–

za bulharskou vládu: T. Mitova, S. Ruseva a R. Stojanov, jako zmocněnkyně,

–

za maďarskou vládu: Zs. Biró-Tóth a M. Z. Fehér, jako zmocněnci,

–

za Evropskou komisi: A. Bouchagiar, G. Koleva a H. Kranenborg, jako zmocněnci,

1

Žádost o rozhodnutí o předběžné otázce se týká výkladu článku 1 směrnice Rady 2000/78/ES ze dne 27. listopadu 2000, kterou se stanoví obecný rámec pro rovné zacházení v zaměstnání a povolání (Úř. věst. 2000, L 303, s. 16; Zvl. vyd. 05/04 s. 79), výkladu čl. 2 odst. 1, čl. 4 bodů 2 a 6, čl. 9 odst. 2 písm. b) a čl. 17 odst. 1 písm. a) a d) nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. 2016, L 119, s. 1; oprava, Úř. věst. 2018, L 127, s. 2, a oprava, Úř. věst. 2021, L 074, s. 35, dále jen „nařízení GDPR“), výkladu čl. 3 bodů 1 a 2, čl. 9 odst. 1 a čl. 16 odst. 2 směrnice Evropského parlamentu a Rady (EU) 2016/680 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, o volném pohybu těchto údajů a o zrušení rámcového rozhodnutí Rady 2008/977/SVV (Úř. věst. 2016, L 119, s. 89) a výkladu článku 52 Listiny základních práv Evropské unie (dále jen „Listina“).

2

Tato žádost byla předložena v rámci sporu mezi CL a Prokuratura na Republika Bulgaria (Státní zastupitelství Bulharské republiky, dále jen „Státní zastupitelství“) ve věci náhrady, kterou CL požaduje za škodu, jež mu údajně vznikla v důsledku vyšetřovacích úkonů, které vůči němu byly provedeny v rámci trestního vyšetřování, které proti němu bylo vedeno, a následků tohoto vyšetřování.

3

Článek 1 směrnice 2000/78, nadepsaný „Účel“, stanoví:

„Účelem této směrnice je stanovit obecný rámec pro boj s diskriminací na základě náboženského vyznání či víry, zdravotního postižení, věku nebo sexuální orientace v zaměstnání a povolání, s cílem zavést v členských státech zásadu rovného zacházení.“

4

Body 4, 10, 19, 39, 41, 65 a 66 odůvodnění nařízení GDPR uvádějí:

[…]

[…]

[…]

[…]

[…]

5

Článek 1 nařízení GDPR, nadepsaný „Předmět a cíle“, v odstavci 2 stanoví:

„Toto nařízení chrání základní práva a svobody fyzických osob, a zejména jejich právo na ochranu osobních údajů.“

6

Článek 2 nařízení GDPR, nadepsaný „Věcná působnost“, stanoví:

„1.   Toto nařízení se vztahuje na zcela nebo částečně automatizované zpracování osobních údajů a na neautomatizované zpracování těch osobních údajů, které jsou obsaženy v evidenci nebo do ní mají být zařazeny.

2.   Toto nařízení se nevztahuje na zpracování osobních údajů prováděné:

[…]

[…]“

7

Článek 4 nařízení GDPR, nadepsaný „Definice“, zní:

„Pro účely tohoto nařízení se rozumí:

[…]

[…]“

8

Článek 5 nařízení GDPR, nadepsaný „Zásady zpracování osobních údajů“, v odstavci 1 stanoví:

„Osobní údaje musí být:

[…]

[…]“

9

Článek 6 nařízení GDPR, nadepsaný „Zákonnost zpracování“, stanoví:

„1.   Zpracování je zákonné, pouze pokud je splněna nejméně jedna z těchto podmínek a pouze v odpovídajícím rozsahu:

[…]

[…]

3.   Základ pro zpracování podle odst. 1 písm. c) a e) musí být stanoven:

Účel zpracování musí vycházet z tohoto právního základu, nebo pokud jde o zpracování uvedené v odst. 1 písm. e), musí být toto zpracování nutné pro splnění úkolu prováděného ve veřejném zájmu či při výkonu veřejné moci, kterým je pověřen správce. Tento právní základ může obsahovat konkrétní ustanovení pro přizpůsobení uplatňování pravidel tohoto nařízení, včetně obecných podmínek, kterými se řídí zákonnost zpracování správcem, typu osobních údajů, které mají být zpracovány, dotčených subjektů údajů, subjektů, kterým lze osobní údaje poskytnout, a účelu tohoto poskytování, účelového omezení, doby uložení a jednotlivých operací zpracování a postupů zpracování, jakož i dalších opatření k zajištění zákonného a spravedlivého zpracování, jako jsou opatření pro jiné zvláštní situace, při nichž dochází ke zpracování, než stanoví kapitola IX. Právo Unie nebo členského státu musí splňovat cíl veřejného zájmu a musí být přiměřené sledovanému legitimnímu cíli.

[…]“

10

Článek 9 nařízení GDPR, nadepsaný „Zpracování zvláštních kategorií osobních údajů“, stanoví:

„1.   Zakazuje se zpracování osobních údajů, které vypovídají o rasovém či etnickém původu, politických názorech, náboženském vyznání či filozofickém přesvědčení nebo členství v odborech, a zpracování genetických údajů, biometrických údajů za účelem jedinečné identifikace fyzické osoby a údajů o zdravotním stavu či o sexuálním životě nebo sexuální orientaci fyzické osoby.

2.   Odstavec 1 se nepoužije, pokud jde o některý z těchto případů:

[…]

[…]“

11

Článek 10 nařízení GDPR, nadepsaný „Zpracování osobních údajů týkajících se odsouzení v trestních věcech a trestných činů“, stanoví:

„Zpracování osobních údajů týkajících se odsouzení v trestních věcech a trestných činů či souvisejících bezpečnostních opatření na základě čl. 6 odst. 1 se může provádět pouze pod dozorem orgánu veřejné moci, nebo pokud je povoleno právem Unie nebo členského státu poskytujícím vhodné záruky, pokud jde o práva a svobody subjektů údajů. […]“

12

Článek 17 nařízení GDPR, nadepsaný „Právo na výmaz (‚právo být zapomenut‘)“, zní:

„1.   Subjekt údajů má právo na to, aby správce bez zbytečného odkladu vymazal osobní údaje, které se daného subjektu údajů týkají, a správce má povinnost osobní údaje bez zbytečného odkladu vymazat, pokud je dán jeden z těchto důvodů:

[…]

[…]

3.   Odstavce 1 a 2 se neuplatní, pokud je zpracování nezbytné:

[…]

[…]“

13

Body 11 a 12 odůvodnění směrnice 2016/680 uvádějí:

14

Článek 1 této směrnice, nadepsaný „Předmět a cíle“, v odstavci 1 stanoví:

„Tato směrnice stanoví pravidla týkající se ochrany fyzických osob v souvislosti se zpracováním osobních údajů příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, včetně ochrany před hrozbami pro veřejnou bezpečnost a jejich předcházení.“

15

Článek 2 uvedené směrnice, nadepsaný „Oblast působnosti“, v odstavci 1 stanoví:

„Tato směrnice se vztahuje na zpracování osobních údajů příslušnými orgány pro účely uvedené v čl. 1 odst. 1.“

16

Článek 3 téže směrnice, nadepsaný „Definice“, stanoví:

„Pro účely této směrnice se rozumějí:

1.   ‚osobními údaji‘ veškeré informace o identifikované nebo identifikovatelné fyzické osobě […]; identifikovatelnou fyzickou osobou je fyzická osoba, kterou lze přímo či nepřímo identifikovat, zejména s odkazem na určitý identifikátor, například jméno, identifikační číslo, lokační údaje, síťový identifikátor nebo na jeden či více zvláštních prvků fyzické, fyziologické, genetické, psychické, ekonomické, kulturní nebo společenské identity této fyzické osoby;

2.   ‚zpracováním‘ jakákoliv operace nebo soubor operací s osobními údaji nebo soubory osobních údajů, který je prováděn pomocí či bez pomoci automatizovaných postupů, jako je shromáždění, zaznamenání, uspořádání, strukturování, uložení, přizpůsobení nebo pozměnění, vyhledání, nahlédnutí, použití, zpřístupnění přenosem, šíření nebo jakékoliv jiné zpřístupnění, seřazení či zkombinování, omezení, výmaz nebo zničení;

[…]

7.   ‚příslušným orgánem‘:

[…]

8.   ‚správcem‘ příslušný orgán, který sám nebo společně s jinými určuje účely a prostředky zpracování osobních údajů; jsou-li účely a prostředky tohoto zpracování určeny právem Unie či členského státu, může toto právo určit dotčeného správce nebo zvláštní kritéria pro jeho určení;

[…]“

17

Článek 9 směrnice 2016/680, nadepsaný „Zvláštní podmínky pro zpracování“, stanoví:

„1.   Osobní údaje shromážděné příslušnými orgány pro účely uvedené v čl. 1 odst. 1 nesmějí být zpracovávány pro účely neuvedené v čl. 1 odst. 1, ledaže takové zpracování povoluje právo Unie nebo členského státu. Na zpracování osobních údajů pro tyto jiné účely se použije [nařízení GDPR], ledaže se zpracování provádí v rámci činností, které nespadají do oblasti působnosti práva Unie.

2.   Pokud právo členského státu pověřuje příslušné orgány plněním jiných úkolů, než jsou úkoly pro účely uvedené v čl. 1 odst. 1, použije se na zpracování pro tyto účely, včetně pro účely archivace ve veřejném zájmu nebo pro vědecké, statistické či historické použití, [nařízení GDPR], ledaže se zpracování provádí v rámci činností, které nespadají do oblasti působnosti práva Unie.

[…]“

18

Článek 10 této směrnice stanoví podmínky pro zpracování zvláštních kategorií osobních údajů.

19

Článek 16 uvedené směrnice, nadepsaný „Právo na opravu nebo výmaz osobních údajů a omezení zpracování“, v odstavci 2 uvádí:

„Členské státy vyžadují po správci, aby vymazal osobní údaje bez zbytečného odkladu, a stanoví právo subjektu údajů požadovat po správci, aby bez zbytečného odkladu vymazal osobní údaje, které se ho týkají, jestliže zpracování porušuje předpisy přijaté na základě článku [článků] 4, 8 nebo 10 nebo jestliže osobní údaje musí být vymazány ke splnění právní povinnosti správce.“

20

Zákon o odpovědnosti státu a obcí za škody (zakon za otgovornostta na daržavata i obštinite za vredi) (DV č. 60 ze dne 5. srpna 1988), ve znění použitelném na spor v původním řízení, v čl. 2 odst. 1 bodech 2 a 3 stanoví:

„Stát odpovídá za škody způsobené občanům vyšetřovacími orgány, státním zastupitelstvím nebo soudem v případě: […] 2. porušení práv chráněných článkem 5 odst. 2 až 4 Ústavy; 3. obvinění ze spáchání trestného činu, je-li osoba zproštěna viny nebo je-li trestní řízení zastaveno z důvodu, že čin nebyl touto osobou spáchán nebo že spáchaný čin není trestným činem, nebo že trestní řízení bylo zahájeno po uplynutí promlčecí lhůty nebo po amnestii; […]“

21

Zákon o ministerstvu vnitra (zakon za ministerstvoto na vatrešnite raboti) (DV č. 53 ze dne 27. června 2014), ve znění použitelném na spor v původním řízení (dále jen „ZMVR“), v čl. 2 odst. 1 stanoví:

„Činnost ministerstva vnitra je zaměřena na ochranu práv a svobod občanů, potírání trestné činnosti, ochranu národní bezpečnosti, zachování veřejného pořádku, zajištění požární ochrany a ochranu obyvatelstva.“

22

Článek 26 odst. 2 ZMVR zní:

„Lhůty pro uchovávání údajů uvedených v odstavci 1 nebo pro pravidelné ověřování potřeby jejich uchovávání stanoví ministr vnitra. Tyto údaje se vymažou také na základě soudního rozhodnutí nebo rozhodnutí Komise pro ochranu [osobních] údajů.“

23

Článek 29 odst. 1 a 2 ZMVR stanoví:

„(1) Správcem osobních údajů je ministr vnitra, který může zpracování osobních údajů svěřit jím určeným úředníkům. (2) Způsoby zpracování osobních údajů jsou stanoveny pokynem ministra vnitra.“

24

Článek 147 ZMVR stanoví:

„(1) Pro každého zaměstnance ministerstva vnitra se zakládá a vede osobní spis; (2) Způsoby zakládání, vedení a uchovávání osobních spisů, jakož i podmínky a způsoby jejich využívání jsou stanoveny pokynem ministra vnitra.“

25

Článek 150 ZMVR stanoví:

„(1) Ministr vnitra schvaluje Etický kodex zaměstnanců ministerstva vnitra, který se zveřejňuje v Daržaven vestnik [(Úřední věstník)]; (2) Zaměstnanci jsou povinni dodržovat pravidla stanovená v Etickém kodexu zaměstnanců ministerstva vnitra.“

26

Článek 155 odst. 1 a 4 ZMVR stanoví:

„(1)   Zaměstnancem ministerstva vnitra může být fyzická osoba, která je způsobilá k právním úkonům a splňuje následující podmínky: […] 2. nebyla odsouzena za úmyslný trestný čin podle obecného práva, a to bez ohledu na případnou rehabilitaci; 3. není vyšetřována ani stíhána pro úmyslný trestný čin podle obecného práva; […]

[…]

(4)   Okolnosti uvedené v odstavci 1 bodě 2 zjišťuje z úřední povinnosti orgán oprávněný ke jmenování.“

27

Zákon o ochraně osobních údajů (zakon za zaštita na ličnite danni) (DV č. 1 ze dne 4. ledna 2002), ve znění použitelném na spor v původním řízení (dále jen „ZZLD“), v čl. 6 odst. 1 a 2 stanoví:

„(1)   Komise pro ochranu osobních údajů je stálý a nezávislý dozorový úřad, který zajišťuje ochranu fyzických osob při zpracování jejich osobních údajů a při poskytování přístupu k těmto údajům a vykonává dohled nad dodržováním [nařízení GDPR] a tohoto zákona; (2) Komise [pro ochranu osobních údajů] přispívá k provádění státní politiky v oblasti ochrany osobních údajů.“

28

Článek 42 ZZLD zní:

„(1)   Ustanovení této kapitoly se vztahují na zpracování osobních údajů prováděné příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, včetně ochrany před hrozbami pro veřejný pořádek a bezpečnost a jejich předcházení. (2) Osobní údaje shromážděné pro účely uvedené v odstavci 1 nesmějí být zpracovávány pro jiné účely, pokud unijní právo nebo právní předpisy Bulharské republiky nestanoví jinak. (3) Pokud příslušné orgány podle odstavce 1 zpracovávají osobní údaje pro jiné účely, než jsou účely uvedené v odstavci 1, a v případech uvedených v odstavci 2, použije se [nařízení GDPR] a příslušná ustanovení tohoto zákona, kterými se provádí uvedené nařízení. (4) Příslušnými orgány podle odstavce 1 jsou orgány veřejné moci, které mají pravomoci v oblasti prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, včetně ochrany před hrozbami pro veřejnou bezpečnost a jejich předcházení. (5) Nestanoví-li zákon jinak, je správcem ve smyslu této kapitoly při zpracování osobních údajů pro účely uvedené v odstavci 1 příslušný orgán podle odstavce 4 nebo správní struktura, jejíž je tento orgán součástí a která sama nebo společně s jinými orgány určuje účely a prostředky zpracování osobních údajů.“

29

Článek 43 ZZLD stanoví:

„Ustanovení této kapitoly se vztahují na zcela nebo částečně automatizované zpracování osobních údajů a na neautomatizované zpracování těch osobních údajů, které jsou obsaženy v evidenci nebo do ní mají být zařazeny.“

30

Článek 46 ZZLD stanoví:

„(1)   Pokud lhůty pro výmaz osobních údajů nebo pro pravidelné ověřování potřeby jejich uchovávání nejsou stanoveny zákonem, stanoví je správce; 2) Pravidelné ověřování podle odstavce 1 se zdokumentuje a rozhodnutí o prodloužení uchovávání údajů se odůvodní.“

31

Pokyn ministerstva vnitra č. 8121z-532 ze dne 9. září 2014 o zakládání, vedení, uchovávání a využívání osobních spisů zaměstnanců ministerstva vnitra (DV č. 78 ze dne 19. září 2014, pozměněný a doplněný DV č. 27 ze dne 14. dubna 2015, poměněným a doplněným DV č. 53 ze dne 25. června 2021) (dále jen „pokyn k osobním spisům“), v článku 3 stanoví:

„Osobní spisy jsou zakládány a uchovávány personálním oddělením příslušných útvarů, jsou číslovány vzestupně, zaznamenány v evidenci […] a uloženy v prostorách (kartotékách), které splňují požadavky na uchovávání materiálů obsahujících utajované informace.“

32

Článek 5 pokynu k osobním spisům zní:

„(1)   Zpracování osobních údajů obsažených v osobních spisech se provádí v souladu s ustanoveními zakona za zaštita na klasificiranata informacija […] [(zákon o ochraně utajovaných informací)], [ZZLD] a [nařízení GDPR]; (2) Zpracování informací uložených v osobních spisech se provádí za účelem: 1. vzniku, změny a ukončení pracovního nebo služebního poměru zaměstnanců; 2. plnění pracovní smlouvy, včetně plnění povinností stanovených zákonem nebo kolektivními smlouvami, řízení, plánování a organizace práce, rovnosti a rozmanitosti na pracovišti, ochrany zdraví a bezpečnosti při práci, ochrany majetku zaměstnavatele nebo zaměstnance; 3. uplatňování a využívání práv a výhod, které vyplývají ze zaměstnání, na individuální nebo kolektivní bázi; 4. archivace ve veřejném zájmu, pro účely vědeckého či historického výzkumu nebo pro statistické účely; (3) přístup k informacím uloženým v osobních spisech je omezen a uskutečňuje se v souladu s ustanoveními [zákona o ochraně utajovaných informací], [ZZLD] a [nařízení GDPR].“

33

Článek 6 pokynu k osobním spisům stanoví:

„(1) V osobních spisech se shromažďují a ukládají dokumenty rozdělené do tří oddílů, které obsahují údaje a informace o studiu, jmenování, uzavírání pracovních smluv, změně funkce a ukončení pracovního nebo služebního poměru zaměstnanců. (2) První oddíl obsahuje dokumenty týkající se přijetí do zaměstnaní u ministerstva vnitra. (3) Druhý oddíl obsahuje dokumenty týkající se profesního rozvoje (prohlášení, zápisy, návrhy, služební hodnocení, osobní záznamy, osvědčení o absolvovaných školeních, doklady o účasti ve výběrových řízeních, bezpečnostní prověrky, kopie rozhodnutí o dočasné pracovní neschopnosti atd.). (4) Třetí oddíl obsahuje dokumenty týkající se změny funkce (rozhodnutí, protokoly o nástupu do funkce a ukončení funkce, dokumenty týkající se disciplinárních řízení, pracovní smlouvy, dodatky ke smlouvám, oznámení podle § 62 Kodeksu na truda [(zákoník práce)] atd.).“

34

V letech 2012 až 2023 zastával žalobce v původním řízení jako policista různé funkce na Generálním ředitelství „Bezpečnostní policie“ a Generálním ředitelství „Národní policie“ bulharského ministerstva vnitra.

35

Dne 1. března 2016 zahájilo ředitelství „Vnitřní bezpečnost“ tohoto ministerstva vyšetřování proti neznámému pachateli pro trestný čin loupeže spáchaný ve spolupachatelství.

36

Dne 17. května 2016 se konala plenární schůze všech policistů z ředitelství, pro které žalobce v původním řízení pracoval. Této schůze se zúčastnili také vedoucí příslušného oddělení, zástupce tohoto ředitelství „Vnitřní bezpečnost“, generální advokát Městského státního zastupitelství v Sofii (Sofijska gradska prokuratura, Bulharsko) a vyšetřovatel. Na této schůzi byl žalobce v původním řízení přede všemi zadržen a musel odevzdat svůj služební odznak, zbraň a služební průkaz.

37

V rámci předmětného vyšetřování byly vůči žalobci v původním řízení jakožto podezřelému provedeny různé vyšetřovací úkony, a sice prohlídka, sejmutí otisků prstů a – po vydání soudního příkazu – domovní prohlídka, která vedla k zajištění věcí. Žalobce v původním řízení se zúčastnil rekognice, během níž jej oběti neidentifikovaly jako pachatele trestného činu, a na věcech obětí nebyly nalezeny žádné jeho otisky prstů. Po uplynutí 24 hodin od zadržení byl žalobce v původním řízení propuštěn na svobodu a následně nebyl obviněn ani obžalován z trestného činu loupeže. Jelikož pachatele trestného činu nebylo možné identifikovat, vyšetřování bylo zastaveno.

38

Žalobce v původním řízení nadále vykonával funkce na ministerstvu vnitra a účastnil se výběrových řízení za účelem povýšení, které mu však bylo odepřeno s odůvodněním, že byl v rámci vyšetřování vedeného pro loupež zadržen jako podezřelý. V jeho osobním spisu a v archivech tohoto ministerstva jsou obsaženy informace o jeho zadržení a vyšetřovacích úkonech, které byly vůči němu jakožto podezřelému provedeny.

39

Žalobce v původním řízení podal k Obvodnímu soudu v Sofii (Sofijski rajonen sad, Bulharsko), který je předkládajícím soudem, žalobu, kterou se domáhal toho, aby byla státnímu zastupitelství uložena povinnost nahradit nemajetkovou újmu, která mu byla způsobena úkony, které vůči němu byly provedeny v rámci dotčeného vyšetřování, a z toho vyplývajícími následky. Žalobce v původním řízení tvrdí, že utrpěl nemajetkovou újmu v důsledku toho, že byl jako dlouholetý zaměstnanec ministerstva vnitra před svými kolegy zadržen pro trestný čin, u něhož nebylo prokázáno, že jej spáchal. Toto ponižující opatření je podle jeho názoru na překážku jeho kariérnímu postupu a v této souvislosti poukazuje na to, že jeho zaměstnavatel, který jej nechal zadržet, vede databázi, která obsahuje údaje o tomto vyšetřování a jeho jméno jako podezřelého, a odmítá tyto údaje odstranit nebo vymazat.

40

Z předkládacího rozhodnutí vyplývá, že podle judikatury Nejvyššího kasačního soudu Bulharské republiky (Varchoven kasacionen sad na Republika Balgaria) má podezřelý, který nebyl stíhán a v jehož případě bylo rozhodnuto o zastavení trestního řízení, nárok na odškodnění.

41

Předkládající soud upřesňuje, že ministerstvo vnitra je jednotným správním orgánem, jehož úkolem je zajištovat udržování veřejného pořádku a který se skládá z několika ředitelství, mezi něž patří ředitelství „Národní policie“ a ředitelství „Bezpečnostní policie“, která působí v oblasti ochrany veřejného pořádku, a ředitelství „Vnitřní bezpečnosti“, které provádí vyšetřování týkající se zaměstnanců tohoto ministerstva, a to bez ohledu na povahu vytýkaných trestných činů a útvaru, ke kterému jsou přiděleni.

42

Ministerstvo vnitra je jakožto jednotný správní orgán zaměstnavatelem všech zaměstnanců, kteří pro něj pracují, ale každé ředitelství, které jej tvoří, uchovává informace o svých zaměstnancích a zaznamenává je do jejich osobního spisu. Při účasti ve výběrových řízeních za účelem povýšení nebo přeložení musí příslušný zaměstnanec předložit svůj osobní spis a sdělit informace o tom, jak plnil své povinnosti, a o tom, zda byl podezřelý nebo obviněný z trestného činu, zda byl trestně stíhán, zda se dopustil kárného provinění nebo porušení veřejného pořádku. Informace získané při vyšetřování se uchovávají v osobním spisu.

43

Na prvním místě se předkládající soud zamýšlí nad otázkou, zda se nařízení GDPR vztahuje na takové případy, jako je případ dotčený v původním řízení, kdy se jedná o jednu a tutéž organizační strukturu, v rámci které jedna část plní funkci zaměstnavatele a jiná vykonává v rámci trestního řízení funkce vyšetřujícího orgánu.

44

Na druhém místě si uvedený soud v případě kladné odpovědi klade otázku, zda uchovávání takových informací, jako jsou informace uvedené v bodě 42 tohoto rozsudku, v osobním spisu zaměstnance představuje „zpracování osobních údajů“ ve smyslu čl. 4 bodu 2 nařízení GDPR a zda tento spis představuje „evidenci“ ve smyslu čl. 4 bodu 6 nařízení GDPR. Vyvstává také otázka, zda uchovávání takových údajů spadá do působnosti čl. 9 odst. 2 písm. b) nařízení GDPR.

45

Na třetím místě se předkládající soud táže, zda ministerstvo vnitra může jakožto zaměstnavatel odepřít jednomu ze svých zaměstnanců kariérní postup pouze z toho důvodu, že tento zaměstnanec byl podezřelou osobou, osobou trestně stíhanou nebo osobou obžalovanou, a to i přesto, že trestní řízení bylo nakonec zastaveno. Ačkoli je všeobecně známo, že personál ministerstva vnitra, který dohlíží na dodržování veřejného pořádku, musí splňovat vyšší morální a etická kritéria než jiné kategorie pracovníků či zaměstnanců, má uvedený soud pochybnosti o tom, zda jsou podmínky, za jakých jsou v osobním spisu zaměstnanců tohoto ministerstva zpracovávány údaje týkající se postavení podezřelého, stíhaného nebo obviněného, přiměřené požadavkům kladeným na tento typ zaměstnanců. Podle uvedeného soudu je totiž platným důvodem pro jednostranné ukončení pracovního či služebního poměru zaměstnance pouze pravomocné odsouzení.

46

Na čtvrtém místě se předkládající soud táže, zda zásada „práva být zapomenut“ stanovená v čl. 17 odst. 1 písm. a) nařízení GDPR ve spojení s body 65 a 66 odůvodnění tohoto nařízení musí být vykládána v tom smyslu, že údaje obsažené v osobním spisu zaměstnance musí být vymazány, pokud byly shromážděny jiným útvarem zaměstnavatele, než ke kterému je tento zaměstnanec přiřazen, který je pověřen vedením vyšetřování, a pokud svědčí o tom, že tento zaměstnanec byl podezřelý nebo obviněný ze spáchání trestného činu nebo trestně stíhán. Uvedený soud má v této souvislosti rovněž pochybnosti o rozsahu pojmu „protiprávní zpracování“ ve smyslu čl. 17 odst. 1 písm. d) nařízení GDPR.

47

Na pátém místě se předkládající soud zamýšlí nad tím, zda jsou ustanovení směrnice 2016/680 použitelná na situaci dotčenou v původním řízení, a pokud ano, zda je ukládání údajů dotčených v původním řízení s ohledem na čl. 9 odst. 1 a článek 10 této směrnice zákonné a přiměřené, jakož i nad tím, zda mají být tyto údaje podle čl. 16 odst. 2 této směrnice vymazány.

48

Na šestém a posledním místě uvedený soud zdůrazňuje, že se žalobce v původním řízení účastnil výběrových řízení za účelem povýšení a přeložení a že navzdory svému umístění na předních místech nebyl vybrán z důvodu, že byl v rámci vyšetřování loupeže považován za podezřelého. V této souvislosti si klade otázku, zda ukládání osobních údajů takovým jednotným správním orgánem, jako je ministerstvo vnitra, představuje formu diskriminace ve smyslu článku 1 směrnice 2000/78.

49

Za těchto podmínek se Obvodní soud v Sofii (Sofijski rajonen sad) rozhodl přerušit řízení a položit Soudnímu dvoru následující předběžné otázky:

50

Bulharská vláda tvrdí, že všechny předběžné otázky jsou zjevně nepřípustné.

51

Tato vláda tvrdí, že návrh na náhradu škody směřuje pouze proti Státnímu zastupitelství, které je součástí soudní moci, ačkoli informace obsažené v osobním spisu žalobce v původním řízení drží pouze ministerstvo vnitra, které spadá pod moc výkonnou a je jeho zaměstnavatelem. Uvedený žalobce tedy podle jejího názoru nemůže žádat Státní zastupitelství o výmaz svých údajů, ani jej činit odpovědným za to, že ministerstvo vnitra drží tyto informace, a ani mu vytýkat, že bránilo jeho kariérnímu postupu.

52

Uvedená vláda poznamenává, že k založení odpovědnosti Státního zastupitelství musí předkládající soud v souladu s vnitrostátními právními předpisy o odpovědnosti státu určit, zda byla porušena práva subjektu údajů jakožto obviněného a zda byl neprávem obviněn z trestného činu. Předmětem sporu v původním řízení podle jejího názoru není použití ustanovení nařízení GDPR ani použití vnitrostátních právních předpisů provádějících směrnice 2016/680 a 2000/78. Výklad těchto aktů unijního práva tedy není nezbytný pro rozhodnutí tohoto sporu.

53

V tomto ohledu z ustálené judikatury Soudního dvora vyplývá, že na otázky týkající se výkladu unijního práva položené vnitrostátním soudem v právním a skutkovém rámci, který tento soud vymezí v rámci své odpovědnosti a jehož správnost nepřísluší Soudnímu dvoru ověřovat, se vztahuje domněnka relevance. Soudní dvůr může odmítnout rozhodnutí o předběžné otázce položené vnitrostátním soudem pouze tehdy, je-li zjevné, že žádaný výklad unijního práva nemá žádný vztah k realitě nebo předmětu sporu v původním řízení, jedná-li se o hypotetický problém nebo také nedisponuje-li Soudní dvůr skutkovými nebo právními poznatky nezbytnými pro užitečnou odpověď na otázky, které jsou mu položeny (viz rozsudek ze dne 8. května 2025, Stadt Wuppertal, C‑130/24, EU:C:2025:340, bod 42 a citovaná judikatura).

54

Kromě toho je třeba připomenout, že Soudnímu dvoru nepřísluší, aby se vyjadřoval k výkladu vnitrostátních ustanovení ani aby posuzoval, zda jejich výklad nebo aplikace, které provádí vnitrostátní soud, jsou správné, jelikož takový výklad je ve výlučné pravomoci vnitrostátního soudu [rozsudek ze dne 4. října 2024, Bezirkshauptmannschaft Landeck (Pokus o přístup k osobním údajům uloženým v mobilním telefonu), C‑548/21, EU:C:2024:830, bod 53 a citovaná judikatura].

55

Soudnímu dvoru tedy přísluší, aby v rámci rozdělení pravomocí mezi unijními soudy a vnitrostátními soudy zohlednil skutkový a právní kontext předběžných otázek, jak je vymezen v předkládacím rozhodnutí. Předběžné otázky musí tedy být posouzeny – bez ohledu na kritiku vyjádřenou vládou členského státu k výkladu vnitrostátního práva podaného předkládajícím soudem – na základě tohoto výkladu a Soudnímu dvoru nepřísluší ověřovat jeho správnost [rozsudek ze dne 29. července 2024, CU a ND (Sociální pomoc – Nepřímá diskriminace), C‑112/22 a C‑223/22, EU:C:2024:636, bod 40 a citovaná judikatura].

56

Aby však Soudní dvůr mohl podat výklad unijního práva, který bude vnitrostátnímu soudu užitečný, čl. 94 písm. c) jednacího řádu Soudního dvora stanoví, že žádost o rozhodnutí o předběžné otázce musí obsahovat uvedení důvodů, na základě kterých má předkládající soud pochybnosti o výkladu nebo platnosti určitých ustanovení unijního práva, jakož i vztah, který spatřuje mezi těmito ustanoveními a vnitrostátními právními předpisy použitelnými ve sporu v původním řízení (rozsudek ze dne 2. července 2015, Gullotta a Farmacia di Gullotta Davide & C., C‑497/12, EU:C:2015:436, bod 17).

57

Pokud jde v projednávaném případě o předmět sporu v původním řízení, je nesporné, že předběžné otázky byly vzneseny v rámci sporu, který projednává předkládající soud a týká se návrhu na náhradu škody, která žalobci v původním řízení údajně vznikla nejen z důvodu úkonů, které vůči němu byly provedeny v rámci vyšetřování, ale i z důvodu důsledků tohoto vyšetřování. V posledně uvedeném ohledu z předkládacího rozhodnutí vyplývá, že škoda, která údajně vznikla, vyplývá zejména z toho, že zaměstnavatel uložil a dále použil osobní údaje shromážděné v rámci tohoto vyšetřování, jelikož tento zaměstnavatel odepřel žalobci v původním řízení kariérní postup z důvodu, že byl v rámci uvedeného vyšetřování podezřelou osobou. Žalobce v původním řízení rovněž žádá, aby bylo jeho jméno vymazáno z databáze, v níž je figuruje jako podezřelý.

58

Ze spisu, který má Soudní dvůr k dispozici, tedy vyplývá jednak existence vztahu mezi předmětem sporu v původním řízení a pravidly unijního práva v oblasti ochrany osobních údajů a jednak důvody, na základě kterých si předkládající soud klade otázku, zda je odmítnutí zaměstnavatele vymazat dotčené údaje slučitelné s těmito pravidly.

59

Pokud jde konkrétně o relevanci výkladu směrnice 2000/78 pro účely řešení sporu v původním řízení, je třeba uvést, že jelikož podstatou otázky, která se jí týká, je určit, zda škoda, která vznikla žalobci v původním řízení v souvislosti s odepřením kariérního postupu z důvodu jeho postavení podezřelého, může být posouzena z hlediska ustanovení této směrnice, vyžaduje tato otázka za okolností projednávané věci poskytnutí meritorní odpovědi k výkladu článku 1 uvedené směrnice, který vymezuje předmět této směrnice.

60

Argumenty předložené bulharskou vládou proto neodůvodňují, aby byly všechny předběžné otázky považovány za nepřípustné.

61

Naproti tomu je třeba na prvním místě poznamenat, že ve čtvrté otázce předkládající soud odkazuje na článek 9 nařízení GDPR, který, jak vyplývá ze samotného nadpisu tohoto článku, upravuje zpracování citlivých kategorií osobních údajů. Z žádosti o rozhodnutí o předběžné otázce však nevyplývá, že by údaje, o něž se jedná v původním řízení, patřily do některé z kategorií údajů uvedených v odstavci 1 tohoto článku 9, tedy že by se jednalo zejména o údaje, které vypovídají o rasovém či etnickém původu, zpracování genetických údajů, biometrických údajů za účelem jedinečné identifikace fyzické osoby, jakož i údajů o zdravotním stavu fyzické osoby. Vzhledem k tomu, že požadovaný výklad čl. 9 odst. 2 písm. b) nařízení GDPR je pro účely řešení sporu v původním řízení irelevantní, musí být tato čtvrtá otázka považována za nepřípustnou.

62

Na druhém místě je třeba podotknout, že některé okolnosti uvedené ve znění páté, šesté a deváté až jedenácté otázky nejsou relevantní s ohledem na situaci, o kterou se jedná v původním řízení, která se, jak vyplývá z předkládacího rozhodnutí, jak je shrnuto v bodech 35 až 37 tohoto rozsudku, týká osoby, jež byla ze spáchání trestného činu podezřelá v rámci trestního vyšetřování, které bylo nakonec pozastaveno. Na tyto otázky tedy není třeba odpovídat v rozsahu, v němž se týkají zpracování údajů zaměstnance, který je nebo byl obviněn ze spáchání trestného činu nebo proti němuž je nebo bylo vedeno trestní stíhání, neboť uvedené otázky mají v tomto ohledu hypotetickou povahu.

63

Pokud jde na třetím místě o některé další skutkové předpoklady, z nichž vychází jedenáctá otázka, bulharská vláda na jednání uvedla, že v období následujícím po dotčeném trestním vyšetřování byl žalobce v původním řízení na rozdíl od toho, co tvrdí, několikrát povýšen. Je však třeba zdůraznit, že domněnka relevance, která se vztahuje na předběžné otázky a je připomenuta v bodě 53 tohoto rozsudku, nemůže být vyvrácena pouhou okolností, že jeden z účastníků původního řízení zpochybňuje některé skutečnosti, jejichž správnost nepřísluší Soudnímu dvoru ověřovat a na nichž závisí vymezení předmětu sporu (rozsudek ze dne 5. prosince 2006, Cipolla a další, C‑94/04 a C‑202/04, EU:C:2006:758, bod 26).

64

Je třeba připomenout, že v rámci postupu spolupráce mezi vnitrostátními soudy a Soudním dvorem zavedeného článkem 267 SFEU přísluší Soudnímu dvoru poskytnout vnitrostátnímu soudu užitečnou odpověď, která mu umožní rozhodnout spor, jenž mu byl předložen. Z tohoto hlediska je na Soudním dvoru, aby případně přeformuloval otázky, které jsou mu položeny. Soudní dvůr může mimoto zohlednit i ustanovení unijního práva, na která vnitrostátní soud ve své otázce neodkázal (rozsudek ze dne 18. ledna 2024, Hewlett Packard Development Company, C‑367/21, EU:C:2024:61, bod 44 a citovaná judikatura).

65

V této souvislosti je třeba uvést, jak poznamenal generální advokát v bodech 47 až 53 svého stanoviska, že i když se předkládající soud druhou, třetí, sedmou a osmou otázkou Soudního dvora formálně táže na výklad pojmu „zpracování“ osobních údajů a pojmu „evidence“ ve smyslu čl. 4 bodů 2 a 6 nařízení GDPR, jakož i pojmů „osobní údaje“ a „zpracování“ ve smyslu čl. 3 bodů 1 a 2 směrnice 2016/680, kromě skutečnosti, že posledně uvedené pojmy jsou definovány stejně jako pojmy použité v nařízení GDPR, se uvedený soud ve skutečnosti snaží zjistit, zda situace dotčená v původním řízení spadá do působnosti nařízení GDPR nebo směrnice 2016/680. Z odůvodnění předkládacího rozhodnutí i z těchto otázek totiž vyplývá, že jejich skutečným předmětem je otázka, který z těchto aktů se vztahuje na zpracování údajů, které je prováděno ředitelstvím orgánu veřejné moci jednajícím jako zaměstnavatel a které spočívá v tom, že jsou v osobním spise zaměstnance tohoto orgánu uloženy údaje týkající se toho, že byl v rámci trestního vyšetřování podezřelou osobou, ačkoli toto ředitelství získalo tyto údaje prostřednictvím jiného ředitelství téhož orgánu veřejné moci, které je oprávněno vést tento druh vyšetřování.

66

Za těchto podmínek je třeba mít za to, že podstatou první až třetí a sedmé až deváté otázky předkládajícího soudu, které je třeba zkoumat společně, je, zda čl. 2 odst. 1 nařízení GDPR a čl. 9 odst. 1 směrnice 2016/680 musí být vykládány v tom smyslu, že se toto nařízení vztahuje na zpracování osobních údajů, které je prováděno ředitelstvím orgánu veřejné moci a spočívá v tom, že jsou v osobním spise jednoho z jeho zaměstnanců uloženy údaje týkající se toho, že byl v rámci trestního vyšetřování podezřelou osobou (dále jen „zpracování dotčené v původním řízení“), ačkoli toto ředitelství získalo tyto údaje prostřednictvím jiného ředitelství spadajícího pod tentýž orgán veřejné moci, které je oprávněno vést tento druh vyšetřování.

67

Podle čl. 2 odst. 2 písm. d) nařízení GDPR se toto nařízení nevztahuje na zpracování osobních údajů prováděné příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, včetně ochrany před hrozbami pro veřejnou bezpečnost a jejich předcházení.

68

Článek 1 odst. 1 směrnice 2016/680 naproti tomu stanoví, že tato směrnice stanoví pravidla týkající se ochrany fyzických osob v souvislosti se zpracováním osobních údajů příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, včetně ochrany před hrozbami pro veřejnou bezpečnost a jejich předcházení.

69

Mimoto čl. 9 odst. 1 této směrnice zejména stanoví, že pokud jsou osobní údaje zpracovávány pro účely neuvedené v čl. 1 odst. 1 dané směrnice, použije se nařízení GDPR, ledaže se zpracování provádí v rámci činností, které nespadají do oblasti působnosti práva Unie.

70

Z toho plyne, že pokud je zpracování osobních údajů prováděno příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, použije se směrnice 2016/680, zatímco pokud je zpracování prováděno pro jiné účely, použije se nařízení GDPR [v tomto smyslu viz rozsudek ze dne 8. prosince 2022, Inspektor v Inspektorata kam Visšija sadeben savet (Účel zpracování osobních údajů – Trestní vyšetřování), C‑180/21, EU:C:2022:967, body 73 a 74 a citovaná judikatura].

71

I když v projednávaném případě počáteční shromáždění osobních údajů provedené ředitelstvím „Vnitřní bezpečnost“ ministerstva vnitra pro účely vyšetřování vedeného vůči žalobci v původním řízení spadá do působnosti směrnice 2016/680, zpracování dotčené v původním řízení naproti tomu v rozsahu, v němž je prováděno pro účely řízení lidských zdrojů, spadá do působnosti nařízení GDPR.

72

Je třeba upřesnit, že použitelnost nařízení GDPR na zpracování dotčené v původním řízení není zpochybněna okolností, že dotčené informace získal zaměstnavatel prostřednictvím ředitelství ministerstva vnitra, které bylo pověřeno vedením vyšetřování vůči žalobci v původním řízení. V této souvislosti již Soudní dvůr rozhodl, že ze znění čl. 9 odst. 1 a 2 směrnice 2016/680 a jejich vzájemného propojení vyplývá, že nařízení GDPR se vztahuje na veškeré zpracovávání osobních údajů, které jsou shromážděny pro účely uvedené v čl. 1 odst. 1 této směrnice, pro jiné účely než posledně uvedené, pokud dotčené zpracování spadá pod unijní právo, včetně případu, kdy je „správce“ ve smyslu čl. 3 odst. 8 uvedené směrnice „příslušným orgánem“ ve smyslu jejího čl. 3 odst. 7 písm. a) a provádí zpracování osobních údajů v rámci jiných úkolů, než jsou úkoly prováděné pro účely uvedené v čl. 1 odst. 1 téže směrnice [rozsudek ze dne 8. prosince 2022, Inspektor v Inspektorata kam Visšija sadeben savet (Účel zpracování osobních údajů – Trestní vyšetřování), C‑180/21, EU:C:2022:967, bod 81].

73

S ohledem na výše uvedené je třeba na první až třetí a sedmou až devátou otázku odpovědět, že čl. 2 odst. 1 nařízení GDPR a čl. 9 odst. 1 směrnice 2016/680 musí být vykládány v tom smyslu, že toto nařízení se vztahuje na činnost, kterou vykonává ředitelství orgánu veřejné moci a která spočívá v tom, že jsou v osobním spise jednoho ze zaměstnanců uloženy údaje týkající se jeho postavení podezřelého v rámci trestního vyšetřování. V tomto ohledu je irelevantní, že toto ředitelství získalo tyto údaje prostřednictvím jiného ředitelství téhož orgánu veřejné moci, které je oprávněno vést tento druh vyšetřování.

74

Je třeba uvést, že pátá a šestá otázka se v podstatě týkají možnosti dotyčného zaměstnance dosáhnout výmazu údajů, o které se jedná v původním řízení, z jeho osobního spisu na základě čl. 17 odst. 1 písm. a) a d) nařízení GDPR.

75

Ze spisu předloženého Soudnímu dvoru vyplývá, že vnitrostátní zákon, který upravuje činnost ministerstva vnitra, stanoví povinnost tohoto ministerstva založit a vést osobní spis každého zaměstnance tohoto ministerstva a vypracovat etický kodex, který musí tito zaměstnanci dodržovat, a vyžaduje, že aby tito zaměstnanci mohli vykonávat svou funkci, nesmí být odsouzeni, obviněni nebo stíháni za úmyslný trestný čin obecné povahy. Tento zákon rovněž stanoví, že ministr vnitra je správcem odpovědným za zpracování údajů prováděné jeho zaměstnanci a podmínky zpracování údajů stanoví formou pokynu.

76

Podle čl. 17 odst. 1 nařízení GDPR má subjekt údajů právo na to, aby správce bez zbytečného odkladu vymazal osobní údaje, které se daného subjektu údajů týkají, a správce má povinnost osobní údaje bez zbytečného odkladu vymazat, pokud je dán jeden z důvodů uvedených v tomto ustanovení.

77

Tak je tomu v souladu s čl. 17 odst. 1 písm. a) nařízení GDPR tehdy, pokud osobní údaje „již nejsou nezbytné pro účely, pro které byly shromážděny nebo jinak zpracovány“, nebo v souladu s tímto čl. 17 odst. 1 písm. d) tehdy, pokud byly osobní údaje zpracovány protiprávně.

78

Jak přitom uvedl generální advokát v bodě 69 svého stanoviska, ze znění páté a šesté otázky ve vzájemném spojení, jakož i z odůvodnění žádosti o rozhodnutí o předběžné otázce vyplývá, že předkládající soud se za účelem rozhodnutí o žádosti, kterou se žalobce v původním řízení domáhá výmazu údajů, těmito otázkami především táže, zda je uchovávání údajů, o které se jedná v původním řízení, v jeho osobním spisu zákonné.

79

V této souvislosti je třeba připomenout, že čl. 6 odst. 1 první pododstavec nařízení GDPR uvádí taxativní a vyčerpávající výčet případů, kdy lze zpracování osobních údajů považovat za zákonné. Aby mohlo být zpracování považováno za oprávněné, musí spadat pod jeden z případů stanovených v tomto ustanovení (rozsudek ze dne 4. října 2024, Agencia po vpisvanijata, C‑200/23, EU:C:2024:827, bod 94 a citovaná judikatura). Článek 6 odst. 1 první pododstavec písm. c) nařízení GDPR stanoví, že zpracování osobních údajů je zákonné, pokud je nezbytné pro splnění právní povinnosti, která se na správce vztahuje.

80

Článek 6 odst. 3 nařízení GDPR zejména upřesňuje, že zpracování podle čl. 6 odst. 1 prvního pododstavce písm. c) tohoto nařízení musí být založeno na právu Unie nebo na právu členského státu, které se na správce vztahuje, a že tento právní základ musí splňovat cíl veřejného zájmu a být přiměřený sledovanému legitimnímu cíli (v tomto smyslu viz rozsudek ze dne 12. září 2024, HTB Neunte Immobilien Portfolio a Ökorenta Neue Energien Ökostabil IV, C‑17/22 a C‑18/22, EU:C:2024:738, bod 67 a citovaná judikatura).

81

Je třeba mimoto poznamenat, že důvod zákonnosti stanovený v čl. 6 odst. 1 prvním pododstavci písm. c) nařízení GDPR ve spojení s čl. 6 odst. 3 tohoto nařízení se odráží v čl. 17 odst. 3 písm. b) uvedeného nařízení, který vylučuje právo na výmaz stanovené v čl. 17 odst. 1 tohoto nařízení zejména tehdy, pokud je zpracování údajů nezbytné pro splnění právní povinnosti, jež vyžaduje zpracování podle práva Unie nebo členského státu, které se na správce vztahuje.

82

Soudní dvůr již rozhodl, že za předpokladu, že zpracování osobních údajů skutečně odpovídá důvodu zákonnosti stanovenému v čl. 6 odst. 1 prvním pododstavci písm. c) nařízení GDPR, toto nařízení, a zejména jeho čl. 6 odst. 3 druhý pododstavec, výslovně zakotvuje požadavek vyvážit základní práva na respektování soukromého života a na ochranu osobních údajů zakotvená v článcích 7 a 8 Listiny s legitimními cíli sledovanými unijním právem nebo právem členských států, které jsou základem právní povinnosti, k jejímuž dodržování je zpracování nezbytné (v tomto smyslu viz rozsudek ze dne 4. října 2024, Agencia po vpisvanijata, C‑200/23, EU:C:2024:827, bod 124 a citovaná judikatura).

83

V této souvislosti je třeba připomenout, že čl. 52 odst. 1 Listiny připouští, že výkon takových práv, jako jsou práva zakotvená v jejích článcích 7 a 8, může být omezen za předpokladu, že tato omezení jsou stanovena zákonem, respektují podstatu těchto práv a svobod a při dodržení zásady proporcionality jsou nezbytná a skutečně odpovídají cílům obecného zájmu, které uznává Unie, nebo potřebě ochrany práv a svobod druhého [rozsudek ze dne 24. září 2019, GC a další (Odstranění odkazů na citlivé údaje), C‑136/17, EU:C:2019:773, bod 58 a citovaná judikatura].

84

Za těchto podmínek a s ohledem na judikaturu uvedenou v bodě 64 tohoto rozsudku je třeba mít za to, že podstatou páté a šesté otázky předkládajícího soudu je, zda čl. 17 odst. 3 písm. b) nařízení GDPR ve spojení s jeho čl. 6 odst. 1 prvním pododstavcem písm. c) a čl. 6 odst. 3, jakož i ve světle čl. 52 odst. 1 Listiny musí být vykládán v tom smyslu, že skutečnost, že jsou v osobním spise policisty pro účely řízení jeho kariéry a kontroly, zda dodržuje pravidla vlastní jeho funkci, uloženy osobní údaje týkající se jeho postavení podezřelého v rámci pozastaveného trestního vyšetřování, přičemž tento policista nebyl obviněn z vyšetřovaného trestného činu ani pro něj nebyl stíhán, lze považovat za odůvodněnou pro účely dodržení právní povinnosti, kterou má orgán veřejné moci, jenž je zaměstnavatelem uvedeného policisty, na základě vnitrostátního práva.

85

Úvodem je třeba připomenout, že podle čl. 1 odst. 2 nařízení GDPR ve spojení s body 4 a 10 jeho odůvodnění je cílem tohoto nařízení zejména zajistit vysokou úroveň ochrany základních práv a svobod fyzických osob v souvislosti se zpracováním osobních údajů, přičemž toto právo je rovněž uznáno v článku 8 Listiny a úzce souvisí s právem na respektování soukromého života zakotveným v jejím článku 7 (v tomto smyslu viz rozsudek ze dne 1. srpna 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, bod 61).

86

V této souvislosti musí být podle ustálené judikatury Soudního dvora každé zpracování osobních údajů v souladu se zásadami zpracování údajů, které jsou stanoveny v článku 5 nařízení GDPR, a zvláště s ohledem na zásadu zákonnosti zpracování, která je stanovena v tomto čl. 5 odst. 1 písm. a), musí splňovat jednu z podmínek zákonnosti zpracování, které jsou uvedeny v článku 6 tohoto nařízení (rozsudek ze dne 7. března 2024, Endemol Shine Finland, C‑740/22, EU:C:2024:216, bod 45 a citovaná judikatura).

87

Je třeba rovněž připomenout, že v souladu s článkem 5 nařízení GDPR je na správci, aby prokázal, že tyto údaje jsou shromažďovány zejména pro určité, výslovně vyjádřené a legitimní účely, že jsou přiměřené, relevantní a omezené na nezbytný rozsah ve vztahu k účelům, pro které jsou zpracovávány, a že jsou ve vztahu k subjektu údajů zpracovávány korektně a zákonným a transparentním způsobem (rozsudek ze dne 4. října 2024, Agencia po vpisvanijata, C‑200/23, EU:C:2024:827, bod 97 a citovaná judikatura).

88

Kromě toho musí být odůvodnění stanovená v čl. 6 odst. 1 prvním pododstavci písm. b) až f) tohoto nařízení – jelikož mohou vést k tomu, že zpracování osobních údajů bude zákonné i bez souhlasu subjektu údajů – vykládána restriktivně (rozsudek ze dne 4. října 2024, Agencia po vpisvanijata, C‑200/23, EU:C:2024:827, bod 96 a citovaná judikatura).

89

I když je na předkládajícím soudu, aby určil, zda je takové zpracování, jako je zpracování dotčené v původním řízení, nezbytné pro splnění právní povinnosti, kterou má správce, ve smyslu čl. 17 odst. 3 písm. b) nařízení GDPR ve spojení s čl. 6 odst. 1 prvním pododstavcem písm. c) a čl. 6 odst. 3 tohoto nařízení, Soudní dvůr mu nicméně může poskytnout užitečná vodítka, jež mu umožní rozhodnout spor, který mu byl předložen (v tomto smyslu viz rozsudek ze dne 4. října 2024, Agencia po vpisvanijata, C‑200/23, EU:C:2024:827, bod 98 a citovaná judikatura).

90

Jak vyplývá ze spisu Soudního dvora a zejména z vysvětlení poskytnutých bulharskou vládou na jednání, uložení údajů, o které se jedná v původním řízení, se opírá o několik ustanovení pokynů, které ministr vnitra přijal na základě ZMVR za účelem splnění právních povinností, jež pro něj vyplývají z tohoto zákona v oblasti správy osobních spisů zaměstnanců a jejich kárné odpovědnosti a ze zmocnění, které mu tento zákon uděluje k výkonu normativní pravomoci. Z těchto skutečností tedy podle všeho vyplývá, že zpracování údajů, o které se jedná v původním řízení, může být nezbytné ke splnění právních povinností ve smyslu čl. 6 odst. 1 prvního pododstavce písm. c) nařízení GDPR, které jsou stanoveny použitelnými vnitrostátními právními předpisy a jsou orgánem veřejné moci, jenž je správcem, provedeny v normativních pokynech, které tak tvoří právní základ pro zpracování údajů prováděné jeho zaměstnanci.

91

Vyvstává tedy otázka, zda základ pro zpracování ve smyslu čl. 6 odst. 3 nařízení GDPR může vyplývat z nařizovacího aktu, který orgán veřejné moci členského státu přijme na základě zákonného zmocnění stanoveného v legislativním aktu za účelem splnění právních povinností, které pro něj z tohoto legislativního aktu vyplývají.

92

Jak vyplývá z bodu 41 odůvodnění nařízení GDPR, odkazy v tomto nařízení na právní základ či legislativní opatření neznamenají nutně legislativní akt přijatý parlamentem, aniž jsou dotčeny požadavky vyplývající z ústavního řádu dotčeného členského státu. Tento právní základ či legislativní opatření by však měly být jasné a přesné a jejich použití by mělo být předvídatelné pro osoby, na něž se vztahují, jak to vyžaduje judikatura Soudního dvora a Evropského soudu pro lidská práva.

93

Kromě toho bod 19 odůvodnění nařízení GDPR upřesňuje, že pokud jde o zpracování osobních údajů příslušnými orgány ve smyslu směrnice 2016/680 pro účely spadající do oblasti působnosti nařízení GDPR, měly by mít členské státy možnost ponechat v platnosti nebo zavést konkrétnější ustanovení, aby používání pravidel tohoto nařízení přizpůsobily. Tato ustanovení mohou přesněji určit konkrétní požadavky na zpracování osobních údajů těmito příslušnými orgány pro uvedené jiné účely, s přihlédnutím k ústavní, organizační a správní struktuře daného členského státu.

94

Z toho je tedy třeba vyvodit, že čl. 6 odst. 3 nařízení GDPR nebrání tomu, aby byl právní základ pro zpracování osobních údajů definován orgánem veřejné moci, který je správcem, v nařizovacím aktu, jehož cílem je splnit právní povinnosti tohoto orgánu ve smyslu čl. 6 odst. 1 prvního pododstavce písm. c) tohoto nařízení, pokud je tento orgán vnitrostátním právem zmocněn k přijetí tohoto aktu, je-li tento právní základ jasný a přesný a jeho použití je pro subjekty údajů předvídatelné.

95

V projednávaném případě ze spisu, který má Soudní dvůr k dispozici, vyplývá, že pokyny ministra vnitra jsou nařizovacími akty přijatými na základě zákonného zmocnění stanoveného v ZMVR a jsou zveřejňovány v bulharském úředním věstníku. Je však ještě třeba ověřit zejména to, zda jsou účely zpracování v tomto právním základu jasně a přesně definovány, a použití tohoto právního základu tudíž předvídatelné v souladu s čl. 6 odst. 3 nařízení GDPR ve spojení s bodem 41 odůvodnění tohoto nařízení.

96

V posledně uvedeném ohledu ze spisu předloženého Soudnímu dvoru vyplývá, že pokud jde o dokumenty, které musí být obsaženy v osobním spise zaměstnance, odkazují pokyny tohoto orgánu na dokumenty týkající se disciplinárních řízení.

97

Je na předkládajícím soudu, aby posoudil, zda s ohledem na všechna relevantní ustanovení bulharského práva může být taková zmínka vykládána dostatečně jasným, přesným a předvídatelným způsobem tak, že zahrnuje uchovávání údajů týkajících se trestního vyšetřování vedeného vůči zaměstnanci, i když nebyl obviněn z vyšetřovaného trestného činu ani pro něj nebyl stíhán a toto vyšetřování nevedlo k disciplinárnímu řízení.

98

V případě kladné odpovědi je třeba si položit otázku, zda v souladu s čl. 6 odst. 3 druhým pododstavcem nařízení GDPR dotčená právní povinnost, pokud vyžaduje takové zpracování osobních údajů, jako je zpracování dotčené v původním řízení, splňuje cíl veřejného zájmu a je přiměřená sledovanému legitimnímu cíli.

99

Pokud jde o otázku, zda dotčená vnitrostátní právní úprava splňuje cíl veřejného zájmu, bulharská vláda v podstatě tvrdila, že existuje veřejný zájem na uložení takových údajů, jako jsou údaje dotčené v původním řízení, a to s ohledem na specifické úkoly, kterými jsou pověřeni příslušníci policie a které spočívají zejména v udržování veřejného pořádku a ochraně obyvatelstva.

100

V tomto ohledu se obecně uznává, jak poznamenal generální advokát v bodě 86 svého stanoviska, že funkce policejního příslušníka vyžaduje, aby posledně uvedený dodržoval přísná pravidla chování, a jak vyplývá z bodu 45 tohoto rozsudku, v Bulharsku musí příslušníci policie splňovat vyšší morální a etická kritéria než jiné kategorie pracovníků nebo zaměstnanců, čímž prokazují, že disponují odbornými a lidskými vlastnostmi nezbytnými k výkonu jejich funkce. Jak bylo ostatně uvedeno v bodě 75 tohoto rozsudku, tato pravidla chování a tato kritéria jsou výslovně zakotvena ve vnitrostátním zákoně, který upravuje činnosti ministerstva vnitra a jeho zaměstnanců.

101

Lze tedy mít za to, že požadavek, aby příslušníci policie splňovali taková kritéria, spadá pod cíl veřejného, a tudíž legitimního zájmu ve smyslu čl. 6 odst. 3 nařízení GDPR, tedy v podstatě zájmu zajistit bezúhonnost personálu pověřeného zejména udržováním veřejného pořádku a ochranou obyvatelstva.

102

Takový legitimní cíl tedy může odůvodnit, aby byly v osobním spisu policisty uloženy informace, které se týkají zejména toho, že je v rámci trestního vyšetřování podezřelou osobou, pokud toto trestní vyšetřování probíhá nebo vedlo k trestnímu stíhání nebo odsouzení tohoto policisty, jelikož v takových případech může být příslušný orgán povinen přijmout preventivní nebo případně disciplinární opatření, aby zajistil dodržování pravidel chování a kritérií uvedených v bodě 100 tohoto rozsudku.

103

Naproti tomu v takové situaci, jako je situace dotčená v původním řízení, kdy bylo trestní vyšetřování vedené proti dotyčnému policejnímu příslušníkovi nakonec zastaveno, jelikož totožnost pachatele nebylo možné zjistit, a kdy bylo shledáno, že neexistují důkazy o spáchání trestného činu tímto policejním příslušníkem a že proti němu nebylo zahájeno žádné disciplinární řízení, ze skutečností obsažených ve spise, který má Soudní dvůr k dispozici, nevyplývá, že by vnitrostátní právní úprava, která stanoví uchovávání údajů týkajících se takového vyšetřování, byla vhodná ke splnění tohoto legitimního cíle.

104

Kdyby nicméně předkládající soud dospěl k závěru, že vnitrostátní právní úprava dotčená ve sporu v původním řízení splňuje legitimní cíl, musí dále posoudit, zda je vnitrostátní právní úprava, která toto zpracování ukládá, přiměřená. Zejména pokud jde o uložení těchto údajů, musí být čl. 17 odst. 3 písm. b) nařízení GDPR vykládán ve spojení s čl. 5 odst. 1 písm. e) tohoto nařízení v tom smyslu, že pokud doba uložení uvedených údajů přesahuje dobu nezbytnou ke splnění této povinnosti, má subjekt údajů opět právo na výmaz těchto údajů, a to zejména z důvodu uvedeného v čl. 17 odst. 1 písm. a) uvedeného nařízení. Bude tedy případně na předkládajícím soudu, aby ověřil, zda doba uložení údajů týkajících se trestního řízení, které bylo vedeno vůči žalobci v původním řízení, nebyla nepřiměřená.

105

Je třeba doplnit, že jelikož články 7 až 11 nařízení GDPR, které jsou stejně jako jeho články 5 a 6 součástí kapitoly II tohoto nařízení, jež se týká „zásad“, mají za cíl upřesnit rozsah povinností správce podle čl. 5 odst. 1 písm. a) a čl. 6 odst. 1 uvedeného nařízení, je zpracování osobních údajů podle judikatury Soudního dvora zákonné pouze tehdy, pokud dodržuje i ostatní ustanovení této kapitoly II, která se v podstatě týkají vyjádření souhlasu, zpracování zvláštních kategorií citlivých osobních údajů a zpracování osobních údajů týkajících se odsouzení v trestních věcech a trestných činů [rozsudek ze dne 4. května 2023, Bundesrepublik Deutschland (Elektronická soudní schránka), C‑60/22, EU:C:2023:373, bod 58 a citovaná judikatura].

106

Údaje dotčené v původním řízení přitom představují osobní údaje „týkající[…] se odsouzení v trestních věcech a trestných činů či souvisejících bezpečnostních opatření“ ve smyslu článku 10 nařízení GDPR, jejichž zpracování podléhá dodatečným podmínkám zákonnosti stanoveným v tomto článku 10, a to bez ohledu na skutečnost, že v průběhu trestního vyšetřování nebylo prokázáno spáchání trestného činu, z něhož byla osoba podezřelá. Podle tohoto ustanovení zejména platí, že zpracování těchto údajů „se může provádět pouze pod dozorem orgánu veřejné moci“, ledaže „je povoleno právem Unie nebo členského státu poskytujícím vhodné záruky, pokud jde o práva a svobody subjektů údajů“ [v tomto smyslu viz rozsudek ze dne 24. září 2019, GC a další (Odstranění odkazů na citlivé údaje), C‑136/17, EU:C:2019:773, body 72 a 73].

107

V projednávaném případě, jak konstatoval generální advokát v bodě 98 svého stanoviska, je zpracování dotčené v původním řízení prováděno výlučně v rámci ministerstva vnitra, které má postavení správce. Toto zpracování je tedy prováděno „pod dozorem orgánu veřejné moci“ ve smyslu článku 10 nařízení GDPR.

108

Konečně pokud jde o žádost o výmaz na základě článku 17 nařízení GDPR, o kterou se jedná v původním řízení, je třeba souhlasně s Evropskou komisí uvést, že kdyby předkládající soud na základě svého posouzení zákonnosti uvedeného zpracování dospěl k závěru, že toto zpracování není zákonné, příslušelo by ministerstvu vnitra, aby jakožto správce v souladu s čl. 17 odst. 1 písm. d) nařízení GDPR bez zbytečného odkladu vymazalo dotčené údaje, pokud by se neuplatnila žádná z výjimek stanovených v čl. 17 odst. 3 nařízení GDPR (v tomto smyslu viz rozsudek ze dne 4. října 2024, Agencia po vpisvanijata, C‑200/23, EU:C:2024:827, bod 118 a citovaná judikatura).

109

S ohledem na výše uvedené je třeba na pátou a šestou otázku odpovědět, že čl. 17 odst. 3 písm. b) nařízení GDPR ve spojení s jeho čl. 6 odst. 1 prvním pododstavcem písm. c) a čl. 6 odst. 3, jakož i ve světle čl. 52 odst. 1 Listiny musí být vykládán v tom smyslu, že skutečnost, že jsou v osobním spise policisty pro účely řízení jeho kariéry a kontroly, zda dodržuje pravidla vlastní jeho funkci, uloženy osobní údaje týkající se jeho postavení podezřelého v rámci pozastaveného trestního vyšetřování, přičemž tento policista nebyl obviněn z vyšetřovaného trestného činu ani pro něj nebyl stíhán, lze považovat za odůvodněnou pro účely dodržení právní povinnosti, kterou má orgán veřejné moci, jenž je zaměstnavatelem uvedeného policisty, na základě vnitrostátního práva, pod podmínkou, že je tento právní základ jasný a přesný, že jeho použití je pro subjekty údajů předvídatelné a že tato povinnost splňuje cíl veřejného zájmu a je tomuto cíli přiměřená.

110

S ohledem na odpovědi na první až třetí a pátou až devátou otázku, z nichž vyplývá, že žádost o výmaz údajů, o kterou se jedná v původním řízení, spadá do působnosti nařízení GDPR, a zejména jeho článku 17, není třeba odpovídat na desátou otázku, jelikož se týká téže žádosti, avšak na základě čl. 16 odst. 2 směrnice 2016/680.

111

Podstatou jedenácté otázky předkládajícího soudu je, zda článek 1 směrnice 2000/78 musí být vykládán v tom smyslu, že tato směrnice brání tomu, aby orgán veřejné moci, jehož jedno ředitelství je pověřeno vedením trestního vyšetřování týkajícího se zaměstnanců tohoto orgánu, odmítne jakožto zaměstnavatel povýšit jednoho ze svých zaměstnanců pouze z toho důvodu, že byl v rámci takového vyšetřování, které bylo nakonec zastaveno, podezřelou osobou, přičemž tento zaměstnanec nebyl obviněn z vyšetřovaného trestného činu ani pro něj nebyl stíhán.

112

V této souvislosti je třeba připomenout, že jak vyplývá z článku 1 směrnice 2000/78, jejím účelem je stanovit obecný rámec pro boj s diskriminací na základě náboženského vyznání či víry, zdravotního postižení, věku nebo sexuální orientace v zaměstnání a povolání. Jak přitom vyplývá zejména z čl. 2 odst. 1 této směrnice, výčet těchto důvodů je taxativní (v tomto smyslu viz rozsudek ze dne 21. května 2015, SCMD, C‑262/14, EU:C:2015:336, bod 29 a citovaná judikatura, a rozsudek ze dne 9. března 2017, Milkova, C‑406/15, EU:C:2017:198, bod 34 a citovaná judikatura).

113

Odepření kariérního postupu na základě toho, že osoba byla podezřelá v trestním vyšetřování, které bylo nakonec zastaveno, proto nespadá do oblasti působnosti směrnice 2000/78.

114

Co se mimoto týče diskriminace na základě pracovního poměru jako takového, Soudní dvůr rozhodl, že taková diskriminace nespadá do obecného rámce stanoveného směrnicí 2000/78 (rozsudek ze dne 9. března 2017, Milkova, C‑406/15, EU:C:2017:198, bod 44 a citovaná judikatura).

115

Na jedenáctou otázku je tudíž třeba odpovědět, že článek 1 směrnice 2000/78 musí být vykládán v tom smyslu, že tato směrnice se nepoužije, pokud orgán veřejné moci, jehož jedno ředitelství je pověřeno vedením trestního vyšetřování týkajícího se zaměstnanců tohoto orgánu, odmítne jakožto zaměstnavatel povýšit jednoho ze svých zaměstnanců pouze z toho důvodu, že byl v rámci takového vyšetřování, které bylo nakonec zastaveno, podezřelou osobou, přičemž tento zaměstnanec nebyl obviněn z vyšetřovaného trestného činu ani pro něj nebyl stíhán.

116

Vzhledem k tomu, že řízení má, pokud jde o účastníky původního řízení, povahu incidenčního řízení ve vztahu ke sporu probíhajícímu před předkládajícím soudem, je k rozhodnutí o nákladech řízení příslušný uvedený soud. Výdaje vzniklé předložením jiných vyjádření Soudnímu dvoru než vyjádření uvedených účastníků řízení se nenahrazují.

Z těchto důvodů Soudní dvůr (pátý senát) rozhodl takto: