Преюдициално запитване, Дело C-180/21, България, Ответник – Инспектор в Инспектората към Висшия съдебен съвет

8декември 2022 година(*)

„Преюдициално запитване— Защита на физическите лица във връзка с обработването на лични данни— Регламент (ЕС) 2016/679— Членове 2, 4 и 6— Приложимост на Регламент 2016/679— Понятието „легитимен интерес”— Понятието „задача от обществен интерес или при упражняването на официални правомощия”— Директива (ЕС) 2016/680— Членове 1, 3, 4, 6 и 9— Законосъобразност на обработването на лични данни, събрани в контекста на разследването на престъпление— Последващо обработване на данни относно предполагаемия пострадал от престъпление за целите на привличането му като обвиняем— Понятие за цел, различна от целта, за която личните данни са събрани— Данни, използвани от прокуратурата на държава членка за целите на защитата ѝ срещу иск за отговорност на държавата за вреди”

По дело C‑180/21

с предмет преюдициално запитване, отправено на основание член267 ДФЕС от Административен съд— Благоевград (България) с определение от 19март 2021г., постъпило в Съда на 23март 2021г., в рамките на производство по дело

срещу

при участието на:

СЪДЪТ (пети състав),

състоящ се от: E.Regan, председател на състава, D.Gratsias (докладчик), M.Ilešič, I.Jarukaitis, и Z.Csehi, съдии,

генерален адвокат: M.Campos Sánchez-Bordona,

секретар: A.Calot Escobar,

предвид изложеното в писмената фаза на производството,

като има предвид становищата, представени:

– за VS, от В.Харизанова,

– за инспектора в Инспектората към Висшия съдебен съвет, от С.Мулячка,

– за българското правителство, от М.Георгиева и Ц.Митова, в качеството на представители,

– за чешкото правителство, от O.Serdula, M.Smolek и J.Vláčil, в качеството на представители,

– за нидерландското правителство, от M.K.Bulterman и J.M.Hoogveld, в качеството на представители,

– за Европейската комисия, от H.Kranenborg И.Залогин, в качеството на представители,

след като изслуша заключението на генералния адвокат, представено в съдебното заседание от 19май 2022г.,

постанови настоящото

1 Преюдициалното запитване се отнася до тълкуването на член1, параграф1 от Директива (ЕС) 2016/680 на Европейския парламент и на Съвета от 27април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания и относно свободното движение на такива данни, и за отмяна на Рамково решение 2008/977/ПВР на Съвета (ОВ L119, 2016г., стр.89), както и на Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните) (ОВ L119, 2016г., стр.1, наричан по-нататък „ОРЗД”), и по-специално на член6, параграф1 от него.

2 Запитването е отправено в рамките на спор между VS и инспектор в Инспектората към Висшия съдебен съвет (България) (наричан по-нататък „ИВСС”) относно законосъобразността на обработването на отнасящи се до него лични данни, извършено от Районна прокуратура— Петрич (България).

3 Съображения 19, 45 и 47 от ОРЗД гласят:

„(19) […] Държавите членки могат да възлагат на компетентните органи по смисъла на Директива […] 2016/680 други задачи, чието изпълнение не е свързано задължително с целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наложените наказания, включително предпазването от заплахи за обществената сигурност и предотвратяването им, така че обработването на лични данни за тези цели, доколкото то е в обхвата на правото на Съюза, попада в приложното поле на настоящия регламент.

[…]

[…]

(45) Когато […] обработването е необходимо за изпълнението на задача от обществен интерес или при упражняване на официални правомощия, за обработването следва да има основание в правото на Съюза или в правото на държава членка. Настоящият регламент не изисква за всяко отделно обработване конкретен законодателен акт. Може да е достатъчен законодателен акт като основание за няколко операции по обработване на данни, основаващи се на правно задължение, наложено на администратора на лични данни, или когато обработването е необходимо за изпълнението на задача от обществен интерес или при упражняване на официални правомощия. […]

[…]

(47) Законните интереси на даден администратор, включително на администратор, пред когото може да бъдат разкрити лични данни, или на трета страна могат да предоставят правно основание за обработването, при условие че интересите или основните права и свободи на съответния субект на данни нямат преимущество, като се вземат предвид основателните очаквания на субектите на данни въз основа на техните взаимоотношения с администратора. […] Като се има предвид, че е задължение на законодателя да уреди със закон правното основание за обработването на лични данни от публичните органи, това правно основание не следва да се прилага спрямо обработването на данни от публичните органи при изпълнението на техните задачи […]”.

4 Член2 („Материален обхват”), параграфи 1 и 2 от ОРЗД предвижда:

„1. Настоящият регламент се прилага за обработването на лични данни изцяло или частично с автоматични средства, както и за обработването с други средства на лични данни, които са част от регистър с лични данни или които са предназначени да съставляват част от регистър с лични данни.

2. Настоящият регламент не се прилага за обработването на лични данни:

а) в хода на дейности, които са извън приложното поле на правото на Съюза;

[…]

г) от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наложените наказания, включително предпазването от и предотвратяването на заплахи за обществената сигурност”.

5 Член4 от ОРЗД е озаглавен „Определения” и гласи:

„За целите на настоящия регламент:

1) „лични данни” означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано („субект на данни”); физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице;

2) „обработване” означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване;

[…]

7) „администратор” означава физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на Съюза или правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза или в правото на държава членка;

[…]”.

6 Член5 („Принципи, свързани с обработването на лични данни”), параграф1 от ОРЗД предвижда:

„Личните данни са:

[…]

б) събирани за конкретни, изрично указани и легитимни цели и не се обработват по-нататък по начин, несъвместим с тези цели; […] („ограничение на целите”);

в) подходящи, свързани със и ограничени до необходимото във връзка с целите, за които се обработват („свеждане на данните до минимум”);

[…]”.

7 Съгласно член6 („Законосъобразност на обработването”) от ОРЗД:

„1. Обработването е законосъобразно, само ако и доколкото е приложимо поне едно от следните условия:

[…]

в) обработването е необходимо за спазването на законово задължение, което се прилага спрямо администратора;

[…]

д) обработването е необходимо за изпълнението на задача от обществен интерес или при упражняването на официални правомощия, които са предоставени на администратора;

е) обработването е необходимо за целите на легитимните интереси на администратора или на трета страна, освен когато пред такива интереси преимущество имат интересите или основните права и свободи на субекта на данните, които изискват защита на личните данни […].

Буквае) на първа алинея не се прилага за обработването, което се извършва от публични органи при изпълнението на техните задачи.

[…]

3. Основанието за обработването, посочено в параграф1, букви в) и д), е установено от:

а) правото на Съюза или

б) правото на държавата членка, което се прилага спрямо администратора.

Целта на обработването се определя в това правно основание или доколкото се отнася до обработването по параграф1, буквад), то трябва да е необходимо за изпълнението на задача от обществен интерес или при упражняването на официални правомощия, които са предоставени на администратора […]”.

8 Член21 („Право на възражение”), параграф1 от ОРЗД предвижда:

„Субектът на данните има право, по всяко време и на основания, свързани с неговата конкретна ситуация, на възражение срещу обработване на лични данни, отнасящи се до него, което се основава на член6, параграф1, буквад) или буквае) […]. Администраторът прекратява обработването на личните данни, освен ако не докаже, че съществуват убедителни законови основания за обработването, които имат предимство пред интересите, правата и свободите на субекта на данни, или за установяването, упражняването или защитата на правни претенции”.

9 Член23 („Ограничения”), параграф1 от ОРЗД предвижда, че в правото на Съюза или правото на държава членка, което се прилага спрямо администратора или обработващия лични данни, чрез законодателна мярка може да се ограничи обхватът на задълженията и правата, предвидени в членове 12—22, когато подобно ограничение е съобразено със същността на основните права и свободи и представлява необходима и пропорционална мярка в едно демократично общество с цел да се гарантират по-специално някои важни цели от широк обществен интерес за Съюза или за държава членка.

10 Съображения 8—12, 27 и 29 от Директива 2016/680 гласят:

„(8) В член16, параграф2 от ДФЕС на Европейския парламент и на Съвета [на Европейския съюз] се възлага задачата да определят правилата за защитата на физическите лица по отношение на обработката на личните данни, както и правилата за свободното движение на такива данни.

(9) Въз основа на това в [ОРЗД] се определят общи правила за защита на физическите лица във връзка с обработването на лични данни и за гарантиране на свободното движение на такива данни в Съюза.

(10) В Декларация №21 относно защитата на личните данни в областта на съдебното сътрудничество по наказателноправни въпроси и полицейското сътрудничество, приложена към заключителния акт на Междуправителствената конференция, която прие Договора от Лисабон, конференцията признава, че може да са необходими специални правила относно защитата на личните данни и свободното движение на лични данни в областите на съдебното сътрудничество по наказателноправни въпроси и полицейското сътрудничество въз основа на член16 от ДФЕС, поради специфичното естество на тези области.

(11) Поради това е уместно тези области да бъдат предмет на директива, която установява специални правила за защита на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления, или изпълнението на наказания, включително предпазването от заплахи за обществената сигурност и тяхното предотвратяване, като се отчита специфичният характер на тези дейности. Такива компетентни органи могат да включват не само публични органи, например съдебните органи, полицията и други правоприлагащи органи, но и всеки друг орган или образувание, който по силата на правото на държавите членки упражнява публична власт и публични правомощия за целите на настоящата директива. Когато обаче подобен орган или образувание обработва лични данни за цели, различни от целите на настоящата директива, се прилага [ОРЗД]. Поради това [ОРЗД] се прилага в случаите, в които даден орган или образувание събира лични данни за други цели и допълнително обработва тези лични данни, за да се съобрази с правно задължение, с което е обвързан. […]

(12) Дейностите, извършвани от полицията или други правоприлагащи органи, включително полицейски дейности, без предварително да е известно дали даден инцидент съставлява престъпление, основно се съсредоточават върху предотвратяването, разследването, разкриването или наказателното преследване на престъпления. […] Държавите членки могат да възложат на компетентните органи други задачи, чието изпълнение не е непременно свързано с целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления, включително предпазването от заплахи за обществената сигурност и тяхното предотвратяване, като обработването на лични данни за тези цели, доколкото то е обхванато от правото на Съюза, попада в обхвата на [ОРЗД].

[…]

(27) За целите на предотвратяването, разследването и наказателното преследване на престъпленията компетентните органи имат нужда да обработват лични данни, събрани в контекста на предотвратяването, разследването, разкриването или наказателното преследване на конкретни престъпления, извън този контекст, за да достигнат до разбиране на престъпните действия и да установят връзки между различни разкрити престъпления.

[…]

(29) Личните данни следва да се събират за конкретни, изрично указани и легитимни цели, попадащи в обхвата на настоящата директива, и следва да не се обработват за цели, несъвместими с целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществената сигурност и тяхното предотвратяване. Ако лични данни се обработват от същия или друг администратор за цел, попадаща в обхвата на настоящата директива и различна от целта, за която данните са били събрани, това обработване следва да е допустимо, при условие че е разрешено в съответствие с приложимите правни разпоредби и е необходимо и пропорционално на тази друга цел”.

11 Съгласно член1 („Предмет и цели”), параграф1:

„С настоящата директива се установяват правилата във връзка със защитата на физическите лица по отношение на обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществената сигурност и тяхното предотвратяване”.

12 Определенията на термините „лични данни” и „обработване”, съдържащи се съответно в точки 1 и 2 на член3 („Определения”) от посочената директива, възпроизвеждат определенията съгласно член4, точки 1 и 2 от ОРЗД.

13 Член3, точка7, букваа) и точка8 от Директива 2016/680 гласят:

„За целите на настоящата директива:

[…]

7. „компетентен орган” означава:

а) всеки публичен орган, който е компетентен за предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществената сигурност и тяхното предотвратяване; или

[…]

8. „администратор” означава компетентният орган, който сам или съвместно с други органи определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на Съюза или правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза или в правото на държавата членка”.

14 Член4 („Принципи, свързани с обработването на лични данни”), параграф1 от Директива 2016/680 предвижда:

„Държавите членки гарантират, че личните данни са:

[…]

б) събирани за конкретни, изрично указани и легитимни цели и не се обработват по начин, който е несъвместим с тези цели;

в) подходящи, относими и не надхвърлят необходимото във връзка с целите, за които данните се обработват;

[…]”.

15 Член4, параграф2 от Директива 2016/680 гласи:

„Обработването от същия или друг администратор за която и да е от целите, посочени в член1, параграф1, различна от целта, за която личните данни са събрани, се разрешава, при условие че:

а) администраторът е оправомощен да обработва такива лични данни за такава цел в съответствие с правото на Съюза или правото на държава членка; и

б) обработването е необходимо и пропорционално на тази различна цел в съответствие с правото на Съюза или правото на държава членка”.

16 Съгласно член6 от Директива 2016/680, озаглавен „Разграничение между различните категории субекти на данни”:

„Държавите членки предвиждат, когато е приложимо и доколкото е възможно, администраторът да прави ясно разграничение между личните данни на различни категории субекти на данни, например:

а) лица, за които има сериозни основания да се счита, че са извършили или ще извършат престъпление;

б) лица, осъдени за престъпление;

в) лица, пострадали от престъпление или лица, по отношение на които определени факти дават основание да се счита, че може да са пострадали от престъпление; […]

[…]”.

17 Съгласно член9 („Специфични условия за обработване”), параграфи 1 и 2 от Директива 2016/680:

„1. Личните данни, събирани от компетентните органи за целите, посочени в член1, параграф1, не се обработват за други цели, освен посочените в член1, параграф1, освен когато това обработване е разрешено от правото на Съюза или правото на държава членка. Когато личните данни се обработват за такива други цели се прилага [ОРЗД] освен ако обработването се извършва в хода на дейност, която е извън обхвата на правото на Съюза.

2. Когато съгласно правото на държава членка компетентните органи са натоварени с изпълнението на задачи, различни от тези за изпълнението на целите, посочени в член1, параграф1, за обработването за такива цели се прилага [ОРЗД] […], освен ако обработването се извършва в хода на дейност, която е извън обхвата на правото на Съюза”.

18 Член127 от Конституцията на Република България предвижда:

„Прокуратурата следи за спазване на законността, като:

1. ръководи разследването и упражнява надзор за законосъобразното му провеждане;

2. може да извършва разследване;

3. привлича към отговорност лицата, които са извършили престъпления, и поддържа обвинението по наказателни дела от общ характер;

[…]”.

19 Съгласно член1 от Закона за защита на личните данни (ДВ, бр.1 от 4януари 2002г., наричан по-нататък „ЗЗЛД”) целта на този закон е да осигури защита на физическите лица при обработване на личните им данни, уредено в ОРЗД, както и при обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществения ред и сигурност и тяхното предотвратяване.

20 Съгласно член17, алинея1 от ЗЗЛД ИВСС осъществява надзор и осигурява спазването на ОРЗД, на ЗЗЛД и на нормативните актове в областта на защитата на личните данни при обработване на такива данни, по-специално от прокуратурата и следствените органи при изпълнение на функциите им на органи на съдебната власт за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания. Член38б от ЗЗЛД предоставя на субекта на данни право да подаде жалба до ИВСС при нарушаване на правата му в частност от тези органи.

21 Член42, алинеи 2 и 3, член45, алинея2 и член47 от ЗЗЛД транспонират разпоредбите съответно на член9, параграфи 1 и 2, на член4, параграф2 и на член6 от Директива 2016/680.

22 Член191 от Наказателно-процесуалния кодекс (ДВ, бр.86 от 28октомври2005г.) в редакцията му, приложима към спора в главното производство, гласи:

„Досъдебно производство се провежда по дела от общ характер”.

23 Член192 от Наказателно-процесуалния кодекс в редакцията му, приложима към спора в главното производство, предвижда:

„Досъдебното производство включва разследване и действия на прокурора след приключване на разследването”.

24 Членове 8 и 9 от Гражданския процесуален кодекс (ДВ, бр.59 от 20юли 2007г.) в редакцията му, приложима към спора в главното производство, въвеждат съответно принципите на състезателност и равенство на страните.

25 Съгласно член154 („Доказателствена тежест”), алинея1 от Гражданския процесуален кодекс, в редакцията му, приложима към спора в главното производство:

„Всяка страна е длъжна да установи фактите, на които основава своите искания или възражения”.

26 Член2б от Закона за отговорността на държавата и общините за вреди (ДВ, бр.60 от 5август 1988г.) гласи:

„(1) Държавата отговаря за вредите, причинени на граждани и на юридически лица от нарушение на правото на разглеждане и решаване на делото в разумен срок съгласно чл.6, §1 от [Европейската конвенция за защита на правата на човека и основните свободи, подписана в Рим на 4ноември 1950г.].

(2) Исковете по ал.1 се разглеждат по реда на Гражданския процесуален кодекс, като съдът взема предвид общата продължителност и предмета на производството, неговата фактическа и правна сложност, поведението на страните и на техните процесуални или законни представители, поведението на останалите участници в процеса и на компетентните органи, както и други факти, които имат значение за правилното решаване на спора.

[…]”.

27 През 2013г. с постановление на прокурор при Районна прокуратура— Петрич е образувано досъдебно производство №252/2013 срещу неизвестен извършител за извършено престъпление по член325, алинея1 във връзка с член20, алинея2 от Наказателния кодекс по повод на настъпил в заведение инцидент. Жалбоподателят в главното производство (VS) участва в това досъдебно производство в качеството на пострадал от престъплението.

28 През 2016г. след няколко жалби по-специално срещу VS в Районна прокуратура— Петрич са образувани няколко преписки, съдържащи информация за това лице, без обаче да се започне досъдебно производство поради липса на данни за извършено престъпление.

29 През 2018г. в рамките на досъдебно производство №252/2013 прокурорът привлича като обвиняеми всички лица, участвали в инцидента, до който се отнася това производство, включително VS.

30 В рамките на гражданско производство VS предявява пред Окръжен съд— Благоевград (България) иск срещу Прокуратурата на Република България за обезщетение за вреди, произтичащи от продължителността на досъдебно производство №252/2013. За да осигури защитата на прокуратурата, в съдебното заседание от 15октомври 2018г. прокурор от Районна прокуратура— Петрич, който представлява прокуратурата, иска образуваните през 2016г. прокурорски преписки, посочени в точка28 от настоящото решение, да бъдат представени в рамките на въпросното производство. От акта за преюдициално запитване е видно, че по този начин прокурорът е искал да докаже, че изтъкнатите от жалбоподателя в главното производство здравословни проблеми не са в резултат от посоченото досъдебно производство (както твърди VS), а са свързани с проверките, извършени от полицията и от Районна прокуратура— Петрич във връзка с тези преписки. В това съдебно заседание Окръжен съд— Благоевград задължава посочената районна прокуратура да представи заверени копия на материалите по преписките, което съответният прокурор е направил.

31 На 12март 2020г. VS подава жалба до ИВСС, като твърди, че Районна прокуратура— Петрич е нарушила разпоредбите относно защитата на личните данни. От една страна, с първото си основание той поддържа, че прокуратурата неправомерно е използвала отнасящите се до него лични данни, събрани в качеството му на пострадал от престъпление, за целите на привличането му като обвиняем по същото досъдебно производство за същото деяние. От друга страна, с второто си основание той се позовава на неправомерното обработване на личните данни, събрани по посочените в точка28 от настоящото решение преписки, извършено от прокуратурата в производството по предявения от VS иск срещу Прокуратурата на Република България. С решение от 22юни 2020г. ИВСС отхвърля жалбата.

32 На 31юли 2020г. VS подава пред запитващата юрисдикция жалба срещу това решение, с която поддържа, от една страна, че обработването на личните му данни в рамките на досъдебно производство №252/2013 противоречи по-специално на принципите на Директива 2016/680 и от друга страна, че обработването на данните, събрани по посочените в точка28 от настоящото решение преписки, след като е постановен отказ за образуване на досъдебно производство по тях, нарушава принципите на ОРЗД.

33 Имайки предвид с оглед на практиката на Съда, че спорът в главното производство се отнася до обработването на лични данни в рамките на дейности, попадащи в приложното поле на ОРЗД и на Директива 2016/680, запитващата юрисдикция поставя въпроса за установените от правото на Съюза граници, що се отнася до последващото обработване на лични данни, събрани първоначално от администратора за целите на разследването и разкриването на престъпление.

34 По-конкретно, от една страна, запитващата юрисдикция поставя въпроса дали, в случай че Прокуратурата на Република България— като „компетентен орган” по смисъла на член3, точка7, букваа) от Директива 2016/680 и като „администратор” по смисъла на член3, точка8 от тази директива— е събрала за целите на разследването и разкриването на престъпление лични данни, отнасящи се до лице, което се разглежда като пострадал от престъплението към момента на събирането, последващото обработване на тези данни от същия орган за целите на наказателното преследване на това лице е обработване за цел, попадаща в обхвата на посочената директива, но различна от целите, за които разглежданите данни са били събрани по смисъла на член4, параграф2 от нея.

35 От друга страна, запитващата юрисдикция установява, че позоваването в производството по предявения от VS иск за отговорност на държавата за вреди на информацията относно това лице, съдържаща се в образуваните през 2016г. преписки по описа на Районна прокуратура— Петрич, има различна цел от тази, за която информацията е събрана, и отбелязва, че в рамките на това производство прокуратурата в качеството си на ответник не действа за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления. Запитващата юрисдикция обаче поставя въпроса дали самото съобщаване пред компетентния граждански съд, че посочените преписки се отнасят до VS, и самото представяне пред този съд изцяло или частично на материалите по преписките съставляват „обработване” на „лични данни” по смисъла на член4, точки 1 и 2 от ОРЗД, попадащо в обхвата на последния в съответствие с член2, параграф1 от него.

36 Освен това запитващата юрисдикция счита по същество, че спорът в главното производство повдига въпроса за съвместимостта на защитата на личните данни с правата на страна в съдебно производство, когато тези данни са събрани от последната в качеството ѝ на администратор по смисъла на член3, точка8 от Директива 2016/680, по-специално с оглед на член6, параграф1, първа алинея, буквае) от ОРЗД, който се отнася до необходимостта от обработване за целите на легитимните интереси на администратора.

37 Всъщност запитващата юрисдикция счита, че останалите основания, на които обработването на лични данни в обхвата на ОРЗД се приема за законосъобразно и които са посочени в член6, параграф1, първа алинея от този регламент, не са релевантни за спора в главното производство. По-специално тя счита, че разкриването от прокуратурата пред компетентния съд на информация за образуваните прокурорски преписки за целите на защитата ѝ в рамките на гражданско производство не е необходимо за изпълнението на задача от обществен интерес, нито е свързано с упражняването на официални правомощия по смисъла на член6, параграф1, първа алинея, буквад) от посочения регламент.

38 При тези обстоятелства Административен съд— Благоевград (България) решава да спре производството и да постави на Съда следните преюдициални въпроси:

„1) Следва ли член1, параграф1 от Директива [2016/680] да се тълкува в смисъл, че при посочване на целите изброява „предотвратяването, разследването, разкриването или наказателното преследване на престъпления” като аспекти на една обща цел?

2) а) Приложими ли са разпоредбите на [ОРЗД] спрямо Прокуратурата на Република България, поради това че събраната в качеството ѝ на „администратор” по член3, точка8 от Директива […] 2016/680 информация за едно лице, отнасяща се до образувана срещу него прокурорска преписка за проверка на данни за извършено престъпление, е използвана в защитата ѝ пред съд като страна в гражданско производство— чрез съобщаване на факта на образуването ѝ или чрез представяне на материалите от нея?

б) При утвърдителен отговор на този въпрос, [с]ледва ли изразът „легитимни интереси” в член6, параграф1, [първа алинея,] буквае) от [ОРЗД] да се тълкува в смисъл, че обхваща разкриването изцяло или частично на информация за едно лице, събрана в образувана срещу него прокурорска преписка за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления, ако е в защита на администратора като страна в гражданско производство, и изключва ли съгласието на субекта на данните?”.

39 Най-напред, следва да се отбележи, че макар по настоящото дело от формална гледна точка запитващата юрисдикция да ограничава първия си въпрос само до тълкуването на член1, параграф1 от Директива 2016/680, това обстоятелство не е пречка Съдът да ѝ предостави всички насоки за тълкуване, които могат да бъдат полезни по делото в главното производство, като извлече от цялата информация, предоставена от запитващата юрисдикция, и по-специално от мотивите на акта за преюдициално запитване, разпоредбите от правото на Съюза, които изискват тълкуване предвид предмета на спора (вж. в този смисъл решение от 22април 2021г., Profi Credit Slovakia, C‑485/19, EU:C:2021:313, т.50 и цитираната съдебна практика).

40 От това следва, че с първия си въпрос запитващата юрисдикция иска по същество да се установи дали член1, параграф1 във връзка с член4, параграф2 и член6 от Директива 2016/680 трябва да се тълкува в смисъл, че обработването на лични данни е за цел, различна от тази, за която са събрани данните, когато събирането на такива данни е извършено за целите на разкриването и разследването на престъпление и към момента на това събиране субектът на данни е бил считан за пострадал от престъплението, докато посоченото обработване е осъществено за целите на наказателното преследване на това лице след извършено разследване, както и дали това обработване е разрешено.

41 Съгласно постоянната съдебна практика при тълкуването на разпоредба на правото на Съюза трябва да се взема предвид не само нейният текст, но и контекстът ѝ и целите на правната уредба, от която тя е част. Генезисът на разпоредбата от правото на Съюза също може да разкрие обстоятелства, които са релевантни за тълкуването ѝ (вж. в този смисъл решение от 1октомври 2019г., Planet49, C‑673/17, EU:C:2019:801, т.48 и цитираната съдебна практика).

42 На първо място, следва най-напред да се отбележи, че текстът на член1, параграф1 от Директива 2016/680, който се отнася до нейния предмет, изрично разграничава различни категории дейности, за целите на които може да се извършва обработване на лични данни съгласно тази директива. В това отношение от текста на посочената разпоредба на различните езици, и по-специално на български, испански, немски, гръцки, английски и италиански език, следва, че различните цели, посочени в член1, параграф1 от Директива 2016/680, са „предотвратяването” на престъпленията, тяхното „разкриване”, „разследването” им, „наказателното преследване” на тези престъпления, „изпълнението на наказанията”, „предпазването” от „заплахи за обществената сигурност” и „предотвратяването” на такива заплахи.

43 По-нататък, текстът на член4, параграф2 от тази директива, според който обработването за „която и да е от целите, посочени в член1, параграф1 [от Директивата], различна от целта, за която личните данни са събрани”, се разрешава, при условие че са спазени изискванията по тази разпоредба, изрично потвърждава, че изброените във въпросния член1, параграф1 термини— а именно „предотвратяване”, „разкриване”, „разследване”, „наказателно преследване”, „изпълнение на наказания”, „предпазване от заплахи за обществената сигурност” и „предотвратяване на такива заплахи”— се отнасят до множество отделни цели на обработването на лични данни, попадащо в обхвата на същата директива.

44 Така от самия текст на член1, параграф1 от Директива 2016/680 във връзка с член4, параграф2 от нея следва, че когато лични данни са събрани за целите на „разкриването” и „разследването” на престъпление и впоследствие са обработени за целите на „наказателно преследване”, посоченото събиране и посоченото обработване на данни имат различни цели.

45 Накрая, следва да се отбележи, че съгласно член6 от същата директива държавите членки са длъжни да предвидят, когато е приложимо и доколкото е възможно, администраторът да прави ясно разграничение между личните данни на различни категории субекти на данни, като например посочените в букви а), б) и в) от този член, тоест съответно лицата, за които има сериозни основания да се счита, че са извършили или ще извършат престъпление, лицата, осъдените за престъпление, и лицата, пострадали от престъпление или лицата, по отношение на които определени факти дават основание да се счита, че може да са пострадали от престъпление.

46 Следователно лице, чиито лични данни се обработват за целите на наказателното му преследване, трябва да се разглежда като спадащо към категорията на лицата, за които има сериозни основания да се счита, че са извършили престъпление, по смисъла на член6, букваа) от Директива 2016/680. Ето защо, ако, както е в посочения в първия въпрос случай, това лице първоначално е било считано за пострадало от престъпление по смисъла на член6, буквав) от тази директива, то въпросното обработване отразява промяна в категорията на посоченото лице, като това обстоятелство трябва да се вземе предвид от администратора съгласно предвиденото в този член изискване за ясно разграничение между данните на различните категории субекти на данни.

47 Въпреки това се налага изводът, че нито член1, параграф1, нито член4, параграф2 от Директива 2016/680 препращат към член6 от тази директива или към съдържанието му, за да се определи целта на обработването на лични данни, попадащо в приложното поле на посочената директива.

48 Впрочем, както по същество отбелязва генералният адвокат в точка62 от заключението си, изразът „когато е приложимо и доколкото е възможно”, използван в член6 от Директива 2016/680, ясно показва, че невинаги е възможно да се направи ясно разграничение между такива данни, по-специално когато (както в случая) те са събрани за целите на „разследване” или за целите на „разкриването” на престъпление, при положение че едно и също лице може да попада в няколко от посочените в член6 от тази директива категории лица и определянето на съответните категории може да се променя в хода на досъдебното производство поради постепенното изясняване на фактите.

49 От горното следва да се заключи, че член6 от Директива 2016/680 установява задължение, различно от предвиденото в член4, параграф2 от нея, и че както изтъква генералният адвокат в точки 61—64 от заключението си, посоченото задължение не е релевантно, за да се определи дали обработването на лични данни е с цел, различна от целта, за която тези данни са събрани по смисъла на последната разпоредба.

50 На второ място, що се отнася до контекста на разглежданата правна уредба, следва да се отбележи, че член4, параграф1, букви б) и в) от Директива 2016/680 предвижда, от една страна, че личните данни трябва да бъдат събирани за конкретни, изрично указани и легитимни цели и да не се обработват по начин, който е несъвместим с тези цели, и от друга страна, че тези данни трябва да бъдат подходящи, относими и да не надхвърлят необходимото във връзка с целите, за които данните се обработват. Тези две изисквания по същество са предвидени по същия начин в член5, параграф1, букви б) и в) от ОРЗД, в който се уточнява, че те отговарят съответно на принципите за ограничение на целите и за свеждане на данните до минимум.

51 Следва обаче да се отбележи с оглед на съображение29 от тази директива, че член4, параграф2 от нея разрешава последващо обработване на лични данни с цел, различна от целта, за която данните са събрани, стига тази цел да е една от посочените в член1, параграф1 от същата директива и обработването да отговаря на двете условия, предвидени в член4, параграф2, букви а) и б). От една страна, администраторът трябва да бъде оправомощен да обработва посочените данни за такава цел в съответствие с правото на Съюза или правото на държава членка. От друга страна, обработването трябва да е необходимо и пропорционално на тази различна цел.

52 По-специално личните данни, събирани за целите на „предотвратяване” и „разкриване” на престъпления или на „разследване” на такива престъпления, могат евентуално да бъдат обработвани впоследствие от различни компетентни органи с оглед на „наказателното преследване” или „изпълнението на наказания”, когато е установено извършването на престъпление, което следователно налага прилагането на държавна принуда.

53 Въпреки това при събирането на лични данни с цел „разкриване” и „разследване” на престъпления компетентните органи събират всякакви данни, които са потенциално релевантни за определянето на съответното престъпно деяние на етап, на който извършването му все още не е установено. За сметка на това при обработването на личните данни за целите на „наказателно преследване” тези данни се използват, за да се установи дали са събрани достатъчно доказателства относно деянията, вменени на лицата, срещу които се води наказателно производство, както и дали правната квалификация на тези деяния е правилна, така че да се даде възможност на компетентния съд да се произнесе.

54 Следователно, от една страна, личните данни, необходими за целите на „разкриването” и „разследването” на дадено престъпление, няма непременно да бъдат необходими за целите на „наказателното преследване”. От друга страна, последиците от обработването на лични данни за субектите на данните могат да се различават съществено, що се отнася по-специално до степента на намеса в правото им на защита на тези данни и до отражението на това обработване върху правното им положение в рамките на разглежданото наказателно производство.

55 В допълнение, следва да се отбележи, че приложното поле на посочения член4, параграф2 не се ограничава до обработването на лични данни във връзка със същото престъпление, което е обосновало събирането на въпросните данни. Всъщност, както се посочва в съображение27 от Директива 2016/680, тя отчита необходимостта компетентните органи в областта на борбата с престъпленията да обработват лични данни за цел, различна от тази, довела до събирането на тези данни, по-специално за да достигнат до по-добро разбиране на престъпните действия и да установят връзки между различни разкрити престъпления.

56 От изложеното по-горе следва, че за да се отговори на изискванията, посочени в член4, параграф2, букви а) и б) от Директива 2016/680, преценката за спазването им при обработване— от същия или от друг администратор— на лични данни за някоя от посочените в член1, параграф1 цели, различна от целите, за които тези данни са събрани, трябва да се извършва, като всяка от посочените в член1, параграф1 цели се разглежда като специфична и отделна.

57 На трето място, що се отнася до целите на разглежданата правна уредба, следва да се отбележи, че както следва от съображения 10 и 11 от Директива 2016/680, законодателят на Съюза е искал да приеме правила, които отчитат специфичното естество на обхванатата от тази директива област.

58 В това отношение съгласно съображение12 дейностите, извършвани от полицията или други правоприлагащи органи, включително полицейски дейности, без предварително да е известно дали даден инцидент съставлява престъпление, основно се съсредоточават върху предотвратяването, разследването, разкриването или наказателното преследване на престъпления.

59 От това следва, че законодателят на Съюза е искал да приеме правила, съответстващи на характерните особености на дейностите, извършвани от компетентните органи в уредената с тази директива област, като същевременно се отчита обстоятелството, че това са отделни дейности, преследващи характерни за тях цели.

60 Това тълкуване, извършено с оглед на контекста на разглежданата разпоредба и на целите, преследвани от правната уредба, от която тя е са част, се потвърждава от нейния генезис, и по-специално от изложението на мотивите на Съвета относно Позиция (ЕС) №5/2016 на Съвета на първо четене с оглед на приемането на директива на Европейския парламент и на Съвета относно защитата на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления, или изпълнението на наказателни санкции, и относно свободното движение на такива данни и за отмята на Рамково решение 2008/977/ПВР на Съвета (OB C158, 2016г., стр.46). Всъщност в това изложение на мотивите Съветът обосновава въвеждането на посочената разпоредба в Директива 2016/680, като посочва, че тя „позволява, например, прокурор да обработва за целите на наказателно преследване на престъпление същите лични данни като тези, които полицията обработва за целите на разкриване на престъпления, като се има предвид, че двете цели в примера са обхванати от член1, параграф1 [от тази директива]”.

61 Следователно, за да разреши спора в главното производство, запитващата юрисдикция трябва да прецени дали обработването на личните данни на VS, извършено от Районна прокуратура— Петрич за целите на наказателното преследване на това лице, може да бъде разрешено с оглед на условията по член4, параграф2 от Директива 2016/680, като провери, от една страна, дали българското наказателно право позволява на този орган да извърши това обработване и от друга страна, дали то е било необходимо и пропорционално на целта, която преследва.

62 В това отношение следва да се отбележи, че за да прецени необходимостта и пропорционалността на такова обработване, запитващата юрисдикция ще може евентуално да вземе предвид обстоятелството, че отговорният за наказателното преследване орган трябва да може да използва събраните в хода на посоченото разследване данни като доказателства относно престъпното деяние, и по-специално данните относно участвалите в него лица, доколкото тези данни са необходими за идентифицирането им и за определянето на начина им на участие.

63 По изложените съображения на първия въпрос следва да се отговори, че член1, параграф1 във връзка с член4, параграф2 и член6 от Директива 2016/680 трябва да се тълкува в смисъл, че обработването на лични данни е за цел, различна от тази, за която данните са събрани, когато събирането на такива данни е извършено за целите на разкриването и разследването на престъпление, докато посоченото обработване е осъществено за целите на наказателното преследване на определено лице след извършено разследване, независимо от обстоятелството, че към момента на събирането това лице е било считано за пострадало от престъплението. Такова обработване е разрешено по силата на член4, параграф2 от тази директива, стига да отговаря на предвидените в тази разпоредба условия.

64 С втория си въпрос запитващата юрисдикция по същество иска да се установи, от една страна, дали член3, точка8 и член9, параграфи 1 и 2 от Директива 2016/680, както и член2, параграфи 1 и 2 от ОРЗД трябва да се тълкуват в смисъл, че този регламент е приложим към обработването на лични данни от прокуратурата на държава членка за целите на упражняването на правото ѝ на защита срещу иск за отговорност на държавата за вреди в случая, когато тя съобщава на компетентния съд за съществуването на преписки относно физическо лице, страна в производството по този иск, които са били образувани за посочените в член1, параграф1 от тази директива цели, и представя тези преписки пред въпросния съд, и от друга страна, дали при утвърдителен отговор на този въпрос член6, параграф1, първа алинея, буквае) от посочения регламент трябва да се тълкува в смисъл, че такова обработване на лични данни може да се счита за законосъобразно за целите на легитимните интереси на администратора по смисъла на тази разпоредба.

65 В писменото си становище ИВСС оспорва допустимостта на втория въпрос, тъй като според него той е поставен от запитващата юрисдикция в контекста на разглеждането на оплакване на VS, което е отхвърлено като недопустимо в решението, обжалвано в главното производство, поради изтичането на законоустановения срок за изтъкването му.

66 Съгласно постоянната практика на Съда въпросите, свързани с тълкуването на правото на Съюза и поставени от националния съд в нормативната и фактическата рамка, която той определя съгласно своите правомощия и проверката на чиято точност не е задача на Съда, се ползват с презумпция за релевантност. Съдът може да откаже да се произнесе по отправеното от национална юрисдикция преюдициално запитване само когато е съвсем очевидно, че исканото тълкуване на правото на Съюза няма никаква връзка с действителността или с предмета на спора в главното производство, когато проблемът е от хипотетично естество или когато Съдът не разполага с необходимите данни от фактическа и правна страна, за да бъде полезен с отговора на поставените му въпроси (вж. в този смисъл решение от 27септември 2017г., Puškár, C‑73/16, EU:C:2017:725, т.50 и цитираната съдебна практика).

67 В случая следва да се отбележи, както подчертава генералният адвокат в точки 76 и 77 от заключението си, че въпросът за допустимостта на оплакванията на VS в жалбата му пред ИВСС е изцяло от компетентността на запитващата юрисдикция. Впрочем в акта за преюдициално запитване тази юрисдикция посочва, че счита втория въпрос за релевантен, независимо че ИВСС е отхвърлил като недопустимо посоченото в точка65 от настоящото решение оплакване. При всички положения Съдът не следва да осъществява контрол върху тази преценка.

68 Ето защо вторият въпрос е допустим.

69 На първо място, следва да се определи дали използването от прокуратурата на държава членка— за целите на упражняването на правото ѝ на защита в рамките на гражданско производство— на информация относно физическо лице, която тя е събрала и обработила за цели, попадащи в обхвата на член1, параграф1 от Директива 2016/680, представлява „обработване” на „лични данни” по смисъла на член4, точки 1 и 2 от ОРЗД.

70 Най-напред, следва да се припомни, че „лични данни” по смисъла на член4, точка1 от ОРЗД са „всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано”, имайки предвид, че съгласно съдебната практика това определение е приложимо, когато поради своето съдържание, крайна цел и последици информацията е свързана с определено лице (вж. в този смисъл решение от 20декември 2017г., Nowak, C‑434/16, EU:C:2017:994, т.35). Освен това съгласно член4, точка2 от ОРЗД понятието „обработване” означава „всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства” като например „консултиране”, „употреба”, „разкриване чрез предаване”, „разпространяване” или „друг начин, по който данните стават достъпни”. Тези определения отразяват целта на законодателя на Съюза да придаде широк смисъл на тези две понятия (вж. в този смисъл решения от 20декември 2017г., Nowak, C‑434/16, EU:C:2017:994, т.34 и от 24февруари 2022г., Valsts ieņēmumu dienests (Обработка на лични данни за данъчни цели), C‑175/20, EU:C:2022:124, т.35).

71 В това отношение, от една страна, обстоятелството, че ответникът в гражданско производство е съобщил на компетентния съд— макар и лаконично в писмените си изявления или в съдебното заседание— за образуването на преписки относно физическото лице, което е инициирало това производство, по-специално за целите на „разкриването” или „разследването” на престъпление, означава, че ответникът „е консултирал”, „употребил” и „предал” или „разкрил” „лични данни” по смисъла на член4, точки 1 и 2 от ОРЗД. Така както по съдържание, така и по крайна цел и последици тази информация е свързана с определено лице, което може да бъде идентифицирано както от страната, която е разкрила информацията, така и от съда, на който последната е предадена.

72 От друга страна, обстоятелството, че по искане на компетентния съд ответникът представя прокурорските преписки срещу посоченото физическо лице, предполага най-малкото „употребата” и „разкриването чрез предаване” на „лични данни” по смисъла на член4, точки 1 и 2 от ОРЗД.

73 На второ място, следва да се припомни, че член2, параграф1 от ОРЗД определя широко материалния обхват на този регламент (решение от 22юни 2021г., Latvijas Republikas Saeima (Точки за пътнотранспортни нарушения), C‑439/19, EU:C:2021:504, т.61), който включва всяко „обработване[…] на лични данни изцяло или частично с автоматични средства, както и […] обработването с други средства на лични данни, които са част от регистър с лични данни или които са предназначени да съставляват част от регистър с лични данни”. С оглед на това широко определение изброените в член2, параграф2 изключения от прилагането на ОРЗД трябва да се тълкуват стриктно. Такъв по-конкретно е случаят с предвиденото в член2, параграф2, букваг) изключение, което се отнася до обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наложените наказания (вж. в този смисъл решение от 24февруари 2022г., Valsts ieņēmumu dienests (Обработка на лични данни за данъчни цели), C‑175/20, EU:C:2022:124, т.40 и 41 и цитираната съдебна практика).

74 В това отношение Съдът е постановил, че както следва от съображение19 от този регламент, въпросното изключение е мотивирано от обстоятелството, че обработването на лични данни от компетентните органи за целите, посочени в член2, параграф2, букваг) от ОРЗД, се урежда от по-специфичен акт на Съюза, а именно от Директива 2016/680, която е приета същия ден като ОРЗД (вж. в този смисъл решение от 24февруари 2022г., Valsts ieņēmumu dienests (Обработка на лични данни за данъчни цели), C‑175/20, EU:C:2022:124, т.42 и цитираната съдебна практика).

75 Както следва от съображение12 от Директива 2016/680, в член9 от нея законодателят на Съюза е предвидил правила относно обработването на лични данни за цели, различни от посочените в член1, параграф1 от Директивата, за които тези данни са събрани.

76 В това отношение член9, параграф1 от Директива 2016/680 предвижда, от една страна, че такова обработване на лични данни по принцип не може да се извършва, освен когато е разрешено от правото на Съюза или правото на държава членка, и от друга страна, че ОРЗД се прилага за това обработване, освен ако то се извършва в хода на дейност, която е извън обхвата на правото на Съюза. В допълнение, съгласно член9, параграф2 от тази директива, освен ако обработването се извършва в хода на такава дейност, ОРЗД е приложим към обработването, извършвано от компетентните органи при изпълнението на техните задачи, различни от тези за изпълнението на целите, посочени в член1, параграф1 от Директивата.

77 В хипотезите, посочени в точки 71 и 72 от настоящото решение, събирането и обработването на лични данни от прокуратурата на държава членка за целите на „предотвратяване”, „разкриване”, „разследване” или „наказателно преследване” на престъпления със сигурност представляват обработване на лични данни за целите, посочени в член1, параграф1 от Директива 2016/680, по смисъла на член9, параграфи 1 и 2 от тази директива.

78 При все това, макар предявяването на иск за отговорност на държавата за вреди да е следствие от предполагаеми нарушения, допуснати от прокуратурата в рамките на наказателно производство, каквито са (както е в случая) твърдените нарушения на правото на разглеждане и решаване на делото в разумен срок, защитата на държавата по такъв иск няма за цел да осигури изпълнението на задачите, възложени на прокуратурата за целите по член1, параграф1 от Директива 2016/680.

79 Освен това с оглед на принципа на стриктно тълкуване на изключенията от прилагането на ОРЗД, същото обработване на лични данни не може да се счита за извършено „в хода на дейност, която е извън обхвата на правото на Съюза” по смисъла на член2, параграф2, букваа) от ОРЗД и на член9, параграфи 1 и 2 от Директива 2016/680. В това отношение, видно от съдебната практика, този израз има за единствен предмет изключването от приложното поле на ОЗРД обработването на лични данни, извършвано от държавните органи в рамките на дейност, насочена към запазване на националната сигурност, или на дейност, която може да бъде причислена към същата категория. Участието на публичен орган в гражданско производство като ответник по иск за отговорност на държавата за вреди не е насочено към защита на националната сигурност и не може да бъде причислено към същата категория на дейности (вж. в този смисъл решение от 22юни 2021г., Latvijas Republikas Saeima (Точки за пътнотранспортни нарушения), C‑439/19, EU:C:2021:504, т.66—68 и цитираната съдебна практика).

80 На трето място, следва да се отбележи, че за целите на прилагането на ОРЗД към обработването на данни, посочено в точки 71 и 72 от настоящото решение, прокуратурата трябва да се счита за „администратор” по смисъла не само на член4, точка7 от ОРЗД, но и на член3, точка8 от Директива 2016/680, който „сам или съвместно с други органи определя целите и средствата” на това обработване по смисъла на последната разпоредба. Всъщност именно този орган, в качеството си на страна в производството, уведомява компетентния съд за съществуването на образувани прокурорски преписки, отнасящи се до другата страна, и му предоставя тези преписки. Качеството му на „администратор”— предвид широкото определение на това понятие, което има за цел да се гарантира ефикасна и пълна защита на субектите на данни— не зависи от степента му на участие и от конкретната му отговорност, които могат да са различни от тези на компетентната юрисдикция, която следва да разреши или дори да разпореди такова обработване (вж. по аналогия решение от 29юли 2019г., Fashion ID, C‑40/17, EU:C:2019:629, т.66—70).

81 Независимо от въпроса дали обработването на данни, посочено в точка80 от настоящото решение, попада в обхвата на параграф1 или на параграф2 на член9 от Директива 2016/680, от текста на тези параграфи и от връзката между тях следва, че ОРЗД се прилага за всяко обработване за други цели на лични данни, събрани за целите по член1, параграф1 от тази директива (освен когато това обработване е извън обхвата на правото на Съюза), включително когато „администраторът” по смисъла на член3, точка8 от посочената директива е „компетентен орган” по смисъла на член3, точка7, букваа) от нея и обработва лични данни при изпълнението на задачи, различни от тези за изпълнението на целите, посочени в член1, параграф1 от същата директива.

82 По изложените съображения следва да се приеме, че ОРЗД е приложим към обработването на лични данни, извършвано от прокуратурата на държава членка, за да упражни правото си на защита в производство по иск за отговорност на държавата за вреди, когато, от една страна, тя съобщава на компетентния съд за наличието на преписки относно физическо лице, страна в това производство, образувани за целите по член1, параграф1 от Директива 2016/680, и от друга страна, тя представя тези преписки пред посочения съд.

83 Следва да се припомни, че в член6 от ОРЗД са изчерпателно изброени случаите, в които обработването на лични данни може да се счита за законосъобразно (вж. в този смисъл решение от 22юни 2021г., Latvijas Republikas Saeima (Точки за пътнотранспортни нарушения), C‑439/19, EU:C:2021:504, т.99).

84 Сред тези случаи член6, параграф1, първа алинея, буквад) от ОРЗД предвижда обработването, необходимо за изпълнението на задача от обществен интерес или при упражняването на официални правомощия, които са предоставени на администратора, а член6, параграф1, първа алинея, буквае) от този регламент се отнася до обработването, необходимо за целите на легитимните интереси на администратора или на трета страна, освен когато пред такива интереси преимущество имат интересите или основните права и свободи на субекта на данните, които изискват защита на личните данни. Съгласно член6, параграф1, втора алинея от посочения регламент член6, параграф1, първа алинея, буквае) от него не се прилага за обработването, което се извършва от публични органи при изпълнението на техните задачи.

85 Следва да се отбележи, че както правилно изтъква Европейската комисия в писменото си становище, от текста на член6, параграф1, втора алинея от ОРЗД ясно следва, че обработването на лични данни, извършвано от публичен орган при изпълнението на неговите задачи, не може да попадне в приложното поле на член6, параграф1, първа алинея, буквае) от ОРЗД, който се отнася до обработването на лични данни, необходимо за целите на легитимните интереси на администратора. Както следва от съображение47 от ОРЗД и както изтъква Комисията, последната разпоредба не може да се прилага за такова обработване на данни, тъй като правното основание за него трябва да бъде уредено от законодателя. От това следва, че когато обработването, извършвано от публичен орган, е необходимо за изпълнението на задача от обществен интерес и следователно е свързано със задачите, посочени в член6, параграф1, втора алинея от този регламент, то прилагането на член6, параграф1, първа алинея, буквад) от ОРЗД и на член6, параграф1, първа алинея, буквае) от него се изключват взаимно.

86 Ето защо, преди да се разгледа въпросът за прилагането на член6, параграф1, първа алинея, буквае) от ОРЗД, следва да се определи дали обработването от прокуратурата на държава членка на лични данни— първоначално събрани с оглед на една или повече от целите, посочени в член1, параграф1 от Директива 2016/680— с цел да се осигури защитата на държавата или на публичен орган в производство по иск за обезщетение за вреди, причинени от държавата или от публичен орган при изпълнението на задачите им, е необходимо за изпълнението на задача от обществен интерес или при упражняването на официални правомощия, които са ѝ предоставени, по смисъла на член6, параграф1, първа алинея, буквад) от този регламент.

87 Както по същество отбелязва генералният адвокат в точки 94 и 100 от заключението си, когато прокуратурата трябва да защитава правните и имуществените интереси на държавата в производство по иск за отговорност за вреди, с който се поставят под въпрос действията или поведението ѝ при изпълнението на възложените ѝ задачи от обществен интерес в областта на наказателното право, защитата на тези интереси може да представлява— по силата на националното право— задача от обществен интерес по смисъла на член6, параграф1, първа алинея, буквад) от посочения регламент.

88 Всъщност, от една страна, с упражняването на процесуалните права, които са му предоставени като ответник, посоченият публичен орган запазва правната сигурност във връзка с извършените в обществен интерес действия и приетите в обществен интерес решения, оспорени от ищеца. Вземайки отношение по основанията и доводите на ищеца, публичният орган би могъл евентуално да избегне опасността те да попречат на ефективното прилагане на правилата, което е негово задължение в рамките на задачите, за които се твърди, че е изпълнил неправомерно.

89 От друга страна, със своите защитни доводи и основания същият публичен орган би могъл да подчертае (когато случаят е такъв) евентуално неоснователния или прекомерен характер на претенциите за обезщетение на ищеца, с цел по-специално да се избегне изпълнението на задачите от обществен интерес, оспорено с иска за отговорност за вреди, да бъде възпрепятствано от перспективата за предявяване на искове за обезщетение, когато тези задачи могат да засегнат интересите на частноправните субекти.

90 В това отношение е без значение обстоятелството, че в производство по иск за отговорност на държавата за вреди прокуратурата действа в качеството на ответник при равенство с другите страни и не упражнява властови правомощия, какъвто е случаят при изпълнението на нейните задачи в областта на наказателното право.

91 В настоящия случай от акта за преюдициално запитване, както и от уточненията, направени от българското правителство в отговор на въпросите на Съда, е видно, че искът за отговорност на държавата за вреди, който отчасти е в основата на спора в главното производство, се основава на Закона за отговорността на държавата и общините за вреди, посочен в точка26 от настоящото решение, който въвежда режим на отговорност на държавата за вреди, причинени от нарушение на правото на разглеждане и решаване на делото в разумен срок, както и че в съответствие с член7 от този закон именно органът, от чиито незаконни актове, действия или бездействия са причинени вредите, е страна по делото, която замества държавата в производството като процесуален субституент.

92 Така ролята на органа, стоящ в основата на твърдяната вреда в производството по такъв иск, е различна от ролята на ответника по регресен иск на държавата, насочен срещу длъжностното лице, чиято лична отговорност се ангажира поради нарушения при упражняване на функциите му, тъй като в последната хипотеза тази роля е свързана със защитата на частни интереси (вж. в този смисъл решение от 18май 2021г., Asociaţia „Forumul Judecătorilor din România” и др., C‑83/19, C‑127/19, C‑195/19, C‑291/19, C‑355/19 и C‑397/19, EU:C:2021:393, т.225).

93 Ето защо по изложените по-горе съображения следва да се приеме, че обработването от прокуратурата на държава членка на лични данни— първоначално събрани и обработени с оглед на една или повече от целите, посочени в член1, параграф1 от Директива 2016/680— с цел да се осигури защитата на държавата в производство по иск за обезщетение за вреди, причинени поради действията на тази прокуратура при изпълнението на задачите ѝ, по принцип следва да попада не в обхвата на член6, параграф1, първа алинея, буквае) от ОРЗД, а по-скоро в обхвата на член6, параграф1, първа алинея, буквад) от ОРЗД.

94 Освен това не може да се изключи, че когато за целите на защитата на държавата в производство по иск за отговорност за вреди прокуратурата на държава членка предава лични данни на компетентния съд по искане на последния, това предаване би могло да попадне и в обхвата на член6, параграф1, първа алинея, буквав) от ОРЗД, когато по силата на приложимото национално право посочената прокуратура е задължена да изпълни такова искане.

95 При това положение, за да установи дали обработване на лични данни като разглежданото в главното производство попада в обхвата на тези разпоредби на член6, параграф1, първа алинея от ОРЗД, запитващата юрисдикция следва да провери дали в съответствие с член6, параграф3 от този регламент националното право определя, от една страна, основанието за такова обработване и от друга страна, целите на това обработване или, що се отнася до член6, параграф1, първа алинея, буквад) от ОЗРД, дали обработването е необходимо за изпълнението от прокуратурата на нейната задача от обществен интерес.

96 Освен това запитващата юрисдикция следва да определи дали разкриването от прокуратурата на данни относно предявилото иска лице, които се съдържат се в преписки, образувани по случаи, различни от стоящия в основата на този иск, съответства на другите изисквания по ОРЗД, и по-специално на принципа на „свеждане на данните до минимум”, съдържащ се в член5, параграф1, буквав) от ОРЗД, съгласно който личните данни трябва да бъдат подходящи, свързани със и ограничени до необходимото във връзка с целите, за които се обработват, и който дава израз на принципа на пропорционалност (вж. в този смисъл решение от 22юни 2021г., Latvijas Republikas Saeima (Точки за пътнотранспортни нарушения), C‑439/19, EU:C:2021:504, т.98). Освен това тя трябва да провери дали това обработване на лични данни е извършено при наличието на подходящи гаранции, по-специално на възможност за ефективно обсъждане на данните и доказателствата, представени от прокуратурата в това отношение, но също така— в съответствие с член21, параграф1 от ОРЗД— за възражение срещу съобщаването на тези данни и доказателства на компетентния съд (при спазване на ограниченията на това право на възражение, предвидени в националното право, в съответствие с член23, параграф1 от този регламент).

97 С оглед на всичко изложено по-горе на втория въпрос следва да се отговори, че:

– член3, точка8 и член9, параграфи 1 и 2 от Директива 2016/680, както и член2, параграфи1 и 2 от ОРЗД трябва да се тълкуват в смисъл, че този регламент е приложим към обработването на лични данни, извършвано от прокуратурата на държава членка, за да упражни правото си на защита в производство по иск за отговорност на държавата за вреди, когато, от една страна, тя съобщава на компетентния съд за наличието на преписки относно физическо лице, страна в това производство, образувани за целите по член1, параграф1 от Директива 2016/680, и от друга страна, тя представя тези преписки пред посочения съд,

– член6, параграф1 от ОРЗД трябва да се тълкува в смисъл, че когато иск за отговорност на държавата за вреди се основава на твърдени нарушения на прокуратурата при изпълнението на нейните задачи в областта на наказателното право, такова обработване на лични данни може да се счита за законосъобразно, ако е необходимо за изпълнението на задача от обществен интерес (по смисъла на член6, параграф1, първа алинея, буквад) от този регламент), свързана със защита на правните и имуществените интереси на държавата и поверена на прокуратурата в рамките на това производство въз основа на националното право, стига посоченото обработване на лични данни да отговаря на всички приложими изисквания съгласно посочения регламент.

98 С оглед на обстоятелството, че за страните по главното производство настоящото дело представлява отклонение от обичайния ход на производството пред запитващата юрисдикция, последната следва да се произнесе по съдебните разноски. Разходите, направени за представяне на становища пред Съда, различни от тези на посочените страни, не подлежат на възстановяване.

По изложените съображения Съдът (пети състав) реши:

1) Член1, параграф1 във връзка с член4, параграф2 и член6 от Директива (ЕС) 2016/680 на Европейския парламент и на Съвета от 27април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания и относно свободното движение на такива данни, и за отмяна на Рамково решение 2008/977/ПВР на Съвета

2) Член3, точка8 и член9, параграфи 1 и 2 от Директива 2016/680, както и член2, параграфи1 и 2 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните)

3) Член6, параграф1 от Регламент 2016/679

Подписи