–

VS ved V. Harizanova,

–

Inspektor v Inspektorata kam Vissjia sadeben savet ved S. Mulyachka,

–

den bulgarske regering, ved M. Georgieva og T. Mitova, som befuldmægtigede,

–

den tjekkiske regering ved O. Serdula, M. Smolek og J. Vláčil, som befuldmægtigede,

–

den nederlandske regering ved M.K. Bulterman og J.M. Hoogveld, som befuldmægtigede,

–

Europa-Kommissionen ved H. Kranenborg og I. Zaloguin, som befuldmægtigede,

1

Anmodningen om præjudiciel afgørelse vedrører fortolkningen af artikel 1, stk. 1, i Europa-Parlamentets og Rådets direktiv (EU) 2016/680 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger og om ophævelse af Rådets rammeafgørelse 2008/977/RIA (EUT 2016, L 119, s. 89) og af Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT 2016, L 119, s. 1, herefter »databeskyttelsesforordningen«), navnlig dennes artikel 6, stk. 1.

2

Anmodningen er blevet indgivet i forbindelse med en tvist mellem VS og Inspektor v Inspektorata kam Vissjia sadeben savet (tilsynsmyndigheden ved det øverste råd for retsvæsenet, Bulgarien) (herefter »IVSS«) vedrørende lovligheden af den behandling af VS’ personoplysninger, som blev foretaget af kredsanklagemyndigheden i Petritj (Bulgarien).

3

19., 45. og 47. betragtning til databeskyttelsesforordningen har følgende ordlyd:

[…]

[…]

4

Databeskyttelsesforordningens artikel 2 med overskriften »Materielt anvendelsesområde« fastsætter i stk. 1 og 2:

»1.   Denne forordning finder anvendelse på behandling af personoplysninger, der helt eller delvis foretages ved hjælp af automatisk databehandling, og på anden ikkeautomatisk behandling af personoplysninger, der er eller vil blive indeholdt i et register.

2.   Denne forordning gælder ikke for behandling af personoplysninger:

[…]

5

Databeskyttelsesforordningens artikel 4 med overskriften »Definitioner« bestemmer:

»I denne forordning forstås ved:

[…]

[…]«

6

Databeskyttelsesforordningens artikel 5 med overskriften »Principper for behandling af personoplysninger« fastsætter i stk. 1:

»Personoplysninger skal:

[…]

[…]«

7

Databeskyttelsesforordningens artikel 6 med overskriften »Lovlig behandling« har følgende ordlyd:

»1.   Behandling er kun lovlig, hvis og i det omfang mindst ét af følgende forhold gør sig gældende:

[…]

[…]

Første afsnit, litra f), gælder ikke for behandling, som offentlige myndigheder foretager som led i udførelsen af deres opgaver.

[…]

3.   Grundlaget for behandling i henhold til stk. 1, litra c) og e), skal fremgå af:

Formålet med behandlingen skal være fastlagt i dette retsgrundlag eller for så vidt angår den behandling, der er omhandlet i stk. 1, litra e), være nødvendig for udførelsen af en opgave i samfundets interesse eller som henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt. […]«

8

Databeskyttelsesforordningens artikel 21 med overskriften »Ret til indsigelse« bestemmer i stk. 1:

»Den registrerede har til enhver tid ret til af grunde, der vedrører den pågældendes særlige situation, at gøre indsigelse mod behandling af sine personoplysninger baseret på artikel 6, stk. 1, litra e) eller f) […] Den dataansvarlige må ikke længere behandle personoplysningerne, medmindre den dataansvarlige påviser vægtige legitime grunde til behandlingen, der går forud for registreredes interesser, rettigheder og frihedsrettigheder, eller behandlingen er nødvendig for, at retskrav kan fastlægges, gøres gældende eller forsvares.«

9

Databeskyttelsesforordningens artikel 23 med overskriften »Begrænsninger« bestemmer i stk. 1, at EU-ret eller medlemsstaternes nationale ret, som den dataansvarlige eller databehandleren er underlagt, ved lovgivningsmæssige foranstaltninger kan begrænse rækkevidden af de forpligtelser og rettigheder, der er omhandlet i artikel 12-22, når en sådan begrænsning respekterer det væsentligste indhold af de grundlæggende rettigheder og frihedsrettigheder og er en nødvendig og forholdsmæssig foranstaltning i et demokratisk samfund af hensyn til, navnlig visse vigtige mål af almen interesse i Unionen eller en medlemsstat.

10

8.-12., 27. og 29. betragtning til direktiv 2016/680 har følgende ordlyd:

[…]

[…]

11

Dette direktivs artikel 1 med overskriften »Genstand og formål« bestemmer følgende i stk. 1:

»I dette direktiv fastsættes regler om beskyttelse af fysiske personer i forbindelse med de kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod eller forebygge trusler mod den offentlige sikkerhed.«

12

Definitionerne af begreberne »personoplysninger« og »behandling«, der fremgår af henholdsvis stk. 1 og 2 i nævnte direktivs artikel 3, med overskriften »Definitioner«, er en gentagelse af definitionerne i databeskyttelsesforordningens artikel 4, nr. 1) og 2).

13

Artikel 3, stk. 7, litra a), og artikel 3, stk. 8, i direktiv 2016/680 har følgende ordlyd:

»I dette direktiv forstås ved:

[…]

7.   »kompetent myndighed«

[…]

8.   »dataansvarlig«: den kompetente myndighed, der alene eller sammen med andre afgør, til hvilke formål og med hvilke hjælpemidler der må foretages behandling af personoplysninger; hvis formålene og hjælpemidlerne til en sådan behandling er fastlagt i EU-retten eller medlemsstaternes nationale ret, kan den dataansvarlige eller de specifikke kriterier for udpegelse af denne fastsættes i EU-retten eller medlemsstaternes nationale ret.«

14

Artikel 4 i direktiv 2016/680 med overskriften »Principper for behandling af personoplysninger« fastsætter i stk. 1:

»Medlemsstaterne fastsætter bestemmelser om, at personoplysninger skal:

[…]

[…]«

15

Artikel 4, stk. 2, i direktiv 2016/680 fastsætter:

»Behandling, der foretages af den samme eller en anden dataansvarlig til et andet formål omfattet af artikel 1, stk. 1, end det, hvortil personoplysningerne er indsamlet, er tilladt i det omfang:

16

Artikel 6 i direktiv 2016/680 med overskriften »Sondring mellem forskellige kategorier af registrerede« har følgende ordlyd:

»Medlemsstaterne fastsætter bestemmelser om, at den dataansvarlige, hvor det er relevant og så vidt muligt, klart sondrer mellem personoplysninger om forskellige kategorier af registrerede såsom:

[…]«

17

Artikel 9 i direktiv 2016/680, der har overskriften »Særlige betingelser for behandling«, bestemmer følgende i stk. 1 og 2:

»1.   Personoplysninger indsamlet af kompetente myndigheder med henblik på artikel 1, stk. 1, må ikke behandles til andre formål end med henblik på artikel 1, stk. 1, medmindre en sådan behandling er hjemlet i EU-retten eller medlemsstaternes nationale ret. Hvis personoplysninger behandles til disse andre formål, finder [databeskyttelsesforordningen] anvendelse, medmindre behandlingen udføres i forbindelse med en aktivitet, der falder uden for EU-rettens anvendelsesområde.

