II.
C-312/24 - Darashev ügyben 2026. június 4-én hozott ítélet
1) A természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló, 2016. április 27‑i (EU) 2016/679 európai parlamenti és tanácsi rendelet 2. cikkének (1) bekezdését és a személyes adatoknak az illetékes hatóságok által a bűncselekmények megelőzése, nyomozása, felderítése, a vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása céljából végzett kezelése tekintetében a természetes személyek védelméről és az ilyen adatok szabad áramlásáról, valamint a 2008/977/IB tanácsi kerethatározat hatályon kívül helyezéséről szóló, 2016. április 27‑i (EU) 2016/680 európai parlamenti és tanácsi irányelv 9. cikkének (1) bekezdését
a következőképpen kell értelmezni:
e rendelet alkalmazandó valamely hatóság igazgatósága által végzett azon tevékenységre, amely abból áll, hogy valamely tisztviselőjének személyi aktájában tárolja a bűnügyi nyomozás keretében fennálló gyanúsítható személyi minőségére vonatkozó adatokat. E tekintetben nincs jelentősége annak, hogy ezen igazgatóság ezen adatokat az ugyanazon hatósághoz tartozó másik igazgatóságon keresztül szerezte meg, amely utóbbi igazgatóság jogosult ilyen típusú nyomozás lefolytatására.
2) A 2016/679 rendelet 6. cikke (1) bekezdése első albekezdésének c) pontjával és 6. cikkének (3) bekezdésével összefüggésben, valamint az Európai Unió Alapjogi Chartája 52. cikke (1) bekezdésének fényében értelmezett 17. cikke (3) bekezdésének b) pontját
a következőképpen kell értelmezni:
a rendőr személyi aktájában a felfüggesztett bűnügyi nyomozás keretében fennálló gyanúsítható személyi minőségére vonatkozó személyes adatoknak e rendőr szakmai előmenetelének kezelése, valamint annak ellenőrzése céljából történő tárolása, hogy e rendőr betartja‑e a feladataival összefüggő szabályokat, indokoltnak tekinthető azon jogi kötelezettség teljesítése érdekében, amely a hatóságot – az említett rendőr munkáltatóját – a nemzeti jog alapján terheli, amennyiben az említett rendőrt a szóban forgó bűncselekmény miatt nem gyanúsították meg, és vádat sem emeltek ellene, feltéve hogy e jogalap világos és pontos, alkalmazása előre látható az érintett személyek számára, és e kötelezettség közérdekű célt szolgál és azzal arányos.
3) A foglalkoztatás és a munkavégzés során alkalmazott egyenlő bánásmód általános kereteinek létrehozásáról szóló, 2000. november 27‑i 2000/78/EK tanácsi irányelv 1. cikkét
a következőképpen kell értelmezni:
ez az irányelv nem alkalmazható abban az esetben, ha valamely hatóság, amelynek igazgatósága felelős az e hatóság által alkalmazott tisztviselők elleni bűnügyi nyomozások lefolytatásáért, munkáltatói minőségében kizárólag azzal az indokkal tagadja meg valamely tisztviselője előléptetését, hogy az ilyen, végül felfüggesztett bűnügyi nyomozás keretében gyanúsítható személynek minősült, e tisztviselőt azonban a szóban forgó bűncselekmény miatt nem gyanúsították meg, és vádat sem emeltek ellene.
1 Az előzetes döntéshozatal iránti kérelem a foglalkoztatás és a munkavégzés során alkalmazott egyenlő bánásmód általános kereteinek létrehozásáról szóló, 2000. november 27‑i 2000/78/EK tanácsi irányelv (HL 2000. L 303., 16. o.; magyar nyelvű különkiadás 5. fejezet, 4. kötet, 79. o.) 1. cikkének, a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK rendelet hatályon kívül helyezéséről szóló, 2016. április 27‑i (EU) 2016/679 európai parlamenti és tanácsi rendelet (általános adatvédelmi rendelet) (HL 2016. L 119., 1. o.; helyesbítések: HL 2016. L 314., 72. o.; HL 2018. L 127., 2. o.; HL 2021. L 74., 35. o.; a továbbiakban: GDPR) 2. cikke (1) bekezdésének, 4. cikke 2. és 6. pontjának, 9. cikke (2) bekezdése b) pontjának, valamint 17. cikke (1) bekezdése a) és d) pontjának, a személyes adatoknak az illetékes hatóságok által a bűncselekmények megelőzése, nyomozása, felderítése, a vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása céljából végzett kezelése tekintetében a természetes személyek védelméről és az ilyen adatok szabad áramlásáról, valamint a 2008/977/IB tanácsi kerethatározat hatályon kívül helyezéséről szóló, 2016. április 27‑i (EU) 2016/680 európai parlamenti és tanácsi irányelv (HL 2016. L 119., 89. o.) 3. cikke 1. és 2. pontjának, 9. cikke (1) bekezdésének és 16. cikke (2) bekezdésének, valamint az Európai Unió Alapjogi Chartájának (a továbbiakban: Charta) 52. cikkének értelmezésére vonatkozik.
2 E kérelmet a CL és a Prokuratura na Republika Bulgaria (a Bolgár Köztársaság ügyészsége, a továbbiakban: ügyészség) között folyamatban lévő jogvita keretében terjesztették elő, amelynek tárgya azon kár CL által követelt megtérítése, amelyet állítása szerint egyrészt a vele szemben folytatott bűnügyi nyomozás keretében vele szemben alkalmazott nyomozási cselekmények, másrészt e nyomozás következményei miatt szenvedett el.
Az alapeljárás
34 Az alapeljárás felperese 2012 és 2023 között a bolgár belügyminisztérium közbiztonsági főigazgatóságán és nemzeti rendészeti főigazgatóságán töltött be különböző rendőri beosztásokat.
35 2016. március 1‑jén e minisztérium belső biztonsági igazgatósága nyomozást indított ismeretlen tettes ellen egy másik személlyel társtettesként elkövetett rablás bűncselekménye miatt.
36 2016. május 17‑én általános ülésre került sor azon osztály valamennyi rendőre részvételével, amelyben az alapeljárás felperese szolgált. Ezen az ülésen megjelent az érintett osztály vezetője, e belső biztonsági igazgatóság egy képviselője, a Sofiyska gradska prokuratura (szófiai városi ügyészség, Bulgária) egy ügyésze, valamint egy nyomozó. Az említett ülésen az alapeljárás felperesét nyilvánosan őrizetbe vették, és le kellett adnia a jelvényét, a fegyverét és a szolgálati igazolványát.
37 A szóban forgó nyomozás keretében az alapeljárás felperesével szemben gyanúsítható személyi minőségében különböző nyomozási cselekményeket hajtottak végre, nevezetesen motozást, ujjlenyomat‑vételt, valamint – a bírósági engedély kiadását követően – lefoglalással járó házkutatást a lakásán. Részt vett egy felismerésre bemutatáson, amelynek során a sértettek nem őt azonosították tettesként, és a sértettek tárgyain nem találták meg az ő ujjlenyomatait. A 24 órás őrizetet követően az alapeljárás felperesét szabadon bocsátották, és ezt követően a rablás bűncselekménye miatt hivatalosan nem gyanúsították meg, és vádat sem emeltek ellene. A nyomozást felfüggesztették, mivel a tettest nem lehetett azonosítani.
38 Az alapeljárás felperese továbbra is a belügyminisztériumnál látta el feladatait, és ott részt vett előléptetési versenyvizsgákon, az előléptetést azonban azzal az indokkal tagadták meg tőle, hogy a rablás miatt folytatott nyomozás keretében gyanúsítható személyként őrizetbe vették. A személyi aktájában és e minisztérium irattárában szerepelnek az őrizetbe vételére és a vele mint gyanúsítható személlyel szemben foganatosított nyomozási cselekményekre vonatkozó információk.
39 Az alapeljárás felperese keresetet indított a Sofiyski rayonen sad (szófiai kerületi bíróság, Bulgária), a kérdést előterjesztő bíróság előtt annak érdekében, hogy az ügyészséget kötelezzék azon nem vagyoni kár megtérítésére, amelyet a szóban forgó nyomozás keretében vele szemben hozott intézkedések, valamint azok következményei okoztak neki. Arra hivatkozik, hogy a belügyminisztérium régóta szolgáló tisztviselőjeként nem vagyoni kárt szenvedett azáltal, hogy a kollégái előtt vették őrizetbe olyan bűncselekmény miatt, amelyről nem bizonyították, hogy azt ő követte el. Ez a megalázó intézkedés akadályozza a szakmai előmenetelét, és e tekintetben megjegyzi, hogy a munkáltatója – aki az őrizetbe vételét elrendelte – adatbázist tárol, amely tartalmazza e nyomozást és a felperes mint gyanúsítható személy nevét, és megtagadja ezen adatok eltávolítását vagy törlését.
40 Az előzetes döntéshozatalra utaló határozatból kitűnik, hogy a Varhoven kasatsionen sad na Republika Bulgaria (a Bolgár Köztársaság legfelsőbb semmítőszéke) ítélkezési gyakorlatának megfelelően az a gyanúsítható személy, akit nem gyanúsítottak meg, és akivel szemben az eljárást megszüntető határozatot hoztak, kártérítésre jogosult.
41 A kérdést előterjesztő bíróság pontosítja, hogy a belügyminisztérium egyetlen közigazgatási hatóság, amelynek feladata a közrend fenntartásának biztosítása, és amely több igazgatóságból áll, köztük a közrend védelmét szolgáló intézkedésekért felelős nemzeti rendészeti főigazgatóságból és közbiztonsági főigazgatóságból, valamint a belső biztonsági igazgatóságból, amely e minisztérium tisztviselőivel szemben nyomozást folytat, függetlenül a felrótt bűncselekmények típusától és a beosztásuk szerinti egységüktől.
42 A belügyminisztérium mint egyetlen közigazgatási hatóság az ott feladatokat ellátó valamennyi tisztviselő munkáltatója, de a minisztériumot alkotó egyes igazgatóságok tárolják a saját tisztviselőikre vonatkozó információkat, és azokat a személyi aktájukban rögzítik. Az előléptetésre vagy áthelyezésre irányuló versenyvizsgán való részvétel alkalmával az érintett tisztviselőnek be kell nyújtania a személyi aktáját, valamint arra vonatkozó információkat, hogy miként tett eleget kötelezettségeinek, és hogy volt‑e gyanúsítható személy, gyanúsított vagy vádlott valamely bűncselekmény miatt, indult‑e ellene büntetőeljárás, követett‑e el fegyelmi vétséget vagy közrend ellen irányuló jogsértést. A nyomozás során szerzett adatokat a személyi aktában tárolják.
43 Először is, a kérdést előterjesztő bíróság arra keresi a választ, hogy a GDPR alkalmazandó‑e az alapügyben szóban forgóhoz hasonló esetekre, vagyis amikor egy és ugyanazon szervezeti struktúráról van szó, amelyben az egyik szervezeti egység munkáltatói feladatokat lát el, míg egy másik büntetőeljárás keretében nyomozó hatósági feladatokat lát el.
44 Másodszor, igenlő válasz esetén e bíróság arra keresi a választ, hogy a jelen ítélet 42. pontjában említettekhez hasonló információknak a tisztviselő személyi aktájában való tárolása a GDPR 4. cikkének 2. pontja értelmében vett „személyes adatok kezelésének” minősül‑e, és hogy ez az akta a GDPR 4. cikkének 6. pontja értelmében vett „nyilvántartási rendszernek” minősül‑e. Felmerül továbbá a kérdés, hogy az ilyen adatok tárolása a GDPR 9. cikke (2) bekezdése b) pontjának hatálya alá tartozik‑e.
45 Harmadszor, a kérdést előterjesztő bíróság arra keresi a választ, hogy a belügyminisztérium munkáltatói minőségében megtagadhatja‑e az egyik tisztviselőjétől a szakmai előmenetelt pusztán azzal az indokkal, hogy ez utóbbi gyanúsítható személynek, gyanúsítottnak vagy vádlottnak minősült, holott a büntetőeljárást végül felfüggesztették. Bár köztudomású, hogy a belügyminisztérium közrend tiszteletben tartásáért felelős személyi állományának magasabb erkölcsi és etikai követelményeknek kell megfelelnie, mint a munkavállalók vagy alkalmazottak más kategóriáinak, e bíróságnak kétségei vannak azzal kapcsolatban, hogy a belügyminisztérium tisztviselőinek személyi aktájában a gyanúsítható személy, gyanúsított vagy vádlott jogállására vonatkozó adatok kezelésére vonatkozó szabályok arányosak‑e az ilyen típusú tisztviselőket terhelő követelményekkel. Az említett bíróság szerint ugyanis csak a jogerős elmarasztaló ítélet minősül érvényes indoknak valamely tisztviselő munkaszerződésének egyoldalú felmondására.
46 Negyedszer, a kérdést előterjesztő bíróság arra keresi a választ, hogy a GDPR (65) és (66) preambulumbekezdésének fényében értelmezett 17. cikke (1) bekezdésének a) pontjában előírt „elfeledtetéshez való jog” elvét úgy kell‑e értelmezni, hogy valamely tisztviselő személyi aktájában szereplő adatokat törölni kell, ha azokat a munkáltatónak a tisztviselőt foglalkoztató szervezeti egységtől eltérő, a nyomozás lefolytatásával megbízott szervezeti egysége gyűjtötte össze, és azok arra utalnak, hogy ez a tisztviselő bűncselekmény elkövetésével gyanúsítható személy, gyanúsított vagy vádlott volt. E bíróságnak ezzel összefüggésben kétségei vannak a GDPR 17. cikke (1) bekezdésének d) pontja értelmében vett „jogellenes adatkezelés” fogalmának terjedelmét illetően is.
47 Ötödször, a kérdést előterjesztő bíróság arra keresi a választ, hogy a 2016/680 irányelv rendelkezései alkalmazhatók‑e az alapügyben szóban forgó helyzetre, és igenlő válasz esetén az alapügyben szóban forgó adatok tárolása jogszerű és arányos‑e ezen irányelv 9. cikkének (1) bekezdésére és 10. cikkére tekintettel, valamint hogy ezen adatokat az irányelv 16. cikkének (2) bekezdése alapján törölni kell‑e.
48 Hatodszor és végül e bíróság hangsúlyozza, hogy az alapeljárás felperese előléptetésre és áthelyezésre irányuló versenyvizsgákon vett részt, és hogy bár többször az első helyre rangsorolták, a rablás miatti nyomozás keretében fennálló gyanúsítható személyi minősége miatt nem nevezték ki. Ebben az összefüggésben e bíróság arra keresi a választ, hogy a személyes adatoknak a belügyminisztériumhoz hasonló egyetlen közigazgatási hatóság általi tárolása a 2000/78 irányelv 1. cikke értelmében vett hátrányos megkülönböztetés egyik formájának minősül‑e.
49 E körülmények között a Sofiyski rayonen sad (szófiai kerületi bíróság) úgy határozott, hogy az eljárást felfüggeszti, és előzetes döntéshozatal céljából kérdéseket terjeszt a Bíróság elé.
Az előzetes döntéshozatalra előterjesztett kérdések
„1) Úgy kell‑e értelmezni a GDPR 2. cikkének (1) bekezdését, hogy az adatkezelés magában foglalja az olyan, egy és ugyanazon szervezeti struktúrán belüli tevékenységeket, amelyben egyes igazgatóságok munkáltatói feladatokat látnak el, míg egy másik igazgatóság nyomozó hatóságként jár el a többi igazgatóság tisztviselőivel szemben indított büntetőeljárásban? Igenlő válasz esetén:
2)Úgy kell‑e értelmezni a GDPR 4. cikkének 2. pontjában szereplő »adatkezelés« kifejezést, hogy ennek hatálya alá tartozik az olyan tevékenység, amelynek keretében olyan adatokat vesznek fel egy tisztviselő személyi aktájába, amelyeket a munkáltató nyomozó hatósági minőségében, valamelyik igazgatóságán keresztül szerzett meg az adott tisztviselővel kapcsolatban?
3) Úgy kell‑e értelmezni a GDPR 4. cikkének 6. pontjában szereplő »nyilvántartási rendszer« kifejezést, hogy annak hatálya alá tartozik a munkáltató valamely igazgatóságán dolgozó tisztviselő vagy munkavállaló személyi aktája, ha az adatokat a munkáltató egy másik igazgatósága nyomozó hatósági minőségében gyűjtötte?
4) Úgy kell‑e értelmezni a GDPR 9. cikke (2) bekezdésének b) pontját, hogy a munkáltató valamely szervezeti egysége gyűjthet és tárolhat olyan adatokat, amelyek arra vonatkoznak, hogy a tisztviselő egy büntetőeljárásban gyanúsítható személy/gyanúsított/vádlott volt, ha ezeket az adatokat a munkáltató egy másik, nyomozó hatóságként eljáró szervezeti egysége gyűjtötte?
5) Úgy kell‑e értelmezni a GDPR 17. cikke (1) bekezdésének a) pontjában foglalt »elfeledtetéshez való jogot«, hogy a munkáltatónak törölnie kell a tisztviselő személyi aktájából minden olyan adatot, amelyet a munkáltató a tisztviselőjével szemben nyomozó hatósági minőségében eljáró másik igazgatósága révén gyűjtött és tárolt arról, hogy a tisztviselő:
– folyamatban lévő büntetőeljárásban bűncselekmény elkövetésével gyanúsítható személy/gyanúsított/vádlott;
– bűncselekmény elkövetésével gyanúsítható személy/gyanúsított/vádlott olyan büntetőeljárásban, amelyet felfüggesztettek vagy megszüntettek?
6) Úgy kell‑e értelmezni a GDPR 17. cikke (1) bekezdésének d) pontja szerinti »jogellenesen kezelt« személyes adatokat, hogy azok magukban foglalják a munkáltató egy másik szervezeti egységén keresztül kapott, gyűjtött és tárolt adatokat, amely szervezeti egység a munkáltató más szervezeti egységeinek tisztviselői ellen folytatott büntetőeljárásban nyomozási feladatokat lát el, amennyiben ezeket az adatokat a személyi aktában tárolják, és arra vonatkoznak, hogy a tisztviselő bűncselekmény elkövetésével gyanúsítható személy/gyanúsított/vádlott, nevezetesen:
– folyamatban lévő büntetőeljárásban bűncselekmény elkövetésével gyanúsítható személy/gyanúsított/vádlott;
– bűncselekmény elkövetésével gyanúsítható személy/gyanúsított/vádlott olyan büntetőeljárásban, amelyet felfüggesztettek vagy megszüntettek?
7) Úgy kell‑e értelmezni a [2016/680] irányelv a [Charta] 52. cikkével összefüggésben értelmezett 3. cikkének 1. pontjában meghatározott »személyes adatot«, hogy az magában foglalja a munkáltató egy másik szervezeti egységén keresztül kapott, gyűjtött és tárolt adatokat, amely szervezeti egység a munkáltató más szervezeti egységénél szolgálatot teljesítő tisztviselője ellen folytatott büntetőeljárásban nyomozó hatósági feladatokat lát el?
8) Úgy kell‑e értelmezni a [2016/680] irányelv a [Charta] 52. cikkével összefüggésben értelmezett 3. cikkének 2. pontjában meghatározott »adatkezelést«, hogy az magában foglalja a munkáltató azon tevékenységét, hogy tárolja a tisztviselő személyi aktájában szereplő, egy másik szervezeti egységén keresztül kapott, gyűjtött és tárolt adatokat, amely szervezeti egység a munkáltató olyan tisztviselője ellen folytatott büntetőeljárásban nyomozó hatósági feladatokat lát el, aki a munkáltató másik szervezeti egységénél lát el szolgálatot?
9) Úgy kell‑e értelmezni a [2016/680] irányelv [Charta] 52. cikkével összefüggésben értelmezett 9. cikkének (1) bekezdését, hogy az feljogosítja a munkáltatót, hogy adatokat gyűjtsön és tároljon a gyanúsítható személynek/gyanúsítottnak/vádlottnak minősülő tisztviselőjéről, amennyiben ezeket az adatokat az e tisztviselő ellen folytatott büntetőeljárásban nyomozó hatósági minőségében eljáró másik szervezeti egysége útján gyűjtötte?
10) Úgy kell‑e értelmezni a [2016/680] irányelv a [Charta] 52. cikkével összefüggésben értelmezett 16. cikkének (2) bekezdését, hogy a munkáltató köteles a tisztviselő személyi aktájából törölni mindazon adatokat, amelyeket e tisztviselő ellen folytatott büntetőeljárásban nyomozó hatósági minőségében eljáró, másik szervezeti egységén keresztül gyűjtött és tárolt, és amely adatok arra a körülményre vonatkoznak, hogy a tisztviselő:
– folyamatban lévő büntetőeljárásban bűncselekmény elkövetésével gyanúsítható személy/gyanúsított/vádlott;
– bűncselekmény elkövetésével gyanúsítható személy/gyanúsított/vádlott olyan büntetőeljárásban, amelyet felfüggesztettek vagy megszüntettek?
11) Úgy kell‑e értelmezni a [2000/78] irányelv 1. cikkét, hogy az nem jogosítja fel a munkáltatót, amelynek egyik szervezeti egysége nyomozást folytat egy másik szervezeti egység tisztviselője ellen, hogy kizárólag azon az alapon tagadja meg a tisztviselő szakmai előmenetelét, hogy a tisztviselő:
– folyamatban lévő büntetőeljárásban bűncselekmény elkövetésével gyanúsítható személy/gyanúsított/vádlott;
– bűncselekmény elkövetésével gyanúsítható személy/gyanúsított/vádlott olyan büntetőeljárásban, amelyet felfüggesztettek vagy megszüntettek?”
Az előzetes döntéshozatalra előterjesztett kérdésekről
Az elfogadhatóságról
50 A bolgár kormány azt állítja, hogy valamennyi előzetes döntéshozatalra előterjesztett kérdés nyilvánvalóan elfogadhatatlan.
51 E kormány előadja, hogy a kártérítési kérelem kizárólag az ügyészség ellen irányul, amely az igazságszolgáltatás részét képezi, míg kizárólag a belügyminisztérium – amely a végrehajtó hatalomhoz tartozik, és amely az alapeljárás felperesének munkáltatója – rendelkezik a felperes személyi aktájában szereplő adatokkal. Az alapeljárás felperese tehát nem kérheti az ügyészségtől adatainak törlését, és nem is vonhatja felelősségre amiatt, hogy a belügyminisztérium rendelkezik ezekkel az adatokkal, és azt sem róhatja fel az ügyészségnek, hogy akadályozta a szakmai előmenetelét.
52 Az említett kormány megjegyzi, hogy az ügyészség felelősségének megállapításához a kérdést előterjesztő bíróságnak az állam felelősségére vonatkozó nemzeti jogszabálynak megfelelően el kell döntenie, hogy megsértették‑e az érintett személy vádlottként fennálló jogait, és hogy igazságtalanul vádolták‑e meg valamely bűncselekménnyel. Az alapjogvitának azonban nem tárgya sem a GDPR, sem pedig a 2016/680 és a 2000/78 irányelvet átültető nemzeti jogszabályok rendelkezéseinek alkalmazása. Ezen uniós jogi aktusok értelmezése tehát nem szükséges az alapjogvita eldöntéséhez.
53 E tekintetben a Bíróság állandó ítélkezési gyakorlatából az következik, hogy a nemzeti bíróság által a saját felelősségére meghatározott – a helytállóságot illetően a Bíróság által nem vizsgálható – jogszabályi és ténybeli keretben felvetett, az uniós jog értelmezésére vonatkozóan előterjesztett kérdések releváns voltát vélelmezni kell. A nemzeti bíróságok által előterjesztett előzetes döntéshozatal iránti kérelem Bíróság általi elutasítása csak abban az esetben lehetséges, amennyiben nyilvánvaló, hogy az uniós jog értelmezése, amelyet a nemzeti bíróság kért, nem függ össze az alapeljárás tényállásával vagy tárgyával, illetve ha a szóban forgó probléma hipotetikus jellegű, vagy a Bíróság nem rendelkezik azon ténybeli és jogi elemek ismeretével, amelyek szükségesek ahhoz, hogy a feltett kérdéseket hatékonyan megválaszolja (lásd: 2025. május 8‑i Stadt Wuppertal ítélet, C‑130/24, EU:C:2025:340, 42. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
54 Egyébiránt emlékeztetni kell arra, hogy a Bíróságnak nem feladata, hogy a nemzeti rendelkezések értelmezése tárgyában határozzon, vagy eldöntse, hogy a nemzeti bíróság általi értelmezés vagy alkalmazás helyes‑e, mivel az ilyen értelmezés a nemzeti bíróság kizárólagos hatáskörébe tartozik (2024. október 4‑i Bezirkshauptmannschaft Landeck [Mobiltelefonon tárolt személyes adatokhoz való hozzáférésre tett kísérlet] ítélet, C‑548/21, EU:C:2024:830, 53. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
55 Így a Bíróságnak az uniós bíróságok és a nemzeti bíróságok közötti hatáskörmegosztás keretében azt a ténybeli és jogszabályi összefüggést kell figyelembe vennie, amelybe – az előzetes döntéshozatalra utaló határozatban meghatározottak szerint – az előzetes döntéshozatalra előterjesztett kérdések illeszkednek. Következésképpen, bármilyen kritikát fogalmazzon is meg valamely tagállam kormánya a nemzeti jognak a kérdést előterjesztő bíróság által elfogadott értelmezésével szemben, az előzetes döntéshozatalra előterjesztett kérdéseket ezen értelmezés alapján kell megvizsgálni, és nem a Bíróság feladata, hogy ellenőrizze annak helytállóságát (2024. július 29‑i CU és ND [Szociális ellátás – Közvetett hátrányos megkülönböztetés] ítélet, C‑112/22 és C‑223/22, EU:C:2024:636, 40. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
56 Mindazonáltal annak lehetővé tétele érdekében, hogy a Bíróság az uniós jognak a nemzeti bíróság részére hasznos értelmezését nyújthassa, a Bíróság eljárási szabályzata 94. cikkének c) pontjából következik, hogy az előzetes döntéshozatal iránti kérelemnek tartalmaznia kell azon okok ismertetését, amelyek miatt a kérdést előterjesztő bíróságban kérdés merült fel egyes uniós jogi rendelkezések értelmezésére vagy érvényességére vonatkozóan, valamint azt a kapcsolatot, amelyet e bíróság e rendelkezések és az alapeljárásban alkalmazandó nemzeti jog között felállít (2015. július 2‑i Gullotta és Farmacia di Gullotta Davide & C. ítélet, C‑497/12, EU:C:2015:436, 17. pont).
57 A jelen ügyben az alapjogvita tárgyát illetően nem vitatott, hogy az előzetes döntéshozatalra előterjesztett kérdések a kérdést előterjesztő bíróság előtt folyamatban lévő olyan jogvita keretében merültek fel, amely azon kár megtérítése iránti kérelemre vonatkozott, amelyet az alapeljárás felperese állítása szerint nemcsak a nyomozás keretében vele szemben hozott intézkedések, hanem annak következményei miatt is szenvedett el. Ez utóbbi tekintetben az előzetes döntéshozatalra utaló határozatból kitűnik, hogy az állítólagosan elszenvedett kár különösen az e nyomozás keretében gyűjtött személyes adatok munkáltató általi tárolásából és későbbi felhasználásából ered, mivel e munkáltató megtagadta az alapeljárás felperesétől a szakmai előmenetelt azzal az indokkal, hogy az említett nyomozás keretében gyanúsítható személynek minősült. Az alapeljárás felperese azt kéri továbbá, hogy nevét töröljék abból az adatbázisból, amelyben gyanúsítható személyként szerepel.
58 A Bíróság rendelkezésére álló iratokból tehát kitűnik egyrészt az alapjogvita tárgya és a személyes adatok védelmére vonatkozó uniós jogi szabályok közötti kapcsolat fennállása, másrészt pedig azon okok, amelyek miatt a kérdést előterjesztő bíróságban kérdés merült fel arra vonatkozóan, hogy a szóban forgó adatok törlésének munkáltató általi megtagadása összeegyeztethető‑e ezekkel a szabályokkal.
59 Ami konkrétan a 2000/78 irányelvnek az alapügy megoldása szempontjából fennálló relevanciáját illeti, mivel az arra vonatkozó kérdés lényegében annak eldöntésére irányul, hogy az alapeljárás felperese által elszenvedett – a gyanúsítható személyi minőségén alapuló szakmai előmenetel megtagadásához kapcsolódó – kár vizsgálható-e ezen irányelv rendelkezéseire tekintettel, az említett kérdés a jelen ügy körülményei között magában foglalja az említett irányelv tárgyát meghatározó 1. cikk értelmezésére vonatkozó érdemi választ.
60 Következésképpen a bolgár kormány által előadott érvek nem indokolják valamennyi előzetes döntéshozatalra előterjesztett kérdés elfogadhatatlannak minősítését.
61 Ezzel szemben először is meg kell jegyezni, hogy a negyedik kérdéssel a kérdést előterjesztő bíróság a GDPR 9. cikkére hivatkozik, amely – amint az magából a címéből kitűnik – a személyes adatok különleges kategóriáinak kezelését szabályozza. Márpedig az előzetes döntéshozatal iránti kérelemből nem tűnik ki, hogy az alapügyben szóban forgó adatok az e 9. cikk (1) bekezdésében felsorolt adatkategóriák valamelyikébe tartoznának, nevezetesen többek között a faji vagy etnikai származásra utaló adatokba, a genetikai adatokba, a természetes személy egyedi azonosítását célzó biometrikus adatokba, valamint a természetes személy egészségére vonatkozó adatokba. Mivel a GDPR 9. cikke (2) bekezdése b) pontjának kért értelmezése nem releváns az alapjogvita eldöntése szempontjából, e negyedik kérdést elfogadhatatlannak kell tekinteni.
62 Másodszor, az ötödik, a hatodik, valamint a kilencedik–tizenegyedik kérdés szövegében említett bizonyos körülmények nem relevánsak az alapügyben szóban forgó helyzetre tekintettel, amely – amint az a jelen ítélet 35–37. pontjában összefoglalt előzetes döntéshozatalra utaló határozatból kitűnik – a végül felfüggesztett bűnügyi nyomozás keretében bűncselekmény elkövetésével gyanúsítható személyre vonatkozik. E kérdésekre tehát nem kell válaszolni annyiban, amennyiben azok olyan tisztviselővel kapcsolatos adatok kezelésére vonatkoznak, akit bűncselekmény elkövetésével vádolnak vagy vádoltak, illetve akivel szemben büntetőeljárás folyik vagy folyt, mivel az említett kérdések e tekintetben hipotetikus jellegűek.
63 Harmadszor, ami a tizenegyedik kérdés alapjául szolgáló bizonyos egyéb ténybeli előfeltevéseket illeti, a bolgár kormány a tárgyaláson jelezte, hogy a szóban forgó bűnügyi nyomozást követő időszakban az alapeljárás felperesét – állításával ellentétben – többször előléptették. Hangsúlyozni kell azonban, hogy az előzetes döntéshozatalra előterjesztett kérdések relevanciájának a jelen ítélet 53. pontjában felidézett vélelme nem dönthető meg pusztán azon körülmény alapján, hogy az alapeljárás valamelyik fele bizonyos tényeket vitat, amelyek helytállóságának vizsgálata nem a Bíróság feladata, és amelyektől a jogvita tárgyának meghatározása függ (2006. december 5‑i Cipolla és társai ítélet, C‑94/04 és C‑202/04, EU:C:2006:758, 26. pont).
Az ügy érdeméről
Az első–harmadik és hetedik–kilencedik kérdésről
64 Emlékeztetni kell arra, hogy a nemzeti bíróságok és a Bíróság között az EUMSZ 267. cikkel bevezetett együttműködési eljárás keretében a Bíróság feladata, hogy a nemzeti bíróságnak az előtte folyamatban lévő ügy eldöntéséhez hasznos választ adjon. Erre tekintettel a Bíróságnak adott esetben át kell fogalmaznia az elé terjesztett kérdéseket. A Bíróság továbbá figyelembe vehet olyan uniós jogi rendelkezéseket, amelyekre a nemzeti bíróság a kérdésében nem hivatkozott (2024. január 18‑i Hewlett Packard Development Company ítélet, C‑367/21, EU:C:2024:61, 44. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
65 E tekintetben meg kell állapítani, hogy – amint azt a főtanácsnok az indítványának 47–53. pontjában megjegyezte – bár a kérdést előterjesztő bíróság a második, a harmadik, a hetedik és a nyolcadik kérdésével formálisan az „adatkezelés” és a „nyilvántartási rendszer” GDPR 4. cikkének 2. és 6. pontja értelmében vett fogalmának, valamint a „személyes adatok” és az „adatkezelés” 2016/680 irányelv 3. cikkének 1. és 2. pontja értelmében vett fogalmának értelmezését kéri a Bíróságtól, azonkívül, hogy ez utóbbi fogalmak meghatározása a GDPR‑ben használt kifejezésekkel azonos, e bíróság valójában azt kívánja eldönteni, hogy az alapügyben szóban forgó helyzet a GDPR vagy a 2016/680 irányelv hatálya alá tartozik‑e. Az előzetes döntéshozatalra utaló határozat indokolásából, valamint e kérdésekből ugyanis kitűnik, hogy azok valódi tárgya arra a kérdésre vonatkozik, hogy e jogi aktusok közül melyik alkalmazandó valamely hatóság munkáltatóként eljáró igazgatósága által végzett olyan adatkezelésre, amely abban áll, hogy e hatóság tisztviselőjének személyi aktájában tárolják a bűnügyi nyomozás keretében fennálló gyanúsítható személyi minőségére vonatkozó adatokat, miközben ezen igazgatóság ugyanezen hatóság egy másik igazgatóságán keresztül szerezte meg ezeket az adatokat, amely utóbbi igazgatóság jogosult ilyen típusú nyomozás lefolytatására.
66 E körülmények között meg kell állapítani, hogy első–harmadik és hetedik–kilencedik kérdésével, amelyeket célszerű együttesen vizsgálni, a kérdést előterjesztő bíróság lényegében arra vár választ, hogy a GDPR 2. cikkének (1) bekezdését és a 2016/680 irányelv 9. cikkének (1) bekezdését úgy kell‑e értelmezni, hogy e rendelet alkalmazandó a személyes adatoknak valamely hatóság igazgatósága általi kezelésére, amely abban áll, hogy az egyik tisztviselőjének személyi aktájában tárolják a bűnügyi nyomozás keretében fennálló gyanúsítható személyi minőségére vonatkozó adatokat (a továbbiakban: az alapügyben szóban forgó adatkezelés), miközben ezen igazgatóság ezen adatokat az ugyanezen hatósághoz tartozó másik igazgatóságon keresztül szerezte meg, amely utóbbi igazgatóság jogosult ilyen típusú nyomozás lefolytatására.
67 A GDPR 2. cikke (2) bekezdésének d) pontja értelmében e rendelet nem alkalmazandó a személyes adatok kezelésére, ha azt az illetékes hatóságok bűncselekmények megelőzése, nyomozása, felderítése, vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása céljából végzik, ideértve a közbiztonságot fenyegető veszélyekkel szembeni védelmet és e veszélyek megelőzését.
68 A 2016/680 irányelv 1. cikkének (1) bekezdése ezzel szemben úgy rendelkezik, hogy ez az irányelv szabályokat állapít meg a természetes személyek védelmére a személyes adatoknak az illetékes hatóságok által a bűncselekmények megelőzése, nyomozása, felderítése, a vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása – így többek között a közbiztonságot fenyegető veszélyekkel szembeni védelem és e veszélyek megelőzése – céljából végzett kezelése tekintetében.
69 Ezenkívül ezen irányelv 9. cikkének (1) bekezdése többek között előírja, hogy amennyiben a személyes adatok kezelése az említett irányelv 1. cikkének (1) bekezdésében meghatározottaktól eltérő célból történik, a GDPR‑t kell alkalmazni, kivéve, ha az adatkezelést az uniós jog hatályán kívül eső tevékenység keretében végzik.
70 Ebből következik, hogy amennyiben az illetékes hatóságok személyes adatokat a bűncselekmények megelőzése, nyomozása, felderítése, a vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása céljából kezelnek, a 2016/680 irányelv alkalmazandó, míg amennyiben az adatkezelés más célokra történik, a GDPR alkalmazandó (lásd ebben az értelemben: 2022. december 8‑i Inspektor v Inspektorata kam Visshia sadeben savet [A személyes adatok kezelésének céljai – Nyomozás] ítélet, C‑180/21, EU:C:2022:967, 73. és 74. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
71 A jelen ügyben, noha a személyes adatoknak a belügyminisztérium belső biztonsági igazgatósága által az alapeljárás felperesével szembeni nyomozás céljából végzett eredeti gyűjtése a 2016/680 irányelv hatálya alá tartozik, ezzel szemben az alapügyben szóban forgó adatkezelés, amennyiben arra emberierőforrás‑gazdálkodás céljából kerül sor, a GDPR hatálya alá tartozik.
72 Pontosítani kell, hogy a GDPR‑nek az alapügyben szóban forgó adatkezelésre való alkalmazhatóságát nem kérdőjelezi meg az a körülmény, hogy az érintett adatokat a munkáltató a belügyminisztériumnak az alapeljárás felperesével szembeni nyomozás lefolytatásával megbízott igazgatóságán keresztül szerezte meg. E tekintetben a Bíróság már megállapította, hogy a 2016/680 irányelv 9. cikke (1) és (2) bekezdésének szövegéből, valamint e bekezdések kapcsolatából kitűnik, hogy a GDPR alkalmazandó az ezen irányelv 1. cikkének (1) bekezdésében meghatározott célokból gyűjtött személyes adatok eltérő célból történő kezelésére, kivéve ha a szóban forgó adatkezelés az uniós jog hatályán kívül esik, beleértve azt az esetet is, amikor az említett irányelv 3. cikkének 8. pontja értelmében vett „adatkezelő” az ezen irányelv 3. cikke 7. pontja a) alpontjának értelmében vett „illetékes hatóság”, amely a személyes adatok kezelését az ugyanezen irányelv 1. cikkének (1) bekezdésében meghatározott célokból folytatott feladatoktól eltérő feladatok keretében végzi (2022. december 8‑i Inspektor v Inspektorata kam Visshia sadeben savet [A személyes adatok kezelésének céljai – Nyomozás] ítélet, C‑180/21, EU:C:2022:967, 81. pont).
73 A fentiekre tekintettel az első–harmadik és a hetedik–kilencedik kérdésre azt a választ kell adni, hogy a GDPR 2. cikkének (1) bekezdését és a 2016/680 irányelv 9. cikkének (1) bekezdését úgy kell értelmezni, hogy e rendelet alkalmazandó valamely hatóság igazgatósága által végzett azon tevékenységre, amely abból áll, hogy valamely tisztviselőjének személyi aktájában tárolja a bűnügyi nyomozás keretében fennálló gyanúsítható személyi minőségére vonatkozó adatokat. E tekintetben nincs jelentősége annak, hogy ezen igazgatóság ezen adatokat az ugyanazon hatósághoz tartozó másik igazgatóságon keresztül szerezte meg, amely utóbbi igazgatóság jogosult ilyen típusú nyomozás lefolytatására.
Az ötödik és a hatodik kérdésről
74 Meg kell állapítani, hogy az ötödik és a hatodik kérdés lényegében az érintett tisztviselő azon lehetőségére vonatkozik, hogy a GDPR 17. cikke (1) bekezdésének a) és d) pontja alapján kérje az alapügyben szóban forgó adatoknak a személyi aktájából való törlését.
75 A Bíróság elé terjesztett iratokból kitűnik, hogy a belügyminisztérium tevékenységeit szabályozó nemzeti törvény előírja a belügyminisztérium számára, hogy e minisztérium minden tisztviselője tekintetében személyi aktát állítson össze és vezessen, valamint olyan etikai kódexet alkosson meg, amelynek tiszteletben tartására e tisztviselők kötelesek, és megköveteli, hogy ez utóbbiakat feladataik ellátása érdekében ne ítéljék el, ne gyanúsítsák meg hivatalosan, és ne vonják büntetőeljárás alá szándékos köztörvényes bűncselekmény miatt. Hasonlóképpen, e törvény úgy rendelkezik, hogy a belügyminiszter a tisztviselői által végzett adatkezelés tekintetében az adatkezelő, és az adatkezelés részletes szabályait utasítás útján határozza meg.
76 A GDPR 17. cikkének (1) bekezdése szerint az érintett jogosult arra, hogy kérésére az adatkezelő indokolatlan késedelem nélkül törölje a rá vonatkozó személyes adatokat, az adatkezelő pedig köteles arra, hogy az érintettre vonatkozó személyes adatokat indokolatlan késedelem nélkül törölje, ha az e rendelkezésben meghatározott okok valamelyike fennáll.
77 Ez az eset áll fenn a GDPR 17. cikke (1) bekezdésének a) pontja értelmében, ha a személyes adatokra „már nincs szükség abból a célból, amelyből azokat gyűjtötték vagy más módon kezelték”, vagy e 17. cikk (1) bekezdése d) pontjának megfelelően, ha a szóban forgó adatokat „jogellenesen kezelték.
78 Márpedig, amint arra a főtanácsnok az indítványának 69. pontjában rámutatott, az ötödik és a hatodik kérdés, valamint az előzetes döntéshozatal iránti kérelem indokolásának együttes olvasatából kitűnik, hogy ezekkel a kérdésekkel a kérdést előterjesztő bíróság alapvetően arra keresi a választ, hogy az alapeljárás felperese törlés iránti kérelméről való határozathozatal érdekében jogszerű‑e az alapügyben szóban forgó adatoknak a felperes személyi aktájában való tárolása.
79 E tekintetben emlékeztetni kell arra, hogy a GDPR 6. cikke (1) bekezdésének első albekezdése kimerítő és korlátozó jelleggel sorolja fel azokat az eseteket, amelyekben a személyes adatok kezelése jogszerűnek tekinthető. Így ahhoz, hogy az adatkezelést jogszerűnek lehessen minősíteni, annak az e rendelkezésben előírt esetek valamelyikébe kell tartoznia (2024. október 4‑i Agentsia po vpisvaniyata ítélet, C‑200/23, EU:C:2024:827, 94. pont, valamint az ott hivatkozott ítélkezési gyakorlat). A GDPR 6. cikke (1) bekezdése első albekezdésének c) pontja szerint a személyes adatok kezelése akkor jogszerű, ha az adatkezelés az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges.
80 A GDPR 6. cikkének (3) bekezdése többek között pontosítja, hogy az e rendelet 6. cikke (1) bekezdése első albekezdésének c) pontjában említett adatkezelésnek az adatkezelőre alkalmazandó uniós vagy tagállami jogon kell alapulnia, továbbá ezen jogalapnak közérdekű célt kell szolgálnia, és arányosnak kell lennie az elérni kívánt jogszerű céllal (lásd ebben az értelemben: 2024. szeptember 12‑i HTB Neunte Immobilien Portfolio és Ökorenta Neue Energien Ökostabil IV ítélet, C‑17/22 és C‑18/22, EU:C:2024:738, 67. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
81 Ezenkívül meg kell jegyezni, hogy a GDPR 6. cikke (1) bekezdése első albekezdésének – az e rendelet 6. cikkének (3) bekezdésével összefüggésben értelmezett – c) pontjában foglalt jogszerűségi okot tükrözi az említett rendelet 17. cikke (3) bekezdésének b) pontja, amely kizárja az e rendelet 17. cikkének (1) bekezdésében előírt törléshez való jogot, különösen akkor, ha az adatkezelés olyan jogi kötelezettség teljesítéséhez szükséges, amely az adatkezelőre alkalmazandó uniós vagy tagállami jog szerinti adatkezelést ír elő.
82 A Bíróság már megállapította, hogy még ha feltételezzük is, hogy a személyes adatok kezelése ténylegesen megfelel a GDPR 6. cikke (1) bekezdése első albekezdésének c) pontjában foglalt jogszerűségi oknak, e rendelet, különösen a 6. cikke (3) bekezdésének második albekezdése kifejezetten rögzíti egyrészt a Charta 7. és 8. cikkében biztosított, a magánélet tiszteletben tartásához és a személyes adatok védelméhez való alapvető jog, másrészt pedig az uniós jog vagy a tagállami jog által jogszerűen követett azon célok közötti egyensúly megteremtésének követelményét, amelyek azon jogi kötelezettség alapjául szolgálnak, amelynek tiszteletben tartásához az adatkezelés szükséges (lásd ebben az értelemben: 2024. október 4‑i Agentsia po vpisvaniyata ítélet, C‑200/23, EU:C:2024:827, 124. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
83 Ebben az összefüggésben emlékeztetni kell arra, hogy a Charta 52. cikkének (1) bekezdése lehetővé teszi az olyan jogok gyakorlásának korlátozását, mint amelyek e Charta 7. és 8. cikkében szerepelnek, feltéve, hogy a korlátozásra a törvény által, e jogok és szabadságok lényeges tartalmának, valamint az arányosság elvének tiszteletben tartásával kerül sor, továbbá a korlátozás elengedhetetlen és ténylegesen az Unió által elismert általános érdekű célkitűzéseket vagy mások jogainak és szabadságainak védelmét szolgálja (2019. szeptember 24‑i GC és társai [Különleges adatokra mutató linkek törlése] ítélet, C‑136/17, EU:C:2019:773, 58. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
84 E körülmények között és a jelen ítélet 64. pontjában kifejtett ítélkezési gyakorlatra tekintettel meg kell állapítani, hogy az ötödik és hatodik kérdésével a kérdést előterjesztő bíróság lényegében arra vár választ, hogy a GDPR 6. cikke (1) bekezdése első albekezdésének c) pontjával és 6. cikkének (3) bekezdésével összefüggésben, valamint a Charta 52. cikke (1) bekezdésének fényében értelmezett 17. cikke (3) bekezdésének b) pontját úgy kell-e értelmezni, hogy a rendőr személyi aktájában a felfüggesztett bűnügyi nyomozás keretében fennálló gyanúsítható személyi minőségére vonatkozó személyes adatoknak e rendőr szakmai előmenetelének kezelése, valamint annak ellenőrzése céljából történő tárolása, hogy e rendőr betartja-e a feladataival összefüggő szabályokat, indokoltnak tekinthető-e azon jogi kötelezettség teljesítése érdekében, amely a hatóságot – az említett rendőr munkáltatóját – a nemzeti jog alapján terheli, amennyiben az említett rendőrt a szóban forgó bűncselekmény miatt nem gyanúsították meg, és vádat sem emeltek ellene.
85 Elöljáróban emlékeztetni kell arra, hogy a GDPR (4) és (10) preambulumbekezdésével összefüggésben értelmezett 1. cikkének (2) bekezdése szerint e rendelet célja többek között a természetes személyek alapvető jogai és szabadságai magas szintű védelmének biztosítása a személyes adatok kezelése tekintetében, amely jogot a Charta 8. cikke is elismeri, és amely szorosan kapcsolódik a Charta 7. cikkében kimondott, a magánélet tiszteletben tartásához való joghoz (lásd ebben az értelemben: 2022. augusztus 1‑i Vyriausioji tarnybinės etikos komisija ítélet, C‑184/20, EU:C:2022:601, 61. pont).
86 E tekintetben a Bíróság állandó ítélkezési gyakorlata szerint minden személyesadat‑kezelésnek összhangban kell lennie egyrészt a GDPR 5. cikkében meghatározott, az adatkezelésre vonatkozó elvekkel, másrészt – különös tekintettel az adatkezelés jogszerűségének az ezen 5. cikk (1) bekezdésének a) pontjában előírt elvére – meg kell felelnie az adatkezelés jogszerűségére vonatkozóan e rendelet 6. cikkében felsorolt feltételek valamelyikének (2024. március 7‑i Endemol Shine Finland ítélet, C‑740/22, EU:C:2024:216, 45. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
87 Arra is emlékeztetni kell, hogy a GDPR 5. cikkének megfelelően az adatkezelőre hárul annak bizonyítása, hogy ezeket az adatokat többek között meghatározott, egyértelmű és jogszerű célból gyűjtik, azok az adatkezelés céljai szempontjából megfelelőek és relevánsak, és a szükségesre korlátozódnak, továbbá azok kezelését jogszerűen és tisztességesen, valamint az érintett számára átlátható módon végzik (2024. október 4‑i Agentsia po vpisvaniyata ítélet, C‑200/23, EU:C:2024:827, 97. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
88 Egyébiránt az e rendelet 6. cikke (1) bekezdése első albekezdésének b)–f) pontjában foglalt indokokat, amennyiben lehetővé teszik a személyes adatok érintett hozzájárulása nélküli kezelésének jogszerűségét, megszorítóan kell értelmezni (2024. október 4‑i Agentsia po vpisvaniyata ítélet, C‑200/23, EU:C:2024:827, 96. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
89 Bár a kérdést előterjesztő bíróság feladata annak eldöntése, hogy az olyan adatkezelés, mint amelyről az alapügyben szó van, a GDPR 6. cikke (1) bekezdése első albekezdésének c) pontjával és 6. cikkének (3) bekezdésével összefüggésben értelmezett 17. cikke (3) bekezdésének b) pontja értelmében szükséges‑e az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez, a Bíróság hasznos iránymutatásokat adhat e bíróság számára az előtte folyamatban lévő jogvita eldöntéséhez (lásd ebben az értelemben: 2024. október 4‑i Agentsia po vpisvaniyata ítélet, C‑200/23, EU:C:2024:827, 98. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
90 Amint az a Bíróság rendelkezésére álló iratokból, és különösen a bolgár kormány által a tárgyaláson szolgáltatott magyarázatokból kitűnik, az alapügyben szóban forgó adatok tárolása a belügyminiszter által a ZMVR alapján elfogadott utasítások több rendelkezésén alapul, amelyeket annak érdekében fogadtak el, hogy a belügyminiszter eleget tegyen az e törvény alapján a tisztviselők személyi aktáinak kezelése és fegyelmi felelőssége terén rá háruló jogi kötelezettségeknek, valamint az e törvény által ráruházott, rendeletalkotási hatáskör gyakorlására vonatkozó felhatalmazás alapján. Következésképpen e tényezőkből az tűnik ki, hogy az alapügyben szóban forgó adatkezelés szükséges lehet a GDPR 6. cikke (1) bekezdése első albekezdésének c) pontja értelmében vett, az alkalmazandó nemzeti jogszabályokban előírt jogi kötelezettségek teljesítéséhez, amelyeket az adatkezelő hatóság olyan rendeleti jellegű utasításokban hajt végre, amelyek így a tisztviselői által végzett adatkezelés jogalapját képezik.
91 Felmerül tehát a kérdés, hogy az adatkezelésnek a GDPR 6. cikkének (3) bekezdése értelmében vett jogalapja eredhet‑e olyan rendeleti jellegű jogi aktusból, amelyet valamely tagállam hatósága jogalkotási aktusban előírt jogszabályi felhatalmazás alapján fogad el annak érdekében, hogy eleget tegyen az e jogi aktus alapján őt terhelő jogi kötelezettségeknek.
92 Amint az a GDPR (41) preambulumbekezdéséből kitűnik, amennyiben e rendelet a jogalapra vagy a jogalkotási intézkedésre hivatkozik, ez nem szükségszerűen jelent jogalkotási aktust, amelyet egy parlament fogad el, az érintett tagállam alkotmányos rendjéből fakadó követelmények sérelme nélkül. Mindazonáltal az ilyen jogalapnak vagy jogalkotási intézkedésnek világosnak és pontosnak kell lennie, alkalmazásának pedig előre láthatónak kell lennie az érintett személyek számára, összhangban a Bíróság és az Emberi Jogok Európai Bíróságának az ítélkezési gyakorlatával.
93 Ezenkívül a GDPR (19) preambulumbekezdése kifejti, hogy a 2016/680 irányelv értelmében vett illetékes hatóságok által az e rendelet hatálya alá tartozó célokból végzett személyesadat‑kezelésre vonatkozóan a tagállamok számára lehetővé kell tenni, hogy konkrétabb rendelkezéseket tartsanak fenn vagy vezessenek be annak érdekében, hogy kiigazítsák az e rendeletben foglalt szabályok alkalmazását. Ezekben a rendelkezésekben a tagállamok – alkotmányos, szervezeti és közigazgatási szerkezetüket figyelembe véve – pontosabban meghatározhatják az említett illetékes hatóságok által az említett egyéb célokból végzett személyesadat‑kezelésre vonatkozó egyedi követelményeket.
94 Következésképpen meg kell állapítani, hogy a GDPR 6. cikkének (3) bekezdésével nem ellentétes, ha a személyes adatok kezelésének jogalapját az adatkezelő hatóság olyan rendeleti jellegű jogi aktusban határozza meg, amely az e rendelet 6. cikke (1) bekezdése első albekezdésének c) pontja értelmében az őt terhelő jogi kötelezettségek végrehajtására irányul, amennyiben e hatóságot a nemzeti jog felhatalmazza e jogi aktus elfogadására, e jogalap világos és pontos, és annak alkalmazása előre látható az érintett személyek számára.
95 A jelen ügyben a Bíróság rendelkezésére álló iratokból kitűnik, hogy a belügyminiszter utasításai a ZMVR által előírt jogszabályi felhatalmazás alapján elfogadott rendeleti jellegű jogi aktusoknak minősülnek, és azokat a bolgár hivatalos lapban közzéteszik. Mindazonáltal különösen azt kell még megvizsgálni, hogy az adatkezelés céljait e jogalap világosan és pontosan határozza‑e meg, ezáltal előre láthatóvá teszi‑e annak alkalmazását, a GDPR (41) preambulumbekezdésének fényében értelmezett 6. cikke (3) bekezdésének megfelelően.
96 Ez utóbbi tekintetben a Bírósághoz benyújtott iratokból kitűnik, hogy e hatóság utasításai a tisztviselő személyi aktájában feltüntetendő dokumentumokat illetően a fegyelmi eljárásokkal kapcsolatos dokumentumokra utalnak.
97 A kérdést előterjesztő bíróság feladata annak értékelése, hogy a bolgár jog releváns rendelkezéseinek összességére tekintettel az ilyen megjelölés kellően világosan, pontosan és előre látható módon értelmezhető-e úgy, hogy magában foglalja a tisztviselővel szembeni bűnügyi nyomozásra vonatkozó adatok tárolását még akkor is, ha e tisztviselőt a szóban forgó bűncselekmény miatt nem gyanúsították meg, és vádat sem emeltek ellene, és e nyomozás nem vezetett fegyelmi eljárás megindításához.
98 Igenlő válasz esetén azt a kérdést kell feltenni, hogy a GDPR 6. cikke (3) bekezdése második albekezdésének megfelelően az érintett jogi kötelezettség, amennyiben az alapügyben szereplőhöz hasonló személyesadat‑kezelést ír elő, közérdekű célt szolgál‑e, és arányos‑e az elérni kívánt jogszerű céllal.
99 Ami azt a kérdést illeti, hogy az érintett nemzeti szabályozás közérdekű célt szolgál‑e, a bolgár kormány lényegében azt állította, hogy közérdek fűződik az olyan adatok tárolásához, mint amelyekről az alapügyben szó van, tekintettel a rendőrök sajátos feladataira, amelyek különösen a közrend megőrzésére és a lakosság védelmére irányulnak.
100 E tekintetben általánosan elfogadott, amint azt a főtanácsnok az indítványának 86. pontjában megjegyezte, hogy a rendőri feladatok megkövetelik, hogy a rendőr szigorú magatartási szabályokat tartson tiszteletben, és amint az a jelen ítélet 45. pontjából következik, Bulgáriában a rendőröknek magasabb erkölcsi és etikai kritériumoknak kell megfelelniük, mint a munkavállalók vagy alkalmazottak más kategóriáinak, és ezáltal bizonyítaniuk kell, hogy rendelkeznek a feladataik ellátásához szükséges szakmai és emberi képességekkel. Egyébiránt, amint az ezen ítélet 75. pontjában megállapításra került, e magatartási szabályokat és kritériumokat kifejezetten rögzíti a belügyminisztérium és annak tisztviselői tevékenységeit szabályozó nemzeti törvény.
101 Így úgy tekinthető, hogy az, hogy a rendőröknek meg kell felelniük az ilyen kritériumoknak, a GDPR 6. cikkének (3) bekezdése értelmében vett közérdekű – és következésképpen jogszerű – célt szolgál, vagyis lényegében a többek között a közrend fenntartásával és a lakosság védelmével megbízott személyi állomány feddhetetlenségének biztosítását.
102 Következésképpen az ilyen jogszerű cél indokolhatja valamely rendőr személyi aktájában a többek között a bűnügyi nyomozás keretében fennálló gyanúsítható személyi minőségére vonatkozó adatok tárolását, amennyiben e nyomozás folyamatban van, vagy e nyomozás vele szemben büntetőeljáráshoz vagy elítéléshez vezetett, amennyiben az illetékes hatóság ilyen esetekben – a jelen ítélet 100. pontjában említett magatartási szabályok és kritériumok tiszteletben tartásának biztosítása érdekében – köteles lehet óvintézkedéseket vagy adott esetben fegyelmi intézkedéseket hozni.
103 Ezzel szemben olyan helyzetben, mint amelyről az alapügyben szó van, amelyben az érintett rendőrrel szembeni bűnügyi nyomozást végül felfüggesztették, mivel a tényállás elkövetőjének személyazonosságát nem lehetett megállapítani, és arra a következtetésre jutottak, hogy nem volt bizonyíték arra, hogy e rendőr bűncselekményt követett el, valamint vele szemben semmilyen fegyelmi eljárást nem indítottak, a Bíróság rendelkezésére álló iratokból nem tűnik ki, hogy az ilyen nyomozással kapcsolatos adatok tárolását előíró nemzeti szabályozás alkalmas lenne e jogszerű cél elérésére.
104 Feltételezve azonban, hogy a kérdést előterjesztő bíróság arra a következtetésre jut, hogy az alapeljárásban szóban forgó nemzeti szabályozás jogszerű célt szolgál, ezenkívül értékelnie kell, hogy az ezen adatkezelést előíró nemzeti szabályozás arányos‑e. Közelebbről, ami ezen adatok tárolását illeti, a GDPR 17. cikke (3) bekezdésének b) pontját e rendelet 5. cikke (1) bekezdésének e) pontjával összefüggésben úgy kell értelmezni, hogy amennyiben az említett adatok tárolásának időtartama meghaladja az e kötelezettség teljesítéséhez szükséges időtartamot, az érintett többek között az említett rendelet 17. cikke (1) bekezdésének a) pontjában foglalt okból visszaszerezheti az adatok törléséhez való jogát. Adott esetben tehát a kérdést előterjesztő bíróság feladata annak vizsgálata, hogy az alapeljárás felperesével szemben folytatott büntetőeljárásra vonatkozó adatok tárolásának időtartama nem volt‑e túlzott mértékű.
105 Hozzá kell tenni, hogy mivel a GDPR 7–11. cikkének – amely a rendelet 5. és 6. cikkéhez hasonlóan e rendeletnek az „elvekre” vonatkozó II. fejezetében szerepel – az a célja, hogy pontosítsa az adatkezelőt az említett rendelet 5. cikke (1) bekezdésének a) pontja és 6. cikkének (1) bekezdése alapján terhelő kötelezettségek terjedelmét, a személyes adatok kezelésének – ahogyan az a Bíróság ítélkezési gyakorlatából kitűnik – az említett II. fejezet egyéb rendelkezéseit is tiszteletben kell tartania ahhoz, hogy jogszerű legyen, amelyek lényegében a hozzájárulásra, a személyes adatok különleges kategóriáinak kezelésére, valamint a büntetőjogi felelősség megállapítására vonatkozó határozatokra és a bűncselekményekre vonatkozó személyes adatok kezelésére vonatkoznak (2023. május 4‑i Bundesrepublik Deutschland [Elektronikus igazságügyi fiók] ítélet, C‑60/22, EU:C:2023:373, 58. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
106 Márpedig az alapügyben szóban forgó adatok a GDPR 10. cikke értelmében vett, „[a] büntetőjogi felelősség megállapítására vonatkozó határozatokra és a bűncselekményekre, illetve a kapcsolódó biztonsági intézkedésekre” vonatkozó személyes adatoknak minősülnek, amelyek kezelésére a jogszerűség e 10. cikkben előírt további feltételei vonatkoznak, függetlenül attól, hogy a bűnügyi nyomozás során nem állapították meg azon bűncselekmény elkövetését, amely miatt a személyt gyanúsítható személynek minősítették. Különösen e rendelkezésnek megfelelően ezen adatok kezelésére „kizárólag abban az esetben kerülhet sor, ha az közhatalmi szerv adatkezelésében történik”, kivéve, ha az adatkezelést „az érintett jogai és szabadságai tekintetében megfelelő garanciákat nyújtó uniós vagy tagállami jog lehetővé teszi” (lásd ebben az értelemben: 2019. szeptember 24‑i GC és társai [Különleges adatokra mutató linkek törlése] ítélet, C‑136/17, EU:C:2019:773, 72. és 73. pont).
107 A jelen ügyben, amint azt a főtanácsnok az indítványának 98. pontjában megállapította, az alapügyben szóban forgó adatkezelést kizárólag a belügyminisztériumon belül végzik, amely adatkezelőnek minősül. Következésképpen ez az adatkezelés a GDPR 10. cikke értelmében vett „közhatalmi szerv adatkezelésében” történik.
108 Végül, ami az alapügyben szóban forgó, a GDPR 17. cikke szerinti törlés iránti kérelmet illeti, meg kell állapítani, hogy – amint arra az Európai Bizottság rámutatott – abban az esetben, ha a kérdést előterjesztő bíróság az említett adatkezelés jogszerűségének értékelését követően arra a következtetésre jutna, hogy az adatkezelés nem jogszerű, a belügyminisztériumnak mint adatkezelőnek a GDPR 17. cikke (1) bekezdése d) pontjának megfelelően indokolatlan késedelem nélkül törölnie kell az érintett adatokat, amennyiben a GDPR 17. cikkének (3) bekezdésében foglalt kivételek egyike sem alkalmazható (lásd ebben az értelemben: 2024. október 4‑i Agentsia po vpisvaniyata ítélet, C‑200/23, EU:C:2024:827, 118. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
109 A fentiekre tekintettel az ötödik és a hatodik kérdésre azt a választ kell adni, hogy a GDPR 6. cikke (1) bekezdése első albekezdésének c) pontjával és 6. cikkének (3) bekezdésével összefüggésben, valamint a Charta 52. cikke (1) bekezdésének fényében értelmezett 17. cikke (3) bekezdésének b) pontját úgy kell értelmezni, hogy a rendőr személyi aktájában a felfüggesztett bűnügyi nyomozás keretében fennálló gyanúsítható személyi minőségére vonatkozó személyes adatoknak e rendőr szakmai előmenetelének kezelése, valamint annak ellenőrzése céljából történő tárolása, hogy e rendőr betartja‑e a feladataival összefüggő szabályokat, indokoltnak tekinthető azon jogi kötelezettség teljesítése érdekében, amely a hatóságot – az említett rendőr munkáltatóját – a nemzeti jog alapján terheli, amennyiben az említett rendőrt a szóban forgó bűncselekmény miatt nem gyanúsították meg, és vádat sem emeltek ellene, feltéve hogy e jogalap világos és pontos, alkalmazása előre látható az érintett személyek számára, és e kötelezettség közérdekű célt szolgál és azzal arányos.
A tizedik kérdésről
110 Az első–harmadik és ötödik–kilencedik kérdésre adott válaszokra tekintettel, amelyekből kitűnik, hogy az alapügyben szóban forgó adatok törlése iránti kérelem a GDPR, és különösen annak 17. cikke hatálya alá tartozik, a tizedik kérdést nem kell megválaszolni, mivel az ugyanarra a kérelemre vonatkozik, de a 2016/680 irányelv 16. cikkének (2) bekezdése alapján.
A tizenegyedik kérdésről
111 Tizenegyedik kérdésével a kérdést előterjesztő bíróság lényegében arra vár választ, hogy a 2000/78 irányelv 1. cikkét úgy kell-e értelmezni, hogy ezen irányelvvel ellentétes, ha az olyan hatóság, amelynek igazgatósága felelős az e hatóság által alkalmazott tisztviselők elleni bűnügyi nyomozások lefolytatásáért, munkáltatói minőségében kizárólag azzal az indokkal tagadja meg valamely tisztviselője előléptetését, hogy az ilyen, végül felfüggesztett bűnügyi nyomozás keretében gyanúsítható személynek minősült, e tisztviselőt azonban a szóban forgó bűncselekmény miatt nem gyanúsították meg, és vádat sem emeltek ellene.
112 E tekintetben emlékeztetni kell arra, hogy amint az a 2000/78 irányelv 1. cikkéből kitűnik, ezen irányelv célja a valláson, meggyőződésen, fogyatékosságon, életkoron vagy szexuális irányultságon alapuló, foglalkoztatás és munkavégzés során alkalmazott hátrányos megkülönböztetés elleni küzdelem általános kereteinek a meghatározása. Márpedig, amint az többek között ezen irányelv 2. cikkének (1) bekezdéséből következik, ezek az okok kimerítő jelleggel vannak felsorolva (lásd ebben az értelemben: 2015. május 21‑i SCMD‑ítélet, C‑262/14, EU:C:2015:336, 29. pont, valamint az ott hivatkozott ítélkezési gyakorlat; 2017. március 9‑i Milkova ítélet, C‑406/15, EU:C:2017:198, 34. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
113 A szakmai előmenetelnek a végül felfüggesztett bűnügyi nyomozás alá vont személy gyanúsítható személyi minőségén alapuló megtagadása ennélfogva nem tartozik a 2000/78 irányelv hatálya alá.
114 Egyébiránt, ami a magán a munkaviszonyon alapuló hátrányos megkülönböztetést illeti, a Bíróság kimondta, hogy az ilyen hátrányos megkülönböztetés nem tartozik a 2000/78 irányelv által meghatározott általános keretbe (2017. március 9‑i Milkova ítélet, C‑406/15, EU:C:2017:198, 44. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
115 Következésképpen a tizenegyedik kérdésre azt a választ kell adni, hogy a 2000/78 irányelv 1. cikkét úgy kell értelmezni, hogy ez az irányelv nem alkalmazható abban az esetben, ha valamely hatóság, amelynek igazgatósága felelős az e hatóság által alkalmazott tisztviselők elleni bűnügyi nyomozások lefolytatásáért, munkáltatói minőségében kizárólag azzal az indokkal tagadja meg valamely tisztviselője előléptetését, hogy az ilyen, végül felfüggesztett bűnügyi nyomozás keretében gyanúsítható személynek minősült, e tisztviselőt azonban a szóban forgó bűncselekmény miatt nem gyanúsították meg, és vádat sem emeltek ellene.