Wyrok Trybunału (piąta izba) z dnia 8 grudnia 2022 r. (wniosek o wydanie orzeczenia w trybie prejudycjalnym złożony przez Administrativen sad – Blagoevgrad – Bułgaria) – VS/Inspektor v Inspektorata kam Visshia sadeben savet
(Sprawa C-180/21)1
Odesłanie prejudycjalne – Ochrona osób fizycznych w zakresie przetwarzania danych osobowych – Rozporządzenie (UE) 2016/679 – Artykuły 2, 4 i 6 – Możliwość stosowania rozporządzenia nr 2016/679 – Pojęcie „prawnie uzasadnionego interesu” – Pojęcie „zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej”– Dyrektywa (UE) 2016/680 – Artykuły 1, 3, 4, 6 i 9 – Zgodność z prawem przetwarzania danych osobowych zgromadzonych w ramach postępowania karnego – Dalsze przetwarzanie danych dotyczących potencjalnej ofiary czynu zabronionego dla celów oskarżenia tej osoby – Pojęcie „celu innego niż cel, w którym dane osobowe zostały zebrane” – Dane używane przez prokuraturę państwa członkowskiego w celu jej obrony w ramach skargi o stwierdzenie odpowiedzialności odszkodowawczej państwa
Język postępowania: bułgarski
Sąd odsyłający
Administrativen sad – Blagoevgrad
Strony w postępowaniu głównym
Strona skarżąca: VS
Strona przeciwna: Inspektor v Inspektorata kam Visshia sadeben savet
Przy udziale: Teritorialno otdelenie – Petrich kam Rayonna prokuratura – Blagoevgrad
Sentencja
Artykuł 1 ust. 1 dyrektywy Parlamentu Europejskiego i Rady (UE) 2016/680 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w sprawie swobodnego przepływu takich danych oraz uchylającej decyzję ramową Rady 2008/977/WSiSW rozpatrywany w związku z art. 4 ust. 2 i art. 6 tej dyrektywy
należy interpretować w ten sposób, że:
przetwarzanie danych osobowych realizuje cel inny niż cel, dla którego te dane zostały zgromadzone, gdy gromadzenie takich danych było przeprowadzane dla celów wykrycia czynu zabronionego i związanego z nim dochodzenia, podczas gdy wspomniane przetwarzanie jest przeprowadzane dla celów ścigania danej osoby w rezultacie wspomnianego dochodzenia, i to niezależnie od okoliczności, że osoba ta była uznana za ofiarę w chwili wspomnianego gromadzenia danych osobowych, i że takie przetwarzanie jest dozwolone na mocy art. 4 ust. 2 tej dyrektywy, pod warunkiem że spełnia przesłanki określone w tym przepisie.
Artykuł 3 pkt 8 i art. 9 ust. 1 i 2 dyrektywy 2016/680 oraz art. 2 ust. 1 i 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych)
należy interpretować w ten sposób, że:
rozporządzenie to ma zastosowanie do przetwarzania danych osobowych przeprowadzanego przez prokuraturę państwa członkowskiego dla celów wykonania przez nią prawa do obrony w ramach skargi o stwierdzenie odpowiedzialności odszkodowawczej państwa, gdy, po pierwsze, powiadamia ona właściwy sąd o istnieniu akt spraw dotyczących osoby fizycznej będącej stroną postępowania dotyczącego tej skargi, wszczętych dla celów wskazanych w art. 1 ust. 1 dyrektywy 2016/680, i, po drugie, przekazuje ona te akta spraw temu sądowi.
Artykuł 6 ust. 1 rozporządzenia 2016/679
należy interpretować w ten sposób, że:
w wypadku gdy skarga o stwierdzenie odpowiedzialności odszkodowawczej państwa jest oparta na naruszeniach zarzucanych prokuraturze w ramach wykonywania jej zadań w zakresie postępowania karnego, takie przetwarzanie danych osobowych można uznać za zgodne z prawem, jeśli jest niezbędne do wykonywania zadania realizowanego w interesie publicznym w rozumieniu art. 6 ust. 1 akapit pierwszy lit. e) tego rozporządzenia, związanego z ochroną interesów prawnych i majątkowych państwa powierzoną prokuraturze w ramach tego postępowania na podstawie prawa krajowego, pod warunkiem że wspomniane przetwarzanie danych spełnia wszystkie mające zastosowanie wymogi przewidziane we wspomnianym rozporządzeniu.
____________
1 Dz.U. C 206 z 31.5.2021.