Förslag till avgörande av generaladvokat MACIEJ SZPUNAR föredraget den 4 september 2025

1 Originalspråk: franska.

2 Förevarande mål har getts ett fiktivt namn. Detta namn är inte någon av rättegångsdeltagarnas verkliga namn.

3 Europaparlamentets och rådets förordning av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1, och rättelse i EUT L 127, 2018, s. 2).

4 Europaparlamentets och rådets direktiv av den 27 april 2016 om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut 2008/977/RIF (EUT L 119, 2016, s. 89).

5 Rådets direktiv av den 27 november 2000 om inrättande av en allmän ram för likabehandling i arbetslivet (EGT L 303, 2000, s. 16, och rättelse i EGT L 2, 2001, s. 42).

6 DV nr 53, av den 27 juni 2014.

7 DV nr 78 av den 19 september 2014, ändrad och kompletterad genom DV nr 27 av den 14 april 2015, ändrad och kompletterad genom DV nr 53 av den 25 juni 2021.

8 Se, för ett liknande resonemang, dom av den 8 maj 2025, Stadt Wuppertal ( C‑130/24, EU:C:2025:340, punkt 42).

9 Även om brottsutredningen genomfördes år 2016, det vill säga innan dataskyddsförordningen och direktiv 2016/680 trädde i kraft, har CL begärt att de uppgifter om honom som fortfarande finns lagrade hos ministeriet ska raderas. Under dessa omständigheter hyser jag inga tvivel om att dataskyddsförordningen och direktiv 2016/680 är tillämpliga i tiden (ratione temporis) i det nationella målet.

10 Se, för ett liknande resonemang, dom av den 4 oktober 2024, Bezirkshauptmannschaft Landeck (Försök att bereda sig tillgång till personuppgifter som finns lagrade i en mobiltelefon) ( C‑548/21, EU:C:2024:830, punkt 53).

11 Frågorna 1, 2, 4, 5, 7 och 9.

12 Frågorna 3, 6 och 8.

13 Vad gäller omformulering av frågor, se dom av den 3 juni 2025, Kinsa ( C‑460/23, EU:C:2025:392, punkt 34 och där angiven rättspraxis).

14 Artikel 52 i stadgan, som också avses i denna fråga, reglerar begränsningar av de grundläggande rättigheterna och är enligt min mening inte relevant i samband med avgränsningen av tillämpningsområdet för dataskyddsförordningen respektive direktiv 2016/680.

15 Den tolkning av dessa begrepp som gjorts inom ramen för dataskyddsförordningen ska således tillämpas analogt på detta direktiv. Se, vad gäller begreppet behandling, dom av den 4 oktober 2024, Bezirkshauptmannschaft Landeck (Försök att bereda sig tillgång till personuppgifter som finns lagrade i en mobiltelefon) ( C‑548/21, EU:C:2024:830, punkt 71).

16 Se, för ett liknande resonemang, dom av den 8 december 2022, Inspektor v Inspektorata kam Visshia sadeben savet (Ändamålen med behandlingen av personuppgifter – Brottsutredning) ( C‑180/21, EU:C:2022:967, punkt 73).

17 Se artikel 29.1 ZMVR. Beträffande utnämning av personuppgiftsansvariga enligt nationell rätt, se dom av den 11 januari 2024, État belge (Personuppgifter som behandlas av en officiell tidning) ( C‑231/22, EU:C:2024:7, punkterna 29 och 30).

18 Artikel 2.1 i dataskyddsförordningen.

19 Se, för ett liknande resonemang, dom av den 7 mars 2024, Endemol Shine Finland ( C‑740/22, EU:C:2024:216, punkterna 37 och 38).

20 Enligt de uppgifter som lämnats av den bulgariska regeringen ska personalakterna, enligt artikel 147.1 ZMVR och artiklarna 3 och 6 i anvisningarna om personalakter, numreras i stigande ordning och lagras i särskilda register, i vilka de lagrade personuppgifterna klassificeras i olika på förhand angivna underavdelningar.

21 Se, för ett liknande resonemang, dom av den 8 december 2022, Inspektor v Inspektorata kam Visshia sadeben savet (Ändamålen med behandlingen av personuppgifter – Brottsutredning) ( C‑180/21, EU:C:2022:967, punkt 74).

22 Artikel 5.1 b i dataskyddsförordningen och artikel 4.1 b i direktiv 2016/680.

23 Se, för ett liknande resonemang, förslag till avgörande av generaladvokaten Campos Sánchez-Bordona i målet Inspektor v Inspektorata kam Visshia sadeben savet (Ändamålen med behandlingen av personuppgifter – Brottsutredning) ( C‑180/21, EU:C:2022:406, punkterna 37, 38, 70 och 71).

24 Såvitt det inte rör sig om en verksamhet som inte omfattas av unionsrätten, det vill säga som syftar till att upprätthålla nationell säkerhet eller en verksamhet som kan placeras i samma kategori, vilket inte tycks vara fallet här, se dom av den 22 juni 2021, Latvijas Republikas Saeima (Prickning) ( C‑439/19, EU:C:2021:504, punkterna 66–68).

25 Se, för ett liknande resonemang, förslag till avgörande av generaladvokaten Campos Sánchez-Bordona i målet Lietuvos Respublikos generalinė prokuratūra ( C‑162/22, EU:C:2023:266, punkterna 83 och 84).

26 Se, närmare bestämt, punkt 72 i förevarande förslag till avgörande.

27 Denna omständighet hindrar inte EU-domstolen från att beakta dessa bestämmelser när den omformulerar frågorna, se dom av den 13 mars 2025, Alsen ( C‑137/23, EU:C:2025:179, punkt 46 och där angiven rättspraxis).

28 Se, för ett liknande resonemang, förslag till avgörande av generaladvokaten Medina i målet Agentsia po vpisvaniyata ( C‑200/23, EU:C:2024:445, punkterna 62 och 63).

29 Artiklarna 5.2 och 6.4 i anvisningarna om personalakter.

30 Vad gäller beaktandet av sådana anvisningar, se dom av den 13 juli 2023, Ferrovienord ( C‑363/21 och C‑364/21, EU:C:2023:563, punkt 58 och där angiven rättspraxis).

31 Se, för ett liknande resonemang, förslag till avgörande av generaladvokaten Pikamäe i målet SCHUFA Holding m.fl. (Scoring) ( C‑634/21, EU:C:2023:220, punkt 69).

32 Se, bland annat, dom av den 24 februari 2022, Valsts ieņēmumu dienests (Behandling av personuppgifter för skatteändamål) ( C‑175/20, EU:C:2022:124, punkterna 54–56).

33 Se, för ett liknande resonemang, dom av den 1 augusti 2022, Vyriausioj tarnybinės etikos komisija ( C‑184/20, EU:C:2022:601, punkterna 69 och 70).

34 Se, beträffande ställningen som lag, i den mening som avses i Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna, som undertecknades i Rom den 4 november 1950 (nedan kallad Europakonventionen), Europadomstolen, 25 mars 1983, Silver m.fl. mot Förenade kungariket, CE:ECHR:1983:0325JUD000594772, § 26 och §§ 86–88.

35 Se, bland annat, dom av den 2 februari 2021, Consob ( C‑481/19, EU:C:2021:84, punkt 37).

36 För en översikt av denna rättspraxis, se Europadomstolen, stora avdelningen, 11 juni 2024, Nealon och Hallam mot Förenade kungariket, CE:ECHR:2024:0611JUD003248319, §§ 102–109 och §§ 122–125, och mer specifikt, i personalmål, Europadomstolen, 16 februari 2017, Yildiz mot Turkiet, CE:ECHR:2017:0124DEC006518210, §§ 30–34. I det målet hävdade en polistjänsteman att ett negativt tjänstgöringsbetyg innebar en presumtion om att han hade gjort sig skyldig till ett brott, trots att han hade frikänts. Europadomstolen fann emellertid att artikel 6.2 i Europakonventionen inte var tillämplig, eftersom polistjänstemannen inte hade visat att behandlingen av honom hade skapat en koppling mellan det straffrättsliga förfarandet och det efterföljande administrativa förfarandet.

37 Kommissionen har i sitt skriftliga yttrande hänvisat till artikel 6.1 e i dataskyddsförordningen, som avser behandling som är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. Om det faktiskt rör sig om en laglighetsgrund som kan tillämpas på en offentlig myndighet omfattas denna även av kraven i artikel 6.3 i samma förordning. Frågan huruvida det föreligger ett mål av allmänt intresse kvarstår dock.

38 Jag erinrar om att enligt principen om uppgiftsminimering, som slås fast i artikel 5.1 c i dataskyddsförordningen, ska uppgifterna vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas. Enligt skäl 39 i dataskyddsförordningen kräver denna princip att det tillses att den period under vilken personuppgifterna lagras är begränsad till ett strikt minimum.

39 Dom av den 24 september 2019, GC m.fl. (Borttagande av länkar till känsliga uppgifter) ( C‑136/17, EU:C:2019:773, punkt 72).

40 Den bulgariska regeringen förklarade vid förhandlingen att ställningen som misstänkt inte medför någon särskild rättslig ställning i bulgarisk rätt. EU-domstolen har emellertid redan slagit fast att begreppet brott ska tolkas självständigt och enhetligt (dom av den 22 juni 2021, Latvijas Republikas Saeima (Prickning), C‑439/19, EU:C:2021:504, punkterna 80–85), vilket enligt min mening bör gälla för alla delar av tillämpningsområdet för artikel 10 i dataskyddsförordningen.

41 Det vill säga att säkerställa ett utökat skydd för behandling som, på grund av uppgifternas särskilda känslighet, kan utgöra ett särskilt allvarligt ingrepp i den registrerades privatliv eller yrkesliv, se dom av den 22 juni 2021, Latvijas Republikas Saeima (Prickning) ( C‑439/19, EU:C:2021:504, punkterna 74 och 75).

42 Denna ståndpunkt delas av Bäcker, M., Art. 10, i Wolff, H.A., Brink, S., och av Ungern-Sternberg, A., BeckOK Datenschutzrecht, 51:a upplagan, C.H. Beck, 2024, punkt 3. Se även Georgieva, L., Article 10, i Kuner, C., Bygrave, L.A., och Docksey, C., The EU General Data Protection Regulation (GDPR). A Commentary, Oxford University Press, 2020, s. 389.

43 Se, för ett liknande resonemang, dom av den 22 juni 2021, Latvijas Republikas Saeima (Prickning) ( C‑439/19, EU:C:2021:504, punkt 101).

44 Dom av den 5 december 2006, Cipolla m.fl. ( C‑94/04 och C‑202/04, EU:C:2006:758, punkt 26).

45 Se, för ett liknande resonemang, dom av den 17 juli 2008, Coleman ( C‑303/06, EU:C:2008:415, punkterna 38 och 46), dom av den 7 juli 2011, Agafiţei m.fl. ( C‑310/10, EU:C:2011:467, punkt 34), och dom av den 20 oktober 2022, Curtea de Apel Alba Iulia m.fl. ( C‑301/21, EU:C:2022:811, punkterna 64 och 69 samt där angiven rättspraxis).

46 Dom av den 7 juli 2011, Agafiţei m.fl. ( C‑310/10, EU:C:2011:467, punkterna 31–33), och dom av den 9 mars 2017, Milkova ( C‑406/15, EU:C:2017:198, punkt 44)), och dom av den 17 oktober 2024, Zetschek ( C-349/23, EU:C:2024:889, punkt 25 och där angiven rättspraxis).