1.

Podstawową zasadą rozporządzenia (UE) 2016/679 ( 2 ), które stanowi ogólne uregulowanie w dziedzinie ochrony danych osobowych, oraz dyrektywy (UE) 2016/680 ( 3 ) (lex specialis w tej samej dziedzinie w postępowaniach karnych) jest ograniczenie zbierania takich danych i ich przetwarzania do konkretnych celów określonych przepisami prawa.

2.

W niniejszej sprawie Trybunał musi odpowiedzieć na wątpliwości sądu bułgarskiego dotyczące wykładni RODO i dyrektywy 2016/680, aby wyjaśnić, czy doszło do niezgodnego z prawem przetwarzania danych osobowych będących w posiadaniu prokuratury państwa członkowskiego, w przypadku gdy:

3.

Zgodnie z art. 2 („Materialny zakres stosowania”):

„1.   Niniejsze rozporządzenie ma zastosowanie do przetwarzania danych osobowych w sposób całkowicie lub częściowo zautomatyzowany oraz do przetwarzania w sposób inny niż zautomatyzowany danych osobowych stanowiących część zbioru danych lub mających stanowić część zbioru danych.

2.   Niniejsze rozporządzenie nie ma zastosowania do przetwarzania danych osobowych:

[…]

[…]”.

4.

Artykuł 4 („Definicje”) stanowi:

„Na użytek niniejszego rozporządzenia:

[…]

[…]

[…]”.

5.

Artykuł 5 („Zasady dotyczące przetwarzania danych osobowych”) stanowi:

„1.   Dane osobowe muszą być:

[…]”.

6.

Artykuł 6 („Zgodność przetwarzania z prawem”) brzmi następująco:

„1.   Przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest co najmniej jeden z poniższych warunków:

[…]

[…]

Akapit pierwszy lit. f) nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań.

[…]

3.   Podstawa przetwarzania, o którym mowa w ust. 1 lit. c) i e), musi być określona:

Cel przetwarzania musi być określony w tej podstawie prawnej lub, w przypadku przetwarzania, o którym mowa w ust. 1 lit. e) – musi być ono niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi. Podstawa prawna może zawierać przepisy szczegółowe dostosowujące stosowanie przepisów niniejszego rozporządzenia […]. Prawo Unii lub prawo państwa członkowskiego muszą służyć realizacji celu leżącego w interesie publicznym, oraz być proporcjonalne do wyznaczonego, prawnie uzasadnionego celu.

4.   Jeżeli przetwarzanie w celu innym niż cel, w którym dane osobowe zostały zebrane, nie odbywa się na podstawie zgody osoby, której dane dotyczą, ani prawa Unii lub prawa państwa członkowskiego stanowiących w demokratycznym społeczeństwie niezbędny i proporcjonalny środek służący zagwarantowaniu celów, o których mowa w art. 23 ust. 1, administrator – aby ustalić, czy przetwarzanie w innym celu jest zgodne z celem, w którym dane osobowe zostały pierwotnie zebrane – bierze pod uwagę między innymi:

7.

Zgodnie z art. 1 („Przedmiot i cele”):

„1.   Niniejsza dyrektywa ustanawia przepisy o ochronie osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w tym ochrony przed zagrożeniami dla bezpieczeństwa publicznego i zapobiegania takim zagrożeniom.

2.   Zgodnie z niniejszą dyrektywą państwa członkowskie:

[…]”.

8.

Artykuł 2 („Zakres zastosowania”) stanowi:

„1.   Niniejsza dyrektywa ma zastosowanie do przetwarzania danych osobowych przez właściwe organy do celów określonych w art. 1 ust. 1.

[…]

3.   Niniejsza dyrektywa nie ma zastosowania do przetwarzania danych osobowych:

[…]”.

9.

W art. 3 ust. 1, 2 i 8 powtórzono definicje zawarte w art. 4 ust. 1, 2 i 7 RODO.

10.

Artykuł 4 („Zasady dotyczące przetwarzania danych osobowych”) stanowi:

„[…]

2.   Przetwarzanie przez tego samego lub innego administratora w jednym z celów określonych w art. 1 ust. 1 innym niż cel, w którym dane osobowe zostały zebrane, jest dozwolone, o ile:

[…]”.

11.

Artykuł 6 („Rozróżnianie poszczególnych kategorii osób, których dane dotyczą”) stanowi:

„Państwa członkowskie zapewniają, by administrator – w stosownym przypadku i w miarę możliwości – wyraźnie rozróżniał dane osobowe poszczególnych kategorii osób, których dane dotyczą, takich jak:

12.

Artykuł 8 („Zgodność przetwarzania z prawem”) brzmi następująco:

„1.   Państwa członkowskie zapewniają, by przetwarzanie było zgodne z prawem wyłącznie wówczas i w zakresie, w jakim jest ono niezbędne do wykonania zadania realizowanego przez właściwy organ w celach określonych w art. 1 ust. 1 oraz ma podstawę w prawie Unii lub prawie państwa członkowskiego.