2.   Hvis kompetente myndigheder i henhold til medlemsstaternes nationale ret har fået overdraget andre opgaver end dem, der udføres med henblik på artikel 1, stk. 1, finder [databeskyttelsesforordningen] anvendelse på behandling til disse formål […], medmindre behandlingen udføres i forbindelse med en aktivitet, der falder uden for EU-rettens anvendelsesområde.«

18

Artikel 127 i Republikken Bulgariens forfatning bestemmer:

»Anklagemyndigheden sikrer, at lovgivningen overholdes på følgende måde:

1.   Den leder efterforskningen og sikrer lovligheden af denne.

2.   Den kan gennemføre en efterforskning.

3.   Den anklager lovovertrædere, og indleder strafforfølgning af strafbare handlinger, som er underlagt offentlig påtale.

[…]«

19

I henhold til artikel 1 i Zakon za zasjtjita na litjnite danni (lov om beskyttelse af personoplysninger) (DV nr. 1 af 4.1.2002, herefter »databeskyttelsesloven«) har denne lov til formål at beskytte fysiske personer i forbindelse med behandling af personoplysninger, der er omfattet af databeskyttelsesforordningen, og i forbindelse med behandling af disse oplysninger, som foretages af de kompetente myndigheder med henblik på at forebygge, efterforske og afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner, herunder beskytte mod og forebygge trusler mod den offentlige sikkerhed og orden.

20

I medfør af databeskyttelseslovens artikel 17, stk. 1, sikrer IVSS kontrol og overholdelse af databeskyttelsesforordningen, af databeskyttelsesloven og af retsakter om beskyttelse af personoplysninger i forbindelse med behandling af disse oplysninger af anklagemyndigheden og efterforskningsmyndighederne under udøvelsen af deres juridiske funktioner med henblik på at forebygge, efterforske og afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner. Databeskyttelseslovens artikel 38b giver en person ret til, i tilfælde af tilsidesættelse af vedkommendes rettigheder, af bl.a. disse myndigheder, at anlægge sag ved IVSS.

21

Databeskyttelseslovens artikel 42, stk. 2 og 3, artikel 45, stk. 2, og artikel 47 gennemfører bestemmelserne i henholdsvis artikel 9, stk. 1 og 2, artikel 4, stk. 2, og artikel 6 i direktiv 2016/680.

22

Artikel 191 i Nakazatelno-protsesualen kodeks (strafferetsplejeloven) (DV nr. 86 af 28.10.2005) i den affattelse, der finder anvendelse på tvisten i hovedsagen, bestemmer:

»Efterforskningen gennemføres i sager vedrørende strafforfølgning.«

23

Artikel 192 i strafferetsplejeloven i den affattelse, der finder anvendelse på tvisten i hovedsagen, bestemmer:

»Efterforskningsproceduren omfatter efterforskning og handlinger foretaget af anklagemyndigheden, efter at efterforskningen er afsluttet.«

24

Artikel 8 og 9 i Grazjdanski protsesualen kodeks (den civile retsplejelov) (DV nr. 59 af 20.7.2007) i den affattelse, der finder anvendelse på tvisten i hovedsagen, gennemfører henholdsvis kontradiktionsprincippet og princippet om ligestilling af parterne.

25

Artikel 154 i den civile retsplejelov, i den affattelse, der finder anvendelse på tvisten i hovedsagen, med overskriften »Bevisbyrde« bestemmer i stk. 1:

»Hver part skal godtgøre de faktiske omstændigheder, hvorpå de bygger deres konklusioner eller indsigelser.«

26

Artikel 2bis i Zakon za otgovornostta na darzjavata i obsjtjinite za vredi (lov om statens og kommunernes ansvar for skader) (DV nr. 60 af 5.8.1988) fastsætter:

»(1)   Staten hæfter for skader, som borgere og juridiske personer har lidt som følge af tilsidesættelse af deres ret til rettergang inden en rimelig frist i henhold til artikel 6, stk. 1, i [den europæiske konvention til beskyttelse af menneskerettigheder og grundlæggende frihedsrettigheder, undertegnet i Rom den 4. november 1950].

(2)   De i stk. 1 omhandlede søgsmål behandles i overensstemmelse med den civile retsplejelov, idet retten tager hensyn til sagens samlede varighed og genstand, sagens faktiske og retlige kompleksitet, parternes og deres processuelle eller retlige repræsentanters adfærd, de øvrige parters og de kompetente myndigheders adfærd samt andre omstændigheder, der er relevante for en korrekt løsning af tvisten.

[…]«

27

I 2013 indledte kredsanklagemyndigheden i Petritj efterforskning nr. 252/2013 mod en ukendt gerningsmand, idet denne havde begået en strafbar handling i medfør af artikel 325, stk. 1, i Nakazatelen Kodeks (straffeloven), sammenholdt med samme lovs artikel 20, stk. 2, i forbindelse med en hændelse i en bar. Sagsøgeren i hovedsagen, VS, deltog i denne sag som forurettet.

28

I 2016, efter at der var indgivet flere klager over bl.a. VS, oprettede anklagemyndigheden i Petritj flere sager, der indeholdt oplysninger om denne person, uden dog at indlede en efterforskning, da der ikke forelå indicier for, at der var begået en strafbar handling.

29

I 2018 tiltalte anklageren i forbindelse med efterforskning nr. 252/2013 alle de personer, der havde deltaget i den hændelse, der var genstand for denne procedure, herunder VS.

30

VS anlagde et civilt søgsmål mod anklagemyndigheden i Republikken Bulgarien ved Okrazjen sad Blagoevgrad (den regionale domstol i Blagoevgrad, Bulgarien) med krav om erstatning for den hævdede skade, forårsaget af en uforholdsmæssigt lang varighed af efterforskning nr. 252/2013. Under retsmødet den 15. oktober 2018 anmodede en anklager ved kredsanklagemyndigheden i Petritj, der er repræsentant for anklagemyndigheden, med henblik på at sikre forsvaret af denne om, at de sagsakter, som anklagemyndigheden havde oprettet i 2016, og som er nævnt i denne doms præmis 28, blev fremlagt i forbindelse med det nævnte søgsmål. Det fremgår af forelæggelsesafgørelsen, at denne anklager således havde til hensigt at godtgøre, at de helbredsproblemer, som sagsøgeren i hovedsagen havde påberåbt sig, ikke – som den pågældende hævdede – skyldtes den nævnte efterforskning, men var forårsaget af den kontrol, som politiet og anklagemyndigheden i Petritj havde foretaget i forbindelse med de nævnte sager. Under samme retsmøde pålagde Okrazjen sad Blagoevgrad (den regionale domstol i Blagoevgrad) kredsanklagemyndigheden at fremlægge bekræftede kopier af de omhandlede sagsakter, hvilket anklageren fra denne anklagemyndighed gjorde.

31

Den 12. marts 2020 klagede VS til IVSS og gjorde gældende, at kredsanklagemyndigheden i Petritj havde tilsidesat bestemmelserne om beskyttelse af personoplysninger. Med sit første anbringende gjorde VS for det første gældende, at denne anklagemyndighed ulovligt havde anvendt de personoplysninger, der vedrørte VS, og som var blevet indsamlet, selv om den pågældende blev anset for at være forurettet, med henblik på at retsforfølge vedkommende i forbindelse med den samme sag og vedrørende de samme forhold. For det andet gjorde sagsøgeren med sit andet anbringende gældende, at den behandling af personoplysninger, der var indsamlet i forbindelse med de i denne doms præmis 28 omhandlede sagsakter, og som samme anklagemyndighed har foretaget i forbindelse med det erstatningssøgsmål, som sagsøgeren har anlagt mod Republikken Bulgariens anklagemyndighed, var ulovlig. Ved afgørelse af 22. juni 2020 afviste IVSS denne klage.

32

Den 31. juli 2020 anlagde VS sag ved den forelæggende ret til prøvelse af denne afgørelse, hvorved VS for det første gjorde gældende, at behandlingen af vedkommendes personoplysninger i forbindelse med efterforskning nr. 252/2013 bl.a. er i strid med principperne i direktiv 2016/680, og for det andet, at behandlingen af de oplysninger, der er indsamlet i forbindelse med de i præmis 28 ovenfor omhandlede sagsakter, efter at anklagemyndigheden har nægtet at indlede en efterforskning, tilsidesætter databeskyttelsesforordningens principper.

33

Henset til Domstolens praksis, hvorefter tvisten i hovedsagen vedrører behandling af personoplysninger i forbindelse med aktiviteter, der er omfattet af anvendelsesområdet for databeskyttelsesforordningen og direktiv 2016/680, er den forelæggende ret i tvivl om de grænser, der er fastsat i EU-retten for så vidt angår den viderebehandling af personoplysninger, som den dataansvarlige oprindeligt havde indsamlet med henblik på efterforskning og afsløring af en strafbar handling.

34

Navnlig ønsker den forelæggende ret for det første oplyst, om Republikken Bulgariens anklagemyndighed i sin egenskab af »kompetent myndighed« som omhandlet i artikel 3, stk. 7, litra a), i direktiv 2016/680 og som »dataansvarlig« som omhandlet i dette direktivs artikel 3, stk. 8, med henblik på efterforskning og afsløring af en strafbar handling har indsamlet personoplysninger vedrørende en person, der anses for at være forurettet i forbindelse med den pågældende handling, på tidspunktet for denne indsamling i den forstand, opfylder den samme myndigheds videre behandling af disse oplysninger med henblik på retsforfølgning af denne person et formål, der falder inden for direktivets anvendelsesområde, men som er andet end det formål, til hvilket de pågældende oplysninger blev indsamlet, jf. direktivets artikel 4, stk. 2.

35

For det andet har den forelæggende ret konstateret, at henvisningen i forbindelse med det erstatningssøgsmål, som VS har anlagt, til oplysningerne om denne person i de sager, der blev indledt af kredsanklagemyndigheden i Petritj i 2016, forfølger et andet formål end det, som disse oplysninger blev indsamlet til, og retten har anført, at anklagemyndigheden i forbindelse med dette søgsmål som sagsøgt ikke handler med henblik på forebyggelse, efterforskning, afsløring eller retsforfølgning af strafbare handlinger. Den forelæggende ret er imidlertid i tvivl om, hvorvidt den blotte omstændighed at gøre den civile retsinstans opmærksom på de nævnte aktmapper vedrørende VS og at overlade alle eller en del af de oplysninger til denne retsinstans, udgør »behandling[er]« af »personoplysninger« som omhandlet i databeskyttelsesforordningens artikel 4, nr. 1) og 2), der er omfattet af dennes anvendelsesområde i medfør af forordningens artikel 2, stk. 1.

36

Den forelæggende ret er i øvrigt i det væsentlige af den opfattelse, at tvisten i hovedsagen rejser spørgsmålet om forening af beskyttelsen af personoplysninger og rettighederne for en part i en retssag, når disse oplysninger er blevet indsamlet af denne part som dataansvarlig som omhandlet i artikel 3, stk. 8, i direktiv 2016/680, navnlig henset til databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra f), vedrørende nødvendigheden af at foretage en behandling med henblik på de legitime interesser, som denne dataansvarlige forfølger.

37

Den forelæggende ret er nemlig af den opfattelse, at de andre begrundelser for en behandling af personoplysninger, der er omfattet af databeskyttelsesforordningen, og som er opregnet i denne forordnings artikel 6, stk. 1, første afsnit, ikke er relevante i forbindelse med tvisten i hovedsagen. Den forelæggende ret er navnlig af den opfattelse, at den omstændighed, at anklagemyndigheden forsyner den kompetente ret med oplysninger om straffesager, som den har indledt, med henblik på at sikre sit forsvar inden for rammerne af en civil retssag, ikke er nødvendig for udførelsen af en opgave af offentlig interesse og heller ikke henhører under offentlig myndighedsudøvelse som omhandlet i nævnte forordnings artikel 6, stk. 1, første afsnit, litra e).

38

På denne baggrund har Administrativen sad – Blagoevgrad (forvaltningsdomstolen i Blagoevgrad, Bulgarien) har besluttet at udsætte sagen og forelægge Domstolen følgende præjudicielle spørgsmål:

39

Det bemærkes indledningsvis, at selv om den forelæggende ret formelt har begrænset det første spørgsmål til fortolkningen af artikel 1, stk. 1, i direktiv 2016/680, er en sådan omstændighed ikke til hinder for, at Domstolen oplyser den om alle de momenter angående fortolkningen, som kan være til nytte ved afgørelsen af hovedsagen ved fra samtlige de oplysninger, der er fremlagt af denne ret, og navnlig af forelæggelsesafgørelsens præmisser, at udlede de EU-retlige elementer, som det under hensyn til sagens genstand er nødvendigt at fortolke (jf. i denne retning dom af 22.4.2021, Profil Credit Slovakia, C-485/19, EU:C:2021:313, præmis 50 og den deri nævnte retspraksis).

40

Det følger heraf, at den forelæggende ret med sit første spørgsmål nærmere bestemt ønsker oplyst, om artikel 1, stk. 1, i direktiv 2016/680, sammenholdt med direktivets artikel 4, stk. 2, og artikel 6, skal fortolkes således, at en behandling af personoplysninger opfylder et andet formål end det, med henblik på hvilket disse oplysninger er blevet indsamlet, når indsamlingen af sådanne oplysninger er foretaget med henblik på afsløring og efterforskning af en strafbar handling, og den registrerede på tidspunktet for denne indsamling blev anset for at være offer for denne behandling, hvorimod den omhandlede behandling er foretaget med henblik på at retsforfølge denne efter den omhandlede strafferetlige efterforskning, og om denne behandling i givet fald er tilladt.

41

Det følger af fast retspraksis, at der ved fortolkningen af en EU-retlig bestemmelse ikke blot skal tages hensyn til dennes ordlyd, men også til den sammenhæng, hvori bestemmelsen indgår, og de mål, der forfølges med den ordning, som den udgør en del af. En EU-retlig bestemmelses tilblivelse kan ligeledes give relevante elementer med henblik på dens fortolkning (jf. i denne retning dom af 1.10.2019, Planet49,C-673/17, EU:C:2019:801, præmis 48 og den deri nævnte retspraksis).

42

Det skal for det første bemærkes, at ordlyden af artikel 1, stk. 1, i direktiv 2016/680, der vedrører direktivets genstand, udtrykkeligt sondrer mellem forskellige former for aktiviteter, med henblik på hvilke en behandling af personoplysninger, der henhører under denne bestemmelse, kan opfyldes. Det følger af de forskellige sprogversioner af den nævnte bestemmelse, navnlig den bulgarske, den spanske, den tyske, den græske, den engelske og den italienske, at de forskellige mål, som denne artikel 1, stk. 1, tilsigter, svarer til henholdsvis at »forebygge« strafbare handlinger, »afsløre« dem, »efterforske« dem, »retsforfølge« disse strafbare handlinger, »fuldbyrde strafferetlige sanktioner«, »beskytte« mod trusler mod den offentlig sikkerhed og »forebygge« sådanne trusler.

43

Ordlyden af dette direktivs artikel 4, stk. 2, som bestemmer, at behandling, der foretages til »et andet formål omfattet af [direktivets] artikel 1, stk. 1, end det, hvortil personoplysningerne er indsamlet«, er tilladt under forudsætning af, at kravene i denne bestemmelse overholdes, bekræfter endvidere udtrykkeligt, at udtrykkene i artikel 1, stk. 1, dvs. »forebygge«, »afsløre«, »efterforske«, »retsforfølge«, »fuldbyrde strafferetlige sanktioner«, »beskytte mod trusler mod den offentlige sikkerhed« og »forebygge sådanne trusler« har forskellige formål i forhold til den behandling af personoplysninger, der er omfattet af samme direktivs anvendelsesområde.

44

Det følger således af selve ordlyden af artikel 1, stk. 1, i direktiv 2016/680, sammenholdt med direktivets artikel 4, stk. 2, at når personoplysninger er blevet indsamlet med henblik på at »afsløre« en strafbar handling og at »efterforske« denne og er blevet behandlet efterfølgende med henblik på »retsforfølgning«, opfylder nævnte indsamling og behandling forskellige formål.

45

Endelig bemærkes, at medlemsstaterne i henhold til samme direktivs artikel 6 er forpligtet til at fastsætte bestemmelser om, at den dataansvarlige, hvor det er relevant og så vidt muligt, klart sondrer mellem personoplysninger om forskellige kategorier af registrerede, såsom bl.a. de personoplysninger, der er nævnt i denne artikels litra a), b), og c), dvs. personer, om hvem der er væsentlig grund til at tro, at de har begået eller vil begå en strafbar handling, personer, der er dømt for en strafbar handling og ofre for en strafbar handling eller personer, om hvem visse faktiske omstændigheder giver anledning til at tro, at de kunne blive offer for en strafbar handling.

46

En person, hvis personoplysninger behandles med henblik på at strafforfølge denne person, skal følgelig anses for at henhøre under den kategori af personer, for hvem der er væsentlig grund til at tro, at vedkommende har begået en strafbar handling som omhandlet i artikel 6, litra a), i direktiv 2016/680. Hvis denne person, som i det tilfælde, der er omhandlet i det første spørgsmål, oprindeligt var blevet anset for at være offer for en strafbar handling som omhandlet i dette direktivs artikel 6, litra c), afspejler den nævnte behandling således en ændring af kategorien af den nævnte person, hvilket det tilkommer den dataansvarlige at tage hensyn til i henhold til det krav om en klar sondring mellem oplysninger fra forskellige kategorier af personer, der er fastsat i denne artikel.

47

Det må imidlertid konstateres, at hverken artikel 1, stk. 1, i direktiv 2016/680, eller artikel 4, stk. 2, i direktivet henviser til dette direktivs artikel 6 eller til indholdet af denne for at fastslå det formål med behandlingen af personoplysningerne, der er omfattet af det nævnte direktivs anvendelsesområde.

48

Som generaladvokaten i det væsentlige har anført i punkt 62 i forslaget til afgørelse, angiver udtrykket »hvor det er relevant og så vidt muligt«, der er anvendt i artikel 6 i direktiv 2016/680, i øvrigt klart, at det ikke nødvendigvis er muligt at foretage en klar sondring mellem sådanne oplysninger, navnlig når de, som i det foreliggende tilfælde, indsamles med henblik på at »efterforske« eller med henblik på at »afsløre« en strafbar handling, når den samme person kan være omfattet af flere kategorier af personer som omhandlet i direktivets artikel 6, og når fastsættelsen af de relevante kategorier kan udvikle sig i løbet af efterforskningen som følge af den gradvise belysning af de pågældende faktiske omstændigheder.

49

Det skal heraf udledes, at denne artikel 6 fastsætter en anden forpligtelse end den, der er fastsat i nævnte artikel 4, stk. 2, og – som generaladvokaten har anført i punkt 61-64 i forslaget til afgørelse – at den nævnte forpligtelse ikke er relevant med henblik på at afgøre, om en behandling af personoplysninger opfylder et andet formål end det, hvortil disse oplysninger er blevet indsamlet som omhandlet i denne bestemmelse.

50

Hvad for det andet angår den sammenhæng, hvori den omhandlede lovgivning indgår, bemærkes, at artikel 4, stk. 1, litra b), og c), i direktiv 2016/680 for det første bestemmer, at personoplysninger skal indsamles til udtrykkeligt angivne og legitime formål og ikke må behandles på en måde, der er uforenelig med disse formål, og for det andet, at disse oplysninger skal være tilstrækkelige, relevante og ikke omfatte mere end, hvad der kræves til opfyldelse af de formål, hvortil de behandles. Disse to krav er i det væsentlige formuleret på samme måde i databeskyttelsesforordningens artikel 5, stk. 1, litra b) og c), som præciserer, at de svarer til henholdsvis princippet om formålsbegrænsning og princippet om dataminimering.

51

Det skal dog i lyset af 29. betragtning til dette direktiv bemærkes, at direktivets artikel 4, stk. 2, tillader viderebehandling af personoplysninger med et andet formål end det, hvortil disse oplysninger er blevet indsamlet, såfremt dette formål er blandt de formål, der er nævnt i samme direktivs artikel 1, stk. 1, og at denne behandling opfylder de to betingelser, der er fastsat i denne artikel 4, stk. 2, litra a) og b). For det første skal den dataansvarlige være bemyndiget til at behandle de nævnte personoplysninger med henblik på et sådant formål i overensstemmelse med EU-retten eller en medlemsstats lovgivning. For det andet skal behandlingen være nødvendig og stå i rimeligt forhold til dette andet formål.

52

Navnlig kan personoplysninger, der indsamles med henblik på at »forebygge« og »afsløre« strafbare handlinger eller at »efterforske« sådanne lovovertrædelser, i givet fald viderebehandles af forskellige kompetente myndigheder med henblik på at »retsforfølge« strafbare handlinger eller »fuldbyrde strafferetlige sanktioner«, når en strafbar handling er blevet identificeret og derfor kræver retshåndhævelse.

53

I forbindelse med indsamling af personoplysninger med henblik på at »afsløre« strafbare handlinger og »efterforske« dem, skal de kompetente myndigheder imidlertid indsamle alle oplysninger, der potentielt er relevante for fastlæggelsen af de forhold, der udgør den omhandlede strafbare handling på et tidspunkt, hvor disse forhold endnu ikke er blevet fastslået. I forbindelse med behandlingen af personoplysninger med henblik på at »fuldbyrde strafferetlige sanktioner« har disse oplysninger derimod til formål at godtgøre, at de handlinger, som tiltalen vedrører, er tilstrækkeligt overbevisende, og at den strafferetlige kvalificering af disse handlinger er korrekt, således at den kompetente ret kan træffe afgørelse.

54

For det første vil de personoplysninger, der er nødvendige for at »afsløre« en strafbar handling eller »efterforske« denne, følgelig ikke systematisk være med henblik på at »retsforfølge«. For det andet kan konsekvenserne af behandlingen af personoplysninger for de registrerede være væsentligt forskellige, navnlig for så vidt angår graden af indgreb i deres ret til beskyttelse af disse oplysninger og denne behandlings indvirkning på deres retsstilling i forbindelse med den omhandlede straffesag.

55

Det bemærkes desuden, at anvendelsesområdet for nævnte artikel 4, stk. 2, ikke er begrænset til behandlinger af personoplysninger, der foretages i forbindelse med den samme strafbare handling som den, der begrundede indsamlingen af de samme oplysninger. Som anført i 27. betragtning til direktiv 2016/680 tager dette nemlig hensyn til nødvendigheden af, at de myndigheder, der er kompetente på området for bekæmpelse af strafbare handlinger, behandler personoplysninger med et andet formål end det, der førte til indsamling af disse oplysninger, navnlig med henblik på at opnå en bedre forståelse af kriminelle handlinger og sammenkoble forskellige strafbare handlinger, som er blevet afsløret.

56

Det følger af det ovenstående, at for at opfylde kravene i artikel 4, stk. 2, litra a) og b), i direktiv 2016/680 skal vurderingen af, om disse krav er blevet overholdt i forbindelse med den behandling af personoplysninger, der er foretaget af den samme eller en anden dataansvarlig, til et andet af de i artikel 1, stk. 1, nævnte formål end det, som oplysninger blev indsamlet til, ske i lyset af hvert formål, der er nævnt i denne artikel 1, stk. 1, og som er specifikt og særskilt.

57

Hvad for det tredje angår formålene med den omhandlede lovgivning bemærkes, således som det fremgår af 10. og 11. betragtning til direktiv 2016/680, at EU-lovgiver har haft til hensigt at vedtage regler, der tager hensyn til den særlige karakter af det område, der er omfattet af dette direktiv.

58

I den forbindelse fastsætter 12. betragtning, at de aktiviteter, der udføres af politiet eller andre retshåndhævende myndigheder, hovedsageligt er fokuseret på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger, herunder politiaktiviteter uden forudgående viden om, hvorvidt et forhold udgør en strafbar handling eller ej.

59

Det følger heraf, at EU-lovgiver har haft til hensigt at vedtage regler, der svarer til de særlige kendetegn ved de aktiviteter, der udøves af de kompetente myndigheder på det område, der er omfattet af dette direktiv, samtidig med at der tages hensyn til den omstændighed, at de udgør særskilte former for aktiviteter, der forfølger deres egne formål.

60

Denne fortolkning i lyset af de pågældende bestemmelses kontekst og de mål, der forfølges med den forordning, som den indgår i, bekræftes af dens tilblivelse, navnlig af Rådets begrundelse til dets holdning (EU) nr. 5/2016 ved førstebehandlingen med henblik på vedtagelse af Europa-Parlamentets og Rådets direktiv om beskyttelse af fysiske personer i forbindelse med de kompetente myndigheders behandling af personoplysninger med henblik på forebyggelse, efterforskning, retsforfølgning eller efterforskning, retsforfølgning eller strafforfølgning af strafbare handlinger og om fri udveksling af sådanne oplysninger og om ophævelse af Rådets rammeafgørelse 2008/977/RIA (EUT 2016, C 158, s. 46). Rådet for Den Europæiske Union godtgjorde således i denne begrundelse indsættelsen af den nævnte bestemmelse i direktiv 2016/680 med henvisning til, at den »eksempelvis gør det muligt for en anklager med henblik på strafforfølgning at behandle de samme personoplysninger som dem, politiet behandler med henblik på en strafferetlig efterforskning, eftersom de to formål, der er nævnt i dette eksempel, er omfattet af [dette direktivs] artikel 1, stk. 1«.

61

Det tilkommer således den forelæggende ret med henblik på at løse tvisten i hovedsagen at afgøre, om den behandling af VS’ personoplysninger, som kredsanklagemyndigheden i Petritj foretog med henblik på retsforfølgning af denne person, kunne tillades på baggrund af betingelserne i artikel 4, stk. 2, i direktiv 2016/680 ved at efterprøve, dels om bulgarsk strafferet gjorde det muligt for denne myndighed at foretage denne behandling, dels om behandlingen var nødvendig og forholdsmæssig i forhold til det formål, som den er underlagt.

62

I denne henseende bemærkes, at med henblik på at vurdere, om en sådan behandling er nødvendig og forholdsmæssig, kan den forelæggende ret i givet fald tage hensyn til den omstændighed, at den myndighed, der er ansvarlig for retsforfølgningen, skal kunne basere sig på de oplysninger, der er indsamlet under den nævnte efterforskning, som bevis for de faktiske omstændigheder, der udgør lovovertrædelsen, herunder navnlig beviserne vedrørende de personer, der er involveret heri, for så vidt som disse oplysninger er nødvendige for at identificere dem og for at fastslå deres involvering.

63

Henset til samtlige ovenstående betragtninger skal det første spørgsmål besvares med, at artikel 1, stk. 1, i direktiv 2016/680, sammenholdt med direktivets artikel 4, stk. 2, og dets artikel 6, skal fortolkes således, at en behandling af personoplysninger opfylder et andet formål end det, hvortil disse oplysninger er blevet indsamlet, når indsamlingen af sådanne oplysninger er foretaget med henblik på afsløring af en forbrydelse og efterforskning af denne, hvorimod den nævnte behandling foretages med henblik på at retsforfølge en person efter denne strafferetlige efterforskning, uanset den omstændighed, at personen blev betragtet som forurettet på tidspunktet for indsamlingen, og en sådan behandling er tilladt i medfør af dette direktiv artikel 4, stk. 2, for så vidt som den opfylder de betingelser, der er fastsat i denne bestemmelse.

64

Med sit andet spørgsmål ønsker den forelæggende ret i det væsentlige oplyst, dels om artikel 3, stk. 8, og artikel 9, stk. 1 og 2, i direktiv 2016/680 samt databeskyttelsesforordningens artikel 2, stk. 1 og 2, skal fortolkes således, at denne forordning finder anvendelse på den behandling af personoplysninger, som foretages af en medlemsstats anklagemyndighed med henblik på udøvelse af retten til forsvar i forbindelse med et erstatningssøgsmål mod staten, i tilfælde af, at den underretter den kompetente ret om, at der findes sagsakter vedrørende en fysisk person, der er part i sagen, og som er oprettet med henblik på de formål, der er omhandlet i direktivets artikel 1, stk. 1, og fremsender disse sagsakter til denne ret, og dels i bekræftende fald, om forordningens artikel 6, stk. 1, første afsnit, litra f), skal fortolkes således, at en sådan behandling af personoplysninger kan anses for lovlig af hensyn til den dataansvarliges legitime interesser i denne bestemmelses forstand.

65

IVSS har i sit skriftlige indlæg rejst tvivl om, hvorvidt det andet spørgsmål kan antages til realitetsbehandling med den begrundelse, at det er stillet af den forelæggende ret i forbindelse med undersøgelsen af et anbringende fremsat af VS, som var blevet afvist ved den afgørelse, der er genstand for hovedsagen, på grund af udløbet af den lovbestemte frist for fremsættelse heraf.

66

Det fremgår af Domstolens faste praksis, at der gælder en formodning for, at de spørgsmål om EU-rettens i Domstolens fortolkning, som den nationale ret har forelagt på baggrund af de retlige og faktiske omstændigheder, som den har ansvaret for at fastlægge – og hvis rigtighed det ikke tilkommer Domstolen at efterprøve – er relevante. Domstolen kan kun afvise at træffe afgørelse om et præjudicielt spørgsmål forelagt af en national ret, hvis det klart fremgår, at den ønskede fortolkning af EU-retten savner enhver forbindelse med realiteten i hovedsagen eller dennes genstand, såfremt problemet er af hypotetisk karakter, eller såfremt Domstolen ikke råder over de faktiske og retlige oplysninger, som er nødvendige for, at den kan give en hensigtsmæssig besvarelse af de forelagte spørgsmål (jf. i denne retning dom af 27.9.2017, Puškár, C-73/16, EU:C:2017:725, præmis 50 og den deri nævnte retspraksis).

67

Det bemærkes i det foreliggende tilfælde, således som generaladvokaten har anført i punkt 76 og 77 i forslaget til afgørelse, at spørgsmålet om, hvorvidt de anbringender, som VS har fremsat i forbindelse med sit søgsmål ved IVSS, kan antages til realitetsbehandling, fuldt ud henhører under den forelæggende rets kompetence. I øvrigt har denne ret i forelæggelsesafgørelsen anført, at den anså det andet spørgsmål for relevant, selv om IVSS afviste det anbringende, der er nævnt i denne doms præmis 65. Det tilkommer under alle omstændigheder ikke Domstolen at foretage en fornyet prøvelse af denne vurdering.

68

Det følger heraf, at det andet spørgsmål kan antages til realitetsbehandling.

69

Det skal for det første afklares, om en medlemsstats anklagemyndigheds brug af oplysninger vedrørende en fysisk person, som er indsamlet og behandlet til de formål, der fremgår af artikel 1, stk. 1, i direktiv 2016/680, med henblik på at udøve dens ret til forsvar i forbindelse med et civilt søgsmål, udgør en »behandling« af »personoplysninger«, som omhandlet i databeskyttelsesforordningens artikel 4, nr. 1) og 2).

70

Indledningsvis bemærkes, at »enhver form for information om en identificeret eller identificerbar fysisk person« udgør en »personoplysning« som omhandlet i databeskyttelsesforordningens artikel 4, nr. 1), idet denne definition ifølge retspraksis finder anvendelse, når de omhandlede oplysninger på grund af deres indhold, formål og virkning er knyttet til en bestemt person (jf. i denne retning dom af 20.12.2017, Nowak, C-434/16, EU:C:2017:994, præmis 35). I henhold til databeskyttelsesforordningens artikel 4, nr. 2), udgør begrebet »behandling« desuden »enhver aktivitet eller række af aktiviteter – med eller uden brug af automatisk behandling – som personoplysninger eller en samling af personoplysninger gøres til genstand for«, såsom navnlig »søgning«, »videregivelse ved transmission« eller »enhver anden form for overladelse«. Disse definitioner afspejler, at EU-lovgiver har haft til hensigt at give disse to begreber en vid rækkevidde (jf. i denne retning dom af 20.12.2017, Nowak, C-434/16, EU:C:2017:994, præmis 34, og af 24.2.2022, Valsts ieņēmumu dienests (Behandling af personoplysninger til skatteformål), C-175/20, EU:C:2022:124, præmis 35).

71

I denne henseende indebærer den omstændighed, at sagsøgte i en civil retssag, selv kortfattet, i sine skriftlige indlæg eller under retsmødet, oplyser den kompetente ret om indledningen af sager vedrørende den fysiske person, der har indledt denne sag, bl.a. med henblik på at »afsløre« en strafbar handling eller at »efterforske« straffesager, for det første at sagsøgte har »søgt«, »brugt« og »transmitteret« eller »formidlet«»personoplysninger« som omhandlet i databeskyttelsesforordningens artikel 4, nr. 1) og 2). Disse oplysninger er således både i kraft af deres indhold, formål og virkning knyttet til en bestemt person, som kan identificeres både af den part, der har videregivet oplysningerne, og af den ret, hvortil de videregives.

72

For det andet indebærer den omstændighed, at samme sagsøgte efter anmodning fra den kompetente ret fremlægger sagsakterne i sager vedrørende den nævnte fysiske person, i det mindste »brug« og »videregivelse ved transmission« af »personoplysninger« som omhandlet i databeskyttelsesforordningens artikel 4, nr. 1) og 2).

73

For det andet bemærkes, at databeskyttelsesforordningens artikel 2, stk. 1, i vidt omfang definerer databeskyttelsesforordningens materielle anvendelsesområde (dom af 22.6.2021, Latvijas Republikas Saeima (Strafpoint), C-439/19, EU:C:2021:504, præmis 61), som omfatter enhver »behandling af personoplysninger, der helt eller delvis foretages ved hjælp af automatisk databehandling, og på anden ikkeautomatisk behandling af personoplysninger, der er eller vil blive indeholdt i et register«. Konsekvensen af denne brede definition er, at de undtagelser fra anvendelsen af databeskyttelsesforordningen, der er opregnet i dennes artikel 2, stk. 2, skal fortolkes strengt. Dette er navnlig tilfældet med undtagelsen i stk. 2, litra d), i denne artikel, som omhandler de kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner (jf. i denne retning dom af 24.2.2022, Valsts ieņēmumu dienests (Behandling af personoplysninger til skatteformål), C-175/20, EU:C:2022:124, præmis 40 og 41 og den deri nævnte retspraksis).

74

I denne henseende har Domstolen fastslået, at denne undtagelse, således som det fremgår af 19. betragtning til denne forordning, er begrundet i den omstændighed, at de kompetente myndigheders behandling af personoplysninger med henblik på de formål, der er fastsat i databeskyttelsesforordningens artikel 2, stk. 2, litra d), er reguleret af en specifik EU-retsakt, nemlig direktiv 2016/680, som blev vedtaget samme dag som databeskyttelsesforordningen (jf. i denne retning dom af 24.2.2022, Valsts ieņēmumu dienests (Behandling af personoplysninger til skatteformål), C-175/20, EU:C:2022:124, præmis 42 og den deri nævnte retspraksis).

75

Som det kan udledes af 12. betragtning til direktiv 2016/680, har EU-lovgiver i dette direktivs artikel 9 fastsat regler om behandling af personoplysninger til andre formål end dem, der er fastsat i nævnte direktivs artikel 1, stk. 1, med henblik på hvilke disse oplysninger er blevet indsamlet.

76

Artikel 9, stk. 1, i direktiv 2016/680 fastsætter i den forbindelse, dels at en sådan behandling af personoplysninger i princippet ikke må iværksættes, medmindre den er hjemlet i EU-retten eller en medlemsstats lovgivning, dels at databeskyttelsesforordningen finder anvendelse på denne behandling, medmindre behandlingen udføres i forbindelse med en aktivitet, der falder uden for EU-rettens anvendelsesområde. Det følger i øvrigt af dette direktivs artikel 9, stk. 2, at medmindre behandlingen foretages som led i en sådan aktivitet, finder databeskyttelsesforordningen anvendelse på den behandling, som de kompetente myndigheder foretager inden for rammerne af deres andre opgaver end dem, der udføres med henblik på de formål, der er fastsat i det nævnte direktivs artikel 1, stk. 1.

77

I de tilfælde, der er omhandlet i denne doms præmis 71 og 72, udgør en medlemsstats anklagemyndigheds indsamling og behandling af personoplysninger med henblik på at »forebygge« og »afsløre« strafbare handlinger, »efterforske« eller »retsforfølge« i den henseende, imidlertid klart behandling af personoplysninger med de formål, der er nævnt i artikel 1, stk. 1, i direktiv 2016/680, som omhandlet i dette direktivs artikel 9, stk. 1 og 2.

78

Selv om anlæggelsen af et erstatningssøgsmål mod staten skyldes formodede fejl begået af anklagemyndigheden inden for rammerne af en straffesag, såsom i det foreliggende tilfælde de påståede tilsidesættelser af retten til rettergang inden for en rimelig frist, har statens forsvar inden for rammerne af et sådant søgsmål imidlertid ikke som sådan til formål at sikre de opgaver, der påhviler denne anklagemyndighed med henblik på de formål, der er fastsat i artikel 1, stk. 1, i direktiv 2016/680.

79

Henset til princippet om en streng fortolkning af undtagelserne til anvendelsen af databeskyttelsesforordningen kan disse samme behandlinger af personoplysninger desuden ikke anses for at være foretaget »i forbindelse med en aktivitet, der ikke er omfattet af EU-rettens anvendelsesområde« som omhandlet i databeskyttelsesforordningens artikel 2, stk. 2, litra a), og artikel 9, stk. 1 og 2, i direktiv 2016/680. I denne henseende fremgår det af retspraksis, at dette udtryk alene har til formål at udelukke de behandlinger af personoplysninger, som de statslige myndigheder foretager i forbindelse med en aktivitet, der har til formål at bevare den nationale sikkerhed eller en aktivitet, der kan henføres til den samme kategori, fra databeskyttelsesforordningens anvendelsesområde. Statens eller en offentlig myndigheds deltagelse i et civilt søgsmål som sagsøgt i forbindelse med et erstatningssøgsmål mod staten har ikke til formål at beskytte den nationale sikkerhed og hører derfor ikke under samme kategori af aktiviteter (jf. i denne retning dom af 22.6.2021, Latvijas Republikas Saeima (Strafpoint), C-439/19, EU:C:2021:504, præmis 66-68 og den deri nævnte retspraksis).

80

For det tredje bemærkes, at anklagemyndigheden med henblik på anvendelsen af databeskyttelsesforordningen på den behandling af oplysninger, der er omhandlet i nærværende doms præmis 71 og 72, skal anses for at være »dataansvarlig« som omhandlet i databeskyttelsesforordningens artikel 4, nr. 7), men ligeledes i artikel 3, stk. 8, i direktiv 2016/680, for så vidt som den »alene eller sammen med andre afgør, til hvilke formål og med hvilke hjælpemidler« der må foretages behandling som omhandlet i sidstnævnte bestemmelse. Det er nemlig denne myndighed, der som part i sagen informerer den kompetente ret om, at der findes offentligt tilgængelige straffesager vedrørende den anden part, og som videresender disse sagsakter til denne. Myndighedens egenskab af »dataansvarlig«, henset til den brede definition af dette begreb, som har til formål at sikre en effektiv og fuldstændig beskyttelse af de registrerede, er uafhængig af omfanget af vedkommendes involvering og ansvarsniveau, som kan være forskellige fra den kompetente rets, som det tilkommer at tillade eller endog at anordne sådanne behandlinger (jf. analogt dom af 29.7.2019, Fashion ID,C-40/17, EU:C:2019:629, præmis 66-70).

81

Uafhængigt af spørgsmålet om, hvorvidt de behandlinger af oplysninger, der er omhandlet i denne doms præmis 80, er omfattet af stk. 1 eller stk. 2 i artikel 9 i direktiv 2016/680, fremgår det af ordlyden af disse stykker og af deres sammenhæng, at databeskyttelsesforordningen finder anvendelse på enhver behandling af personoplysninger, der er indsamlet med henblik på de formål, der er fastsat i dette direktivs artikel 1, stk. 1, med andre formål end dem, der er fastsat i dette direktivs artikel 1, stk. 1, medmindre den pågældende behandling ikke henhører under EU-retten, herunder når den »dataansvarlige« som omhandlet i det nævnte direktivs artikel 3, stk. 8, er en »kompetent myndighed«, som omhandlet i direktivets artikel 3, stk. 7, litra a), og når den foretager behandlingen af personoplysninger i forbindelse med andre opgaver end dem, der blev udført til de formål, der fremgår af samme direktivs artikel 1, stk. 1.

82

Henset til samtlige ovenstående betragtninger skal det fastslås, at databeskyttelsesforordningen finder anvendelse på den behandling af personoplysninger, som anklagemyndigheden i en medlemsstat foretager med henblik på at udøve sin ret til forsvar i forbindelse med et erstatningssøgsmål mod staten, når den dels oplyser den kompetente ret om, at der findes sagsakter vedrørende en fysisk person, der er part i dette søgsmål, som er åbnet med de formål, der er fastsat i artikel 1, stk. 1, i direktiv 2016/680, dels videresender disse sagsakter til denne ret.

83

Det bemærker, at databeskyttelsesforordningens artikel 6 på udtømmende vis oplister de tilfælde, hvor behandlingen af personoplysninger kan anses for at være lovlig (jf. i denne retning dom af 22.6.2021, Latvijas Republikas Saeima (Strafpoint), C-439/19, EU:C:2021:504, præmis 99).

84

Blandt disse tilfælde fastsætter databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra e), den behandling, der er nødvendig for udførelsen af en opgave i samfundets interesse, eller som henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt, og denne forordnings artikel 6, stk. 1, første afsnit, litra f), omhandler den behandling, der er nødvendig for, at den dataansvarlige eller en tredjemand kan forfølge en legitim interesse, medmindre den registreredes interesser eller grundlæggende rettigheder og frihedsrettigheder, der kræver beskyttelse af personoplysninger, går forud herfor. I henhold til nævnte forordnings artikel 6, stk. 1, andet afsnit, finder dens artikel 6, stk. 1, første afsnit, litra f), ikke anvendelse på den behandling, som offentlige myndigheder foretager som led i udførelsen af deres opgaver.

85

Det bemærkes, således som Kommissionen med rette har anført i sine skriftlige bemærkninger, at det klart fremgår af ordlyden af databeskyttelsesforordningens artikel 6, stk. 1, andet afsnit, at en behandling af personoplysninger, der foretages af en offentlig myndighed i forbindelse med udførelsen af dens opgaver, ikke kan henhøre under anvendelsesområdet for databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra f), om behandling af personoplysninger, som er nødvendig for de legitime interesser, som den dataansvarlige forfølger. Som det fremgår af 47. betragtning til databeskyttelsesforordningen, og som Kommissionen har gjort gældende, kan sidstnævnte bestemmelse ikke finde anvendelse på sådanne behandlinger af oplysninger, eftersom retsgrundlaget for disse skal være fastsat af lovgiver. Det følger heraf, at når den behandling, der foretages af en offentlig myndighed, er nødvendig for udførelsen af en opgave af offentlig interesse og dermed henhører under de opgaver, der er nævnt i denne forordnings artikel 6, stk. 1, andet afsnit, udelukker anvendelsen af databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra e), og forordningens artikel 6, stk. 1, første afsnit, litra f), hinanden gensidigt.

86

Inden der tages stilling til spørgsmålet om anvendelsen af databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra f), skal det således afgøres, om den behandling, som anklagemyndigheden i en medlemsstat foretager af personoplysninger, der oprindeligt er indsamlet med henblik på et eller flere af de formål, der er nævnt i artikel 1, stk. 1, i direktiv 2016/680, for at sikre statens eller et offentligt organs forsvar i forbindelse med et erstatningssøgsmål for skader, der er forvoldt af staten eller et offentligt organ i udøvelsen af dens opgaver, er nødvendig for udførelsen af en opgave af offentlig interesse eller vedrører dens offentlige myndighedsudøvelse, som den er pålagt, som omhandlet i artikel 6, stk. 1, første afsnit, litra e), i dette direktiv.

87

Som generaladvokaten i det væsentlige har anført i punkt 94 og 100 i forslaget til afgørelse, kan forsvaret af disse interesser i henhold til national ret, når det påhviler anklagemyndigheden at forsvare statens retlige og økonomiske interesser i forbindelse med en erstatningssag, som anfægter denne offentlige myndigheds handlinger eller adfærd i forbindelse med de opgaver af offentlig interesse, som den er blevet overdraget i straffesager, i henhold til national ret udgøre en opgave af offentlig interesse som omhandlet i denne forordnings artikel 6, stk. 1, første afsnit, litra e).

88

For det første beskytter den offentlige myndighed ved udøvelsen af de processuelle rettigheder, der er tillagt den som sagsøgt, retssikkerheden for de i offentlighedens interesse udførte handlinger og vedtagne afgørelser, som sagsøgeren har anfægtet. Dens stillingtagen til sagsøgerens anbringender og argumenter kan i givet fald undgå risikoen for, at disse undergraver den effektive anvendelse af de regler, der påhviler den i forbindelse med de opgaver, som den bebrejdes at have begået fejl i.

89

For det andet kan den offentlige myndighed med sine anbringender og argumenter til sit forsvar, når dette er tilfældet, fremhæve den eventuelt ugrundede eller uforholdsmæssige karakter af sagsøgerens erstatningskrav, navnlig med henblik på at undgå, at udførelsen af de opgaver af offentlig interesse, der er genstand for erstatningssøgsmålet, hindres af udsigten til erstatningssøgsmål, når disse opgaver kan skade enkeltpersoners interesser.

90

I denne henseende er det uden betydning, at anklagemyndigheden i forbindelse med et erstatningssøgsmål mod staten handler som sagsøgt på lige fod med de øvrige parter og udøver ikke offentlige beføjelser, som det er tilfældet i forbindelse med udøvelsen af dens strafferetlige opgaver.

91

I det foreliggende tilfælde fremgår det af forelæggelsesafgørelsen og af de præciseringer, som den bulgarske regering har givet som svar på Domstolens spørgsmål, at erstatningssøgsmålet, som delvist ligger til grund for tvisten i hovedsagen, er baseret på lov om statens og kommunernes ansvar for skader, som nævnt i denne doms præmis 26, som indfører en ordning med statsligt ansvar for skader forårsaget af en tilsidesættelse af retten til at få en sag behandlet og afgjort inden for en rimelig frist, og at det i henhold til artikel 7 i denne lov er den myndighed, hvis retsstridige vedtagelser, handlinger eller undladelser har forårsaget skaden, der er part i sagen, og som i den egenskab træder i statens sted i processuel henseende.

92

Den rolle, som den myndighed, der er årsag til den hævdede skade, har i forbindelse med et sådant erstatningssøgsmål, adskiller sig således fra den rolle, som sagsøgte har i forbindelse med et regressøgsmål mod staten, der er rettet mod en offentlig ansat, som er personligt ansvarlig for tilsidesættelser, der er begået under udøvelsen af dennes hverv, eftersom denne rolle i sidstnævnte tilfælde har til formål at forsvare private interesser (jf. i denne retning dom af 18.5.2021, Asociaţia Forumul Judecătorilor din România m.fl., C-83/19, C-127/19, C-195/19, C-291/19, C-355/19 og C-397/19, EU:C:2021:393, præmis 225).

93

Henset til de ovenstående betragtninger skal det derfor fastslås, at den behandling, som anklagemyndigheden i en medlemsstat foretager af personoplysninger, der oprindeligt er indsamlet og behandlet med henblik på et eller flere af de formål, der er nævnt i artikel 1, stk. 1, i direktiv 2016/680, for at sikre statens forsvar inden for rammerne af et erstatningssøgsmål for skader forårsaget af denne anklagemyndigheds fejl i forbindelse med udøvelsen af dens opgaver, i princippet ikke er omfattet af anvendelsesområdet for databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra f), men snarere af anvendelsesområdet for databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra e).

94

Det kan i øvrigt ikke udelukkes, at når anklagemyndigheden i en medlemsstat med henblik på at sikre statens forsvar i forbindelse med en erstatningssag fremsender personoplysninger til den kompetente ret efter anmodning fra sidstnævnte, kan denne fremsendelse ligeledes være omfattet af anvendelsesområdet for databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra c), når den nævnte anklagemyndighed i henhold til gældende national ret er forpligtet til at efterkomme en sådan anmodning.

95

Med henblik på at godtgøre, at behandlinger af personoplysninger som de i hovedsagen omhandlede er omfattet af anvendelsesområdet for disse bestemmelser i databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, tilkommer det under disse omstændigheder den forelæggende ret at efterprøve, om national ret i overensstemmelse med denne forordnings artikel 6, stk. 3, definerer dels grundlaget for sådanne behandlinger, dels formålene med disse behandlinger, eller, for så vidt angår artikel 6, stk. 1, første afsnit, litra e), at de nævnte behandlinger er nødvendige af hensyn til dens offentlige opgave.

96

Det tilkommer i øvrigt den forelæggende ret at afgøre, om anklagemyndighedens videregivelse af oplysninger vedrørende ophavsmanden til erstatningssøgsmålet, der er indeholdt i de sagsakter, der er tilgængelige i andre sager end den, der ligger til grund for dette søgsmål, opfylder de øvrige krav, der er fastsat i databeskyttelsesforordningen, og navnlig princippet om »dataminimering« som omhandlet i databeskyttelsesforordningens artikel 5, stk. 1, litra c), hvorefter personoplysninger skal være tilstrækkelige, relevante og begrænset til, hvad der er nødvendigt i forhold til de formål, hvortil de behandles, som er udtryk for proportionalitetsprincippet (jf. i denne retning dom af 22.6.2021, Latvijas Republikas Saeima (Strafpoint), C-439/19, EU:C:2021:504, præmis 98). Det tilkommer endvidere den forelæggende ret at efterprøve, om denne behandling af personoplysninger er blevet foretaget under overholdelse af de fornødne garantier, navnlig muligheden for effektivt at kommentere de oplysninger og beviser, som anklagemyndigheden har fremlagt i denne forbindelse, men også, i overensstemmelse med databeskyttelsesforordningens artikel 21, stk. 1, at modsætte sig, at disse oplysninger og beviser videregives til den kompetente ret, med forbehold for de begrænsninger af denne indsigelsesret, der er fastsat i den nationale lovgivning, i overensstemmelse med denne forordnings artikel 23, stk. 1.

97

På baggrund af det ovenstående skal det andet præjudicielle spørgsmål besvares som følger:

98

Da sagen i forhold til hovedsagens parter udgør et led i den sag, der verserer for den forelæggende ret, tilkommer det denne at træffe afgørelse om sagsomkostningerne. Bortset fra de nævnte parters udgifter kan de udgifter, som er afholdt i forbindelse med afgivelse af indlæg for Domstolen, ikke erstattes.

På grundlag af disse præmisser kender Domstolen (Femte Afdeling) for ret: