ACÓRDÃO DO TRIBUNAL DE JUSTIÇA (Primeira Secção)

30 de abril de 2025 ( *1 )

«Reenvio prejudicial — Estado de direito — Independência dos juízes — Artigo 19.o, n.o 1, segundo parágrafo, TUE — Tutela jurisdicional efetiva nos domínios abrangidos pelo direito da União — Órgão judicial competente para propor a instauração de procedimentos disciplinares contra os magistrados com vista à aplicação de sanções disciplinares — Membros do órgão judicial que continuam a exercer as suas funções após o termo do seu mandato — Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais — Regulamento (UE) 2016/679 — Segurança dos dados — Acesso de um órgão judicial aos dados relativos às contas bancárias de magistrados e de membros das suas famílias — Autorização judicial de levantamento do sigilo bancário — Órgão jurisdicional que autoriza o levantamento do sigilo bancário — Artigo 4.o, ponto 7 — Conceito de “responsável pelo tratamento” — Artigo 51.o — Conceito de “autoridade de controlo”»

Nos processos apensos C‑313/23, C‑316/23 e C‑332/23,

que têm por objeto três pedidos de decisão prejudicial apresentados, nos termos do artigo 267.o TFUE, pelo Sofiyski rayonen sad (Tribunal de Primeira Instância de Sófia, Bulgária), por Decisões de 22 de maio de 2023 (C‑313/23 e C‑332/23) e de 23 de maio de 2023 (C‑316/23), que deram entrada no Tribunal de Justiça em 22 de maio de 2023 (C‑313/23), em 23 de maio de 2023 (C‑316/23) e em 25 de maio de 2023 (C‑332/23), nos processos instaurados por

Inspektorat kam Visshia sadeben savet,

O TRIBUNAL DE JUSTIÇA (Primeira Secção),

composto por: K. Lenaerts, presidente do Tribunal de Justiça, exercendo funções de presidente da Primeira Secção, T. von Danwitz (relator), vice‑presidente do Tribunal de Justiça, A. Kumin, I. Ziemele e O. Spineanu‑Matei, juízes,

advogado‑geral: P. Pikamäe,

secretário: A. Calot Escobar,

vistos os autos,

vistas as observações apresentadas:

–	em representação da Inspektorat kam Visshia sadeben savet, por T. Tochkova, na qualidade de agente,

–	em representação do Governo Búlgaro, por T. Mitova, S. Ruseva, e R. Stoyanov, na qualidade de agentes,

–	em representação do Governo Polaco, por B. Majczyna, na qualidade de agente,

–	em representação da Comissão Europeia, por A. Bouchagiar, C. Georgieva, H. Kranenborg e P. Van Nuffel, na qualidade de agentes,

ouvidas as conclusões do advogado‑geral na audiência de 4 de outubro de 2024,

profere o presente

Acórdão

Os pedidos de decisão prejudicial têm por objeto a interpretação do artigo 19.o, n.o 1, segundo parágrafo, TUE, bem como do artigo 2.o, n.o 2, alínea a), do artigo 4.o, ponto 7, do artigo 32.o, n.o 1, alínea b), do artigo 33.o, n.o 3, alínea d), do artigo 51.o, do artigo 57.o, n.o 1, alínea b), e do artigo 79.o, n.o 1, do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO 2016, L 119, p. 1; a seguir «RGPD»), lidos em conjugação com o artigo 47.o da Carta dos Direitos Fundamentais da União Europeia (a seguir «Carta»).

Estes pedidos foram apresentados no âmbito de processos instaurados pela Inspektorat kam Visshia sadeben savet (Inspeção do Conselho Superior da Magistratura, Bulgária) (a seguir «Inspeção»), com vista a ordenar a divulgação à Inspeção dos dados relativos às contas bancárias de vários magistrados e dos seus familiares.

Quadro jurídico

Direito da União

Os considerandos 16 e 20 do RGPD enunciam:

«(16)

O presente regulamento não se aplica às questões de defesa dos direitos e das liberdades fundamentais ou da livre circulação de dados pessoais relacionados com atividades que se encontrem fora do âmbito de aplicação do direito da União, como as que se prendem com a segurança nacional. […]

[…]

(20)

Na medida em que o presente regulamento é igualmente aplicável, entre outras, às atividades dos tribunais e de outras autoridades judiciais, poderá determinar‑se no direito da União ou dos Estados‑Membros quais as operações e os procedimentos a seguir pelos tribunais e outras autoridades judiciais para o tratamento de dados pessoais. A competência das autoridades de controlo não abrange o tratamento de dados pessoais efetuado pelos tribunais no exercício da sua função jurisdicional, a fim de assegurar a independência do poder judicial no exercício da sua função jurisdicional, nomeadamente a tomada de decisões. Deverá ser possível confiar o controlo de tais operações de tratamento de dados a organismos específicos no âmbito do sistema judicial do Estado‑Membro, que deverão, nomeadamente, assegurar o cumprimento das regras do presente regulamento, reforçar a sensibilização os membros do poder judicial para as obrigações que lhe são impostas pelo presente regulamento e tratar reclamações relativas às operações de tratamento dos dados.»

O artigo 2.o deste regulamento, sob a epígrafe «Âmbito de aplicação material», dispõe, nos seus n.os 1 e 2:

«1. O presente regulamento aplica‑se ao tratamento de dados pessoais por meios total ou parcialmente automatizados, bem como ao tratamento por meios não automatizados de dados pessoais contidos em ficheiros ou a eles destinados.

2. O presente regulamento não se aplica ao tratamento de dados pessoais:

a)	Efetuado no exercício de atividades não sujeitas à aplicação do direito da União:

[…]»

O artigo 4.o do referido regulamento, sob a epígrafe «Definições», dispõe:

«Para efeitos do presente regulamento, entende‑se por:

[…]

“Tratamento”, uma operação ou um conjunto de operações efetuadas sobre dados pessoais ou sobre conjuntos de dados pessoais, por meios automatizados ou não automatizados, tais como a recolha, o registo, a organização, a estruturação, a conservação, a adaptação ou alteração, a recuperação, a consulta, a utilização, a divulgação por transmissão, difusão ou qualquer outra forma de disponibilização, a comparação ou interconexão, a limitação, o apagamento ou a destruição;

[…]

“Responsável pelo tratamento”, a pessoa singular ou coletiva, a autoridade pública, a agência ou outro organismo que, individualmente ou em conjunto com outras, determina as finalidades e os meios de tratamento de dados pessoais; sempre que as finalidades e os meios desse tratamento sejam determinados pelo direito da União ou de um Estado‑Membro, o responsável pelo tratamento ou os critérios específicos aplicáveis à sua nomeação podem ser previstos pelo direito da União ou de um Estado‑Membro;

[…]»

O artigo 12.o do RGPD, sob a epígrafe «Transparência das informações, das comunicações e das regras para exercício dos direitos dos titulares dos dados», enuncia, no seu n.o 1:

«O responsável pelo tratamento toma as medidas adequadas para fornecer ao titular as informações a que se referem os artigos 13.o e 14.o e qualquer comunicação prevista nos artigos 15.o a 22.o e 34.o a respeito do tratamento, de forma concisa, transparente, inteligível e de fácil acesso, utilizando uma linguagem clara e simples […]. As informações são prestadas por escrito ou por outros meios, incluindo, se for caso disso, por meios eletrónicos. […]»

O artigo 14.o deste regulamento, sob a epígrafe «Informações a facultar quando os dados pessoais não são recolhidos junto do titular», dispõe, nos seus n.os 1 e 2:

«1. Quando os dados pessoais não forem recolhidos junto do titular, o responsável pelo tratamento fornece‑lhe as seguintes informações:

a)	A identidade e os contactos do responsável pelo tratamento e, se for caso disso, do seu representante;

b)	Os contactos do encarregado da proteção de dados, se for caso disso;

c)	As finalidades do tratamento a que os dados pessoais se destinam, bem como o fundamento jurídico para o tratamento;

d)	As categorias dos dados pessoais em questão;

e)	Os destinatários ou categorias de destinatários dos dados pessoais, se os houver;

f)	Se for caso disso, o facto de o responsável pelo tratamento tencionar transferir dados pessoais para um país terceiro ou uma organização internacional […].

2. Para além das informações referidas no n.o 1, o responsável pelo tratamento fornece ao titular as seguintes informações, necessárias para lhe garantir um tratamento equitativo e transparente:

a)	Prazo de conservação dos dados pessoais ou, se não for possível, os critérios usados para fixar esse prazo;

b)	Se o tratamento dos dados se basear no artigo 6.o, n.o 1, alínea f), os interesses legítimos do responsável pelo tratamento ou de um terceiro;

A existência do direito de solicitar ao responsável pelo tratamento o acesso aos dados pessoais que lhe digam respeito, e a retificação ou o apagamento, ou a limitação do tratamento no que disser respeito ao titular dos dados, e do direito de se opor ao tratamento, bem como do direito à portabilidade dos dados;

d)	Se o tratamento dos dados se basear no artigo 6.o, n.o 1, alínea a), ou no artigo 9.o, n.o 2, alínea a), a existência do direito de retirar consentimento em qualquer altura, sem comprometer a licitude do tratamento efetuado com base no consentimento previamente dado;

e)	O direito de apresentar reclamação a uma autoridade de controlo;

f)	A origem dos dados pessoais e, eventualmente, se provêm de fontes acessíveis ao público;

g)	A existência de decisões automatizadas […]»

O artigo 21.o do RGPD, sob a epígrafe «Direito de oposição», prevê, no seu n.o 1:

«O titular dos dados tem o direito de se opor a qualquer momento, por motivos relacionados com a sua situação particular, ao tratamento dos dados pessoais que lhe digam respeito com base no artigo 6.o, n.o 1, alínea e) ou f), ou no artigo 6.o, n.o 4, incluindo a definição de perfis com base nessas disposições. O responsável pelo tratamento cessa o tratamento dos dados pessoais, a não ser que apresente razões imperiosas e legítimas para esse tratamento que prevaleçam sobre os interesses, direitos e liberdades do titular dos dados, ou para efeitos de declaração, exercício ou defesa de um direito num processo judicial.»

O artigo 32.o deste regulamento, sob a epígrafe «Segurança do tratamento», enuncia, no seu n.o 1:

«Tendo em conta as técnicas mais avançadas, os custos de aplicação e a natureza, o âmbito, o contexto e as finalidades do tratamento, bem como os riscos, de probabilidade e gravidade variável, para os direitos e liberdades das pessoas singulares, o responsável pelo tratamento e o subcontratante aplicam as medidas técnicas e organizativas adequadas para assegurar um nível de segurança adequado ao risco, incluindo, consoante o que for adequado:

[…]

b)	A capacidade de assegurar a confidencialidade, integridade, disponibilidade e resiliência permanentes dos sistemas e dos serviços de tratamento;

[…]»

O artigo 33.o do referido regulamento, sob a epígrafe «Notificação de uma violação de dados pessoais à autoridade de controlo», dispõe, nos seus n.os 1 e 3:

«1. Em caso de violação de dados pessoais, o responsável pelo tratamento notifica desse facto a autoridade de controlo competente nos termos do artigo 55.o, sem demora injustificada e, sempre que possível, até 72 horas após ter tido conhecimento da mesma, a menos que a violação dos dados pessoais não seja suscetível de resultar num risco para os direitos e liberdades das pessoas singulares. Se a notificação à autoridade de controlo não for transmitida no prazo de 72 horas, é acompanhada dos motivos do atraso.

[…]

3. A notificação referida no n.o 1 deve, pelo menos:

[…]

d)	Descrever as medidas adotadas ou propostas pelo responsável pelo tratamento para reparar a violação de dados pessoais, inclusive, se for caso disso, medidas para atenuar os seus eventuais efeitos negativos.»

11	O capítulo VI do RGPD, intitulado «Autoridades de controlo independentes», compreende os artigos 51.o a 59.o do mesmo.

O artigo 51.o deste regulamento, sob a epígrafe «Autoridade de controlo», tem a seguinte redação:

«1. Os Estados‑Membros estabelecem que cabe a uma ou mais autoridades públicas independentes a responsabilidade pela fiscalização da aplicação do presente regulamento, a fim de defender os direitos e liberdades fundamentais das pessoas singulares relativamente ao tratamento e facilitar a livre circulação desses dados na União (“autoridade de controlo”).

[…]

3. Quando estiverem estabelecidas mais do que uma autoridade de controlo num Estado‑Membro, este determina qual a autoridade de controlo que deve representar essas autoridades no [Comité Europeu para a Proteção de Dados] e estabelece disposições para assegurar que as regras relativas ao procedimento de controlo da coerência referido no artigo 63.o, sejam cumpridas pelas autoridades.

4. Os Estados‑Membros notificam a Comissão das disposições do direito nacional que adotarem nos termos do presente capítulo, até 25 de maio de 2018 e, sem demora, de qualquer alteração posterior a essas mesmas disposições.»

O artigo 55.o do referido regulamento, sob a epígrafe «Competência», dispõe:

«1. As autoridades de controlo são competentes para prosseguir as atribuições e exercer os poderes que lhes são conferidos pelo presente regulamento no território do seu próprio Estado‑Membro.

2. Quando o tratamento for efetuado por autoridades públicas ou por organismos privados que atuem ao abrigo do artigo 6.o, n.o 1, alínea c) ou e), é competente a autoridade de controlo do Estado‑Membro em causa. Nesses casos, não é aplicável o artigo 56.o

3. As autoridades de controlo não têm competência para controlar operações de tratamento efetuadas por tribunais que atuem no exercício da sua função jurisdicional.»

O artigo 57.o do RGPD, sob a epígrafe «Atribuições», enuncia, no seu n.o 1:

«Sem prejuízo de outras atribuições previstas nos termos do presente regulamento, cada autoridade de controlo, no território respetivo:

a)	Controla e executa a aplicação do presente regulamento;

[…]

h)	Conduz investigações sobre a aplicação do presente regulamento, incluindo com base em informações recebidas de outra autoridade de controlo ou outra autoridade pública;

[…]»

15	O artigo 58.o deste regulamento, sob a epígrafe «Poderes», enumera, no seu n.o 1, os poderes de investigação de que cada autoridade de controlo dispõe e, no seu n.o 2, as medidas corretivas que estas podem exercer.

16	O capítulo VIII do RGPD, intitulado «Vias de recurso, responsabilidade e sanções», compreende os seus artigos 77.o a 84.o

O artigo 77.o deste regulamento, sob a epígrafe «Direito de apresentar reclamação a uma autoridade de controlo», prevê, no seu n.o 1:

«Sem prejuízo de qualquer outra via de recurso administrativo ou judicial, todos os titulares de dados têm direito a apresentar reclamação a uma autoridade de controlo, em especial no Estado‑Membro da sua residência habitual, do seu local de trabalho ou do local onde foi alegadamente praticada a infração, se o titular dos dados considerar que o tratamento dos dados pessoais que lhe diga respeito viola o presente regulamento.»

O artigo 78.o do referido regulamento, sob a epígrafe «Direito à ação judicial contra uma autoridade de controlo», enuncia, no seu n.o 1:

«Sem prejuízo de qualquer outra via de recurso administrativo ou extrajudicial, todas as pessoas singulares ou coletivas têm direito à ação judicial contra as decisões juridicamente vinculativas das autoridades de controlo que lhes digam respeito.»

O artigo 79.o do mesmo regulamento, sob a epígrafe «Direito à ação judicial contra um responsável pelo tratamento ou um subcontratante», dispõe, no seu n.o 1:

«Sem prejuízo de qualquer outra via de recurso administrativo ou extrajudicial, nomeadamente o direito de apresentar reclamação a uma autoridade de controlo, nos termos do artigo 77.o, todos os titulares de dados têm direito à ação judicial se considerarem ter havido violação dos direitos que lhes assistem nos termos do presente regulamento, na sequência do tratamento dos seus dados pessoais efetuado em violação do referido regulamento.»

Direito búlgaro

Constituição búlgara

O artigo 117.o, n.o 2, da Konstitutsia na Republika Bulgaria (Constituição da República da Bulgária), na sua versão aplicável aos factos nos processos principais (a seguir «Constituição búlgara»), dispõe:

«O poder judicial é independente. No exercício das suas funções, os juízes, os jurados, os procuradores e os juízes de instrução estão exclusivamente vinculados por lei.»

O artigo 132.o‑a da Constituição búlgara, na sua versão aplicável à data que foram submetidos os presentes pedidos de decisão prejudicial, previa:

«(1) É criada no Conselho Superior da Magistratura uma Inspeção composta por um Inspetor‑Geral e dez Inspetores.

(2) O Inspetor‑Geral é eleito pelo Parlamento por maioria de dois terços dos seus membros por um período de cinco anos.

(3) Os Inspetores são eleitos pelo Parlamento por um período de quatro anos, de acordo com o procedimento previsto no n.o 2.

(4) O Inspetor‑Geral e os Inspetores podem ser reeleitos, mas não por dois mandatos consecutivos.

[…]

(6) A Inspeção controla as atividades do poder judicial, sem prejuízo da independência dos juízes, dos jurados, dos procuradores e dos juízes de instrução no exercício das suas funções. A [Inspeção] procede a controlos relativos à integridade e aos conflitos de interesses dos juízes, dos procuradores e dos juízes de instrução, às suas declarações de património e à identificação de condutas que afetem a reputação do poder judicial e que constituam uma violação da independência dos juízes, dos procuradores e dos juízes de instrução. No exercício das suas funções, o Inspetor‑Geral e os Inspetores são independentes e estão exclusivamente sujeitos à lei.

(7) A Inspeção intervém oficiosamente, por iniciativa dos cidadãos, de pessoas coletivas e de autoridades do Estado, incluindo juízes, procuradores e juízes de instrução.

[…]

(10) As condições e o procedimento aplicáveis à eleição e à destituição do Inspetor‑Geral e dos Inspetores, bem como a organização e o funcionamento da Inspeção são estabelecidos por lei.»

ZSV

O artigo 46.o da Zakon za sadebnata vlast (Lei relativa ao Poder Judicial) (DV n.o 64, de 7 de agosto de 2007), na sua versão aplicável aos factos nos processos principais (a seguir «ZSV»), prevê:

«O Parlamento elege o Inspetor‑Geral e cada um dos Inspetores individualmente, por maioria de dois terços dos deputados.»

O artigo 54.o, n.os 1 e 2, desta lei dispõe:

«(1) A Inspeção:

[…]

2.	fiscaliza a organização da instauração e da tramitação dos processos judiciais, da acusação e do inquérito pelo Ministério Público, bem como o encerramento dos processos nos prazos fixados;

[…]

6.	propõe a aplicação de sanções disciplinares a juízes, procuradores, juízes de instrução e responsáveis administrativos do poder judicial;

7.	emite alertas, elabora propostas e relatórios para outras autoridades públicas, incluindo as autoridades judiciais;

procede ao controlo da integridade e dos conflitos de interesses dos juízes, dos procuradores e dos juízes de instrução, relativos às suas declarações de património e à identificação de condutas que comprometam a reputação do poder judicial e a condutas constitutivas de uma violação da independência dos juízes, dos procuradores e dos juízes de instrução.

[…]

15.	controla o tratamento de dados pessoais nos casos previstos no artigo 17.o, n.o 1, da Lei relativa à Proteção de Dados Pessoais.

(2) Para assegurar o controlo previsto no n.o 1, ponto 15, a [Inspeção] executa as tarefas e exerce os poderes previstos na Lei relativa à Proteção de Dados Pessoais.»

O artigo 175.o‑a, n.o 1, da referida lei enuncia:

«Os juízes, os procuradores e os juízes de instrução devem apresentar à [Inspeção] as seguintes declarações:

1.	uma declaração em duas partes, relativa ao património e aos interesses do declarante;

2.	uma declaração de alteração das circunstâncias declaradas no n.o 1, na parte relativa aos interesses referidos no artigo 175.o‑b, n.o 1, pontos 11 a 13, e relativa à origem dos fundos em caso de reembolso antecipado de dívidas e empréstimos.»

25	O artigo 175.o‑b, n.o 4, da ZSV tem a seguinte redação: «Os juízes, os procuradores e os juízes de instrução declaram o património e os rendimentos dos respetivos cônjuges ou das pessoas com quem vivam em união de facto, bem como dos seus filhos menores.»

O artigo175.°‑d desta lei prevê:

«(1) A [Inspeção] deve manter e conservar registos públicos eletrónicos:

1.	das declarações mencionadas no artigo 175.o‑a, n.o 1, pontos 1 e 2;

2.	das decisões de aplicação de sanções administrativas que se tornaram definitivas.

(2) A [Inspeção] inscreve as declarações de património e de interesses, bem como as declarações de alteração das circunstâncias, no registo público a que se refere o n.o 1, ponto 1. Esta inscrição é efetuada exclusivamente por agentes mandatados pelo Inspetor‑Geral.

[…]

(4) Todas as pessoas têm o direito de aceder aos dados constantes do registo público.

(5) O acesso é assegurado através do sítio Internet da [Inspeção], no respeito das exigências em matéria de proteção de dados pessoais.»

O artigo 175.o‑e, n.os 1 e 6, da referida lei dispõe:

«(1) No prazo de seis meses a contar do termo do prazo de apresentação da declaração, [a Inspeção] procede à verificação da veracidade dos factos nela declarados. […]

[…]

(6) [A Inspeção] pode obter informações através dos sistemas de informação referidos nos artigos 56.o e 56.o‑a da Lei relativa às Instituições de Crédito. O Inspetor‑Geral e os Inspetores da [Inspeção] podem pedir o levantamento do sigilo bancário ao Rayonen sad [(Tribunal de Primeira Instância)] do local do domicílio do titular dos dados, exceto nos casos em que tenha sido prestado consentimento nos termos do artigo 62.o, n.o 5, ponto 1, da Lei relativa às Instituições de Crédito. O consentimento é prestado por escrito à [Inspeção], sem necessidade de reconhecimento de assinaturas, através de um formulário aprovado pelo Inspetor‑Geral.»

28	O artigo 307.o, n.o 2, da ZSV prevê: «A infração disciplinar é um ato culposo que viola os deveres profissionais e que consubstancia uma ofensa à dignidade do poder judicial.»

O artigo 311.o desta lei tem a seguinte redação:

«A sanção disciplinar é aplicada:

1.	pelo responsável administrativo, relativamente à sanção referida no artigo 308.o, n.o 1, ponto 1;

2.	pela secção competente do Conselho Superior da Magistratura (a secção dos juízes, dos procuradores ou dos juízes de instrução), relativamente às sanções previstas no artigo 308.o, n.o 1, pontos 2, 3, 4 e 6;

[…]

4.	pela Assembleia Plenária do Conselho Superior da Magistratura, relativamente às sanções previstas no artigo 308.o, n.o 2, quando estas sejam aplicadas a um membro eleito do Conselho Superior da Magistratura.»

O artigo 312.o, n.o 1, da referida lei dispõe:

«A proposta de instauração de um procedimento disciplinar com vista à aplicação de uma sanção disciplinar a um juiz, a um magistrado do Ministério Público e a um juiz de instrução, a um responsável administrativo e a um responsável administrativo adjunto pode ser apresentada por:

[…]

3. [A Inspeção]:

[…]»

O artigo 323.o, n.o 1, da mesma lei prevê:

«A decisão da Assembleia Plenária ou da secção competente do Conselho Superior da Magistratura pode ser impugnada pela pessoa objeto da a sanção disciplinar e — quando nenhuma sanção disciplinar tiver sido aplicada ou quando esta for menos severa do que a proposta — pelo autor da proposta, no Varhoven administrativen sad [(Supremo Tribunal Administrativo, Bulgária)] no prazo de 14 dias a contar da citação ou da notificação dessa decisão.»

ZKI

O artigo 62.o da Zakon za kreditnite institutsii (Lei relativa às Instituições de Crédito) (DV n.o 59, de 21 de julho de 2006), na sua versão aplicável aos factos nos processos principais (a seguir «ZKI»), prevê:

«(1) É proibido aos funcionários do banco, aos membros dos órgãos de direção e de supervisão dos bancos, aos agentes do Banco Central da Bulgária (BNB), aos trabalhadores e membros do conselho de administração do Fundo de Garantia de Depósitos, aos liquidatários, aos administradores provisórios e aos administradores de insolvência, bem como qualquer outra pessoa que preste serviço a um banco, divulgar ou utilizar, em benefício próprio ou de membros das suas famílias, informações abrangidas pelo sigilo bancário.

(2) O sigilo bancário abrange os factos e as circunstâncias relativos aos saldos e às operações nas contas, bem como aos depósitos dos clientes do banco.

[…]

(5) Com exceção do BNB, nos termos e para os efeitos do disposto no artigo 56.o, o banco só pode fornecer as informações referidas no n.o 2 relativas a clientes individuais:

1.	com o consentimento do cliente;

2.	com base numa decisão judicial, proferida nos termos dos n.os 6 e 7;

3.	por ordem de um órgão jurisdicional, quando tal for necessário para apurar factos num processo que lhe foi submetido;

4.	nos casos previstos no n.o 12, quando um banco se encontre em processo de insolvência; ou

5.	no âmbito de um processo de arbitragem internacional pendente, no qual a República da Bulgária é parte.

(6) O órgão jurisdicional também pode ordenar a divulgação das informações referidas no n.o 2, mediante pedido apresentado por:

[…]

12. Inspetor‑Geral ou de um Inspetor da [Inspeção].

(7) O juiz do Rayonen sad [(Tribunal de Primeira Instância)] decide à porta fechada por decisão fundamentada sobre o pedido referido no n.o 6, no prazo máximo de 24 horas após a receção do pedido, especificando o período de tempo a que dizem respeito as informações solicitadas no n.o 1. A decisão do órgão jurisdicional não é suscetível de recurso.

[…]»

ZZLD

O artigo 6.o, n.o 1, da Zakon za zashtita na lichnite danni (Lei relativa à Proteção de Dados Pessoais) (DV n.o 1, de 4 de janeiro de 2002), na sua versão aplicável aos factos nos processos principais (a seguir «ZZLD»), tem a seguinte redação:

«A Komisia za zashtita na lichnite danni [(Comissão para a Proteção de Dados Pessoais, Bulgária) (a seguir “KZLD”)] é uma autoridade de controlo permanente e independente que assegura a proteção das pessoas no que diz respeito ao tratamento e ao acesso aos seus dados pessoais, bem como o controlo do cumprimento do [RGPD] e da presente lei.»

O artigo 17.o, n.os 1 e 2, desta lei dispõe:

«(1) [A Inspeção] supervisiona e controla o respeito do [RGPD], da presente lei e dos atos em matéria de proteção de dados pessoais, quando sejam tratados dados pessoais:

1.	pelo órgão jurisdicional, no exercício das suas funções enquanto órgão do poder judicial, e

2.	pelo Ministério Público e pelas autoridades responsáveis pela investigação criminal, no exercício das suas funções de autoridades do poder judicial para efeitos de prevenção, deteção, investigação ou acusação da prática de um crime, ou de execução de sanções penais.

(2) As regras aplicáveis à execução da atividade referida no n.o 1, incluindo a realização de ações de controlo e a análise de procedimentos submetidos à Inspeção, são definidas no regulamento referido no artigo 55.o, n.o 8, [da ZSV].»

O artigo 17.o‑a, n.o 1, da ZZLD prevê:

«No âmbito do controlo do tratamento de dados pessoais efetuado por um órgão jurisdicional no exercício das suas funções de autoridade judiciária, exceto no caso de tratamento de dados pessoais para fins previstos no artigo 42.o, n.o 1, a Inspeção deve:

1.	desempenhar as funções previstas no artigo 57.o, n.o 1, alíneas a) a i), l), u) e v), e n.os 2 e 3, do [RGPD];

2.	exercer os poderes conferidos pelo artigo 58.o, n.o 1, alíneas a), b), d), e), f), n.o 2, alíneas a) a g), i) e j), e n.o 3, alíneas a), b) e c), do [RGPD];

3.	aplicar a lista elaborada pela [KZLD], em conformidade com o artigo 35.o, n.o 4, do [RGPD], lido em conjugação com o requisito de realização de uma avaliação de impacto sobre a proteção de dados;

4.	recorrer ao órgão jurisdicional em caso de violação do [RGPD].»

O artigo 39.o da ZZLD enuncia:

«(1) Em caso de violação dos seus direitos ao abrigo do [RGPD] e da presente lei, o titular dos dados pode impugnar os atos e as ações do responsável pelo tratamento e do subcontratante perante um órgão jurisdicional nos termos previstos no Código do Procedimento Administrativo.

[…]

(4) O titular dos dados não pode recorrer ao órgão jurisdicional se estiver pendente na [KZLD] um processo relativo à mesma infração, ou se uma decisão da [KZLD] sobre a mesma infração tiver sido objeto de recurso e não existir uma decisão judicial definitiva. A pedido do titular dos dados ou do órgão jurisdicional, a [KZLD] certifica que não existe nenhum processo nela pendente relativo ao mesmo litígio.

(5) O disposto no n.o 4 aplica‑se igualmente nos casos em que estiver pendente um processo na Inspeção.»

Litígios nos processos principais e questões prejudiciais

Em 15 de maio de 2023, após o termo do prazo previsto para a apresentação das declarações anuais de património dos magistrados e dos seus familiares relativas ao ano de 2022, previsto nos artigos 175.o‑a e 175.o‑b da ZSV, a Inspeção apresentou no Sofiyski rayonen sad (Tribunal de Primeira Instância de Sófia, Bulgária), que é o órgão jurisdicional de reenvio, um pedido de levantamento do sigilo bancário relativo às contas bancárias de vários magistrados e dos seus familiares, em aplicação do artigo 62.o, n.o 6, ponto 12, da ZKI.

O órgão jurisdicional de reenvio salienta, em primeiro lugar, que cumpre verificar se a Inspeção tem competência para lhe apresentar esse pedido. A este respeito, o órgão jurisdicional de reenvio esclarece que esse órgão, que foi criado na sequência de uma alteração da Constituição búlgara adotada em 2007, está encarregado de investigar o exercício de influências indevidas sobre os magistrados, de verificar as declarações de património destes últimos e de detetar eventuais conflitos de interesses e ofensas à independência do poder judicial.

O órgão jurisdicional de reenvio indica que a Inspeção é composta por um Inspetor‑Geral e dez Inspetores eleitos pelo Parlamento por um período, respetivamente, de cinco e de quatro anos. Ora, os mandatos de todos os membros da Inspeção expiraram em 2020, sem que o Parlamento tenha procedido à eleição de novos membros.

É certo que, por meio de um Acórdão de 27 de setembro de 2022, o Konstitutsionen sad (Tribunal Constitucional, Bulgária) declarou que a Constituição búlgara deve ser interpretada no sentido de que o Inspetor‑Geral e os Inspetores cujo mandato expirou continuam a exercer as suas funções até que o Parlamento proceda à eleição de novos membros da Inspeção, considerando que a preservação da missão confiada à Inspeção prevalece sobre os riscos de abuso por parte dos seus membros cujo mandato tenha expirou. Todavia, o órgão jurisdicional de reenvio salienta que esse acórdão não abordou a questão de saber se os membros da Inspeção que continuam a exercer as suas funções após o termo do seu mandato podem exercer uma influência indevida sobre o poder judicial ou se podem, eles próprios, estar sujeitos a pressões por parte de deputados.

Por conseguinte, o referido órgão jurisdicional tem dúvidas sobre se o direito da União prevê requisitos mais estritos do que a Constituição búlgara, conforme interpretada pelo Konstitutsionen sad (Tribunal Constitucional). Em especial, tendo em conta a jurisprudência do Tribunal de Justiça desenvolvida no Acórdão de 11 de maio de 2023, Inspecția Judiciară (C‑817/21, EU:C:2023:391, n.os 50 e 51), o órgão jurisdicional de reenvio tem dúvidas sobre se uma prorrogação dos mandatos dos membros da Inspeção é suscetível de pôr em causa as garantias de independência desta autoridade enquanto autoridade competente para instaurar procedimentos disciplinares contra magistrados e, em caso afirmativo, quais os critérios que permitem apreciar se essa prorrogação é admissível e qual a sua duração.

42	Em segundo lugar, o órgão jurisdicional de reenvio tem dúvidas sobre o papel e as obrigações dos órgãos jurisdicionais nacionais quando estes são chamados a conceder à Inspeção o acesso aos dados pessoais dos magistrados.

A este respeito, o órgão jurisdicional de reenvio observa que, em 2019, um grave problema de segurança dos dados na posse da Inspeção chamou a atenção dos meios de comunicação social búlgaros. Com efeito, a KZLD verificou que os dados pessoais de cerca de vinte juízes e procuradores, que estavam na posse da Inspeção, tinham sido ilegalmente publicados na íntegra no sítio Internet da Inspeção, o que levou a KZLD a aplicar uma coima à Inspeção. Ora, o órgão jurisdicional de reenvio salienta que não dispõe de informações que lhe permitam saber se, na sequência deste incidente, foram tomadas medidas para garantir a segurança dos dados.

O órgão jurisdicional de reenvio tem dúvidas sobre se a sua atividade que consiste em autorizar o acesso da Inspeção aos dados pessoais abrangidos pelo sigilo bancário está abrangida pelo âmbito de aplicação do RGPD e, em caso afirmativo, qual o seu impacto no controlo que deve efetuar. Sublinha, a este respeito, que o RGPD impõe obrigações às pessoas que efetuam um tratamento de dados pessoais, aos responsáveis pelo tratamento e às autoridades de controlo.

Em contrapartida, as obrigações de um órgão jurisdicional que autoriza uma autoridade a aceder a esses dados não são diretamente reguladas pelo RGPD. Por conseguinte, cumpre determinar se se deve considerar que esse órgão jurisdicional tem a qualidade de «responsável pelo tratamento», na aceção do artigo 4.o, ponto 7, do RGPD, ou de «autoridade de controlo», na aceção do artigo 51.o deste regulamento, na medida em que concede à Inspeção uma autorização sem a qual não pode haver acesso aos dados em causa. A Inspeção recolhe e verifica, para efeitos dos artigos 175.o‑a e 175.o‑b da ZSV, os dados relativos ao património dos magistrados, ao passo que os órgãos jurisdicionais controlam essa atividade concedendo ou recusando o acesso aos dados em causa.

A este respeito, o órgão jurisdicional de reenvio salienta que o seu controlo deve, de acordo com a interpretação do direito nacional em vigor na Bulgária, ser puramente formal e limitar‑se a verificar se as pessoas em relação às quais é pedido o levantamento do sigilo bancário têm a qualidade de pessoas sujeitas à obrigação de declaração na aceção da ZSV, ou seja, se são magistrados ou familiares ou pessoas com outro vínculo com estes, previsto nesse direito. Em princípio, se essas condições estiverem preenchidas, os órgãos jurisdicionais devem autorizar sempre o levantamento do sigilo bancário. Em contrapartida, não será esse o caso se os órgãos jurisdicionais que procedem a um controlo prévio puderem ser considerados responsáveis pelo tratamento de dados pessoais aos quais concedem acesso, devendo garantir a segurança dos dados nos termos dos artigos 32.o a 34.o do RGPD.

Ora, embora esses órgãos jurisdicionais não tenham acesso direto aos dados pessoais abrangidos pelo sigilo bancário, determinam, até certo ponto, as finalidades do tratamento, ao autorizarem ou recusarem o acesso a esses dados. Por outro lado, as disposições nacionais aplicáveis aos litígios nos processos principais não especificam, quando as finalidades do tratamento dos dados pessoais são determinadas por lei, qual a autoridade sujeita aos direitos e às obrigações de um responsável pelo tratamento dos dados pessoais.

48	Além disso, o órgão jurisdicional de reenvio tem dúvidas sobre se pode verificar, antes de autorizar o acesso aos dados, se a Inspeção tomou medidas destinadas a garantir que os dados sejam tratados em conformidade com a lei, a fim de não atuar como um simples serviço administrativo.

Por último, ainda que o órgão jurisdicional responsável por autorizar o acesso da Inspeção aos dados pessoais abrangidos pelo sigilo bancário não tenha a qualidade de responsável pelo tratamento ou de autoridade de controlo, coloca‑se a questão de saber se deve proceder a esses controlos para garantir a proteção jurisdicional efetiva prevista no artigo 79.o do RGPD. É certo que esta disposição regula os casos em que o titular dos dados recorre ao tribunal para assegurar a proteção dos seus direitos. No entanto, quando o procedimento relativo à divulgação dos dados é conduzido sem a participação do titular dos dados e o direito nacional prevê uma fiscalização jurisdicional prévia, deve impor‑se ex officio uma obrigação semelhante. Tal decorre também do direito à ação garantido pelo artigo 47.o da Carta. Na falta dessa obrigação, o órgão jurisdicional de reenvio limitar‑se‑ia sempre a uma análise meramente formal e à confirmação da atuação da Administração, o que poderia revelar‑se contrário aos objetivos do artigo 79.o do RGPD.

Nestas circunstâncias, o Sofiyski rayonen sad (Tribunal de Primeira Instância de Sófia) decidiu suspender a instância e submeter ao Tribunal de Justiça as seguintes questões prejudiciais, formuladas em termos idênticos nos processos C‑313/23, C‑316/23 e C‑332/23:

«1)

O artigo 19.o, n.o 1, segundo parágrafo, [TUE], em conjugação com o artigo 47.o, segundo parágrafo, da [Carta], deve ser interpretado no sentido de que: constitui, por si só ou em determinadas circunstâncias, uma violação do dever dos Estados‑Membros de garantirem vias de recurso efetivas para uma fiscalização jurisdicional independente o facto de as funções de uma autoridade, que pode impor sanções disciplinares aos juízes e que tem poderes para recolher dados relativos ao seu património, serem prolongadas indefinidamente após o termo do mandato dessa autoridade, conforme previsto na Constituição? Se essa extensão desses poderes for admissível, quais as condições?

O artigo 2.o, n.o 2, alínea a), do [RGPD], deve ser interpretado no sentido de que: o levantamento do sigilo bancário para efeitos de fiscalização do património dos juízes e procuradores, que é posteriormente tornado público, é uma atividade que não está sujeita à aplicação do direito da União? A resposta é diferente se essa atividade incluir também a divulgação de dados relativos aos familiares dos juízes e procuradores que não são, eles próprios, juízes nem procuradores?

Em caso de resposta à segunda questão no sentido de que o direito da União é aplicável, deve o artigo 4.o, ponto 7, do RGPD ser interpretado no sentido de que: uma autoridade [judiciária], que autoriza outra autoridade pública a aceder a dados relativos aos saldos bancários dos juízes e procuradores e dos membros das suas famílias, determina as finalidades ou os meios de tratamento de dados pessoais e é, por conseguinte, “responsável pelo tratamento” de dados pessoais?

Em caso de resposta à segunda questão no sentido de que o direito da União é aplicável e em caso de resposta negativa à terceira questão, deve o artigo 51.o do RGPD ser interpretado no sentido de que: uma autoridade [judiciária], que autoriza outra autoridade pública a aceder a dados relativos aos saldos bancários dos juízes e procuradores e dos membros das suas famílias, é responsável pela fiscalização [da aplicação] deste regulamento e, por conseguinte, deve ser qualificada como “autoridade de controlo” relativamente a esses dados?

Em caso de resposta à segunda questão no sentido de que o direito da União é aplicável e em caso de resposta afirmativa à terceira ou à quarta questões, deve o artigo 32.o, n.o 1, alínea b), do RGPD, ou o artigo 57.o, n.o 1, alínea a), do mesmo regulamento, ser interpretado no sentido de que: uma autoridade [judiciária], que autoriza outra autoridade pública a aceder a dados relativos aos saldos bancários de juízes e procuradores e dos membros das suas famílias, é obrigada, perante dados relativos a uma violação da proteção de dados pessoais cometida no passado pela autoridade à qual esse acesso deve ser concedido, a obter informações sobre as medidas adotadas para proteger os dados e a ter em conta a adequação dessas medidas ao decidir sobre a autorização de acesso?

Em caso de resposta à segunda questão no sentido de que o direito da União é aplicável e independentemente das respostas à terceira e quarta questões, deve o artigo 79.o, n.o 1, do RGPD, em conjugação com o artigo 47.o da [Carta], ser interpretado no sentido de que: quando o direito nacional de um Estado‑Membro prevê que determinadas categorias de dados só podem ser divulgadas mediante autorização de um órgão jurisdicional, o órgão jurisdicional competente para o efeito deve conceder oficiosamente proteção jurisdicional às pessoas cujos dados são divulgados, exigindo à autoridade que solicitou o acesso aos dados e que se sabe ter cometido violações da proteção dos dados pessoais no passado que forneça informações sobre as medidas adotadas ao abrigo do artigo 33.o, n.o 3, alínea d), do RGPD, e a sua aplicação efetiva?»

Tramitação processual no Tribunal de Justiça

Quanto à apensação

51	Por decisão do presidente do Tribunal de Justiça de 30 de junho de 2023, os processos C‑313/23, C‑316/23 e C‑332/23 foram apensados para efeitos da fase escrita e da fase oral, bem como para efeitos do acórdão.

Quanto ao pedido de reabertura da fase oral do processo

Por requerimento apresentado na Secretaria do Tribunal de Justiça em 30 de outubro de 2024, a Inspeção pediu que, em aplicação do artigo 83.o do Regulamento de Processo do Tribunal de Justiça, fosse ordenada a reabertura da fase escrita do processo. Uma vez que o referido artigo 83.o regula a reabertura da fase oral do processo e que, no caso em apreço, essa fase foi encerrada após a apresentação das conclusões do advogado‑geral, este pedido deve ser entendido no sentido de que visa a reabertura da fase oral do processo.

Em apoio do seu pedido, a Inspeção apresenta duas razões relacionadas com a primeira questão prejudicial. Em primeiro lugar, refere que surgiu um facto novo, a saber, a alteração, em dezembro de 2023, do artigo 132.o‑a, n.o 4, da Constituição búlgara, no sentido de que os membros da Inspeção podem agora ser eleitos por dois mandatos consecutivos. Em segundo lugar, nas suas conclusões, o advogado‑geral apreciou incorretamente a situação em causa nos processos principais ao referir‑se a uma legislação nacional e a um parecer da Comissão Europeia para a Democracia pelo Direito, denominada «Comissão de Veneza», que não são relevantes nos presentes processos.

A este respeito, importa recordar, por um lado, que o Estatuto do Tribunal de Justiça da União Europeia e o Regulamento de Processo não preveem a possibilidade de os interessados a que se refere o artigo 23.o deste estatuto apresentarem observações em resposta às conclusões apresentadas pelo advogado‑geral. Por outro lado, nos termos do artigo 252.o, segundo parágrafo, TFUE, cabe ao advogado‑geral apresentar publicamente, com toda a imparcialidade e independência, conclusões fundamentadas sobre as causas que, nos termos deste estatuto, requeiram a sua intervenção. O Tribunal de Justiça não está vinculado nem pelas conclusões do advogado‑geral nem pela fundamentação em que este baseia essas conclusões. Por conseguinte, o desacordo de uma parte com as conclusões, sejam quais forem as questões nelas examinadas, não pode constituir, por si só, um fundamento justificativo da reabertura da fase oral do processo (Acórdão de 19 de dezembro de 2024, Ford Italia, C‑157/23, EU:C:2024:1045, n.o 26 e jurisprudência referida).

É certo que, em conformidade com o artigo 83.o do Regulamento de Processo, o Tribunal de Justiça pode, a qualquer momento, ouvido o advogado‑geral, ordenar a abertura ou a reabertura da fase oral do processo, designadamente se considerar que não está suficientemente esclarecido, ou quando, após o encerramento dessa fase, uma parte invocar um facto novo que possa ter influência determinante na decisão do Tribunal, ou ainda quando o processo deva ser resolvido com base num argumento que não foi debatido entre os interessados.

Todavia, no caso em apreço, o Tribunal de Justiça dispõe de todos os elementos necessários para se pronunciar sobre os pedidos de decisão prejudicial e os presentes processos não devem ser decididos com base em argumentos que não foram debatidos entre os interessados. Além disso, o pedido de reabertura da fase oral do processo não revela nenhum facto novo suscetível de ter influência determinante na decisão que o Tribunal de Justiça é chamado a proferir nesses processos.

57	Nestas circunstâncias, o Tribunal de Justiça, ouvido o advogado‑geral, considera que não há que ordenar a reabertura da fase oral do processo.

Quanto à admissibilidade dos pedidos de decisão prejudicial

O Governo Búlgaro tem dúvidas quanto à admissibilidade dos pedidos de decisão prejudicial, pelo facto de o organismo de reenvio não apresentar, no âmbito dos litígios nos processos principais, a qualidade de «órgão jurisdicional», na aceção do artigo 267.o TFUE. Com efeito, por um lado, os processos submetidos a esse órgão são unilaterais na medida em que são conduzidos sem a participação das pessoas em causa. Por outro lado, esses processos não têm por objeto a resolução de um litígio, uma vez que têm por único objetivo verificar se as condições exigidas para o levantamento do sigilo bancário estão preenchidas.

De acordo com jurisprudência constante do Tribunal de Justiça, para apreciar se o organismo de reenvio em causa tem a natureza de «órgão jurisdicional», na aceção do artigo 267.o TFUE, questão que deve ser decidida unicamente no âmbito do direito da União, o Tribunal de Justiça toma em consideração um conjunto de elementos, como a origem legal do organismo, a sua permanência, o caráter vinculativo da sua jurisdição, a natureza contraditória do processo, a aplicação, pelo organismo em causa, das regras de direito, bem como a sua independência (v., neste sentido, Acórdãos de 29 de março de 2022, Getin Noble Bank, C‑132/20, EU:C:2022:235, n.o 66, e de 7 de maio de 2024, NADA e o., C‑115/22, EU:C:2024:384, n.o 35 e jurisprudência referida).

Resulta, também, de jurisprudência constante que, embora o artigo 267.o TFUE não sujeite o recurso ao Tribunal de Justiça ao caráter contraditório do processo no decurso do qual o juiz nacional formula uma questão prejudicial, os órgãos jurisdicionais nacionais só podem recorrer ao Tribunal de Justiça se perante eles se encontrar pendente um litígio e se forem chamados a pronunciar‑se no âmbito de um processo que deva conduzir a uma decisão de caráter jurisdicional. Assim, a competência de um órgão para submeter questões ao Tribunal de Justiça deve ser determinada segundo critérios tanto estruturais como funcionais. Um organismo nacional pode ser qualificado de «órgão jurisdicional», na aceção do artigo 267.o TFUE, quando exerce funções jurisdicionais, ao passo que, no exercício de outras funções, designadamente de natureza administrativa, não lhe pode ser reconhecida essa qualidade (v., neste sentido, Acórdão de 3 de maio de 2022, CityRail, C‑453/20, EU:C:2022:341, n.os 42 e 43 e jurisprudência referida).

Não é contestado que o Sofiyski rayonen sad (Tribunal de Primeira Instância de Sófia) preenche, enquanto tal, os requisitos recordados no n.o 59 do presente acórdão, relativos à origem, à permanência, à aplicação das regras de direito e à sua independência, e que nenhum elemento dos autos de que dispõe o Tribunal de Justiça suscita dúvidas a este respeito. O que, no caso em apreço, é suscitado pelo Governo Búlgaro é a questão de saber se esse órgão jurisdicional é chamado a pronunciar‑se no âmbito de um processo que deva conduzir a uma decisão de caráter jurisdicional. A este respeito, cumpre salientar que este órgão jurisdicional é chamado a pronunciar‑se sobre um pedido de levantamento do sigilo bancário apresentado pela Inspeção ao abrigo do artigo 62.o, n.o 6, ponto 12, da ZKI. Embora o Governo Búlgaro alegue que a análise que incumbe ao órgão jurisdicional de reenvio realizar é de natureza puramente formal, não deixa de ser certo que este é chamado a verificar se as condições legais do levantamento do sigilo bancário estão preenchidas, decidir mediante decisão fundamentada e fixar o período durante o qual o levantamento do sigilo bancário se mantém.

Em especial, a autorização que o órgão jurisdicional de reenvio é suscetível de conceder visa, como resulta do artigo 62.o, n.o 5, da ZKI, substituir‑se ao consentimento das pessoas em causa. Esta autorização é oponível aos bancos em que essas pessoas dispõem de contas bancárias e tem por efeito conceder à Inspeção o acesso aos dados pessoais relativos a essas contas. Além disso, esse acesso constitui uma ingerência nos direitos fundamentais das referidas pessoas, consagrados nos artigos 7.o e 8.o da Carta [v., neste sentido, Acórdão de 6 de outubro de 2020, État luxembourgeois (Direito à ação contra um pedido de informação em matéria fiscal),C‑245/19 e C‑246/19, EU:C:2020:795, n.o 74].

Nestas circunstâncias, as funções exercidas pelo órgão jurisdicional de reenvio nos termos do artigo 62.o, n.o 6, ponto 12, da ZKI não consistem na adoção de atos de natureza administrativa suscetíveis de recurso judicial, mas devem ser consideradas funções jurisdicionais, uma vez que este órgão jurisdicional é efetivamente chamado a decidir com total independência para assegurar a legalidade do levantamento do sigilo bancário (v., por analogia, Despacho de 15 de janeiro de 2004, Saetti e Frediani, C‑235/02, EU:C:2004:26, n.o 23).

64	Por conseguinte, os pedidos de decisão prejudicial são admissíveis.

Quanto às questões prejudiciais

Quanto à primeira questão

A título preliminar, importa recordar que, de acordo com jurisprudência constante, no âmbito do procedimento de cooperação entre os órgãos jurisdicionais nacionais e o Tribunal de Justiça, instituído pelo artigo 267.o TFUE, cabe a este dar ao juiz nacional uma resposta útil que lhe permita decidir o litígio que lhe foi submetido. Nesta ótica, incumbe ao Tribunal de Justiça, se necessário, reformular a questão que lhe é submetida (Acórdão de 30 de janeiro de 2024, Direktor na Glavna direktsia Natsionalna politsia pri MVR — Sofia, C‑118/22, EU:C:2024:97, n.o 31 e jurisprudência referida).

No caso em apreço, embora a primeira questão faça referência a um órgão judicial «que pode impor sanções disciplinares aos juízes e que tem poderes para recolher dados relativos ao seu património», resulta tanto dos pedidos de decisão prejudicial como dos autos de que dispõe o Tribunal de Justiça que esse órgão fiscaliza a atividade dos magistrados no exercício das suas funções, a sua integridade e a inexistência de conflitos de interesses relativamente a estes e que dispõe, nesse âmbito, do poder de recolher dados pessoais que lhes digam respeito. Em especial, o referido órgão pode, no exercício das suas competências de fiscalização, propor a outro órgão judicial a instauração de um procedimento disciplinar com o objetivo de lhes impor sanções disciplinares.

Ora, como resulta dos pedidos de decisão prejudicial, o órgão jurisdicional de reenvio considera que o facto de os membros da Inspeção, eleitos por maioria de dois terços dos deputados do Parlamento, continuarem a exercer as suas funções apesar do termo dos respetivos mandatos é suscetível de levantar questões quanto ao requisito da independência do poder judicial. Com efeito, este órgão jurisdicional interroga‑se sobre se, neste contexto, existe o risco de os membros desse órgão judicial exercerem uma influência indevida sobre os magistrados ou de prosseguirem as suas atividades sob a pressão dos deputados do Parlamento.

Assim, a primeira questão prejudicial tem por objeto a interpretação do artigo 19.o, n.o 1, segundo parágrafo, TUE, lido à luz do artigo 47.o da Carta, apenas quanto à questão de saber se a prorrogação dos mandatos dos membros da Inspeção que expiraram, sem que o alcance dos poderes desse órgão judicial seja, enquanto tal, objeto desta questão.

Nestas circunstâncias, há que considerar que, com a sua primeira questão, o órgão jurisdicional de reenvio pergunta, em substância, se e, sendo caso disso, em que condições o artigo 19.o, n.o 1, segundo parágrafo, TUE, lido à luz do artigo 47.o da Carta, se opõe à prática de um Estado‑Membro nos termos da qual os membros de um órgão judicial desse Estado‑Membro, eleitos pelo respetivo Parlamento para mandatos de uma duração determinada e que são competentes para fiscalizar a atividade dos magistrados no exercício das suas funções, a sua integridade e a inexistência de conflitos de interesses na esfera jurídica destes, bem como para propor a outro órgão judicial a instauração de um procedimento disciplinar com vista à aplicação de sanções disciplinares contra esses magistrados, continuam a exercer as suas funções após o termo do prazo legal dos respetivos mandatos, previsto na Constituição do referido Estado‑Membro, até que esse Parlamento proceda à eleição de novos membros.

Quanto à competência do Tribunal de Justiça

70	O Governo Polaco alega que o Tribunal de Justiça não é competente para responder à primeira questão, uma vez que a União não tem competência em matéria de organização judiciária nos Estados‑Membros.

A este respeito, embora a organização judiciária nos Estados‑Membros seja da competência destes, a verdade é que, no exercício desta competência, os Estados‑Membros estão obrigados a respeitar as obrigações que para eles decorrem do direito da União e, em especial, do artigo 19.o, n.o 1, segundo parágrafo, TUE [v., neste sentido, Acórdão de 9 de janeiro de 2024, G. e o. (Nomeação dos juízes de direito comum na Polónia), C‑181/21 e C‑269/21, EU:C:2024:1, n.o 57 e jurisprudência referida].

É esse o caso das regras nacionais que regulam a responsabilidade disciplinar dos juízes (v., neste sentido, Acórdãos de 21 de dezembro de 2021, Euro Box Promotion e o., C‑357/19, C‑379/19, C‑547/19, C‑811/19 e C‑840/19, EU:C:2021:1034, n.o 133, e de 11 de maio de 2023, Inspecţia Judiciară, C‑817/21, EU:C:2023:391, n.o 44 e jurisprudência referida), incluindo as regras relativas à organização e ao funcionamento de um órgão judicial que, à semelhança da Inspeção, tem competência para fiscalizar a atividade dos juízes no exercício das suas funções, verificar a sua integridade e a eventual existência de conflitos de interesses na sua esfera jurídica, bem como propor a outro órgão judicial a instauração de um procedimento disciplinar com o objetivo de lhes serem aplicadas sanções disciplinares.

73	Nestas circunstâncias, e uma vez que a primeira questão prejudicial tem por objeto a interpretação do direito da União, o Tribunal de Justiça é competente para responder a esta questão.

Quanto à admissibilidade

74	O Governo Búlgaro e a Inspeção contestam a admissibilidade da primeira questão com o fundamento de que a Inspeção não tem competência para aplicar sanções disciplinares, pelo que esta primeira questão não tem nenhuma relação com o objeto dos litígios nos processos principais.

Além disso, a Inspeção alega que a primeira questão é hipotética. Com efeito, por um lado, os litígios nos processos principais não apresentam nenhuma relação com os procedimentos disciplinares. Por outro lado, embora a constatação de uma violação do artigo 19.o, n.o 1, segundo parágrafo, TUE exija uma violação estrutural das exigências de independência, o órgão jurisdicional de reenvio não esclarece em que medida a alegada violação em causa nos processos principais reveste uma natureza estrutural.

A este respeito, de acordo com jurisprudência constante, o juiz nacional, a quem foi submetido o litígio e que deve assumir a responsabilidade pela decisão judicial a tomar, tem competência exclusiva para apreciar, tendo em conta as especificidades do processo, tanto a necessidade de uma decisão prejudicial para poder proferir a sua decisão como a pertinência das questões que submete ao Tribunal de Justiça. Consequentemente, desde que as questões submetidas sejam relativas à interpretação de uma regra de direito da União, o Tribunal de Justiça é, em princípio, obrigado a pronunciar‑se [Acórdãos de 16 de fevereiro de 2023, Rzecznik Praw Dziecka e o. (Suspensão da decisão de regresso), C‑638/22 PPU, EU:C:2023:103, n.o 47, e de 24 de julho de 2023, Lin, C‑107/23 PPU, EU:C:2023:606, n.o 61].

Por conseguinte, as questões relativas ao direito da União gozam de uma presunção de pertinência. O Tribunal de Justiça só pode recusar pronunciar‑se sobre uma questão prejudicial submetida por um órgão jurisdicional nacional se for manifesto que a interpretação solicitada de uma regra da União não tem nenhuma relação com a realidade ou com o objeto do litígio no processo principal, quando o problema for hipotético ou ainda quando o Tribunal de Justiça não dispuser dos elementos de facto e de direito necessários para dar uma resposta útil às questões que lhe são submetidas [v., neste sentido, Acórdãos de 16 de fevereiro de 2023, Rzecznik Praw Dziecka e o. (Suspensão da decisão de regresso), C‑638/22 PPU, EU:C:2023:103, n.o 48, e de 24 de julho de 2023, Lin, C‑107/23 PPU, EU:C:2023:606, n.o 62].

No caso em apreço, o órgão jurisdicional de reenvio tem dúvidas sobre o seguimento a dar aos pedidos da Inspeção destinados a obter uma autorização de acesso aos dados relativos às contas bancárias de vários magistrados e dos seus familiares. Em especial, esse órgão jurisdicional pretende saber se o direito da União se opõe a que esse órgão judicial lhe possa submeter pedidos desta natureza, quando os mandatos de todos os seus membros tenham expirado há vários anos. Afigura‑se, assim, que cabe ao referido órgão jurisdicional pronunciar‑se, a título incidental e in limine litis, sobre esta questão antes de poder decidir quanto ao mérito dos pedidos que lhe são submetidos. Daqui resulta que a interpretação solicitada do direito da União responde a uma necessidade objetiva para a decisão que o órgão jurisdicional de reenvio tem de tomar (v., neste sentido, Acórdão de 18 de maio de 2021, Asociaţia «Forumul Judecătorilor din România» e o., C‑83/19, C‑127/19, C‑195/19, C‑291/19, C‑355/19 e C‑397/19, EU:C:2021:393, n.os 118 e 119).

Quanto às alegações da Inspeção expostas no n.o 75 do presente acórdão, relativas, nomeadamente, aos poderes de que dispõe no contexto dos litígios nos processos principais e à inexistência de violação estrutural das exigências decorrentes do artigo 19.o, n.o 1, segundo parágrafo, TUE, as mesmas fazem parte, na realidade, da apreciação do mérito da primeira questão e, por conseguinte, não podem conduzir à sua inadmissibilidade.

80	Decorre do exposto que a primeira questão prejudicial é admissível.

Quanto ao mérito

Todos os Estados‑Membros devem, por força do artigo 19.o, n.o 1, segundo parágrafo, TUE, assegurar que as instâncias que, enquanto «órgãos jurisdicionais», na aceção do direito da União, são chamadas a pronunciar‑se sobre questões relativas à aplicação ou à interpretação desse direito e que fazem parte do seu sistema de vias de recurso nos domínios abrangidos pelo direito da União, satisfazem as exigências de uma tutela jurisdicional efetiva, nomeadamente em matéria de independência (Acórdão de 11 de julho de 2024, Hann‑Invest e o., C‑554/21, C‑622/21 e C‑727/21, EU:C:2024:594, n.o 47 e jurisprudência referida).

A própria existência de uma fiscalização jurisdicional efetiva destinada a assegurar o respeito do direito da União é inerente à existência de um Estado de direito. Assim, em conformidade com artigo 19.o, n.o 1, segundo parágrafo, TUE, cabe aos Estados‑Membros estabelecer as vias de recurso necessárias para assegurar aos litigantes o respeito do seu direito a uma tutela jurisdicional efetiva nos domínios abrangidos pelo direito da União. O princípio da tutela jurisdicional efetiva dos direitos conferidos aos litigantes pelo direito da União, a que se refere o artigo 19.o, n.o 1, segundo parágrafo, TUE, constitui um princípio geral do direito da União que decorre das tradições constitucionais comuns aos Estados‑Membros e que foi consagrado nos artigos 6.o e 13.o da Convenção Europeia dos Direitos Humanos, assinada em Roma, em4 de novembro de 1950, e que é atualmente proclamado no artigo 47.o da Carta (Acórdão de 21 de dezembro de 2021, Euro Box Promotion e o., C‑357/19, C‑379/19, C‑547/19, C‑811/19 e C‑840/19, EU:C:2021:1034, n.o 219 e jurisprudência referida).

Ora, para este efeito, é essencial a preservação da independência das instâncias que podem ser chamadas a pronunciar‑se sobre questões relativas à aplicação ou à interpretação do direito da União, como confirma o artigo 47.o, segundo parágrafo, da Carta, que menciona o acesso a um tribunal «independente» entre as exigências ligadas ao direito fundamental a um recurso efetivo (Acórdão de 18 de maio de 2021, Asociaţia «Forumul Judecătorilor din România» e o., C‑83/19, C‑127/19, C‑195/19, C‑291/19, C‑355/19 e C‑397/19, EU:C:2021:393, n.o 194 e jurisprudência referida).

Esta exigência de independência dos órgãos jurisdicionais, que é inerente à missão de julgar, faz parte do conteúdo essencial do direito a uma tutela jurisdicional efetiva e do direito fundamental a um processo equitativo, que reveste importância essencial enquanto garante da proteção de todos os direitos conferidos aos litigantes pelo direito da União, bem como a preservação dos valores comuns aos Estados‑Membros, enunciados no artigo 2.o TUE, nomeadamente o valor do Estado de direito. Em conformidade com o princípio da separação de poderes que caracteriza o funcionamento de um Estado de direito, a independência dos órgãos jurisdicionais deve designadamente ser garantida em relação aos poderes legislativo e executivo (Acórdão de 18 de maio de 2021, Asociaţia «Forumul Judecătorilor din România» e o., C‑83/19, C‑127/19, C‑195/19, C‑291/19, C‑355/19 e C‑397/19, EU:C:2021:393, n.o 195 e jurisprudência referida).

De acordo com jurisprudência constante, as garantias de independência e de imparcialidade exigidas pelo direito da União pressupõem a existência de regras que permitam afastar qualquer dúvida legítima, no espírito dos litigantes, quanto à impermeabilidade da referida instância em relação a elementos externos e à sua neutralidade relativamente aos interesses em confronto (Acórdãos de 20 de abril de 2021, Repubblika, C‑896/19, EU:C:2021:311, n.o 53 e jurisprudência referida, e de 18 de maio de 2021, Asociaţia «Forumul Judecătorilor din România» e o., C‑83/19, C‑127/19, C‑195/19, C‑291/19, C‑355/19 e C‑397/19, EU:C:2021:393, n.o 196).

No que respeita, mais especificamente, às regras que regulam o regime disciplinar dos juízes, a exigência de independência dos órgãos jurisdicionais, decorrente do artigo 19.o, n.o 1, segundo parágrafo, TUE, impõe que esse regime apresente as garantias necessárias para evitar qualquer risco de utilização desse regime enquanto sistema de controlo político do conteúdo das decisões judiciais. A este respeito, a adoção de regras que definem, nomeadamente, tanto os comportamentos constitutivos de infrações disciplinares como as sanções concretamente aplicáveis, que preveem a intervenção de uma instância independente em conformidade com um processo que garante plenamente os direitos consagrados nos artigos 47.o e 48.o da Carta, designadamente os direitos de defesa, e que consagrem a possibilidade de impugnar judicialmente as decisões dos órgãos disciplinares, constituem um conjunto de garantias essenciais para efeitos da preservação da independência do poder judicial (Acórdãos de 18 de maio de 2021, Asociaţia «Forumul Judecătorilor din România» e o., C‑83/19, C‑127/19, C‑195/19, C‑291/19, C‑355/19 e C‑397/19, EU:C:2021:393, n.o 198 e jurisprudência referida, e de 11 de maio de 2023, Inspecţia Judiciară, C‑817/21, EU:C:2023:391, n.o 48 e jurisprudência referida).

Dado que a perspetiva de abertura de um procedimento disciplinar é, enquanto tal, suscetível de exercer pressão sobre aqueles que têm a tarefa de julgar, o Tribunal de Justiça já declarou que é essencial que o órgão competente para conduzir os inquéritos e exercer a ação disciplinar atue de forma objetiva e imparcial no exercício das suas funções e, para esse efeito, esteja livre de qualquer influência externa (Acórdãos de 18 de maio de 2021, Asociaţia «Forumul Judecătorilor din România» e o., C‑83/19, C‑127/19, C‑195/19, C‑291/19, C‑355/19 e C‑397/19, EU:C:2021:393, n.o 199, e de 11 de maio de 2023, Inspecţia Judiciară, C‑817/21, EU:C:2023:391, n.o 49). É o caso, nomeadamente, de um órgão judicial que, à semelhança da Inspeção, dispõe de um amplo poder de fiscalização da atividade dos magistrados no exercício das suas funções, da sua integridade e da inexistência de conflitos de interesses na sua esfera jurídica, bem como de propor a outro órgão judicial a instauração de um procedimento disciplinar com vista à aplicação de sanções disciplinares.

Assim, importa que todas as regras que regulam a organização e o funcionamento desse órgão, incluindo as regras relativas ao processo de nomeação dos seus membros, sejam concebidas de modo que não possam criar, no espírito dos litigantes, dúvidas legítimas quanto à utilização das prerrogativas e das funções desse órgão como instrumento de pressão sobre a atividade judicial ou de controlo político dessa atividade (v., neste sentido, Acórdão de 11 de maio de 2023, Inspecţia Judiciară, C‑817/21, EU:C:2023:391, n.os 50 e 51 e jurisprudência referida).

Com efeito, estas normas podem, de forma geral, afetar diretamente a prática do referido órgão e, consequentemente, evitar ou, pelo contrário, favorecer o exercício de ações disciplinares que tenham por objeto, ou por efeito, exercer pressões, em especial, sobre aqueles que têm a tarefa de julgar ou exercer um controlo político sobre a sua atividade (v., neste sentido, Acórdão de 11 de maio de 2023, Inspecţia Judiciară, C‑817/21, EU:C:2023:391, n.o 52).

Caberá ao órgão jurisdicional de reenvio pronunciar‑se, em última análise, após ter procedido às apreciações exigidas para esse efeito, sobre a impermeabilidade do órgão em causa nos processos principais em relação a qualquer influência externa, bem como sobre a sua objetividade e a sua imparcialidade relativamente ao exercício das suas funções. Com efeito, importa recordar que o artigo 267.o TFUE não legitima o Tribunal de Justiça a aplicar as regras do direito da União a uma determinada situação, mas apenas a pronunciar‑se sobre a interpretação dos Tratados e dos atos adotados pelas instituições da União. No entanto, de acordo com jurisprudência constante, o Tribunal de Justiça pode, no âmbito da cooperação judiciária estabelecida por esse artigo 267.o TFUE, a partir dos elementos dos autos, fornecer ao órgão jurisdicional nacional os elementos de interpretação do direito da União que lhe possam ser úteis para a apreciação dos efeitos dessas regras (v., neste sentido, Acórdão de 11 de maio de 2023, Inspecţia Judiciară, C‑817/21, EU:C:2023:391, n.o 58).

No caso em apreço, a Inspeção é composta por um Inspetor‑Geral e dez Inspetores, eleitos pelo Parlamento por maioria de dois terços dos seus membros para um mandato, respetivamente, de cinco e de quatro anos. Em conformidade com a legislação nacional aplicável à data da apresentação dos presentes pedidos de decisão prejudicial, os membros da Inspeção não podiam ser reeleitos para um segundo mandato consecutivo.

No que respeita à situação em causa nos processos principais, em que os mandatos dos membros da Inspeção expiraram sem que o Parlamento tenha procedido à eleição de novos membros, a legislação nacional não parece prever nenhuma regra que permita aos membros da Inspeção cujo mandato expirou continuarem a exercer as suas funções. É certo que, de acordo com as indicações fornecidas pelo órgão jurisdicional de reenvio, em tal situação, em conformidade com a jurisprudência do Konstitutsionen sad (Tribunal Constitucional), os membros da Inspeção continuam a exercer as suas funções até que o Parlamento proceda à eleição de novos membros. Todavia, além do facto de o direito búlgaro não conter regras que regulem o exercício dessas funções ao abrigo de mandatos assim prorrogados, também não contém nenhum mecanismo legal que permita pôr termo a um eventual impasse no processo de nomeação de novos membros da Inspeção, pelo que os mandatos dos seus antigos membros parecem, na prática, poder ser prorrogados sem limite temporal.

Ora, por um lado, embora caiba exclusivamente aos Estados‑Membros decidir se autorizam ou não que os membros de um órgão judicial, competente para fiscalizar a atividade dos magistrados e propor a instauração de procedimentos disciplinares contra eles, continuem a exercer as suas funções após o termo do prazo legal dos seus mandatos para assegurar a continuidade do funcionamento desse órgão, os Estados‑Membros são obrigados, quando optam por essa prorrogação dos mandatos, a assegurar que o exercício das funções após o termo do mandato assente numa base legal expressa no direito interno que preveja regras claras e precisas para o exercício dessas funções.

Além disso, os Estados‑Membros devem assegurar que as condições e as modalidades a que esse exercício está sujeito sejam concebidas de forma que permita aos membros em causa desse órgão judicial agir de forma objetiva e imparcial no exercício das suas funções e que, para esse efeito, estejam livres de qualquer influência externa, como exige a jurisprudência referida nos n.os 87 e 88 do presente acórdão.

Por outro lado, como salientou, em substância, o advogado‑geral no n.o 58 das suas conclusões, embora a prorrogação dos mandatos possa, em determinadas circunstâncias, revelar‑se necessária tendo em conta a importância das funções exercidas pelo órgão judicial em causa, não é menos verdade que, no termo do prazo legal desses mandatos, esse órgão atua sem nenhuma base jurídica explícita no direito interno com regras claras e precisas suscetíveis de enquadrar o exercício dessas funções. Por conseguinte, tal prorrogação só pode ser considerada a título excecional e na condição de estar sujeita a regras claras e precisas que excluam, na prática, a possibilidade de ser ilimitada no tempo.

Todavia, quando um Estado‑Membro procede a esse enquadramento, não pode alterar a sua legislação, nem a sua Constituição, de modo a implicar uma regressão da proteção do valor do Estado de direito, valor que é concretizado, nomeadamente, no artigo 19.o TUE, em especial no que diz respeito às garantias de independência dos juízes em relação aos poderes legislativo e executivo (v., neste sentido, Acórdão de 20 de abril de 2021, Repubblika, C‑896/19, EU:C:2021:311, n.os 63 e 65).

Tendo em conta as considerações precedentes, há que responder à primeira questão que o artigo 19.o, n.o 1, segundo parágrafo, TUE, lido à luz do artigo 47.o da Carta, deve ser interpretado no sentido de que o princípio da independência dos juízes se opõe à prática de um Estado‑Membro nos termos da qual os membros de um órgão judicial desse Estado‑Membro, eleitos pelo respetivo Parlamento para mandatos de uma duração determinada e que são competentes para fiscalizar a atividade dos magistrados no exercício das suas funções, a sua integridade e a inexistência de conflitos de interesses na esfera jurídica destes, bem como para propor a outro órgão judicial a instauração de um procedimento disciplinar com vista à aplicação de sanções disciplinares contra esses magistrados, continuam a exercer as suas funções após o termo do prazo legal dos respetivos mandatos, previsto na Constituição do referido Estado‑Membro, até que esse Parlamento proceda à eleição de novos membros, sem que a prorrogação dos mandatos que expiraram tenha uma base legal explícita no direito nacional com regras claras e precisas suscetíveis de enquadrar o exercício dessas funções e sem se assegurar que essa prorrogação seja, na prática, limitada no tempo.

Quanto à segunda questão

Com a sua segunda questão, o órgão jurisdicional de reenvio pergunta, em substância, se o artigo 2.o do RGPD deve ser interpretado no sentido de que a divulgação, a um órgão judicial, de dados pessoais protegidos pelo sigilo bancário e que dizem respeito a magistrados e aos seus familiares, com vista à verificação das declarações desses magistrados relativas ao seu património e ao dos seus familiares, declarações essas que são objeto de publicação, constitui um tratamento de dados pessoais abrangido pelo âmbito de aplicação material deste regulamento.

De acordo com jurisprudência constante, o artigo 2.o, n.o 1, do RGPD define de forma muito ampla o âmbito de aplicação material deste regulamento. Sem prejuízo dos casos previstos no artigo 2.o, n.os 2 e 3, do RGPD, este regulamento aplica‑se aos tratamentos efetuados tanto por entidades privadas como pelas autoridades públicas, incluindo, como indica o seu considerando 20, as autoridades judiciais (v., neste sentido, Acórdãos de 24 de março de 2022, Autoriteit Persoonsgegevens, C‑245/20, EU:C:2022:216, n.o 25, e de 16 de janeiro de 2024, Österreichische Datenschutzbehörde, C‑33/22, EU:C:2024:46, n.os 33 e 36).

100

Por outro lado, o Tribunal de Justiça já declarou que nem o facto de os dados visados pelas disposições nacionais dizerem respeito aos juízes, nem a circunstância de esses dados poderem eventualmente apresentar certas ligações com o exercício das suas funções são, enquanto tais, suscetíveis de excluir essas disposições nacionais do âmbito de aplicação do RGPD [Acórdão de 5 de junho de 2023, Comissão/Polónia (Independência e vida privada dos juízes), C‑204/21, EU:C:2023:442, n.o 315].

101

Com efeito, o artigo 2.o do RGPD fixa, nos seus n.os 2 e 3, de forma exaustiva as exceções à regra enunciada no seu n.o 1, que define o âmbito de aplicação material deste regulamento, sendo as exceções, em especial as previstas no n.o 2, de interpretação estrita [v., neste sentido, Acórdãos de 22 de junho de 2021, Latvijas Republikas Saeima (Pontos de penalização),C‑439/19, EU:C:2021:504, n.o 62; de 5 de junho de 2023, Comissão/Polónia (Independência e vida privada dos juízes), C‑204/21, EU:C:2023:442, n.o 316; e de 16 de janeiro de 2024, Österreichische Datenschutzbehörde, C‑33/22, EU:C:2024:46, n.o 37].

102	O artigo 2.o, n.o 2, alínea a), do RGPD, que é especificamente visado na segunda questão prejudicial, prevê que este regulamento não se aplica ao tratamento de dados pessoais «[e]fetuado no exercício de atividades não sujeitas à aplicação do direito da União».

103

Em conformidade com jurisprudência constante, esta disposição, lida à luz do considerando 16 do RGPD, tem por único objetivo excluir do seu âmbito de aplicação os tratamentos de dados pessoais efetuados pelas autoridades estatais no exercício de uma atividade destinada a salvaguardar a segurança nacional ou no exercício de uma atividade suscetível de ser classificada na mesma categoria, tendo em conta que as atividades destinadas a proteger a segurança nacional abrangem, em especial, as que têm por objeto a salvaguarda das funções essenciais do Estado e dos interesses fundamentais da sociedade. Assim, o simples facto de uma atividade ser própria do Estado ou de uma autoridade pública não basta para que essa exceção seja automaticamente aplicável a essa atividade [v., neste sentido, Acórdãos de 22 de junho de 2021, Latvijas Republikas Saeima (Pontos de penalização),C‑439/19, EU:C:2021:504, n.os 66 e 67; de 8 de dezembro de 2022, Inspektor v Inspektorata kam Visshia sadeben savet (Finalidades do tratamento de dados pessoais — Inquérito penal), C‑180/21, EU:C:2022:967, n.o 79, e de 5 de junho de 2023, Comissão/Polónia (Independência e vida privada dos juízes), C‑204/21, EU:C:2023:442, n.os 317 e 318].

104

Ora, embora a garantia de uma boa administração da justiça nos Estados‑Membros e, nomeadamente, a adoção de regras aplicáveis ao estatuto dos magistrados, em especial dos juízes, bem como o exercício das suas funções sejam da competência desses Estados [v., neste sentido, Acórdão de 5 de junho de 2023, Comissão/Polónia (Independência e vida privada dos juízes), C‑204/21, EU:C:2023:442, n.o 319], não deixa de ser certo que um tratamento de dados, como o que está em causa nos processos principais, que tem por objetivo controlar a integridade dos magistrados e verificar a eventual existência de conflitos de interesses na sua esfera jurídica, não se enquadra numa atividade destinada a salvaguardar a segurança nacional nem numa atividade que possa ser classificada na mesma categoria.

105

Por outro lado, importa salientar que a divulgação, a um órgão judicial, de dados pessoais protegidos pelo sigilo bancário e que dizem respeito a magistrados e aos seus familiares, com vista à verificação das declarações desses magistrados relativas ao seu património e ao dos seus familiares, declarações essas que são objeto de publicação, constitui um «tratamento», na aceção do artigo 4.o, ponto 2, do RGPD. Com efeito, essa divulgação constitui uma disponibilização desses dados pessoais a esse órgão.

106

Por conseguinte, há que responder à segunda questão prejudicial que o artigo 2.o do RGPD deve ser interpretado no sentido de que a divulgação, a um órgão judicial, de dados pessoais protegidos pelo sigilo bancário e que dizem respeito a magistrados e aos seus familiares, com vista à verificação das declarações desses magistrados relativas ao seu património e ao dos seus familiares, declarações essas que são objeto de publicação, constitui um tratamento de dados pessoais abrangido pelo âmbito de aplicação material deste regulamento.

Quanto à terceira questão

107

Com a sua terceira questão, o órgão jurisdicional de reenvio pergunta se o artigo 4.o, ponto 7, do RGPD deve ser interpretado no sentido de que um órgão jurisdicional competente para autorizar, a pedido de outro órgão judicial, que um banco divulgue a esse órgão dados relativos às contas bancárias de magistrados e dos seus familiares pode ser qualificado de responsável pelo tratamento na aceção desta disposição.

108

Nos termos do artigo 4.o, ponto 7, do RGPD, o conceito de «responsável pelo tratamento» abrange as pessoas singulares ou coletivas, as autoridades públicas, as agências ou outros organismos que, individualmente ou em conjunto com outras, determinam as finalidades e os meios de tratamento de dados pessoais. Esta disposição enuncia também que, sempre que as finalidades e os meios desse tratamento sejam determinados, nomeadamente, pelo direito de um Estado‑Membro, o responsável pelo tratamento ou os critérios específicos aplicáveis à sua designação podem ser previstos por esse direito.

109

Nos termos da jurisprudência constante do Tribunal de Justiça, esta disposição visa assegurar, através de uma definição ampla do conceito de «responsável pelo tratamento», em conformidade com o objetivo do RGPD, uma proteção eficaz e completa das liberdades e dos direitos fundamentais das pessoas singulares, bem como, nomeadamente, um elevado nível de proteção do direito de qualquer pessoa à proteção dos dados pessoais que lhe digam respeito (v., neste sentido, Acórdãos de 5 de dezembro de 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, n.os 28 e 29, e de 7 de março de 2024, IAB Europe, C‑604/22, EU:C:2024:214, n.os 53 a 55 e jurisprudência referida).

110

Para determinar se uma pessoa ou uma entidade deve ser qualificada de responsável pelo tratamento, na aceção do artigo 4.o, ponto 7, do RGPD, importa, deste modo, averiguar se essa pessoa ou essa entidade determina, individualmente ou em conjunto com outras, as finalidades e os meios do tratamento ou se estes são determinados pelo direito nacional. Quando essa determinação é efetuada pelo direito nacional, importa verificar se esse direito designa o responsável pelo tratamento ou prevê os critérios específicos aplicáveis à sua designação (Acórdão de 27 de fevereiro de 2025, CW,C‑638/23, EU:C:2025:127, n.o 27).

111

Importa ainda esclarecer que, tendo em conta a definição ampla do conceito de «responsável pelo tratamento», na aceção do artigo 4.o, ponto 7, do RGPD, a determinação das finalidades e dos meios do tratamento e, se for caso disso, a designação desse responsável pelo direito nacional podem ser não só explícitas mas também implícitas. No entanto, essa determinação das finalidades e dos meios do tratamento deve decorrer de maneira suficientemente certa do papel, da missão e das atribuições conferidas à pessoa ou à entidade em causa (Acórdão de 27 de fevereiro de 2025, CW,C‑638/23, EU:C:2025:127, n.o 28).

112

Com efeito, a proteção dos titulares dos dados ficaria prejudicada se o artigo 4.o, ponto 7, do RGPD fosse interpretado de forma restritiva no sentido de visar apenas os casos em que as finalidades e os meios de um tratamento de dados efetuado por uma pessoa, uma autoridade pública, uma agência ou um organismo são expressamente determinados pelo direito nacional, mesmo quando essas finalidades e esses meios resultem, em substância, das disposições legais que regulam a atividade da entidade em causa [Acórdão de 11 de janeiro de 2024, Estado belga (Dados tratados por um jornal oficial),C‑231/22, EU:C:2024:7, n.o 30].

113

No caso em apreço, o órgão jurisdicional de reenvio interroga‑se sobre se deve ser considerado responsável pelo tratamento em causa nos processos principais, a saber, a divulgação à Inspeção de dados pessoais abrangidos pelo sigilo bancário, pelo facto de estar legalmente encarregado de autorizar essa divulgação.

114

A este respeito, por força da legislação nacional aplicável aos processos principais, a Inspeção tem competência para efetuar, nomeadamente, controlos relativos à integridade e à inexistência de conflitos de interesses na esfera jurídica dos magistrados, bem como às suas declarações de património. Para o efeito, esta legislação permite à Inspeção solicitar o acesso aos dados relativos às contas bancárias dos magistrados e dos seus familiares. Caso os titulares dos dados não tenham dado o seu consentimento a esse acesso, este órgão judicial dispõe, ao abrigo da referida legislação, do poder de pedir uma autorização judicial prévia para ter acesso a esses dados.

115

Afigura‑se, portanto, que a legislação nacional aplicável aos litígios nos processos principais determina o círculo de pessoas e os dados que podem ser objeto do tratamento, determina as finalidades desse tratamento e designa o órgão competente, a saber, a Inspeção, com vista a alcançar essas finalidades. O órgão jurisdicional ao qual foi submetido um pedido de autorização de divulgação só intervém a pedido da Inspeção para efeitos do exercício dos poderes que lhe são conferidos pelo direito nacional e limita‑se a verificar se os requisitos de legalidade previstos por esse direito estão preenchidos. Do mesmo modo, não é esse órgão jurisdicional, mas a Inspeção, que determina, com base nas regras nacionais aplicáveis, quais as pessoas a cujos dados pretende ter acesso para efeitos desse exercício e relativamente às quais apresenta um pedido de autorização ao referido órgão jurisdicional.

116

Assim, embora caiba a esse órgão jurisdicional analisar se e em que medida as condições de licitude do tratamento estão reunidas num determinado caso concreto, este não determina, ex officio, nem a finalidade do tratamento nem as pessoas e os dados em causa. Nestas circunstâncias, não é esse órgão jurisdicional que é responsável pelo tratamento, na aceção do artigo 4.o, ponto 7, do RGPD, mas o órgão competente para alcançar os objetivos prosseguidos.

117

Tendo em conta as considerações precedentes, há que responder à terceira questão que o artigo 4.o, ponto 7, do RGPD deve ser interpretado no sentido de que um órgão jurisdicional competente para autorizar, a pedido de outro órgão judicial, que um banco divulgue a esse órgão dados relativos às contas bancárias de magistrados e dos seus familiares não pode ser qualificado de responsável por esse tratamento, na aceção desta disposição.

Quanto à quarta questão

118

Com a sua quarta questão, o órgão jurisdicional de reenvio pergunta, em substância, se o artigo 51.o do RGPD deve ser interpretado no sentido de que um órgão jurisdicional competente para autorizar a divulgação de dados pessoais a outro órgão judicial constitui uma autoridade de controlo, na aceção deste artigo.

119

O artigo 51.o, n.o 1, do RGPD dispõe que os Estados‑Membros devem prever uma ou mais autoridades públicas independentes responsáveis pela fiscalização da aplicação do presente regulamento. A instituição de tais autoridades, que também está prevista no direito primário da União, a saber, o artigo 8.o, n.o 3, da Carta e o artigo 16.o, n.o 2, TFUE, constitui um elemento essencial do respeito da proteção das pessoas relativamente ao tratamento de dados pessoais [v., neste sentido, Acórdão de 8 de abril de 2014, Comissão/Hungria,C‑288/12, EU:C:2014:237, n.o 48, e Parecer 1/15 (Acordo PNR UE‑Canadá), de 26 de julho de 2017, EU:C:2017:592, n.o 229].

120

As referidas autoridades têm por missão principal, por força do artigo 51.o, n.os 1 e 2, e do artigo 57.o, n.o 1, alíneas a) e g), do RGPD, controlar e executar a aplicação deste regulamento, contribuindo simultaneamente para assegurar a coerência da sua aplicação na União, a fim de defender os direitos e liberdades fundamentais das pessoas singulares relativamente ao tratamento dos seus dados pessoais e facilitar a livre circulação desses dados na União. Para o efeito, dispõem dos diferentes poderes que lhes são conferidos ao abrigo do artigo 58.o do RGPD [v., neste sentido, Acórdão de 4 de julho de 2023, Meta Platforms e o. (Condições gerais de utilização de uma rede social), C‑252/21, EU:C:2023:537, n.o 45].

121

Os Estados‑Membros são obrigados, em conformidade com o artigo 51.o, n.o 4, do RGPD, a notificar à Comissão as disposições do direito nacional, bem como as alterações subsequentes que adotem ao abrigo do capítulo VI deste regulamento, em especial as que dizem respeito à ou às autoridades de controlo que encarregaram da missão de fiscalizar a aplicação do referido regulamento.

122

No caso em apreço, não resulta de nenhum elemento dos autos de que dispõe o Tribunal de Justiça que o órgão jurisdicional de reenvio seja encarregado, por força do direito búlgaro, de fiscalizar a aplicação do RGPD e, em especial, que disponha das competências de que deve dispor uma autoridade de controlo por força do artigo 58.o deste regulamento.

123

Por conseguinte, há que responder à quarta questão que o artigo 51.o do RGPD deve ser interpretado no sentido de que um órgão jurisdicional competente para autorizar a divulgação de dados pessoais a outro órgão judicial não constitui uma autoridade de controlo, na aceção deste artigo, no caso de esse órgão jurisdicional não estar encarregado pelo seu Estado‑Membro de fiscalizar a aplicação deste regulamento a fim de proteger, nomeadamente, as liberdades e os direitos fundamentais das pessoas singulares relativamente ao tratamento dos seus dados pessoais.

Quanto à quinta questão

124	A quinta questão só é colocada para o caso de o Tribunal de Justiça responder afirmativamente à terceira ou à quarta questão. Ora, como se concluiu nos n.os 117 e 123 do presente acórdão, há que responder negativamente à terceira e quarta questões.

125	Por conseguinte, não há que responder à quinta questão prejudicial.

Quanto à sexta questão

126

Com a sua sexta questão, o órgão jurisdicional de reenvio pergunta, em substância, se o artigo 79.o, n.o 1, do RGPD, lido à luz do artigo 47.o da Carta, deve ser interpretado no sentido de que um órgão jurisdicional competente para autorizar a divulgação de dados pessoais a outro órgão judicial está obrigado, quando não tenha sido chamado a pronunciar‑se sobre uma ação intentada ao abrigo desta disposição, a assegurar ex officio a proteção das pessoas cujos dados estão em causa no que diz respeito ao cumprimento das disposições deste regulamento relativas à segurança dos dados pessoais, incluindo quando seja notório que esse órgão cometeu, no passado, uma violação destas últimas disposições.

127

A este respeito, o órgão jurisdicional de reenvio esclarece que esta questão é colocada porque o processo que lhe foi submetido decorre sem a participação das pessoas cujos dados pessoais estão em causa, e que a autorização judicial para a divulgação desses dados à Inspeção visa substituir o consentimento dessas pessoas sem ser suscetível de recurso. Este órgão jurisdicional considera que, se se limitasse a uma análise puramente formal do pedido de autorização apresentado pela Inspeção, sem se certificar de que esse órgão garante a segurança dos dados dos titulares dos dados, a proteção jurisdicional dessas pessoas, prevista no artigo 79.o do RGPD, ficaria privada do seu efeito útil. É nestas circunstâncias que o órgão jurisdicional de reenvio se interroga sobre se está obrigado a assegurar, ex officio, o cumprimento das regras de segurança dos dados pela Inspeção, exigindo‑lhe que esta lhe forneça informações sobre as medidas de segurança tomadas ao abrigo do artigo 33.o, n.o 3, alínea d), deste regulamento.

128

A este respeito, cumpre recordar que o RGPD institui um conjunto de regras materiais e processuais relativas à segurança dos dados que devem ser respeitadas pelo responsável pelo tratamento, e prevê, no seu capítulo VIII, as vias de recurso que visam proteger os direitos das pessoas cujos dados pessoais foram objeto de um tratamento alegadamente contrário às disposições deste regulamento e que podem ser exercidas de forma concorrente e independente por essas pessoas (v., neste sentido, Acórdão de 12 de janeiro de 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, n.o 35).

129

Dado que o nível de proteção previsto pelo RGPD depende das medidas de segurança adotadas pelos responsáveis pelo tratamento de dados pessoais, estes devem ser incentivados a fazer tudo o que estiver ao seu alcance para evitar a ocorrência de operações de tratamento não conformes com o presente regulamento, cabendo‑lhes o ónus de demonstrar a adequação dessas medidas (Acórdão de 14 de dezembro de 2023, Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, n.o 55).

130	A fiscalização do cumprimento das exigências de segurança impostas pelo RGPD incumbe, por um lado, às autoridades de controlo e, por outro, aos órgãos jurisdicionais nacionais chamados a conhecer de uma ação ao abrigo do artigo 78.o, n.o 1, ou do artigo 79.o, n.o 1, do RGPD.

131

No que respeita às autoridades de controlo, estas têm por missão principal, como foi recordado no n.o 120 do presente acórdão, controlar e executar a aplicação do RGPD. Em especial, devem ser informadas, por força do artigo 33.o deste regulamento, das violações de dados pessoais cometidas pelos responsáveis pelo tratamento.

132

Além disso, o artigo 58.o, n.os 1 e 2, do RGPD confere a essas autoridades importantes poderes de investigação, bem como o poder de adotar diversas medidas corretivas. Há que salientar, a este respeito, que elas estão obrigadas a intervir quando a adoção de uma ou mais medidas corretivas previstas no artigo 58.o, n.o 2, deste regulamento é, tendo em conta todas as circunstâncias do caso concreto, adequada, necessária e proporcionada para sanar a insuficiência constatada e garantir o pleno respeito do referido regulamento [Acórdão de 26 de setembro de 2024, Land Hessen (Obrigação de agir da autoridade de proteção de dados),C‑768/21, EU:C:2024:785, n.o 42].

133

Além disso, é particularmente importante que as autoridades de controlo disponham de poderes efetivos para agir eficazmente contra as violações do RGPD, nomeadamente para pôr termo a essas violações, incluindo nos casos em que os titulares dos dados não tenham sido informados do tratamento dos seus dados pessoais, não tenham conhecimento do mesmo ou, em todo o caso, não tenham apresentado reclamação ao abrigo do artigo 77.o, n.o 1, deste regulamento (v., neste sentido, Acórdão de 14 de março de 2024, Újpesti Polgármesteri Hivatal, C‑46/23, EU:C:2024:239, n.o 41).

134

Estas autoridades devem, à semelhança dos órgãos jurisdicionais nacionais chamados a conhecer de uma ação ao abrigo do artigo 78.o, n.o 1, ou do artigo 79.o, n.o 1, do RGPD, assegurar que as medidas técnicas e organizativas adotadas pelo responsável pelo tratamento sejam adequadas para garantir um nível de segurança adequado ao risco, como exige o artigo 32.o, n.o 1, deste regulamento, analisando o mérito dessas medidas de forma concreta, à luz de todos os critérios previstos neste artigo e das circunstâncias próprias do caso concreto, bem como dos elementos de prova de que dispõem essas autoridades ou esses órgãos jurisdicionais a este respeito (v., neste sentido, Acórdãos de 14 de dezembro de 2023, Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, n.os 43 e 45, e de 28 de novembro de 2024, Másdi, C‑169/23, EU:C:2024:988, n.o 71).

135

Em contrapartida, os órgãos jurisdicionais nacionais que não tenham sido chamados a conhecer de uma ação ao abrigo do artigo 78.o, n.o 1, ou do artigo 79.o, n.o 1, do RGPD não estão obrigados, na falta de regras que lhes confiram expressamente poderes de controlo, a assegurar o respeito das disposições materiais deste regulamento para assegurar o seu efeito útil.

136

Dado que o órgão jurisdicional de reenvio tem dúvidas, nomeadamente, sobre a efetividade da ação judicial prevista no artigo 79.o, n.o 1, do RGPD, importa ainda, para lhe dar uma resposta útil, sublinhar que os Estados‑Membros devem assegurar que as modalidades concretas de exercício das vias de recurso previstas no artigo 77.o, n.o 1, no artigo 78.o, n.o 1, e no artigo 79.o, n.o 1, deste regulamento cumprem efetivamente as exigências decorrentes do direito à ação consagrado no artigo 47.o da Carta (v., neste sentido, Acórdão de 12 de janeiro de 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, n.o 51).

137

Para este efeito, importa que o responsável pelo tratamento, a saber, o órgão judicial competente ao qual foi concedido acesso aos dados pessoais, forneça aos titulares dos dados pessoais as informações enumeradas no artigo 14.o, n.os 1 e 2, do RGPD, segundo as modalidades previstas nos artigos 12.o, n.o 1, e 14.o, n.o 3, deste regulamento, sendo essas informações necessárias para permitir a esses titulares exercer, se for caso disso, os direitos que lhe são conferidos pelo referido regulamento, em especial o seu direito de oposição ao tratamento dos seus dados pessoais, previsto no artigo 21.o do RGPD, bem como o seu direito de recurso em caso de dano sofrido, previsto nos artigos 79.o e 82.o deste regulamento (v., por analogia, Acórdão de 22 de junho de 2023, Pankki S, C‑579/21, EU:C:2023:501, n.o 58 e jurisprudência referida).

138

Tendo em conta as considerações precedentes, há que responder à sexta questão que o artigo 79.o, n.o 1, do RGPD, lido à luz do artigo 47.o da Carta, deve ser interpretado no sentido de que um órgão jurisdicional competente para autorizar a divulgação de dados pessoais a outro órgão judicial não está obrigado, quando não tenha sido chamado a pronunciar‑se sobre uma ação intentada ao abrigo desta disposição, a assegurar ex officio a proteção das pessoas cujos dados estão em causa no que diz respeito ao cumprimento das disposições deste regulamento relativas à segurança dos dados pessoais, incluindo quando seja notório que esse órgão cometeu, no passado, uma violação destas últimas disposições.

Quanto às despesas

139

Revestindo o processo, quanto às partes nas causas principais, a natureza de incidente suscitado perante o órgão jurisdicional de reenvio, compete a este decidir quanto às despesas. As despesas efetuadas pelas outras partes para a apresentação de observações ao Tribunal de Justiça não são reembolsáveis.

Pelos fundamentos expostos, o Tribunal de Justiça (Primeira Secção) declara:

O artigo 19.o, n.o 1, segundo parágrafo, TUE, lido em conjugação com o artigo 47.o da Carta dos Direitos Fundamentais da União Europeia,

deve ser interpretado no sentido de que:

o princípio da independência dos juízes se opõe à prática de um Estado‑Membro nos termos da qual os membros de um órgão judicial desse Estado‑Membro, eleitos pelo respetivo Parlamento para mandatos de uma duração determinada e que são competentes para fiscalizar a atividade dos magistrados no exercício das suas funções, a sua integridade e a inexistência de conflitos de interesses na esfera jurídica destes, bem como para propor a outro órgão judicial a instauração de um procedimento disciplinar com vista à aplicação de sanções disciplinares contra esses magistrados, continuam a exercer as suas funções após o termo do prazo legal dos respetivos mandatos, previsto na Constituição do referido Estado‑Membro, até que esse Parlamento proceda à eleição de novos membros, sem que a prorrogação dos mandatos que expiraram tenha uma base legal explícita no direito nacional com regras claras e precisas suscetíveis de enquadrar o exercício dessas funções e sem se assegurar que essa prorrogação seja, na prática, limitada no tempo.

O artigo 2.o do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados),

deve ser interpretado no sentido de que:

a divulgação, a um órgão judicial, de dados pessoais protegidos pelo sigilo bancário e que dizem respeito a magistrados e aos seus familiares, com vista à verificação das declarações desses magistrados relativas ao seu património e ao dos seus familiares, declarações essas que são objeto de publicação, constitui um tratamento de dados pessoais abrangido pelo âmbito de aplicação material deste regulamento.

O artigo 4.o, ponto 7, do Regulamento 2016/679

deve ser interpretado no sentido de que:

um órgão jurisdicional competente para autorizar, a pedido de outro órgão judicial, que um banco divulgue a esse órgão dados relativos às contas bancárias de magistrados e dos seus familiares não pode ser qualificado de responsável por esse tratamento, na aceção desta disposição.

O artigo 51.o do Regulamento 2016/679

deve ser interpretado no sentido de que:

um órgão jurisdicional competente para autorizar a divulgação de dados pessoais a outro órgão judicial não constitui uma autoridade de controlo, na aceção deste artigo, no caso de esse órgão jurisdicional não estar encarregado pelo seu Estado‑Membro de fiscalizar a aplicação deste regulamento a fim de proteger, nomeadamente, as liberdades e os direitos fundamentais das pessoas singulares relativamente ao tratamento dos seus dados pessoais.

O artigo 79.o, n.o 1, do Regulamento 2016/679, lido em conjugação com o artigo 47.o da Carta dos Direitos Fundamentais,

deve ser interpretado no sentido de que:

um órgão jurisdicional competente para autorizar a divulgação de dados pessoais a outro órgão judicial não está obrigado, quando não tenha sido chamado a pronunciar‑se sobre uma ação intentada ao abrigo desta disposição, a assegurar ex officio a proteção das pessoas cujos dados estão em causa no que diz respeito ao cumprimento das disposições deste regulamento relativas à segurança dos dados pessoais, incluindo quando seja notório que esse órgão cometeu, no passado, uma violação destas últimas disposições.

Assinaturas

( *1 ) Língua do processo: búlgaro.