2.   Prawo państwa członkowskiego regulujące przetwarzanie w zakresie stosowania niniejszej dyrektywy określa co najmniej powody przetwarzania, dane osobowe mające podlegać przetwarzaniu oraz cele przetwarzania”.

13.

Zgodnie z art. 9 („Szczególne warunki przetwarzania”):

„1.   Danych osobowych zebranych przez właściwe organy do celów określonych w art. 1 ust. 1 nie przetwarza się do celów innych niż określone w art. 1 ust. 1, chyba że takie przetwarzanie jest dozwolone prawem Unii lub prawem państwa członkowskiego. Jeżeli przetwarzanie danych osobowych odbywa się w takich innych celach, zastosowanie ma [RODO], chyba że przetwarzanie odbywa się w toku działalności nieobjętej prawem Unii.

2.   Jeżeli prawo państwa członkowskiego powierza właściwym organom wykonywanie zadań innych niż zadania wykonywane w celach określonych w art. 1 ust. 1, to do przetwarzania w takich celach, w tym na potrzeby archiwizacji w interesie publicznym, wykorzystania do celów naukowych, statystycznych lub historycznych, ma zastosowanie [RODO], chyba że przetwarzanie odbywa się w toku działalności nieobjętej prawem Unii.

[…]”.

14.

Artykuł 127 ustanawia wyłączne uprawnienia prokuratury do kierowania postępowaniem przygotowawczym, stawiania zarzutów i wnoszenia oskarżenia przed sądem w sprawach karnych prowadzonych z oskarżenia publicznego.

15.

Artykuł 1 stanowi:

„1)   Niniejsza ustawa reguluje stosunki publiczne związane z ochroną praw osób fizycznych w odniesieniu do przetwarzania ich danych osobowych w zakresie, w jakim nie są one uregulowane w [RODO].

2)   Niniejsza ustawa ustanawia również zasady ochrony osób fizycznych w przypadku przetwarzania danych osobowych przez właściwe organy dla celów zapobiegania przestępczości i wykrywania czynów zabronionych, prowadzenia postępowań przygotowawczych i ścigania czynów zabronionych lub wykonania kar, w tym ochrony przed zagrożeniami dla porządku publicznego i bezpieczeństwa publicznego oraz zapobiegania takim zagrożeniom.

[…]”.

16.

Artykuł 17 stanowi:

„1)   Inspektorat wyższej rady sądownictwa zapewnia kontrolę i przestrzeganie [RODO], niniejszej ustawy oraz aktów dotyczących ochrony danych osobowych w odniesieniu do przetwarzania danych osobowych przez:

1. sąd w ramach wykonywania jego zadań jako organu władzy sądowniczej; oraz

2. prokuraturę i organy ścigania w ramach wykonywania ich zadań jako organów sądowych w celach zapobiegania przestępczości, wykrywania czynów zabronionych, prowadzenia postępowań przygotowawczych i ścigania czynów zabronionych lub wykonania kar.

[…]”.

17.

Artykuł 42 stanowi:

„1)   Przepisy niniejszego rozdziału stosuje się w przypadku przetwarzania danych osobowych przez właściwe organy dla celów zapobiegania przestępczości i wykrywania czynów zabronionych, prowadzenia postępowań przygotowawczych i ścigania czynów zabronionych lub wykonania kar, w tym ochrony przed zagrożeniami dla porządku publicznego i bezpieczeństwa publicznego oraz zapobiegania takim zagrożeniom.

2)   Dane osobowe zebrane w celach określonych w ust. 1 nie mogą być przetwarzane w innych celach, chyba że prawo Unii lub prawo Republiki Bułgarii stanowią inaczej.

3)   W przypadku gdy organy właściwe zgodnie z ust. 1 przetwarzają dane osobowe w celach innych niż te, o których mowa w ust. 1, jak również w przypadkach przewidzianych w ust. 2 stosuje się [RODO] oraz odpowiednie przepisy niniejszej ustawy wprowadzające środki wykonujące RODO.

4)   »Właściwy organ« w rozumieniu ust. 1 oznacza każdy organ publiczny właściwy w zakresie zapobiegania przestępczości i wykrywania czynów zabronionych, prowadzenia postępowań przygotowawczych i ścigania czynów zabronionych lub wykonania kar, w tym ochrony przed zagrożeniami dla porządku publicznego i bezpieczeństwa publicznego oraz zapobiegania takim zagrożeniom.

5)   O ile przepisy ustawy nie stanowią inaczej, administratorem danych osobowych w rozumieniu niniejszego rozdziału do celów określonych w ust. 1 jest właściwy organ w rozumieniu ust. 4 lub jednostka administracyjna, w skład której wchodzi ten organ, która samodzielnie lub wspólnie z innymi organami określa cele i sposoby przetwarzania danych osobowych”.

18.

Artykuł 45 stanowi:

„[…]

2)   Na przetwarzanie danych osobowych przez administratora, który pierwotnie je zebrał, lub przez innego administratora w jednym z celów, o których mowa w art. 42 ust. 1, innym niż cel, w którym dane osobowe zostały zebrane, zezwala się, pod warunkiem że:

1. administrator jest uprawniony do przetwarzania danych osobowych w takim celu zgodnie z prawem Unii lub prawem Republiki Bułgarii; oraz

2. przetwarzanie jest niezbędne i proporcjonalne do tego innego celu zgodnie z prawem Unii lub prawem Republiki Bułgarii.

[…]”.

19.

Artykuł 47 stanowi powtórzenie art. 6 dyrektywy 2016/680.

20.

Artykuł 49 stanowi:

„Przetwarzanie danych osobowych jest zgodne z prawem, gdy jest niezbędne dla wykonywania uprawnień przez właściwy organ w celach, o których mowa w art. 42 ust. 1, i jest przewidziane w prawie Unii lub w ustawie, w której określono cele przetwarzania i kategorie przetwarzanych danych osobowych”.

21.

Pod kierunkiem Rajonna prokuratura – Petricz (prokuratury rejonowej w mieście Petricz, Bułgaria) wszczęto postępowanie przygotowawcze (sprawa nr 252/2013 policji w mieście Petricz) ( 6 ) w celu ustalenia czynów stanowiących przestępstwo ( 7 ), które miały miejsce w dniu 18 kwietnia 2013 r.

22.

Dane osobowe VS zostały pierwotnie zebrane w toku tego postępowania, gdy miał on status pokrzywdzonego.

23.

Postanowieniami prokuratury z dni 4 i 5 kwietnia 2018 r. czterem osobom (w tym VS) postawiono zarzuty popełnienia tych czynów.

24.

W dniu 10 listopada 2020 r. Rajonen syd – Petricz (sąd rejonowy w mieście Petricz, Bułgaria) umorzył postępowanie karne z powodu przedawnienia.

25.

W 2016 i 2017 r., w związku z zawiadomieniami o popełnieniu przestępstwa skierowanymi przeciwko VS prokuratura rejonowa w mieście Petricz zarządziła postępowania sprawdzające w kilku sprawach ( 8 ), które nie doprowadziły do wszczęcia jakiegokolwiek postępowania karnego z powodu braku danych wskazujących na popełnienie przestępstwa.

26.

W 2018 r. VS wniósł powództwo cywilne ( 9 ) przeciwko prokuraturze Republiki Bułgarii do Okryżen syd – Błagojewgrad (sądu okręgowego w mieście Błagojewgrad, Bułgaria), wnosząc o zasądzenie odszkodowania za szkodę spowodowaną przewlekłością postępowania karnego nr 252/2013.

27.

W celu obrony przed tym powództwem cywilnym prokuratura wniosła do sądu o dołączenie akt spraw nr 517/2016 i nr 1872/2016 prokuratury rejonowej w mieście Petricz.

28.

Postanowieniem z dnia 15 października 2018 r. Okryżen syd – Błagojewgrad (sąd okręgowy w mieście Błagojewgrad) nakazał prokuraturze rejonowej w mieście Petricz przedstawienie odpisów dokumentów zawartych w aktach spraw nr 517/2016 i 1872/2016.

29.

W dniu 12 marca 2020 r. VS wniósł skargę do Inspektorata kym Wisszija sydeben sywet (inspektoratu wyższej rady sądownictwa, zwanego dalej „IVSS”), ponieważ jego zdaniem miało miejsce podwójne niezgodne z prawem przetwarzanie jego danych osobowych przez prokuraturę, która miała wykorzystać w sposób niewłaściwy:

30.

W dniu 22 czerwca 2020 r. IVSS oddalił podwójną skargę VS.

31.

VS zaskarżył tę decyzję IVSS do Administratiwen syd – Błagojewgrad (sądu administracyjnego w mieście Błagojewgrad, Bułgaria), który zwraca się do Trybunału z następującymi pytaniami prejudycjalnymi:

32.

Wniosek o wydanie orzeczenia w trybie prejudycjalnym wpłynął do sekretariatu Trybunału w dniu 23 marca 2021 r.

33.

VS, IVSS, rządy Bułgarii, Czech i Niderlandów oraz Komisja Europejska wzięły udział w postępowaniu i przedstawiły uwagi na piśmie.

34.

Trybunał nie uznał za niezbędne przeprowadzenia rozprawy, o którą nie wnioskowała żadna ze stron.

35.

RODO i dyrektywa 2016/680 tworzą spójny system, w którym:

36.

Ochrona zapewniona przez system utworzony przez te dwa akty prawne opiera się na zasadach zgodności z prawem, rzetelności, przejrzystości oraz – w zakresie, w jakim to ma znaczenie w niniejszej sprawie – na zasadzie ścisłego ograniczenia zbierania danych i ich przetwarzania w celach określonych przez prawo ( 10 ).

37.

W szczególności art. 5 ust. 1 lit. b) RODO stanowi, że dane muszą być „zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami” ( 11 ). Takie jest też brzmienie art. 4 ust. 1 lit. b) dyrektywy 2016/680 jako lex specialis.

38.

Dane osobowe nie mogą być zatem zbierane i przetwarzane w sposób ogólny, lecz tylko w określonych celach ( 12 ) i z zastrzeżeniem warunków zgodności z prawem ustanowionych przez prawodawcę Unii.

39.

Zasada ścisłego powiązania między zbieraniem i przetwarzaniem danych, z jednej strony, a celami, którym obie te operacje powinny służyć, z drugiej strony, nie ma charakteru bezwzględnego, ponieważ zarówno RODO, jak i dyrektywa 2016/680 dopuszczają pewną elastyczność, co wyjaśnię w dalszej części.

40.

W sporze w postępowaniu głównym sąd administracyjny musi rozstrzygnąć, czy organ nadzorczy (IVSS) ( 13 ) działał zgodnie z prawem, oddalając skargę, w której VS zarzucił bułgarskiej prokuraturze niezgodne z prawem przetwarzanie jego danych osobowych.

41.

Jak już wyjaśniłem, dane te zostały zebrane w dwóch różnych kontekstach:

42.

Pytania sądu odsyłającego dotyczą odpowiednio:

43.

Zgadzam się z sądem odsyłającym oraz ze wszystkimi stronami, które są uczestnikami niniejszego postępowania prejudycjalnego, że przetwarzanie danych osobowych, które jest przedmiotem pierwszego pytania prejudycjalnego, jest objęte zakresem dyrektywy 2016/680.

44.

Zgodnie z art. 1 ust. 1 i art. 2 ust. 1 dyrektywy 2016/680 dyrektywa ta ma zastosowanie do przetwarzania danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych. W niniejszej sprawie dane VS zostały zebrane i przetworzone właśnie w ramach postępowania przygotowawczego.

45.

Jednakże w odniesieniu do przekazywania danych osobowych do celów postępowania cywilnego prowadzonego przeciwko prokuraturze (drugie pytanie prejudycjalne) zastosowanie będzie miało RODO, jeżeli to przekazywanie stanowi przetwarzanie danych w celach innych niż określone w art. 1 ust. 1 dyrektywy 2016/680, ale objętych działalnością wchodzącą w zakres prawa Unii.

46.

Zgodnie z art. 4 ust. 2 dyrektywy 2016/680 „[p]rzetwarzanie przez tego samego lub innego administratora w jednym z celów określonych w art. 1 ust. 1[ ( 15 )] innym niż cel, w którym dane osobowe zostały zebrane, jest dozwolone, o ile:

47.

Dyrektywa 2016/680 zezwala zatem na przeznaczenie ad intra danych osobowych zebranych na jej podstawie. Dane, które zostały zebrane w jednym z celów wymienionych w art. 1 ust. 1 tej dyrektywy, mogą również, pod pewnymi warunkami, być wykorzystane w jednym lub w kilku innych celach zawartych w tym wyliczeniu.

48.

Kwestia podniesiona w pierwszym pytaniu prejudycjalnym dotyczy tego, czy dane osobowe VS uzyskane w czasie, gdy występował on jako domniemany pokrzywdzony w wyniku przestępstwa będącego przedmiotem dochodzenia, mogą być następnie przetwarzane przeciwko niemu jako osobie podejrzanej lub oskarżonej w toku tego samego postępowania karnego.

49.

Innymi słowy, konieczne jest wyjaśnienie, czy dane osobowe VS były przetwarzane w tym samym celu, który uzasadniał ich pierwotne zbieranie, czy też raczej w dwóch różnych celach, lecz objętych zakresem stosowania dyrektywy 2016/680. W tym drugim przypadku przetwarzanie danych powinno podlegać szczególnym warunkom określonym w art. 4 ust. 2 tej dyrektywy.

50.

Sąd odsyłający sformułował swoje pierwsze pytanie w sposób nieco dwuznaczny w odniesieniu do przedmiotu sporu. Zmierza on do ustalenia dosłownie, czy art. 1 ust. 1 dyrektywy 2016/680 należy interpretować „w ten sposób, że przy wskazaniu celów wylicza on »zapobieganie, prowadzenie postępowań przygotowawczych, wykrywanie i ściganie czynów zabronionych« jako aspekty jednego ogólnego celu”.

51.

W świetle tego stwierdzenia sądu odsyłającego należałoby być może przeformułować jego pierwsze pytanie zgodnie z propozycją stron i uczestników niniejszego postępowania prejudycjalnego. Zamiast skupiać się na abstrakcyjnym związku między celem ogólnym a celem szczegółowym, w rzeczywistości znaczenie ma (i w rzeczywistości dotyczyła tego skarga VS) to, czy w ramach postępowania karnego regulowanego dyrektywą 2016/680 cel, który doprowadził do zebrania danych dotyczącej danej osoby w jej charakterze jako domniemanego pokrzywdzonego w wyniku przestępstwa, nadal istnieje, gdy dane te prowadzą do późniejszego postawieniu zarzutów owej osobie w tym samym postępowaniu.

52.

Wykładnia językowa art. 1 ust. 1 dyrektywy 2016/680 wskazuje na to, że w jego ramach można wyróżnić trzy rodzaje celów, odpowiadające różnym momentom i różnym działalnościom:

53.

Z systemowego lub kontekstowego punktu widzenia art. 4 ust. 2 dyrektywy 2016/680 przemawia za uznaniem każdego z tych celów za oddzielny. W przeciwnym razie, jak zauważył rząd Niderlandów, przepis ten byłby pozbawiony treści, ponieważ dotyczy on właśnie „celów określonych w art. 1 ust. 1 inny[ch] niż cel, w którym dane osobowe zostały zebrane […]”.

54.

W oparciu o powyższe założenie postaram się wyjaśnić, dlaczego w niniejszej sprawie sporne dane zostały uzyskane i były przetwarzane w jednym z celów (polegającym na „prowadzeniu postępowania przygotowawczego”), o których mowa w art. 1 ust. 1 dyrektywy 2016/680, co decyduje o stosowaniu tej dyrektywy i związanej z tym zgodności przetwarzania z prawem.

55.

Ewentualnie, gdyby uzyskanie i przetwarzanie danych odbywało się w dwóch spośród celów wymienionych w art. 4 ust. 2 dyrektywy 2016/680, ich zgodność z prawem również byłaby bezsporna.

56.

W postępowaniu karnym nie zawsze można od początku określić status procesowy osób, których dotyczy to postępowanie. W wielu przypadkach celem tych postępowań jest zidentyfikowanie, a zatem „kategoryzacja” osób, które prima facie jawią się jako sprawcy, pokrzywdzeni lub świadkowie zdarzeń.

57.

Na tym etapie przygotowawczym logiczne jest, że istnieje pewna płynność w kategoryzacji. Postępowanie przygotowawcze powinno prowadzić – w świetle dokonanych w jego toku ustaleń – do dokładnego określenia statusu, w jakim wspomniane osoby będą występować w postępowaniu karnym.

58.

Dotyczy to w szczególności spraw takich jak niniejsza. Zdaniem sądu odsyłającego doszło do wzajemnych napaści między kilkoma osobami. Jednej z nich, która początkowo występowała jako pokrzywdzony, ostatecznie zostały postawione zarzuty jako sprawcy tych napaści.

59.

W tym kontekście całość prowadzonej działalności mieści się w pojęciu „prowadzenia postępowań przygotowawczych” zawartemu w art. 1 ust. 1 dyrektywy 2016/680. Cel tej działalności był zatem jednolity i odpowiada jednemu z „celów”, którym może służyć przetwarzanie danych osobowych.

60.

Sąd odsyłający ma jednak wątpliwości, czy taka wykładnia art. 1 ust. 1 dyrektywy 2016/680 jest zgodna z motywem 31 tej dyrektywy ( 16 ).

61.

Zgadzam się z poglądem większości stron, że motyw ten, podobnie jak art. 6 dyrektywy 2016/680, który stanowi jego powtórzenie, nie mają znaczenia dla ustalenia, czy nastąpiła zmiana celów, o której mowa w art. 4 ust. 2 tej dyrektywy.

62.

Zgodnie z art. 6 dyrektywy 2016/680 wyraźne rozróżnienie między danymi osobowymi różnych kategorii osób, których dane dotyczą, ma miejsce tylko „w stosownym przypadku i w miarę możliwości”. Z powodów przedstawionych powyżej na początkowym etapie postępowania prowadzonego w sprawie zdarzeń takich jak te, które miały miejsce w niniejszej sprawie, jasne określenie od samego początku „poszczególnych kategorii osób, których dane dotyczą”, nie jest łatwe. Co więcej, ten sam uczestnik owych zdarzeń może być zarówno pokrzywdzonym, jak i sprawcą napaści.

63.

Nawet gdyby administrator danych uzyskanych w postępowaniu karnym wyraźnie rozróżniał na początku i w toku postępowania przygotowawczego pomiędzy pokrzywdzonymi, podejrzanymi i świadkami, nie zmieniłoby to celu (prowadzenie postępowania przygotowawczego) leżącego u podstaw zbierania i przetwarzania tych danych.

64.

Innymi słowy, przyznanie kolejno takiego lub innego statusu (pokrzywdzonego, świadka, uczestnika) osobom, które występują w postępowaniu przygotowawczym, niekoniecznie pociąga za sobą zmianę celów w rozumieniu art. 4 ust. 2 dyrektywy 2016/680.

65.

Ewentualnie, gdyby spełnione zostały okoliczności przewidziane w art. 4 ust. 2 dyrektywy 2016/680, przetwarzanie spornych danych osobowych byłoby zgodne z ustanowionymi w tej dyrektywie warunkami zgodności z prawem. Zwróciły na to uwagę rządy bułgarski i czeski, z którymi się zgadzam.

66.

Choć ustalenie tej kwestii należy do sądu odsyłającego, nie wydaje się budzić wątpliwości, że zgodnie z prawem krajowym bułgarska prokuratura jest organem będącym administratorem danych osobowych VS „w jednym z celów określonych w art. 1 ust. 1 innym niż cel, w którym dane osobowe zostały zebrane”. Spełniona jest zatem pierwsza przesłanka określona w art. 4 ust. 2 lit. a) dyrektywy 2016/680.

67.

W odniesieniu do drugiej przesłanki ustanowionej w art. 4 ust. 2 lit. b) (zgodnie z którą „przetwarzanie jest niezbędne i proporcjonalne w tym innym celu”) uważam, że:

68.

Zastosowane w niniejszej sprawie przesłanki określone w art. 4 ust. 2 dyrektywy 2016/680 okazują się nie mieć większego znaczenia i potwierdza się jednolitość celu nieodłącznie związanego ze zbieraniem spornych danych osobowych: istnieje logiczna ciągłość między ich pierwotnym przetwarzaniem a tym, które następnie doprowadziło do postawienia zarzutów podejrzanemu.

69.

Nie byłoby zatem konieczne potwierdzenie uprawnień nowego administratora danych (który zawsze byłby ten sam), ani nie byłoby trudności z wykazaniem niezbędności drugiego przetwarzania (dokonanego w ramach tego samego postępowania), skoro kryterium proporcjonalności jest wspólne dla każdego przetwarzania, jak wynika z zasad wymienionych w art. 4 ust. 1 dyrektywy 2016/680.

70.

W art. 9 ust. 1 dyrektywy 2016/680 przewidziano możliwość przeznaczenia ad extra danych osobowych zebranych na podstawie tej dyrektywy.

71.

W oparciu o zasadę, zgodnie z którą takich danych „nie przetwarza się do celów innych niż określone w art. 1 ust. 1 [tej dyrektywy]”, art. 9 ust. 1 dyrektywy 2016/680 ustanawia wyjątek, w przypadku gdy prawo Unii lub prawo państwa członkowskiego zezwala na ich przetwarzanie w celach innych niż cele określone w art. 1 ust. 1. W takim przypadku zastosowanie ma RODO (pod warunkiem że dana działalność jest objęta zakresem prawa Unii).

72.

W ramach drugiego pytania prejudycjalnego sąd odsyłający zmierza do ustalenia:

73.

IVSS utrzymuje, że ponieważ skarga VS została odrzucona ze względu na to, że złożono ją po terminie, drugie pytanie prejudycjalne jest niedopuszczalne.

74.

Nie podzielam powyższego zarzutu.

75.

Odmowa rozstrzygnięcia przez Trybunał w przedmiocie postawionego przez sąd krajowy pytania prejudycjalnego jest możliwa tylko wtedy, gdy jest oczywiste, że wykładnia prawa Unii, o którą się zwrócono, nie ma żadnego związku ze stanem faktycznym lub z przedmiotem sporu w postępowaniu głównym, gdy problem jest natury hipotetycznej, bądź gdy Trybunał nie dysponuje informacjami w zakresie stanu faktycznego lub prawnego, które są niezbędne do udzielenia użytecznej odpowiedzi na przedstawione mu pytania ( 17 ).

76.

Zarzut IVSS dotyczy kwestii, która należy do wyłącznej kompetencji sądu odsyłającego. Zadaniem i odpowiedzialnością wyłącznie sądu odsyłającego jest ustalenie stanu prawnego i faktycznego, w który wpisuje się pytanie skierowane do Trybunału ( 18 ).

77.

Zarówno osąd dotyczący wniesienia skargi po terminie, które zostało podniesione przez IVSS, jak i ocena jego znaczenia dla niniejszego sporu są elementami, których ocena należy wyłącznie do sądu odsyłającego. W niniejszej sprawie sąd ten podkreślił, że pytanie ma znaczenie dla rozstrzygnięcia sprawy w postępowaniu głównym, pomimo wniesienia skargi po terminie, na które powołuje się IVSS ( 19 ).

78.

Ocena ta nie może zostać poddana kontroli Trybunału, który powinien co do zasady kierować się wykładnią i stosowaniem krajowego prawa proceduralnego i materialnego, przyjętymi przez sądy przy określaniu ram dotyczących odesłania prejudycjalnego.

79.

Biorąc pod uwagę powody przedstawione przez sąd odsyłający w celu uzasadnienia drugiego pytania prejudycjalnego, w rzeczywistości zwraca się on do Trybunału o ustalenie, czy przekazanie spornych danych stanowi „przetwarzanie danych” w rozumieniu art. 4 pkt 1 i 2 RODO ( 20 ) i czy przetwarzanie to było zgodne z prawem w świetle art. 6 RODO.

80.

Artykuł 4 pkt 1 i 2 RODO oraz art. 3 pkt 1 i 2 dyrektywy 2016/680 definiują w ten sam sposób pojęcia „danych osobowych” i „przetwarzania”.

81.

Na podstawie tych definicji wnioskuję, że prokuratura zamierzała wykorzystać w celu swojej obrony przed sądem cywilnym „informacje o zidentyfikowanej […] osobie fizycznej”, które zawierały „dane osobowe” VS.

82.

Podczas przekazywania tych danych osobowych w postępowaniu cywilnym miało miejsce szereg „operacji” stanowiących „przetwarzanie danych” bez zgody osoby, której dane dotyczą. Konieczne było co najmniej, aby sama prokuratura przeglądała te dane w celu oceny ich możliwej przydatności dla obrony jej stanowiska w postępowaniu cywilnym. Należy ponadto przypuszczać, że w tym samym celu dane zostały zorganizowane, uporządkowane, zaadaptowane lub zmodyfikowane oraz oczywiście ujawnione i rozpowszechnione, choćby w minimalnym stopniu, gdy istotne było ich włączenie do postępowania cywilnego ( 21 ).

83.

Podsumowując, prokuratura, utrwalając rzeczone dane, włączając je do swoich akt, przechowując je, przeglądając i wnioskując do sądu cywilnego o dopuszczenie jako dowodu informacji uzyskanych w sprawie karnej, dokonała przetwarzania danych osobowych VS.

84.

IVSS i Komisja twierdzą, że prokuratura może być „administratorem danych” tylko jako organ właściwy do celów o charakterze karnym, objętych zakresem zastosowania dyrektywy 2016/680.

85.

Moim zdaniem nie oznacza to, że drugie pytanie prejudycjalne jest bezprzedmiotowe, jak twierdzi IVSS. Świadczy to raczej o tym, że zgodność z prawem przetwarzania danych na podstawie art. 9 ust. 1 dyrektywy 2016/680 będzie musiała zostać zweryfikowana w świetle RODO.

86.

Sąd właściwy do rozstrzygnięcia sporu cywilnego będzie odpowiedzialny za przetwarzanie danych w tym postępowaniu, gdy zostaną one do niego włączone. Jego orzeczenia są wyłączone spod nadzoru organu nadzorczego zgodnie z art. 55 ust. 3 RODO, gdy tylko zostaną wydane w ramach sprawowania przez niego wymiaru sprawiedliwości ( 22 ).

87.

Natomiast sąd odsyłający ogranicza swoje pytanie do możliwości zastosowania RODO w chwili, gdy prokuratura zamierza wykorzystać zebrane przez siebie informacje jako „administrator danych” w rozumieniu dyrektywy 2016/680 w celu swojej obrony w postępowaniu cywilnym.

88.

W świetle powyższych rozważań uważam, że RODO ma zastosowanie, ponieważ cele wymienione w art. 1 ust. 1 dyrektywy 2016/680 nie obejmują obrony prokuratury w postępowaniu cywilnym.

89.

Warunki zgodności z prawem przetwarzania danych osobowych są wymienione w art. 6 ust. 1 RODO: „[p]rzetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest co najmniej jeden z poniższych warunków”, które są opisane w dalszej części. Ich wyliczenie jest wyczerpujące ( 23 ).

90.

Moim zdaniem spośród tych warunków nie są spełnione: warunek oparty na zgodzie osoby, której dane dotyczą [lit. a)], warunek oparty na wykonaniu umowy [lit. b)], warunek oparty na wypełnieniu obowiązku prawnego [lit. c)] ( 24 ), ani też warunek oparty na ochronie żywotnych interesów osoby, której dane dotyczą, lub osoby trzeciej [lit. d)].

91.

Zdaniem sądu odsyłającego warunek określony w art. 6 ust. 1 lit. f) RODO jest spełniony. Jednakże, jak twierdzi Komisja, ostatni akapit tego ustępu wyklucza ów warunek w niniejszej sprawie, ponieważ warunek ten „nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań” ( 25 ).

92.

W odpowiedzi na pytanie Trybunału rząd bułgarski, popierany w tej kwestii przez rządy czeski i niderlandzki, podkreślił, że warunek przewidziany w art. 6 ust. 1 lit. f) RODO może mieć zastosowanie. Argumentuje on, że należy wziąć pod uwagę „charakter działalności wykonywanej przez prokuraturę”, która, choć jest podmiotem publicznym, może uczestniczyć w postępowaniach cywilnych jako „równorzędna strona” ( 26 ).

93.

Jednakże „uzasadnione interesy”, których prokuratura broniłaby jako organ publiczny w postępowaniu, w którym jest ona pozwana z tytułu odpowiedzialności za swoje działanie podjęte w ramach postępowania, są wyłączone z zakresu hipotezy przewidzianej w art. 6 ust. 1 lit. f) RODO, gdyż wyraźnie stanowi tak akapit ostatni tego ustępu.

94.

W przypadku organów działających w ramach wykonywania zadań powierzonych im na mocy prawa (w niniejszym przypadku – prowadzenia postępowania karnego i reprezentowania państwa w przypadku roszczeń z tytułu odpowiedzialności finansowej) właściwym interesem dla celów art. 6 ust. 1 RODO jest interes publiczny, który organy te realizują zgodnie z lit. e) tego przepisu.

95.

Warunek przewidziany w lit. f) polega na zaspokojeniu uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych.

96.

Klauzula ta dotyczy zatem nie tyle możliwości obrony organu publicznego – które mogą znaleźć wyraz w drodze lit. e) –, ile ewentualnej przewagi interesów, praw i wolności osoby, której dane dotyczą, wobec administratora lub osoby trzeciej. Ma ona zastosowanie raczej do sporów między stronami (prywatnymi), których interesy nie mają charakteru publicznego.

97.

Ponieważ prokuratura działa z definicji jako instytucja państwowa, należy przeanalizować, czy sporne przetwarzanie jest objęte zakresem art. 6 ust. 1 lit. e) RODO.

98.

Byłoby tak w przypadku, gdyby przetwarzanie było „niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej” administratorowi.

99.

Przeanalizuję pierwszy z tych dwóch celów bez konieczności rozpatrywania drugiego z nich ( 27 ), aby ustalić, czy udział prokuratury w postępowaniu cywilnym, którego przedmiotem jest skierowane przeciwko niej roszczenie o odszkodowanie za jej zachowanie, odpowiada wykonywaniu zadania realizowanego w interesie publicznym.

100.

Zgodnie z prawem krajowym ( 28 ) do zadań prokuratury należy reprezentowanie państwa w postępowaniach dotyczących odpowiedzialności pozaumownej za szkody wyrządzone w wyniku jego zwłoki. W tym samym zakresie prokuratura podejmuje działania w obronie ogólnych (finansowych) interesów państwa, a zatem w ramach wykonywania zadania realizowanego w interesie publicznym ( 29 ).

101.

Artykuł 9 ust. 1 dyrektywy 2016/680 uzależnia przeznaczenie ad extra danych zebranych w postępowaniach od tego, czy ich przetwarzanie jest dozwolone na mocy prawa Unii lub prawa państwa członkowskiego. W zakresie, w jakim to ma znaczenie w niniejszej sprawie, do sądu odsyłającego należy zbadanie, czy takie zezwolenie istnieje w przypadku wykonywania zadania realizowanego w interesie publicznym przez prokuraturę w celu obrony majątku państwa.

102.

Zgodnie z art. 6 ust. 3 RODO podstawa prawna przetwarzania, o którym mowa w ust. 1 lit. e), „może zawierać przepisy szczegółowe dostosowujące stosowanie przepisów” samego RODO ( 30 ). Jeżeli owa podstawa prawna jest ustanowiona w prawie państwa członkowskiego, które ma zastosowanie do administratora, jej ustalenie należy do sądu krajowego ( 31 ).

103.

Wreszcie, nawet gdyby sąd odsyłający nie wskazał właściwej podstawy prawnej, zgodność spornego przetwarzania z celem, w którym sporne dane zostały zebrane, powinna zostać ustalona na podstawie art. 6 ust. 4 RODO. W tym celu należy uwzględnić m.in. wszelkie związki między celami pierwotnymi a nowym celem, kontekst, w którym zebrano dane osobowe, oraz charakter danych osobowych, ewentualne konsekwencje nowego przetwarzania dla osoby, której dane dotyczą, a także istnienie odpowiednich zabezpieczeń.

104.

W świetle powyższych rozważań proponuję, aby Trybunał odpowiedział Administratiwen syd – Błagojewgrad (sądowi administracyjnemu w mieście Błagojewgrad, Bułgaria) w następujący sposób: