Wyrok z dnia 2022-12-08 sygn. C-180/21

Drukuj dokument lub zaznaczenie Kopiuj zaznaczony tekst bez formatowania

WYROK TRYBUNAŁU (piąta izba)

z dnia 8 grudnia 2022 r.

Odesłanie prejudycjalne – Ochrona osób fizycznych w zakresie przetwarzania danych osobowych – Rozporządzenie (UE) 2016/679 – Artykuły 2, 4 i 6 – Możliwość stosowania rozporządzenia nr 2016/679 – Pojęcie „prawnie uzasadnionego interesu” – Pojęcie „zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej”– Dyrektywa (UE) 2016/680 – Artykuły 1, 3, 4, 6 i 9 – Zgodność z prawem przetwarzania danych osobowych zgromadzonych w ramach postępowania karnego – Dalsze przetwarzanie danych dotyczących potencjalnej ofiary czynu zabronionego dla celów oskarżenia tej osoby – Pojęcie „celu innego niż cel, w którym dane osobowe zostały zebrane” – Dane używane przez prokuraturę państwa członkowskiego w celu jej obrony w ramach skargi o stwierdzenie odpowiedzialności odszkodowawczej państwa

W sprawie C-180/21

mającej za przedmiot wniosek o wydanie, na podstawie art. 267 TFUE, orzeczenia w trybie prejudycjalnym, złożony przez Administrativen sad – Blagoevgrad (sąd administracyjny w Błagojewgradzie, Bułgaria) postanowieniem z dnia 19 marca 2021 r., które wpłynęło do Trybunału w dniu 23 marca 2021 r., w postępowaniu:

VS

przeciwko

Inspektor v Inspektorata kam Visshia sadeben savet,

przy udziale:

Teritorialno otdelenie – Petrich kam Rayonna prokuratura – Blagoevgrad,

TRYBUNAŁ (piąta izba),

w składzie: E. Regan, prezes izby, D. Gratsias (sprawozdawca), M. Ilešič, I. Jarukaitis i Z. Csehi, sędziowie,

rzecznik generalny: M. Campos Sánchez-Bordona,

sekretarz: A. Calot Escobar,

uwzględniając pisemny etap postępowania,

rozważywszy uwagi, które przedstawili:

–        w imieniu VS – V. Harizanova,

–        w imieniu Inspektor v Inspektorata kam Visshia sadeben savet – S. Mulyachka,

–        w imieniu rządu bułgarskiego – M. Georgieva i T. Mitova, w charakterze pełnomocników,

–        w imieniu rządu czeskiego – O. Serdula, M. Smolek i J. Vláčil, w charakterze pełnomocników,

–        w imieniu rządu niderlandzkiego – M.K. Bulterman i J.M. Hoogveld, w charakterze pełnomocników,

–        w imieniu Komisji Europejskiej – H. Kranenborg i I. Zaloguin, w charakterze pełnomocników,

po zapoznaniu się z opinią rzecznika generalnego na posiedzeniu w dniu 19 maja 2022 r.,

wydaje następujący

Wyrok

1        Wniosek o wydanie orzeczenia w trybie prejudycjalnym dotyczy wykładni art. 1 ust. 1 dyrektywy Parlamentu Europejskiego i Rady (UE) 2016/680 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w sprawie swobodnego przepływu takich danych oraz uchylającej decyzję ramową Rady 2008/977/WSiSW (Dz.U. 2016, L 119, s. 89), a także rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych) (Dz.U. 2016, L 119, s. 1, zwanego dalej „RODO”), w szczególności jego art. 6 ust. 1.

2        Wniosek ten został przedstawiony w ramach sporu między VS a Inspektor v Inspektorata kam Visshia sadeben savet (inspektorem w inspektoracie wyższej rady sądownictwa, Bułgaria) (zwanym dalej „IVSS”), dotyczącego zgodności z prawem przetwarzania danych osobowych odnoszących się do VS, przeprowadzonego przez prokuraturę rejonową w mieście Petricz (Bułgaria).

 Ramy prawne

 Prawo Unii

 RODO

3        Motywy 19, 45 i 47 RODO mają następujące brzmienie:

„(19)      […] Państwa członkowskie mogą powierzyć właściwym organom w rozumieniu dyrektywy [2016/680] zadania – które niekoniecznie służą zapobieganiu przestępczości, prowadzeniu postępowań przygotowawczych, wykrywaniu lub ściganiu czynów zabronionych, lub też wykonywaniu kar, w tym ochronie przed zagrożeniami dla bezpieczeństwa publicznego i zapobieganiu takim zagrożeniom – tak by przetwarzanie danych osobowych do tych innych celów, o ile objęte jest zakresem prawa Unii, wchodziło w zakres zastosowania niniejszego rozporządzenia.

[…]

[…]

(45)      Jeżeli przetwarzanie […] jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej, podstawę przetwarzania powinno stanowić prawo Unii lub prawo państwa członkowskiego. Niniejsze rozporządzenie nie nakłada wymogu, aby dla każdego indywidualnego przetwarzania istniało szczegółowe uregulowanie prawne. Wystarczyć może to, że dane uregulowanie prawne stanowi podstawę różnych operacji przetwarzania wynikających z obowiązku prawnego, któremu podlega administrator, lub że przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej. […]

[…]

(47)      Podstawą prawną przetwarzania mogą być prawnie uzasadnione interesy administratora, w tym administratora, któremu mogą zostać ujawnione dane osobowe, lub strony trzeciej, o ile w świetle rozsądnych oczekiwań osób, których dane dotyczą, opartych na ich powiązaniach z administratorem nadrzędne nie są interesy lub podstawowe prawa i wolności osoby, której dane dotyczą. […] Ponieważ dla organów publicznych podstawę prawną przetwarzania danych osobowych powinien określić ustawodawca, prawnie uzasadniony interes administratora nie powinien mieć zastosowania jako podstawa prawna do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań. […]”.

4        Artykuł 2 RODO, zatytułowany „Materialny zakres stosowania”, w ust. 1 i 2 stanowi:

„1.      Niniejsze rozporządzenie ma zastosowanie do przetwarzania danych osobowych w sposób całkowicie lub częściowo zautomatyzowany oraz do przetwarzania w sposób inny niż zautomatyzowany danych osobowych stanowiących część zbioru danych lub mających stanowić część zbioru danych.

2.      Niniejsze rozporządzenie nie ma zastosowania do przetwarzania danych osobowych:

a)      w ramach działalności nieobjętej zakresem prawa Unii;

[…]

d)      przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych lub wykonywania kar, w tym ochrony przed zagrożeniami dla bezpieczeństwa publicznego i zapobiegania takim zagrożeniom”.

5        Artykuł 4 RODO, zatytułowany „Definicje”, stanowi:

„Na użytek niniejszego rozporządzenia:

1)      »dane osobowe« oznaczają wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej (»osobie, której dane dotyczą«); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej;

2)      »przetwarzanie« oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie;

[…]

7)      »administrator« oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych; jeżeli cele i sposoby takiego przetwarzania są określone w prawie Unii lub w prawie państwa członkowskiego, to również w prawie Unii lub w prawie państwa członkowskiego może zostać wyznaczony administrator lub mogą zostać określone konkretne kryteria jego wyznaczania;

[…]”.

6        Artykuł 5 RODO, zatytułowany „Zasady dotyczące przetwarzania danych osobowych”, w ust. 1 stanowi:

„Dane osobowe muszą być:

[…]

b)      zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami […] (»ograniczenie celu«);

c)      adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane (»minimalizacja danych«);

[…]”.

7        Zgodnie z art. 6 RODO, zatytułowanym „Zgodność przetwarzania z prawem”:

„1.      Przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest co najmniej jeden z poniższych warunków:

[…]

c)      przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze;

[…]

e)      przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi;

f)      przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych […].

Akapit pierwszy lit. f) nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań.

[…]

3.      Podstawa przetwarzania, o którym mowa w ust. 1 lit. c) i e), musi być określona:

a)      w prawie Unii; lub

b)      w prawie państwa członkowskiego, któremu podlega administrator.

Cel przetwarzania musi być określony w tej podstawie prawnej lub, w przypadku przetwarzania, o którym mowa w ust. 1 lit. e) – musi być ono niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi. […]”.

8        Artykuł 21 RODO, zatytułowany „Prawo do sprzeciwu”, w ust. 1 stanowi:

„Osoba, której dane dotyczą, ma prawo w dowolnym momencie wnieść sprzeciw – z przyczyn związanych z jej szczególną sytuacją – wobec przetwarzania dotyczących jej danych osobowych opartego na art. 6 ust. 1 lit. e) lub f) […]. Administratorowi nie wolno już przetwarzać tych danych osobowych, chyba że wykaże on istnienie ważnych prawnie uzasadnionych podstaw do przetwarzania, nadrzędnych wobec interesów, praw i wolności osoby, której dane dotyczą, lub podstaw do ustalenia, dochodzenia lub obrony roszczeń”.

9        Artykuł 23 RODO, zatytułowany „Ograniczenia”, w ust. 1 stanowi, że prawo Unii lub prawo państwa członkowskiego, któremu podlegają administrator danych lub podmiot przetwarzający, może aktem prawnym ograniczyć zakres obowiązków i praw przewidzianych w art. 12–22, gdy takie ograniczenie nie narusza istoty podstawowych praw i wolności oraz jest w demokratycznym społeczeństwie środkiem niezbędnym i proporcjonalnym, służącym, między innymi, określonym ważnym celom leżącym w ogólnym interesie publicznym Unii lub państwa członkowskiego.

 Dyrektywa 2016/680

10      Motywy 8–12, 27 i 29 dyrektywy 2016/680 mają następujące brzmienie:

„(8)      Artykuł 16 ust. 2 TFUE powierza Parlamentowi Europejskiemu i Radzie [Unii Europejskiej] określenie zasad ochrony osób fizycznych w związku z przetwarzaniem danych osobowych oraz zasad swobodnego przepływu takich danych.

(9)      Na tej podstawie [RODO] ustanawia ogólne przepisy mające chronić osoby fizyczne w związku z przetwarzaniem danych osobowych oraz zapewnić swobodny przepływ danych osobowych w Unii.

(10)      W deklaracji nr 21 w sprawie ochrony danych osobowych w dziedzinie współpracy wymiarów sprawiedliwości w sprawach karnych i współpracy policyjnej – załączonej do Aktu końcowego konferencji międzyrządowej, która przyjęła Traktat z Lizbony – konferencja uznała, że ze względu na szczególny charakter współpracy wymiarów sprawiedliwości w sprawach karnych i współpracy policyjnej konieczne może okazać się przyjęcie – na podstawie art. 16 TFUE – szczególnych przepisów o ochronie danych osobowych i swobodnym przepływie danych osobowych w tych dziedzinach.

(11)      Należy zatem odnieść się do tych dziedzin w odrębnej dyrektywie, która stanowi szczególne przepisy o ochronie osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w tym do celów ochrony przed zagrożeniami dla bezpieczeństwa publicznego i zapobiegania takim zagrożeniom, z zachowaniem szczególnego charakteru takich czynności. Do takich właściwych organów mogą należeć nie tylko organy publiczne – takie jak organy sądowe, policja lub inne organy ścigania – ale też wszelkie inne organy lub podmioty, którym prawo państwa członkowskiego powierza sprawowanie władzy publicznej i wykonywanie uprawnień publicznych do celów niniejszej dyrektywy. Jeżeli taki organ lub podmiot przetwarza dane osobowe do celów innych niż cele niniejszej dyrektywy, zastosowanie ma [RODO]. [RODO] ma zatem zastosowanie wtedy, gdy organ lub podmiot zbiera dane osobowe do innych celów, a następnie dalej te dane przetwarza w celu realizacji obowiązku prawnego, któremu podlega. […]

(12)      Czynności policji lub innych organów ścigania koncentrują się na zapobieganiu przestępczości, prowadzeniu postępowań przygotowawczych, wykrywaniu i ściganiu czynów zabronionych, wraz z czynnościami policji podejmowanymi, gdy nie wiadomo, czy dane zdarzenie jest czynem zabronionym. […] Państwa członkowskie mogą powierzyć właściwym organom inne zadania, które niekoniecznie służą zapobieganiu przestępczości, prowadzeniu postępowań przygotowawczych, wykrywaniu i ściganiu czynów zabronionych, w tym ochronie przed zagrożeniami dla bezpieczeństwa publicznego i zapobieganiu takim zagrożeniom, tak by przetwarzanie danych osobowych w związku z tymi innymi zadaniami – o ile mieści się w zakresie prawa Unii – wchodziło w zakres [RODO].

[…]

(27)      Zapobieganie przestępczości, prowadzenie postępowań przygotowawczych, wykrywanie i ściganie czynów zabronionych wymaga, aby właściwe organy przetwarzały dane osobowe – zebrane w kontekście zapobiegania konkretnym czynom zabronionym, prowadzenia postępowań przygotowawczych w ich sprawie, wykrywania ich lub ścigania – w kontekście szerszym, dla lepszego zrozumienia działalności przestępczej oraz ustalenia powiązań pomiędzy różnymi wykrytymi czynami zabronionymi.

[…]

(29)      Dane osobowe należy zbierać w konkretnych, wyraźnych i prawnie uzasadnionych celach mieszczących się w zakresie zastosowania niniejszej dyrektywy i nie należy ich przetwarzać w celach niezgodnych z zapobieganiem przestępczości, prowadzeniem postępowań przygotowawczych, wykrywaniem i ściganiem czynów zabronionych i wykonywaniem kar, w tym z ochroną przed zagrożeniami dla bezpieczeństwa publicznego i zapobieganiem takim zagrożeniom. Jeżeli dane osobowe przetwarza ten sam lub inny administrator w celu wchodzącym w zakres stosowania niniejszej dyrektywy, ale innym niż cel, w którym dane zostały zebrane, przetwarzanie takie powinno być dopuszczalne, pod warunkiem że przetwarzanie jest dozwolone na mocy mających zastosowanie przepisów prawa oraz jest niezbędne i proporcjonalne do tego innego celu”.

11      Artykuł 1 tej dyrektywy, zatytułowany „Przedmiot i cele”, w ust. 1 stanowi:

„Niniejsza dyrektywa ustanawia przepisy o ochronie osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w tym ochrony przed zagrożeniami dla bezpieczeństwa publicznego i zapobiegania takim zagrożeniom”.

12      Definicje terminów „dane osobowe” i „przetwarzanie”, zawarte odpowiednio w art. 3 pkt 1 i 2 wspomnianej dyrektywy, zatytułowanego „Definicje”, odpowiadają definicjom wskazanym w art. 4 pkt 1 i 2 RODO.

13      Zgodnie z art. 3 pkt 7 lit. a) i art. 3 pkt 8 dyrektywy 2016/680:

„Na użytek niniejszej dyrektywy:

[…]

7)      »właściwy organ« oznacza:

a)      organ publiczny właściwy do zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych lub wykonywania kar, w tym ochrony przed zagrożeniami dla bezpieczeństwa publicznego i zapobiegania takim zagrożeniom; […]

[…]

8)      »administrator« oznacza właściwy organ, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych; jeżeli cele i sposoby przetwarzania są określone prawem Unii lub prawem państwa członkowskiego, to również w prawie Unii lub w prawie państwa członkowskiego może zostać wyznaczony administrator lub mogą zostać określone konkretne kryteria jego wyznaczania”.

14      Artykuł 4 dyrektywy 2016/680, zatytułowany „Zasady dotyczące przetwarzania danych osobowych”, w ust. 1 stanowi:

„Państwa członkowskie zapewniają, by dane osobowe były:

[…]

b)      zbierane w konkretnych, wyraźnych i uzasadnionych celach i nieprzetwarzane w sposób niezgodny z tymi celami;

c)      adekwatne, stosowne i nienadmierne do celów, dla których są przetwarzane;

[…]”.

15      Artykuł 4 ust. 2 dyrektywy 2016/680 stanowi:

„Przetwarzanie przez tego samego lub innego administratora w jednym z celów określonych w art. 1 ust. 1 innym niż cel, w którym dane osobowe zostały zebrane, jest dozwolone, o ile:

a)      administratorowi wolno przetwarzać takie dane osobowe w takim celu na mocy prawa Unii lub prawa państwa członkowskiego; oraz

b)      przetwarzanie jest niezbędne i proporcjonalne w tym innym celu na mocy prawa Unii lub prawa państwa członkowskiego”.

16      Zgodnie z 6 dyrektywy 2016/680, zatytułowanym „Rozróżnianie poszczególnych kategorii osób, których dane dotyczą”:

„Państwa członkowskie zapewniają, by administrator – w stosownym przypadku i w miarę możliwości – wyraźnie rozróżniał dane osobowe poszczególnych kategorii osób, których dane dotyczą, takich jak:

a)      osoby, w stosunku do których istnieją poważne podstawy, by przypuszczać, że popełniły lub zamierzają popełnić czyn zabroniony;

b)      osoby skazane za czyn zabroniony;

c)      pokrzywdzeni czynem zabronionym lub osoby, w przypadku których określone fakty wskazują, że mogą stać się ofiarą czynu zabronionego; […]

[…]”.

17      Artykuł 9 dyrektywy 2016/680, zatytułowany „Szczególne warunki przetwarzania”, w ust. 1 i 2 stanowi:

„1.      Danych osobowych zebranych przez właściwe organy do celów określonych w art. 1 ust. 1 nie przetwarza się do celów innych niż określone w art. 1 ust. 1, chyba że takie przetwarzanie jest dozwolone prawem Unii lub prawem państwa członkowskiego. Jeżeli przetwarzanie danych osobowych odbywa się w takich innych celach, zastosowanie ma [RODO], chyba że przetwarzanie odbywa się w toku działalności nieobjętej prawem Unii.

2.      Jeżeli prawo państwa członkowskiego powierza właściwym organom wykonywanie zadań innych niż zadania wykonywane w celach określonych w art. 1 ust. 1, to do przetwarzania w takich celach […] ma zastosowanie [RODO], chyba że przetwarzanie odbywa się w toku działalności nieobjętej prawem Unii”.

 Prawo bułgarskie

 Konstytucja Republiki Bułgarii

18      Artykuł 127 konstytucji Republiki Bułgarii stanowi:

„Prokuratura w następujący sposób zapewnia poszanowanie prawa:

1.      kieruje prowadzeniem postępowania przygotowawczego i sprawuje nadzór nad zgodnością z prawem jego prowadzenia;

2.      może prowadzić postępowanie przygotowawcze;

3.      zarzuca odpowiedzialność za czyny zabronione osobom, które je popełniły, i podnosi oskarżenie w sprawach karnych prowadzonych z oskarżenia publicznego;

[…]”.

 ZZLD

19      Zgodnie z jej art. 1 Zakon za zashtita na lichnite danni (ustawy o ochronie danych osobowych) (DV nr 1 z dnia 4 stycznia 2002 r., zwanej dalej „ZZLD”) ustawa ta ma na celu ochronę osób fizycznych przy przetwarzaniu ich danych osobowych, uregulowanym w RODO, a także przy przetwarzaniu tych danych przez właściwe organy dla celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych lub wykonywania kar, w tym ochrony przed zagrożeniami dla bezpieczeństwa i porządku publicznego oraz zapobiegania takim zagrożeniom.

20      Zgodnie z art. 17 ust. 1 ZZLD IVSS zapewnia kontrolę i poszanowanie RODO, ZZLD i aktów w dziedzinie ochrony danych osobowych przy przetwarzaniu tych danych, w szczególności przez prokuraturę i organy prowadzące dochodzenie w ramach wykonywania przez nie funkcji sądowniczych dla celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych lub wykonywania kar. W art. 38b ZZLD przyznano zainteresowanej osobie w wypadku naruszenia tych praw, w szczególności przez te organy, prawo wniesienia skargi do IVSS.

21      Artykuł 42 ust. 2 i 3, art. 45 ust. 2 i art. 47 ZZLD stanowią odpowiednio transpozycję art. 9 ust. 1 i 2, art. 4 ust. 2 i art. 6 dyrektywy 2016/680.

 Kodeks postępowania karnego

22      Artykuł 191 Nakazatelno-protsesualen kodeks (kodeksu postępowania karnego) (DV nr 86 z dnia 28 października 2005 r.), w brzmieniu mającym zastosowanie do sporu w postępowaniu głównym, stanowi:

„Postępowanie przygotowawcze jest prowadzone w sprawach wszczynanych z oskarżenia publicznego”.

23      Artykuł 192 kodeksu postępowania karnego, w brzmieniu mającym zastosowanie do sporu w postępowaniu głównym, stanowi:

„Postępowanie przygotowawcze obejmuje dochodzenie i czynności prokuratora dokonywane po zamknięciu dochodzenia”.

 Kodeks postępowania cywilnego

24      Artykuły 8 i 9 Grazhdanski protsesualen kodeks (kodeksu postępowania cywilnego) (DV nr 59 z dnia 20 lipca 2007 r.), w brzmieniu mającym zastosowanie do sporu w postępowaniu głównym, stanowią zastosowanie odpowiednio zasady kontradyktoryjności i zasady równości broni.

25      Artykuł 154 kodeksu postępowania cywilnego, w brzmieniu mającym zastosowanie do sporu w postępowaniu głównym, zatytułowany „Ciężar dowodu”, w ust. 1 stanowi:

„Każdy strona ma obowiązek wykazania okoliczności faktycznych, na których opiera swoje żądania lub zastrzeżenia”.

 Zakon za otgovornostta na darzhavata i obshtinite za vredi

26      Artykuł 2 Zakon za otgovornostta na darzhavata i obshtinite za vredi (ustawy o odpowiedzialności państwa i gmin za szkody) (DV nr 60 z dnia 5 sierpnia 1988 r.) stanowi:

„1)      Państwo odpowiada za szkody wyrządzone obywatelom i osobom prawnym ze względu na naruszenia ich prawa do rozpatrzenia sprawy w rozsądnym terminie zgodnie z art. 6 ust. 1 [europejskiej Konwencji o ochronie praw człowieka i podstawowych wolności, podpisanej w Rzymie w dniu 4 listopada 1950 r.].

2)      Skargi wskazane w ust. 1 są rozpatrywane zgodnie z kodeksem postępowania cywilnego, biorąc pod uwagę całkowity czas trwania i przedmiot postępowania, jego złożoność faktyczną i prawną, zachowanie stron i ich przedstawicieli procesowych lub ustawowych, zachowanie pozostałych stron postępowania i właściwych organów, a także inne okoliczności faktyczne istotne dla prawidłowego rozstrzygnięcia sporu.

[…]”.

 Postępowanie główne i pytania prejudycjalne

27      W 2013 r. prokuratura rejonowa w mieście Petricz wszczęła postępowanie przygotowawcze nr 252/2013 przeciwko nieznanemu sprawcy ze względu na popełnienie czynu zabronionego wskazanego w art. 325 ust. 1 Nakazatelen kodeks (kodeksu karnego) w związku z art. 20 ust. 2 tego kodeksu, podczas incydentu zaistniałego w barze. Skarżący w postępowaniu głównym, VS, uczestniczył w owym postępowaniu przygotowawczym jako ofiara tego czynu zabronionego.

28      W 2016 r., w następstwie wniesienia licznych skarg dotyczących w szczególności VS, prokuratura rejonowa w mieście Petricz założyła szereg akt zawierających informacje dotyczące tej osoby – jednakże bez wszczęcia postępowania przygotowawczego ze względu na brak poszlak wskazujących na popełnienie czynu zabronionego.

29      W 2018 r., w ramach postępowania przygotowawczego nr 252/2013, prokurator podniósł zarzuty wobec wszystkich osób, które brały udział w incydencie będącym przedmiotem owego postępowania, w tym VS.

30      W ramach postępowania cywilnego VS złożył przed Okrazhen sad Blagoevgrad (sądem rejonowym w Błagojewgradzie, Bułgaria) skargę przeciwko prokuraturze Republiki Bułgarii o stwierdzenie odpowiedzialności odszkodowawczej za szkodę, jaka miała wyniknąć z przewlekłości postępowania przygotowawczego nr 252/2013. Na rozprawie w dniu 15 października 2018 r. w celu zapewnienia obrony wspomnianej prokuratury prokurator prokuratury rejonowej w mieście Petricz, działający jako przedstawiciel prokuratury, wniósł o dopuszczenie jako dowodu w ramach rozpatrywania wspomnianej skargi akt spraw wszczętych przez tę prokuraturę w 2016 r., wspomnianych w pkt 28 niniejszego wyroku. Z postanowienia odsyłającego wynika, że ów prokurator zamierzał w ten sposób wykazać, że problemy zdrowotne powoływane przez skarżącego w postępowaniu głównym nie wynikają, jak twierdzi ten ostatni, ze wspomnianego postępowania przygotowawczego, lecz są związane z kontrolami przeprowadzonymi przez policję i prokuraturę rejonową w mieście Petricz w związku z ustanowieniem wspomnianych akt. Na tej rozprawie Okrazhen sad Blagoevgrad (sąd okręgowy w Błagojewgradzie) nakazał wspomnianej prokuraturze rejonowej przedstawienie uwierzytelnionych odpisów dokumentów znajdujących się w przedmiotowych aktach, co prokurator tej prokuratury uczynił.

31      W dniu 12 marca 2020 r. VS złożył skargę przed IVSS, podnosząc naruszenie przez prokuraturę rejonową w mieście Petricz przepisów dotyczących ochrony danych osobowych. Po pierwsze, w zarzucie pierwszym wskazał on, że prokuratura ta niezgodnie z prawem użyła dotyczących go danych osobowych, które zostały zgromadzone, gdy był on uznawany za ofiarę czynu zabronionego, dla celów ścigania w ramach tego samego postępowania i za te same czyny. Po drugie, w zarzucie drugim podniósł on niezgodność z prawem przeprowadzonego przez tę samą prokuraturę przetwarzania danych osobowych zgromadzonych w aktach spraw wspomnianych w pkt 28 niniejszego wyroku w ramach skargi o stwierdzenie odpowiedzialności odszkodowawczej, którą wniósł przeciwko prokuraturze Republiki Bułgarii. Decyzją z dnia 22 czerwca 2020 r. IVSS oddalił tę skargę.

32      W dniu 31 lipca 2020 r. VS wniósł przed sąd odsyłający skargę na tę decyzję, w której podnosi, po pierwsze, że przetwarzanie jego danych osobowych w ramach postępowania przygotowawczego nr 252/2013 jest sprzeczne w szczególności z zasadami dyrektywy 2016/680 i, po drugie, że przetwarzanie danych zgromadzonych w aktach spraw wskazanych w pkt 28 niniejszego wyroku – po umorzeniu przez prokuraturę postępowania przygotowawczego – narusza zasady RODO.

33      Biorąc pod uwagę w świetle orzecznictwa Trybunału, że spór w postępowaniu głównym dotyczy przetwarzania danych osobowych w ramach czynności objętych zakresem stosowania RODO i dyrektywy 2016/680, sąd odsyłający rozpatruje ograniczenia określone w prawie Unii w odniesieniu do dalszego przetwarzania danych osobowych zgromadzonych przez administratora początkowo dla celów dochodzenia i wykrywania czynów zabronionych.

34      W szczególności, po pierwsze, sąd odsyłający dąży do ustalenia, czy gdy prokuratura Republiki Bułgarii jako „właściwy organ” w rozumieniu art. 3 pkt 7 lit. a) dyrektywy 2016/680 i jako „administrator” w rozumieniu art. 3 pkt 8 tej dyrektywy zgromadziła dla celów dochodzenia i wykrycia czynu zabronionego dane osobowe dotyczące osoby uznawanej za ofiarę wspomnianego czynu zabronionego w chwili tego gromadzenia, dalsze przetwarzanie tych danych przez ten sam organ dla celów ścigania tej osoby odpowiada celowi wspomnianej dyrektywy – jednakże innemu niż cel, w którym rozpatrywane dane zostały zgromadzone w rozumieniu art. 4 ust. 2 tej dyrektywy.

35      Po drugie, sąd odsyłający stwierdził, że w ramach rozpatrywania skargi o stwierdzenie odpowiedzialności odszkodowawczej złożonej przez VS odniesienie do informacji dotyczących tej osoby zawartych w aktach spraw wszczętych przez prokuraturę rejonową w mieście Petricz w 2016 r. realizuje cel odmienny od celu, dla którego informacje te zostały zgromadzone, i wskazuje, że w ramach rozpatrywania tej skargi prokuratura jako strona pozwana nie działa dla celów zapobiegania czynom zabronionym, prowadzenia postępowania przygotowawczego, wykrywania lub ścigania czynów zabronionych. Jednakże sąd odsyłający dąży do ustalenia, czy samo wskazanie właściwemu sądowi cywilnemu, że wspomniane akta spraw dotyczą VS i przekazanie temu sądowi cywilnemu wszystkich lub części tych informacji stanowi „przetwarzanie” „danych osobowych” w rozumieniu art. 4 pkt 1 i 2 RODO – objęte zakresem stosowania RODO zgodnie z jego art. 2 ust. 1.

36      Ponadto sąd odsyłający jest w istocie zdania, że spór w postępowaniu głównym dotyczy kwestii pogodzenia konieczności ochrony danych osobowych z prawami danej strony postępowania sądowego, gdy te dane zostały zgromadzone przez tę stronę jako administratora w rozumieniu art. 3 pkt 8 dyrektywy 2016/680, w szczególności w świetle art. 6 ust. 1 akapit pierwszy lit. f) RODO, odnoszącego się do konieczności przetwarzania dla celów prawnie uzasadnionych interesów realizowanych przez tego administratora.

37      Sąd odsyłający jest bowiem zdania, że pozostałe względy, dla których przetwarzanie danych osobowych objętych RODO jest uznawane za zgodne z prawem, które wymieniono w art. 6 ust. 1 akapit pierwszy tego rozporządzenia, nie są istotne w ramach sporu w postępowaniu głównym. W szczególności sąd odsyłający jest zdania, że przedstawienie przez prokuraturę właściwemu sądowi informacji dotyczących akt wszczętych przez nią spraw karnych w celu zapewnienia jej obrony w postępowaniu cywilnym nie jest niezbędne dla wykonania zadania realizowanego w interesie publicznym ani nie jest objęte sprawowaniem władzy publicznej w rozumieniu art. 6 ust. 1 akapit pierwszy lit. e) wspomnianego rozporządzenia.

38      W tych okolicznościach Administrativen sad – Blagoevgrad (sąd administracyjny w Błagojewgradzie, Bułgaria) postanowił zawiesić postępowanie i zwrócić się do Trybunału z następującymi pytaniami prejudycjalnymi:

„1)      Czy art. 1 ust. 1 dyrektywy [2016/680] należy interpretować w ten sposób, że przy wskazaniu celów wylicza on »zapobieganie przestępczości, prowadzenie postępowań przygotowawczych, wykrywanie i ściganie czynów zabronionych [i wykonywanie kar]« jako aspekty jednego ogólnego celu?

2)      a)      Czy przepisy [RODO] mają zastosowanie do prokuratury Republiki Bułgarii ze względu na to, że zgromadzone przez nią w charakterze »administratora«, o którym mowa w art. 3 pkt 8 dyrektywy 2016/680, informacje o danej osobie w aktach postępowania sprawdzającego dotyczącego tej osoby mającego na celu sprawdzenie danych wskazujących na popełnienie czynu zabronionego są wykorzystywane przez prokuraturę w celu obrony przed sądem w charakterze strony postępowania cywilnego – poprzez powiadomienie o fakcie założenia takich akt lub poprzez przedstawienie materiałów z tego postępowania?

b)      Na wypadek udzielenia odpowiedzi twierdzącej na powyższe pytanie: czy zawarte w art. 6 ust. 1 [akapit pierwszy] lit. f) [RODO] wyrażenie »prawnie uzasadnione interesy« należy interpretować w ten sposób, że obejmuje ono ujawnienie w całości lub częściowo informacji o danej osobie – zgromadzonych w dotyczących jej aktach prokuratury założonych dla celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych – gdy to ujawnienie jest dokonywane w celu obrony administratora jako strony postępowania cywilnego, i że wyłącza ono konieczność uzyskania zgody osoby, której dotyczą wspomniane dane?”.

 W przedmiocie pytań prejudycjalnych

 W przedmiocie pytania pierwszego

39      Na wstępie należy wskazać, że nawet jeśli sąd odsyłający formalnie ograniczył pytanie pierwsze do wykładni art. 1 ust. 1 dyrektywy 2016/680, okoliczność ta nie stoi na przeszkodzie temu, by Trybunał dostarczył temu sądowi wszystkich elementów wykładni prawa Unii, które mogą być użyteczne dla rozstrzygnięcia zawisłej przed nim sprawy, wyprowadzając z całości informacji przedstawionych Trybunałowi przez sąd odsyłający, a w szczególności z uzasadnienia postanowienia odsyłającego, tych aspektów prawa Unii, które wymagają wykładni w świetle przedmiotu sporu (zob. podobnie wyrok z dnia 22 kwietnia 2021 r., Profi Credit Slovakia, C‑485/19, EU:C:2021:313, pkt 50 i przytoczone tam orzecznictwo).

40      Z powyższego wynika, że poprzez pytanie pierwsze sąd odsyłający dąży w istocie do ustalenia, czy art. 1 ust. 1 dyrektywy 2016/680 rozpatrywany w związku z art. 4 ust. 2 i art. 6 tej dyrektywy należy interpretować w ten sposób, że przetwarzanie danych osobowych realizuje cel inny niż cel, dla którego te dane zostały zgromadzone, gdy gromadzenie takich danych było przeprowadzane dla celów wykrycia czynu zabronionego i związanego z nim dochodzenia, zaś zainteresowana osoba była w chwili tego gromadzenia uznawana za ofiarę, podczas gdy wspomniane przetwarzanie jest przeprowadzane dla celów ścigania danej osoby w rezultacie wspomnianego dochodzenia, a także w danym wypadku czy to przetwarzanie jest dozwolone.

41      Zgodnie z utrwalonym orzecznictwem przy wykładni przepisu prawa Unii należy uwzględnić nie tylko jego brzmienie, lecz także jego kontekst i cele realizowane przez regulację, której część on stanowi. Geneza przepisu prawa Unii również może dostarczyć informacji istotnych dla jego wykładni (zob. podobnie wyrok z dnia 1 października 2019 r., Planet49, C‑673/17, EU:C:2019:801, pkt 48 i przytoczone tam orzecznictwo).

42      W pierwszej kolejności należy wskazać przede wszystkim, że w treści art. 1 ust. 1 dyrektywy 2016/680, dotyczącego przedmiotu tej dyrektywy, rozróżniono wyraźnie różne kategorie czynności, dla których celów jest przeprowadzane przetwarzanie związanych z nimi danych osobowych. W tym względzie z różnych wersji językowych wspomnianego przepisu, w szczególności wersji w językach bułgarskim, hiszpańskim, niemieckim, greckim, angielskim i włoskim, wynika, że różne cele wskazane w tym art. 1 ust. 1 odpowiadają odpowiednio „zapobieganiu” czynom zabronionym, ich „wykrywaniu”, „prowadzeniu postępowań przygotowawczych”, „ściganiu” tych czynów, „wykonywaniu kar”, „ochronie” przed „zagrożeniami dla bezpieczeństwa publicznego” i „zapobieganiu” takim zagrożeniom.

43      Następnie brzmienie art. 4 ust. 2 tej dyrektywy, w którym wskazano, że przetwarzanie w „jednym z celów określonych w art. 1 ust. 1 [tej dyrektywy] innym niż cel, w którym dane osobowe zostały zebrane”, jest dozwolone z zastrzeżeniem poszanowania wymogów wymienionych w tym przepisie, potwierdza wyraźnie, że terminy wymienione w tym art. 1 ust. 1, a mianowicie „zapobieganie”, „wykrywanie”, „prowadzenie postępowań przygotowawczych”, „ściganie”, „wykonywanie kar”, „ochrona przed zagrożeniami dla bezpieczeństwa publicznego” i „zapobieganie takim zagrożeniom”, dotyczą szeregu odmiennych celów przetwarzania danych osobowych objętego zakresem stosowania tej dyrektywy.

44      Z samego brzmienia art. 1 ust. 1 dyrektywy 2016/680 rozpatrywanego w związku z art. 4 ust. 2 tej dyrektywy wynika zatem, że gdy dane osobowe zostały zgromadzone dla celów „wykrywania” czynu zabronionego i „prowadzenia postępowań przygotowawczych” dotyczących tego czynu zabronionego i były następnie przetwarzane dla celów „ścigania”, wspomniane gromadzenie i wspomniane przetwarzanie spełniają odmienne cele.

45      Wreszcie, należy zauważyć, że zgodnie z art. 6 tej dyrektywy państwa członkowskie mają obowiązek zapewnić, by administrator – w stosownym przypadku i w miarę możliwości – wyraźnie rozróżniał dane osobowe poszczególnych kategorii osób, których dane dotyczą, takich jak w szczególności osoby wskazane w art. 6 lit. a), b) i c), a mianowicie odpowiednio osoby, w stosunku do których istnieją poważne podstawy, by przypuszczać, że popełniły lub zamierzają popełnić czyn zabroniony, osoby skazane za czyn zabroniony i ofiary czynu zabronionego lub osoby, w przypadku których określone fakty wskazują, że mogą stać się ofiarą czynu zabronionego.

46      W konsekwencji osobę, której dane osobowe są przetwarzane dla celów ścigania karnego, należy uznać za objętą kategorią osób, co do których istnieją poważne podstawy, by przypuszczać, że popełniły lub zamierzają popełnić czyn zabroniony w rozumieniu art. 6 lit. a) dyrektywy 2016/680. Z powyższego wynika, że jeśli, tak jak w sytuacji wskazanej w pytaniu pierwszym, osoba ta początkowo została uznana za ofiarę czynu zabronionego w rozumieniu art. 6 lit. c) tej dyrektywy, wspomniane przetwarzanie odpowiada zmianie kategorii wspomnianej osoby, co administrator powinien uwzględnić na mocy wymogu jasnego rozróżnienia między danymi różnych kategorii osób wymienionych w tym artykule.

47      W tym kontekście należy stwierdzić, że ani art. 1 ust. 1 dyrektywy 2016/680, ani jej art. 4 ust. 2 nie odnoszą się do art. 6 tej dyrektywy lub do jego treści w celu określenia celu przetwarzania danych osobowych objętego zakresem stosowania wspomnianej dyrektywy.

48      Ponadto, jak w pkt 62 opinii wskazał w istocie rzecznik generalny, zawarte w art. 6 dyrektywy 2016/680 wyrażenie „w stosownym przypadku i w miarę możliwości” wskazuje jasno, że nie jest koniecznie możliwe dokonanie jasnego rozróżnienia między takimi danymi, w szczególności gdy, tak jak w niniejszym wypadku, dane te są zgromadzone dla celów „dochodzenia” lub dla celów „wykrywania” czynu zabronionego, ponieważ ta sama osoba może być objęta kilkoma kategoriami osób wskazanych w art. 6 tej dyrektywy, zaś określenie konkretnych kategorii może zmienić się w toku postępowania karnego – mając na względzie stopniowe wyjaśnianie rozpatrywanych okoliczności.

49      Z powyższego wynika, że w tym art. 6 określono obowiązek odmienny od obowiązku przewidzianego we wspomnianym art. 4 ust. 2 i, jak wskazał rzecznik generalny w pkt 61–64 opinii, że wspomniany obowiązek nie jest istotny dla celów określenia, czy przetwarzanie danych osobowych spełnia inny cel niż cel, dla którego dane te zostały zgromadzone, w rozumieniu tego ostatniego przepisu.

50      W drugiej kolejności, co się tyczy kontekstu rozpatrywanej regulacji, należy wskazać, że art. 4 ust. 1 lit. b) i c) dyrektywy 2016/680 stanowi, po pierwsze, że dane osobowe powinny być zbierane w konkretnych, wyraźnych i uzasadnionych celach i nieprzetwarzane w sposób niezgodny z tymi celami i, po drugie, że te dane powinny być adekwatne, stosowne i nienadmierne do celów, dla których są przetwarzane. Te dwa wymogi zostały w istocie wymienione w ten sam sposób w art. 5 ust. 1 lit. b) i c) RODO, w którym uściślono, że odpowiadają one odpowiednio zasadom ograniczenia celu i minimalizacji danych.

51      W tym kontekście należy zauważyć w świetle motywu 29 tej dyrektywy, że w art. 4 ust. 2 tej dyrektywy zezwolono na dalsze przetwarzanie danych osobowych w celu innym niż cel, dla którego te dane zostały zgromadzone, jeśli ów cel wskazano wśród celów wymienionych w art. 1 ust. 1 tej dyrektywy, zaś to przetwarzanie spełnia dwie przesłanki przewidziane w tym art. 4 ust. 2 lit. a) i b). Po pierwsze, administrator musi mieć zezwolenie na przetwarzanie wspomnianych danych osobowych w takim celu na mocy prawa Unii lub prawa państwa członkowskiego. Po drugie, przetwarzanie musi być niezbędne i proporcjonalne w tym innym celu.

52      W szczególności dane osobowe zgromadzone dla celów „zapobiegania” i „wykrywania” czynów zabronionych lub „prowadzenia postępowań przygotowawczych” dotyczących takich czynów zabronionych mogą być przetwarzane później w danym wypadku przez różne właściwe organy w celu „ścigania” lub „wykonywania kar”, gdy określono popełnienie danego czynu zabronionego i w konsekwencji powstała konieczność prowadzenia postępowania karnego.

53      Jednakże w ramach gromadzenia danych osobowych dla celów „wykrywania” czynów zabronionych i „prowadzenia postępowań przygotowawczych” dotyczących tych czynów właściwe organy powinny gromadzić wszelkie dane potencjalnie istotne dla określenia zachowań stanowiących określony czyn zabroniony na etapie, na którym nie zostały one jeszcze wykazane. Natomiast w ramach przetwarzania danych osobowych dla celów „ścigania” dane te mają na celu wykazanie wystarczającego charakteru dowodowego zachowań zarzucanych osobom ściganym oraz prawidłowości kwalifikacji karnej tych zachowań, tak aby umożliwić właściwemu sądowi wydanie orzeczenia.

54      W konsekwencji, po pierwsze, dane osobowe niezbędne dla celów „wykrywania” czynu zabronionego i „prowadzenia postępowania przygotowawczego” dotyczącego tego czynu zabronionego nie będą zawsze danymi osobowymi niezbędnymi dla celów „ścigania”. Po drugie, konsekwencje przetwarzania danych osobowych dla zainteresowanych osób mogą być znacząco odmienne, jeśli chodzi w szczególności o stopień ingerencji w ich prawo do ochrony tych danych i wpływ tego przetwarzania na ich sytuację prawną w ramach danego postępowania karnego.

55      Ponadto należy wskazać, że zakres stosowania wspomnianego art. 4 ust. 2 nie ogranicza się do przetwarzania danych osobowych przeprowadzanego w związku z tym samym czynem zabronionym co czyn, który uzasadnił gromadzenie tych danych. Jak wskazano bowiem w motywie 27 dyrektywy 2016/680, dyrektywa ta uwzględnia konieczność przetwarzania przez organy właściwe w dziedzinie zwalczania czynów zabronionych danych osobowych w celu innym niż cel, który uzasadnił gromadzenie tych danych, w szczególności w celu lepszego zrozumienia działalności przestępczej oraz ustalenia powiązań pomiędzy różnymi wykrytymi czynami zabronionymi.

56      Z powyższego wynika, że aby spełnić wymogi wskazane w art. 4 ust. 2 lit. a) i b) dyrektywy 2016/680, ocenę poszanowania tych wymogów w ramach danego przetwarzania przez tego samego lub innego administratora danych osobowych dla jednego z celów wskazanych w art. 1 ust. 1 – innego niż cele, dla których te dane zostały zgromadzone – należy przeprowadzić przy uwzględnieniu każdego z celów wskazanych w tym art. 1 ust. 1 jako specyficznego i odrębnego celu.

57      W trzeciej kolejności, co się tyczy celów rozpatrywanej regulacji, należy wskazać, jak wynika z motywów 10 i 11 dyrektywy 2016/680, że prawodawca Unii zamierzał przyjąć przepisy uwzględniające specyficzny charakter dziedziny objętej tą dyrektywą.

58      W tym względzie motyw 12 stanowi, że czynności policji lub innych organów ścigania koncentrują się na zapobieganiu przestępczości, prowadzeniu postępowań przygotowawczych, wykrywaniu i ściganiu czynów zabronionych, wraz z czynnościami policji podejmowanymi, gdy nie wiadomo, czy dane zdarzenie jest czynem zabronionym.

59      Z powyższego wynika, że prawodawca Unii zamierzał przyjąć reguły odpowiadające szczególnym okolicznościom charakteryzującym czynności prowadzone przez właściwe organy w dziedzinie regulowanej tą dyrektywą, mając na względzie, że stanowią one odrębne czynności realizujące własne cele.

60      Taki sposób wykładni, dokonanej w świetle kontekstu rozpatrywanego przepisu i celów realizowanych przez regulację, której część on stanowi, znajduje potwierdzenie w jego genezie, w szczególności w przedstawieniu uzasadnienia Rady dotyczącego stanowiska Rady (UE) nr 5/2016 w pierwszym czytaniu w sprawie przyjęcia dyrektywy Parlamentu Europejskiego i Rady w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w sprawie swobodnego przepływu takich danych oraz uchylającej decyzję ramową Rady 2008/977/WSiSW (Dz.U. 2016, C 158, s. 46). W tym uzasadnieniu Rada wyjaśniła bowiem wprowadzenie wspomnianego przepisu w dyrektywie 2016/680, wskazując, że „[d]zięki temu prokurator np. będzie mógł w celu ścigania przestępstwa przetwarzać te same dane osobowe, które policja przetwarzała do wykrycia przestępstwa, o ile oba przykładowe cele są objęte artykułem 1 ust. 1 [tej dyrektywy]”.

61      Do sądu odsyłającego należy zatem określenie w celu rozstrzygnięcia sporu w postępowaniu głównym, czy przetwarzanie danych osobowych dotyczących VS, przeprowadzone przez prokuraturę rejonową w mieście Petricz dla celów ścigania tej osoby, może być dozwolone w świetle przesłanek określonych w art. 4 ust. 2 dyrektywy 2016/680, po zbadaniu, po pierwsze, czy bułgarskie prawo karne umożliwia temu organowi to przetwarzanie i, po drugie, czy jest ono niezbędne i proporcjonalne do celu, który realizuje.

62      W tym względzie należy wskazać, że dla celów oceny konieczności i proporcjonalnego charakteru takiego przetwarzania sąd odsyłający może w danym wypadku uwzględnić okoliczność, że organ prowadzący to ściganie powinien mieć możliwość oparcia się na danych zgromadzonych w toku wspomnianego dochodzenia jako na dowodach popełnienia czynów stanowiących czyn zabroniony, w szczególności na danych dotyczących osób zaangażowanych w ten czyn zabroniony, pod warunkiem że dane te są niezbędne do ich identyfikacji i ustalenia ich zaangażowania w ten czyn.

63      W świetle wszystkich powyższych rozważań na pytanie pierwsze należy udzielić odpowiedzi, że art. 1 ust. 1 dyrektywy 2016/680 rozpatrywany w związku z art. 4 ust. 2 i art. 6 tej dyrektywy należy interpretować w ten sposób, że przetwarzanie danych osobowych realizuje cel inny niż cel, dla którego te dane zostały zgromadzone, gdy gromadzenie takich danych było przeprowadzane dla celów wykrycia czynu zabronionego i związanego z nim dochodzenia, podczas gdy wspomniane przetwarzanie jest przeprowadzane dla celów ścigania danej osoby w rezultacie wspomnianego dochodzenia, i to niezależnie od okoliczności, że osoba ta była uznana za ofiarę w chwili wspomnianego gromadzenia danych osobowych, i że takie przetwarzanie jest dozwolone na mocy art. 4 ust. 2 tej dyrektywy, pod warunkiem że spełnia przesłanki określone w tym przepisie.

 W przedmiocie pytania drugiego

64      W pytaniu drugim sąd odsyłający dąży w istocie do ustalenia, po pierwsze, czy art. 3 pkt 8 i art. 9 ust. 1 i 2 dyrektywy 2016/680 oraz art. 2 ust. 1 i 2 RODO należy interpretować w ten sposób, że rozporządzenie to ma zastosowanie do przetwarzania danych osobowych przeprowadzanego przez prokuraturę państwa członkowskiego dla celów wykonania przez nią prawa do obrony w ramach skargi o stwierdzenie odpowiedzialności odszkodowawczej państwa, gdy powiadamia ona właściwy sąd o istnieniu akt spraw dotyczących osoby fizycznej będącej stroną postępowania dotyczącego tej skargi, wszczętych dla celów wskazanych w art. 1 ust. 1 tej dyrektywy, i gdy przekazuje ona te akta spraw temu sądowi, i, po drugie, czy na wypadek udzielenia odpowiedzi twierdzącej art. 6 ust. 1 akapit pierwszy lit. f) wspomnianego rozporządzenia należy interpretować w ten sposób, że takie przetwarzanie danych osobowych można uznać za zgodne z prawem dla celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora w rozumieniu tego przepisu.

 W przedmiocie dopuszczalności

65      W uwagach na piśmie IVSS podał w wątpliwość dopuszczalność pytania drugiego ze względu na to, że pytanie to zostało zadane przez sąd odsyłający w kontekście rozpatrzenia zarzutu podniesionego przez VS, który został odrzucony jako niedopuszczalny w decyzji stanowiącej przedmiot skargi w postępowaniu głównym, ze względu na upływ ustawowego terminu do podniesienia wspomnianego zarzutu.

66      Zgodnie z utrwalonym orzecznictwem Trybunału pytania dotyczące wykładni prawa Unii, z którymi zwrócił się sąd krajowy w ramach stanu prawnego i faktycznego, za którego ustalenie jest on odpowiedzialny i którego prawidłowość nie podlega kontroli Trybunału, korzystają z domniemania, że mają znaczenie dla sprawy. Odmowa rozstrzygnięcia przez Trybunał w przedmiocie postawionego przez sąd krajowy pytania prejudycjalnego jest możliwa tylko wtedy, gdy jest oczywiste, że wykładnia prawa Unii, o którą się zwrócono, nie ma żadnego związku ze stanem faktycznym lub z przedmiotem sporu w postępowaniu głównym, gdy problem jest natury hipotetycznej bądź gdy Trybunał nie dysponuje informacjami w zakresie stanu faktycznego lub prawnego, które są niezbędne do udzielenia użytecznej odpowiedzi na przedstawione mu pytania (zob. podobnie wyrok z dnia 27 września 2017 r., Puškár, C‑73/16, EU:C:2017:725, pkt 50 i przytoczone tam orzecznictwo).

67      W niniejszym wypadku należy zauważyć, jak w pkt 76 i 77 opinii wskazał rzecznik generalny, że kwestia dopuszczalności zarzutów podnoszonych przez VS w ramach skargi IVSS jest w całości objęta właściwością sądu odsyłającego. Ponadto w postanowieniu odsyłającym sąd ten wskazał, że uznaje pytanie drugie za istotne, niezależnie od tego, że IVSS odrzucił jako niedopuszczalny zarzut wspomniany w pkt 65 niniejszego wyroku. W każdym wypadku Trybunał nie powinien ponownie analizować tej oceny.

68      Z powyższego wynika, że pytanie drugie jest dopuszczalne.

 Co do istoty

–       W przedmiocie stosowania RODO do przetwarzania danych osobowych przeprowadzonego przez prokuraturę państwa członkowskiego dla celów wykonania prawa do obrony w postępowaniu dotyczącym skargi o stwierdzenie odpowiedzialności odszkodowawczej państwa

69      W pierwszej kolejności należy określić, czy używanie przez prokuraturę państwa członkowskiego informacji dotyczących osoby fizycznej, które owa prokuratura zgromadziła i przetworzyła dla celów objętych art. 1 ust. 1 dyrektywy 2016/680 w celu wykonania prawa do obrony w postępowaniu cywilnym, stanowi „przetwarzanie” „danych osobowych” w rozumieniu art. 4 pkt 1 i 2 RODO.

70      Przede wszystkim należy przypomnieć, że „danymi osobowymi” w rozumieniu art. 4 pkt 1 RODO są „wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej”, mając na względzie, że zgodnie z orzecznictwem definicja ta ma zastosowanie, gdy ze względu na ich treść, cel i skutek dane informacje są powiązane z daną osobą (zob. podobnie wyrok z dnia 20 grudnia 2017 r., Nowak, C‑434/16, EU:C:2017:994, pkt 35). Ponadto zgodnie z art. 4 pkt 2 RODO pojęcie „przetwarzania” zdefiniowano jako „operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany”, takich jak w szczególności „przeglądanie”, „wykorzystywanie”, „ujawnianie poprzez przesłanie”, „rozpowszechnianie” lub „innego rodzaju udostępnianie”. Definicje te odzwierciedlają przyświecający unijnemu prawodawcy zamiar przypisania tym dwóm pojęciom szerokiego zakresu [zob. podobnie wyroki: z dnia 20 grudnia 2017 r., Nowak, C‑434/16, EU:C:2017:994, pkt 34; z dnia 24 lutego 2022 r., Valsts ieņēmumu dienests (Przetwarzanie danych osobowych uzyskanych do celów podatkowych), C‑175/20, EU:C:2022:124, pkt 35].

71      W tym względzie, po pierwsze, okoliczność, że strona pozwana w postępowaniu cywilnym powiadomiła właściwy sąd, nawet zwięźle, w swoich pismach lub na rozprawie o wszczęciu spraw dotyczących osoby fizycznej – która zainicjowała to postępowanie cywilne – w szczególności dla celów „wykrywania” czynu zabronionego lub „prowadzenia postępowań przygotowawczych” w dziedzinie karnej, wskazuje na to, że ta strona pozwana „przeglądała”, „wykorzystywała” i „przesyłała” lub „ujawniała” „dane osobowe” w rozumieniu art. 4 pkt 1 i 2 RODO. A zatem zarówno ze względu na swą treść, jak i swój cel oraz skutek informacje te są powiązane z daną osobą, dającą się zidentyfikować zarówno przez stronę, która ujawniła te dane osobowe, jak i przez sąd, któremu je przekazano.

72      Po drugie, okoliczność, że ta strona pozwana przedstawiła na żądanie właściwego sądu akta spraw dotyczących postępowań związanych ze wspomnianą osobą fizyczną, wskazuje co najmniej na „wykorzystywanie” i „ujawnianie poprzez przesłanie” „danych osobowych” w rozumieniu art. 4 pkt 1 i 2 RODO.

73      W drugiej kolejności należy przypomnieć, że w art. 2 ust. 1 RODO zdefiniowano w sposób szeroki przedmiotowy zakres stosowania tego rozporządzenia [wyrok z dnia 22 czerwca 2021 r., Latvijas Republikas Saeima (Punkty karne), C‑439/19, EU:C:2021:504, pkt 61], który obejmuje wszelkie „przetwarzani[e] danych osobowych w sposób całkowicie lub częściowo zautomatyzowany oraz […] przetwarzani[e] w sposób inny niż zautomatyzowany danych osobowych stanowiących część zbioru danych lub mających stanowić część zbioru danych”. Konsekwencją tej szerokiej definicji jest to, że wyjątki od stosowania RODO, wymienione w art. 2 ust. 2 RODO, należy interpretować ściśle. Sytuacja taka ma miejsce w szczególności przy stosowaniu wyjątku przewidzianego w owym art. 2 ust. 2 lit. d), dotyczącego przetwarzania danych osobowych przeprowadzanego przez właściwe organy dla celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych lub wykonywania kar [zob. podobnie wyrok z dnia 24 lutego 2022 r., Valsts ieņēmumu dienests (Przetwarzanie danych osobowych uzyskanych do celów podatkowych), C‑175/20, EU:C:2022:124, pkt 40, 41 i przytoczone tam orzecznictwo].

74      W tym względzie Trybunał orzekł, jak wynika z motywu 19 tego rozporządzenia, że wyjątek ten jest uzasadniony okolicznością, że przetwarzanie danych osobowych przez właściwe organy dla celów wskazanych w art. 2 ust. 2 lit. d) RODO jest regulowane szczególnym aktem Unii, a mianowicie dyrektywą 2016/680, którą przyjęto w tym samym dniu co RODO [zob. podobnie wyrok z dnia 24 lutego 2022 r., Valsts ieņēmumu dienests (Przetwarzanie danych osobowych uzyskanych do celów podatkowych), C‑175/20, EU:C:2022:124, pkt 42 i przytoczone tam orzecznictwo].

75      Jak wynika z motywu 12 dyrektywy 2016/680, prawodawca Unii przewidział w art. 9 tej dyrektywy reguły dotyczące przetwarzania danych osobowych dla celów innych niż cele wskazane w art. 1 ust. 1 wspomnianej dyrektywy, dla których te dane zostały zgromadzone.

76      W tym względzie w art. 9 ust. 1 dyrektywy 2016/680 przewidziano, po pierwsze, że takie przetwarzanie danych osobowych nie może co do zasady być przeprowadzane, chyba że takie przetwarzanie jest dozwolone prawem Unii lub prawem państwa członkowskiego, i, po drugie, że RODO ma zastosowanie do tego przetwarzania, chyba że przetwarzanie odbywa się w toku działalności nieobjętej prawem Unii. Ponadto zgodnie z art. 9 ust. 2 tej dyrektywy RODO ma zastosowanie do przetwarzania przeprowadzanego przez właściwe organy w ramach wykonywania zadań innych niż zadania wykonywane w celach określonych w art. 1 ust. 1 wspomnianej dyrektywy, chyba że przetwarzanie odbywa się w toku działalności nieobjętej prawem Unii.

77      W sytuacjach zaś wskazanych w pkt 71 i 72 niniejszego wyroku gromadzenie i przetwarzanie danych osobowych przez prokuraturę państwa członkowskiego dla celów „zapobiegania” czynom zabronionym, „wykrywania” czynów zabronionych, „prowadzenia postępowań przygotowawczych” lub „ścigania” w tej dziedzinie stanowią z pewnością przetwarzanie danych osobowych dla celów wskazanych w art. 1 ust. 1 dyrektywy 2016/680 w rozumieniu art. 9 ust. 1 i 2 tej dyrektywy.

78      Jednakże, nawet jeśli wniesienie skargi o stwierdzenie odpowiedzialności odszkodowawczej państwa jest spowodowane zarzucanymi naruszeniami, jakich miała się dopuścić prokuratura w ramach postępowania karnego, takimi jak – podobnie jak w niniejszym wypadku – podnoszone naruszenia prawa do rozpatrzenia sprawy w rozsądnym terminie, obrona państwa w ramach rozpatrywania takiej skargi nie ma na celu zapewnienia wykonania jako takich zadań prokuratury wynikających z celów wskazanych w art. 1 ust. 1 dyrektywy 2016/680.

79      Ponadto w świetle zasady ścisłej wykładni wyjątków od stosowania RODO, takiego przetwarzania danych osobowych nie można uznać za przeprowadzone „w ramach działalności nieobjętej zakresem prawa Unii” w rozumieniu art. 2 ust. 2 lit. a) RODO i art. 9 ust. 1 i 2 dyrektywy 2016/680. W tym względzie z orzecznictwa wynika, że jedynym celem tego wyrażenia jest wyłączenie z zakresu stosowania RODO przetwarzania danych osobowych dokonywanego przez organy państwowe w ramach działalności mającej na celu ochronę bezpieczeństwa narodowego lub działalności, która może zostać zaliczona do tej samej kategorii. Uczestnictwo organu publicznego w postępowaniu cywilnym w charakterze strony pozwanej przepisu rozpatrywaniu skargi o stwierdzenie odpowiedzialności odszkodowawczej państwa nie ma na celu ochrony bezpieczeństwa narodowego ani nie może być zaliczone do tej samej kategorii czynności [zob. podobnie wyrok z dnia 22 czerwca 2021 r., Latvijas Republikas Saeima (Punkty karne), C‑439/19, EU:C:2021:504, pkt 66–68 i przytoczone tam orzecznictwo].

80      W trzeciej kolejności należy wskazać, że dla celów stosowania RODO do przetwarzania danych wskazanego w pkt 71 i 72 niniejszego wyroku prokuraturę należy uznać za „administratora” w rozumieniu nie tylko art. 4 pkt 7 RODO, lecz także art. 3 pkt 8 dyrektywy 2016/680 w zakresie, w jakim „samodzielnie lub wspólnie z innymi ustala cele i sposoby” tego przetwarzania w rozumieniu tego ostatniego przepisu. To bowiem ten organ jako strona postępowania powiadamia właściwy sąd o istnieniu akt wszczętych spraw karnych dotyczących drugiej strony i przekazuje temu sądowi te akta spraw. Jego status „administratora” – w świetle szerokiej definicji tego pojęcia, która ma na celu zapewnienie skutecznej i pełnej ochrony zainteresowanych osób – jest niezależny od stopnia jego zaangażowania i poziomu odpowiedzialności, które mogą być odmienne od stopnia zaangażowania i odpowiedzialności właściwego sądu, który pozwala na takie przetwarzanie lub nawet je nakazuje (zob. analogicznie wyrok z dnia 29 lipca 2019 r., Fashion ID, C‑40/17, EU:C:2019:629, pkt 66–70).

81      Niezależnie zaś od kwestii, czy przetwarzanie danych wskazane w pkt 80 niniejszego wyroku jest objęte art. 9 ust. 1 lub ust. 2 dyrektywy 2016/680, z brzmienia tych ustępów i z ich wzajemnego powiązania wynika, że RODO ma zastosowanie do każdego przetwarzania w odmiennych celach danych osobowych zgromadzonych dla celów wskazanych w art. 1 ust. 1 tej dyrektywy, chyba że przetwarzanie odbywa się w toku działalności nieobjętej prawem Unii, w tym gdy „administrator” w rozumieniu art. 3 pkt 8 wspomnianej dyrektywy jest „właściwym organem” w rozumieniu art. 3 pkt 7 lit. a) tej dyrektywy i przeprowadza przetwarzanie danych osobowych w ramach wykonywania zadań innych niż zadania wykonywane dla celów wskazanych w art. 1 ust. 1 tej samej dyrektywy.

82      W świetle powyższych rozważań należy stwierdzić, że RODO ma zastosowanie do przetwarzania danych osobowych przeprowadzanego przez prokuraturę państwa członkowskiego dla celów wykonania przez nią prawa do obrony w ramach skargi o stwierdzenie odpowiedzialności odszkodowawczej państwa, gdy, po pierwsze, powiadamia ona właściwy sąd o istnieniu akt spraw dotyczących osoby fizycznej będącej stroną postępowania dotyczącego tej skargi, wszczętych dla celów wskazanych w art. 1 ust. 1 dyrektywy 2016/680, i, po drugie, przekazuje ona te akta spraw temu sądowi.

–       W przedmiocie zgodności z prawem przetwarzania danych osobowych przeprowadzonego przez prokuraturę państwa członkowskiego dla celów wykonania prawa do obrony w postępowaniu dotyczącym skargi o stwierdzenie odpowiedzialności odszkodowawczej państwa

83      Należy przypomnieć, że w art. 6 RODO wymieniono w sposób wyczerpujący wypadki, w których przetwarzanie danych osobowych można uznać za zgodne z prawem [zob. podobnie wyrok z dnia 22 czerwca 2021 r., Latvijas Republikas Saeima (Punkty karne), C‑439/19, EU:C:2021:504, pkt 99].

84      Wśród tych wypadków w art. 6 ust. 1 akapit pierwszy lit. e) RODO przewidziano przetwarzanie niezbędne dla wykonywania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi, zaś art. 6 ust. 1 akapit pierwszy lit. f) tego rozporządzenia dotyczy przetwarzania niezbędnego do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych. Zgodnie z art. 6 ust. 1 akapit drugi wspomnianego rozporządzenia art. 6 ust. 1 akapit pierwszy lit. f) tego rozporządzenia nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań.

85      Należy zauważyć, jak słusznie wskazała Komisja Europejska w uwagach na piśmie, że z brzmienia art. 6 ust. 1 akapit drugi RODO jasno wynika, że przetwarzanie danych osobowych dokonane przez organ publiczny w ramach realizacji jego zadań nie może być objęte zakresem stosowania art. 6 ust. 1 akapit pierwszy lit. f) RODO, dotyczącym przetwarzania danych osobowych niezbędnego do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora. Jak wynika z motywu 47 RODO i jak wskazuje Komisja, ten ostatni przepis nie może mieć zastosowania do takiego przetwarzania danych, ponieważ jego podstawa prawna musi być przewidziana przez prawodawcę. Z powyższego wynika, że gdy przetwarzanie dokonywane przez organ publiczny jest niezbędne dla wykonywania zadania realizowanego w interesie publicznym i w konsekwencji jest objęte zadaniami wspomnianymi w art. 6 ust. 1 akapit drugi tego rozporządzenia, stosowanie art. 6 ust. 1 akapit pierwszy lit. e) RODO i stosowanie jego art. 6 ust. 1 akapit pierwszy lit. f) wyłączają się wzajemnie.

86      Należy zatem przed rozważeniem kwestii stosowania art. 6 ust. 1 akapit pierwszy lit. f) RODO określić, czy przetwarzanie przez prokuraturę państwa członkowskiego danych osobowych – zgromadzonych pierwotnie dla realizacji jednego lub kilku celów wskazanych w art. 1 ust. 1 dyrektywy 2016/680 – w celu zapewnienia obrony państwa lub organu publicznego w postępowaniu dotyczącym skargi o stwierdzenie odpowiedzialności odszkodowawczej za szkody wyrządzone z winy państwa lub organu publicznego przy wykonywaniu ich zadań, jest niezbędne dla wykonania zadania realizowanego w interesie publicznym lub jest objęte wykonywaniem władzy publicznej powierzonej temu organowi w rozumieniu art. 6 ust. 1 akapit pierwszy lit. e) tego rozporządzenia.

87      Jak wskazał zaś w istocie rzecznik generalny w pkt 94 i 100 opinii, gdy do prokuratury należy obrona interesów prawnych i majątkowych państwa w postępowaniu dotyczącym skargi o stwierdzenie odpowiedzialności odszkodowawczej związanej z działaniami lub zachowaniem tego organu publicznego w ramach wykonywania zadań realizowanych w interesie publicznym powierzonych mu w dziedzinie karnej, obrona tych interesów może stanowić na mocy prawa krajowego zadanie realizowane w interesie publicznym w rozumieniu art. 6 ust. 1 akapit pierwszy lit. e) wspomnianego rozporządzenia.

88      Po pierwsze, poprzez wykonywanie uprawnień procesowych przyznanych mu jako stronie pozwanej wspomniany organ publiczny zapewnia bowiem ochronę pewności prawa związanej z czynnościami dokonanymi i decyzjami przyjętymi w interesie publicznym, które kwestionuje strona skarżąca. Przedstawione przez ten organ stanowiska dotyczące zarzutów i argumentów strony skarżącej mogą w danym wypadku prowadzić do uniknięcia ryzyka uniemożliwienia przez te zarzuty i argumenty skutecznego stosowania przepisów należącego do jego zadań, których nieprawidłowe wykonanie mu zarzucono.

89      Po drugie, poprzez zarzuty i argumenty przedstawione w ramach obrony ów organ publiczny może wykazać, gdy taka sytuacja ma miejsce, ewentualnie bezzasadny lub nadmierny charakter żądań odszkodowawczych strony skarżącej, w szczególności w celu uniknięcia sytuacji, w której wykonywanie zadań realizowanych w interesie publicznym kwestionowane w ramach skargi o stwierdzenie odpowiedzialności byłoby utrudnione ze względu na perspektywę powództw odszkodowawczych, gdy wykonywanie tych zadań może naruszać interesy jednostek.

90      W tym względzie bez znaczenia jest okoliczność, że w postępowaniu dotyczącym skargi o stwierdzenie odpowiedzialności odszkodowawczej państwa prokuratura ma jako strona pozwana status równy ze statusem pozostałych stron i nie wykonuje prerogatyw władzy publicznej – inaczej niż ma to miejsce w ramach wykonywania zadań w dziedzinie karnej.

91      W niniejszym wypadku z postanowienia odsyłającego i z wyjaśnień przedstawionych przez rząd bułgarski w odpowiedzi na pytania Trybunału wynika, że skarga o stwierdzenie odpowiedzialności odszkodowawczej, która częściowo leży u podstaw sporu w postępowaniu głównym, jest oparta na przepisach ustawy o odpowiedzialności państwa i gmin za szkody, wspomnianej w pkt 26 niniejszego wyroku, w której ustanowiono reżim prawny odpowiedzialności państwa za szkody wyrządzone w następstwie naruszenia prawa do rozpatrzenia sprawy w rozsądnym terminie, i że zgodnie z art. 7 tej ustawy to organ, którego niezgodne z prawem akty, działania lub zaniechania wyrządziły szkodę, jest stroną sporu i z tego tytułu zastępuje państwo na płaszczyźnie procesowej.

92      A zatem rola organu, któremu zarzucono wyrządzenie szkody zarzucanej w takiej skardze o stwierdzenie odpowiedzialności odszkodowawczej, różni się od roli strony pozwanej w ramach powództwa regresowego państwa wniesionego przeciwko urzędnikowi publicznemu z tytułu jego odpowiedzialności osobistej ze względu na naruszenia popełnione przez niego przy wykonywaniu funkcji, ponieważ w tej ostatniej sytuacji rola ta ma na celu ochronę interesów prywatnych (zob. podobnie wyrok z dnia 18 maja 2021 r., Asociaţia „Forumul Judecătorilor din România” i in., C‑83/19, C‑127/19, C‑195/19, C‑291/19, C‑355/19 i C‑397/19, EU:C:2021:393, pkt 225).

93      W konsekwencji w świetle powyższych rozważań należy stwierdzić, że przetwarzanie przez prokuraturę państwa członkowskiego danych osobowych – pierwotnie zgromadzonych i przetwarzanych dla realizacji jednego lub kilku celów wskazanych w art. 1 ust. 1 dyrektywy 2016/680 – w celu zapewnienia obrony państwa w postępowaniu dotyczącym skargi o stwierdzenie odpowiedzialności odszkodowawczej za szkody wyrządzone z winy tej prokuratury przy wykonywaniu jej zadań może co do zasady być objęte nie zakresem stosowania art. 6 ust. 1 akapit pierwszy lit. f) RODO, lecz raczej zakresem stosowania art. 6 ust. 1 akapit pierwszy lit. e) RODO.

94      Ponadto nie można wykluczyć, że gdy w celu zapewnienia obrony państwa w postępowaniu dotyczącym skargi o stwierdzenie odpowiedzialności odszkodowawczej prokuratura państwa członkowskiego przekazuje dane osobowe właściwemu sądowi na jego wezwanie, przekazanie to również może być objęte zakresem stosowania art. 6 ust. 1 akapit pierwszy lit. c) RODO, gdy na mocy mającego zastosowanie prawa krajowego wspomniana prokuratura ma obowiązek uwzględnić takie wezwanie.

95      W tych okolicznościach, aby ustalić, czy przetwarzanie danych osobowych takie jak rozpatrywane w postępowaniu głównym jest objęte zakresem stosowania przepisów art. 6 ust. 1 akapit pierwszy RODO, sąd odsyłający powinien zbadać, czy zgodnie z art. 6 ust. 3 tego rozporządzenia w prawie krajowym zdefiniowano, po pierwsze, podstawę takiego przetwarzania i, po drugie, cele tego przetwarzania lub, co się tyczy tego art. 6 ust. 1 akapit pierwszy lit. e), czy to przetwarzanie jest niezbędne dla wykonywania przez prokuraturę jej zadania realizowanego w interesie publicznym.

96      Co więcej, sąd odsyłający powinien określić, czy ujawnienie przez prokuraturę informacji dotyczących podmiotu wnoszącego skargę o stwierdzenie odpowiedzialności odszkodowawczej, zawartych w aktach spraw wszczętych w sprawach innych niż sprawa, której dotyczy ta skarga, spełnia pozostałe wymogi przewidziane w RODO, a w szczególności wymogi wynikające z zasady „minimalizacji danych” wskazanej w art. 5 ust. 1 lit. c) RODO, zgodnie z którą dane osobowe powinny być adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane, i która wyraża zasadę proporcjonalności [zob. podobnie wyrok z dnia 22 czerwca 2021 r., Latvijas Republikas Saeima (Punkty karne), C‑439/19, EU:C:2021:504, pkt 98]. Ponadto sąd odsyłający powinien zbadać, czy to przetwarzanie danych osobowych zostało przeprowadzone z poszanowaniem odpowiednich gwarancji, w szczególności zapewnienia możliwości skutecznego komentowania informacji i dowodów przedstawionych w tych ramach przez prokuraturę, lecz również zgodnie z art. 21 ust. 1 RODO sprzeciwienia się przekazaniu tych informacji i dowodów właściwemu sądowi, z zastrzeżeniem ograniczeń tego prawa sprzeciwu przewidzianych w ustawodawstwie krajowym zgodnie z art. 23 ust. 1 tego rozporządzenia.

97      W świetle całości powyższych rozważań na drugie pytanie prejudycjalne należy udzielić następującej odpowiedzi:

–        art. 3 pkt 8 i art. 9 ust. 1 i 2 dyrektywy 2016/680 oraz art. 2 ust. 1 i 2 RODO należy interpretować w ten sposób, że rozporządzenie to ma zastosowanie do przetwarzania danych osobowych przeprowadzanego przez prokuraturę państwa członkowskiego dla celów wykonania przez nią prawa do obrony w ramach skargi o stwierdzenie odpowiedzialności odszkodowawczej państwa, gdy, po pierwsze, powiadamia ona właściwy sąd o istnieniu akt spraw dotyczących osoby fizycznej będącej stroną postępowania dotyczącego tej skargi, wszczętych dla celów wskazanych w art. 1 ust. 1 dyrektywy 2016/680, i, po drugie, przekazuje ona te akta spraw temu sądowi;

–        art. 6 ust. 1 RODO należy interpretować w ten sposób, że w wypadku gdy skarga o stwierdzenie odpowiedzialności odszkodowawczej państwa jest oparta na naruszeniach zarzucanych prokuraturze w ramach wykonywania jej zadań w zakresie postępowania karnego, takie przetwarzanie danych osobowych można uznać za zgodne z prawem, jeśli jest niezbędne do wykonywania zadania realizowanego w interesie publicznym w rozumieniu art. 6 ust. 1 akapit pierwszy lit. e) tego rozporządzenia, związanego z ochroną interesów prawnych i majątkowych państwa powierzoną prokuraturze w ramach tego postępowania na podstawie prawa krajowego, pod warunkiem że wspomniane przetwarzanie danych spełnia wszystkie mające zastosowanie wymogi przewidziane we wspomnianym rozporządzeniu.

 W przedmiocie kosztów

98      Dla stron w postępowaniu głównym niniejsze postępowanie ma charakter incydentalny, dotyczy bowiem kwestii podniesionej przed sądem odsyłającym, do niego zatem należy rozstrzygnięcie o kosztach. Koszty poniesione w związku z przedstawieniem uwag Trybunałowi, inne niż koszty stron w postępowaniach głównych, nie podlegają zwrotowi.

Z powyższych względów Trybunał (piąta izba) orzeka, co następuje:

1)      Artykuł 1 ust. 1 dyrektywy Parlamentu Europejskiego i Rady (UE) 2016/680 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w sprawie swobodnego przepływu takich danych oraz uchylającej decyzję ramową Rady 2008/977/WSiSW rozpatrywany w związku z art. 4 ust. 2 i art. 6 tej dyrektywy

należy interpretować w ten sposób, że:

przetwarzanie danych osobowych realizuje cel inny niż cel, dla którego te dane zostały zgromadzone, gdy gromadzenie takich danych było przeprowadzane dla celów wykrycia czynu zabronionego i związanego z nim dochodzenia, podczas gdy wspomniane przetwarzanie jest przeprowadzane dla celów ścigania danej osoby w rezultacie wspomnianego dochodzenia, i to niezależnie od okoliczności, że osoba ta była uznana za ofiarę w chwili wspomnianego gromadzenia danych osobowych, i że takie przetwarzanie jest dozwolone na mocy art. 4 ust. 2 tej dyrektywy, pod warunkiem że spełnia przesłanki określone w tym przepisie.

2)      Artykuł 3 pkt 8 i art. 9 ust. 1 i 2 dyrektywy 2016/680 oraz art. 2 ust. 1 i 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych)

należy interpretować w ten sposób, że:

rozporządzenie to ma zastosowanie do przetwarzania danych osobowych przeprowadzanego przez prokuraturę państwa członkowskiego dla celów wykonania przez nią prawa do obrony w ramach skargi o stwierdzenie odpowiedzialności odszkodowawczej państwa, gdy, po pierwsze, powiadamia ona właściwy sąd o istnieniu akt spraw dotyczących osoby fizycznej będącej stroną postępowania dotyczącego tej skargi, wszczętych dla celów wskazanych w art. 1 ust. 1 dyrektywy 2016/680, i, po drugie, przekazuje ona te akta spraw temu sądowi.

3)      Artykuł 6 ust. 1 rozporządzenia 2016/679

należy interpretować w ten sposób, że:

w wypadku gdy skarga o stwierdzenie odpowiedzialności odszkodowawczej państwa jest oparta na naruszeniach zarzucanych prokuraturze w ramach wykonywania jej zadań w zakresie postępowania karnego, takie przetwarzanie danych osobowych można uznać za zgodne z prawem, jeśli jest niezbędne do wykonywania zadania realizowanego w interesie publicznym w rozumieniu art. 6 ust. 1 akapit pierwszy lit. e) tego rozporządzenia, związanego z ochroną interesów prawnych i majątkowych państwa powierzoną prokuraturze w ramach tego postępowania na podstawie prawa krajowego, pod warunkiem że wspomniane przetwarzanie danych spełnia wszystkie mające zastosowanie wymogi przewidziane we wspomnianym rozporządzeniu.