2016/680. W tym drugim przypadku przetwarzanie danych powinno podlegać szczególnym warunkom określonym w art. 4 ust. 2 tej dyrektywy. |
50. |
Sąd odsyłający sformułował swoje pierwsze pytanie w sposób nieco dwuznaczny w odniesieniu do przedmiotu sporu. Zmierza on do ustalenia dosłownie, czy art. 1 ust. 1 dyrektywy 2016/680 należy interpretować „w ten sposób, że przy wskazaniu celów wylicza on »zapobieganie, prowadzenie postępowań przygotowawczych, wykrywanie i ściganie czynów zabronionych« jako aspekty jednego ogólnego celu”. |
51. |
W świetle tego stwierdzenia sądu odsyłającego należałoby być może przeformułować jego pierwsze pytanie zgodnie z propozycją stron i uczestników niniejszego postępowania prejudycjalnego. Zamiast skupiać się na abstrakcyjnym związku między celem ogólnym a celem szczegółowym, w rzeczywistości znaczenie ma (i w rzeczywistości dotyczyła tego skarga VS) to, czy w ramach postępowania karnego regulowanego dyrektywą 2016/680 cel, który doprowadził do zebrania danych dotyczącej danej osoby w jej charakterze jako domniemanego pokrzywdzonego w wyniku przestępstwa, nadal istnieje, gdy dane te prowadzą do późniejszego postawieniu zarzutów owej osobie w tym samym postępowaniu. |
52. |
Wykładnia językowa art. 1 ust. 1 dyrektywy 2016/680 wskazuje na to, że w jego ramach można wyróżnić trzy rodzaje celów, odpowiadające różnym momentom i różnym działalnościom:
|
53. |
Z systemowego lub kontekstowego punktu widzenia art. 4 ust. 2 dyrektywy 2016/680 przemawia za uznaniem każdego z tych celów za oddzielny. W przeciwnym razie, jak zauważył rząd Niderlandów, przepis ten byłby pozbawiony treści, ponieważ dotyczy on właśnie „celów określonych w art. 1 ust. 1 inny[ch] niż cel, w którym dane osobowe zostały zebrane […]”. |
54. |
W oparciu o powyższe założenie postaram się wyjaśnić, dlaczego w niniejszej sprawie sporne dane zostały uzyskane i były przetwarzane w jednym z celów (polegającym na „prowadzeniu postępowania przygotowawczego”), o których mowa w art. 1 ust. 1 dyrektywy 2016/680, co decyduje o stosowaniu tej dyrektywy i związanej z tym zgodności przetwarzania z prawem. |
55. |
Ewentualnie, gdyby uzyskanie i przetwarzanie danych odbywało się w dwóch spośród celów wymienionych w art. 4 ust. 2 dyrektywy 2016/680, ich zgodność z prawem również byłaby bezsporna. |
1. Ten sam cel
56. |
W postępowaniu karnym nie zawsze można od początku określić status procesowy osób, których dotyczy to postępowanie. W wielu przypadkach celem tych postępowań jest zidentyfikowanie, a zatem „kategoryzacja” osób, które prima facie jawią się jako sprawcy, pokrzywdzeni lub świadkowie zdarzeń. |
57. |
Na tym etapie przygotowawczym logiczne jest, że istnieje pewna płynność w kategoryzacji. Postępowanie przygotowawcze powinno prowadzić – w świetle dokonanych w jego toku ustaleń – do dokładnego określenia statusu, w jakim wspomniane osoby będą występować w postępowaniu karnym. |
58. |
Dotyczy to w szczególności spraw takich jak niniejsza. Zdaniem sądu odsyłającego doszło do wzajemnych napaści między kilkoma osobami. Jednej z nich, która początkowo występowała jako pokrzywdzony, ostatecznie zostały postawione zarzuty jako sprawcy tych napaści. |
59. |
W tym kontekście całość prowadzonej działalności mieści się w pojęciu „prowadzenia postępowań przygotowawczych” zawartemu w art. 1 ust. 1 dyrektywy 2016/680. Cel tej działalności był zatem jednolity i odpowiada jednemu z „celów”, którym może służyć przetwarzanie danych osobowych. |
60. |
Sąd odsyłający ma jednak wątpliwości, czy taka wykładnia art. 1 ust. 1 dyrektywy 2016/680 jest zgodna z motywem 31 tej dyrektywy ( 16 ). |
61. |
Zgadzam się z poglądem większości stron, że motyw ten, podobnie jak art. 6 dyrektywy 2016/680, który stanowi jego powtórzenie, nie mają znaczenia dla ustalenia, czy nastąpiła zmiana celów, o której mowa w art. 4 ust. 2 tej dyrektywy. |
62. |
Zgodnie z art. 6 dyrektywy 2016/680 wyraźne rozróżnienie między danymi osobowymi różnych kategorii osób, których dane dotyczą, ma miejsce tylko „w stosownym przypadku i w miarę możliwości”. Z powodów przedstawionych powyżej na początkowym etapie postępowania prowadzonego w sprawie zdarzeń takich jak te, które miały miejsce w niniejszej sprawie, jasne określenie od samego początku „poszczególnych kategorii osób, których dane dotyczą”, nie jest łatwe. Co więcej, ten sam uczestnik owych zdarzeń może być zarówno pokrzywdzonym, jak i sprawcą napaści. |
63. |
Nawet gdyby administrator danych uzyskanych w postępowaniu karnym wyraźnie rozróżniał na początku i w toku postępowania przygotowawczego pomiędzy pokrzywdzonymi, podejrzanymi i świadkami, nie zmieniłoby to celu (prowadzenie postępowania przygotowawczego) leżącego u podstaw zbierania i przetwarzania tych danych. |
64. |
Innymi słowy, przyznanie kolejno takiego lub innego statusu (pokrzywdzonego, świadka, uczestnika) osobom, które występują w postępowaniu przygotowawczym, niekoniecznie pociąga za sobą zmianę celów w rozumieniu art. 4 ust. 2 dyrektywy 2016/680. |
2. Dwa równoległe cele
65. |
Ewentualnie, gdyby spełnione zostały okoliczności przewidziane w art. 4 ust. 2 dyrektywy 2016/680, przetwarzanie spornych danych osobowych byłoby zgodne z ustanowionymi w tej dyrektywie warunkami zgodności z prawem. Zwróciły na to uwagę rządy bułgarski i czeski, z którymi się zgadzam. |
66. |
Choć ustalenie tej kwestii należy do sądu odsyłającego, nie wydaje się budzić wątpliwości, że zgodnie z prawem krajowym bułgarska prokuratura jest organem będącym administratorem danych osobowych VS „w jednym z celów określonych w art. 1 ust. 1 innym niż cel, w którym dane osobowe zostały zebrane”. Spełniona jest zatem pierwsza przesłanka określona w art. 4 ust. 2 lit. a) dyrektywy 2016/680. |
67. |
W odniesieniu do drugiej przesłanki ustanowionej w art. 4 ust. 2 lit. b) (zgodnie z którą „przetwarzanie jest niezbędne i proporcjonalne w tym innym celu”) uważam, że:
|
68. |
Zastosowane w niniejszej sprawie przesłanki określone w art. 4 ust. 2 dyrektywy 2016/680 okazują się nie mieć większego znaczenia i potwierdza się jednolitość celu nieodłącznie związanego ze zbieraniem spornych danych osobowych: istnieje logiczna ciągłość między ich pierwotnym przetwarzaniem a tym, które następnie doprowadziło do postawienia zarzutów podejrzanemu. |
69. |
Nie byłoby zatem konieczne potwierdzenie uprawnień nowego administratora danych (który zawsze byłby ten sam), ani nie byłoby trudności z wykazaniem niezbędności drugiego przetwarzania (dokonanego w ramach tego samego postępowania), skoro kryterium proporcjonalności jest wspólne dla każdego przetwarzania, jak wynika z zasad wymienionych w art. 4 ust. 1 dyrektywy 2016/680. |
C. Drugie pytanie prejudycjalne: przeznaczenie ad extra zebranych danych osobowych
70. |
W art. 9 ust. 1 dyrektywy 2016/680 przewidziano możliwość przeznaczenia ad extra danych osobowych zebranych na podstawie tej dyrektywy. |
71. |
W oparciu o zasadę, zgodnie z którą takich danych „nie przetwarza się do celów innych niż określone w art. 1 ust. 1 [tej dyrektywy]”, art. 9 ust. 1 dyrektywy 2016/680 ustanawia wyjątek, w przypadku gdy prawo Unii lub prawo państwa członkowskiego zezwala na ich przetwarzanie w celach innych niż cele określone w art. 1 ust. 1. W takim przypadku zastosowanie ma RODO (pod warunkiem że dana działalność jest objęta zakresem prawa Unii). |
72. |
W ramach drugiego pytania prejudycjalnego sąd odsyłający zmierza do ustalenia:
|
1. Dopuszczalność pytania
73. |
IVSS utrzymuje, że ponieważ skarga VS została odrzucona ze względu na to, że złożono ją po terminie, drugie pytanie prejudycjalne jest niedopuszczalne. |
74. |
Nie podzielam powyższego zarzutu. |
75. |
Odmowa rozstrzygnięcia przez Trybunał w przedmiocie postawionego przez sąd krajowy pytania prejudycjalnego jest możliwa tylko wtedy, gdy jest oczywiste, że wykładnia prawa Unii, o którą się zwrócono, nie ma żadnego związku ze stanem faktycznym lub z przedmiotem sporu w postępowaniu głównym, gdy problem jest natury hipotetycznej, bądź gdy Trybunał nie dysponuje informacjami w zakresie stanu faktycznego lub prawnego, które są niezbędne do udzielenia użytecznej odpowiedzi na przedstawione mu pytania ( 17 ). |
76. |
Zarzut IVSS dotyczy kwestii, która należy do wyłącznej kompetencji sądu odsyłającego. Zadaniem i odpowiedzialnością wyłącznie sądu odsyłającego jest ustalenie stanu prawnego i faktycznego, w który wpisuje się pytanie skierowane do Trybunału ( 18 ). |
77. |
Zarówno osąd dotyczący wniesienia skargi po terminie, które zostało podniesione przez IVSS, jak i ocena jego znaczenia dla niniejszego sporu są elementami, których ocena należy wyłącznie do sądu odsyłającego. W niniejszej sprawie sąd ten podkreślił, że pytanie ma znaczenie dla rozstrzygnięcia sprawy w postępowaniu głównym, pomimo wniesienia skargi po terminie, na które powołuje się IVSS ( 19 ). |
78. |
Ocena ta nie może zostać poddana kontroli Trybunału, który powinien co do zasady kierować się wykładnią i stosowaniem krajowego prawa proceduralnego i materialnego, przyjętymi przez sądy przy określaniu ram dotyczących odesłania prejudycjalnego. |
2. Co do istoty
79. |
Biorąc pod uwagę powody przedstawione przez sąd odsyłający w celu uzasadnienia drugiego pytania prejudycjalnego, w rzeczywistości zwraca się on do Trybunału o ustalenie, czy przekazanie spornych danych stanowi „przetwarzanie danych” w rozumieniu art. 4 pkt 1 i 2 RODO ( 20 ) i czy przetwarzanie to było zgodne z prawem w świetle art. 6 RODO. |
a) Istnienie przetwarzania danych
80. |
Artykuł 4 pkt 1 i 2 RODO oraz art. 3 pkt 1 i 2 dyrektywy 2016/680 definiują w ten sam sposób pojęcia „danych osobowych” i „przetwarzania”. |
81. |
Na podstawie tych definicji wnioskuję, że prokuratura zamierzała wykorzystać w celu swojej obrony przed sądem cywilnym „informacje o zidentyfikowanej […] osobie fizycznej”, które zawierały „dane osobowe” VS. |
82. |
Podczas przekazywania tych danych osobowych w postępowaniu cywilnym miało miejsce szereg „operacji” stanowiących „przetwarzanie danych” bez zgody osoby, której dane dotyczą. Konieczne było co najmniej, aby sama prokuratura przeglądała te dane w celu oceny ich możliwej przydatności dla obrony jej stanowiska w postępowaniu cywilnym. Należy ponadto przypuszczać, że w tym samym celu dane zostały zorganizowane, uporządkowane, zaadaptowane lub zmodyfikowane oraz oczywiście ujawnione i rozpowszechnione, choćby w minimalnym stopniu, gdy istotne było ich włączenie do postępowania cywilnego ( 21 ). |
83. |
Podsumowując, prokuratura, utrwalając rzeczone dane, włączając je do swoich akt, przechowując je, przeglądając i wnioskując do sądu cywilnego o dopuszczenie jako dowodu informacji uzyskanych w sprawie karnej, dokonała przetwarzania danych osobowych VS. |
84. |
IVSS i Komisja twierdzą, że prokuratura może być „administratorem danych” tylko jako organ właściwy do celów o charakterze karnym, objętych zakresem zastosowania dyrektywy 2016/680. |
85. |
Moim zdaniem nie oznacza to, że drugie pytanie prejudycjalne jest bezprzedmiotowe, jak twierdzi IVSS. Świadczy to raczej o tym, że zgodność z prawem przetwarzania danych na podstawie art. 9 ust. 1 dyrektywy 2016/680 będzie musiała zostać zweryfikowana w świetle RODO. |
86. |
Sąd właściwy do rozstrzygnięcia sporu cywilnego będzie odpowiedzialny za przetwarzanie danych w tym postępowaniu, gdy zostaną one do niego włączone. Jego orzeczenia są wyłączone spod nadzoru organu nadzorczego zgodnie z art. 55 ust. 3 RODO, gdy tylko zostaną wydane w ramach sprawowania przez niego wymiaru sprawiedliwości ( 22 ). |
87. |
Natomiast sąd odsyłający ogranicza swoje pytanie do możliwości zastosowania RODO w chwili, gdy prokuratura zamierza wykorzystać zebrane przez siebie informacje jako „administrator danych” w rozumieniu dyrektywy 2016/680 w celu swojej obrony w postępowaniu cywilnym. |
88. |
W świetle powyższych rozważań uważam, że RODO ma zastosowanie, ponieważ cele wymienione w art. 1 ust. 1 dyrektywy 2016/680 nie obejmują obrony prokuratury w postępowaniu cywilnym. |
b) Zgodność przetwarzania danych z prawem w świetle RODO
89. |
Warunki zgodności z prawem przetwarzania danych osobowych są wymienione w art. 6 ust. 1 RODO: „[p]rzetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest co najmniej jeden z poniższych warunków”, które są opisane w dalszej części. Ich wyliczenie jest wyczerpujące ( 23 ). |
90. |
Moim zdaniem spośród tych warunków nie są spełnione: warunek oparty na zgodzie osoby, której dane dotyczą [lit. a)], warunek oparty na wykonaniu umowy [lit. b)], warunek oparty na wypełnieniu obowiązku prawnego [lit. c)] ( 24 ), ani też warunek oparty na ochronie żywotnych interesów osoby, której dane dotyczą, lub osoby trzeciej [lit. d)]. |
91. |
Zdaniem sądu odsyłającego warunek określony w art. 6 ust. 1 lit. f) RODO jest spełniony. Jednakże, jak twierdzi Komisja, ostatni akapit tego ustępu wyklucza ów warunek w niniejszej sprawie, ponieważ warunek ten „nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań” ( 25 ). |
92. |
W odpowiedzi na pytanie Trybunału rząd bułgarski, popierany w tej kwestii przez rządy czeski i niderlandzki, podkreślił, że warunek przewidziany w art. 6 ust. 1 lit. f) RODO może mieć zastosowanie. Argumentuje on, że należy wziąć pod uwagę „charakter działalności wykonywanej przez prokuraturę”, która, choć jest podmiotem publicznym, może uczestniczyć w postępowaniach cywilnych jako „równorzędna strona” ( 26 ). |
93. |
Jednakże „uzasadnione interesy”, których prokuratura broniłaby jako organ publiczny w postępowaniu, w którym jest ona pozwana z tytułu odpowiedzialności za swoje działanie podjęte w ramach postępowania, są wyłączone z zakresu hipotezy przewidzianej w art. 6 ust. 1 lit. f) RODO, gdyż wyraźnie stanowi tak akapit ostatni tego ustępu. |
94. |
W przypadku organów działających w ramach wykonywania zadań powierzonych im na mocy prawa (w niniejszym przypadku – prowadzenia postępowania karnego i reprezentowania państwa w przypadku roszczeń z tytułu odpowiedzialności finansowej) właściwym interesem dla celów art. 6 ust. 1 RODO jest interes publiczny, który organy te realizują zgodnie z lit. e) tego przepisu. |
95. |
Warunek przewidziany w lit. f) polega na zaspokojeniu uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych. |
96. |
Klauzula ta dotyczy zatem nie tyle możliwości obrony organu publicznego – które mogą znaleźć wyraz w drodze lit. e) –, ile ewentualnej przewagi interesów, praw i wolności osoby, której dane dotyczą, wobec administratora lub osoby trzeciej. Ma ona zastosowanie raczej do sporów między stronami (prywatnymi), których interesy nie mają charakteru publicznego. |
97. |
Ponieważ prokuratura działa z definicji jako instytucja państwowa, należy przeanalizować, czy sporne przetwarzanie jest objęte zakresem art. 6 ust. 1 lit. e) RODO. |
98. |
Byłoby tak w przypadku, gdyby przetwarzanie było „niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej” administratorowi. |
99. |
Przeanalizuję pierwszy z tych dwóch celów bez konieczności rozpatrywania drugiego z nich ( 27 ), aby ustalić, czy udział prokuratury w postępowaniu cywilnym, którego przedmiotem jest skierowane przeciwko niej roszczenie o odszkodowanie za jej zachowanie, odpowiada wykonywaniu zadania realizowanego w interesie publicznym. |
100. |
Zgodnie z prawem krajowym ( 28 ) do zadań prokuratury należy reprezentowanie państwa w postępowaniach dotyczących odpowiedzialności pozaumownej za szkody wyrządzone w wyniku jego zwłoki. W tym samym zakresie prokuratura podejmuje działania w obronie ogólnych (finansowych) interesów państwa, a zatem w ramach wykonywania zadania realizowanego w interesie publicznym ( 29 ). |
101. |
Artykuł 9 ust. 1 dyrektywy 2016/680 uzależnia przeznaczenie ad extra danych zebranych w postępowaniach od tego, czy ich przetwarzanie jest dozwolone na mocy prawa Unii lub prawa państwa członkowskiego. W zakresie, w jakim to ma znaczenie w niniejszej sprawie, do sądu odsyłającego należy zbadanie, czy takie zezwolenie istnieje w przypadku wykonywania zadania realizowanego w interesie publicznym przez prokuraturę w celu obrony majątku państwa. |
102. |
Zgodnie z art. 6 ust. 3 RODO podstawa prawna przetwarzania, o którym mowa w ust. 1 lit. e), „może zawierać przepisy szczegółowe dostosowujące stosowanie przepisów” samego RODO ( 30 ). Jeżeli owa podstawa prawna jest ustanowiona w prawie państwa członkowskiego, które ma zastosowanie do administratora, jej ustalenie należy do sądu krajowego ( 31 ). |
103. |
Wreszcie, nawet gdyby sąd odsyłający nie wskazał właściwej podstawy prawnej, zgodność spornego przetwarzania z celem, w którym sporne dane zostały zebrane, powinna zostać ustalona na podstawie art. 6 ust. 4 RODO. W tym celu należy uwzględnić m.in. wszelkie związki między celami pierwotnymi a nowym celem, kontekst, w którym zebrano dane osobowe, oraz charakter danych osobowych, ewentualne konsekwencje nowego przetwarzania dla osoby, której dane dotyczą, a także istnienie odpowiednich zabezpieczeń. |
V. Wnioski
104. |
W świetle powyższych rozważań proponuję, aby Trybunał odpowiedział Administratiwen syd – Błagojewgrad (sądowi administracyjnemu w mieście Błagojewgrad, Bułgaria) w następujący sposób:
|
( 1 ) Język oryginału: hiszpański.
( 2 ) Rozporządzenie Parlamentu Europejskiego i Rady z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U. 2016, L 119, s. 1). Jest ono zwane dalej „RODO”.
( 3 ) Dyrektywa Parlamentu Europejskiego i Rady z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w sprawie swobodnego przepływu takich danych oraz uchylająca decyzję ramową Rady 2008/977/WSiSW (Dz.U. 2016, L 119, s. 89).
( 4 ) DV nr 56 z dnia 13 lipca 1991 r.
( 5 ) Ustawa o ochronie danych osobowych, DV nr 1 z dnia 4 stycznia 2002 r. Przepisy tej ustawy przytoczono zgodnie z brzmieniem obowiązującym w czasie popełnienia rozpatrywanych czynów.
( 6 ) Sprawa nr 1548/2013 prokuratury rejonowej w mieście Petricz.
( 7 ) Zgodnie z postanowieniem odsyłającym (pkt 8.1) przestępstwo było stypizowane w art. 325 ust. 1 w związku z art. 20 ust. 2 Nakazatalen kodeks (kodeksu karnego).
( 8 ) Akta spraw nr 517/2016, nr 1870/2016, nr 1872/2016 i nr 2217/2016.
( 9 ) Postępowanie cywilne nr 144/2018.
( 10 ) Motywy 39 RODO i 26 dyrektywy 2016/680.
( 11 ) Wyróżnienie moje.
( 12 ) Są one wymienione w art. 1 ust. 1 dyrektywy 2016/680 (zob. przypis 15 poniżej). Poza zakresem samej dyrektywy 2016/680 cele dozwolone na mocy RODO stanowią wszelkie potencjalnie zgodne z prawem cele. Obowiązuje zatem zasada swobody, której ograniczenie ma miejsce w odniesieniu do zgodności z prawem warunków przetwarzania danych oraz praw osoby, której dane dotyczą (rozdziały II i III RODO).
( 13 ) Zgodnie z art. 45 ust. 2 dyrektywy 2016/680 państwa członkowskie „zapewniają, by żaden organ nadzorczy nie był właściwy do nadzorowania operacji przetwarzania dokonywanych przez sądy w toku sprawowania przez nie wymiaru sprawiedliwości”.
( 14 ) Chociaż informacje przedstawione przez sąd odsyłający nie wyjaśniają tego jednoznacznie, wszystko wskazuje na to, że są to rzeczywiście różne czyny.
( 15 ) W art. 1 ust. 1 dyrektywy 2016/680 uznano, że cele te dotyczą „zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w tym ochrony przed zagrożeniami dla bezpieczeństwa publicznego i zapobiegania takim zagrożeniom”. Hiszpańska wersja tego przepisu różni się od wersji w innych językach urzędowych, jeśli chodzi o termin „ściganie”. I tak w wersji francuskiej użyto rzeczownika „poursuites”, który w wersji angielskiej jest odpowiednikiem „prosecution”, w wersji włoskiej – „perseguimento”, w wersji niemieckiej – „Verfolgung”, a w wersji niderlandzkiej – „vervolging”. W tych i innych wersjach (z wyjątkiem wersji hiszpańskiej) mowa jest o działalności poprzedzającej „enjuiciamiento” (sądzenie) w ścisłym tego słowa znaczeniu, które jest zastrzeżone wyłącznie dla sądów.
( 16 ) „Nieodłączną cechą przetwarzania danych osobowych w obszarze współpracy wymiarów sprawiedliwości w sprawach karnych i współpracy policyjnej jest to, że przetwarzane są dane osobowe dotyczące różnych kategorii osób, których dane dotyczą. W stosownych przypadkach należy zatem w jak największym stopniu wyraźnie rozróżniać dane osobowe różnych kategorii osób, których dane dotyczą […]”. Wyróżnienie moje.
( 17 ) Wyrok z dnia 27 września 2017 r., Puškár (C‑73/16, EU:C:2017:725, pkt 50).
( 18 ) Wyrok z dnia 17 lipca 2014 r., YS i in. (C‑141/12 i C‑372/12, EU:C:2014:2081, pkt 63).
( 19 ) Punkt 34.12 akapit trzeci postanowienia odsyłającego.
( 20 ) Potwierdza to pkt 34.12 akapit pierwszy postanowienia odsyłającego.
( 21 ) Wniosek o dopuszczenie jako dowodu danych zawartych w aktach prokuratury pociąga za sobą przekazanie informacji dotyczących osoby VS, ponieważ wniosek ten musiał być uzasadniony istotnością owych danych, zauważalną w świetle ich treści i choćby poszlakową.
( 22 ) Zobacz w przedmiocie wykładni tego przepisu wyrok z dnia 24 marca 2022 r., Autoriteit Persoonsgegevens (C‑245/20, EU:C:2022:216, pkt 23 i nast.).
( 23 ) Zobacz – w odniesieniu do analogicznego tekstu dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz.U. 1995, L 281, s. 31) – wyrok z dnia 24 listopada 2011 r., ASNEF (C‑468/10 i C‑469/10, EU:C:2011:777).
( 24 ) Prokuratura nie jest prawnie zobowiązana do żądania przedstawienia spornych danych w postępowaniu cywilnym.
( 25 ) Zgodnie z motywem 47 RODO, „[p]onieważ dla organów publicznych podstawę prawną przetwarzania danych osobowych powinien określić ustawodawca, prawnie uzasadniony interes administratora nie powinien mieć zastosowania jako podstawa prawna do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań”.
( 26 ) Punkty 45 i 49 odpowiedzi rządu bułgarskiego na pytanie zadane przez Trybunał.
( 27 ) Jak zauważa rząd niderlandzki, obrona interesów państwa w postępowaniu cywilnym nie stanowi sama w sobie i w sposób niezależny sprawowania władzy publicznej, o którym mowa w drugiej części art. 6 ust. 1 lit. e) RODO.
( 28 ) Zakon za otgowornostta na dyrżawata i obsztinite za wredi (ustawa o odpowiedzialności państwa i gmin za szkody; DV nr 60 z dnia 5 sierpnia 1988 r.). W odpowiedzi na pytanie Trybunału rząd bułgarski wyjaśnił, że podstawą prawną, w oparciu o którą prokuratura została pozwana przed sąd cywilny, jest art. 2b tej ustawy, który reguluje przesłanki i zasady powstania odpowiedzialności pozaumownej państwa w przypadku naruszenia prawa do rozpoznania sprawy w rozsądnym terminie.
( 29 ) Zgodnie z prawem bułgarskim powództwa z tytułu odpowiedzialności powinny być skierowane przeciwko organom, którym zarzuca się wyrządzenie szkody. To właśnie tym organom przysługuje status strony pozwanej w odpowiednim postępowaniu cywilnym. Pomijając to uregulowanie proceduralne, faktem pozostaje, że roszczenie o odszkodowanie jest ostatecznie skierowane przeciwko państwu jako całości, bronionemu w każdym przypadku przez ten z jego organów, który przyczynił się bezpośrednio do (domniemanej) szkody, której dotyczy roszczenie.
( 30 ) Przepisy te mogą dotyczyć „ogóln[ych] warunk[ów] zgodności z prawem przetwarzania przez administratora; rodzaj[u] danych podlegających przetwarzaniu; osoby, których dane dotyczą; podmiot[ów], którym można ujawnić dane osobowe; cel[ów], w których można je ujawnić; ogranicze[ń] celu; okres[ów] przechowywania; oraz operacj[i] i procedur[] przetwarzania, w tym środk[ów] zapewniając[ych] zgodność z prawem i rzetelność przetwarzania, w tym w innych szczególnych sytuacjach związanych z przetwarzaniem, o których mowa w rozdziale IX”.
( 31 ) W odpowiedzi na pytanie Trybunału rząd bułgarski podniósł, że podstawę prawną należy ustalić w kontekście dwojakiej roli prokuratury: po pierwsze, obrońcy państwa w postępowaniu cywilnym, a po drugie, organu, który wydał dokument urzędowy mający znaczenie prawne dla sporu. Istniałaby zatem podwójna podstawa prawna: art. 6 ust. 1 lit. c) RODO, dotyczący prokuratury jako „organu, który wydał dokument urzędowy” w rozumieniu art. 179 kodeksu postępowania cywilnego w związku z art. 186 tego kodeksu; oraz art. 6 ust. 1 lit. e) RODO, dotyczący prokuratury jako strony postępowania wypełniającej swe obowiązki prawne (pkt 31 i 32 odpowiedzi rządu bułgarskiego).