C-180/2162021CC0180EU:C:2022:4060001112020

Opinia M. Camposa Sáncheza-Bordony – Sprawa C‑180/21

Inspektor v Inspektorata kym Wisszija sydeben sywet (Cele przetwarzania danych – Postępowanie przygotowawcze)

<TI><P><HT TYPE="UC">Opinia rzecznika generalnego</HT></P><P><HT TYPE="UC">Manuela Camposa Sáncheza-Bordony</HT></P><P>przedstawiona w dniu <DATE ISO="20220519">19 maja 2022 r.</DATE><NOTE TYPE="FOOTNOTE" NUMBERING="ARAB" NUMBERING.CONTINUED="YES" NOTE.ID="E0001"><P>Język oryginału: hiszpański.</P></NOTE></P></TI><STI><P>Sprawa C‑180/21</P><P>VS</P><P>przeciwko</P><P>Inspektor v Inspektorata kym Wisszija sydeben sywet,</P><P>przy udziale:</P><P>Teritorialno otdelenie – Petricz kym Rajonna prokuratura – Błagojewgrad</P><P><HT TYPE="NORMAL">[wniosek o wydanie orzeczenia w trybie prejudycjalnym złożony przez Administratiwen syd – Błagojewgrad (sąd administracyjny w mieście Błagojewgrad, Bułgaria)]</HT></P></STI>Odesłanie prejudycjalneOchrona osób fizycznych w zakresie przetwarzania danych osobowychRozporządzenie (UE) 2016/679Artykuły 4 i 6Dyrektywa (UE) 2016/680Artykuły 1, 2–4 i 9Zgodność z prawem przetwarzania danych osobowych w ramach postępowania karnegoPrzetwarzanie danych osobowych dotyczących pokrzywdzonego w wyniku czynu zabronionego w celu późniejszego postawienia mu zarzutów i obrony prokuratury w postępowaniu cywilnymPojęcie „celów innych niż ten, w którym dane zostały zebrane1.Podstawową zasadą rozporządzenia (UE) 2016/679

Rozporządzenie Parlamentu Europejskiego i Rady z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U. 2016, L 119, s. 1). Jest ono zwane dalej RODO.

, które stanowi ogólne uregulowanie w dziedzinie ochrony danych osobowych, oraz dyrektywy (UE) 2016/680

Dyrektywa Parlamentu Europejskiego i Rady z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w sprawie swobodnego przepływu takich danych oraz uchylająca decyzję ramową Rady 2008/977/WSiSW (Dz.U. 2016, L 119, s. 89).

 (lex specialis w tej samej dziedzinie w postępowaniach karnych) jest ograniczenie zbierania takich danych i ich przetwarzania do konkretnych celów określonych przepisami prawa.2.W niniejszej sprawie Trybunał musi odpowiedzieć na wątpliwości sądu bułgarskiego dotyczące wykładni RODO i dyrektywy 2016/680, aby wyjaśnić, czy doszło do niezgodnego z prawem przetwarzania danych osobowych będących w posiadaniu prokuratury państwa członkowskiego, w przypadku gdy:

Po pierwsze, dane te zostały uzyskane od osoby, która początkowo występowała jako pokrzywdzony, ale następnie postawiono jej zarzuty w tym samym postępowaniu karnym.

Po drugie, prokuratura zamierza wykorzystać w celu swojej obrony dane uzyskane w kilku postępowaniach sprawdzających jako dowód przeciwko roszczeniu cywilnemu, w którym osoba, której roszczenie to przysługuje, żąda odszkodowania z tytułu przewlekłości postępowania karnego.

<TI><NP><NO.P><HT TYPE="BOLD"><HT TYPE="ITALIC">A.</HT></HT></NO.P><TXT><HT TYPE="BOLD"><HT TYPE="ITALIC">Ramy prawne. Prawo Unii</HT></HT></TXT></NP></TI><TI><NP><NO.P><HT TYPE="ITALIC">1.</HT></NO.P><TXT><HT TYPE="ITALIC">RODO</HT></TXT></NP></TI>3.Zgodnie z art. 2 (Materialny zakres stosowania):

1.Niniejsze rozporządzenie ma zastosowanie do przetwarzania danych osobowych w sposób całkowicie lub częściowo zautomatyzowany oraz do przetwarzania w sposób inny niż zautomatyzowany danych osobowych stanowiących część zbioru danych lub mających stanowić część zbioru danych.2.

Niniejsze rozporządzenie nie ma zastosowania do przetwarzania danych osobowych:

a)w ramach działalności nieobjętej zakresem prawa Unii;

[…]

d)przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych lub wykonywania kar, w tym ochrony przed zagrożeniami dla bezpieczeństwa publicznego i zapobiegania takim zagrożeniom.

[…].

4.Artykuł 4 (Definicje) stanowi:

Na użytek niniejszego rozporządzenia:

[…]

2)przetwarzanie oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie;

[…]

7)administrator oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych; jeżeli cele i sposoby takiego przetwarzania są określone w prawie Unii lub w prawie państwa członkowskiego, to również w prawie Unii lub w prawie państwa członkowskiego może zostać wyznaczony administrator lub mogą zostać określone konkretne kryteria jego wyznaczania;

[…].

5.Artykuł 5 (Zasady dotyczące przetwarzania danych osobowych) stanowi:

1.

Dane osobowe muszą być:

a)przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą (zgodność z prawem, rzetelność i przejrzystość);b)zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami; dalsze przetwarzanie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych nie jest uznawane w myśl art. 89 ust. 1 za niezgodne z pierwotnymi celami (ograniczenie celu);c)adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane (minimalizacja danych);

[…].

6.Artykuł 6 (Zgodność przetwarzania z prawem) brzmi następująco:

1.

Przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest co najmniej jeden z poniższych warunków:

a)osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów;

[…]

c)przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze;

[…]

e)przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi;f)przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem.

Akapit pierwszy lit. f) nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań.

[…]

3.

Podstawa przetwarzania, o którym mowa w ust. 1 lit. c) i e), musi być określona:

a)w prawie Unii; lubb)w prawie państwa członkowskiego, któremu podlega administrator.

Cel przetwarzania musi być określony w tej podstawie prawnej lub, w przypadku przetwarzania, o którym mowa w ust. 1 lit. e) – musi być ono niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi. Podstawa prawna może zawierać przepisy szczegółowe dostosowujące stosowanie przepisów niniejszego rozporządzenia […]. Prawo Unii lub prawo państwa członkowskiego muszą służyć realizacji celu leżącego w interesie publicznym, oraz być proporcjonalne do wyznaczonego, prawnie uzasadnionego celu.

4.

Jeżeli przetwarzanie w celu innym niż cel, w którym dane osobowe zostały zebrane, nie odbywa się na podstawie zgody osoby, której dane dotyczą, ani prawa Unii lub prawa państwa członkowskiego stanowiących w demokratycznym społeczeństwie niezbędny i proporcjonalny środek służący zagwarantowaniu celów, o których mowa w art. 23 ust. 1, administrator – aby ustalić, czy przetwarzanie w innym celu jest zgodne z celem, w którym dane osobowe zostały pierwotnie zebrane – bierze pod uwagę między innymi:

a)wszelkie związki między celami, w których zebrano dane osobowe, a celami zamierzonego dalszego przetwarzania;b)kontekst, w którym zebrano dane osobowe, w szczególności relację między osobami, których dane dotyczą, a administratorem;c)charakter danych osobowych, w szczególności czy przetwarzane są szczególne kategorie danych osobowych zgodnie z art. 9 lub dane osobowe dotyczące wyroków skazujących i czynów zabronionych zgodnie z art. 10;d)ewentualne konsekwencje zamierzonego dalszego przetwarzania dla osób, których dane dotyczą;e)istnienie odpowiednich zabezpieczeń, w tym ewentualnie szyfrowania lub pseudonimizacji.

<TI><NP><NO.P><HT TYPE="ITALIC">2.</HT></NO.P><TXT><HT TYPE="ITALIC">Dyrektywa 2016/680</HT></TXT></NP></TI>7.Zgodnie z art. 1 (Przedmiot i cele):

1.Niniejsza dyrektywa ustanawia przepisy o ochronie osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w tym ochrony przed zagrożeniami dla bezpieczeństwa publicznego i zapobiegania takim zagrożeniom.2.

Zgodnie z niniejszą dyrektywą państwa członkowskie:

a)chronią prawa podstawowe i wolności osób fizycznych, w szczególności ich prawo do ochrony danych osobowych; […]

[…].

8.Artykuł 2 (Zakres zastosowania) stanowi:

1.Niniejsza dyrektywa ma zastosowanie do przetwarzania danych osobowych przez właściwe organy do celów określonych w art. 1 ust. 1.

[…]

3.

Niniejsza dyrektywa nie ma zastosowania do przetwarzania danych osobowych:

a)w ramach działalności nieobjętej zakresem prawa Unii;

[…].

9.W art. 3 ust. 1, 2 i 8 powtórzono definicje zawarte w art. 4 ust. 1, 2 i 7 RODO.10.Artykuł 4 (Zasady dotyczące przetwarzania danych osobowych) stanowi:

[…]

2.

Przetwarzanie przez tego samego lub innego administratora w jednym z celów określonych w art. 1 ust. 1 innym niż cel, w którym dane osobowe zostały zebrane, jest dozwolone, o ile:

a)administratorowi wolno przetwarzać takie dane osobowe w takim celu na mocy prawa Unii lub prawa państwa członkowskiego; orazb)przetwarzanie jest niezbędne i proporcjonalne w tym innym celu na mocy prawa Unii lub prawa państwa członkowskiego.

[…].

11.Artykuł 6 (Rozróżnianie poszczególnych kategorii osób, których dane dotyczą) stanowi:

Państwa członkowskie zapewniają, by administrator – w stosownym przypadku i w miarę możliwości – wyraźnie rozróżniał dane osobowe poszczególnych kategorii osób, których dane dotyczą, takich jak:

a)osoby, w stosunku do których istnieją poważne podstawy, by przypuszczać, że popełniły lub zamierzają popełnić czyn zabroniony;b)osoby skazane za czyn zabroniony;c)pokrzywdzeni czynem zabronionym lub osoby, w przypadku których określone fakty wskazują, że mogą stać się ofiarą czynu zabronionego; orazd)osoby inne w stosunku do czynu zabronionego, takie jak osoby, które mogą zostać wezwane do złożenia zeznań w ramach postępowania przygotowawczego w sprawie czynu zabronionego lub na dalszych etapach postępowania karnego, osoby, które mogą dostarczyć informacji o czynach zabronionych, lub osoby, które mają kontakty lub powiązania z jedną z osób, o których mowa w lit. a) i b).

12.Artykuł 8 (Zgodność przetwarzania z prawem) brzmi następująco:

1.Państwa członkowskie zapewniają, by przetwarzanie było zgodne z prawem wyłącznie wówczas i w zakresie, w jakim jest ono niezbędne do wykonania zadania realizowanego przez właściwy organ w celach określonych w art. 1 ust. 1 oraz ma podstawę w prawie Unii lub prawie państwa członkowskiego.2.Prawo państwa członkowskiego regulujące przetwarzanie w zakresie stosowania niniejszej dyrektywy określa co najmniej powody przetwarzania, dane osobowe mające podlegać przetwarzaniu oraz cele przetwarzania.

13.Zgodnie z art. 9 (Szczególne warunki przetwarzania):

1.Danych osobowych zebranych przez właściwe organy do celów określonych w art. 1 ust. 1 nie przetwarza się do celów innych niż określone w art. 1 ust. 1, chyba że takie przetwarzanie jest dozwolone prawem Unii lub prawem państwa członkowskiego. Jeżeli przetwarzanie danych osobowych odbywa się w takich innych celach, zastosowanie ma [RODO], chyba że przetwarzanie odbywa się w toku działalności nieobjętej prawem Unii.2.Jeżeli prawo państwa członkowskiego powierza właściwym organom wykonywanie zadań innych niż zadania wykonywane w celach określonych w art. 1 ust. 1, to do przetwarzania w takich celach, w tym na potrzeby archiwizacji w interesie publicznym, wykorzystania do celów naukowych, statystycznych lub historycznych, ma zastosowanie [RODO], chyba że przetwarzanie odbywa się w toku działalności nieobjętej prawem Unii.[…].

<TI><NP><NO.P><HT TYPE="BOLD"><HT TYPE="ITALIC">B.</HT></HT></NO.P><TXT><HT TYPE="BOLD"><HT TYPE="ITALIC">Prawo krajowe</HT></HT></TXT></NP></TI><TI><NP><NO.P><HT TYPE="ITALIC">1.</HT></NO.P><TXT><HT TYPE="ITALIC">Konstytucja Republiki Bułgarii<NOTE TYPE="FOOTNOTE" NUMBERING="ARAB" NUMBERING.CONTINUED="YES" NOTE.ID="E0004"><P>DV nr 56 z dnia <DATE ISO="19910713">13 lipca 1991 r.</DATE></P></NOTE></HT></TXT></NP></TI>14.Artykuł 127 ustanawia wyłączne uprawnienia prokuratury do kierowania postępowaniem przygotowawczym, stawiania zarzutów i wnoszenia oskarżenia przed sądem w sprawach karnych prowadzonych z oskarżenia publicznego.<TI><NP><NO.P><HT TYPE="ITALIC">2.</HT></NO.P><TXT><HT TYPE="ITALIC">Zakon za zasztita na licznite danni<NOTE TYPE="FOOTNOTE" NUMBERING="ARAB" NUMBERING.CONTINUED="YES" NOTE.ID="E0005"><P>Ustawa o ochronie danych osobowych, DV nr 1 z dnia <DATE ISO="20020104">4 stycznia 2002 r.</DATE> Przepisy tej ustawy przytoczono zgodnie z brzmieniem obowiązującym w czasie popełnienia rozpatrywanych czynów.</P></NOTE></HT></TXT></NP></TI>15.Artykuł 1 stanowi:

1)Niniejsza ustawa reguluje stosunki publiczne związane z ochroną praw osób fizycznych w odniesieniu do przetwarzania ich danych osobowych w zakresie, w jakim nie są one uregulowane w [RODO].2)Niniejsza ustawa ustanawia również zasady ochrony osób fizycznych w przypadku przetwarzania danych osobowych przez właściwe organy dla celów zapobiegania przestępczości i wykrywania czynów zabronionych, prowadzenia postępowań przygotowawczych i ścigania czynów zabronionych lub wykonania kar, w tym ochrony przed zagrożeniami dla porządku publicznego i bezpieczeństwa publicznego oraz zapobiegania takim zagrożeniom.[…].

16.Artykuł 17 stanowi:

1)

Inspektorat wyższej rady sądownictwa zapewnia kontrolę i przestrzeganie [RODO], niniejszej ustawy oraz aktów dotyczących ochrony danych osobowych w odniesieniu do przetwarzania danych osobowych przez:

1. sąd w ramach wykonywania jego zadań jako organu władzy sądowniczej; oraz

2. prokuraturę i organy ścigania w ramach wykonywania ich zadań jako organów sądowych w celach zapobiegania przestępczości, wykrywania czynów zabronionych, prowadzenia postępowań przygotowawczych i ścigania czynów zabronionych lub wykonania kar.

[…].

17.Artykuł 42 stanowi:

1)Przepisy niniejszego rozdziału stosuje się w przypadku przetwarzania danych osobowych przez właściwe organy dla celów zapobiegania przestępczości i wykrywania czynów zabronionych, prowadzenia postępowań przygotowawczych i ścigania czynów zabronionych lub wykonania kar, w tym ochrony przed zagrożeniami dla porządku publicznego i bezpieczeństwa publicznego oraz zapobiegania takim zagrożeniom.2)Dane osobowe zebrane w celach określonych w ust. 1 nie mogą być przetwarzane w innych celach, chyba że prawo Unii lub prawo Republiki Bułgarii stanowią inaczej.3)W przypadku gdy organy właściwe zgodnie z ust. 1 przetwarzają dane osobowe w celach innych niż te, o których mowa w ust. 1, jak również w przypadkach przewidzianych w ust. 2 stosuje się [RODO] oraz odpowiednie przepisy niniejszej ustawy wprowadzające środki wykonujące RODO.4)Właściwy organ w rozumieniu ust. 1 oznacza każdy organ publiczny właściwy w zakresie zapobiegania przestępczości i wykrywania czynów zabronionych, prowadzenia postępowań przygotowawczych i ścigania czynów zabronionych lub wykonania kar, w tym ochrony przed zagrożeniami dla porządku publicznego i bezpieczeństwa publicznego oraz zapobiegania takim zagrożeniom.5)O ile przepisy ustawy nie stanowią inaczej, administratorem danych osobowych w rozumieniu niniejszego rozdziału do celów określonych w ust. 1 jest właściwy organ w rozumieniu ust. 4 lub jednostka administracyjna, w skład której wchodzi ten organ, która samodzielnie lub wspólnie z innymi organami określa cele i sposoby przetwarzania danych osobowych.

18.Artykuł 45 stanowi:

[…]

2)

Na przetwarzanie danych osobowych przez administratora, który pierwotnie je zebrał, lub przez innego administratora w jednym z celów, o których mowa w art. 42 ust. 1, innym niż cel, w którym dane osobowe zostały zebrane, zezwala się, pod warunkiem że:

1. administrator jest uprawniony do przetwarzania danych osobowych w takim celu zgodnie z prawem Unii lub prawem Republiki Bułgarii; oraz

2. przetwarzanie jest niezbędne i proporcjonalne do tego innego celu zgodnie z prawem Unii lub prawem Republiki Bułgarii.

[…].

19.Artykuł 47 stanowi powtórzenie art. 6 dyrektywy 2016/680.20.Artykuł 49 stanowi:

Przetwarzanie danych osobowych jest zgodne z prawem, gdy jest niezbędne dla wykonywania uprawnień przez właściwy organ w celach, o których mowa w art. 42 ust. 1, i jest przewidziane w prawie Unii lub w ustawie, w której określono cele przetwarzania i kategorie przetwarzanych danych osobowych.

<TI><NP><NO.P><HT TYPE="BOLD">II.</HT></NO.P><TXT><HT TYPE="BOLD">Okoliczności faktyczne, postępowanie i pytania prejudycjalne</HT></TXT></NP></TI>21.Pod kierunkiem Rajonna prokuratura – Petricz (prokuratury rejonowej w mieście Petricz, Bułgaria) wszczęto postępowanie przygotowawcze (sprawa nr 252/2013 policji w mieście Petricz)

Sprawa nr 1548/2013 prokuratury rejonowej w mieście Petricz.

 w celu ustalenia czynów stanowiących przestępstwo

Zgodnie z postanowieniem odsyłającym (pkt 8.1) przestępstwo było stypizowane w art. 325 ust. 1 w związku z art. 20 ust. 2 Nakazatalen kodeks (kodeksu karnego).

, które miały miejsce w dniu 18 kwietnia 2013 r.22.Dane osobowe VS zostały pierwotnie zebrane w toku tego postępowania, gdy miał on status pokrzywdzonego.23.Postanowieniami prokuratury z dni 4 i 5 kwietnia 2018 r. czterem osobom (w tym VS) postawiono zarzuty popełnienia tych czynów.24.W dniu 10 listopada 2020 r. Rajonen syd – Petricz (sąd rejonowy w mieście Petricz, Bułgaria) umorzył postępowanie karne z powodu przedawnienia.25.W 2016 i 2017 r., w związku z zawiadomieniami o popełnieniu przestępstwa skierowanymi przeciwko VS prokuratura rejonowa w mieście Petricz zarządziła postępowania sprawdzające w kilku sprawach

Akta spraw nr 517/2016, nr 1870/2016, nr 1872/2016 i nr 2217/2016.

, które nie doprowadziły do wszczęcia jakiegokolwiek postępowania karnego z powodu braku danych wskazujących na popełnienie przestępstwa.26.W 2018 r. VS wniósł powództwo cywilne

Postępowanie cywilne nr 144/2018.

 przeciwko prokuraturze Republiki Bułgarii do Okryżen syd – Błagojewgrad (sądu okręgowego w mieście Błagojewgrad, Bułgaria), wnosząc o zasądzenie odszkodowania za szkodę spowodowaną przewlekłością postępowania karnego nr 252/2013.27.W celu obrony przed tym powództwem cywilnym prokuratura wniosła do sądu o dołączenie akt spraw nr 517/2016 i nr 1872/2016 prokuratury rejonowej w mieście Petricz.28.Postanowieniem z dnia 15 października 2018 r. Okryżen syd – Błagojewgrad (sąd okręgowy w mieście Błagojewgrad) nakazał prokuraturze rejonowej w mieście Petricz przedstawienie odpisów dokumentów zawartych w aktach spraw nr 517/2016 i 1872/2016.29.W dniu 12 marca 2020 r. VS wniósł skargę do Inspektorata kym Wisszija sydeben sywet (inspektoratu wyższej rady sądownictwa, zwanego dalej IVSS), ponieważ jego zdaniem miało miejsce podwójne niezgodne z prawem przetwarzanie jego danych osobowych przez prokuraturę, która miała wykorzystać w sposób niewłaściwy:

Dane VS zebrane, gdy miał on status pokrzywdzonego – na potrzeby ich dalszego przetwarzania w odniesieniu do VS jako podejrzanego w postępowaniu karnym nr 252/2013.

Dane VS zebrane w sprawach nr 517/2016 i nr 1872/2016 w celu ich wykorzystania przez prokuraturę w postępowaniu cywilnym nr 144/2018.

30.W dniu 22 czerwca 2020 r. IVSS oddalił podwójną skargę VS.31.VS zaskarżył tę decyzję IVSS do Administratiwen syd – Błagojewgrad (sądu administracyjnego w mieście Błagojewgrad, Bułgaria), który zwraca się do Trybunału z następującymi pytaniami prejudycjalnymi:

1)Czy art. 1 ust. 1 [dyrektywy 2016/680] należy interpretować w ten sposób, że przy wskazaniu celów wylicza on zapobieganie, prowadzenie postępowań przygotowawczych, wykrywanie i ściganie czynów zabronionych jako aspekty jednego ogólnego celu?2)Czy przepisy [RODO] mają zastosowanie do prokuratury Republiki Bułgarii ze względu na to, że zebrane przez nią w charakterze administratora, o którym mowa w art. 3 pkt 8 [dyrektywy 2016/680], informacje o danej osobie, w aktach postępowania sprawdzającego dotyczącego tej osoby mającego na celu sprawdzenie danych wskazujących na popełnienie przestępstwa, są wykorzystywane przez prokuraturę w celu obrony przed sądem w charakterze strony postępowania cywilnego – poprzez powiadomienie o fakcie założenia takich akt lub poprzez przedstawienie materiałów z tego postępowania?2.1)W razie udzielenia na powyższe pytanie odpowiedzi twierdzącej:

Czy zawarte w art. 6 ust. 1 lit. f) [RODO] wyrażenie prawnie uzasadnione interesy należy interpretować w ten sposób, że obejmuje ono ujawnienie w całości lub częściowo informacji o danej osobie – zebranych w dotyczących jej aktach prokuratury założonych dla celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych, gdy to ujawnienie jest dokonywane w celu obrony administratora jako strony postępowania cywilnego – i że wyłącza ono konieczność uzyskania zgody osoby, której dotyczą wspomniane dane?.

<TI><NP><NO.P><HT TYPE="BOLD">III.</HT></NO.P><TXT><HT TYPE="BOLD">Postępowanie przed Trybunałem</HT></TXT></NP></TI>32.Wniosek o wydanie orzeczenia w trybie prejudycjalnym wpłynął do sekretariatu Trybunału w dniu 23 marca 2021 r.33.VS, IVSS, rządy Bułgarii, Czech i Niderlandów oraz Komisja Europejska wzięły udział w postępowaniu i przedstawiły uwagi na piśmie.34.Trybunał nie uznał za niezbędne przeprowadzenia rozprawy, o którą nie wnioskowała żadna ze stron.<TI><NP><NO.P><HT TYPE="BOLD">IV.</HT></NO.P><TXT><HT TYPE="BOLD">Analiza</HT></TXT></NP></TI><TI><NP><NO.P><HT TYPE="BOLD"><HT TYPE="ITALIC">A.</HT></HT></NO.P><TXT><HT TYPE="BOLD"><HT TYPE="ITALIC">Uwagi wstępne dotyczące mającego zastosowanie prawa Unii</HT></HT></TXT></NP></TI>35.RODO i dyrektywa 2016/680 tworzą spójny system, w którym:

W RODO ustanowione są przepisy ogólne dotyczące ochrony osób fizycznych w odniesieniu do przetwarzania ich danych osobowych.

W dyrektywie 2016/680 ustanowione są przepisy szczególne dotyczące przetwarzania takich danych w ramach współpracy wymiarów sprawiedliwości w sprawach karnych i współpracy policyjnej.

36.Ochrona zapewniona przez system utworzony przez te dwa akty prawne opiera się na zasadach zgodności z prawem, rzetelności, przejrzystości oraz – w zakresie, w jakim to ma znaczenie w niniejszej sprawie – na zasadzie ścisłego ograniczenia zbierania danych i ich przetwarzania w celach określonych przez prawo

Motywy 39 RODO i 26 dyrektywy 2016/680.

.37.W szczególności art. 5 ust. 1 lit. b) RODO stanowi, że dane muszą być zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami

Wyróżnienie moje.

. Takie jest też brzmienie art. 4 ust. 1 lit. b) dyrektywy 2016/680 jako lex specialis.38.Dane osobowe nie mogą być zatem zbierane i przetwarzane w sposób ogólny, lecz tylko w określonych celach

Są one wymienione w art. 1 ust. 1 dyrektywy 2016/680 (zob. przypis 15 poniżej). Poza zakresem samej dyrektywy 2016/680 cele dozwolone na mocy RODO stanowią wszelkie potencjalnie zgodne z prawem cele. Obowiązuje zatem zasada swobody, której ograniczenie ma miejsce w odniesieniu do zgodności z prawem warunków przetwarzania danych oraz praw osoby, której dane dotyczą (rozdziały II i III RODO).

 i z zastrzeżeniem warunków zgodności z prawem ustanowionych przez prawodawcę Unii.39.Zasada ścisłego powiązania między zbieraniem i przetwarzaniem danych, z jednej strony, a celami, którym obie te operacje powinny służyć, z drugiej strony, nie ma charakteru bezwzględnego, ponieważ zarówno RODO, jak i dyrektywa 2016/680 dopuszczają pewną elastyczność, co wyjaśnię w dalszej części.40.W sporze w postępowaniu głównym sąd administracyjny musi rozstrzygnąć, czy organ nadzorczy (IVSS)

Zgodnie z art. 45 ust. 2 dyrektywy 2016/680 państwa członkowskie zapewniają, by żaden organ nadzorczy nie był właściwy do nadzorowania operacji przetwarzania dokonywanych przez sądy w toku sprawowania przez nie wymiaru sprawiedliwości.

 działał zgodnie z prawem, oddalając skargę, w której VS zarzucił bułgarskiej prokuraturze niezgodne z prawem przetwarzanie jego danych osobowych.41.Jak już wyjaśniłem, dane te zostały zebrane w dwóch różnych kontekstach:

W postępowaniach karnych wszczętych przez prokuraturę w 2013 r. w związku z czynami, w odniesieniu do których VS występował jako domniemany pokrzywdzony. Dane te zostały następnie wykorzystane przeciwko VS jako podejrzanemu w tym samym postępowaniu karnym.

W postępowaniach sprawdzających w 2016 i 2017 r. zarządzonych przez tę samą prokuraturę w następstwie szeregu zawiadomień o popełnieniu przestępstwa skierowanych między innymi przeciwko VS w związku z czynami niezwiązanymi z tymi, które miały miejsce w 2013 r.

Chociaż informacje przedstawione przez sąd odsyłający nie wyjaśniają tego jednoznacznie, wszystko wskazuje na to, że są to rzeczywiście różne czyny.

. W tym przypadku prokuratura wystąpiła z wnioskiem (a właściwy sąd przychylił się do tego wniosku) o wykorzystanie danych zawartych w tych postępowaniach sprawdzających w celu obrony w postępowaniu cywilnym zainicjowanym przez VS, który dochodził od niej odszkodowania.

42.Pytania sądu odsyłającego dotyczą odpowiednio:

Zgodności z prawem wykorzystania danych osobowych VS na dwóch kolejnych etapach tego samego postępowania karnego (pierwsze pytanie prejudycjalne).

Zgodności z prawem przetwarzania danych osobowych VS zebranych w toku postępowań sprawdzających zarządzonych przez prokuraturę, które to dane prokuratura zamierza wykorzystać w postępowaniu cywilnym, w którym jest stroną pozwaną przez VS (drugie pytanie prejudycjalne).

43.Zgadzam się z sądem odsyłającym oraz ze wszystkimi stronami, które są uczestnikami niniejszego postępowania prejudycjalnego, że przetwarzanie danych osobowych, które jest przedmiotem pierwszego pytania prejudycjalnego, jest objęte zakresem dyrektywy 2016/680.44.Zgodnie z art. 1 ust. 1 i art. 2 ust. 1 dyrektywy 2016/680 dyrektywa ta ma zastosowanie do przetwarzania danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych. W niniejszej sprawie dane VS zostały zebrane i przetworzone właśnie w ramach postępowania przygotowawczego.45.Jednakże w odniesieniu do przekazywania danych osobowych do celów postępowania cywilnego prowadzonego przeciwko prokuraturze (drugie pytanie prejudycjalne) zastosowanie będzie miało RODO, jeżeli to przekazywanie stanowi przetwarzanie danych w celach innych niż określone w art. 1 ust. 1 dyrektywy 2016/680, ale objętych działalnością wchodzącą w zakres prawa Unii.<TI><NP><NO.P><HT TYPE="BOLD"><HT TYPE="ITALIC">B.</HT></HT></NO.P><TXT><HT TYPE="BOLD"><HT TYPE="ITALIC">Pierwsze pytanie prejudycjalne: zmiana przeznaczenia ad intra danych osobowych zbieranych w celach objętych zakresem zastosowania dyrektywy 2016/680</HT></HT></TXT></NP></TI>46.Zgodnie z art. 4 ust. 2 dyrektywy 2016/680 [p]rzetwarzanie przez tego samego lub innego administratora w jednym z celów określonych w art. 1 ust. 1[

W art. 1 ust. 1 dyrektywy 2016/680 uznano, że cele te dotyczą zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w tym ochrony przed zagrożeniami dla bezpieczeństwa publicznego i zapobiegania takim zagrożeniom. Hiszpańska wersja tego przepisu różni się od wersji w innych językach urzędowych, jeśli chodzi o termin ściganie. I tak w wersji francuskiej użyto rzeczownika poursuites, który w wersji angielskiej jest odpowiednikiem prosecution, w wersji włoskiej – perseguimento, w wersji niemieckiej – Verfolgung, a w wersji niderlandzkiej – vervolging. W tych i innych wersjach (z wyjątkiem wersji hiszpańskiej) mowa jest o działalności poprzedzającej enjuiciamiento (sądzenie) w ścisłym tego słowa znaczeniu, które jest zastrzeżone wyłącznie dla sądów.

] innym niż cel, w którym dane osobowe zostały zebrane, jest dozwolone, o ile:

a)administratorowi wolno przetwarzać takie dane osobowe w takim celu […]; orazb)przetwarzanie jest niezbędne i proporcjonalne w tym innym celu […].

47.Dyrektywa 2016/680 zezwala zatem na przeznaczenie ad intra danych osobowych zebranych na jej podstawie. Dane, które zostały zebrane w jednym z celów wymienionych w art. 1 ust. 1 tej dyrektywy, mogą również, pod pewnymi warunkami, być wykorzystane w jednym lub w kilku innych celach zawartych w tym wyliczeniu.48.Kwestia podniesiona w pierwszym pytaniu prejudycjalnym dotyczy tego, czy dane osobowe VS uzyskane w czasie, gdy występował on jako domniemany pokrzywdzony w wyniku przestępstwa będącego przedmiotem dochodzenia, mogą być następnie przetwarzane przeciwko niemu jako osobie podejrzanej lub oskarżonej w toku tego samego postępowania karnego.49.Innymi słowy, konieczne jest wyjaśnienie, czy dane osobowe VS były przetwarzane w tym samym celu, który uzasadniał ich pierwotne zbieranie, czy też raczej w dwóch różnych celach, lecz objętych zakresem stosowania dyrektywy 2016/680. W tym drugim przypadku przetwarzanie danych powinno podlegać szczególnym warunkom określonym w art. 4 ust. 2 tej dyrektywy.50.Sąd odsyłający sformułował swoje pierwsze pytanie w sposób nieco dwuznaczny w odniesieniu do przedmiotu sporu. Zmierza on do ustalenia dosłownie, czy art. 1 ust. 1 dyrektywy 2016/680 należy interpretować w ten sposób, że przy wskazaniu celów wylicza on zapobieganie, prowadzenie postępowań przygotowawczych, wykrywanie i ściganie czynów zabronionych jako aspekty jednego ogólnego celu.51.W świetle tego stwierdzenia sądu odsyłającego należałoby być może przeformułować jego pierwsze pytanie zgodnie z propozycją stron i uczestników niniejszego postępowania prejudycjalnego. Zamiast skupiać się na abstrakcyjnym związku między celem ogólnym a celem szczegółowym, w rzeczywistości znaczenie ma (i w rzeczywistości dotyczyła tego skarga VS) to, czy w ramach postępowania karnego regulowanego dyrektywą 2016/680 cel, który doprowadził do zebrania danych dotyczącej danej osoby w jej charakterze jako domniemanego pokrzywdzonego w wyniku przestępstwa, nadal istnieje, gdy dane te prowadzą do późniejszego postawieniu zarzutów owej osobie w tym samym postępowaniu.52.Wykładnia językowa art. 1 ust. 1 dyrektywy 2016/680 wskazuje na to, że w jego ramach można wyróżnić trzy rodzaje celów, odpowiadające różnym momentom i różnym działalnościom:

Po pierwsze, cel polegający na zapobieganiu przestępczości, w tym przeciwdziałaniu zagrożeniom dla bezpieczeństwa publicznego.

Po drugie, cel polegający na prowadzeniu postępowań przygotowawczych (w szerokim znaczeniu) w odniesieniu do czynów przestępczych, które obejmuje ich wykrywanie, dochodzenie w ścisłym tego słowa znaczeniu oraz ściganie przestępstw.

Wreszcie, cel polegający na wykonywaniu kar.

53.Z systemowego lub kontekstowego punktu widzenia art. 4 ust. 2 dyrektywy 2016/680 przemawia za uznaniem każdego z tych celów za oddzielny. W przeciwnym razie, jak zauważył rząd Niderlandów, przepis ten byłby pozbawiony treści, ponieważ dotyczy on właśnie celów określonych w art. 1 ust. 1 inny[ch] niż cel, w którym dane osobowe zostały zebrane […].54.W oparciu o powyższe założenie postaram się wyjaśnić, dlaczego w niniejszej sprawie sporne dane zostały uzyskane i były przetwarzane w jednym z celów (polegającym na prowadzeniu postępowania przygotowawczego), o których mowa w art. 1 ust. 1 dyrektywy 2016/680, co decyduje o stosowaniu tej dyrektywy i związanej z tym zgodności przetwarzania z prawem.55.Ewentualnie, gdyby uzyskanie i przetwarzanie danych odbywało się w dwóch spośród celów wymienionych w art. 4 ust. 2 dyrektywy 2016/680, ich zgodność z prawem również byłaby bezsporna.<TI><NP><NO.P><HT TYPE="ITALIC">1.</HT></NO.P><TXT><HT TYPE="ITALIC">Ten sam cel</HT></TXT></NP></TI>56.W postępowaniu karnym nie zawsze można od początku określić status procesowy osób, których dotyczy to postępowanie. W wielu przypadkach celem tych postępowań jest zidentyfikowanie, a zatem kategoryzacja osób, które prima facie jawią się jako sprawcy, pokrzywdzeni lub świadkowie zdarzeń.57.Na tym etapie przygotowawczym logiczne jest, że istnieje pewna płynność w kategoryzacji. Postępowanie przygotowawcze powinno prowadzić – w świetle dokonanych w jego toku ustaleń – do dokładnego określenia statusu, w jakim wspomniane osoby będą występować w postępowaniu karnym.58.Dotyczy to w szczególności spraw takich jak niniejsza. Zdaniem sądu odsyłającego doszło do wzajemnych napaści między kilkoma osobami. Jednej z nich, która początkowo występowała jako pokrzywdzony, ostatecznie zostały postawione zarzuty jako sprawcy tych napaści.59.W tym kontekście całość prowadzonej działalności mieści się w pojęciu prowadzenia postępowań przygotowawczych zawartemu w art. 1 ust. 1 dyrektywy 2016/680. Cel tej działalności był zatem jednolity i odpowiada jednemu z celów, którym może służyć przetwarzanie danych osobowych.60.Sąd odsyłający ma jednak wątpliwości, czy taka wykładnia art. 1 ust. 1 dyrektywy 2016/680 jest zgodna z motywem 31 tej dyrektywy

Nieodłączną cechą przetwarzania danych osobowych w obszarze współpracy wymiarów sprawiedliwości w sprawach karnych i współpracy policyjnej jest to, że przetwarzane są dane osobowe dotyczące różnych kategorii osób, których dane dotyczą. W stosownych przypadkach należy zatem w jak największym stopniu wyraźnie rozróżniać dane osobowe różnych kategorii osób, których dane dotyczą […]. Wyróżnienie moje.

.61.Zgadzam się z poglądem większości stron, że motyw ten, podobnie jak art. 6 dyrektywy 2016/680, który stanowi jego powtórzenie, nie mają znaczenia dla ustalenia, czy nastąpiła zmiana celów, o której mowa w art. 4 ust. 2 tej dyrektywy.62.Zgodnie z art. 6 dyrektywy 2016/680 wyraźne rozróżnienie między danymi osobowymi różnych kategorii osób, których dane dotyczą, ma miejsce tylko w stosownym przypadku i w miarę możliwości. Z powodów przedstawionych powyżej na początkowym etapie postępowania prowadzonego w sprawie zdarzeń takich jak te, które miały miejsce w niniejszej sprawie, jasne określenie od samego początku poszczególnych kategorii osób, których dane dotyczą, nie jest łatwe. Co więcej, ten sam uczestnik owych zdarzeń może być zarówno pokrzywdzonym, jak i sprawcą napaści.63.Nawet gdyby administrator danych uzyskanych w postępowaniu karnym wyraźnie rozróżniał na początku i w toku postępowania przygotowawczego pomiędzy pokrzywdzonymi, podejrzanymi i świadkami, nie zmieniłoby to celu (prowadzenie postępowania przygotowawczego) leżącego u podstaw zbierania i przetwarzania tych danych.64.Innymi słowy, przyznanie kolejno takiego lub innego statusu (pokrzywdzonego, świadka, uczestnika) osobom, które występują w postępowaniu przygotowawczym, niekoniecznie pociąga za sobą zmianę celów w rozumieniu art. 4 ust. 2 dyrektywy 2016/680.<TI><NP><NO.P><HT TYPE="ITALIC">2.</HT></NO.P><TXT><HT TYPE="ITALIC">Dwa równoległe cele</HT></TXT></NP></TI>65.Ewentualnie, gdyby spełnione zostały okoliczności przewidziane w art. 4 ust. 2 dyrektywy 2016/680, przetwarzanie spornych danych osobowych byłoby zgodne z ustanowionymi w tej dyrektywie warunkami zgodności z prawem. Zwróciły na to uwagę rządy bułgarski i czeski, z którymi się zgadzam.66.Choć ustalenie tej kwestii należy do sądu odsyłającego, nie wydaje się budzić wątpliwości, że zgodnie z prawem krajowym bułgarska prokuratura jest organem będącym administratorem danych osobowych VS w jednym z celów określonych w art. 1 ust. 1 innym niż cel, w którym dane osobowe zostały zebrane. Spełniona jest zatem pierwsza przesłanka określona w art. 4 ust. 2 lit. a) dyrektywy 2016/680.67.W odniesieniu do drugiej przesłanki ustanowionej w art. 4 ust. 2 lit. b) (zgodnie z którą przetwarzanie jest niezbędne i proporcjonalne w tym innym celu) uważam, że:

Jego niezbędność jest uzasadniona niepewnością i nieokreślonością charakterystyczną dla początkowego etapu postępowań przygotowawczych.

Sąd odsyłający powinien dokonać oceny jego proporcjonalności, biorąc pod uwagę, czy przetwarzanie zostało ograniczone do tego, co jest ściśle niezbędne do osiągnięcia zamierzonego celu.

68.Zastosowane w niniejszej sprawie przesłanki określone w art. 4 ust. 2 dyrektywy 2016/680 okazują się nie mieć większego znaczenia i potwierdza się jednolitość celu nieodłącznie związanego ze zbieraniem spornych danych osobowych: istnieje logiczna ciągłość między ich pierwotnym przetwarzaniem a tym, które następnie doprowadziło do postawienia zarzutów podejrzanemu.69.Nie byłoby zatem konieczne potwierdzenie uprawnień nowego administratora danych (który zawsze byłby ten sam), ani nie byłoby trudności z wykazaniem niezbędności drugiego przetwarzania (dokonanego w ramach tego samego postępowania), skoro kryterium proporcjonalności jest wspólne dla każdego przetwarzania, jak wynika z zasad wymienionych w art. 4 ust. 1 dyrektywy 2016/680.<TI><NP><NO.P><HT TYPE="BOLD"><HT TYPE="ITALIC">C.</HT></HT></NO.P><TXT><HT TYPE="BOLD"><HT TYPE="ITALIC">Drugie pytanie prejudycjalne: przeznaczenie ad extra zebranych danych osobowych</HT></HT></TXT></NP></TI>70.W art. 9 ust. 1 dyrektywy 2016/680 przewidziano możliwość przeznaczenia ad extra danych osobowych zebranych na podstawie tej dyrektywy.71.W oparciu o zasadę, zgodnie z którą takich danych nie przetwarza się do celów innych niż określone w art. 1 ust. 1 [tej dyrektywy], art. 9 ust. 1 dyrektywy 2016/680 ustanawia wyjątek, w przypadku gdy prawo Unii lub prawo państwa członkowskiego zezwala na ich przetwarzanie w celach innych niż cele określone w art. 1 ust. 1. W takim przypadku zastosowanie ma RODO (pod warunkiem że dana działalność jest objęta zakresem prawa Unii).72.W ramach drugiego pytania prejudycjalnego sąd odsyłający zmierza do ustalenia:

Czy RODO ma zastosowanie, w przypadku gdy informacje zebrane w postępowaniu sprawdzającym zarządzonym przez prokuraturę są następnie wykorzystywane jako środek obrony samej prokuratury w postępowaniu cywilnym zainicjowanym przeciwko niej przez osobę, której dane dotyczą.

W przypadku odpowiedzi twierdzącej na to pytanie – czy zawarte w art. 6 ust. 1 lit. f) RODO pojęcie uzasadnionych interesów obejmuje udostępnienie spornych danych w celu obrony prokuratury we wspomnianym postępowaniu cywilnym.

<TI><NP><NO.P><HT TYPE="ITALIC">1.</HT></NO.P><TXT><HT TYPE="ITALIC">Dopuszczalność pytania</HT></TXT></NP></TI>73.IVSS utrzymuje, że ponieważ skarga VS została odrzucona ze względu na to, że złożono ją po terminie, drugie pytanie prejudycjalne jest niedopuszczalne.74.Nie podzielam powyższego zarzutu.75.Odmowa rozstrzygnięcia przez Trybunał w przedmiocie postawionego przez sąd krajowy pytania prejudycjalnego jest możliwa tylko wtedy, gdy jest oczywiste, że wykładnia prawa Unii, o którą się zwrócono, nie ma żadnego związku ze stanem faktycznym lub z przedmiotem sporu w postępowaniu głównym, gdy problem jest natury hipotetycznej, bądź gdy Trybunał nie dysponuje informacjami w zakresie stanu faktycznego lub prawnego, które są niezbędne do udzielenia użytecznej odpowiedzi na przedstawione mu pytania

Wyrok z dnia 27 września 2017 r., Puškár (C‑73/16, EU:C:2017:725, pkt 50).

.76.Zarzut IVSS dotyczy kwestii, która należy do wyłącznej kompetencji sądu odsyłającego. Zadaniem i odpowiedzialnością wyłącznie sądu odsyłającego jest ustalenie stanu prawnego i faktycznego, w który wpisuje się pytanie skierowane do Trybunału

Wyrok z dnia 17 lipca 2014 r., YS i in. (C‑141/12 i C‑372/12, EU:C:2014:2081, pkt 63).

.77.Zarówno osąd dotyczący wniesienia skargi po terminie, które zostało podniesione przez IVSS, jak i ocena jego znaczenia dla niniejszego sporu są elementami, których ocena należy wyłącznie do sądu odsyłającego. W niniejszej sprawie sąd ten podkreślił, że pytanie ma znaczenie dla rozstrzygnięcia sprawy w postępowaniu głównym, pomimo wniesienia skargi po terminie, na które powołuje się IVSS

Punkt 34.12 akapit trzeci postanowienia odsyłającego.

.78.Ocena ta nie może zostać poddana kontroli Trybunału, który powinien co do zasady kierować się wykładnią i stosowaniem krajowego prawa proceduralnego i materialnego, przyjętymi przez sądy przy określaniu ram dotyczących odesłania prejudycjalnego.<TI><NP><NO.P><HT TYPE="ITALIC">2.</HT></NO.P><TXT><HT TYPE="ITALIC">Co do istoty</HT></TXT></NP></TI>79.Biorąc pod uwagę powody przedstawione przez sąd odsyłający w celu uzasadnienia drugiego pytania prejudycjalnego, w rzeczywistości zwraca się on do Trybunału o ustalenie, czy przekazanie spornych danych stanowi przetwarzanie danych w rozumieniu art. 4 pkt 1 i 2 RODO

Potwierdza to pkt 34.12 akapit pierwszy postanowienia odsyłającego.

 i czy przetwarzanie to było zgodne z prawem w świetle art. 6 RODO.<TI><NP><NO.P><HT TYPE="ITALIC">a)</HT></NO.P><TXT><HT TYPE="ITALIC">Istnienie przetwarzania danych</HT></TXT></NP></TI>80.Artykuł 4 pkt 1 i 2 RODO oraz art. 3 pkt 1 i 2 dyrektywy 2016/680 definiują w ten sam sposób pojęcia danych osobowych i przetwarzania.81.Na podstawie tych definicji wnioskuję, że prokuratura zamierzała wykorzystać w celu swojej obrony przed sądem cywilnym informacje o zidentyfikowanej […] osobie fizycznej, które zawierały dane osobowe VS.82.Podczas przekazywania tych danych osobowych w postępowaniu cywilnym miało miejsce szereg operacji stanowiących przetwarzanie danych bez zgody osoby, której dane dotyczą. Konieczne było co najmniej, aby sama prokuratura przeglądała te dane w celu oceny ich możliwej przydatności dla obrony jej stanowiska w postępowaniu cywilnym. Należy ponadto przypuszczać, że w tym samym celu dane zostały zorganizowane, uporządkowane, zaadaptowane lub zmodyfikowane oraz oczywiście ujawnione i rozpowszechnione, choćby w minimalnym stopniu, gdy istotne było ich włączenie do postępowania cywilnego

Wniosek o dopuszczenie jako dowodu danych zawartych w aktach prokuratury pociąga za sobą przekazanie informacji dotyczących osoby VS, ponieważ wniosek ten musiał być uzasadniony istotnością owych danych, zauważalną w świetle ich treści i choćby poszlakową.

.83.Podsumowując, prokuratura, utrwalając rzeczone dane, włączając je do swoich akt, przechowując je, przeglądając i wnioskując do sądu cywilnego o dopuszczenie jako dowodu informacji uzyskanych w sprawie karnej, dokonała przetwarzania danych osobowych VS.84.IVSS i Komisja twierdzą, że prokuratura może być administratorem danych tylko jako organ właściwy do celów o charakterze karnym, objętych zakresem zastosowania dyrektywy 2016/680.85.Moim zdaniem nie oznacza to, że drugie pytanie prejudycjalne jest bezprzedmiotowe, jak twierdzi IVSS. Świadczy to raczej o tym, że zgodność z prawem przetwarzania danych na podstawie art. 9 ust. 1 dyrektywy 2016/680 będzie musiała zostać zweryfikowana w świetle RODO.86.Sąd właściwy do rozstrzygnięcia sporu cywilnego będzie odpowiedzialny za przetwarzanie danych w tym postępowaniu, gdy zostaną one do niego włączone. Jego orzeczenia są wyłączone spod nadzoru organu nadzorczego zgodnie z art. 55 ust. 3 RODO, gdy tylko zostaną wydane w ramach sprawowania przez niego wymiaru sprawiedliwości

Zobacz w przedmiocie wykładni tego przepisu wyrok z dnia 24 marca 2022 r., Autoriteit Persoonsgegevens (C‑245/20, EU:C:2022:216, pkt 23 i nast.).

.87.Natomiast sąd odsyłający ogranicza swoje pytanie do możliwości zastosowania RODO w chwili, gdy prokuratura zamierza wykorzystać zebrane przez siebie informacje jako administrator danych w rozumieniu dyrektywy 2016/680 w celu swojej obrony w postępowaniu cywilnym.88.W świetle powyższych rozważań uważam, że RODO ma zastosowanie, ponieważ cele wymienione w art. 1 ust. 1 dyrektywy 2016/680 nie obejmują obrony prokuratury w postępowaniu cywilnym.<TI><NP><NO.P><HT TYPE="ITALIC">b)</HT></NO.P><TXT><HT TYPE="ITALIC">Zgodność przetwarzania danych z prawem w świetle RODO</HT></TXT></NP></TI>89.Warunki zgodności z prawem przetwarzania danych osobowych są wymienione w art. 6 ust. 1 RODO: [p]rzetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest co najmniej jeden z poniższych warunków, które są opisane w dalszej części. Ich wyliczenie jest wyczerpujące

Zobacz – w odniesieniu do analogicznego tekstu dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz.U. 1995, L 281, s. 31) – wyrok z dnia 24 listopada 2011 r., ASNEF (C‑468/10 i C‑469/10, EU:C:2011:777).

.90.Moim zdaniem spośród tych warunków nie są spełnione: warunek oparty na zgodzie osoby, której dane dotyczą [lit. a)], warunek oparty na wykonaniu umowy [lit. b)], warunek oparty na wypełnieniu obowiązku prawnego [lit. c)]

Prokuratura nie jest prawnie zobowiązana do żądania przedstawienia spornych danych w postępowaniu cywilnym.

, ani też warunek oparty na ochronie żywotnych interesów osoby, której dane dotyczą, lub osoby trzeciej [lit. d)].91.Zdaniem sądu odsyłającego warunek określony w art. 6 ust. 1 lit. f) RODO jest spełniony. Jednakże, jak twierdzi Komisja, ostatni akapit tego ustępu wyklucza ów warunek w niniejszej sprawie, ponieważ warunek ten nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań

Zgodnie z motywem 47 RODO, [p]onieważ dla organów publicznych podstawę prawną przetwarzania danych osobowych powinien określić ustawodawca, prawnie uzasadniony interes administratora nie powinien mieć zastosowania jako podstawa prawna do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań.

.92.W odpowiedzi na pytanie Trybunału rząd bułgarski, popierany w tej kwestii przez rządy czeski i niderlandzki, podkreślił, że warunek przewidziany w art. 6 ust. 1 lit. f) RODO może mieć zastosowanie. Argumentuje on, że należy wziąć pod uwagę charakter działalności wykonywanej przez prokuraturę, która, choć jest podmiotem publicznym, może uczestniczyć w postępowaniach cywilnych jako równorzędna strona

Punkty 45 i 49 odpowiedzi rządu bułgarskiego na pytanie zadane przez Trybunał.

.93.Jednakże uzasadnione interesy, których prokuratura broniłaby jako organ publiczny w postępowaniu, w którym jest ona pozwana z tytułu odpowiedzialności za swoje działanie podjęte w ramach postępowania, są wyłączone z zakresu hipotezy przewidzianej w art. 6 ust. 1 lit. f) RODO, gdyż wyraźnie stanowi tak akapit ostatni tego ustępu.94.W przypadku organów działających w ramach wykonywania zadań powierzonych im na mocy prawa (w niniejszym przypadku – prowadzenia postępowania karnego i reprezentowania państwa w przypadku roszczeń z tytułu odpowiedzialności finansowej) właściwym interesem dla celów art. 6 ust. 1 RODO jest interes publiczny, który organy te realizują zgodnie z lit. e) tego przepisu.95.Warunek przewidziany w lit. f) polega na zaspokojeniu uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych.96.Klauzula ta dotyczy zatem nie tyle możliwości obrony organu publicznego – które mogą znaleźć wyraz w drodze lit. e) –, ile ewentualnej przewagi interesów, praw i wolności osoby, której dane dotyczą, wobec administratora lub osoby trzeciej. Ma ona zastosowanie raczej do sporów między stronami (prywatnymi), których interesy nie mają charakteru publicznego.97.Ponieważ prokuratura działa z definicji jako instytucja państwowa, należy przeanalizować, czy sporne przetwarzanie jest objęte zakresem art. 6 ust. 1 lit. e) RODO.98.Byłoby tak w przypadku, gdyby przetwarzanie było niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi.99.Przeanalizuję pierwszy z tych dwóch celów bez konieczności rozpatrywania drugiego z nich

Jak zauważa rząd niderlandzki, obrona interesów państwa w postępowaniu cywilnym nie stanowi sama w sobie i w sposób niezależny sprawowania władzy publicznej, o którym mowa w drugiej części art. 6 ust. 1 lit. e) RODO.

, aby ustalić, czy udział prokuratury w postępowaniu cywilnym, którego przedmiotem jest skierowane przeciwko niej roszczenie o odszkodowanie za jej zachowanie, odpowiada wykonywaniu zadania realizowanego w interesie publicznym.100.Zgodnie z prawem krajowym

Zakon za otgowornostta na dyrżawata i obsztinite za wredi (ustawa o odpowiedzialności państwa i gmin za szkody; DV nr 60 z dnia 5 sierpnia 1988 r.). W odpowiedzi na pytanie Trybunału rząd bułgarski wyjaśnił, że podstawą prawną, w oparciu o którą prokuratura została pozwana przed sąd cywilny, jest art. 2b tej ustawy, który reguluje przesłanki i zasady powstania odpowiedzialności pozaumownej państwa w przypadku naruszenia prawa do rozpoznania sprawy w rozsądnym terminie.

 do zadań prokuratury należy reprezentowanie państwa w postępowaniach dotyczących odpowiedzialności pozaumownej za szkody wyrządzone w wyniku jego zwłoki. W tym samym zakresie prokuratura podejmuje działania w obronie ogólnych (finansowych) interesów państwa, a zatem w ramach wykonywania zadania realizowanego w interesie publicznym

Zgodnie z prawem bułgarskim powództwa z tytułu odpowiedzialności powinny być skierowane przeciwko organom, którym zarzuca się wyrządzenie szkody. To właśnie tym organom przysługuje status strony pozwanej w odpowiednim postępowaniu cywilnym. Pomijając to uregulowanie proceduralne, faktem pozostaje, że roszczenie o odszkodowanie jest ostatecznie skierowane przeciwko państwu jako całości, bronionemu w każdym przypadku przez ten z jego organów, który przyczynił się bezpośrednio do (domniemanej) szkody, której dotyczy roszczenie.

.101.Artykuł 9 ust. 1 dyrektywy 2016/680 uzależnia przeznaczenie ad extra danych zebranych w postępowaniach od tego, czy ich przetwarzanie jest dozwolone na mocy prawa Unii lub prawa państwa członkowskiego. W zakresie, w jakim to ma znaczenie w niniejszej sprawie, do sądu odsyłającego należy zbadanie, czy takie zezwolenie istnieje w przypadku wykonywania zadania realizowanego w interesie publicznym przez prokuraturę w celu obrony majątku państwa.102.Zgodnie z art. 6 ust. 3 RODO podstawa prawna przetwarzania, o którym mowa w ust. 1 lit. e), może zawierać przepisy szczegółowe dostosowujące stosowanie przepisów samego RODO

Przepisy te mogą dotyczyć ogóln[ych] warunk[ów] zgodności z prawem przetwarzania przez administratora; rodzaj[u] danych podlegających przetwarzaniu; osoby, których dane dotyczą; podmiot[ów], którym można ujawnić dane osobowe; cel[ów], w których można je ujawnić; ogranicze[ń] celu; okres[ów] przechowywania; oraz operacj[i] i procedur[] przetwarzania, w tym środk[ów] zapewniając[ych] zgodność z prawem i rzetelność przetwarzania, w tym w innych szczególnych sytuacjach związanych z przetwarzaniem, o których mowa w rozdziale IX.

. Jeżeli owa podstawa prawna jest ustanowiona w prawie państwa członkowskiego, które ma zastosowanie do administratora, jej ustalenie należy do sądu krajowego

W odpowiedzi na pytanie Trybunału rząd bułgarski podniósł, że podstawę prawną należy ustalić w kontekście dwojakiej roli prokuratury: po pierwsze, obrońcy państwa w postępowaniu cywilnym, a po drugie, organu, który wydał dokument urzędowy mający znaczenie prawne dla sporu. Istniałaby zatem podwójna podstawa prawna: art. 6 ust. 1 lit. c) RODO, dotyczący prokuratury jako organu, który wydał dokument urzędowy w rozumieniu art. 179 kodeksu postępowania cywilnego w związku z art. 186 tego kodeksu; oraz art. 6 ust. 1 lit. e) RODO, dotyczący prokuratury jako strony postępowania wypełniającej swe obowiązki prawne (pkt 31 i 32 odpowiedzi rządu bułgarskiego).

.103.Wreszcie, nawet gdyby sąd odsyłający nie wskazał właściwej podstawy prawnej, zgodność spornego przetwarzania z celem, w którym sporne dane zostały zebrane, powinna zostać ustalona na podstawie art. 6 ust. 4 RODO. W tym celu należy uwzględnić m.in. wszelkie związki między celami pierwotnymi a nowym celem, kontekst, w którym zebrano dane osobowe, oraz charakter danych osobowych, ewentualne konsekwencje nowego przetwarzania dla osoby, której dane dotyczą, a także istnienie odpowiednich zabezpieczeń.<TI><NP><NO.P><HT TYPE="BOLD">V.</HT></NO.P><TXT><HT TYPE="BOLD">Wnioski</HT></TXT></NP></TI>104.W świetle powyższych rozważań proponuję, aby Trybunał odpowiedział Administratiwen syd – Błagojewgrad (sądowi administracyjnemu w mieście Błagojewgrad, Bułgaria) w następujący sposób:

1)Artykuł 4 ust. 2 dyrektywy Parlamentu Europejskiego i Rady (UE) 2016/680 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w sprawie swobodnego przepływu takich danych oraz uchylającej decyzję ramową Rady 2008/977/WSiSW należy interpretować w ten sposób, że dane uzyskane od osoby będącej domniemanym pokrzywdzonym w wyniku przestępstwa, zebrane w toku postępowania karnego, są przetwarzane w tym samym celu, który uzasadniał ich zebranie, gdy osoba ta została następnie oskarżona w tym samym postępowaniu karnym.2)Artykuł 9 ust. 1 dyrektywy 2016/680 należy interpretować w ten sposób, że rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE stosuje się do wykorzystywania przez prokuraturę informacji uzyskanych w postępowaniu karnym w celu jej obrony w postępowaniu cywilnym.3)Ujawnienie danych osobowych zebranych w toku postępowania sprawdzającego, poprzedzone ich utrwaleniem, przechowywaniem i przeglądaniem, w celu obrony prokuratury w postępowaniu cywilnym, którego przedmiotem jest żądanie naprawienia przez nią szkody w wyniku działań podejmowanych przez nią w ramach wykonywania jej zadań, stanowi przetwarzanie danych osobowych w rozumieniu art. 4 pkt 1 rozporządzenia 2016/679.4)Zgodność z prawem takiego przetwarzania może co do zasady opierać się na art. 6 ust. 1 lit. e) rozporządzenia 2016/679.