–

за VS, от В. Харизанова,

–

за инспектора в Инспектората към Висшия съдебен съвет, от С. Мулячка,

–

за българското правителство, от М. Георгиева и Ц. Митова, в качеството на представители,

–

за чешкото правителство, от O. Serdula, M. Smolek и J. Vláčil, в качеството на представители,

–

за нидерландското правителство, от M. K. Bulterman и J. M. Hoogveld, в качеството на представители,

–

за Европейската комисия, от H. Kranenborg И. Залогин, в качеството на представители,

1

Преюдициалното запитване се отнася до тълкуването на член 1, параграф 1 от Директива (ЕС) 2016/680 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания и относно свободното движение на такива данни, и за отмяна на Рамково решение 2008/977/ПВР на Съвета (ОВ L 119, 2016 г., стр. 89), както и на Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните) (ОВ L 119, 2016 г., стр. 1, наричан по-нататък „ОРЗД“), и по-специално на член 6, параграф 1 от него.

2

Запитването е отправено в рамките на спор между VS и инспектор в Инспектората към Висшия съдебен съвет (България) (наричан по-нататък „ИВСС“) относно законосъобразността на обработването на отнасящи се до него лични данни, извършено от Районна прокуратура — Петрич (България).

3

Съображения 19, 45 и 47 от ОРЗД гласят:

[…]

[…]

4

Член 2 („Материален обхват“), параграфи 1 и 2 от ОРЗД предвижда:

„1.   Настоящият регламент се прилага за обработването на лични данни изцяло или частично с автоматични средства, както и за обработването с други средства на лични данни, които са част от регистър с лични данни или които са предназначени да съставляват част от регистър с лични данни.

2.   Настоящият регламент не се прилага за обработването на лични данни:

[…]

5

Член 4 от ОРЗД е озаглавен „Определения“ и гласи:

„За целите на настоящия регламент:

[…]

[…]“.

6

Член 5 („Принципи, свързани с обработването на лични данни“), параграф 1 от ОРЗД предвижда:

„Личните данни са:

[…]

[…]“.

7

Съгласно член 6 („Законосъобразност на обработването“) от ОРЗД:

„1.   Обработването е законосъобразно, само ако и доколкото е приложимо поне едно от следните условия:

[…]

[…]

Буква е) на първа алинея не се прилага за обработването, което се извършва от публични органи при изпълнението на техните задачи.

[…]

3.   Основанието за обработването, посочено в параграф 1, букви в) и д), е установено от:

Целта на обработването се определя в това правно основание или доколкото се отнася до обработването по параграф 1, буква д), то трябва да е необходимо за изпълнението на задача от обществен интерес или при упражняването на официални правомощия, които са предоставени на администратора […]“.

8

Член 21 („Право на възражение“), параграф 1 от ОРЗД предвижда:

„Субектът на данните има право, по всяко време и на основания, свързани с неговата конкретна ситуация, на възражение срещу обработване на лични данни, отнасящи се до него, което се основава на член 6, параграф 1, буква д) или буква е) […]. Администраторът прекратява обработването на личните данни, освен ако не докаже, че съществуват убедителни законови основания за обработването, които имат предимство пред интересите, правата и свободите на субекта на данни, или за установяването, упражняването или защитата на правни претенции“.

9

Член 23 („Ограничения“), параграф 1 от ОРЗД предвижда, че в правото на Съюза или правото на държава членка, което се прилага спрямо администратора или обработващия лични данни, чрез законодателна мярка може да се ограничи обхватът на задълженията и правата, предвидени в членове 12—22, когато подобно ограничение е съобразено със същността на основните права и свободи и представлява необходима и пропорционална мярка в едно демократично общество с цел да се гарантират по-специално някои важни цели от широк обществен интерес за Съюза или за държава членка.

10

Съображения 8—12, 27 и 29 от Директива 2016/680 гласят:

[…]

[…]

11

Съгласно член 1 („Предмет и цели“), параграф 1:

„С настоящата директива се установяват правилата във връзка със защитата на физическите лица по отношение на обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществената сигурност и тяхното предотвратяване“.

12

Определенията на термините „лични данни“ и „обработване“, съдържащи се съответно в точки 1 и 2 на член 3 („Определения“) от посочената директива, възпроизвеждат определенията съгласно член 4, точки 1 и 2 от ОРЗД.

13

Член 3, точка 7, буква а) и точка 8 от Директива 2016/680 гласят:

„За целите на настоящата директива:

[…]

7.   „компетентен орган“ означава:

[…]

8.   „администратор“ означава компетентният орган, който сам или съвместно с други органи определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на Съюза или правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза или в правото на държавата членка“.

14

Член 4 („Принципи, свързани с обработването на лични данни“), параграф 1 от Директива 2016/680 предвижда:

„Държавите членки гарантират, че личните данни са:

[…]

[…]“.

15

Член 4, параграф 2 от Директива 2016/680 гласи:

„Обработването от същия или друг администратор за която и да е от целите, посочени в член 1, параграф 1, различна от целта, за която личните данни са събрани, се разрешава, при условие че:

16

Съгласно член 6 от Директива 2016/680, озаглавен „Разграничение между различните категории субекти на данни“:

„Държавите членки предвиждат, когато е приложимо и доколкото е възможно, администраторът да прави ясно разграничение между личните данни на различни категории субекти на данни, например:

[…]“.

17

Съгласно член 9 („Специфични условия за обработване“), параграфи 1 и 2 от Директива 2016/680:

„1.   Личните данни, събирани от компетентните органи за целите, посочени в член 1, параграф 1, не се обработват за други цели, освен посочените в член 1, параграф 1, освен когато това обработване е разрешено от правото на Съюза или правото на държава членка. Когато личните данни се обработват за такива други цели се прилага [ОРЗД] освен ако обработването се извършва в хода на дейност, която е извън обхвата на правото на Съюза.

2.   Когато съгласно правото на държава членка компетентните органи са натоварени с изпълнението на задачи, различни от тези за изпълнението на целите, посочени в член 1, параграф 1, за обработването за такива цели се прилага [ОРЗД] […], освен ако обработването се извършва в хода на дейност, която е извън обхвата на правото на Съюза“.

18

Член 127 от Конституцията на Република България предвижда:

„Прокуратурата следи за спазване на законността, като:

1.   ръководи разследването и упражнява надзор за законосъобразното му провеждане;

2.   може да извършва разследване;

3.   привлича към отговорност лицата, които са извършили престъпления, и поддържа обвинението по наказателни дела от общ характер;

[…]“.

19

Съгласно член 1 от Закона за защита на личните данни (ДВ, бр. 1 от 4 януари 2002 г., наричан по-нататък „ЗЗЛД“) целта на този закон е да осигури защита на физическите лица при обработване на личните им данни, уредено в ОРЗД, както и при обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания, включително предпазването от заплахи за обществения ред и сигурност и тяхното предотвратяване.

20

Съгласно член 17, алинея 1 от ЗЗЛД ИВСС осъществява надзор и осигурява спазването на ОРЗД, на ЗЗЛД и на нормативните актове в областта на защитата на личните данни при обработване на такива данни, по-специално от прокуратурата и следствените органи при изпълнение на функциите им на органи на съдебната власт за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наказания. Член 38б от ЗЗЛД предоставя на субекта на данни право да подаде жалба до ИВСС при нарушаване на правата му в частност от тези органи.

21

Член 42, алинеи 2 и 3, член 45, алинея 2 и член 47 от ЗЗЛД транспонират разпоредбите съответно на член 9, параграфи 1 и 2, на член 4, параграф 2 и на член 6 от Директива 2016/680.

22

Член 191 от Наказателно-процесуалния кодекс (ДВ, бр. 86 от 28 октомври 2005 г.) в редакцията му, приложима към спора в главното производство, гласи:

„Досъдебно производство се провежда по дела от общ характер“.

23

Член 192 от Наказателно-процесуалния кодекс в редакцията му, приложима към спора в главното производство, предвижда:

„Досъдебното производство включва разследване и действия на прокурора след приключване на разследването“.

24

Членове 8 и 9 от Гражданския процесуален кодекс (ДВ, бр. 59 от 20 юли 2007 г.) в редакцията му, приложима към спора в главното производство, въвеждат съответно принципите на състезателност и равенство на страните.

25

Съгласно член 154 („Доказателствена тежест“), алинея 1 от Гражданския процесуален кодекс, в редакцията му, приложима към спора в главното производство:

„Всяка страна е длъжна да установи фактите, на които основава своите искания или възражения“.

26

Член 2б от Закона за отговорността на държавата и общините за вреди (ДВ, бр. 60 от 5 август 1988 г.) гласи:

„(1)   Държавата отговаря за вредите, причинени на граждани и на юридически лица от нарушение на правото на разглеждане и решаване на делото в разумен срок съгласно чл. 6, § 1 от [Европейската конвенция за защита на правата на човека и основните свободи, подписана в Рим на 4 ноември 1950 г.].

(2)   Исковете по ал. 1 се разглеждат по реда на Гражданския процесуален кодекс, като съдът взема предвид общата продължителност и предмета на производството, неговата фактическа и правна сложност, поведението на страните и на техните процесуални или законни представители, поведението на останалите участници в процеса и на компетентните органи, както и други факти, които имат значение за правилното решаване на спора.

[…]“.

27

През 2013 г. с постановление на прокурор при Районна прокуратура — Петрич е образувано досъдебно производство № 252/2013 срещу неизвестен извършител за извършено престъпление по член 325, алинея 1 във връзка с член 20, алинея 2 от Наказателния кодекс по повод на настъпил в заведение инцидент. Жалбоподателят в главното производство (VS) участва в това досъдебно производство в качеството на пострадал от престъплението.

28

През 2016 г. след няколко жалби по-специално срещу VS в Районна прокуратура — Петрич са образувани няколко преписки, съдържащи информация за това лице, без обаче да се започне досъдебно производство поради липса на данни за извършено престъпление.

29

През 2018 г. в рамките на досъдебно производство № 252/2013 прокурорът привлича като обвиняеми всички лица, участвали в инцидента, до който се отнася това производство, включително VS.

30

В рамките на гражданско производство VS предявява пред Окръжен съд — Благоевград (България) иск срещу Прокуратурата на Република България за обезщетение за вреди, произтичащи от продължителността на досъдебно производство № 252/2013. За да осигури защитата на прокуратурата, в съдебното заседание от 15 октомври 2018 г. прокурор от Районна прокуратура — Петрич, който представлява прокуратурата, иска образуваните през 2016 г. прокурорски преписки, посочени в точка 28 от настоящото решение, да бъдат представени в рамките на въпросното производство. От акта за преюдициално запитване е видно, че по този начин прокурорът е искал да докаже, че изтъкнатите от жалбоподателя в главното производство здравословни проблеми не са в резултат от посоченото досъдебно производство (както твърди VS), а са свързани с проверките, извършени от полицията и от Районна прокуратура — Петрич във връзка с тези преписки. В това съдебно заседание Окръжен съд — Благоевград задължава посочената районна прокуратура да представи заверени копия на материалите по преписките, което съответният прокурор е направил.

31

На 12 март 2020 г. VS подава жалба до ИВСС, като твърди, че Районна прокуратура — Петрич е нарушила разпоредбите относно защитата на личните данни. От една страна, с първото си основание той поддържа, че прокуратурата неправомерно е използвала отнасящите се до него лични данни, събрани в качеството му на пострадал от престъпление, за целите на привличането му като обвиняем по същото досъдебно производство за същото деяние. От друга страна, с второто си основание той се позовава на неправомерното обработване на личните данни, събрани по посочените в точка 28 от настоящото решение преписки, извършено от прокуратурата в производството по предявения от VS иск срещу Прокуратурата на Република България. С решение от 22 юни 2020 г. ИВСС отхвърля жалбата.

32

На 31 юли 2020 г. VS подава пред запитващата юрисдикция жалба срещу това решение, с която поддържа, от една страна, че обработването на личните му данни в рамките на досъдебно производство № 252/2013 противоречи по-специално на принципите на Директива 2016/680 и от друга страна, че обработването на данните, събрани по посочените в точка 28 от настоящото решение преписки, след като е постановен отказ за образуване на досъдебно производство по тях, нарушава принципите на ОРЗД.

33

Имайки предвид с оглед на практиката на Съда, че спорът в главното производство се отнася до обработването на лични данни в рамките на дейности, попадащи в приложното поле на ОРЗД и на Директива 2016/680, запитващата юрисдикция поставя въпроса за установените от правото на Съюза граници, що се отнася до последващото обработване на лични данни, събрани първоначално от администратора за целите на разследването и разкриването на престъпление.

34

По-конкретно, от една страна, запитващата юрисдикция поставя въпроса дали, в случай че Прокуратурата на Република България — като „компетентен орган“ по смисъла на член 3, точка 7, буква а) от Директива 2016/680 и като „администратор“ по смисъла на член 3, точка 8 от тази директива — е събрала за целите на разследването и разкриването на престъпление лични данни, отнасящи се до лице, което се разглежда като пострадал от престъплението към момента на събирането, последващото обработване на тези данни от същия орган за целите на наказателното преследване на това лице е обработване за цел, попадаща в обхвата на посочената директива, но различна от целите, за които разглежданите данни са били събрани по смисъла на член 4, параграф 2 от нея.

35

От друга страна, запитващата юрисдикция установява, че позоваването в производството по предявения от VS иск за отговорност на държавата за вреди на информацията относно това лице, съдържаща се в образуваните през 2016 г. преписки по описа на Районна прокуратура — Петрич, има различна цел от тази, за която информацията е събрана, и отбелязва, че в рамките на това производство прокуратурата в качеството си на ответник не действа за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления. Запитващата юрисдикция обаче поставя въпроса дали самото съобщаване пред компетентния граждански съд, че посочените преписки се отнасят до VS, и самото представяне пред този съд изцяло или частично на материалите по преписките съставляват „обработване“ на „лични данни“ по смисъла на член 4, точки 1 и 2 от ОРЗД, попадащо в обхвата на последния в съответствие с член 2, параграф 1 от него.

36

Освен това запитващата юрисдикция счита по същество, че спорът в главното производство повдига въпроса за съвместимостта на защитата на личните данни с правата на страна в съдебно производство, когато тези данни са събрани от последната в качеството ѝ на администратор по смисъла на член 3, точка 8 от Директива 2016/680, по-специално с оглед на член 6, параграф 1, първа алинея, буква е) от ОРЗД, който се отнася до необходимостта от обработване за целите на легитимните интереси на администратора.

37

Всъщност запитващата юрисдикция счита, че останалите основания, на които обработването на лични данни в обхвата на ОРЗД се приема за законосъобразно и които са посочени в член 6, параграф 1, първа алинея от този регламент, не са релевантни за спора в главното производство. По-специално тя счита, че разкриването от прокуратурата пред компетентния съд на информация за образуваните прокурорски преписки за целите на защитата ѝ в рамките на гражданско производство не е необходимо за изпълнението на задача от обществен интерес, нито е свързано с упражняването на официални правомощия по смисъла на член 6, параграф 1, първа алинея, буква д) от посочения регламент.

38

При тези обстоятелства Административен съд — Благоевград (България) решава да спре производството и да постави на Съда следните преюдициални въпроси:

39

Най-напред, следва да се отбележи, че макар по настоящото дело от формална гледна точка запитващата юрисдикция да ограничава първия си въпрос само до тълкуването на член 1, параграф 1 от Директива 2016/680, това обстоятелство не е пречка Съдът да ѝ предостави всички насоки за тълкуване, които могат да бъдат полезни по делото в главното производство, като извлече от цялата информация, предоставена от запитващата юрисдикция, и по-специално от мотивите на акта за преюдициално запитване, разпоредбите от правото на Съюза, които изискват тълкуване предвид предмета на спора (вж. в този смисъл решение от 22 април 2021 г., Profi Credit Slovakia, C‑485/19, EU:C:2021:313, т. 50 и цитираната съдебна практика).

40

От това следва, че с първия си въпрос запитващата юрисдикция иска по същество да се установи дали член 1, параграф 1 във връзка с член 4, параграф 2 и член 6 от Директива 2016/680 трябва да се тълкува в смисъл, че обработването на лични данни е за цел, различна от тази, за която са събрани данните, когато събирането на такива данни е извършено за целите на разкриването и разследването на престъпление и към момента на това събиране субектът на данни е бил считан за пострадал от престъплението, докато посоченото обработване е осъществено за целите на наказателното преследване на това лице след извършено разследване, както и дали това обработване е разрешено.

41

Съгласно постоянната съдебна практика при тълкуването на разпоредба на правото на Съюза трябва да се взема предвид не само нейният текст, но и контекстът ѝ и целите на правната уредба, от която тя е част. Генезисът на разпоредбата от правото на Съюза също може да разкрие обстоятелства, които са релевантни за тълкуването ѝ (вж. в този смисъл решение от 1 октомври 2019 г., Planet49, C‑673/17, EU:C:2019:801, т. 48 и цитираната съдебна практика).

42

На първо място, следва най-напред да се отбележи, че текстът на член 1, параграф 1 от Директива 2016/680, който се отнася до нейния предмет, изрично разграничава различни категории дейности, за целите на които може да се извършва обработване на лични данни съгласно тази директива. В това отношение от текста на посочената разпоредба на различните езици, и по-специално на български, испански, немски, гръцки, английски и италиански език, следва, че различните цели, посочени в член 1, параграф 1 от Директива 2016/680, са „предотвратяването“ на престъпленията, тяхното „разкриване“, „разследването“ им, „наказателното преследване“ на тези престъпления, „изпълнението на наказанията“, „предпазването“ от „заплахи за обществената сигурност“ и „предотвратяването“ на такива заплахи.

43

По-нататък, текстът на член 4, параграф 2 от тази директива, според който обработването за „която и да е от целите, посочени в член 1, параграф 1 [от Директивата], различна от целта, за която личните данни са събрани“, се разрешава, при условие че са спазени изискванията по тази разпоредба, изрично потвърждава, че изброените във въпросния член 1, параграф 1 термини — а именно „предотвратяване“, „разкриване“, „разследване“, „наказателно преследване“, „изпълнение на наказания“, „предпазване от заплахи за обществената сигурност“ и „предотвратяване на такива заплахи“ — се отнасят до множество отделни цели на обработването на лични данни, попадащо в обхвата на същата директива.

44

Така от самия текст на член 1, параграф 1 от Директива 2016/680 във връзка с член 4, параграф 2 от нея следва, че когато лични данни са събрани за целите на „разкриването“ и „разследването“ на престъпление и впоследствие са обработени за целите на „наказателно преследване“, посоченото събиране и посоченото обработване на данни имат различни цели.

45

Накрая, следва да се отбележи, че съгласно член 6 от същата директива държавите членки са длъжни да предвидят, когато е приложимо и доколкото е възможно, администраторът да прави ясно разграничение между личните данни на различни категории субекти на данни, като например посочените в букви а), б) и в) от този член, тоест съответно лицата, за които има сериозни основания да се счита, че са извършили или ще извършат престъпление, лицата, осъдените за престъпление, и лицата, пострадали от престъпление или лицата, по отношение на които определени факти дават основание да се счита, че може да са пострадали от престъпление.

46

Следователно лице, чиито лични данни се обработват за целите на наказателното му преследване, трябва да се разглежда като спадащо към категорията на лицата, за които има сериозни основания да се счита, че са извършили престъпление, по смисъла на член 6, буква а) от Директива 2016/680. Ето защо, ако, както е в посочения в първия въпрос случай, това лице първоначално е било считано за пострадало от престъпление по смисъла на член 6, буква в) от тази директива, то въпросното обработване отразява промяна в категорията на посоченото лице, като това обстоятелство трябва да се вземе предвид от администратора съгласно предвиденото в този член изискване за ясно разграничение между данните на различните категории субекти на данни.

47

Въпреки това се налага изводът, че нито член 1, параграф 1, нито член 4, параграф 2 от Директива 2016/680 препращат към член 6 от тази директива или към съдържанието му, за да се определи целта на обработването на лични данни, попадащо в приложното поле на посочената директива.

48

Впрочем, както по същество отбелязва генералният адвокат в точка 62 от заключението си, изразът „когато е приложимо и доколкото е възможно“, използван в член 6 от Директива 2016/680, ясно показва, че невинаги е възможно да се направи ясно разграничение между такива данни, по-специално когато (както в случая) те са събрани за целите на „разследване“ или за целите на „разкриването“ на престъпление, при положение че едно и също лице може да попада в няколко от посочените в член 6 от тази директива категории лица и определянето на съответните категории може да се променя в хода на досъдебното производство поради постепенното изясняване на фактите.

49

От горното следва да се заключи, че член 6 от Директива 2016/680 установява задължение, различно от предвиденото в член 4, параграф 2 от нея, и че както изтъква генералният адвокат в точки 61—64 от заключението си, посоченото задължение не е релевантно, за да се определи дали обработването на лични данни е с цел, различна от целта, за която тези данни са събрани по смисъла на последната разпоредба.

50

На второ място, що се отнася до контекста на разглежданата правна уредба, следва да се отбележи, че член 4, параграф 1, букви б) и в) от Директива 2016/680 предвижда, от една страна, че личните данни трябва да бъдат събирани за конкретни, изрично указани и легитимни цели и да не се обработват по начин, който е несъвместим с тези цели, и от друга страна, че тези данни трябва да бъдат подходящи, относими и да не надхвърлят необходимото във връзка с целите, за които данните се обработват. Тези две изисквания по същество са предвидени по същия начин в член 5, параграф 1, букви б) и в) от ОРЗД, в който се уточнява, че те отговарят съответно на принципите за ограничение на целите и за свеждане на данните до минимум.

51

Следва обаче да се отбележи с оглед на съображение 29 от тази директива, че член 4, параграф 2 от нея разрешава последващо обработване на лични данни с цел, различна от целта, за която данните са събрани, стига тази цел да е една от посочените в член 1, параграф 1 от същата директива и обработването да отговаря на двете условия, предвидени в член 4, параграф 2, букви а) и б). От една страна, администраторът трябва да бъде оправомощен да обработва посочените данни за такава цел в съответствие с правото на Съюза или правото на държава членка. От друга страна, обработването трябва да е необходимо и пропорционално на тази различна цел.

52

По-специално личните данни, събирани за целите на „предотвратяване“ и „разкриване“ на престъпления или на „разследване“ на такива престъпления, могат евентуално да бъдат обработвани впоследствие от различни компетентни органи с оглед на „наказателното преследване“ или „изпълнението на наказания“, когато е установено извършването на престъпление, което следователно налага прилагането на държавна принуда.

53

Въпреки това при събирането на лични данни с цел „разкриване“ и „разследване“ на престъпления компетентните органи събират всякакви данни, които са потенциално релевантни за определянето на съответното престъпно деяние на етап, на който извършването му все още не е установено. За сметка на това при обработването на личните данни за целите на „наказателно преследване“ тези данни се използват, за да се установи дали са събрани достатъчно доказателства относно деянията, вменени на лицата, срещу които се води наказателно производство, както и дали правната квалификация на тези деяния е правилна, така че да се даде възможност на компетентния съд да се произнесе.

54

Следователно, от една страна, личните данни, необходими за целите на „разкриването“ и „разследването“ на дадено престъпление, няма непременно да бъдат необходими за целите на „наказателното преследване“. От друга страна, последиците от обработването на лични данни за субектите на данните могат да се различават съществено, що се отнася по-специално до степента на намеса в правото им на защита на тези данни и до отражението на това обработване върху правното им положение в рамките на разглежданото наказателно производство.

55

В допълнение, следва да се отбележи, че приложното поле на посочения член 4, параграф 2 не се ограничава до обработването на лични данни във връзка със същото престъпление, което е обосновало събирането на въпросните данни. Всъщност, както се посочва в съображение 27 от Директива 2016/680, тя отчита необходимостта компетентните органи в областта на борбата с престъпленията да обработват лични данни за цел, различна от тази, довела до събирането на тези данни, по-специално за да достигнат до по-добро разбиране на престъпните действия и да установят връзки между различни разкрити престъпления.

56

От изложеното по-горе следва, че за да се отговори на изискванията, посочени в член 4, параграф 2, букви а) и б) от Директива 2016/680, преценката за спазването им при обработване — от същия или от друг администратор — на лични данни за някоя от посочените в член 1, параграф 1 цели, различна от целите, за които тези данни са събрани, трябва да се извършва, като всяка от посочените в член 1, параграф 1 цели се разглежда като специфична и отделна.

57

На трето място, що се отнася до целите на разглежданата правна уредба, следва да се отбележи, че както следва от съображения 10 и 11 от Директива 2016/680, законодателят на Съюза е искал да приеме правила, които отчитат специфичното естество на обхванатата от тази директива област.

58

В това отношение съгласно съображение 12 дейностите, извършвани от полицията или други правоприлагащи органи, включително полицейски дейности, без предварително да е известно дали даден инцидент съставлява престъпление, основно се съсредоточават върху предотвратяването, разследването, разкриването или наказателното преследване на престъпления.

59

От това следва, че законодателят на Съюза е искал да приеме правила, съответстващи на характерните особености на дейностите, извършвани от компетентните органи в уредената с тази директива област, като същевременно се отчита обстоятелството, че това са отделни дейности, преследващи характерни за тях цели.

60

Това тълкуване, извършено с оглед на контекста на разглежданата разпоредба и на целите, преследвани от правната уредба, от която тя е са част, се потвърждава от нейния генезис, и по-специално от изложението на мотивите на Съвета относно Позиция (ЕС) № 5/2016 на Съвета на първо четене с оглед на приемането на директива на Европейския парламент и на Съвета относно защитата на физическите лица във връзка с обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления, или изпълнението на наказателни санкции, и относно свободното движение на такива данни и за отмята на Рамково решение 2008/977/ПВР на Съвета (OB C 158, 2016 г., стр. 46). Всъщност в това изложение на мотивите Съветът обосновава въвеждането на посочената разпоредба в Директива 2016/680, като посочва, че тя „позволява, например, прокурор да обработва за целите на наказателно преследване на престъпление същите лични данни като тези, които полицията обработва за целите на разкриване на престъпления, като се има предвид, че двете цели в примера са обхванати от член 1, параграф 1 [от тази директива]“.

61

Следователно, за да разреши спора в главното производство, запитващата юрисдикция трябва да прецени дали обработването на личните данни на VS, извършено от Районна прокуратура — Петрич за целите на наказателното преследване на това лице, може да бъде разрешено с оглед на условията по член 4, параграф 2 от Директива 2016/680, като провери, от една страна, дали българското наказателно право позволява на този орган да извърши това обработване и от друга страна, дали то е било необходимо и пропорционално на целта, която преследва.

62

В това отношение следва да се отбележи, че за да прецени необходимостта и пропорционалността на такова обработване, запитващата юрисдикция ще може евентуално да вземе предвид обстоятелството, че отговорният за наказателното преследване орган трябва да може да използва събраните в хода на посоченото разследване данни като доказателства относно престъпното деяние, и по-специално данните относно участвалите в него лица, доколкото тези данни са необходими за идентифицирането им и за определянето на начина им на участие.

63

По изложените съображения на първия въпрос следва да се отговори, че член 1, параграф 1 във връзка с член 4, параграф 2 и член 6 от Директива 2016/680 трябва да се тълкува в смисъл, че обработването на лични данни е за цел, различна от тази, за която данните са събрани, когато събирането на такива данни е извършено за целите на разкриването и разследването на престъпление, докато посоченото обработване е осъществено за целите на наказателното преследване на определено лице след извършено разследване, независимо от обстоятелството, че към момента на събирането това лице е било считано за пострадало от престъплението. Такова обработване е разрешено по силата на член 4, параграф 2 от тази директива, стига да отговаря на предвидените в тази разпоредба условия.

64

С втория си въпрос запитващата юрисдикция по същество иска да се установи, от една страна, дали член 3, точка 8 и член 9, параграфи 1 и 2 от Директива 2016/680, както и член 2, параграфи 1 и 2 от ОРЗД трябва да се тълкуват в смисъл, че този регламент е приложим към обработването на лични данни от прокуратурата на държава членка за целите на упражняването на правото ѝ на защита срещу иск за отговорност на държавата за вреди в случая, когато тя съобщава на компетентния съд за съществуването на преписки относно физическо лице, страна в производството по този иск, които са били образувани за посочените в член 1, параграф 1 от тази директива цели, и представя тези преписки пред въпросния съд, и от друга страна, дали при утвърдителен отговор на този въпрос член 6, параграф 1, първа алинея, буква е) от посочения регламент трябва да се тълкува в смисъл, че такова обработване на лични данни може да се счита за законосъобразно за целите на легитимните интереси на администратора по смисъла на тази разпоредба.

65

В писменото си становище ИВСС оспорва допустимостта на втория въпрос, тъй като според него той е поставен от запитващата юрисдикция в контекста на разглеждането на оплакване на VS, което е отхвърлено като недопустимо в решението, обжалвано в главното производство, поради изтичането на законоустановения срок за изтъкването му.

66

Съгласно постоянната практика на Съда въпросите, свързани с тълкуването на правото на Съюза и поставени от националния съд в нормативната и фактическата рамка, която той определя съгласно своите правомощия и проверката на чиято точност не е задача на Съда, се ползват с презумпция за релевантност. Съдът може да откаже да се произнесе по отправеното от национална юрисдикция преюдициално запитване само когато е съвсем очевидно, че исканото тълкуване на правото на Съюза няма никаква връзка с действителността или с предмета на спора в главното производство, когато проблемът е от хипотетично естество или когато Съдът не разполага с необходимите данни от фактическа и правна страна, за да бъде полезен с отговора на поставените му въпроси (вж. в този смисъл решение от 27 септември 2017 г., Puškár, C‑73/16, EU:C:2017:725, т. 50 и цитираната съдебна практика).

67

В случая следва да се отбележи, както подчертава генералният адвокат в точки 76 и 77 от заключението си, че въпросът за допустимостта на оплакванията на VS в жалбата му пред ИВСС е изцяло от компетентността на запитващата юрисдикция. Впрочем в акта за преюдициално запитване тази юрисдикция посочва, че счита втория въпрос за релевантен, независимо че ИВСС е отхвърлил като недопустимо посоченото в точка 65 от настоящото решение оплакване. При всички положения Съдът не следва да осъществява контрол върху тази преценка.

68

Ето защо вторият въпрос е допустим.

69

На първо място, следва да се определи дали използването от прокуратурата на държава членка — за целите на упражняването на правото ѝ на защита в рамките на гражданско производство — на информация относно физическо лице, която тя е събрала и обработила за цели, попадащи в обхвата на член 1, параграф 1 от Директива 2016/680, представлява „обработване“ на „лични данни“ по смисъла на член 4, точки 1 и 2 от ОРЗД.

70

Най-напред, следва да се припомни, че „лични данни“ по смисъла на член 4, точка 1 от ОРЗД са „всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано“, имайки предвид, че съгласно съдебната практика това определение е приложимо, когато поради своето съдържание, крайна цел и последици информацията е свързана с определено лице (вж. в този смисъл решение от 20 декември 2017 г., Nowak, C‑434/16, EU:C:2017:994, т. 35). Освен това съгласно член 4, точка 2 от ОРЗД понятието „обработване“ означава „всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства“ като например „консултиране“, „употреба“, „разкриване чрез предаване“, „разпространяване“ или „друг начин, по който данните стават достъпни“. Тези определения отразяват целта на законодателя на Съюза да придаде широк смисъл на тези две понятия (вж. в този смисъл решения от 20 декември 2017 г., Nowak, C‑434/16, EU:C:2017:994, т. 34 и от 24 февруари 2022 г., Valsts ieņēmumu dienests (Обработка на лични данни за данъчни цели), C‑175/20, EU:C:2022:124, т. 35).

71

В това отношение, от една страна, обстоятелството, че ответникът в гражданско производство е съобщил на компетентния съд — макар и лаконично в писмените си изявления или в съдебното заседание — за образуването на преписки относно физическото лице, което е инициирало това производство, по-специално за целите на „разкриването“ или „разследването“ на престъпление, означава, че ответникът „е консултирал“, „употребил“ и „предал“ или „разкрил“„лични данни“ по смисъла на член 4, точки 1 и 2 от ОРЗД. Така както по съдържание, така и по крайна цел и последици тази информация е свързана с определено лице, което може да бъде идентифицирано както от страната, която е разкрила информацията, така и от съда, на който последната е предадена.

72

От друга страна, обстоятелството, че по искане на компетентния съд ответникът представя прокурорските преписки срещу посоченото физическо лице, предполага най-малкото „употребата“ и „разкриването чрез предаване“ на „лични данни“ по смисъла на член 4, точки 1 и 2 от ОРЗД.

73

На второ място, следва да се припомни, че член 2, параграф 1 от ОРЗД определя широко материалния обхват на този регламент (решение от 22 юни 2021 г., Latvijas Republikas Saeima (Точки за пътнотранспортни нарушения), C‑439/19, EU:C:2021:504, т. 61), който включва всяко „обработване[…] на лични данни изцяло или частично с автоматични средства, както и […] обработването с други средства на лични данни, които са част от регистър с лични данни или които са предназначени да съставляват част от регистър с лични данни“. С оглед на това широко определение изброените в член 2, параграф 2 изключения от прилагането на ОРЗД трябва да се тълкуват стриктно. Такъв по-конкретно е случаят с предвиденото в член 2, параграф 2, буква г) изключение, което се отнася до обработването на лични данни от компетентните органи за целите на предотвратяването, разследването, разкриването или наказателното преследване на престъпления или изпълнението на наложените наказания (вж. в този смисъл решение от 24 февруари 2022 г., Valsts ieņēmumu dienests (Обработка на лични данни за данъчни цели), C‑175/20, EU:C:2022:124, т. 40 и 41 и цитираната съдебна практика).

74

В това отношение Съдът е постановил, че както следва от съображение 19 от този регламент, въпросното изключение е мотивирано от обстоятелството, че обработването на лични данни от компетентните органи за целите, посочени в член 2, параграф 2, буква г) от ОРЗД, се урежда от по-специфичен акт на Съюза, а именно от Директива 2016/680, която е приета същия ден като ОРЗД (вж. в този смисъл решение от 24 февруари 2022 г., Valsts ieņēmumu dienests (Обработка на лични данни за данъчни цели), C‑175/20, EU:C:2022:124, т. 42 и цитираната съдебна практика).

75

Както следва от съображение 12 от Директива 2016/680, в член 9 от нея законодателят на Съюза е предвидил правила относно обработването на лични данни за цели, различни от посочените в член 1, параграф 1 от Директивата, за които тези данни са събрани.

76

В това отношение член 9, параграф 1 от Директива 2016/680 предвижда, от една страна, че такова обработване на лични данни по принцип не може да се извършва, освен когато е разрешено от правото на Съюза или правото на държава членка, и от друга страна, че ОРЗД се прилага за това обработване, освен ако то се извършва в хода на дейност, която е извън обхвата на правото на Съюза. В допълнение, съгласно член 9, параграф 2 от тази директива, освен ако обработването се извършва в хода на такава дейност, ОРЗД е приложим към обработването, извършвано от компетентните органи при изпълнението на техните задачи, различни от тези за изпълнението на целите, посочени в член 1, параграф 1 от Директивата.

77

В хипотезите, посочени в точки 71 и 72 от настоящото решение, събирането и обработването на лични данни от прокуратурата на държава членка за целите на „предотвратяване“, „разкриване“, „разследване“ или „наказателно преследване“ на престъпления със сигурност представляват обработване на лични данни за целите, посочени в член 1, параграф 1 от Директива 2016/680, по смисъла на член 9, параграфи 1 и 2 от тази директива.

78

При все това, макар предявяването на иск за отговорност на държавата за вреди да е следствие от предполагаеми нарушения, допуснати от прокуратурата в рамките на наказателно производство, каквито са (както е в случая) твърдените нарушения на правото на разглеждане и решаване на делото в разумен срок, защитата на държавата по такъв иск няма за цел да осигури изпълнението на задачите, възложени на прокуратурата за целите по член 1, параграф 1 от Директива 2016/680.

79

Освен това с оглед на принципа на стриктно тълкуване на изключенията от прилагането на ОРЗД, същото обработване на лични данни не може да се счита за извършено „в хода на дейност, която е извън обхвата на правото на Съюза“ по смисъла на член 2, параграф 2, буква а) от ОРЗД и на член 9, параграфи 1 и 2 от Директива 2016/680. В това отношение, видно от съдебната практика, този израз има за единствен предмет изключването от приложното поле на ОЗРД обработването на лични данни, извършвано от държавните органи в рамките на дейност, насочена към запазване на националната сигурност, или на дейност, която може да бъде причислена към същата категория. Участието на публичен орган в гражданско производство като ответник по иск за отговорност на държавата за вреди не е насочено към защита на националната сигурност и не може да бъде причислено към същата категория на дейности (вж. в този смисъл решение от 22 юни 2021 г., Latvijas Republikas Saeima (Точки за пътнотранспортни нарушения), C‑439/19, EU:C:2021:504, т. 66—68 и цитираната съдебна практика).

80

На трето място, следва да се отбележи, че за целите на прилагането на ОРЗД към обработването на данни, посочено в точки 71 и 72 от настоящото решение, прокуратурата трябва да се счита за „администратор“ по смисъла не само на член 4, точка 7 от ОРЗД, но и на член 3, точка 8 от Директива 2016/680, който „сам или съвместно с други органи определя целите и средствата“ на това обработване по смисъла на последната разпоредба. Всъщност именно този орган, в качеството си на страна в производството, уведомява компетентния съд за съществуването на образувани прокурорски преписки, отнасящи се до другата страна, и му предоставя тези преписки. Качеството му на „администратор“ — предвид широкото определение на това понятие, което има за цел да се гарантира ефикасна и пълна защита на субектите на данни — не зависи от степента му на участие и от конкретната му отговорност, които могат да са различни от тези на компетентната юрисдикция, която следва да разреши или дори да разпореди такова обработване (вж. по аналогия решение от 29 юли 2019 г., Fashion ID, C‑40/17, EU:C:2019:629, т. 66—70).

81

Независимо от въпроса дали обработването на данни, посочено в точка 80 от настоящото решение, попада в обхвата на параграф 1 или на параграф 2 на член 9 от Директива 2016/680, от текста на тези параграфи и от връзката между тях следва, че ОРЗД се прилага за всяко обработване за други цели на лични данни, събрани за целите по член 1, параграф 1 от тази директива (освен когато това обработване е извън обхвата на правото на Съюза), включително когато „администраторът“ по смисъла на член 3, точка 8 от посочената директива е „компетентен орган“ по смисъла на член 3, точка 7, буква а) от нея и обработва лични данни при изпълнението на задачи, различни от тези за изпълнението на целите, посочени в член 1, параграф 1 от същата директива.

82

По изложените съображения следва да се приеме, че ОРЗД е приложим към обработването на лични данни, извършвано от прокуратурата на държава членка, за да упражни правото си на защита в производство по иск за отговорност на държавата за вреди, когато, от една страна, тя съобщава на компетентния съд за наличието на преписки относно физическо лице, страна в това производство, образувани за целите по член 1, параграф 1 от Директива 2016/680, и от друга страна, тя представя тези преписки пред посочения съд.

83

Следва да се припомни, че в член 6 от ОРЗД са изчерпателно изброени случаите, в които обработването на лични данни може да се счита за законосъобразно (вж. в този смисъл решение от 22 юни 2021 г., Latvijas Republikas Saeima (Точки за пътнотранспортни нарушения), C‑439/19, EU:C:2021:504, т. 99).

84

Сред тези случаи член 6, параграф 1, първа алинея, буква д) от ОРЗД предвижда обработването, необходимо за изпълнението на задача от обществен интерес или при упражняването на официални правомощия, които са предоставени на администратора, а член 6, параграф 1, първа алинея, буква е) от този регламент се отнася до обработването, необходимо за целите на легитимните интереси на администратора или на трета страна, освен когато пред такива интереси преимущество имат интересите или основните права и свободи на субекта на данните, които изискват защита на личните данни. Съгласно член 6, параграф 1, втора алинея от посочения регламент член 6, параграф 1, първа алинея, буква е) от него не се прилага за обработването, което се извършва от публични органи при изпълнението на техните задачи.

85

Следва да се отбележи, че както правилно изтъква Европейската комисия в писменото си становище, от текста на член 6, параграф 1, втора алинея от ОРЗД ясно следва, че обработването на лични данни, извършвано от публичен орган при изпълнението на неговите задачи, не може да попадне в приложното поле на член 6, параграф 1, първа алинея, буква е) от ОРЗД, който се отнася до обработването на лични данни, необходимо за целите на легитимните интереси на администратора. Както следва от съображение 47 от ОРЗД и както изтъква Комисията, последната разпоредба не може да се прилага за такова обработване на данни, тъй като правното основание за него трябва да бъде уредено от законодателя. От това следва, че когато обработването, извършвано от публичен орган, е необходимо за изпълнението на задача от обществен интерес и следователно е свързано със задачите, посочени в член 6, параграф 1, втора алинея от този регламент, то прилагането на член 6, параграф 1, първа алинея, буква д) от ОРЗД и на член 6, параграф 1, първа алинея, буква е) от него се изключват взаимно.

86

Ето защо, преди да се разгледа въпросът за прилагането на член 6, параграф 1, първа алинея, буква е) от ОРЗД, следва да се определи дали обработването от прокуратурата на държава членка на лични данни — първоначално събрани с оглед на една или повече от целите, посочени в член 1, параграф 1 от Директива 2016/680 — с цел да се осигури защитата на държавата или на публичен орган в производство по иск за обезщетение за вреди, причинени от държавата или от публичен орган при изпълнението на задачите им, е необходимо за изпълнението на задача от обществен интерес или при упражняването на официални правомощия, които са ѝ предоставени, по смисъла на член 6, параграф 1, първа алинея, буква д) от този регламент.

87

Както по същество отбелязва генералният адвокат в точки 94 и 100 от заключението си, когато прокуратурата трябва да защитава правните и имуществените интереси на държавата в производство по иск за отговорност за вреди, с който се поставят под въпрос действията или поведението ѝ при изпълнението на възложените ѝ задачи от обществен интерес в областта на наказателното право, защитата на тези интереси може да представлява — по силата на националното право — задача от обществен интерес по смисъла на член 6, параграф 1, първа алинея, буква д) от посочения регламент.

88

Всъщност, от една страна, с упражняването на процесуалните права, които са му предоставени като ответник, посоченият публичен орган запазва правната сигурност във връзка с извършените в обществен интерес действия и приетите в обществен интерес решения, оспорени от ищеца. Вземайки отношение по основанията и доводите на ищеца, публичният орган би могъл евентуално да избегне опасността те да попречат на ефективното прилагане на правилата, което е негово задължение в рамките на задачите, за които се твърди, че е изпълнил неправомерно.

89

От друга страна, със своите защитни доводи и основания същият публичен орган би могъл да подчертае (когато случаят е такъв) евентуално неоснователния или прекомерен характер на претенциите за обезщетение на ищеца, с цел по-специално да се избегне изпълнението на задачите от обществен интерес, оспорено с иска за отговорност за вреди, да бъде възпрепятствано от перспективата за предявяване на искове за обезщетение, когато тези задачи могат да засегнат интересите на частноправните субекти.

90

В това отношение е без значение обстоятелството, че в производство по иск за отговорност на държавата за вреди прокуратурата действа в качеството на ответник при равенство с другите страни и не упражнява властови правомощия, какъвто е случаят при изпълнението на нейните задачи в областта на наказателното право.

91

В настоящия случай от акта за преюдициално запитване, както и от уточненията, направени от българското правителство в отговор на въпросите на Съда, е видно, че искът за отговорност на държавата за вреди, който отчасти е в основата на спора в главното производство, се основава на Закона за отговорността на държавата и общините за вреди, посочен в точка 26 от настоящото решение, който въвежда режим на отговорност на държавата за вреди, причинени от нарушение на правото на разглеждане и решаване на делото в разумен срок, както и че в съответствие с член 7 от този закон именно органът, от чиито незаконни актове, действия или бездействия са причинени вредите, е страна по делото, която замества държавата в производството като процесуален субституент.

92

Така ролята на органа, стоящ в основата на твърдяната вреда в производството по такъв иск, е различна от ролята на ответника по регресен иск на държавата, насочен срещу длъжностното лице, чиято лична отговорност се ангажира поради нарушения при упражняване на функциите му, тъй като в последната хипотеза тази роля е свързана със защитата на частни интереси (вж. в този смисъл решение от 18 май 2021 г., Asociaţia Forumul Judecătorilor din România и др., C‑83/19, C‑127/19, C‑195/19, C‑291/19, C‑355/19 и C‑397/19, EU:C:2021:393, т. 225).

93

Ето защо по изложените по-горе съображения следва да се приеме, че обработването от прокуратурата на държава членка на лични данни — първоначално събрани и обработени с оглед на една или повече от целите, посочени в член 1, параграф 1 от Директива 2016/680 — с цел да се осигури защитата на държавата в производство по иск за обезщетение за вреди, причинени поради действията на тази прокуратура при изпълнението на задачите ѝ, по принцип следва да попада не в обхвата на член 6, параграф 1, първа алинея, буква е) от ОРЗД, а по-скоро в обхвата на член 6, параграф 1, първа алинея, буква д) от ОРЗД.

94

Освен това не може да се изключи, че когато за целите на защитата на държавата в производство по иск за отговорност за вреди прокуратурата на държава членка предава лични данни на компетентния съд по искане на последния, това предаване би могло да попадне и в обхвата на член 6, параграф 1, първа алинея, буква в) от ОРЗД, когато по силата на приложимото национално право посочената прокуратура е задължена да изпълни такова искане.

95

При това положение, за да установи дали обработване на лични данни като разглежданото в главното производство попада в обхвата на тези разпоредби на член 6, параграф 1, първа алинея от ОРЗД, запитващата юрисдикция следва да провери дали в съответствие с член 6, параграф 3 от този регламент националното право определя, от една страна, основанието за такова обработване и от друга страна, целите на това обработване или, що се отнася до член 6, параграф 1, първа алинея, буква д) от ОЗРД, дали обработването е необходимо за изпълнението от прокуратурата на нейната задача от обществен интерес.

96

Освен това запитващата юрисдикция следва да определи дали разкриването от прокуратурата на данни относно предявилото иска лице, които се съдържат се в преписки, образувани по случаи, различни от стоящия в основата на този иск, съответства на другите изисквания по ОРЗД, и по-специално на принципа на „свеждане на данните до минимум“, съдържащ се в член 5, параграф 1, буква в) от ОРЗД, съгласно който личните данни трябва да бъдат подходящи, свързани със и ограничени до необходимото във връзка с целите, за които се обработват, и който дава израз на принципа на пропорционалност (вж. в този смисъл решение от 22 юни 2021 г., Latvijas Republikas Saeima (Точки за пътнотранспортни нарушения), C‑439/19, EU:C:2021:504, т. 98). Освен това тя трябва да провери дали това обработване на лични данни е извършено при наличието на подходящи гаранции, по-специално на възможност за ефективно обсъждане на данните и доказателствата, представени от прокуратурата в това отношение, но също така — в съответствие с член 21, параграф 1 от ОРЗД — за възражение срещу съобщаването на тези данни и доказателства на компетентния съд (при спазване на ограниченията на това право на възражение, предвидени в националното право, в съответствие с член 23, параграф 1 от този регламент).

97

С оглед на всичко изложено по-горе на втория въпрос следва да се отговори, че:

98

С оглед на обстоятелството, че за страните по главното производство настоящото дело представлява отклонение от обичайния ход на производството пред запитващата юрисдикция, последната следва да се произнесе по съдебните разноски. Разходите, направени за представяне на становища пред Съда, различни от тези на посочените страни, не подлежат на възстановяване.

По изложените съображения Съдът (пети състав) реши: