Förslag till avgörande av generaladvokat Manuel Campos Sánchez-Bordona föredraget den 19 maj 2022
1 Originalspråk: spanska.
2 Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1). Nedan kallad den allmänna dataskyddsförordningen eller förordning nr 2016/679.
3 Europaparlamentets och rådets direktiv (EU) 2016/680 av den 27 april 2016 om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut 2008/977/RIF (EUT L 4, 2016.5.119, s. 89).
4 DV nr 56 av den 13 juli 1991.
5 Zakon za zashtita na lichnite danni (lagen om skydd av personuppgifter), DV nr 1, av den 4 januari 2002. Återgivningen av bestämmelserna i den görs enligt den version som var tillämplig när de aktuella gärningarna begicks.
6 Den lokala åklagarmyndigheten i Petritsj, akt nr 1548/2013.
7 Enligt beslutet att begära förhandsavgörande (punkt 8.1) utgjorde gärningen brott enligt artikel 325.1 jämförd med artikel 20.2 i Nakazatelen kodeks (strafflagen).
8 Akt nr 517/2016, nr 1870/2016, nr 1872/2016 och nr 2217/2016.
9 Tvistemål nr 144/2018.
10 Skäl 39 i den allmänna dataskyddsförordningen och skäl 26 i direktiv 2016/680.
11 Min kursivering.
12 Dessa ändamål anges i artikel 1.1 i direktiv 2016/680 (se fotnot 15 nedan). Utanför tillämpningsområdet för direktiv 2016/680, tillåts enligt den allmänna dataskyddsförordningen alla ändamål som potentiellt sett är lagliga. Här tillämpas således en frihetsprincip, vilken begränsas av att villkoren för behandling av personuppgifter ska vara lagliga och av de registrerades rättigheter (kapitel II och III i den allmänna dataskyddsförordningen).
13 Enligt artikel 45.2 i direktiv 2016/680 ska varje medlemsstat föreskriva att varje tillsynsmyndighet inte ska vara behörig att utöva tillsyn över domstolar som behandlar personuppgifter inom ramen för sin dömande verksamhet.
14 Även om det inte klargörs uttryckligen i den information som den hänskjutande domstolen har tillhandahållit, tyder allt på att det rör sig om olika brott.
15 Enligt artikel 1.1 i direktiv 2016/680 gäller det behandling som utförs i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, inklusive att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten. Den spanska versionen av denna bestämmelse skiljer sig från de andra officiella språkversionerna vad beträffar ordet enjuiciamiento. I den franska versionen används substantivet poursuites, vilket motsvarar prosecution i den engelska versionen, perseguimento i den italienska, verfolgung i den tyska och vervolging i den nederländska. Dessa och andra versioner (med undantag av den spanska) syftar på en verksamhet som föregår ställandet inför rätta i egentlig mening, vilket uteslutande är förbehållet domstolarna.
16 Behandling av personuppgifter på områdena för straffrättsligt samarbete och polissamarbete innebär av naturliga skäl att personuppgifter om olika kategorier av registrerade behandlas. Därför är det viktigt att i tillämpliga fall och i möjligaste mån göra en klar åtskillnad mellan personuppgifter om olika kategorier av registrerade … Min kursivering.
17 Dom av den 27 september 2017, Puškár ( C‑73/16, EU:C:2017:725, punkt 50).
18 Dom av den 17 juli 2014, YS m.fl. ( C‑141/12 och C‑372/12, EU:C:2014:2081, punkt 63).
19 Punkt 34.12 tredje stycket i beslutet att begära förhandsavgörande.
20 Detta bekräftar den i punkt 34.12 första stycket i beslutet att begära förhandsavgörande.
21 Yrkandet att de uppgifter som finns i åklagarmyndighetens akter ska godkännas som bevis, medför en överföring av information rörande VS som person, eftersom yrkandet behövde motiveras med att uppgifterna var relevanta, åtminstone som indicier, med hänsyn till deras innehåll.
22 Se, beträffande tolkningen av den bestämmelsen, dom av den 24 mars 2022, Autoriteit Persoonsgegevens ( C‑245/20, EU:C:2022:216, punkt 23 och följande punkter).
23 Se, beträffande den motsvarande lydelsen i Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT L 281, 1995, s. 31), dom av den 24 november 2011, ASNEF ( C‑468/10 och C‑469/10, EU:C:2011:777).
24 Åklagarmyndigheten har ingen rättslig förpliktelse att ansöka om att de omtvistade uppgifterna ska överföras till tvistemålet.
25 I skäl 47 i den allmänna dataskyddsförordningen anges att [m]ed tanke på att det är lagstiftarens sak att genom lagstiftning tillhandahålla den rättsliga grunden för de offentliga myndigheternas behandling av personuppgifter, bör den rättsliga grunden inte gälla den behandling de utför som ett led i fullgörandet av sina uppgifter.
26 Punkterna 45 och 49 i den bulgariska regeringens svar på en fråga från EU-domstolen.
27 Såsom den nederländska regeringen har påpekat, innebär ett försvar av statens intressen i ett tvistemål inte i sig eller självständigt en myndighetsutövning, i den mening som avses i den andra delen av artikel 6.1 e i den allmänna dataskyddsförordningen.
28 Zakon za otgovornostta na darzhavata i obshtinite za vredi (lagen om statens och kommunernas skadeståndsansvar; DV nr 60 av den 5 augusti 1988). Som svar på en fråga från EU-domstolen, klargjorde den bulgariska regeringen att den rättsliga grunden för talan mot åklagarmyndigheten vid tvistemålsdomstolen var artikel 2b i den lagen, vilken reglerar villkoren och formerna för uppkomsten av ett utomobligatoriskt skadeståndsansvar för staten när rätten att ställas inför rätta inom en rimlig tid åsidosätts.
29 Enligt bulgarisk lag får skadeståndstalan väckas mot myndigheter som anses ha vållat skada. Dessa myndigheter blir då svarande i ett tvistemål. Oavsett denna processrättsliga utformning riktas skadeståndsanspråket ytterst mot staten som helhet och den företräds i varje enskilt fall av det organ som direkt har gett upphov till den (påstådda) skadan för vilken ersättning yrkas.
30 Dessa bestämmelser kan handla om de allmänna villkor som ska gälla för den personuppgiftsansvariges behandling, vilken typ av uppgifter som ska behandlas, vilka registrerade som berörs, de enheter till vilka personuppgifterna får lämnas ut och för vilka ändamål, ändamålsbegränsningar, lagringstid samt typer av behandling och förfaranden för behandling, inbegripet åtgärder för att tillförsäkra en laglig och rättvis behandling, däribland för behandling i andra särskilda situationer enligt kapitel IX.
31 Som svar på en fråga från EU-domstolen gjorde den bulgariska regeringen gällande att den rättsliga grunden ska sökas inom ramen för den dubbla roll som åklagarmyndigheten har: dels att förvara staten i tvistemålet, dels att utfärda en officiell handling av rättslig betydelse för tvisten. Det finns således en dubbel rättslig grund. Det gäller dels grunden i artikel 6.1 c i den allmänna dataskyddsförordningen, i egenskap av utfärdare av en officiell handling i den mening som avses i artikel 179 i civilprocesslagen, jämförd med artikel 186 i samma lag. Dels gäller det grunden i artikel 6.1 e i den allmänna dataskyddsförordningen, i dess egenskap av part i målet som utövar sina rättsliga förpliktelser (punkterna 31 och 32 i den bulgariska regeringens svar).