Behandling af strafferetligt indsamlede personoplysninger i civil erstatningssag – Grænsefladen mellem Databeskyttelsesdirektivet og GDPR

Sagen vedrører en præjudiciel anmodning fra en bulgarsk forvaltningsdomstol vedrørende lovligheden af den bulgarske anklagemyndigheds behandling af personoplysninger, oprindeligt indsamlet i forbindelse med strafferetlig efterforskning, i to forskellige situationer. Den ene situation angår genanvendelse af oplysninger indsamlet om VS (sagsøgeren i hovedsagen), mens han var forurettet, med henblik på efterfølgende retsforfølgning af ham i samme sag.

Den anden, og primære, situation vedrører anklagemyndighedens brug af disse personoplysninger som led i dens forsvar mod et civilt erstatningssøgsmål, som VS havde anlagt mod den bulgarske stat på grund af straffesagens unødigt lange varighed. Spørgsmålet var, hvilken databeskyttelsesretlig ramme (Direktiv 2016/680 eller GDPR) der gjaldt for disse to typer behandling, og på hvilket retsgrundlag behandlingen kunne lovliggøres.

Baggrund for tvisten

VS deltog i en strafferetlig efterforskning i 2013, hvor han oprindeligt blev betragtet som forurettet. I 2018 blev han dog tiltalt i samme sag. VS anlagde efterfølgende erstatningssøgsmål mod staten for skader forårsaget af den lange sagsbehandlingstid. I forbindelse med dette civile søgsmål anmodede anklagemyndighedens repræsentant om at fremlægge sagsakter og oplysninger vedrørende VS, som var indsamlet i straffesagsregi, for at styrke statens forsvar. VS klagede over denne brug af hans personoplysninger til IVSS (tilsynsmyndigheden ved det øverste råd for retsvæsenet), hvilket førte til den præjudicielle forelæggelse.

Relevante retsakter

• Direktiv (EU) 2016/680 (Law Enforcement Directive): Gælder for kompetente myndigheders behandling af oplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger.
• Forordning (EU) 2016/679 (GDPR): Den generelle databeskyttelsesforordning, som gælder for behandling af personoplysninger uden for Direktiv 2016/680's kerneområde.

Domstolen leverede en todelt afgørelse vedrørende de to scenarier for databehandling.

Behandling under Direktiv 2016/680 (Straffesagen)

Domstolen fastslog, at de formål, der er opregnet i direktivets artikel 1, stk. 1 (f.eks. efterforskning, retsforfølgning), er særskilte. En ændring i formålet med behandlingen af personoplysninger, fra efterforskning (hvor personen var forurettet) til retsforfølgning (hvor personen retsforfølges), udgør derfor et 'andet formål' i direktivets forstand.

• Viderebehandlingen til et andet strafferetligt formål er tilladt i medfør af Direktiv 2016/680 artikel 4, stk. 2.