Domstolens dom (första avdelningen) den 30 april 2025

I de förenade målen C‑313/23, C‑316/23 och C‑332/23, angående tre beslut att begära förhandsavgörande enligt artikel 267 FEUF, från Sofiyski rayonen sad (Distriktsdomstolen i Sofia, Bulgarien), av den 22 maj 2023 (C‑313/23 och C‑332/23) och av den 23 maj 2023 (C‑316/23), som inkom till domstolen den 22 maj 2023 (C‑313/23), den 23 maj 2023 (C‑316/23) respektive den 25 maj 2023 (C‑332/23), i mål som anhängiggjorts av

DOMSTOLEN (första avdelningen) sammansatt av domstolens ordförande K. Lenaerts, tillika tillförordnad ordförande på första avdelningen, domstolens vice ordförande T. von Danwitz (referent) samt domarna A. Kumin, I. Ziemele och O. Spineanu-Matei, generaladvokat: P. Pikamäe, justitiesekreterare: A. Calot Escobar,

efter det skriftliga förfarandet,

med beaktande av de yttranden som avgetts av: Inspektorat kam Visshia sadeben savet, genom T. Tochkova, i egenskap av ombud, Bulgariens regering, genom T. Mitova, S. Ruseva och R. Stoyanov, samtliga i egenskap av ombud, Polens regering, genom B. Majczyna, i egenskap av ombud, Europeiska kommissionen, genom A. Bouchagiar, C. Georgieva, H. Kranenborg och P. Van Nuffel, samtliga i egenskap av ombud,

och efter att den 4 oktober 2024 ha hört generaladvokatens förslag till avgörande,

följande

Dom

1. Respektive begäran om förhandsavgörande avser tolkningen av artikel 19.1 andra stycket FEU samt artiklarna 2.2 a, 4 led 7, 32.1 b, 33.3 d, 51, 57.1 b och 79.1 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1) (nedan kallad dataskyddsförordningen), jämförda med artikel 47 i Europeiska unionens stadga om de grundläggande rättigheterna (nedan kallad stadgan).

2. Respektive begäran har framställts i mål som anhängiggjorts av Inspektorat kam Visshia sadeben savet (Tillsynsorganet vid Högsta rättsrådet, Bulgarien) (nedan kallat tillsynsorganet) i syfte att erhålla tillstånd till att ta del av uppgifter om ett antal domares och deras familjemedlemmars bankkonton.

Tillämpliga bestämmelser

Unionsrätt

3. I skälen 16 och 20 i dataskyddsförordningen anges följande:

(”(16) Denna förordning är inte tillämplig på frågor som rör skyddet av grundläggande rättigheter och friheter eller det fria flödet av personuppgifter på områden som inte omfattas av unionsrätten, såsom verksamhet rörande nationell säkerhet. …

…

(20) Eftersom denna förordning bland annat gäller för verksamhet inom domstolar och andra rättsliga myndigheter, skulle det i unionsrätt eller medlemsstaternas nationella rätt kunna anges vilken behandling och vilka förfaranden för behandling som berörs när det gäller domstolars och andra rättsliga myndigheters behandling av personuppgifter. Tillsynsmyndigheternas behörighet bör inte omfatta domstolars behandling av personuppgifter när detta sker inom ramen för domstolarnas dömande verksamhet, i syfte att säkerställa domstolsväsendets oberoende när det utför sin rättskipande verksamhet, inbegripet när det fattar beslut. Det bör vara möjligt att anförtro tillsynen över sådan behandling av uppgifter till särskilda organ inom medlemsstaternas rättsväsen, vilka framför allt bör säkerställa efterlevnaden av bestämmelserna i denna förordning, främja domstolsväsendets medvetenhet om sina skyldigheter enligt denna förordning och hantera klagomål relaterade till sådan behandling av uppgifter.”

4. Artikel 2 i dataskyddsförordningen har rubriken ”Materiellt tillämpningsområde”. I punkterna 1 och 2 i denna artikel föreskrivs följande:

”1. Denna förordning ska tillämpas på sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg samt på annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register.

2. Denna förordning ska inte tillämpas på behandling av personuppgifter som

a) utgör ett led i en verksamhet som inte omfattas av unionsrätten,

…”

5. I artikel 4 i dataskyddsförordningen, med rubriken ”Definitioner”, föreskrivs följande:

”I denna förordning avses med

…

2. behandling: en åtgärd eller kombination av åtgärder beträffande personuppgifter eller uppsättningar av personuppgifter, oberoende av om de utförs automatiserat eller ej, såsom insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utlämning genom överföring, spridning eller tillhandahållande på annat sätt, justering eller sammanförande, begränsning, radering eller förstöring,

…

7. personuppgiftsansvarig: en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter; om ändamålen och medlen för behandlingen bestäms av unionsrätten eller medlemsstaternas nationella rätt kan den personuppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses föreskrivas i unionsrätten eller i medlemsstaternas nationella rätt,

…”

6. I artikel 12 i dataskyddsförordningen, med rubriken ”Klar och tydlig information och kommunikation samt klara och tydliga villkor för utövandet av den registrerades rättigheter”, föreskrivs följande:

”Den personuppgiftsansvarige ska vidta lämpliga åtgärder för att till den registrerade tillhandahålla all information som avses i artiklarna 13 och 14 och all kommunikation enligt artiklarna 15–22 och 34 vilken avser behandling i en koncis, klar och tydlig, begriplig och lätt tillgänglig form, med användning av klart och tydligt språk, … Informationen ska tillhandahållas skriftligt, eller i någon annan form, inbegripet, när så är lämpligt, i elektronisk form. …”

7. Artikel 14 i dataskyddsförordningen har rubriken ”Information som ska tillhandahållas om personuppgifterna inte har erhållits från den registrerade”. I punkterna 1 och 2 i denna artikel föreskrivs följande:

”1. Om personuppgifterna inte har erhållits från den registrerade, ska den personuppgiftsansvarige förse den registrerade med följande information:

a) Identitet och kontaktuppgifter för den personuppgiftsansvarige och i tillämpliga fall för dennes företrädare.

b) Kontaktuppgifter för dataskyddsombudet, i tillämpliga fall.

c) Ändamålen med den behandling för vilken personuppgifterna är avsedda samt den rättsliga grunden för behandlingen.

d) De kategorier av personuppgifter som behandlingen gäller.

e) Mottagarna eller de kategorier av mottagare som ska ta del av personuppgifterna, i förekommande fall.

f) I tillämpliga fall att den personuppgiftsansvarige avser att överföra personuppgifter till en mottagare i ett tredjeland eller en internationell organisation …

2. Utöver den information som avses i punkt 1 ska den personuppgiftsansvarige lämna den registrerade följande information, vilken krävs för att säkerställa rättvis och transparent behandling när det gäller den registrerade:

a) Den period under vilken personuppgifterna kommer att lagras eller, om detta inte är möjligt, de kriterier som används för att fastställa denna period.

b) Om behandlingen grundar sig på artikel 6.1 f, den personuppgiftsansvariges eller en tredje parts berättigade intressen.

c) Förekomsten av rätten att av den personuppgiftsansvarige begära tillgång till och rättelse eller radering av personuppgifter eller begränsning av behandling som rör den registrerade och att invända mot behandling samt rätten till dataportabilitet.

d) Om behandlingen grundar sig på artikel 6.1 a eller artikel 9.2 a, rätten att när som helst återkalla sitt samtycke, utan att detta påverkar lagligheten av behandlingen på grundval av samtycket, innan detta återkallades.

e) Rätten att inge klagomål till en tillsynsmyndighet.

f) Varifrån personuppgifterna kommer och i förekommande fall huruvida de har sitt ursprung i allmänt tillgängliga källor.

g) Förekomsten av automatiserat beslutsfattande …”

8. Artikel 21 i dataskyddsförordningen har rubriken ”Rätt att göra invändningar”. I punkt 1 i denna artikel föreskrivs följande:

”Den registrerade ska, av skäl som hänför sig till hans eller hennes specifika situation, ha rätt att när som helst göra invändningar mot behandling av personuppgifter avseende honom eller henne som grundar sig på artikel 6.1 e eller f, inbegripet profilering som grundar sig på dessa bestämmelser. Den personuppgiftsansvarige får inte längre behandla personuppgifterna såvida denne inte kan påvisa tvingande berättigade skäl för behandlingen som väger tyngre än den registrerades intressen, rättigheter och friheter eller om det sker för fastställande, utövande eller försvar av rättsliga anspråk.”

9. Artikel 32 i förordningen har rubriken ”Säkerhet i samband med behandlingen”. I punkt 1 i artikeln anges följande:

”Med beaktande av den senaste utvecklingen, genomförandekostnaderna och behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter ska den personuppgiftsansvarige och personuppgiftsbiträdet vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken, inbegripet, när det är lämpligt

…

b) förmågan att fortlöpande säkerställa konfidentialitet, integritet, tillgänglighet och motståndskraft hos behandlingssystemen och -tjänsterna,

…”

10. Artikel 33 i förordningen har rubriken ”Anmälan av en personuppgiftsincident till tillsynsmyndigheten”. I punkterna 1 och 3 föreskrivs följande:

”1. Vid en personuppgiftsincident ska den personuppgiftsansvarige utan onödigt dröjsmål och, om så är möjligt, inte senare än 72 timmar efter att ha fått vetskap om den, anmäla personuppgiftsincidenten till den tillsynsmyndighet som är behörig i enlighet med artikel 55, såvida det inte är osannolikt att personuppgiftsincidenten medför en risk för fysiska personers rättigheter och friheter. Om anmälan till tillsynsmyndigheten inte görs inom 72 timmar ska den åtföljas av en motivering till förseningen.

…

3. Den anmälan som avses i punkt 1 ska åtminstone

…

d) beskriva de åtgärder som den personuppgiftsansvarige har vidtagit eller föreslagit för att åtgärda personuppgiftsincidenten, inbegripet, när så är lämpligt, åtgärder för att mildra dess potentiella negativa effekter.”

11. Kapitel VI i dataskyddsförordningen har rubriken ”Oberoende tillsynsmyndigheter” och innehåller artiklarna 51–59.

12. Artikel 51 i förordningen, med rubriken ”Tillsynsmyndighet”, har följande lydelse:

”1. Varje medlemsstat ska föreskriva att en eller flera offentliga myndigheter ska vara ansvariga för att övervaka tillämpningen av denna förordning, i syfte att skydda fysiska personers grundläggande rättigheter och friheter i samband med behandling samt att underlätta det fria flödet av sådana uppgifter inom unionen (nedan kallad tillsynsmyndighet).

…

3. Om det finns fler än en tillsynsmyndighet i en medlemsstat ska medlemsstaten utse den tillsynsmyndighet som ska företräda dessa myndigheter i [Europeiska dataskyddsstyrelsen]; medlemsstaten ska också upprätta en rutin för att se till att övriga myndigheter följer reglerna för den mekanism för enhetlighet som avses i artikel 63.

4. Varje medlemsstat ska senast den 25 maj 2018 anmäla till kommissionen vilka nationella bestämmelser den antar i enlighet med detta kapitel, och alla framtida ändringar som rör dessa bestämmelser ska anmälas utan dröjsmål.”

13. I artikel 55 i förordningen, som har rubriken ”Behörighet”, föreskrivs följande:

”1. Varje tillsynsmyndighet ska vara behörig att utföra de uppgifter och utöva de befogenheter som tilldelas den enligt denna förordning inom sin egen medlemsstats territorium.

2. Om behandling utförs av myndigheter eller privata organ som agerar på grundval av artikel 6.1 c eller e ska tillsynsmyndigheten i den berörda medlemsstaten vara behörig. I sådana fall ska artikel 56 inte tillämpas.

3. Tillsynsmyndigheterna ska inte vara behöriga att utöva tillsyn över domstolar som behandlar personuppgifter i sin dömande verksamhet.”

14. Artikel 57 i dataskyddsförordningen har rubriken ”Uppgifter”. I punkt 1 i denna artikel föreskrivs följande:

”Utan att det påverkar de andra uppgifter som föreskrivs i denna förordning ska varje tillsynsmyndighet på sitt territorium ansvara för följande:

a) Övervaka och verkställa tillämpningen av denna förordning.

…

h) Utföra undersökningar om tillämpningen av denna förordning, inbegripet på grundval av information som erhålls från en annan tillsynsmyndighet eller annan myndighet.

…”

15. Artikel 58 i dataskyddsförordningen har rubriken ”Befogenheter”. I punkt 1 i denna artikel anges de utredningsbefogenheter som varje tillsynsmyndighet ska ha och i punkt 2 de korrigerande åtgärder som myndigheten kan vidta.

16. Kapitel VIII i dataskyddsförordningen har rubriken ”Rättsmedel, ansvar och sanktioner” och innehåller artiklarna 77–84.

17. Artikel 77 i denna förordning har rubriken ”Rätt att lämna in klagomål till en tillsynsmyndighet”. I punkt 1 i denna artikel föreskrivs följande:

”Utan att det påverkar något annat administrativt prövningsförfarande eller rättsmedel, ska varje registrerad som anser att behandlingen av personuppgifter som avser henne eller honom strider mot denna förordning ha rätt att lämna in ett klagomål till en tillsynsmyndighet, särskilt i den medlemsstat där han eller hon har sin hemvist eller sin arbetsplats eller där det påstådda intrånget [den påstådda överträdelsen] begicks.”

18. Artikel 78 i nämnda förordning har rubriken ”Rätt till ett effektivt rättsmedel mot tillsynsmyndighetens beslut”. I punkt 1 i denna artikel anges följande:

”Utan att det påverkar något annat administrativt prövningsförfarande eller prövningsförfarande utanför domstol ska varje fysisk eller juridisk person ha rätt till ett effektivt rättsmedel mot ett rättsligt bindande beslut rörande dem som meddelats av en tillsynsmyndighet.”

19. Artikel 79 i samma förordning har rubriken ”Rätt till ett effektivt rättsmedel mot en personuppgiftsansvarig eller ett personuppgiftsbiträde”. I punkt 1 i denna artikel föreskrivs följande:

”Utan att det påverkar tillgängliga administrativa prövningsförfaranden eller prövningsförfaranden utanför domstol, inbegripet rätten att lämna in ett klagomål till en tillsynsmyndighet i enlighet med artikel 77, ska varje registrerad som anser att hans eller hennes rättigheter enligt denna förordning har åsidosatts som en följd av att hans eller hennes personuppgifter har behandlats på ett sätt som inte är förenligt med denna förordning ha rätt till ett effektivt rättsmedel.”

Bulgarisk rätt

Bulgariens konstitution

20. I artikel 117.2 i Konstitutsia na Republika Bulgaria (Republiken Bulgariens konstitution), i den lydelse som är tillämplig på omständigheterna i det nationella målet (nedan kallad Bulgariens konstitution), föreskrivs följande:

”Domstolsväsendet ska vara oavhängigt. Domare, juryledamöter, åklagare och undersökningsdomare ska i sin tjänsteutövning enbart vara underställda lagen.”

21. I artikel 132a i Bulgariens konstitution, i dess lydelse vid tiden för ingivandet av respektive begäran om förhandsavgörande, föreskrivs följande:

”1). Vid Högsta rättsrådet ska finnas ett tillsynsorgan som består av en generalinspektör och tio inspektörer.

2). Generalinspektören ska utses av nationalförsamlingen med två tredjedels majoritet av dess ledamöter för ett förordnande på fem år.

3). Inspektörerna ska utses av nationalförsamlingen för förordnande på fyra år i enlighet med det förfarande som anges i punkt 2.

4). Generalinspektören och inspektörerna får utses på nytt, men får inte utses för två på varandra följande förordnanden.

…

6). Tillsynsorganet ska granska domstolsväsendets verksamhet, vilket inte får påverka domarnas, juryledamöternas, åklagarnas eller undersökningsdomarnas oavhängighet i deras tjänsteutövning. [Tillsynsorganet] ska kontrollera domares, åklagares och undersökningsdomares integritet och huruvida det föreligger några intressekonflikter beträffande dessa samt ska granska deras tillgångsdeklarationer och undersöka huruvida det begåtts handlingar som skadar domstolarnas anseende och handlingar som har samband med en kränkning av domares, åklagares och undersökningsdomares oavhängighet. Generalinspektören och inspektörerna ska i sin tjänsteutövning vara oavhängiga och enbart vara underställda lagen.

7). Tillsynsorganet ska agera ex officio och på initiativ av medborgare, juridiska personer och statliga myndigheter, däribland domare, åklagare och undersökningsdomare.

…

10). Villkoren och förfarandet för val och entledigande av generalinspektören och inspektörerna, liksom tillsynsorganets organisation och verksamhet, ska fastställas i lag.”

ZSV

22. I artikel 46 i Zakon za sadebnata vlast (lagen om domstolsväsendet) (DV nr 64 av den 7 augusti 2007), i den lydelse som är tillämplig på omständigheterna i det nationella målet (nedan kallad ZSV), föreskrivs följande:

”Nationalförsamlingen ska utse generalinspektören och var och en av inspektörerna individuellt med två tredjedels majoritet av ledamöterna.”

23. I artikel 54.1 och 54.2 i denna lag föreskrivs följande:

”1). Tillsynsorganet ska

…

2. granska inledandet och genomförandet av domstolsförfaranden, åtalsförfaranden och utredningar samt övervaka att mål och ärenden avslutas inom föreskriven tid,

…

6. rekommendera disciplinpåföljder för domare, åklagare, undersökningsdomare och förvaltningschefer inom domstolsväsendet,

7. utfärda varningar och lägga fram förslag och rapporter till andra statliga myndigheter, däribland rättsliga myndigheter,

8. undersöka domares, åklagares och undersökningsdomares integritet och huruvida det föreligger några intressekonflikter beträffande dessa samt granska deras tillgångsdeklarationer och undersöka huruvida det begåtts handlingar som skadar domstolarnas anseende och handlingar som har samband med en kränkning av domares, åklagares och undersökningsdomares oavhängighet,

…

15. kontrollera behandlingen av personuppgifter i de fall som avses i artikel 17.1 i lagen om skydd av personuppgifter.

2). När tillsynsorganet utför den kontroll som avses i led 15 i punkt 1 ska den utföra de uppgifter och utöva de befogenheter som föreskrivs i lagen om skydd av personuppgifter.”

24. I artikel 175a.1 i nämnda lag föreskrivs följande:

”Domare, åklagare och undersökningsdomare ska ge in följande deklarationer till [tillsynsorganet]:

1) En deklaration i två delar, avseende deklarantens tillgångar och intressen.

2) En deklaration avseende omständigheter som ändrats i förhållande till den deklaration som avses i punkt 1, i den del som avser intressen enligt artikel 175b.1 leden 11–13, och avseende medlens ursprung i händelse av förtida återbetalning av skulder och lån.”

25. Artikel 175b.4 ZSV har följande lydelse:

”Domare, åklagare och undersökningsdomare ska deklarera sina makars eller sambors och minderåriga barns tillgångar och inkomster.”

26. I artikel 175d i samma lag föreskrivs följande:

”1). [Tillsynsorganet] ska föra och bevara offentliga elektroniska register över

1) deklarationer enligt artikel 175a.1 leden 1 och 2,

2) beslut om administrativa sanktioner som vunnit laga kraft.

2). [Tillsynsorganet] ska i det offentliga register som avses i led 1 i punkt 1 registrera deklarationer avseende tillgångar och intressen samt deklarationer avseende ändrade omständigheter. Registreringen ska uteslutande göras av tjänstemän som bemyndigats därtill av generalinspektören.

…

4). Var och en har rätt att få tillgång till uppgifter i det offentliga registret.

5). Tillgången ska lämnas via [tillsynsorganets] webbplats, med förbehåll för de krav som gäller i fråga om skydd av personuppgifter.”

27. I artikel 175e.1 och 175e.6 i nämnda lag föreskrivs följande:

”1). Senast sex månader efter den sista dagen för ingivande av deklarationen ska [tillsynsorganet] kontrollera att de deklarerade uppgifterna är sanningsenliga. …

…

6). [Tillsynsorganet] får inhämta uppgifter från de informationssystem som avses i artiklarna 56 och 56a i lagen om kreditinstitut. Generalinspektören och inspektörerna vid [tillsynsorganet] får vid Rayonen sad (distriktsdomstol) inom vars jurisdiktion den berörda personen har hemvist begära att banksekretess ska hävas, såvida inte samtycke har lämnats enligt artikel 62.5 led 1 i lagen om kreditinstitut. Samtycke lämnas skriftligen till [tillsynsorganet], utan att underskriften behöver bestyrkas av notarie, på ett av generalinspektören godkänt formulär. …”

28. I artikel 307.2 ZVS föreskrivs följande:

”Med disciplinförseelse avses ett oaktsamt eller uppsåtligt åsidosättande av tjänsteförpliktelser och en kränkning av domstolsväsendets värdighet.”

29. Artikel 311 ZSV har följande lydelse:

”En disciplinpåföljd ska åläggas

1) av förvaltningschefen, vad gäller den påföljd som avses i artikel 308.1 led 1,

2) av den berörda avdelningen vid Högsta rättsrådet (avdelningen för domare, åklagare eller undersökningsdomare), vad gäller de påföljder som avses i artikel 308.1 leden 2, 3, 4 och 6,

…

4) av Högsta rättsrådet i plenum, vad gäller de påföljder som avses i artikel 308.2 och som åläggs en vald ledamot av Högsta rättsrådet.”

30. I artikel 312.1 i denna lag föreskrivs följande:

”En begäran om att ett disciplinförfarande ska inledas i syfte att ålägga en domare, åklagare, undersökningsdomare, förvaltningschef eller biträdande förvaltningschef en disciplinpåföljd får framställas av

…

3. [tillsynsorganet],

…”

31. I artikel 323.1 i nämnda lag föreskrivs följande:

”Beslut av Högsta rättsrådet i plenum eller av den berörda avdelningen vid Högsta rättsrådet får överklagas av den person som ålagts disciplinpåföljden och – om ingen disciplinpåföljd har ålagts eller en mildare disciplinpåföljd har ålagts än den som rekommenderats – av den som gjort rekommendationen, till Varhoven administrativen sad [(Högsta förvaltningsdomstolen, Bulgarien)] inom 14 dagar från delgivningen av detta beslut.”

ZKI

32. I artikel 62 i Zakon za kreditnite institutsii (lagen om kreditinstitut) (DV nr 59 av den 21 juli 2006), i den lydelse som är tillämplig på omständigheterna i det nationella målet (nedan kallad ZKI), föreskrivs följande:

”1). Bankanställda, ledamöter av bankers lednings- och tillsynsorgan, anställda vid [Bulgariens centralbank (BNB)], anställda och styrelseledamöter i insättningsgarantifonden, likvidatorer, provisoriska förvaltare och konkursförvaltare samt alla andra personer som arbetar i en bank får inte för egen eller sina familjemedlemmars vinning röja eller använda uppgifter som omfattas av banksekretess.

2). Banksekretessen omfattar händelser och omständigheter som påverkar tillgodohavanden samt transaktioner avseende bankkundernas konton och insättningar.

…

5). Banken får, förutom till BNB och för de ändamål och på de villkor som anges i artikel 56, lämna ut de uppgifter som avses i punkt 2 avseende enskilda kunder endast

1) med deras samtycke,

2) enligt ett domstolsbeslut som fattats i enlighet med punkterna 6 och 7,

3) efter beslut av en domstol, om det är nödvändigt för att klargöra omständigheterna i ett mål som är anhängigt vid den,

4) i de fall som avses i punkt 12, när en bank är föremål för ett insolvensförfarande, eller

5) inom ramen för ett pågående internationellt skiljeförfarande, i vilket Republiken Bulgarien är part.

6). Domstol får även besluta att de uppgifter som avses i punkt 2 ska utlämnas på begäran av

…

12. generalinspektören eller en inspektör vid [tillsynsorganet].

7). Rayonen sad [distriktsdomstolen] ska senast 24 timmar efter mottagande av en begäran enligt punkt 6, utan muntlig förhandling, ta ställning till denna i ett motiverat beslut och härvid ange den tidsperiod som upplysningarna enligt punkt 1 avser. Domstolens beslut får inte överklagas.

…”

ZZLD

33. Artikel 6.1 i Zakon za zashtita na lichnite danni (lagen om skydd av personuppgifter) (DV nr 1 av den 4 januari 2002), i den lydelse som är tillämplig på omständigheterna i det nationella målet (nedan kallad ZZLD), har följande lydelse:

”Komisia za zashtita na lichnite danni [(Kommissionen för skydd av personuppgifter, Bulgarien) (nedan kallad KZLD)] ska vara en permanent och oberoende tillsynsmyndighet som har till uppgift att skydda personer med avseende på behandlingen av deras personuppgifter och tillgången till dessa uppgifter samt kontrollera efterlevnaden av [dataskyddsförordningen] och denna lag.”

34. I artikel 17.1 och 17.2 i denna lag föreskrivs följande:

”1). [Tillsynsorganet] ska övervaka och kontrollera efterlevnaden av [dataskyddsförordningen], denna lag och rättsakter om skydd av personuppgifter när personuppgifter behandlas av

1) domstolar när de agerar i egenskap av rättskipande myndigheter, och

2) åklagarmyndigheter och brottsutredande myndigheter när de agerar i egenskap av rättsvårdande myndigheter för att förhindra, avslöja, utreda eller lagföra brott eller verkställa straffrättsliga påföljder.

2). Närmare bestämmelser om genomförandet av den verksamhet som avses i punkt 1, inbegripet genomförandet av tillsynsorganets kontroller och granskning av förfarandena, ska fastställas i den förordning som avses i artikel 55.8 [ZSV].”

35. I artikel 17a.1 ZZLD föreskrivs följande:

”När tillsynsorganet kontrollerar hur en domstol har behandlat personuppgifter inom ramen för sina uppgifter som rättskipande myndighet, med undantag för sådan behandling av personuppgifter som sker för de ändamål som avses i artikel 42.1, ska det

1. utföra de uppgifter som avses i artikel 57.1 a–i, l, u och v, 57.2 och 57.3 i [dataskyddsförordningen],

2. utöva de befogenheter som följer av artikel 58.1 a, b, d, e och f, 58.2 a–g, i och j och 58.3 a, b och c i [dataskyddsförordningen],

3. tillämpa den förteckning som upprättats av [KZLD] i enlighet med artikel 35.4 i [dataskyddsförordningen], jämförd med kravet på en konsekvensbedömning avseende dataskydd,

4. väcka talan vid domstol i händelse av överträdelse av [dataskyddsförordningen].”

36. I artikel 39 ZZLD anges följande:

”1). Om den registrerades rättigheter enligt [dataskyddsförordningen] och denna lag har åsidosatts får den registrerade väcka talan mot den personuppgiftsansvariges och personuppgiftsbiträdets handlingar och åtgärder vid domstol i enlighet med det förfarande som föreskrivs i förvaltningsprocesslagen.

…

4). Den registrerade får inte väcka talan vid domstol när ett förfarande avseende samma överträdelse pågår vid [KZLD] eller när ett beslut av [KZLD] avseende samma överträdelse har överklagats och inget lagakraftvunnet domstolsavgörande har meddelats. På begäran av den registrerade eller domstolen ska [KZLD] intyga att det inte pågår något förfarande avseende samma tvist vid den.

5). Punkt 4 är även tillämplig när det pågår ett förfarande vid tillsynsorganet.”

Målen vid den nationella domstolen och tolkningsfrågorna

37. Den 15 maj 2023, efter det att den i artiklarna 175a och 175b ZSV föreskrivna fristen för att ge in årliga deklarationer avseende domares och åklagares och deras familjers tillgångar för år 2022 hade löpt ut, ansökte tillsynsmyndigheten vid Sofiyski rayonen sad (Distriktsdomstolen i Sofia, Bulgarien), som är den hänskjutande domstolen, om att banksekretessen avseende flera domares och åklagares och deras familjemedlemmars bankkonton skulle hävas med tillämpning av artikel 62.6 led 12 ZKI.

38. Den hänskjutande domstolen har angett att den ska pröva huruvida tillsynsorganet är behörigt att framställa en sådan ansökan till den. Den hänskjutande domstolen har i detta avseende preciserat att detta organ, som inrättades genom en ändring av Bulgariens konstitution som antogs år 2007, har till uppgift att utreda otillbörlig påverkan på domare och åklagare, att kontrollera domarnas tillgångsdeklarationer, att upptäcka eventuella intressekonflikter och omständigheter som är till men för domstolsväsendets oavhängighet.

39. Den hänskjutande domstolen har angett att tillsynsorganet består av en generalinspektör och tio inspektörer som utses av nationalförsamlingen för ett förordnande på fem respektive fyra år. Förordnandena för samtliga ledamöter av tillsynsorganet löpte ut under år 2020, utan att nationalförsamlingen utsåg några nya ledamöter.

40. I dom av den 27 september 2022 slog Konstitutsionen sad (Författningsdomstolen, Bulgarien) visserligen fast att Bulgariens konstitution ska tolkas så, att efter det att generalinspektörens och inspektörernas förordnanden har löpt ut ska de fortsätta att utöva sin tjänst till dess att nationalförsamlingen har utsett nya ledamöter av tillsynsorganet, med motiveringen att fullgörandet av tillsynsorganets uppgifter ska tillmätas större vikt än risken för att ledamöter vars förordnande har löpt ut missbrukar sin ställning. Den hänskjutande domstolen har emellertid påpekat att denna dom inte behandlar frågan huruvida det finns en risk för att ledamöter av tillsynsorganet som fortsätter att utöva sin tjänst efter det att deras förordnanden har löpt ut skulle kunna utöva otillbörlig påverkan på domstolsväsendet eller själva skulle kunna utsättas för påtryckningar från ledamöter av nationalförsamlingen.

41. Den hänskjutande domstolen vill således få klarhet i huruvida unionsrätten uppställer strängare villkor än Bulgariens konstitution, såsom den tolkats av Konstitutsionen sad (Författningsdomstolen). Mot bakgrund av vad EU-domstolen slagit fast i sin dom av den 11 maj 2023, Inspecția Judiciară ( C‑817/21, EU:C:2023:391, punkterna 50 och 51), vill den hänskjutande domstolen särskilt få klarhet i huruvida en förlängning av förordnandena för tillsynsorganets ledamöter är ägnad att undergräva garantierna för denna myndighets oavhängighet i egenskap av myndighet som är behörig att ta initiativ till disciplinförfaranden mot domare och, om så är fallet, vilka kriterier som gör det möjligt att bedöma huruvida, och för hur lång tid, en sådan förlängning är tillåten.

42. Den hänskjutande domstolen vill också få klarhet i vilken roll och vilka skyldigheter de nationella domstolarna har när de ska fatta beslut om tillstånd för tillsynsorganet att få tillgång till personuppgifter om domare och åklagare.

43. Den hänskjutande domstolen har i detta avseende påpekat att under år 2019 uppmärksammades i bulgariska medier ett allvarligt problem med säkerheten beträffande de uppgifter som innehades av tillsynsorganet. KZLD konstaterade nämligen att personuppgifter avseende ett tjugotal domare och åklagare som innehades av tillsynsorganet olagligen hade publicerats i sin helhet på tillsynsorganets webbplats, vilket hade lett till att KZLD ålagt tillsynsorganet böter. Den hänskjutande domstolen har emellertid angett att den inte förfogar över någon information som gör det möjligt för den att avgöra huruvida det efter denna incident har vidtagits åtgärder för att säkerställa datasäkerheten.

44. Den hänskjutande domstolen vill få klarhet i huruvida dess verksamhet, när den fattar beslut om tillstånd för tillsynsorganet att få tillgång till personuppgifter som omfattas av banksekretess, omfattas av dataskyddsförordningens tillämpningsområde och, om så är fallet, vilken betydelse detta har för den prövning som den ska utföra. Den hänskjutande domstolen har i detta sammanhang understrukit att personer som behandlar personuppgifter, personuppgiftsansvariga och tillsynsmyndigheter åläggs skyldigheter genom dataskyddsförordningen.

45. Vilka skyldigheter som åvilar en domstol när den ger en myndighet tillstånd att få tillgång till sådana uppgifter regleras däremot inte direkt i dataskyddsförordningen. Det ska således fastställas huruvida en sådan domstol ska anses vara en ”personuppgiftsansvarig”, i den mening som avses i artikel 4 led 7 i dataskyddsförordningen, eller en ”tillsynsmyndighet”, i den mening som avses i artikel 51 i förordningen, när den beviljar tillsynsorganet ett tillstånd utan vilket detta inte kan få tillgång till de berörda uppgifterna. Tillsynsorganet samlar in och kontrollerar, för de ändamål som avses i artiklarna 175a och 175d ZSV, uppgifter om domares och åklagares tillgångar, medan domstolarna kontrollerar denna verksamhet genom att bevilja eller neka tillgång till de aktuella uppgifterna.

46. Den hänskjutande domstolen har i detta sammanhang påpekat att dess prövning, enligt den i Bulgarien rådande tolkningen av nationell rätt, ska vara rent formell och begränsas till en kontroll av huruvida de personer som avses med ansökan om hävande av banksekretessen är personer som omfattas av deklarationsskyldigheten enligt ZSV, det vill säga huruvida de är domare eller åklagare, eller personer som har en familjerelation eller någon annan sådan relation till dessa som föreskrivs i denna lagstiftning. När dessa villkor är uppfyllda ska domstolarna i princip alltid ge tillstånd till att banksekretessen hävs. Så skulle däremot inte vara fallet om de domstolar som utövar förhandskontrollen kan anses vara ansvariga för den behandling av personuppgifter som de beviljar tillgång till, vilket skulle innebära att de måste säkerställa datasäkerheten enligt artiklarna 32–34 i dataskyddsförordningen.

47. Även om dessa domstolar inte har direkt tillgång till personuppgifter som omfattas av banksekretess, bestämmer de i viss mån ändamålen med behandlingen genom att tillåta eller förbjuda tillgång till dessa uppgifter. I de nationella bestämmelser som är tillämpliga i det nationella målet preciseras inte heller vilken myndighet som har en personuppgiftsansvarigs rättigheter och skyldigheter när ändamålen med behandlingen av personuppgifter fastställs i lag.

48. Den hänskjutande domstolen vill dessutom få klarhet i huruvida den, innan den beviljar tillgång till uppgifterna, får kontrollera huruvida tillsynsmyndigheten har vidtagit åtgärder för att säkerställa att uppgifterna behandlas i enlighet med lagen, vilket innebär att domstolen inte enbart har en registrerande roll.

49. Även om en domstol som har att besluta om tillstånd för tillsynsorganet att få tillgång till personuppgifter som omfattas av banksekretess inte är att anse som personuppgiftsansvarig eller tillsynsmyndighet, uppkommer frågan huruvida den ska utföra sådana kontroller för att säkerställa det effektiva domstolsskydd som föreskrivs i artikel 79 i dataskyddsförordningen. Denna bestämmelse reglerar visserligen de fall då den registrerade väcker talan vid domstol för att tillvarata sina rättigheter. När förfarandet för utlämnande av uppgifter genomförs utan den registrerades medverkan och det i nationell rätt föreskrivs en föregående domstolsprövning, förefaller det emellertid som om en liknande skyldighet bör gälla ex officio. Detta följer även av rätten till ett effektivt rättsmedel enligt artikel 47 i stadgan. I avsaknad av en sådan skyldighet skulle domstolarna i samtliga fall endast göra en formell prövning och bekräfta myndighetens handlande, vilket kan framstå som oförenligt med de syften som eftersträvas genom artikel 79 i dataskyddsförordningen.

50. Mot denna bakgrund beslutade Sofiyski rayonen sad (Distriktsdomstolen i Sofia) att vilandeförklara målen och ställa följande frågor, vilka är likalydande i målen C‑313/23, C‑316/23 och C‑332/23, till EU-domstolen:

”1) Ska artikel 19.1 andra stycket [FEU], jämförd med artikel 47 andra stycket i [stadgan], tolkas på så sätt att det i sig eller under vissa förutsättningar utgör ett åsidosättande av medlemsstaternas skyldighet att garantera effektiva rättsmedel i form av oberoende domstolsprövningar, om en myndighet, som kan besluta om disciplinpåföljder för domare och som har befogenhet att samla in uppgifter om deras tillgångar, fortsätter att bedriva sin verksamhet på obestämd tid, efter utgången av dess i konstitutionen fastställda verksamhetstid? Om en sådan förlängning av dessa befogenheter kan vara vilka är de villkor som måste vara uppfyllda för att detta ska vara fallet?

2) Ska artikel 2.2 a i [dataskyddsförordningen] tolkas på så sätt att en verksamhet som innebär hävande av banksekretessen för uppgifter om domares och åklagares tillgångar i syfte att kontrollera vilka tillgångar dessa har, vilka uppgifter sedan offentliggörs, inte omfattas av unionsrättens tillämpningsområde? Ska denna fråga besvaras annorlunda, om denna verksamhet även innebär ett utlämnande av uppgifter gällande domares och åklagares familjemedlemmar, som inte själva är domare eller åklagare?

3) Om svaret på den andra frågan är att unionsrätten är tillämplig, ska artikel 4 led 7 i dataskyddsförordningen då tolkas på så sätt att en domstol, som ger tillstånd till att en annan statlig myndighet får ta del av uppgifter om domares och åklagares samt deras familjemedlemmars banktillgodohavanden, ska anses bestämma ändamålen eller medlen för behandlingen av personuppgifter och därför är ’personuppgiftsansvarig’ för denna behandling?

4) Om svaret på den andra frågan är att unionsrätten är tillämplig och den tredje frågan ska besvaras nekande, ska artikel 51 i dataskyddsförordningen då tolkas på så sätt att en domstol som ger tillstånd till att en annan statlig myndighet får ta del av uppgifter om domares och åklagares samt deras familjemedlemmars banktillgodohavanden är ansvarig för att övervaka tillämpningen av dataskyddsförordningen och därmed är att betrakta som ’tillsynsmyndighet’ beträffande dessa uppgifter?

5) Om svaret på den andra frågan är att unionsrätten är tillämplig, och om den tredje eller den fjärde frågan ska besvaras jakande, ska artikel 32.1 b i dataskyddsförordningen, respektive artikel 57.1 a i samma förordning då tolkas på så sätt att en domstol, som ger tillstånd till att en annan statlig myndighet får ta del av uppgifter om domares och åklagares samt deras familjemedlemmars banktillgodohavanden, är skyldig att, när det föreligger information om att den myndighet som har ansökt om tillstånd att få ta del av uppgifter tidigare har brustit i skyddet för personuppgifter, inhämta information om vilka åtgärder som har vidtagits för att skydda uppgifterna och att kontrollera huruvida dessa åtgärder är tillräckliga när den beslutar om tillstånd att få ta del av uppgifterna?

6) Om svaret på den andra frågan är att unionsrätten är tillämplig, och oavsett svaret på den tredje och den fjärde frågan, ska artikel 79.1 i dataskyddsförordningen, jämförd med artikel 47 i [stadgan], då tolkas på så sätt att, om det i en medlemsstats nationella rätt föreskrivs att vissa kategorier av uppgifter endast får lämnas ut efter det att en domstol har givit tillstånd till det, den ifrågavarande behöriga domstolen ex officio ska säkerställa att de personer, vilkas uppgifter lämnas ut, får tillgång till ett rättsligt skydd genom att kräva att den myndighet som har ansökt om att få ta del av uppgifterna, och beträffande vilken det är känt att den tidigare har brustit i skyddet för personuppgifter, lämnar information om de åtgärder som vidtagits enligt artikel 33.3 d i dataskyddsförordningen och hur de faktiskt har tillämpats?”

Förfarandet vid domstolen

Förening av målen

51. Domstolens ordförande beslutade den 30 juni 2023 att förena målen C‑313/23, C‑316/23 och C‑332/23 vad gäller det skriftliga och det muntliga förfarandet samt domen.

Begäran om återupptagande av den muntliga delen av förfarandet

52. Genom handling som inkom till domstolens kansli den 30 oktober 2024 begärde tillsynsmyndigheten, med stöd av artikel 83 i domstolens rättegångsregler, att den skriftliga delen av förfarandet skulle återupptas. Eftersom nämnda artikel 83 reglerar återupptagandet av den muntliga delen av förfarandet och eftersom denna del i förevarande fall hade avslutats efter det att generaladvokaten föredragit sitt förslag till avgörande, ska denna begäran förstås så, att den syftar till att den muntliga delen av förfarandet ska återupptas.

53. Till stöd för sin begäran har tillsynsmyndigheten anfört två skäl som har samband med den första tolkningsfrågan. För det första har det inträffat en ny omständighet, då artikel 132a.4 i Bulgariens konstitution ändrades i december 2023 på så sätt att tillsynsorganets ledamöter hädanefter kan utses för två på varandra följande förordnanden. För det andra gjorde generaladvokaten i sitt förslag till avgörande en felaktig bedömning av situationen i det nationella målet genom att hänvisa till nationella bestämmelser och ett yttrande från Europeiska kommissionen för demokrati genom lag, även kallad Venedigkommissionen, vilka inte är relevanta i förevarande mål.

54. Domstolen erinrar i detta sammanhang om att det i stadgan för Europeiska unionens domstol och domstolens rättegångsregler inte föreskrivs någon möjlighet för de berörda rättssubjekt som avses i artikel 23 i den stadgan att inkomma med yttranden över generaladvokatens förslag till avgörande. Vidare gäller enligt artikel 252 andra stycket FEUF att generaladvokaterna vid offentliga domstolssessioner, fullständigt opartiskt och oavhängigt, ska lägga fram motiverade förslag till avgörande i mål som enligt domstolens stadga kräver att ett sådant förslag läggs fram. Domstolen är inte bunden av vare sig generaladvokatens förslag till avgörande eller av den motivering som han eller hon lagt till grund för det. Att en av parterna inte delar generaladvokatens uppfattning i förslaget till avgörande kan följaktligen, oavsett vilka frågor som generaladvokaten prövat däri, inte i sig utgöra ett tillräckligt skäl för att återuppta den muntliga delen av förfarandet (dom av den 19 december 2024, Ford Italia, C‑157/23, EU:C:2024:1045, punkt 26 och där angiven rättspraxis).

55. Domstolen får visserligen enligt artikel 83 i rättegångsreglerna, efter att ha hört generaladvokaten, när som helst besluta att den muntliga delen av förfarandet ska återupptas, bland annat om domstolen anser att den inte har tillräcklig kännedom om omständigheterna i målet, eller om en part, efter det att den muntliga delen har förklarats avslutad, har anfört en ny omständighet som kan ha ett avgörande inflytande på målets utgång, eller om målet ska avgöras på grundval av ett argument som inte har avhandlats mellan parterna.

56. I förevarande fall förfogar domstolen emellertid över alla uppgifter som den behöver för att kunna besvara frågorna i respektive begäran om förhandsavgörande, och förevarande mål ska inte avgöras på grundval av argument som inte har avhandlats mellan de berörda. I begäran om återupptagande av den muntliga delen av förfarandet nämns inte heller någon ny omständighet som kan ha ett avgörande inflytande på målens utgång.

57. Under dessa omständigheter finner domstolen, efter att ha hört generaladvokaten, att det saknas anledning att återuppta den muntliga delen av förfarandet.

Huruvida respektive begäran om förhandsavgörande kan tas upp till prövning

58. Den bulgariska regeringen har uttryckt tvivel om huruvida respektive begäran om förhandsavgörande kan tas upp till prövning, eftersom det hänskjutande organet i de nationella målen inte är en domstol i den mening som avses i artikel 267 FEUF. Förfarandena vid detta organ är nämligen ”ensidiga” på så sätt att de genomförs utan de berörda personernas medverkan. Dessutom har dessa förfaranden inte till syfte att lösa en rättstvist, eftersom deras enda syfte är att kontrollera huruvida villkoren för att häva banksekretessen är uppfyllda.

59. Enligt EU-domstolens fasta praxis beaktar denna, vid bedömningen av huruvida det hänskjutande organet utgör en domstol i den mening som avses i artikel 267 FEUF, vilket är en rent unionsrättslig fråga, ett antal omständigheter, däribland huruvida organet är upprättat enligt lag, organet är av stadigvarande karaktär, dess jurisdiktion är av tvingande art, organet tillämpar rättsregler och huruvida det har en oberoende ställning (se, för ett liknande resonemang, dom av den 29 mars 2022, Getin Noble Bank, C‑132/20, EU:C:2022:235, punkt 66, och dom av den 7 maj 2024, NADA m.fl., C‑115/22, EU:C:2024:384, punkt 35 och där angiven rättspraxis).

60. Det framgår även av fast rättspraxis att även om det enligt artikel 267 FEUF inte krävs att det förfarande i vilket den nationella domstolen har ställt en tolkningsfråga är kontradiktoriskt, för att en begäran om förhandsavgörande ska kunna framställas, är de nationella domstolarna endast behöriga att framställa en begäran till EU-domstolen om ett mål är anhängigt vid dem och om de ska fälla avgörande inom ramen för ett förfarande som är avsett att leda till ett avgörande av rättskipningskaraktär. Frågan huruvida ett organ är behörigt att begära ett förhandsavgörande av EU-domstolen ska således avgöras på grundval av såväl strukturella som funktionella kriterier. Ett nationellt organ kan anses vara en ”domstol”, i den mening som avses i artikel 267 FEUF, när det fullgör dömande uppgifter, men inte när det fullgör andra uppgifter, såsom till exempel förvaltningsuppgifter (se, för ett liknande resonemang, dom av den 3 maj 2022, CityRail, C‑453/20, EU:C:2022:341, punkterna 42 och 43 och där angiven rättspraxis).

61. Det har inte bestritts att Sofiyski rayonen sad (Distriktsdomstolen i Sofia) som sådan uppfyller de krav som det erinrats om i punkt 59 ovan, avseende dess ursprung, varaktighet, tillämpning av rättsregler och dess oavhängighet, och det finns inga uppgifter i handlingarna i målet som ger anledning till tvivel i detta avseende. Vad som i förevarande fall har ifrågasatts av den bulgariska regeringen är huruvida denna domstol ska fälla avgörande i ett förfarande som är avsett att leda till ett avgörande av rättskipningskaraktär. Det ska i detta hänseende påpekas att den hänskjutande domstolen har att ta ställning till en ansökan från tillsynsorganet om hävande av banksekretessen enligt artikel 62.6 led 12 ZKI. Även om den bulgariska regeringen har gjort gällande att den prövning som den hänskjutande domstolen ska göra är rent formell, kvarstår det faktum att denna har att pröva huruvida de lagstadgade villkoren för att häva banksekretessen är uppfyllda, att avgöra frågan genom ett motiverat beslut och att fastställa den tid under vilken hävningen av banksekretessen ska gälla.

62. I synnerhet är det tillstånd som den hänskjutande domstolen kan ge avsett att ersätta de berörda personernas samtycke, vilket framgår av artikel 62.5 ZKI. Ett sådant tillstånd kan göras gällande mot de banker i vilka dessa personer har bankkonton och innebär att tillsynsorganet kan få tillgång till personuppgifter avseende dessa konton. En sådan tillgång innebär vidare ett ingrepp i dessa personers grundläggande rättigheter, vilka föreskrivs i artiklarna 7 och 8 i stadgan (se, för ett liknande resonemang, dom av den 6 oktober 2020, État luxembourgeois (Rätt att överklaga en begäran om upplysningar i skattefrågor), C‑245/19 och C‑246/19, EU:C:2020:795, punkt 74).

63. Under dessa omständigheter består de uppgifter som den hänskjutande domstolen fullgör enligt artikel 62.6 led 12 ZKI inte i att anta förvaltningsbeslut som kan överklagas till domstol, utan ska kvalificeras som dömande verksamhet, eftersom denna domstol oavhängigt ska fälla ett avgörande för att säkerställa att hävandet av banksekretessen är lagligt (se, analogt, beslut av den 15 januari 2004, Saetti och Frediani, C‑235/02, EU:C:2004:26, punkt 23).

64. Respektive begäran om förhandsavgörande kan följaktligen tas upp till prövning.

Prövning av tolkningsfrågorna

Den första frågan

65. Det ska inledningsvis erinras om att det av fast rättspraxis följer att det ankommer på EU-domstolen, i det förfarande för samarbete mellan nationella domstolar och EU-domstolen som införts genom artikel 267 FEUF, att ge den nationella domstolen ett användbart svar, som gör det möjligt för den domstolen att avgöra det mål som den ska pröva. I detta syfte kan EU-domstolen behöva omformulera den fråga som hänskjutits (dom av den 30 januari 2024, Direktor na Glavna direktsia ”Natsionalna politsia” pri MVR – Sofia, C‑118/22, EU:C:2024:97, punkt 31 och där angiven rättspraxis).

66. Även om den första frågan i förevarande fall hänför sig till ett judiciellt organ ”som kan besluta om disciplinpåföljder för domare och som har befogenhet att samla in uppgifter om deras tillgångar”, framgår det såväl av respektive begäran om förhandsavgörande som av handlingarna i målet att detta organ granskar domares och åklagares tjänsteutövning och deras integritet samt kontrollerar avsaknaden av intressekonflikter beträffande dessa, samt att organet härvid har befogenhet att samla in personuppgifter som rör dem. Nämnda organ har i synnerhet befogenhet, efter att sådana kontroller genomförts, att rekommendera ett annat judiciellt organ att inleda ett disciplinförfarande i syfte att ålägga domare eller åklagare disciplinpåföljder.

67. Såsom framgår av respektive begäran om förhandsavgörande anser den hänskjutande domstolen emellertid att den omständigheten att ledamöterna av tillsynsorganet, vilka utses av nationalförsamlingens ledamöter med två tredjedelars majoritet, fortsätter att utöva sin tjänst trots att deras förordnande har löpt ut ger upphov till frågor om huruvida detta är förenligt med kravet på domstolsväsendets oavhängighet. Den hänskjutande domstolen vill nämligen få klarhet i huruvida det i ett sådant sammanhang finns risk för att ledamöterna av detta judiciella organ kan utöva otillbörlig påverkan på domare eller åklagare eller för att de utsätts för påtryckningar från ledamöter av nationalförsamlingen för att fortsätta sin verksamhet.

68. Den första tolkningsfrågan avser således tolkningen av artikel 19.1 andra stycket FEU, jämförd med artikel 47 i stadgan, med avseende på enbart förlängningen av utgångna förordnanden för tillsynsorganets ledamöter, men avser inte själva omfattningen av detta judiciella organs befogenheter.

69. Under dessa omständigheter ska den hänskjutande domstolen anses ha ställt den första frågan för att få klarhet i huruvida och, i förekommande fall, under vilka omständigheter artikel 19.1 andra stycket FEU, jämförd med artikel 47 i stadgan, utgör hinder för en medlemsstats praxis enligt vilken ledamöterna av ett judiciellt organ i denna medlemsstat, vilka utsetts av medlemsstatens parlament för tidsbegränsade förordnanden och vilka har befogenhet att granska domarnas och åklagarnas tjänsteutövning och deras integritet, kontrollera avsaknaden av intressekonflikter beträffande dessa och rekommendera ett annat judiciellt organ att inleda ett disciplinförfarande för att de ska åläggas disciplinpåföljder, fortsätter att utöva sin tjänst efter utgången av sin legala förordnandetid, som fastställs i nämnda medlemsstats konstitution, till dess att parlamentet har utsett nya ledamöter.

Domstolens behörighet

70. Den polska regeringen har gjort gällande att domstolen inte är behörig att besvara den första frågan, eftersom unionen inte har befogenhet att reglera hur medlemsstaternas domstolsväsenden ska organiseras.

71. Även om domstolsväsendets organisation i medlemsstaterna omfattas av dessas befogenhet, är de vid utövandet av denna befogenhet likväl skyldiga att iaktta sina förpliktelser enligt unionsrätten, särskilt artikel 19.1 andra stycket FEU (se, för ett liknande resonemang, dom av den 9 januari 2024, G. m.fl. (Utnämning av domare vid allmänna domstolar i Polen), C‑181/21 och C‑269/21, EU:C:2024:1, punkt 57 och där angiven rättspraxis).

72. Detta gäller även i fråga om nationella bestämmelser som reglerar domares disciplinära ansvar (se, för ett liknande resonemang, dom av den 21 december 2021, Euro Box Promotion m.fl., C‑357/19, C‑379/19, C‑547/19, C‑811/19 och C‑840/19, EU:C:2021:1034, punkt 133, och dom av den 11 maj 2023, Inspecţia Judiciară, C‑817/21, EU:C:2023:391, punkt 44 och där angiven rättspraxis), däri inbegripet bestämmelser som rör organisationen av och verksamheten vid ett judiciellt organ som, i likhet med tillsynsorganet, har befogenhet att granska domarnas tjänsteutövning och integritet, kontrollera avsaknaden av intressekonflikter beträffande dessa och rekommendera ett annat judiciellt organ att inleda ett disciplinförfarande för att de ska åläggas disciplinpåföljder.

73. Under dessa omständigheter, och då den första frågan avser tolkningen av unionsrätten, är domstolen behörig att besvara denna fråga.

Huruvida tolkningsfrågan kan tas upp till prövning

74. Den bulgariska regeringen och tillsynsorganet har gjort gällande att den första frågan inte kan tas upp till prövning, eftersom tillsynsorganet inte har befogenhet att ålägga disciplinpåföljder, vilket innebär att den första frågan inte har något samband med saken i de nationella målen.

75. Tillsynsmyndigheten har dessutom gjort gällande att den första frågan är hypotetisk. De nationella målen har enligt denna myndighet nämligen inte något samband med disciplinförfaranden. Dessutom har den hänskjutande domstolen inte preciserat på vilket sätt det påstådda åsidosättandet i det nationella målet skulle vara av strukturell karaktär, trots att det kan konstateras föreligga en överträdelse av artikel 19.1 andra stycket FEU endast om det föreligger ett strukturellt åsidosättande av kravet på oavhängighet.

76. Enligt fast rättspraxis ankommer det uteslutande på den nationella domstolen, vid vilken målet anhängiggjorts och vilken har ansvaret för det rättsliga avgörandet, att mot bakgrund av de särskilda omständigheterna i målet bedöma såväl om ett förhandsavgörande är nödvändigt för att döma i saken som relevansen av de frågor som ställs till EU-domstolen. EU-domstolen är följaktligen i princip skyldig att meddela ett förhandsavgörande när de frågor som ställts avser tolkningen av en unionsbestämmelse (dom av den 16 februari 2023, Rzecznik Praw Dziecka m.fl. (Uppskov med verkställigheten av avgörandet om återlämnande), C‑638/22 PPU, EU:C:2023:103, punkt 47, och dom av den 24 juli 2023, Lin, C‑107/23 PPU, EU:C:2023:606, punkt 61).

77. Frågor som rör unionsrätten presumeras följaktligen vara relevanta. En tolkningsfråga från en nationell domstol kan bara avvisas då det är uppenbart att den begärda tolkningen av en unionsbestämmelse inte har något samband med de verkliga omständigheterna eller saken i det nationella målet eller då frågeställningen är hypotetisk eller EU-domstolen inte har tillgång till sådana uppgifter om de faktiska eller rättsliga omständigheterna som är nödvändiga för att kunna ge ett användbart svar på de frågor som ställts till den (se, för ett liknande resonemang, dom av den 16 februari 2023, Rzecznik Praw Dziecka m.fl. (Uppskov med verkställigheten av avgörandet om återlämnande), C‑638/22 PPU, EU:C:2023:103, punkt 48, och dom av den 24 juli 2023, Lin, C‑107/23 PPU, EU:C:2023:606, punkt 62).

78. I förevarande fall vill den hänskjutande domstolen få klarhet i hur tillsynsorganets ansökningar om tillstånd att få tillgång till uppgifter om olika domares och deras familjemedlemmars bankkonton ska behandlas. Den hänskjutande domstolen vill särskilt få klarhet i huruvida unionsrätten utgör hinder för att ett sådant judiciellt organ kan ge in sådana ansökningar trots att samtliga ledamöters förordnanden har löpt ut sedan flera år tillbaka. Det förefaller således som om det ankommer på den hänskjutande domstolen att avgöra denna fråga som en prejudiciell fråga i förfarandets inledningsskede (in limine litis), innan den kan ta ställning till de ansökningar som getts in till den. Den begärda tolkningen av unionsrätten är således objektivt nödvändig för att den hänskjutande domstolen ska kunna meddela sitt avgörande (se, för ett liknande resonemang, dom av den 18 maj 2021, Asociaţia ”Forumul Judecătorilor din România” m.fl., C‑83/19, C‑127/19, C‑195/19, C‑291/19, C‑355/19 och C‑397/19, EU:C:2021:393, punkterna 118 och 119).

79. När det gäller de synpunkter från tillsynsorganet som har nämnts i punkt 75 ovan, i fråga om bland annat de befogenheter som den har i de aktuella nationella förfarandena och avsaknaden av ett strukturellt åsidosättande av de krav som följer av artikel 19.1 andra stycket FEU, konstaterar domstolen att dessa i själva verket hör till prövningen i sak av den första frågan och därför inte kan föranleda att frågan ska avvisas.

80. Härav följer att den första tolkningsfrågan kan tas upp till prövning.

Prövning i sak

81. Det åligger varje medlemsstat, enligt artikel 19.1 andra stycket FEU, att säkerställa att de instanser som i egenskap av ”domstol”, i den mening som avses i unionsrätten, har att pröva frågor om tillämpningen eller tolkningen av unionsrätten och som således hör till dess system med rättsmedel inom de områden som omfattas av unionsrätten uppfyller kraven på ett effektivt domstolsskydd, inklusive kravet på oavhängighet (dom av den 11 juli 2024, Hann-Invest m.fl., C‑554/21, C‑622/21 och C‑727/21, EU:C:2024:594, punkt 47 och där angiven rättspraxis).

82. Själva förekomsten av en effektiv domstolsprövning i syfte att säkerställa iakttagandet av unionsrätten är i sig en grundförutsättning för en rättsstat. Medlemsstaterna ska i detta syfte, i enlighet med artikel 19.1 andra stycket FEU, fastställa överklagandemöjligheter och förfaranden som säkerställer ett effektivt domstolsskydd för enskilda rättssubjekt inom de områden som omfattas av unionsrätten. Principen om ett effektivt domstolsskydd för de rättigheter som enskilda rättssubjekt har enligt unionsrätten, vilket är en princip som artikel 19.1 andra stycket FEU hänvisar till, utgör en allmän princip i unionsrätten. Denna princip följer av medlemsstaternas gemensamma konstitutionella traditioner och har kommit till uttryck i artiklarna 6 och 13 i Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna, undertecknad i Rom den 4 november 1950, och den har numera även stadfästs i artikel 47 i stadgan (dom av den 21 december 2021, Euro Box Promotion m.fl., C‑357/19, C‑379/19, C‑547/19, C‑811/19 och C‑840/19, EU:C:2021:1034, punkt 219 och där angiven rättspraxis).

83. En grundförutsättning i detta sammanhang är att de instanser som kan ha att avgöra frågeställningar som rör unionsrättens tillämpning eller tolkning är oavhängiga, vilket bekräftas av artikel 47 andra stycket i stadgan, där tillgången till en ”oavhängig” domstol anges som ett av de krav som följer av den grundläggande rätten till ett effektivt rättsmedel (dom av den 18 maj 2021, Asociaţia ”Forumul Judecătorilor din România” m.fl., C‑83/19, C‑127/19, C‑195/19, C‑291/19, C‑355/19 och C‑397/19, EU:C:2021:393, punkt 194 och där angiven rättspraxis).

84. Detta krav på oavhängiga domstolar – vilket är oupplösligt förbundet med rättskipningsuppdraget – är en del av kärninnehållet i rätten till ett effektivt domstolsskydd och i den grundläggande rätten till en rättvis rättegång, varvid den sistnämnda är av vital betydelse för att garantera att samtliga de rättigheter som enskilda tillerkänns enligt unionsrätten skyddas och att medlemsstaternas gemensamma värden som anges i artikel 2 FEU, bland annat rättsstatsprincipen, upprätthålls. Enligt maktdelningsprincipen, som är kännetecknande för hur en rättsstat fungerar, ska domstolarnas oavhängighet särskilt garanteras gentemot den lagstiftande och den verkställande makten (dom av den 18 maj 2021, Asociaţia ”Forumul Judecătorilor din România” m.fl., C‑83/19, C‑127/19, C‑195/19, C‑291/19, C‑355/19 och C‑397/19, EU:C:2021:393, punkt 195 och där angiven rättspraxis).

85. De garantier som erfordras enligt unionsrätten för oavhängighet och opartiskhet förutsätter, enligt fast rättspraxis, att det finns regler som utesluter allt rimligt tvivel som enskilda rättssubjekt skulle kunna hysa beträffande det aktuella organets pålitlighet i förhållande till yttre omständigheter och organets neutralitet i förhållande till föreliggande motstående intressen (dom av den 20 april 2021, Repubblika, C‑896/19, EU:C:2021:311, punkt 53 och där angiven rättspraxis, och dom av den 18 maj 2021, Asociaţia ”Forumul Judecătorilor din România” m.fl., C‑83/19, C‑127/19, C‑195/19, C‑291/19, C‑355/19 och C‑397/19, EU:C:2021:393, punkt 196).

86. Vad närmare bestämt gäller de bestämmelser som reglerar systemet med disciplinåtgärder mot domare, förutsätter det krav på domstolarnas oavhängighet som följer av artikel 19.1 andra stycket FEU att detta system innehåller de skyddsregler som behövs för att helt förhindra risken för att ett sådant system används som ett system för politisk kontroll över innehållet i domstolarnas avgöranden. Regler som bland annat anger vilka handlingar som kan föranleda disciplinära åtgärder och vilka disciplinära åtgärder som konkret är tillämpliga, som föreskriver att disciplinära beslut fattas av ett oavhängigt organ i enlighet med ett förfarande som till fullo garanterar att rättigheterna enligt artiklarna 47 och 48 i stadgan respekteras – bland annat rätten till försvar – och som gör det möjligt att överklaga besluten från de disciplinära organen till domstol, är alla skyddsregler som är av grundläggande betydelse för att domstolsväsendets oavhängighet ska upprätthållas (dom av den 18 maj 2021, Asociaţia ”Forumul Judecătorilor din România” m.fl., C‑83/19, C‑127/19, C‑195/19, C‑291/19, C‑355/19 C‑397/19, EU:C:2021:393, punkt 198 och där angiven rättspraxis, och dom av den 11 maj 2023, Inspecţia Judiciară, C‑817/21, EU:C:2023:391, punkt 48 och där angiven rättspraxis).

87. Vetskapen om att en disciplinär utredning kan komma att inledas kan i sig innebära en påtryckning gentemot dem som har i uppgift att döma i ett mål. Domstolen har därför redan slagit fast att det är nödvändigt att det organ som är behörigt att utföra utredningar och vidta disciplinära åtgärder agerar på ett objektivt och opartiskt sätt vid fullgörandet av sina uppgifter och att detta organ skyddas mot inblandning utifrån (dom av den 18 maj 2021, Asociaţia ”Forumul Judecătorilor din România” m.fl., C‑83/19, C‑127/19, C‑195/19, C‑291/19, C‑355/19 C‑397/19, EU:C:2021:393, punkt 199, och dom av den 11 maj 2023, Inspecţia Judiciară, C‑817/21, EU:C:2023:391, punkt 49). Detta gäller särskilt ett judiciellt organ som, i likhet med tillsynsorganet, har ett stort utrymme för skönsmässig bedömning när det gäller att granska domarnas och åklagarnas tjänsteutövning och deras integritet samt kontrollera avsaknaden av intressekonflikter beträffande dessa samt att, efter sådana kontroller, rekommendera ett annat judiciellt organ att inleda ett disciplinförfarande för att de ska åläggas disciplinpåföljder.

88. Det är viktigt att samtliga bestämmelser som reglerar ett sådant organs organisation och verksamhet, inklusive de som reglerar förfarandet för utnämning av dess ledamöter, är utformade på ett sådant sätt att de inte kan ge upphov till något rimligt tvivel hos enskilda om huruvida ett sådant organs befogenheter och verksamhet används som ett medel för påtryckningar på eller politisk kontroll över nämnda rättskipande eller rättsvårdande verksamhet (se, för ett liknande resonemang, dom av den 11 maj 2023, Inspecţia Judiciară, C‑817/21, EU:C:2023:391, punkterna 50 och 51 och där angiven rättspraxis).

89. Dessa bestämmelser kan nämligen allmänt sett direkt påverka det nämnda organets praxis och således hindra eller, tvärtom, främja disciplinära åtgärder som har till syfte eller som verkan att utöva påtryckningar på dem som har till uppgift att döma eller säkerställa politisk kontroll över deras verksamhet (se, för ett liknande resonemang, dom av den 11 maj 2023, Inspecţia Judiciară, C‑817/21, EU:C:2023:391, punkt 52).

90. Det ankommer slutligen på den hänskjutande domstolen att, efter att ha gjort de bedömningar som krävs för detta ändamål, ta ställning till det aktuella organets pålitlighet i förhållande till all yttre påverkan och till dess objektivitet och opartiskhet vid fullgörandet av dess uppgifter. EU-domstolen är nämligen enligt artikel 267 FEUF inte behörig att tillämpa unionsbestämmelserna på ett visst fall, utan är endast behörig att uttala sig om tolkningen av fördragen och de rättsakter som antagits av unionsinstitutionerna. Enligt fast rättspraxis kan EU-domstolen emellertid, inom ramen för det samarbete mellan domstolar som har inrättats genom artikel 267 FEUF, med utgångspunkt i handlingarna i målet tillhandahålla den nationella domstolen de uppgifter om unionsrättens tolkning som den kan behöva för att bedöma verkningarna av en viss unionsbestämmelse (se, för ett liknande resonemang, dom av den 11 maj 2023, Inspecţia Judiciară, C‑817/21, EU:C:2023:391, punkt 58).

91. I förevarande fall består tillsynsorganet av en generalinspektör och tio inspektörer som utses av nationalförsamlingen med två tredjedelars majoritet av ledamöterna för en förordnandetid på fem respektive fyra år. Enligt den nationella lagstiftning som var tillämplig när förevarande begäran om förhandsavgörande gavs in kunde tillsynsorganets ledamöter inte utses på nytt för ett andra förordnande omedelbart efter det att det första har löpt ut.

92. Vad gäller den situation som är aktuell i det nationella målet, där förordnandena för ledamöterna av tillsynsorganet har löpt ut utan att nationalförsamlingen har utsett några nya ledamöter av detta organ, förefaller den nationella lagstiftningen inte innehålla någon bestämmelse om att ledamöter av tillsynsorganet vars förordnande har löpt ut kan fortsätta att utöva sin tjänst. Enligt uppgifter från den hänskjutande domstolen fortsätter ledamöterna av tillsynsorganet i en sådan situation visserligen att utöva sin tjänst till dess att nationalförsamlingen har utsett nya ledamöter i enlighet med praxis från Konstitutsionen sad (Författningsdomstolen). Bulgarisk rätt innehåller således inte några bestämmelser som reglerar det på detta sätt förlängda utövandet av tjänsten. Det finns emellertid inte heller någon rättslig bestämmelse som gör det möjligt att häva en eventuell blockering i förfarandet för utnämning av nya ledamöter av tillsynsorganet. De tidigare ledamöternas förordnanden förefaller således i praktiken kunna förlängas utan tidsbegränsning.

93. Även om det endast tillkommer medlemsstaterna att besluta huruvida det ska vara tillåtet för ledamöter av ett judiciellt organ, som har befogenhet att granska domares och åklagares verksamhet och rekommendera att disciplinförfaranden inleds mot dem, att fortsätta att utöva sin tjänst efter det att deras legala förordnandetid har löpt ut, för att säkerställa kontinuiteten i detta organs verksamhet, är medlemsstaterna likväl skyldiga, om de beslutar att dessa förordnanden ska kunna förlängas, att se till att utövandet av tjänsten efter det att förordnandena har löpt ut har en uttrycklig rättslig grund i nationell rätt som innefattar klara och precisa bestämmelser som reglerar detta utövande.

94. Medlemsstaterna ska dessutom se till att de villkor och former som gäller för ett sådant utövande utformas på ett sådant sätt att de berörda ledamöterna av ett sådant judiciellt organ kan fullgöra sina uppgifter på ett objektivt och opartiskt sätt och att de för detta ändamål är fria från all yttre påverkan, såsom krävs enligt den rättspraxis som det hänvisas till i punkterna 87 och 88 ovan.

95. Såsom generaladvokaten har påpekat i punkt 58 i sitt förslag till avgörande kan det dessutom, även om en förlängning av förordnandena under vissa omständigheter kan visa sig vara nödvändig med hänsyn till vikten av de uppgifter som det berörda judiciella organet utför, icke desto mindre konstateras att detta organ, efter det att den legala förordnandetiden har löpt ut, agerar utan att det finns någon uttrycklig rättslig grund i nationell rätt som innefattar klara och precisa bestämmelser som reglerar fullgörandet av dessa uppgifter. En sådan förlängning kan således vara tillåten endast i undantagsfall, under förutsättning att förlängningen av förordnandetiden regleras i klara och precisa bestämmelser som i praktiken utesluter en förlängning utan begränsning i tiden.

96. När en medlemsstat antar en sådan reglering får den emellertid inte ändra sin lagstiftning eller konstitution på ett sådant sätt att skyddet av rättsstatsprincipen sänks, ett värde som bland annat konkretiserats i artikel 19 FEU, särskilt vad gäller garantierna för domarnas oavhängighet i förhållande till den lagstiftande och den verkställande makten (se, för ett liknande resonemang, dom av den 20 april 2021, Repubblika, C‑896/19, EU:C:2021:311, punkterna 63 och 65).

97. Mot bakgrund av det ovan anförda ska den första frågan besvaras enligt följande. Artikel 19.1 andra stycket FEU, jämförd med artikel 47 i stadgan, ska tolkas så, att principen om domares oavhängighet utgör hinder för en medlemsstats praxis enligt vilken ledamöterna av ett judiciellt organ i denna medlemsstat – vilka har utsetts av medlemsstatens parlament för tidsbegränsade förordnanden och vilka har befogenhet att granska domarnas och åklagarnas tjänsteutövning och deras integritet, kontrollera avsaknaden av intressekonflikter beträffande dessa och rekommendera ett annat judiciellt organ att inleda ett disciplinförfarande för att de ska åläggas disciplinpåföljder – fortsätter att utöva sin tjänst efter utgången av sin legala förordnandetid, som fastställs i nämnda medlemsstats konstitution, till dess att parlamentet har utsett nya ledamöter, utan att förlängningen av förordnandena har någon uttrycklig rättslig grund i nationell rätt som innefattar klara och precisa bestämmelser som reglerar utövandet av tjänsten och utan att det säkerställs att förlängningen i praktiken är begränsad i tiden.

Den andra frågan

98. Den hänskjutande domstolen har ställt den andra frågan för att få klarhet i huruvida artikel 2 i dataskyddsförordningen ska tolkas så, att utlämnande till ett judiciellt organ av personuppgifter som omfattas av banksekretess och som rör domare eller åklagare och deras familjemedlemmar, i syfte att kontrollera dessa domare och åklagares deklarationer avseende deras och deras familjemedlemmars tillgångar, vilka deklarationer offentliggörs, utgör en behandling av personuppgifter som omfattas av denna förordnings materiella tillämpningsområde.

99. Enligt fast rättspraxis ges i artikel 2.1 i dataskyddsförordningen en mycket vid definition av förordningens materiella tillämpningsområde. Med undantag för de fall som nämns i artikel 2.2 och 2.3 i dataskyddsförordningen, är denna tillämplig på behandling av personuppgifter som utförs såväl av privatpersoner som av offentliga myndigheter, inklusive, såsom anges i skäl 20 i förordningen, rättsliga myndigheter, såsom domstolar (se, för ett liknande resonemang, dom av den 24 mars 2022, Autoriteit Persoonsgegevens, C‑245/20, EU:C:2022:216, punkt 25, och dom av den 16 januari 2024, Österreichische Datenschutzbehörde, C‑33/22, EU:C:2024:46, punkterna 33 och 36).

100. Domstolen har dessutom redan slagit fast att varken den omständigheten att de uppgifter som avses i nationella bestämmelser rör domare eller den omständigheten att dessa uppgifter eventuellt kan ha vissa kopplingar till domarnas tjänsteutövning i sig medför att dessa nationella bestämmelser undantas från dataskyddsförordningens tillämpningsområde (dom av den 5 juni 2023, kommissionen/Polen (Domares oavhängighet och privatliv), C‑204/21, EU:C:2023:442, punkt 315).

101. I artikel 2.2 och 2.3 i dataskyddsförordningen fastställs nämligen på ett uttömmande sätt undantagen från regeln i punkt 1 i den artikeln som bestämmer förordningens materiella tillämpningsområde, och dessa undantag, särskilt dem som föreskrivs i punkt 2, ska tolkas restriktivt (se, för ett liknande resonemang, dom av den 22 juni 2021, Latvijas Republikas Saeima (Prickning), C‑439/19, EU:C:2021:504, punkt 62, dom av den 5 juni 2023, kommissionen/Polen (Domares oavhängighet och privatliv), C‑204/21, EU:C:2023:442, punkt 316, och dom av den 16 januari 2024, Österreichische Datenschutzbehörde, C‑33/22, EU:C:2024:46, punkt 37).

102. I artikel 2.2 a i dataskyddsförordningen, vilken specifikt avses med den andra tolkningsfrågan, föreskrivs att denna förordning inte ska tillämpas på behandling av personuppgifter ”som utgör ett led i en verksamhet som inte omfattas av unionsrätten”.

103. Enligt fast rättspraxis har denna bestämmelse, jämförd med skäl 16 i dataskyddsförordningen, endast till syfte att från förordningens tillämpningsområde undanta sådan behandling av personuppgifter som statliga myndigheter utför inom ramen för en verksamhet som syftar till att värna den nationella säkerheten eller en verksamhet som kan hänföras till samma kategori. Verksamhet som syftar till att värna den nationella säkerheten omfattar särskilt sådan verksamhet som syftar till att skydda statens väsentliga funktioner och samhällets grundläggande intressen. Enbart den omständigheten att en verksamhet endast kan bedrivas av staten eller av en myndighet räcker emellertid inte för att detta undantag automatiskt ska vara tillämpligt på en sådan verksamhet (se, för ett liknande resonemang, dom av den 22 juni 2021, Latvijas Republikas Saeima (Prickning) C‑439/19, EU:C:2021:504, punkterna 66 och 67, dom av den 8 december 2022, Inspektor v Inspektorata kam Visshia sadeben savet (Ändamålen med behandlingen av personuppgifter – Brottsutredning), C‑180/21, EU:C:2022:967, punkt 79, och dom av den 5 juni 2023, kommissionen/Polen (Domares oavhängighet och privatliv), C‑204/21, EU:C:2023:442, punkterna 317 och 318).

104. Säkerställandet av god rättskipning i medlemsstaterna och, i synnerhet, antagandet av bestämmelser som är tillämpliga på domares och åklagares ställning och tjänsteutövning – särskilt vad gäller de förstnämndas – omfattas visserligen av medlemsstaternas behörighet (se, för en motsvarande uppfattning, dom av den 5 juni 2023, kommissionen/Polen (Domares oavhängighet och privatliv), C‑204/21, EU:C:2023:442, punkt 319). En behandling av uppgifter, såsom den som är aktuell i det nationella målet, som syftar till att granska domarnas och åklagarnas integritet och att kontrollera huruvida det föreligger eventuella intressekonflikter beträffande dessa, ingår emellertid varken i en verksamhet som syftar till att värna den nationella säkerheten eller i en verksamhet som kan hänföras till samma kategori.

105. Det ska dessutom påpekas att utlämnande till ett judiciellt organ av personuppgifter som omfattas av banksekretess och som rör domare eller åklagare och deras familjemedlemmar, i syfte att kontrollera deklarationer avseende deras och deras familjemedlemmars tillgångar, vilka offentliggörs, utgör en ”behandling” i den mening som avses i artikel 4 led 2 i dataskyddsförordningen. Ett sådant utlämnande innebär nämligen att dessa personuppgifter görs tillgängliga för detta organ.

106. Artikel 2 i dataskyddsförordningen ska tolkas så, att utlämnande till ett judiciellt organ av personuppgifter som omfattas av banksekretess och som rör domare eller åklagare och deras familjemedlemmar, i syfte att kontrollera dessa domare och åklagares deklarationer avseende deras och deras familjemedlemmars tillgångar, vilka deklarationer offentliggörs, utgör en behandling av personuppgifter som omfattas av denna förordnings materiella tillämpningsområde.

Den tredje frågan

107. Den hänskjutande domstolen har ställt den tredje frågan för att få klarhet i huruvida artikel 4 led 7 i dataskyddsförordningen ska tolkas så, att en domstol som är behörig att, på begäran av ett annat judiciellt organ, ge tillstånd till att en bank lämnar ut uppgifter om domares eller åklagares och deras familjemedlemmars bankkonton till detta organ, kan kvalificeras som personuppgiftsansvarig i den mening som avses i denna bestämmelse.

108. Enligt artikel 4 led 7 i dataskyddsförordningen, omfattar begreppet personuppgiftsansvarig fysiska eller juridiska personer, offentliga myndigheter, institutioner eller andra organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. I bestämmelsen föreskrivs även att om ändamålen och medlen för behandlingen bestäms av en medlemsstats nationella rätt kan den personuppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses föreskrivas i nämnda nationella rätt.

109. Enligt domstolens fasta praxis syftar denna bestämmelse till att, genom en vid definition av begreppet personuppgiftsansvarig, i överensstämmelse med dataskyddsförordningens syfte säkerställa ett effektivt och fullständigt skydd för fysiska personers grundläggande fri- och rättigheter och, i synnerhet, en hög skyddsnivå för vars och ens rätt till skydd av de personuppgifter som rör honom eller henne (se, för ett liknande resonemang, dom av den 5 december 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, punkterna 28 och 29, och dom av den 7 mars 2024, IAB Europe, C‑604/22, EU:C:2024:214, punkterna 53–55 och där angiven rättspraxis).

110. För att avgöra huruvida en person eller enhet ska kvalificeras som personuppgiftsansvarig, i den mening som avses i artikel 4 led 7 i dataskyddsförordningen, ska det således undersökas huruvida denna person eller denna enhet ensam eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen eller huruvida dessa bestäms av nationell rätt. När dessa bestäms av nationell rätt, ska det kontrolleras huruvida det i nationell rätt föreskrivs vem som är personuppgiftsansvarig eller om det däri föreskrivs särskilda kriterier för hur denne ska utses (dom av den 27 februari 2025, Amt der Tiroler Landesregierung, C‑638/23, EU:C:2025:127, punkt 27).

111. Det ska också påpekas att med hänsyn till den vida definitionen av begreppet personuppgiftsansvarig i den mening som avses i artikel 4 led 7 i dataskyddsförordningen kan bestämmandet av ändamålen och medlen för behandlingen och, i förekommande fall, fastställandet av denne ansvarige enligt nationell rätt inte bara vara uttryckligt utan även underförstått. I det sistnämnda fallet krävs det emellertid att detta bestämmande av ändamålen och medlen för behandlingen med tillräcklig säkerhet följer av den roll, det uppdrag och de befogenheter som tilldelats den berörda personen eller enheten (dom av den 27 februari 2025, Amt der Tiroler Landesregierung, C‑638/23, EU:C:2025:127, punkt 28).

112. Det skulle nämligen minska skyddet för de registrerade om artikel 4 led 7 i dataskyddsförordningen tolkades restriktivt, så att denna bestämmelse endast omfattade de fall där ändamålen med och medlen för en personuppgiftsbehandling som utförs av en person, en offentlig myndighet, en institution eller ett organ uttryckligen bestäms i nationell rätt, trots att dessa ändamål och medel i huvudsak framgår av de lagbestämmelser som reglerar den berörda enhetens verksamhet (dom av den 11 januari 2024, État belge (Personuppgifter som behandlas av en officiell tidning), C‑231/22, EU:C:2024:7, punkt 30).

113. I förevarande fall vill den hänskjutande domstolen få klarhet i huruvida den ska anses vara personuppgiftsansvarig för den behandling som är aktuell i det nationella målet, det vill säga utlämnandet av personuppgifter som omfattas av banksekretess till tillsynsorganet, på grund av att den enligt lag har att bevilja tillstånd till ett sådant utlämnande.

114. Enligt den nationella lagstiftning som är tillämplig i de nationella målen har tillsynsmyndigheten bland annat befogenhet att granska domarnas och åklagarnas integritet och kontrollera avsaknaden av intressekonflikter beträffande dessa samt deras tillgångsdeklarationer. För detta ändamål ges tillsynsorganet i denna lagstiftning möjlighet att begära tillgång till uppgifter om domares och åklagares samt deras familjemedlemmars bankkonton. För det fall de registrerade inte har gett sitt samtycke till att dessa uppgifter lämnas ut, har nämnda judiciella myndighet, enligt nämnda lagstiftning, befogenhet att ansöka hos domstol om tillstånd att få tillgång till dessa uppgifter.

115. Det framgår således att det är den nationella lagstiftning som är tillämplig i de nationella målen som bestämmer den personkrets och de uppgifter som kan bli föremål för behandling, fastställer ändamålen med behandlingen och anger det organ som är ansvarigt för att uppnå dessa ändamål, det vill säga tillsynsorganet. Den domstol som har att pröva en ansökan om tillstånd att få tillgång till uppgifter fattar sitt beslut endast efter det att tillsynsmyndigheten har gett in en ansökan i syfte att utöva sina befogenheter enligt nationell rätt, och domstolen ska endast kontrollera huruvida de lagenlighetskrav som föreskrivs i nationell rätt är uppfyllda. På samma sätt är det inte den domstolen utan tillsynsmyndigheten som, utifrån de tillämpliga nationella bestämmelserna, bestämmer vilka personers personuppgifter som ska lämnas för detta ändamål och med avseende på vilka den ansöker om tillstånd vid nämnda domstol.

116. Även om det ankommer på den domstolen att pröva huruvida och i vilken utsträckning villkoren för att behandlingen ska vara laglig är uppfyllda i ett visst fall, bestämmer den således inte själv vare sig ändamålet med behandlingen eller de personer och uppgifter som denna avser. Under dessa omständigheter är det inte nämnda domstol som är personuppgiftsansvarig, i den mening som avses i artikel 4 led 7 i dataskyddsförordningen, utan det organ som är ansvarigt för att uppnå de eftersträvade ändamålen.

117. Mot bakgrund av vad som anförts ovan ska den tredje frågan besvaras enligt följande. Artikel 4 led 7 i dataskyddsförordningen ska tolkas så, att en domstol som är behörig att, på begäran av ett annat judiciellt organ, ge tillstånd till att en bank lämnar ut uppgifter om domares eller åklagares och deras familjemedlemmars bankkonton till detta organ inte kan kvalificeras som personuppgiftsansvarig i den mening som avses i denna bestämmelse.

Den fjärde frågan

118. Den hänskjutande domstolen har ställt den fjärde frågan för att få klarhet i huruvida artikel 51 i dataskyddsförordningen ska tolkas så, att en domstol som är behörig att ge tillstånd till att personuppgifter lämnas ut till ett annat judiciellt organ utgör en tillsynsmyndighet i den mening som avses i denna artikel.

119. I artikel 51.1 i dataskyddsförordningen åläggs medlemsstaterna att föreskriva att en eller flera oberoende offentliga myndigheter ska vara ansvariga för att övervaka tillämpningen av denna förordning. Inrättandet av sådana myndigheter, vilket även föreskrivs i unionens primärrätt, nämligen artikel 8.3 i stadgan och artikel 16.2 FEUF, utgör en väsentlig del av iakttagandet av skyddet för enskilda personer med avseende på behandling av personuppgifter (se, för ett liknande resonemang, dom av den 8 april 2014, kommissionen/Ungern, C‑288/12, EU:C:2014:237, punkt 48, och yttrande 1/15 (PNR-avtalet mellan EU och Kanada) av den 26 juli 2017, EU:C:2017:592, punkt 229).

120. Dessa myndigheter har enligt artikel 51.1 och 51.2 samt artikel 57.1 a och g i dataskyddsförordningen till huvuduppgift att övervaka tillämpningen av förordningen och se till att den efterlevs, samtidigt som de ska bidra till en enhetlig tillämpning av förordningen i unionen, i syfte att skydda fysiska personers grundläggande rättigheter och friheter i samband med behandling av deras personuppgifter samt att underlätta det fria flödet av sådana uppgifter inom unionen. För detta ändamål kan de utöva de olika befogenheter som de tilldelats genom artikel 58 i dataskyddsförordningen (se, för ett liknande resonemang, dom av den 4 juli 2023, Meta Platforms m.fl. (Ett socialt nätverks användarvillkor), C‑252/21, EU:C:2023:537, punkt 45).

121. Medlemsstaterna är enligt artikel 51.4 i dataskyddsförordningen skyldiga att till kommissionen anmäla de bestämmelser och senare ändringar som de antar i enlighet med kapitel VI i förordningen, särskilt de som rör den eller de tillsynsmyndigheter som de har anförtrott uppgiften att övervaka tillämpningen av förordningen.

122. Det framgår i förevarande fall inte av handlingarna i målet att den hänskjutande domstolen enligt bulgarisk rätt har ålagts uppgiften att övervaka tillämpningen av dataskyddsförordningen eller att den, i synnerhet, har de befogenheter som en tillsynsmyndighet ska ha enligt artikel 58 i förordningen.

123. Den fjärde frågan ska således besvaras enligt följande. Artikel 51 i dataskyddsförordningen ska tolkas så, att en domstol som är behörig att ge tillstånd till att personuppgifter lämnas ut till ett annat judiciellt organ inte utgör en tillsynsmyndighet i den mening som avses i denna artikel, för det fall den domstolen inte av den medlemsstat i vilken den är belägen har fått i uppgift att övervaka tillämpningen av förordningen för att skydda bland annat fysiska personers grundläggande fri- och rättigheter med avseende på behandlingen av deras personuppgifter.

Den femte frågan

124. Den femte frågan har ställts endast för det fall att domstolen besvarar den tredje eller den fjärde frågan jakande. Såsom har konstaterats i punkterna 117 och 123 i förevarande dom ska den tredje och den fjärde frågan emellertid besvaras nekande.

125. Det saknas därför anledning att besvara den femte tolkningsfrågan.

Den sjätte frågan

126. Den hänskjutande domstolen har ställt den sjätte frågan för att få klarhet i huruvida artikel 79.1 i dataskyddsförordningen, jämförd med artikel 47 i stadgan, ska tolkas så, att en domstol som är behörig att ge tillstånd till att personuppgifter lämnas ut till ett annat judiciellt organ är skyldig, utan att en talan väckts vid den enligt denna bestämmelse, att ex officio säkerställa skyddet för de personer vars uppgifter berörs, vad gäller iakttagandet av förordningens bestämmelser om säkerhet för personuppgifter, när det är allmänt känt att detta organ tidigare har åsidosatt sistnämnda bestämmelser.

127. Den hänskjutande domstolen har i detta sammanhang preciserat att denna fråga har ställts mot bakgrund av att det förfarande som inletts vid den domstolen genomförs utan medverkan av de personer vars personuppgifter berörs och mot bakgrund av att domstolens tillstånd att lämna ut dessa uppgifter till tillsynsorganet kan ersätta dessa personers samtycke utan att det kan överklagas. Den hänskjutande domstolen anser att om den skulle begränsa sig till en rent formell prövning av tillsynsmyndighetens ansökan om tillstånd, utan att försäkra sig om att detta organ garanterar säkerheten för de registrerades uppgifter, skulle det domstolsskydd för dessa personer som föreskrivs i artikel 79 i dataskyddsförordningen förlora sin ändamålsenliga verkan. Det är mot denna bakgrund som den hänskjutande domstolen vill få klarhet i huruvida den är skyldig att ex officio säkerställa att tillsynsorganet iakttar bestämmelserna om datasäkerhet genom att kräva att tillsynsorganet lämnar information om de säkerhetsåtgärder som vidtagits med stöd av artikel 33.3 d i förordningen.

128. Det ska i detta sammanhang erinras om att det i dataskyddsförordningen fastställs en rad materiella och processuella regler om datasäkerhet som ska iakttas av den personuppgiftsansvarige, samtidigt som det i kapitel VIII i förordningen föreskrivs rättsmedel som syftar till att skydda rättigheterna för personer vars personuppgifter påstås ha behandlats i strid med bestämmelserna i förordningen och som kan användas parallellt och oberoende av varandra (se, för ett liknande resonemang, dom av den 12 januari 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, punkt 35).

129. Den skyddsnivå som dataskyddsförordningen syftar till att uppnå är beroende av de säkerhetsåtgärder som vidtas av de personuppgiftsansvariga, och dessa måste därför ges incitament att göra allt de kan för att förhindra personuppgiftsbehandling som strider mot förordningen. Detta sker genom att de personuppgiftsansvariga har bevisbördan för att de vidtagna åtgärderna är lämpliga (dom av den 14 december 2023, Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, punkt 55).

130. Kontrollen av att de säkerhetskrav som föreskrivs i dataskyddsförordningen iakttas ankommer dels på tillsynsmyndigheterna, dels på nationella domstolar vid vilka talan väckts enligt artikel 78.1 eller artikel 79.1 i dataskyddsförordningen.

131. Tillsynsmyndigheternas huvuduppgift är, såsom det har erinrats om i punkt 120 ovan, att övervaka tillämpningen av dataskyddsförordningen och se till att den efterlevs. De ska i synnerhet informeras av den personuppgiftsansvarige, i enlighet med artikel 33 i förordningen, om inträffade personuppgiftsincidenter.

132. Genom artikel 58.1 och 58.2 i dataskyddsförordningen ges dessa myndigheter dessutom omfattande utredningsbefogenheter och befogenhet att vidta olika korrigerande åtgärder. Det ska i detta sammanhang preciseras att dessa myndigheter är skyldiga att agera när det, med beaktande av alla omständigheter i det enskilda fallet, är lämpligt, nödvändigt och proportionellt att vidta en eller flera av de korrigerande åtgärder som föreskrivs i artikel 58.2 i dataskyddsförordningen för att avhjälpa den konstaterade bristen och säkerställa full efterlevnad av denna förordning (dom av den 26 september 2024, Land Hessen (Skyldighet för dataskyddsmyndigheten att agera), C‑768/21, EU:C:2024:785, punkt 42).

133. Det är dessutom av särskild betydelse att tillsynsmyndigheterna har faktiska befogenheter att vidta effektiva åtgärder mot överträdelser av dataskyddsförordningen, och i synnerhet att få dem att upphöra, inbegripet i fall där de registrerade inte har informerats om behandlingen av deras personuppgifter eller inte är medvetna om den, eller i vart fall inte har lämnat in ett klagomål enligt artikel 77.1 i denna förordning (se, för ett liknande resonemang, dom av den 14 mars 2024, Újpesti Polgármesteri Hivatal, C‑46/23, EU:C:2024:239, punkt 41).

134. Dessa myndigheter ska, i likhet med nationella domstolar vid vilka talan väckts enligt artikel 78.1 eller artikel 79.1 i dataskyddsförordningen, försäkra sig om att de tekniska och organisatoriska åtgärder som den personuppgiftsansvarige har valt är lämpliga för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken, såsom krävs enligt artikel 32.1 i förordningen, samtidigt som de gör en konkret prövning av dessa åtgärder i sak med beaktande av samtliga kriterier som anges i nämnda artikel och omständigheterna i det enskilda fallet samt den bevisning som dessa myndigheter eller domstolar förfogar över i detta avseende (se, för ett liknande resonemang, dom av den 14 december 2023, Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, punkterna 43 och 45, och dom av den 28 november 2024, Másdi, C‑169/23, EU:C:2024:988, punkt 71).

135. Nationella domstolar vid vilka ingen talan har väckts enligt artikel 78.1 eller artikel 79.1 i dataskyddsförordningen är däremot, i avsaknad av regler som uttryckligen ger dem prövningsbefogenheter, inte skyldiga att se till att de materiella bestämmelserna i förordningen iakttas för att säkerställa deras ändamålsenliga verkan.

136. Eftersom den hänskjutande domstolen bland annat vill få klarhet i huruvida det rättsmedel som föreskrivs i artikel 79.1 i dataskyddsförordningen är effektivt, ska det, för att ge den ett användbart svar, även understrykas att medlemsstaterna måste försäkra sig om att de konkreta formerna för att använda de rättsmedel som föreskrivs i artiklarna 77.1, 78.1 och 79.1 i denna förordning faktiskt uppfyller de krav som följer av den i artikel 47 i stadgan föreskrivna rätten till ett effektivt rättsmedel (se, för ett liknande resonemang, dom av den 12 januari 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, punkt 51).

137. Det är härvid viktigt att den personuppgiftsansvarige, det vill säga det behöriga judiciella organ som beviljats tillgång till personuppgifterna, ger de personer vars uppgifter berörs, den information som räknas upp i artikel 14.1 och 14.2 i dataskyddsförordningen och på det sätt som avses i artiklarna 12.1 och 14.3 i förordningen. Denna information är nämligen nödvändig för att de nämnda personerna i förekommande fall ska kunna utöva sina rättigheter enligt denna förordning, särskilt den rätt att invända mot behandlingen av deras personuppgifter som de har enligt artikel 21 i dataskyddsförordningen, samt den rätt att väcka talan om de lider skada som de har enligt artiklarna 79 och 82 i denna förordning (se, analogt, dom av den 22 juni 2023, Pankki S, C‑579/21, EU:C:2023:501, punkt 58 och där angiven rättspraxis).

138. Mot bakgrund av det ovan anförda ska den sjätte frågan besvaras enligt följande. Artikel 79.1 i dataskyddsförordningen, jämförd med artikel 47 i stadgan, ska tolkas så, att en domstol som är behörig att ge tillstånd till att personuppgifter lämnas ut till ett annat judiciellt organ inte är skyldig, när ingen talan väckts vid den enligt denna bestämmelse, att ex officio säkerställa skyddet för de personer vars uppgifter berörs, vad gäller iakttagandet av förordningens bestämmelser om säkerhet för personuppgifter, även när det är allmänt känt att detta organ tidigare har åsidosatt sistnämnda bestämmelser.

Rättegångskostnader

139. Eftersom förfarandet i förhållande till parterna i det nationella målet utgör ett led i beredningen av samma mål, ankommer det på den hänskjutande domstolen att besluta om rättegångskostnaderna. De kostnader för att avge yttrande till domstolen som andra än nämnda parter har haft är inte ersättningsgilla.

Mot denna bakgrund beslutar domstolen (första avdelningen) följande:

1) Artikel 19.1 andra stycket FEU, jämförd med artikel 47 i Europeiska unionens stadga om de grundläggande rättigheterna, ska tolkas så, att principen om domares oavhängighet utgör hinder för en medlemsstats praxis enligt vilken ledamöterna av ett judiciellt organ i denna medlemsstat – vilka har utsetts av medlemsstatens parlament för tidsbegränsade förordnanden och vilka har befogenhet att granska domarnas och åklagarnas tjänsteutövning och deras integritet, kontrollera avsaknaden av intressekonflikter beträffande dessa och rekommendera ett annat judiciellt organ att inleda ett disciplinförfarande för att de ska åläggas disciplinpåföljder – fortsätter att utöva sin tjänst efter utgången av sin legala förordnandetid, som fastställs i den nämnda medlemsstatens konstitution, till dess att parlamentet har utsett nya ledamöter, utan att förlängningen av förordnandena har någon uttrycklig rättslig grund i nationell rätt som innefattar klara och precisa bestämmelser som reglerar utövandet av tjänsten och utan att det säkerställs att förlängningen i praktiken är begränsad i tiden.

2) Artikel 2 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) ska tolkas så, att utlämnande till ett judiciellt organ av personuppgifter som omfattas av banksekretess och som rör domare eller åklagare och deras familjemedlemmar, i syfte att kontrollera dessa domare och åklagares deklarationer avseende deras och deras familjemedlemmars tillgångar, vilka deklarationer offentliggörs, utgör en behandling av personuppgifter som omfattas av denna förordnings materiella tillämpningsområde.

3) Artikel 4 led 7 i förordning 2016/679 ska tolkas så, att en domstol som är behörig att, på begäran av ett annat judiciellt organ, ge tillstånd till att en bank lämnar ut uppgifter om domares eller åklagares och deras familjemedlemmars bankkonton till detta organ inte kan kvalificeras som personuppgiftsansvarig i den mening som avses i denna bestämmelse.

4) Artikel 51 i förordning 2016/679 ska tolkas så, att en domstol som är behörig att ge tillstånd till att personuppgifter lämnas ut till ett annat judiciellt organ inte utgör en tillsynsmyndighet i den mening som avses i denna artikel, för det fall den domstolen inte av den medlemsstat i vilken den är belägen har fått i uppgift att övervaka tillämpningen av förordningen för att skydda bland annat fysiska personers grundläggande fri- och rättigheter med avseende på behandlingen av deras personuppgifter.

5) Artikel 79.1 i förordning 2016/679, jämförd med artikel 47 i stadgan om de grundläggande rättigheterna, ska tolkas så, att en domstol som är behörig att ge tillstånd till att personuppgifter lämnas ut till ett annat judiciellt organ inte är skyldig, när ingen talan väckts vid den enligt denna bestämmelse, att ex officio säkerställa skyddet för de personer vars uppgifter berörs, vad gäller iakttagandet av förordningens bestämmelser om säkerhet för personuppgifter, även när det är allmänt känt att detta organ tidigare har åsidosatt sistnämnda bestämmelser.

1 Rättegångsspråk: bulgariska.