Concluziile avocatului general domnul D. Spielmann prezentate la 5 martie 2026.###

Ediție provizorie

CONCLUZIILE AVOCATULUI GENERAL

DOMNUL DEAN SPIELMANN

prezentate la 5 martie 2026(1)

Cauza C‑5/25 [Pilev](i)

Procedură penală

împotriva

lui WE

cu participarea

Sofiyska gradska prokuratura

[cerere de decizie preliminară formulată de Sofiyski gradski sad (Tribunalul Orașului Sofia, Bulgaria)]

„ Trimitere preliminară – Cooperarea judiciară în materie penală – Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal în materie penală – Operațiuni de prelucrare efectuate de instanțe în exercițiul funcției lor judiciare – Aplicabilitatea Directivei (UE) 2016/680 – Verificarea identității acuzatului în ședință publică – Date privind locul nașterii, cetățenia, reședința, nivelul de educație, starea civilă, antecedentele penale și «etnia» ”

Introducere

1. Prezenta cauză privește întinderea colectării de către o instanță penală națională a datelor cu caracter personal ale unui inculpat cu unicul scop de a verifica dacă această persoană este într‑adevăr persoana menționată în rechizitoriu. Ea nu privește însă chestiunea independenței instanței în cadrul atribuțiilor sale ca instanță de fond și marja sa de manevră pentru a interoga inculpatul în această privință.

2. Această cauză oferă astfel Curții ocazia de a clarifica domeniul de aplicare al Directivei (UE) 2016/680(2) în raport cu Regulamentul (UE) 2016/679(3) și de a‑și consolida jurisprudența în ceea ce privește proporționalitatea cu scopul urmărit al unei prelucrări a datelor cu caracter personal colectate de o instanță penală.

Cadrul juridic

Directiva 2016/680

3. Articolul 1 din această directivă, intitulat „Obiect și obiective”, prevede la alineatul (1):

„Prezenta directivă stabilește normele referitoare la protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, depistării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor, inclusiv al protejării împotriva amenințărilor la adresa securității publice și al prevenirii acestora.”

4. Articolul 2 din directiva menționată, intitulat „Domeniul de aplicare”, prevede la alineatul (1):

„Prezenta directivă se aplică prelucrării datelor cu caracter personal de către autoritățile competente în scopurile prevăzute la articolul 1 alineatul (1).”

5. Articolul 3 din Directiva 2016/680, intitulat „Definiții”, are următorul cuprins:

„În sensul prezentei directive:

[…]

7. «autoritate competentă» înseamnă:

(a) orice autoritate publică competentă în materie de prevenire, depistare, investigare sau urmărire penală a infracțiunilor sau de executare a pedepselor, inclusiv în materie de protejare împotriva amenințărilor la adresa securității publice și de prevenire a acestora, sau

(b) orice alt organism sau entitate împuternicit(ă) de dreptul intern să exercite autoritate publică și competențe publice în scopul prevenirii, depistării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor, inclusiv al protejării împotriva amenințărilor la adresa securității publice și al prevenirii acestora;

[…]”

6. Potrivit articolului 4 din această directivă, intitulat „Principii referitoare la prelucrarea datelor cu caracter personal”:

„(1) Statele membre garantează că datele cu caracter personal:

[…]

(c) sunt adecvate, relevante și neexcesive în ceea ce privește scopurile în care sunt prelucrate;

[…]”

7. Articolul 8 din directiva menționată, intitulat „Legalitatea prelucrării”, prevede la alineatul (1):

„Statele membre garantează legalitatea prelucrării numai dacă și în măsura în care aceasta este necesară pentru îndeplinirea unei sarcini de către o autoritate competentă în scopurile stabilite la articolul 1 alineatul (1) și că aceasta se întemeiază pe dreptul Uniunii sau pe dreptul intern.”

8. Articolul 10 din Directiva 2016/680, intitulat „Prelucrarea de categorii speciale de date cu caracter personal”, are următorul cuprins:

„Prelucrarea datelor cu caracter personal care dezvăluie originea rasială sau etnică, opiniile politice, confesiunea religioasă sau convingerile filozofice, afilierea sindicală, prelucrarea datelor genetice, prelucrarea datelor biometrice pentru identificarea unică a unei persoane fizice sau prelucrarea datelor privind sănătatea sau a datelor privind viața sexuală și orientarea sexuală a unei persoane fizice este autorizată numai atunci când este strict necesară și sub rezerva unor garanții adecvate pentru drepturile și libertățile persoanei vizate și numai atunci când:

(a) este autorizată de dreptul Uniunii sau de dreptul intern;

(b) este necesară pentru a proteja interesele vitale ale persoanei vizate sau ale unei alte persoane fizice sau

(c) prelucrarea respectivă se referă la date care sunt făcute publice în mod manifest de persoana vizată.”

Dreptul bulgar

Codul de procedură penală (NPK)

9. Articolul 138 alineatele (2) și (3) din nakazatelno‑protsesualen kodeks (Codul de procedură penală)(4) din 29 aprilie 2006 (denumit în continuare „NPK”) are următorul cuprins:

„[…]

(2) Înainte de audiere, organul competent stabilește identitatea inculpatului.

(3) Audierea inculpatului începe cu întrebarea dacă înțelege acuzarea; în continuare, este invitat, dacă dorește, să prezinte sub forma unei relatări libere tot ceea ce știe cu privire la cauza penală.”

10. Articolul 272 alineatul (1) din NPK prevede:

„Președintele verifică identitatea inculpatului adresând întrebări cu privire la numele complet, data și locul nașterii, etnia, cetățenia, reședința, nivelul de educație, starea civilă și numărul de identificare personal al acestuia, precum și la antecedentele penale.”

11. Articolul 311 alineatul (1) punctul 2 din NPK prevede:

„În încheierea ședinței de judecată […] se menționează […] informațiile referitoare la inculpat.”

Legea privind registrul de stare civilă (ZGR)

12. Zakon za grazhdanskata registratsia (Legea privind registrul de stare civilă)(5) din 27 iulie 1999 (denumită în continuare „ZGR”) prevede la articolul 8 alineatul (1) că principalele date privind starea civilă a persoanelor sunt numele, data (ziua, luna, anul) și locul nașterii, sexul, cetățenia și numărul de identificare personal.

Legea privind documentele de identitate bulgare (ZBLD)

13. Zakon za balgarskite lichni dokumenti (Legea privind documentele de identitate bulgare)(6) din 1 aprilie 1999 (denumită în continuare „ZBLD”) prevede la articolul 3 alineatul (1):

„Documentele de identitate atestă identitatea și, după caz, cetățenia prin intermediul datelor pe care le conțin.”

14. Articolul 6 din ZBLD prevede:

„Cetățenii sunt obligați să își decline identitatea la cererea funcționarilor competenți desemnați prin lege.”

15. Articolul 16 alineatul (1) din ZBLD are următorul cuprins:

„Documentele de identitate bulgare conțin următoarele informații obligatorii privind persoana:

1. numele;

2. data nașterii;

3. numărul de identificare personal (numărul de identificare sau numărul de identificare străin);

4. sexul;

5. cetățenia.”

Legea privind organizarea judiciară (ZSV)

16. Zakon za sadebnata vlast (Legea privind organizarea judiciară)(7) (denumită în continuare „ZSV”) prevede la articolul 8 alineatul (2):

„În cadrul exercitării atribuțiilor judiciare […] nu poate fi îngrădit niciun drept și nu poate fi acordat niciun avantaj care se întemeiază pe […] originea etnică […]”

Litigiul principal, întrebarea preliminară și procedura în fața Curții

17. Sofiyski gradski sad (Tribunalul Orașului Sofia, Bulgaria), care este instanța de trimitere, a fost sesizată cu un rechizitoriu întocmit de Sofiyska gradska prokuratura (Parchetul Orașului Sofia, Bulgaria) prin care se susține că, la 6 septembrie 2023, pe de o parte, o persoană a mituit, la Sofia, funcționari ai poliției pentru ca aceștia din urmă să nu întocmească împotriva ei un proces‑verbal de constatare a unei contravenții pentru conducerea unui vehicul fără permisul de conducere aferent și, pe de altă parte, această persoană și‑a exercitat în același timp și loc profesia de taximetrist fără a deține autorizația necesară. Se susține că aceste fapte constituie infracțiuni.

18. La prima ședință de judecată din 5 iulie 2024 s‑au înfățișat un reprezentant al Parchetului Orașului Sofia, inculpatul și apărătorul acestuia. Instanța de trimitere a continuat procedura și, în conformitate cu articolul 272 alineatul (1) din NPK, președintele completului a trebuit să stabilească identitatea inculpatului adresându‑i întrebări cu privire la împrejurările prevăzute de această dispoziție.

19. Pe baza cărții de identitate prezentate de inculpat, președintele completului s‑a asigurat că persoana care s‑a înfățișat înaintea sa era într‑adevăr persoana căreia i‑a fost atribuită calitatea de inculpat în rechizitoriu. Cu toate acestea, el a renunțat să adreseze inculpatului întrebările referitoare la identitatea sa, prevăzute la articolul 272 alineatul (1) din NPK, iar judecarea cauzei a fost suspendată.

20. Instanța de trimitere a solicitat Konstitutsionen sad (Curtea Constituțională, Bulgaria) să constate incompatibilitatea articolului 272 alineatul (1) din NPK cu unele dispoziții din Konstitutsia na Republika Bulgaria (Constituția Republicii Bulgaria)(8). Având în vedere refuzul acestei instanțe de a se pronunța pe fond, instanța de trimitere a decis să formuleze prezenta cerere de decizie preliminară.

21. Instanța de trimitere subliniază că, deși, după cum a procedat în prima ședință, ea poate identifica cu suficientă certitudine inculpatul consultând cartea de identitate a acestuia care conține toate datele de individualizare necesare, cererea de informații referitoare la datele de identificare prevăzută la articolul 272 alineatul (1) din NPK este utilă pentru a spori certitudinea că persoana care s‑a înfățișat confirmă, prin răspunsurile sale, că este inculpatul, cu alte cuvinte că nu au fost prezentate documente de identitate străine sau falsificate. Totuși, ea arată că este suficient să interogheze persoana care s‑a înfățișat cu privire la numele complet, data nașterii și numărul de identificare personal pentru a o identifica.

22. În consecință, instanța de trimitere are îndoieli dacă, prin adresarea în ședință publică de întrebări persoanei care se înfățișează în fața sa cu privire la celelalte elemente prevăzute la articolul 272 alineatul (1) din NPK – și anume locul nașterii, etnia, cetățenia, reședința, nivelul de educație, starea civilă, precum și antecedentele penale – și prin înscrierea răspunsurilor date oral în încheierea de ședință, aceasta încalcă cerința necesității prelucrării datelor cu caracter personal prevăzută de Directiva 2016/680. Întrucât aceste alte elemente nu sunt necesare pentru identificarea sigură și completă a inculpatului, colectarea acestora ar fi excesivă în raport cu scopul urmărit de articolul 272 alineatul (1) din NPK, și anume stabilirea identității inculpatului.

23. Instanța de trimitere arată că o parte dintre datele cu caracter personal prevăzute la articolul 272 alineatul (1) din NPK pot fi utilizate în alte scopuri. Astfel, reședința poate fi relevantă pentru stabilirea adresei la care să fie citat inculpatul, iar antecedentele penale pot fi relevante pentru individualizarea pedepsei.

24. Totuși, instanța de trimitere subliniază în esență că aceste date, obținute înainte de începerea anchetei judiciare, nu vizează stabilirea identității inculpatului. De asemenea, adresarea de întrebări inculpatului și înscrierea răspunsurilor sale nu ar fi suficiente pentru a stabili în mod fiabil aceste împrejurări. În sfârșit, potrivit dreptului național, informațiile despre care se ia cunoștință cu ocazia stabilirii identității persoanei care s‑a înfățișat nu pot fi utilizate în soluționarea pe fond a cauzei. Instanța stabilește mai întâi identitatea persoanei care se înfățișează înaintea sa și abia ulterior o informează cu privire la drepturile sale. În consecință, aceste informații (cu privire la etnie, la antecedentele penale, la starea civilă și la nivelul de educație) nu ar avea valoare probantă.

25. Prin urmare, instanța de trimitere are îndoieli dacă articolul 272 alineatul (1) din NPK îndeplinește cerințele prevăzute la articolul 4 alineatul (1) litera (c) și la articolul 8 alineatul (1) din Directiva 2016/680. Potrivit acesteia, colectarea, înregistrarea în procesul‑verbal al instanței și stocarea ulterioară în dosarul cauzei a datelor cu caracter personal cu privire la locul nașterii, etnia, cetățenia, reședința, nivelul de educație, starea civilă și antecedentele penale sunt excesive raportat la scopul procedurii penale. Instanța de trimitere are de asemenea îndoieli cu privire la conformitatea articolului 272 alineatul (1) din NPK cu articolul 10 din Directiva 2016/680, în legătură cu informațiile referitoare la etnia inculpatului, aceste date dezvăluind originea etnică a persoanei respective.

26. În aceste condiții, Sofiyski gradski sad (Tribunalul Orașului Sofia) a hotărât să suspende judecarea cauzei și să adreseze Curții următoarea întrebare preliminară:

„Este compatibilă cu articolul 4 alineatul (1) litera [c], cu articolul 8 alineatul (1) și cu articolul 10 […] din Directiva 2016/680 o reglementare națională precum articolul 272 alineatul (1) din NPK care impune, în scopul stabilirii identității inculpatului, să fie prelucrate (colectate, înregistrate și stocate) datele acesteia cu caracter personal privind locul nașterii, etnia, cetățenia, reședința, nivelul de educație, starea civilă și antecedentele penale în condițiile în care datele cu caracter personal astfel colectate nu sunt nicidecum necesare în scopul desfășurării procedurii penale?”

27. Comisia Europeană a depus observații scrise și a prezentat de asemenea observații orale în cadrul ședinței publice din 3 decembrie 2025.

Analiză

28. Chiar dacă din cererea de decizie preliminară reiese că instanța de trimitere consideră că reglementarea națională în litigiu intră în domeniul de aplicare al Directivei 2016/680, este necesar, înainte de a evoca pe fond întrebarea adresată de instanța de trimitere, să se analizeze chestiunea aplicabilității Directivei 2016/680, chestiune căreia i‑a fost de altfel în mare parte consacrată ședința.

Cu privire la aplicabilitatea Directivei 2016/680

29. Mai întâi, problema dacă ne aflăm în prezența unei „prelucrări de date cu caracter personal” nu se ridică în litigiul principal. Astfel, din cererea de decizie preliminară reiese că datele de identificare cu caracter personal în cauză sunt colectate, înscrise în încheierea de ședință și stocate în dosar. În plus, chiar dacă s‑ar considera că datele au fost colectate anterior de autoritatea competentă în dreptul național(9), noțiunea de „prelucrare” este largă și include consultarea și stocarea de către instanța de trimitere. Condiția privind prezența unei „prelucrări de date cu caracter personal” este, așadar, îndeplinită.

30. În continuare, din modul de redactare a articolului 2 alineatul (1) din Directiva 2016/680 coroborat cu articolul 1 alineatul (1) din această directivă reiese că sunt necesare două condiții pentru ca prelucrarea datelor cu caracter personal să intre în domeniul de aplicare al directivei menționate. Pe de o parte, această prelucrare trebuie efectuată de o autoritate competentă în sensul articolului 3 alineatul (7) din aceeași directivă și, pe de altă parte, prelucrarea respectivă trebuie efectuată pentru unul dintre scopurile enumerate la articolul 1 alineatul (1) din Directiva 2016/680, și anume „în scopul prevenirii, depistării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor, inclusiv al protejării împotriva amenințărilor la adresa securității publice și al prevenirii acestora”. În schimb, RGPD, care constituie lex generalis în materie de prelucrare a datelor cu caracter personal, exclude din domeniul său de aplicare prelucrările efectuate de „autoritățile competente” în astfel de scopuri(10), Directiva 2016/680 fiind, în materie, lex specialis aplicabilă(11).

31. Pe de o parte, în ceea ce privește aspectul dacă o instanță poate intra în domeniul de aplicare ratione personae al Directivei 2016/680, răspunsul este, în opinia noastră, afirmativ. Astfel, articolul 3 alineatul (7) litera (a) din această directivă poate viza, prin expresia „autoritate publică competentă”, atât autoritățile de poliție, cât și instanțele penale naționale(12). O asemenea constatare, deși nu decurge în mod explicit din definiția noțiunii de „autoritate publică competentă”, se deduce în mod logic din contextul în care se situează această dispoziție și, în special, din mai multe dispoziții din Directiva 2016/680.

32. Astfel, potrivit articolului 32 alineatul (1) din această directivă, statele membre garantează că operatorul desemnează un responsabil cu protecția datelor și pot scuti de această obligație instanțele și alte autorități judiciare independente atunci când acționează „în exercițiul funcției lor judiciare”. De asemenea, articolul 45 alineatul (2) din directiva menționată coroborat cu considerentul (80) al acesteia(13) cuprinde în mod expres instanțele naționale prin excluderea oricărei competențe a autorității de supraveghere în ceea ce privește operațiunile de prelucrare ale „instanțelor atunci când acestea acționează în exercițiul funcției lor judiciare”(14), pentru a nu interfera cu normele specifice ale procedurii penale și cu independența judiciară.

33. Aceste dispoziții confirmă faptul că instanțele sunt supuse, în exercițiul funcției lor judiciare, obligațiilor impuse de Directiva 2016/680, independența și imparțialitatea lor fiind menținute în acest cadru(15).

34. În plus, autoritățile judiciare sunt menționate în mod explicit în considerentul (11) al Directivei 2016/680, potrivit căruia „[p]ot reprezenta astfel de autorități competente […] autoritățile publice, precum autoritățile judiciare”. Considerentele (20), (49), (107) și articolul 18 din această directivă(16) fac de asemenea trimitere la prelucrarea datelor cu caracter personal de către „instanțe și alte autorități judiciare, în special în ceea ce privește datele cu caracter personal conținute într‑o hotărâre judecătorească sau în înregistrările legate de proceduri penale”(17).

35. Prin urmare, instanțele naționale trebuie considerate ca fiind „autorități publice competente” în sensul Directivei 2016/680 cărora le sunt aplicabile dispozițiile acestei directive atunci când prelucrează date cu caracter personal în hotărârile judecătorești sau în înregistrările legate de proceduri penale(18).

36. Pe de altă parte, problema care se ridică într‑un mod mai delicat este aceea dacă se poate considera că o prelucrare efectuată de o instanță în cadrul unei proceduri jurisdicționale penale intră ratione materiae sub incidența Directivei 2016/680. Această problemă, după cunoștințele mele inedită(19), este echivalentă cu a ne întreba dacă prelucrarea respectivă vizează sau nu unul dintre scopurile enumerate la articolul 1 alineatul (1) și la articolul 3 alineatul (7) litera (a) din această directivă și în special cel al „urmăririi” în materie penală.

37. Amintim că Curtea a statuat deja, în Hotărârea Inspektor v Inspektorata kam Visshia sadeben savet (Scopurile prelucrării datelor cu caracter personal – Anchetă penală)(20), că scopurile menționate la articolul 1 din Directiva 2016/680 constituie tot atâtea scopuri distincte de „prevenire”, de „depistare”, de „investigare”, de „urmărire penală” și de „executare a pedepselor”. Această hotărâre a permis astfel să se clarifice că legiuitorul Uniunii a intenționat să adopte norme care corespund specificităților care caracterizează activitățile desfășurate de autoritățile competente în domeniul reglementat de această directivă, ținând seama totodată de faptul că ele constituie activități distincte ce urmăresc scopuri care le sunt proprii(21).

38. Desigur, astfel cum a indicat domnul avocat general Campos Sánchez‑Bordona în Concluzii, noțiunea de „urmărire penală” se referă la o activitate care este, cu excepția versiunii în limba spaniolă a directivei menționate, anterioară procedurii jurisdicționale(22). De altfel, sub rezerva diferențelor care există în sistemele juridice ale statelor membre, acest termen desemnează în general ansamblul actelor și procedurilor inițiate de Ministerul Public (parchet sau procuror) împotriva unei persoane suspectate că a săvârșit o infracțiune în scopul de a fi judecată pentru a i se stabili vinovăția sau nevinovăția(23).

39. Cu toate acestea, pentru a stabili domeniul de aplicare ratione materiae al Directivei 2016/680, considerăm că este mai pertinent să se înțeleagă noțiunea de „urmărire penală” din perspectiva scopului urmăririi în materie penală decât să se încerce să se facă distincție între rolul „autorității de urmărire penală” și cel al instanței în cadrul procedurii jurisdicționale penale. Astfel, normele acestei directive se aplică în ceea ce privește activitatea de prelucrare a datelor cu caracter personal „în scopul” desfășurării urmăririi penale.

40. Or, o asemenea acceptare teleologică implică, în opinia noastră, o interpretare largă a noțiunii de „activitate de urmărire penală”, care să includă unele dintre activitățile instanțelor penale efectuate în cadrul unei proceduri jurisdicționale. Astfel, prelucrarea datelor cu caracter personal efectuată de o instanță în cursul unei proceduri jurisdicționale penale poate fi considerată, în anumite împrejurări care depind în special de sistemele procedurale naționale(24), în sensul că permite să se stabilească caracterul suficient de probant al faptelor imputate persoanei acuzate, precum și exactitatea încadrării penale a acestor fapte, astfel încât să conducă în final la judecată(25). În acest sens, prelucrările de date respective de către instanța responsabilă pot fi considerate ca fiind efectuate „în scopul urmăririi penale”, în sensul dispozițiilor relevante ale Directivei 2016/680.

41. În acest context, activitatea de „urmărire penală” poate include atât ancheta desfășurată de poliție și decizia luată de procuror de a continua sau nu ancheta, cât și cercetarea, trimiterea în fața unei instanțe și, dacă este cazul, o procedură jurisdicțională penală precum cea în discuție în litigiul principal.

42. Arătăm de altfel că, după cum reiese din cererea de decizie preliminară, după ancheta poliției, instanța de trimitere, sesizată prin rechizitoriul parchetului, continuă procedura și exercită ea însăși o activitate de anchetă jurisdicțională(26), care începe cu verificarea identității inculpatului în temeiul articolului 272 din NPK și continuă cu pronunțarea de către aceeași instanță a hotărârii pe fond. Astfel, aceasta din urmă are ca misiune „desfășurarea procedurii judiciare în cadrul urmăririi penale ca urmare a acuzației aduse de procuror”. Potrivit instanței de trimitere, este vorba despre faza jurisdicțională a procedurii penale inițiate în scopul urmăririi penale. În acest context, noțiunea de „activitate de urmărire penală” exercitată în cadrul procedurii jurisdicționale penale capătă sens.

43. Adăugăm că această abordare largă a noțiunii de „activitate de urmărire penală”, pe lângă faptul că prezintă avantajul de a nu aduce atingere diferitelor sisteme naționale în materie penală, nu este contradictorie cu principiul potrivit căruia excepțiile de la aplicarea RGPD ca lex generalis trebuie să fie de strictă interpretare(27). Într‑adevăr, această abordare nu face ca procedura jurisdicțională penală să fie exclusă din reglementarea în materie de protecție a datelor cu caracter personal, ci ca aceasta să fie supusă unei lex specialis în materie, prevăzută în special la articolul 2 alineatul (2) litera (d) din RGPD.

44. În sfârșit, considerăm că abordarea teleologică a noțiunii de „activitate de urmărire penală” decurge din geneza Directivei 2016/680 și corespunde obiectivelor acesteia.

45. În primul rând, astfel, în ceea ce privește geneza Directivei 2016/680, subliniem că, odată cu intrarea în vigoare a Tratatului de la Lisabona, articolul 16 TFUE a apărut ca temeiul juridic relevant pentru revizuirea Deciziei‑cadru 2008/977/JAI(28). După cum se evocă în considerentul (10) al Directivei 2016/680, în Declarația nr. 21 cu privire la protecția datelor cu caracter personal în domeniul cooperării judiciare în materie penală și al cooperării polițienești, anexată la actul final al Conferinței interguvernamentale care a adoptat Tratatul de la Lisabona(29), conferința a recunoscut că s‑ar putea dovedi necesare norme specifice privind protecția datelor cu caracter personal și libera circulație a datelor cu caracter personal în domeniul cooperării judiciare în materie penală și al cooperării polițienești în temeiul articolului 16 TFUE, având în vedere natura specifică a acestor domenii. Prin urmare, Comisia a propus două texte, unul general sub forma unui regulament care a devenit apoi RGPD, iar celălalt specific protecției datelor în domeniul penal(30), considerat mai sensibil și care face, așadar, obiectul unei directive ce necesită transpunere de către statele membre, care a devenit apoi Directiva 2016/680, și care se aplică tuturor actelor care pot fi efectuate de actorii justiției penale, indiferent dacă aceste acte au sau nu o dimensiune transfrontalieră(31).

46. Abordarea Uniunii a constat astfel în a distinge prelucrarea datelor în contextul polițienesc și penal al celorlalte prelucrări de date cu caracter personal, așa încât să se țină seama de natura specifică a domeniului reglementat de Directiva 2016/680, și anume protecția datelor cu caracter personal în domeniul cooperării judiciare în materie penală și cooperarea polițienească, după cum reiese din considerentele (10) și (11) ale acestei directive.

47. În al doilea rând, în ceea ce privește obiectivele Directivei 2016/680, aceasta urmărește printre altele, după cum reiese din considerentele (4), (7) și (15) ale acesteia, să asigure un nivel omogen și ridicat de protecție a datelor cu caracter personal ale persoanelor fizice și facilitarea schimbului de astfel de date între autoritățile competente ale statelor membre pentru a se garanta eficacitatea cooperării judiciare în materie penală și a cooperării polițienești.

48. Observăm că, după cum se subliniază în doctrină, dublul regim de protecție a datelor poate fi sursă de dificultăți semnificative pentru a stabili care dintre RGPD sau Directiva 2016/680 este instrumentul relevant(32).

49. Prin urmare, este cu atât mai important cu cât, în cadrul aceleiași proceduri penale, prelucrarea datelor cu caracter personal să nu facă obiectul a două texte diferite pentru simplul motiv că aceste prelucrări au fost efectuate de diferite autorități de aplicare a legii în diferite stadii ale aceleiași proceduri. Astfel, dacă instanțele penale care se pronunță în cadrul procedurii penale ar fi excluse din domeniul de aplicare al Directivei 2016/680, s‑ar ajunge, după cum a subliniat Comisia în ședință, la un regim fragmentat în care s‑ar putea aplica două texte în cadrul aceleiași proceduri penale, în funcție de etapa procedurală în cauză.

50. O asemenea abordare ar fi, în opinia noastră, contrară nu numai principiului securității juridice(33), ci și protecției omogene și coerente a datelor cu caracter personal.

51. În plus, în anumite cazuri, autoritățile de aplicare a legii au mai multă flexibilitate în exercițiul funcțiilor lor în cadrul Directivei 2016/680 decât ar fi avut în cadrul RGPD(34). În special, prelucrarea de „categorii speciale de date cu caracter personal” care includ date denumite „sensibile” este autorizată de articolul 10 din directiva menționată numai atunci când este strict necesară, în condițiile în care este interzisă de alineatul (1) al articolului 9 din RGPD, cu excepția situațiilor prevăzute la alineatul (2) al acestuia. De asemenea, articolul 4 alineatul (1) litera (c) din Directiva 2016/680, privind principiul reducerii la minimum a datelor, prevede că datele cu caracter personal trebuie să fie adecvate, relevante și neexcesive, în timp ce articolul 5 alineatul (1) litera (c) din RGPD prevede că acestea sunt adecvate, relevante și limitate la ceea ce este necesar în raport cu scopurile în care sunt prelucrate.

52. Aplicarea Directivei 2016/680 pe tot parcursul procedurii penale se justifică, așadar, cu atât mai mult cu cât normele privind protecția datelor cu caracter personal pot fi diferite, în anumite privințe, de cele ale RGPD.

53. În sfârșit, o abordare fragmentată a procedurii penale este dificil de conciliat cu obiectivul, amintit în considerentul (7) al Directivei 2016/680, privind facilitarea schimbului de date cu caracter personal între autoritățile competente ale statelor membre pentru a asigura cooperarea judiciară în materie penală și cooperarea polițienească eficace.

54. Rezultă din tot ceea ce precedă că prelucrarea datelor cu caracter personal efectuată de o instanță națională în cadrul examinării unei cauze penale intră în domeniul de aplicare al Directivei 2016/680 ca prelucrare efectuată de o autoritate competentă în scopul desfășurării urmăririi penale.

Cu privire la fond

55. Instanța de trimitere solicită în esență să se stabilească dacă articolul 4 alineatul (1) litera (c), articolul 8 alineatul (1) și articolul 10 din Directiva 2016/680 se opun unei reglementări naționale care prevede verificarea sistematică de către instanța penală a tuturor informațiilor prevăzute la articolul 272 alineatul (1) din NPK, și aceasta numai în scopul stabilirii identității inculpatului într‑o procedură jurisdicțională penală(35).

56. Amintim că drepturile fundamentale la respectarea vieții private și la protecția datelor cu caracter personal, garantate la articolele 7 și 8 din Carta drepturilor fundamentale a Uniunii Europene (denumită în continuare „carta”), nu sunt prerogative absolute. Astfel, pot fi impuse limitări cu condiția ca acestea să fie, Potrivit articolului 52 alineatul (1) din cartă, prevăzute de lege și să respecte substanța drepturilor fundamentale, precum și principiul proporționalității(36).

57. Principiul reducerii la minimum a datelor, prevăzut la articolul 4 alineatul (1) litera (c) din Directiva 2016/680, și principiul legalității prelucrării prevăzut la articolul 8 alineatul (1) din această directivă impun astfel statelor membre să prevadă că datele cu caracter personal în cauză sunt adecvate, relevante și neexcesive în ceea ce privește scopurile în care sunt prelucrate, iar prelucrarea este necesară în ceea ce privește scopurile urmărite, în conformitate cu principiul proporționalității.

58. În plus, articolul 10 din Directiva 2016/680, care constituie o dispoziție specifică ce reglementează prelucrarea categoriilor speciale de date cu caracter personal, inclusiv datele care dezvăluie originea rasială sau etnică, urmărește să asigure o protecție sporită a persoanei în cauză, în măsura în care, din cauza caracterului deosebit de sensibil al acestora și a contextului în care sunt prelucrate, datele respective sunt susceptibile să genereze, astfel cum reiese din considerentul (37) al acestei directive, riscuri importante pentru libertățile și drepturile fundamentale, precum dreptul la respectarea vieții private și dreptul la protecția datelor cu caracter personal, garantate de articolele 7 și 8 din cartă(37).

59. În speță, instanța de trimitere are ca misiune desfășurarea procedurii judiciare în cadrul urmăririi penale, în urma unei acuzații formulate de procuror. Pentru îndeplinirea acestei sarcini, ea trebuie să stabilească în mod oficial identitatea persoanei care se înfățișează și, în special, dacă este vorba despre persoana vizată de acuzație(38). În scopul verificării identității inculpatului, articolul 272 alineatul (1) din NPK impune instanței de trimitere să solicite în mod sistematic persoanei care se înfățișează în cadrul fiecărei cauze particulare o serie de date cu caracter personal, și anume numele complet, data și locul nașterii, etnia, cetățenia, reședința, nivelul de educație, starea civilă și numărul de identificare personal al acesteia, precum și antecedentele penale.

60. Obiectivul verificării identității persoanei acuzate este, ca atare, legitim și poate intra sub incidența unui interes general recunoscut de Uniune, în sensul articolului 52 alineatul (1) din cartă, în special a interesului evitării oricărei erori cu privire la persoana care se prezintă în justiție.

61. Prin urmare, este necesar ca instanța de trimitere să controleze dacă cerința colectării datelor în cauză este, în primul rând, aptă să contribuie la realizarea obiectivului de verificare a identității urmărit, în al doilea rând, dacă este necesară, ceea ce implică să nu existe măsuri alternative care să afecteze mai puțin drepturile la respectarea protecției datelor cu caracter personal, dar și eficiente pentru atingerea obiectivului invocat(39), și dacă este, în al treilea rând, proporțională cu acest obiectiv, ceea ce implică o ponderare echilibrată între, pe de o parte, obiectivul de interes general vizat și, pe de altă parte, drepturile persoanei ale cărei date cu caracter personal sunt colectate(40), Curtea fiind competentă să îi furnizeze elementele de interpretare utile.

62. Subliniem că întrebarea adresată nu privește colectarea anumitor date de stare civilă și de identificare, precum numele, data nașterii, precum și numărul de identificare personal. De altfel, aceste date constituie în mod clasic elemente de identificare, inclusiv potrivit legislației bulgare privind starea civilă și documentele de identitate(41).

63. În schimb, instanța de trimitere ridică problema proporționalității colectării sistematice a anumitor informații, precum, primo, locul nașterii și cetățenia, secundo, reședința, nivelul de educație, starea civilă și antecedentele penale și, tertio, etnia, aspecte care trebuie evocate în mod succesiv.

64. Primo, unele dintre aceste date, precum locul nașterii și cetățenia, constituie „principalele date privind starea civilă”(42). Ele sunt astfel de natură să permită controlul identității persoanei vizate de actul de acuzare și evitarea oricărei confuzii. În plus, ingerința în dreptul la viață privată și la protecția datelor cu caracter personal pe care o implică colectarea unor asemenea informații nu este de așa natură încât, în urma unei evaluări comparative a intereselor în cauză, aceasta să pară disproporționată în raport cu obiectivul de verificare a identității urmărit.

65. Secundo, în ceea ce privește colectarea datelor suplimentare referitoare la nivelul de educație, la starea civilă, la reședință și la antecedentele penale, după cum amintește instanța de trimitere și Comisia în observațiile scrise, aceasta poate fi relevantă în alte scopuri decât identificarea. Astfel, nivelul de educație și starea civilă pot fi importante pentru individualizarea pedepsei. Reședința poate juca un rol în scopul transferului executării pedepsei într‑un alt stat. De asemenea, antecedentele penale pot permite să se constate existența sau inexistența unei recidive. Cu toate acestea, pe de o parte, după cum rezultă din normele procedurale bulgare, aceste informații, colectate de președintele completului în acest stadiu al verificării identității persoanei care se înfățișează în fața sa, nu pot fi utilizate pentru a pronunța hotărârea pe fond și nu au valoare probantă. Pe de altă parte și în orice caz, nu ar fi suficient să se interogheze persoana acuzată și să se înregistreze răspunsurile sale pentru a stabili fiabilitatea acestor date. Astfel, ar trebui consultate sau prezentate documente oficiale precum cazierul judiciar, starea civilă sau obținerea unei diplome.

66. În aceste condiții, considerăm că o reglementare care impune, în mod nediferențiat și generalizat, să se interogheze în mod sistematic orice persoană acuzată în ceea ce privește aceste date suplimentare și ulterior să se înscrie aceste răspunsuri în încheierea de ședință poate depăși ceea ce este necesar în vederea simplei finalități a identificării sale. Cerința identificării nu impune, în opinia noastră, prelucrarea sistematică a tuturor categoriilor de date enumerate, ci numai a celor care, având în vedere împrejurările concrete, sunt necesare pentru a înlătura o îndoială rezonabilă cu privire la identitatea persoanei care se înfățișează, aspect a cărui apreciere revine instanței naționale.

67. Pe de altă parte, chiar presupunând că se admite că anumite date referitoare la nivelul de educație, la starea civilă, la reședință și la antecedentele penale pot, în anumite cazuri, să fie necesare pentru identificarea inculpatului, principiul proporționalității implică de asemenea să se efectueze o ponderare a tuturor elementelor pertinente și a importanței obiectivului general urmărit și a gravității ingerinței în drepturile fundamentale și în protecția datelor cu caracter personal ale persoanei în cauză(43). Or, împrejurarea că aceste date sunt solicitate în mod sistematic, adăugată la faptul că această colectare are loc în cadrul unei ședințe publice, aceste date sunt înscrise în încheierea de ședință, apoi păstrate în dosarul accesibil părților, poate constitui o ingerință care depășește ceea ce impune identificarea în acest stadiu preliminar al procedurii penale.

68. Tertio, în ceea ce privește data referitoare la „etnie”, trebuie amintit că articolul 10 din Directiva 2016/680 prevede că prelucrarea datelor sensibile este autorizată „numai atunci când este strict necesară”, care constituie o condiție consolidată de legalitate a prelucrării unor astfel de date și implică printre altele un control deosebit de strict al respectării principiului „reducerii la minimum a datelor”, astfel cum decurge din articolul 4 alineatul (1) litera (c) din această directivă, a cărui aplicare specifică în cazul acestor date sensibile o constituie cerința respectivă(44). Utilizarea adverbului „numai” în fața expresiei „atunci când este strict necesară” subliniază că prelucrarea acestor categorii speciale nu poate fi considerată admisibilă decât într‑un număr limitat de situații, în timp ce caracterul „strict” al necesității impune o apreciere deosebit de riguroasă(45).

69. O întrebare sistemică adresată în ședință publică oricărei persoane acuzate, referitoare la „etnia” sa și privind, așadar, originea etnică a acestei persoane, nu îndeplinește nicidecum cerințele prevăzute la articolul 10 din Directiva 2016/680(46). Astfel, stabilirea identității inculpatului poate, ca regulă generală, să fie asigurată de datele de stare civilă și de elementele de identificare disponibile deja, în special prin intermediul documentelor de identitate, fără a se utiliza un indicator legat de originea sa etnică. În plus, cerința de a fi strict necesară presupune să se demonstreze, pe baza unor elemente concrete, că, în lipsa acestei date specifice, obiectivul urmărit nu poate fi atins în mod echivalent. Or, o obligație generală și nediferențiată de colectare a unor astfel de date cu caracter personal, impusă în acest stadiu al procedurii în vederea stabilirii identității inculpatului și care nu depinde de o dificultate specifică legată de această stabilire a identității, ne pare în principiu contrară cerinței de a fi „strict necesară” formulată la articolul 10 din directiva menționată(47).

70. Rezultă din tot ceea ce precedă că, în opinia noastră, trebuie să se răspundă instanței de trimitere că articolul 4 alineatul (1) litera (c), articolul 8 alineatul (1) și articolul 10 din Directiva 2016/680 trebuie interpretate în sensul că se opun unei reglementări naționale precum articolul 272 alineatul (1) din NPK, dat fiind că impune ca datele cu caracter personal ale inculpatului referitoare la reședință, la nivelul de educație, la starea civilă, la cazierul judiciar și la etnie să fie prelucrate în mod sistematic (colectate, înregistrate și stocate) cu ocazia verificării identității acestei persoane în cadrul unei cauze penale, chiar dacă datele respective nu sunt necesare în acest scop, aspect a cărui verificare este de competența instanței de trimitere.

Concluzie

71. Având în vedere toate considerațiile care precedă, propunem Curții să răspundă la întrebarea preliminară adresată de Sofiyski gradski sad (Tribunalul Orașului Sofia, Bulgaria) după cum urmează:

Articolul 4 alineatul (1) litera (c), articolul 8 alineatul (1) și articolul 10 din Directiva (UE) 2016/680 a Parlamentului European și a Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, depistării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor și privind libera circulație a acestor date și de abrogare a Deciziei‑cadru 2008/977/JAI a Consiliului

trebuie interpretate în sensul că

se opun unei reglementări naționale precum articolul 272 alineatul (1) din nakazatelno‑protsesualen kodeks (Codul de procedură penală bulgar), dat fiind că impune ca datele cu caracter personal ale inculpatului referitoare la reședință, la nivelul de educație, la starea civilă, la cazierul judiciar și la etnie să fie prelucrate în mod sistematic (colectate, înregistrate și stocate) cu ocazia verificării identității acestei persoane în cadrul unei cauze penale, chiar dacă datele respective nu sunt necesare în acest scop, aspect a cărui verificare este de competența instanței de trimitere.

1 Limba originală: franceza.

i Numele prezentei cauze este un nume fictiv. El nu corespunde numelui real al niciuneia dintre părțile din procedură.

2 Directiva Parlamentului European și a Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, depistării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor și privind libera circulație a acestor date și de abrogare a Deciziei‑cadru 2008/977/JAI a Consiliului (JO 2016, L 119, p. 89).

3 Regulamentul Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) (JO 2016, L 119, p. 1, denumit în continuare „RGPD”).

4 DV nr. 86 din 28 octombrie 2005, astfel cum a fost modificat și completat prin DV nr. 39 din 1 mai 2024.

5 DV nr. 67 din 27 iulie 1999, astfel cum a fost modificată și completată prin DV nr. 85 din 8 octombrie 2024.

6 DV nr. 93 din 11 august 1998, astfel cum a fost modificată și completată prin DV nr. 67 din 4 august 2023.

7 DV nr. 64 din 7 august 2007, astfel cum a fost modificată și completată prin DV nr. 67 din 9 august 2024.

8 DV nr. 56 din 13 iulie 1991.

9 Se poate discuta astfel despre aspectul dacă instanța de trimitere colectează ea însăși datele sau dacă acestea au fost deja colectate anterior de autoritatea competentă [a se vedea în această privință articolul 138 alineatul (2) din NPK].

10 A se vedea articolul 2 alineatul (2) litera (d) din RGPD.

11 Rezultă că RGPD se aplică prelucrării datelor cu caracter personal, efectuată de o „autoritate competentă” în sensul articolului 3 alineatul (7) din Directiva 2016/680, atunci când acționează în alte scopuri, cu privire, de exemplu, la ocuparea unui loc de muncă, la formarea personalului, la arhivare, la cercetare sau la statistică. A se vedea în acest sens Hotărârea din 21 iunie 2022, Ligue des droits humains (C‑817/19, EU:C:2022:491, punctul 72 și jurisprudența citată). A se vedea de asemenea Leiser, M. și Custers, B., „The Law Enforcement Directive: Conceptual Challenges of EU Directive 2016/680”, în European Data Protection Law Review, vol. 5, nr. 3, 2019, p. 367-378, în special p. 371.

12 Considerăm în schimb că articolul 3 alineatul (7) litera (b) din Directiva 2016/680, prin expresia „orice alt organism sau entitate împuternicit(ă) de dreptul intern să exercite autoritate publică și competențe publice în scopul prevenirii, depistării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor”, care trebuie reținută, nu se referă la instanțe, ci privește organisme private. Ne putem gândi aici la forțe de poliție privatizate sau la închisori conduse de o entitate privată. A se vedea în această privință Purtova, N., „Between the GDPR and the Police Directive: navigating through the maze of information sharing in public‑private partnerships”, în International Data Privacy Law, vol. 8, nr. 1, februarie 2018, p. 52-68. A se vedea de asemenea De Hert, P. și Sajfert, J., „Chapter 10: Variety, velocity and volume of personal data in criminal investigations and proceedings: the limits drawn by the purpose limitation and data minimization principles in Directive (EU) 2016/680”, în Research Handbook on EU Criminal Law, Mitsilegas, V., Bergström, M., și Quintel, T., (eds.), Edward Elgar Publishing, 2024, ediția a 2‑a, p. 212-228.

13 Potrivit acestui considerent, „[c]u toate că prezenta directivă se aplică, de asemenea, activităților instanțelor naționale și ale altor autorități judiciare, prelucrarea datelor cu caracter personal nu ar trebui să fie de competența autorităților de supraveghere atunci când instanțele acționează în exercițiul funcției lor judiciare, în scopul asigurării independenței judecătorilor în îndeplinirea sarcinilor lor judiciare”.

14 A se vedea prin analogie, în ceea ce privește dispoziția similară din RGPD, Hotărârea din 24 martie 2022, Autoriteit Persoonsgegevens (C‑245/20, EU:C:2022:216, punctul 26). Acea hotărâre privea un contencios administrativ referitor la o prelucrare efectuată de o instanță în cadrul punerii temporare la dispoziția unor jurnaliști a unor înscrisuri provenite dintr‑o procedură judiciară, care conțin date cu caracter personal, prelucrare care a fost considerată ca făcând parte din exercitarea funcției sale judiciare în sensul RGPD.

15 A se vedea în această privință Tosconi, L. și Bygrave, L. A., „Article 3 – Definitions”, în The EU Law Enforcement Directive (LED): A Commentary, Kosta, E. și Boehm, F., (eds.), Oxford University Press, 2024, p. 79-132, în special p. 104, nr. 7.2.4, care citează de asemenea minutele celei de a 12‑a reuniuni a Grupului de experți al Comisiei privind RGPD și Directiva 2016/680 din 2 octombrie 2017, în care se menționează acordul statelor membre pentru ca această directivă să se aplice instanțelor penale (document disponibil la următoarea adresă: https://ec.europa.eu/transparency/expert‑groups‑register/screen/expert‑groups/consult?lang=fr&groupID= 3461).

16 În special, articolul 18 din directiva menționată, intitulat „Drepturile persoanei vizate în cadrul investigațiilor și procedurilor penale”, privește exercitarea drepturilor de informare, de acces, la rectificare și la ștergere și prevede că aceste drepturi se exercită în conformitate cu dreptul intern în cazul în care datele cu caracter personal sunt conținute „într‑o hotărâre judecătorească sau într‑un cazier sau dosar prelucrat pe parcursul investigațiilor și procedurilor penale”.

17 A se vedea considerentul (20) al Directivei 2016/680.

18 Adăugăm că, după cum se indică în considerentul (20) al directivei menționate, aceasta nu privează statele membre de posibilitatea de a preciza în normele privind procedurile penale naționale aceste operațiuni și proceduri de prelucrare.

19 Deși domeniul de aplicare al Directivei 2016/680 a făcut obiectul unor hotărâri ale Curții, acestea nu privesc chestiunea respectivă. De exemplu, transportatorii aerieni, chiar dacă sunt ținuți de o obligație legală de transfer al datelor din registrul cu numele pasagerilor (PNR), nu pot fi considerați autorități competente în sensul articolului 3 alineatul (7) din Directiva 2016/680 [a se vedea Hotărârea din 21 iunie 2022, Ligue des droits humains (C‑817/19, EU:C:2022:491, punctul 81)]. A se vedea de asemenea Concluziile avocatului general Pikamäe prezentate în cauza Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2021:991, punctul 28) privind Vyriausioji tarnybinės etikos komisija (Comisia principală pentru etică oficială în cadrul funcției publice, Lituania) căreia i s‑a aplicat RGPD (a se vedea Hotărârea din 1 august 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, denumită în continuare „Hotărârea Vyriausioji tarnybinės etikos komisija”, EU:C:2022:601). De asemenea, Ceļu satiksmes drošības direkcija (Direcția pentru Siguranța Rutieră, Letonia) nu este o „autoritate competentă” în sensul Directivei 2016/680 în exercitarea activităților în discuție în litigiul principal, care constau în comunicarea publică, în scopul siguranței rutiere, de date cu caracter personal referitoare la punctele de penalizare [a se vedea Hotărârea din 22 iunie 2021, Latvijas Republikas Saeima (Puncte de penalizare) (C‑439/19, EU:C:2021:504, punctul 71)].

20 Hotărârea din 8 decembrie 2022 (C‑180/21, denumită în continuare „Hotărârea Inspektor”, EU:C:2022:967). În acea hotărâre, se ridica problema dacă datele cu caracter personal, obținute atunci când persoana în cauză apărea ca victimă a infracțiunii care face obiectul investigării, puteau fi prelucrate ulterior împotriva ei în calitate de suspectată sau acuzată, în condițiile în care acestea fuseseră colectate și prelucrate inițial în alte scopuri, și anume în scopul depistării și investigării. În acest context, Curtea a statuat că, în cazul în care datele cu caracter personal au fost colectate în scopul „depistării” și „investigării” unei infracțiuni și prelucrate ulterior în scopul „urmăririi penale”, colectarea și prelucrarea respectivă răspund unor scopuri diferite (punctul 44), iar operatorul trebuia să evalueze respectarea proporționalității prelucrării luând în considerare fiecare dintre aceste scopuri ca fiind specific și distinct (punctul 56).

21 Hotărârea Inspektor (punctul 59).

22 A se vedea Concluziile avocatului general Campos Sánchez‑Bordona prezentate în cauza Inspektor v Inspektorata kam Visshia sadeben savet (Scopurile prelucrării datelor cu caracter personal – Anchetă penală) (C‑180/21, EU:C:2022:406, nota de subsol 15). Aceasta este în special situația versiunilor în limbile germană, franceză, engleză, italiană și neerlandeză ale Directivei 2016/680, cu excepția versiunii în limba spaniolă, care se referă la „enjuiciamiento” [urmărire penală] propriu‑zisă, care este rezervată exclusiv instanțelor.

23 Cu privire la diversitatea sistemelor naționale și caracterul complementar al funcțiilor judecătorului și, respectiv, Ministerului Public, a se vedea avizul comun al Consiliului consultativ al judecătorilor europeni (CCJE) și al Consiliului consultativ al procurorilor europeni (CCPE) privind relațiile dintre judecători și procurori [a 1075‑a reuniune] [CM(2009) 192]. A se vedea de asemenea, pentru o abordare comparativă, Pradel, J., Droit pénal comparé, Dalloz, Paris, 2016, ediția a 4‑a., în special nr. 145 și urm. A se vedea de asemenea, cu privire la transpunerea Directivei 2016/680 în diferite state membre, Franssen, V. și Corhay, M., „Article 18 – Rights of the data subject in criminal investigations and proceedings”, în The EU Law Enforcement Directive (LED): A Commentary, op. cit., p. 321-330, în special subtitlul B.3., intitulat „National legislation”, p. 325-328.

24 În Avizul nr. 6/2015, Une nouvelle étape vers une protection européenne complète des données, din 28 octombrie 2015, la punctul VI privind competențele autorităților de supraveghere, Comitetul european pentru protecția datelor (CEPD) a subliniat el însuși importanța diferențelor dintre sistemele naționale ale statelor membre și faptul că nu este întotdeauna clar dacă și când procurorii sunt „autorități judiciare independente” și în ce măsură activitățile lor constituie activități judiciare. A se vedea de asemenea minutele celei de a 15‑a reuniuni a Grupului de experți al Comisiei privind RGPD și Directiva 2016/680 din 20 februarie 2018, care evocă, la punctul 5, dificultățile de transpunere a directivei în această privință, anumite state membre subliniind că procurorii lor au același nivel de independență ca și judecătorii lor (disponibil la următoarea adresă: https://ec.europa.eu/transparency/expert‑groups‑register/screen/meetings/consult?lang=en&meetingId= 3656&fromExpertGroups=true).

25 A se vedea Hotărârea Inspektor (punctul 53), în care Curtea a subliniat că, „în cadrul prelucrării datelor cu caracter personal în scopul «urmăririi penale», aceste date sunt menite să stabilească caracterul suficient de probator al faptelor imputate persoanelor acuzate, precum și exactitatea calificării penale a acestor fapte, pentru a permite instanței competente să se pronunțe”.

26 După cum s‑a indicat în ședință, nu există un judecător de instrucție în dreptul penal bulgar, ci o „anchetă judiciară” sau „cercetare judiciară” care succedă anchetei polițienești.

27 A se vedea, cu privire la interpretarea strictă a excepțiilor de la aplicarea RGPD, Hotărârea Inspektor (punctul 78), de unde rezultă că, atunci când parchetul acționează în scopul apărării statului în cadrul unei acțiuni în răspundere administrativă, acesta nu are ca obiectiv asigurarea misiunilor care revine acestui parchet în scopurile prevăzute la articolul 1 alineatul (1) din Directiva 2016/680; prin urmare, se aplică RGPD. De asemenea, colectarea de către Administrația fiscală a unui stat membru a unor date cu caracter personal referitoare la anunțurile de vânzări de autovehicule publicate pe site‑ul internet al unui operator economic intră în domeniul de aplicare material al RGPD, din moment ce aceste date nu sunt colectate cu obiectivul specific de a efectua urmărirea penală sau în cadrul activităților statului în domeniul dreptului penal [a se vedea Hotărârea din 24 februarie 2022, Valsts ieņēmumu dienests (Prelucrarea datelor cu caracter personal în scopuri fiscale) (C‑175/20, EU:C:2022:124, punctele 44-46)].

28 Decizia‑cadru a Consiliului din 27 noiembrie 2008 privind protecția datelor cu caracter personal prelucrate în cadrul cooperării polițienești și judiciare în materie penală (JO 2008, L 350, p. 60). Domeniul său de aplicare era limitat la prelucrarea transfrontalieră a datelor cu caracter personal.

29 Conferința reprezentanților guvernelor statelor membre, Act final, adoptat la Bruxelles la 3 decembrie 2007 (CIG 15/07), disponibil la următoarea adresă: https://data.consilium.europa.eu/doc/document/CG-15-2007-INIT/fr/pdf

30 Propunere de directivă a Parlamentului European și a Consiliului privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, identificării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor și la libera circulație a acestor date din 25 ianuarie 2012 [COM(2012) 0010].

31 A se vedea De Hert, P. și Papakonstantinou, V., „The New Police and Criminal Justice Data Protection Directive. A First Analysis”, în New Journal of European Criminal Law, vol. 7, nr. 1, 2016, p. 7-19; și Brière, C., „Défaut de transposition de la directive sur la protection des données dans le domaine pénal: vers une application ordinaire de l’article 260, paragraphe 3, TFUE. CJUE (8e ch.), 25 février 2021, Commission européenne/Royaume d’Espagne (Directive données à caractère personnel – Domaine pénal), aff. C‑658/19, EU:C:2021:138”, în Revue des affaires européennes, vol. 1, 2021, p. 223-233.

32 A se vedea în această privință Sajfert, J. și Quintel, T., „Data Protection Directive (EU) 2016/680 for Police and Criminal Justice Authorities”, în SSRN Electronic Journal, 2017, în special subtitlul I.1 intitulat „Meandering between the Directive and the GDPR”, care consideră că distincția dintre domeniul de aplicare al RGPD și, respectiv, cel al Directivei 2016/680 nu este evidentă. Aceștia citează exemplul unui agent de poliție care prelucrează date cu caracter personal în scopul arhivării și intră în acest caz sub incidența RGPD, dar arată că instrumentul aplicabil este mai puțin clar atunci când acest agent acționează în scopul identificării în domeniul migrației și al controlului la frontiere: trecerea ilegală a unei frontiere Schengen poate fi uneori considerată infracțiune, dar dacă migrantul aflat în situație ilegală solicită azilul, prelucrarea poate intra sub incidența RGPD sau a unui alt cadru sectorial relevant, în pofida procedurii penale inițiate. Acest lucru demonstrează complexitatea aplicării de către autoritățile competente a două regimuri juridice diferite în funcție de scopul prelucrării. A se vedea de asemenea Vogiatzoglou, P., „Article 2 – Scope”, în The EU Law Enforcement Directive (LED): A Commentary, op. cit., p. 67-78, în special subtitlul C.2. intitulat „Between the LED and the GDPR”, p. 74 și 75. A se vedea de asemenea Purtova, N., Between the GDPR and the Police Directive: navigating through the maze of information sharing in public–private partnerships, op. cit.

33 Principiul securității impune ca aplicarea normelor de drept să fie previzibilă pentru justițiabili [a se vedea Hotărârea din 4 octombrie 2024, Bezirkshauptmannschaft Landeck (Tentativă de accesare a datelor cu caracter personal stocate pe un telefon mobil) (C‑548/21, EU:C:2024:830, punctul 76)].

34 A se vedea în această privință Sajfert, J., și Quintel, T., Data Protection Directive (EU) 2016/680 for Police and Criminal Justice Authorities, op. cit., în special subtitlul I.4 intitulat „Croquis of the Directive”, p. 7, care consideră, de exemplu, că operatorul are mai multe posibilități de a limita dreptul de acces și dreptul de a obține informații cu privire la eventualul refuz de rectificare, de ștergere sau de limitare a prelucrării în temeiul articolului 13 alineatul (3), al articolului 15 alineatul (3) și al articolului 16 alineatul (4) din Directiva 2016/680 decât în cadrul articolului 23 din RGPD. Este vorba astfel despre „evitarea obstrucționării cercetărilor, anchetelor sau procedurilor oficiale sau juridice” și a nu prejudicia printre altele urmărirea penală a infracțiunilor [a se vedea articolul 13 alineatul (3) literele (a) și (b) din Directiva 2016/680]. A se vedea de asemenea Purtova, N., Between the GDPR and the Police Directive: navigating through the maze of information sharing in public–private partnerships, op. cit., în special p. 60, precum și De Hert, P., și Sajfert, J., Chapter 10: Variety, velocity and volume of personal data in criminal investigations and proceedings: the limits drawn by the purpose limitation and data minimization principles in Directive (EU) 2016/680, op. cit., p. 222.

35 Cu titlu indicativ, subliniem că instanța de trimitere arată că a sesizat Konstitutsionen sad (Curtea Constituțională) pentru ca aceasta să constate incompatibilitatea dispoziției naționale în discuție în litigiul principal cu Konstitutsia na Republika Bulgaria (Constituția Republicii Bulgaria). Această cerere ar fi fost însă respinsă ca inadmisibilă pentru motivul că instanța de trimitere nu ar fi ținut seama de capitolul opt din Zakon za zashtita na lichnite danni (Legea privind protecția datelor cu caracter personal) din 1 ianuarie 2002 (DV nr. 1 din 4 ianuarie 2002, astfel cum a fost modificată și completată prin DV nr. 70 din 20 august 2024) (denumită în continuare „ZZLD”), care transpune Directiva 2016/680. Instanța de trimitere apreciază însă că reglementarea ZZLD este generală și că, întrucât articolul 272 alineatul (1) din NPK este o dispoziție specială, acesta rămâne aplicabil. Amintim că instanța de trimitere este competentă să interpreteze dreptul național [a se vedea Hotărârea din 30 aprilie 2024, M.N. (EncroChat) (C‑670/22, EU:C:2024:372, punctul 76)] și considerăm, așadar, că este necesar să se răspundă la întrebarea astfel adresată, prezumată a fi pertinentă [a se vedea Hotărârea din 26 ianuarie 2023, Ministerstvo na vatreshnite raboti (Înregistrarea de date biometrice și genetice de către poliție) (C‑205/21, denumită în continuare „Hotărârea Ministerstvo na vatreshnite raboti”, EU:C:2023:49, punctul 54)].

36 A se vedea Hotărârea din 30 ianuarie 2024, Direktor na Glavna direktsia „Natsionalna politsia” pri MVR – Sofia (C‑118/22, denumită în continuare „Hotărârea Direktor na Glavna direktsia”, EU:C:2024:97, punctul 39).

37 A se vedea Hotărârea Ministerstvo na vatreshnite raboti (punctul 116 și jurisprudența citată). Cu privire la noțiunea de „origine etnică” într‑un alt context, a se vedea Hotărârea din 18 decembrie 2025, Slagelse Almennyttige Boligselskab, Afdeling Schackenborgvænge (C‑417/23, EU:C:2025:1017, punctul 71 și urm.), în ceea ce privește Directiva 2000/43/CE a Consiliului din 29 iunie 2000 de punere în aplicare a principiului egalității de tratament între persoane, fără deosebire de rasă sau origine etnică (JO 2000, L 180, p. 22, Ediție specială, 20/vol. 1, p. 19).

38 Nu este vorba aici despre o colectare de date de către poliție în cadrul unei investigații în scopul identificării sau comparării în viitor a persoanei acuzate cum era cazul, de exemplu, în cauza în care s‑a pronunțat Hotărârea din 20 noiembrie 2025, Policejní prezidium (Stocarea de date biometrice și genetice) (C‑57/23, EU:C:2025:905, punctul 84).

39 A se vedea prin analogie Hotărârea din 22 iunie 2021, Latvijas Republikas Saeima (Puncte de penalizare) (C‑439/19, EU:C:2021:504, punctele 109 și 110).

40 A se vedea prin analogie Hotărârea Vyriausioji tarnybinės etikos komisija (punctul 98 și jurisprudența citată). A se vedea de asemenea Hotărârea Direktor na Glavna direktsia (punctul 62).

41 A se vedea punctele 12-15 din prezentele concluzii.

42 A se vedea articolul 8 alineatul (1) din ZGR al cărui conținut se găsește la punctul 12 din prezentele concluzii.

43 A se vedea prin analogie Hotărârea Vyriausioji tarnybinės etikos komisija (punctul 98 și jurisprudența citată). A se vedea de asemenea Hotărârea Direktor na Glavna direktsia (punctul 62).

44 A se vedea Hotărârea Direktor na Glavna direktsia (punctul 48 și jurisprudența citată).

45 A se vedea Hotărârea Ministerstvo na vatreshnite raboti (punctul 118 și urm.) și Hotărârea din 20 noiembrie 2025, Policejní prezidium (Stocarea de date biometrice și genetice) (C‑57/23, EU:C:2025:905, punctul 78). A se vedea de asemenea Concluziile avocatului general Szpunar prezentate în cauza Comdribus (C‑371/24, EU:C:2025:631, punctul 43 și urm.).

46 Ne întrebăm de altfel cu privire la rațiunea de a fi a acestei chestiuni referitoare la „etnie”, care este de natură să ridice probleme în raport cu valorile Uniunii în sensul articolului 2 TUE.

47 A se vedea în acest sens Hotărârea Ministerstvo na vatreshnite raboti (punctele 128 și 129); Simon, D., „Données personnelles – Traitement des données sensibles dans les procédures pénales”, în Revue Europe, LexisNexis, nr. 3, 2023, comentariul nr. 112.