Acórdão do Tribunal de Justiça da União Europeia
Processo C-312/24

Edição provisória

CONCLUSÕES DO ADVOGADO‑GERAL

MACIEJ SZPUNAR

apresentadas em 4 de setembro de 2025 (1)

Processo C‑312/24 [Darashev] (i)

CL (anonimização)

contra

Prokuratura na Republika Bulgaria

[pedido de decisão prejudicial apresentado pelo Sofiyski rayonen sad (Tribunal de Primeira Instância de Sófia, Bulgária)]

« Reenvio prejudicial — Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais em matéria penal — Diretiva (UE) 2016/680 — Tratamento de dados recolhidos no âmbito de um inquérito penal que envolve um agente policial na qualidade de suspeito — Conservação dos dados no processo pessoal — Regulamento (UE) 2016/679 — Licitude do tratamento — Tratamento necessário para o cumprimento de uma obrigação jurídica a que o responsável pelo tratamento esteja sujeito — Objetivo de interesse público — Tratamento de dados pessoais relativos às condenações penais e às infrações — Direito ao apagamento (“Direito a ser esquecido”) — Igualdade de tratamento em matéria de emprego e de trabalho — Diretiva 2000/78/CE »

I. Introdução

1. Como qualquer empregador, as autoridades públicas tratam dados pessoais dos seus funcionários. Simultaneamente, o exercício das funções que lhes são confiadas pode levá‑las a recolherem certos dados do seu pessoal também em contextos diferentes do da gestão do pessoal e, nesse caso, colocam‑se questões relativas ao fundamento e às finalidades do tratamento dos dados.

2. É assim que o órgão jurisdicional de reenvio se interroga sobre a licitude de um tratamento de dados no âmbito do qual uma autoridade pública conserva, no processo pessoal de um funcionário, informações relativas a um inquérito penal em que este foi objeto de medidas de investigação na qualidade de suspeito. No caso em apreço, os dados em causa foram recolhidos por essa mesma autoridade pública enquanto autoridade de investigação e são conservados no processo pessoal, apesar de o inquérito penal ter sido arquivado, sem que o funcionário em causa tenha sido constituído arguido ou acusado.

3. A questão central suscitada por este processo situa‑se na intersecção entre o Regulamento (UE) 2016/679 (2) (a seguir «RGPD») e a Diretiva (UE) 2016/680 (3) e visa clarificar o fundamento e as condições do recurso ao direito ao apagamento dos dados que são objeto de conservação em tais circunstâncias.

II. Quadro jurídico

A. Direito da União

1. Diretiva 2000/78/CE

4. Nos termos do seu artigo 1.°, a Diretiva 2000/78/CE (4) «tem por objeto estabelecer um quadro geral para lutar contra a discriminação em razão da religião ou das convicções, de uma deficiência, da idade ou da orientação sexual, no que se refere ao emprego e à atividade profissional, com vista a pôr em prática nos Estados‑Membros o princípio da igualdade de tratamento».

5. Nos termos do artigo 2.°, n.° 1, desta diretiva, «entende‑se por “princípio da igualdade de tratamento” a ausência de qualquer discriminação, direta ou indireta, por qualquer dos motivos referidos no artigo 1.°» da mesma diretiva.

2. RGPD

6. Os considerandos 19, 39 e 41 do RGPD enunciam:

«(19) [...] No que respeita ao tratamento de dados pessoais pelas referidas autoridades competentes [na aceção da Diretiva 2016/680] para efeitos que sejam abrangidos pelo presente regulamento, os Estados‑Membros deverão poder manter ou aprovar disposições mais específicas para adaptar a aplicação das regras previstas no presente regulamento. Tais disposições podem estabelecer requisitos mais específicos e precisos a respeitar pelas referidas autoridades competentes no tratamento dos dados pessoais para esses outros efeitos, tendo em conta as estruturas constitucionais, organizativas e administrativas do respetivo Estado‑Membro. [...]

[...]

(39) [...] Os dados pessoais deverão ser adequados, pertinentes e limitados ao necessário para os efeitos para os quais são tratados. Para isso, é necessário assegurar que o prazo de conservação dos dados seja limitado ao mínimo. [...] A fim de assegurar que os dados pessoais sejam conservados apenas durante o período considerado necessário, o responsável pelo tratamento deverá fixar os prazos para o apagamento ou a revisão periódica. [...]

[...]

(41) Caso o presente regulamento se refira a um fundamento jurídico ou a uma medida legislativa, não se trata necessariamente de um ato legislativo adotado por um parlamento, sem prejuízo dos requisitos que decorram da ordem constitucional do Estado‑Membro em causa. No entanto, esse fundamento jurídico ou essa medida legislativa deverão ser claros e precisos e a sua aplicação deverá ser previsível para os seus destinatários, em conformidade com a jurisprudência do [Tribunal de Justiça] e [do] Tribunal Europeu dos Direitos do Homem [(a seguir “TEDH”)].»

7. O artigo 2.° do RGPD, sob a epígrafe «Âmbito de aplicação material», dispõe, no seu n.° 1, que este «[se aplica] ao tratamento de dados pessoais por meios total ou parcialmente automatizados, bem como ao tratamento por meios não automatizados de dados pessoais contidos em ficheiros ou a eles destinados» e, no seu n.° 2, alínea d), que este não se aplica ao tratamento de dados pessoais efetuado «pelas autoridades competentes para efeitos de prevenção, investigação, deteção e repressão de infrações penais ou da execução de sanções penais, incluindo a salvaguarda e a prevenção de ameaças à segurança pública».

8. O artigo 4.° do RGPD, sob a epígrafe «Definições», dispõe:

«Para efeitos do presente regulamento, entende‑se por:

1) “Dados pessoais”, informação relativa a uma pessoa singular identificada ou identificável [...]; é considerada identificável uma pessoa singular que possa ser identificada, direta ou indiretamente, em especial por referência a um identificador, como por exemplo um nome, um número de identificação [...];

2) “Tratamento”, uma operação ou um conjunto de operações efetuadas sobre dados pessoais ou sobre conjuntos de dados pessoais, por meios automatizados ou não automatizados, tais como a recolha, o registo, a organização, a estruturação, a conservação, a adaptação ou alteração, a recuperação, a consulta, a utilização [...];

[...]

6) “Ficheiro”, qualquer conjunto estruturado de dados pessoais, acessível segundo critérios específicos, quer seja centralizado, descentralizado ou repartido de modo funcional ou geográfico;

7) “Responsável pelo tratamento”, a pessoa singular ou coletiva, a autoridade pública, a agência ou outro organismo que, individualmente ou em conjunto com outras, determina as finalidades e os meios de tratamento de dados pessoais; [...]»

9. O artigo 6.° do RGPD, sob a epígrafe «Licitude do tratamento», prevê:

«1. O tratamento só é lícito se e na medida em que se verifique pelo menos uma das seguintes situações:

[...]

c) O tratamento for necessário para o cumprimento de uma obrigação jurídica a que o responsável pelo tratamento esteja sujeito;

[...]

3. O fundamento jurídico para o tratamento referido no n.° 1, alíneas c) e e), é definido:

[...]

b) Pelo direito do Estado‑Membro ao qual o responsável pelo tratamento está sujeito.

A finalidade do tratamento é determinada com esse fundamento jurídico [...]. Esse fundamento jurídico pode prever disposições específicas para adaptar a aplicação das regras do presente regulamento [...] O direito da União ou do Estado‑Membro deve responder a um objetivo de interesse público e ser proporcional ao objetivo legítimo prosseguido.

[...]»

10. O artigo 9.° do RGPD dispõe:

«1. É proibido o tratamento de dados pessoais que revelem a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas, ou a filiação sindical, bem como o tratamento de dados genéticos, dados biométricos para identificar uma pessoa de forma inequívoca, dados relativos à saúde ou dados relativos à vida sexual ou orientação sexual de uma pessoa.

2. O disposto no n.° 1 não se aplica se se verificar um dos seguintes casos:

[...]»

11. Nos termos do artigo 10.° do RGPD:

«O tratamento de dados pessoais relacionados com condenações penais e infrações ou com medidas de segurança conexas com base no artigo 6.°, n.° 1, só é efetuado sob o controlo de uma autoridade pública ou se o tratamento for autorizado por disposições do direito da União ou de um Estado‑Membro que prevejam garantias adequadas para os direitos e liberdades dos titulares dos dados. [...]»

12. O artigo 17.° do RGPD, sob a epígrafe «Direito ao apagamento dos dados (“direito a ser esquecido”)», prevê:

«1. O titular tem o direito de obter do responsável pelo tratamento o apagamento dos seus dados pessoais, sem demora injustificada, e este tem a obrigação de apagar os dados pessoais, sem demora injustificada, quando se aplique um dos seguintes motivos:

a) Os dados pessoais deixaram de ser necessários para a finalidade que motivou a sua recolha ou tratamento;

[...]

d) Os dados pessoais foram tratados ilicitamente;

[...]

3. Os n.os 1 e 2 não se aplicam na medida em que o tratamento se revele necessário:

[...]

b) Ao cumprimento de uma obrigação legal que exija o tratamento prevista pelo direito da União ou de um Estado‑Membro a que o responsável esteja sujeito, [...];

[...]»

3. Diretiva 2016/680

13. O artigo 1.°, n.° 1, da Diretiva 2016/680 dispõe:

«A presente diretiva estabelece as regras relativas à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, incluindo a salvaguarda e prevenção de ameaças à segurança pública.»

14. O artigo 3.° desta diretiva define os conceitos de «dados pessoais» e de «tratamento» em termos idênticos aos do RGPD.

15. Nos termos do artigo 3.°, ponto 7, da referida diretiva, entende‑se por «autoridade competente», nomeadamente, uma autoridade pública competente para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, incluindo a salvaguarda e a prevenção de ameaças à segurança pública.

16. O artigo 9.° da mesma diretiva, sob a epígrafe «Condições específicas do tratamento», dispõe, no seu n.° 1:

«Os dados pessoais recolhidos pelas autoridades competentes para os fins do artigo 1.°, n.° 1, não podem ser tratados para fins diferentes dos previstos no artigo 1.°, n.° 1, a não ser que esse tratamento seja autorizado pelo direito da União ou de um Estado‑Membro. Caso os dados pessoais sejam tratados para esses outros fins, é aplicável o [RGPD], salvo se o tratamento for efetuado no âmbito de uma atividade não sujeita à aplicação do direito da União.»

17. O artigo 16.°, n.° 2, da Diretiva 2016/680 prevê, nomeadamente, as situações em que os Estados‑Membros concedem ao titular dos dados o direito de obter do responsável pelo tratamento o apagamento dos dados pessoais que lhe digam respeito.

B. Direito búlgaro

1. ZMVR

18. O artigo 29.°, n.os 1 e 2, da Zakon za Ministerstvo na vatreshnite raboti (Lei relativa ao Ministério da Administração Interna) (5), na sua versão aplicável ao litígio no processo principal (a seguir «ZMVR»), dispõe:

«(1) O responsável pelo tratamento dos dados é o ministro da Administração Interna, que pode confiar o tratamento de dados pessoais a funcionários por ele designados.

(2) As modalidades do tratamento dos dados pessoais são fixadas por instrução do ministro da Administração Interna.»

19. O artigo 147.° da ZMVR prevê:

«(1) É elaborado e conservado um processo pessoal para cada funcionário do Ministério da Administração Interna.

(2) As modalidades de elaboração, de gestão e de conservação dos processos pessoais, bem como as modalidades da sua utilização, são fixadas por instrução do ministro da Administração Interna.»

2. Instrução relativa aos processos pessoais

20. A Instrução n.° 8121z‑532, de 9 de setembro de 2014, relativa à redação, à manutenção, ao armazenamento e à utilização dos processos pessoais dos funcionários do Ministério da Administração Interna, emitida pelo ministro da Administração Interna (6) (a seguir «instrução relativa aos processos pessoais»), dispõe, no seu artigo 3.°:

«Os processos pessoais são constituídos e conservados pela unidade dos “Recursos Humanos” das estruturas em causa, numerados por ordem crescente, descritos num diário e armazenados em locais (repertórios) que satisfaçam os requisitos de conservação do material que contenha informações classificadas.»

21. Nos termos do artigo 5.°, segundo parágrafo, desta instrução, o tratamento das informações armazenadas nos processos pessoais é efetuado, nomeadamente, para efeitos do início, da alteração e da cessação da relação de trabalho ou de serviço dos funcionários.

22. O artigo 6.° da referida instrução prevê:

«(1) Nos processos pessoais são recolhidos e armazenados documentos classificados em três secções que contêm dados e informações sobre o estudo, a nomeação, a celebração de contratos de trabalho, a alteração de funções e a cessação de funções dos funcionários.

[...]

(4) A terceira secção contém documentos relativos à alteração de funções (decisões, atos de entrada e de cessação de funções, documentos relativos a processos disciplinares [...])».

III. Litígio no processo principal, questões prejudiciais e tramitação processual no Tribunal de Justiça

23. O Ministerstvo na vatreshnite raboti (Ministério da Administração Interna) (a seguir «Ministério») é uma autoridade administrativa responsável pela manutenção da ordem pública que é composta por várias direções‑gerais (a seguir «DG»). A DG «Segurança Interna» é responsável pela execução das medidas de investigação dos funcionários do Ministério relativamente a qualquer tipo de infração. Entre 2012 e 2023, o demandante no processo principal exerceu diversas funções na qualidade de agente policial na DG «Polícia da Segurança» e na DG «Polícia Nacional».

24. Em 1 de março de 2016, foi aberto um processo de investigação contra autor desconhecido por um crime de roubo. Em 17 de maio de 2016, durante uma reunião a que assistia com os agentes policiais do serviço em que exercia as suas funções, o demandante no processo principal foi detido, à frente dos seus colegas, e foi obrigado a entregar o seu crachá, a sua arma e o seu cartão de serviço. Após 24 horas de detenção, foi libertado. Não foi, posteriormente, constituído arguido nem acusado, mas foi objeto de várias medidas de investigação.

25. No decurso de 2016, o processo contra o demandante no processo principal foi suspenso, não tendo sido possível identificar o autor do crime. Foi seguidamente adotada uma decisão de arquivamento do processo.

26. O demandante no processo principal continuou a exercer as suas funções de agente policial e participou em concursos de promoção para outras funções no Ministério.

27. Subsequentemente, o demandante no processo principal intentou uma ação no Sofiyski rayonen sad (Tribunal de Primeira Instância de Sófia, Bulgária), o órgão jurisdicional de reenvio, contra a Prokuratura na Republika Bulgaria (Ministério Público da República da Bulgária, a seguir «Ministério Público»). Pede que o Ministério Público seja condenado no pagamento de uma indemnização pelos danos morais causados pelas medidas tomadas contra ele no âmbito do inquérito penal bem como pelas consequências desse processo, nomeadamente o facto de não ter sido promovido ou transferido para outras funções devido à sua qualidade de suspeito no âmbito desse inquérito. Além disso, pede que o seu nome seja apagado da base de dados que o Ministério conserva e na qual figura como suspeito.

28. O órgão jurisdicional de reenvio indica que o Ministério é o empregador de todas as pessoas que aí exercem as suas funções. Cada DG conserva informações relativas aos seus funcionários nos processos pessoais destes. As informações obtidas no âmbito de um inquérito conduzido pela DG «Segurança Interna» são igualmente aí conservadas. No processo principal, verificou‑se que o Ministério, na sua qualidade de empregador, conserva informações relativas ao facto de o demandante no processo principal ter sido suspeito e detido no âmbito do inquérito em causa. Todavia, o órgão jurisdicional de reenvio tem dúvidas sobre a compatibilidade desta conservação no processo pessoal com o RGPD e com a Diretiva 2016/680, bem como sobre a compatibilidade da alegada recusa de promoção com a Diretiva 2000/78.

29. Foi neste contexto que o Sofiyski rayonen sad (Tribunal de Primeira Instância de Sófia,) decidiu suspender a instância e submeter ao Tribunal de Justiça as seguintes questões prejudiciais:

«Deve o artigo 2.°, [n.°] 1, do RGPD ser interpretado no sentido de que um tratamento de dados abrange as atividades de uma única estrutura organizacional na qual uma parte [das DG] assume as funções de entidade empregadora, ao passo que uma única outra direção tem a qualidade de autoridade de investigação em processo penal contra funcionários das outras direções? Em caso de resposta afirmativa a esta questão:

1) Deve a expressão “tratamento de dados pessoais” constante do artigo 4.°, ponto 2, do RGPD ser interpretada no sentido de que abrange uma atividade em cujo âmbito são incluídas no processo pessoal de um funcionário informações que a entidade empregadora obteve na sua qualidade de autoridade de investigação, através de uma das suas direções, relativamente a precisamente o mesmo funcionário?

2) Deve o termo “ficheiro” constante do artigo 4.°, ponto 6, do RGPD ser interpretado no sentido de que abrange um processo pessoal de um funcionário ou de um trabalhador que trabalhe numa direção da entidade empregadora, tendo as informações sido recolhidas por outra direção da entidade empregadora que tem a qualidade de autoridade de investigação?

3) Deve o artigo 9.°, n.° 2, alínea b), do RGPD ser interpretado no sentido de que uma unidade organizacional de uma entidade empregadora pode recolher e conservar dados sobre a participação do funcionário num processo penal na qualidade de suspeito/arguido/acusado, tendo estas informações sido recolhidas por outra unidade organizacional da entidade empregadora que tem a qualidade de autoridade de investigação?

4) Deve o “direito a ser esquecido” nos termos do artigo 17.°, n.° 1, alínea a), do RGPD ser interpretado no sentido de que uma entidade empregadora deve apagar todos os dados do processo pessoal do funcionário que tenha recolhido e conservado através de outra direção sua que tem a qualidade de autoridade de investigação dos seus funcionários, relativos ao facto de o funcionário:

– ser suspeito/arguido/acusado da prática de um crime [num] processo penal pendente;

– ter sido suspeito/arguido/acusado da prática de um crime relativamente ao qual o processo penal foi encerrado ou suspenso?

5) Deve a expressão dados pessoais “tratados ilicitamente” nos termos do artigo 17.°, n.° 1, alínea d), do RGPD ser interpretada no sentido de que abrange dados obtidos, recolhidos e conservados pela entidade empregadora através de outra das suas unidades organizacionais que exerce funções de investigação em processo penal contra funcionários de outras unidades organizacionais da entidade empregadora, sendo estes dados conservados no processo pessoal e respeitantes ao facto de o funcionário ser suspeito/arguido/acusado da prática de um crime, nomeadamente:

– ser suspeito/arguido/acusado da prática de um crime [num] processo penal pendente;

– ter sido suspeito/arguido/acusado da prática de um crime relativamente ao qual o processo penal foi encerrado ou suspenso?

6) Deve o conceito de “dados pessoais” na aceção do artigo 3.°, ponto 1, da [Diretiva 2016/680], em conjugação com o artigo 52.° da Carta dos Direitos Fundamentais da União Europeia [(a seguir “Carta”)], ser interpretado no sentido de que se trata de dados obtidos, recolhidos e conservados pela entidade empregadora através de uma das suas unidades organizacionais que exerce funções de investigação em processo penal contra um funcionário que trabalha noutra unidade organizacional da entidade empregadora?

7) Deve o conceito de “tratamento” na aceção do artigo 3.°, ponto 2, da [Diretiva 2016/680], em conjugação com o artigo 52.° da [Carta], ser interpretado no sentido de que abrange a atividade de conservação pela entidade empregadora de dados no processo pessoal do funcionário, obtidos, recolhidos e conservados pela entidade empregadora através de uma das suas unidades organizacionais que exerce funções de investigação em processo penal contra um funcionário da entidade empregadora que trabalha noutra unidade organizacional da entidade empregadora?

8) Deve o artigo 9.°, n.° 1, da [Diretiva 2016/680], em conjugação com o artigo 52.° da [Carta], ser interpretado no sentido de que permite que a entidade empregadora recolha e conserve informações sobre um funcionário que é suspeito/arguido/acusado, tendo a entidade empregadora recolhido estas informações através de outra das suas unidades organizacionais que tem a qualidade de autoridade de investigação em processo penal contra este funcionário?

9) Deve o artigo 16.°, n.° 2, da [Diretiva 2016/680], em conjugação com o artigo 52.° da [Carta], ser interpretado no sentido de que a entidade empregadora deve apagar do processo pessoal do funcionário todos os dados que a entidade empregadora tenha recolhido e conservado através de outra das suas unidades organizacionais que tem a qualidade de autoridade de investigação em processo penal contra este funcionário e que dizem respeito ao facto de o funcionário:

– ser suspeito/arguido/acusado da prática de um crime [num] processo penal pendente;

– ter sido suspeito/arguido/acusado da prática de um crime relativamente ao qual o processo penal foi encerrado ou suspenso?

10) Deve o artigo 1.° da [Diretiva 2000/78] ser interpretado no sentido de que não permite que a entidade empregadora de que uma unidade organizacional pratica atos de investigação contra um funcionário de outra unidade organizacional recuse a progressão na carreira a um funcionário apenas com base no facto de o funcionário:

– ser suspeito/arguido/acusado da prática de um crime [num] processo penal pendente;

– ter sido suspeito/arguido/acusado da prática de um crime relativamente ao qual o processo penal foi encerrado ou suspenso?»

30. Foram apresentadas observações escritas pelos Governos Búlgaro e Húngaro, bem como pela Comissão Europeia. O Governo Búlgaro e a Comissão participaram na audiência realizada em 21 de maio de 2025.

IV. Análise

A. Quanto à admissibilidade das questões prejudiciais

31. O Governo Búlgaro suscita a inadmissibilidade manifesta das questões prejudiciais na sua totalidade, invocando os seguintes fundamentos.

32. Em primeiro lugar, este Governo alega que o pedido de indemnização pelos danos é dirigido unicamente contra o Ministério Público, que faz parte do poder judicial, ao passo que só o Ministério, que faz parte do poder executivo e que era o empregador do demandante no processo principal, detém as informações que figuram no processo pessoal deste. O demandante no processo principal não pode, portanto, pedir ao Ministério Público o apagamento dos seus dados nem considerá‑lo responsável pelo facto de o Ministério deter essas informações, nem acusá-lo de ter entravado a sua progressão na carreira.

33. Em segundo lugar, o referido Governo salienta que, para desencadear a responsabilidade do Ministério Público, o órgão jurisdicional de reenvio deve determinar, em conformidade com a legislação nacional sobre a responsabilidade do Estado, se os direitos do demandante no processo principal, enquanto arguido, foram violados e se foi injustamente acusado de uma infração. Todavia, o processo principal não tem por objeto a aplicação de disposições do RGPD nem a aplicação da legislação nacional que transpõe as Diretivas 2016/680 e 2000/78. A interpretação destes atos do direito da União não é, portanto, necessária para decidir o litígio no processo principal.

34. Não partilho desta posição.

35. Recordo que as questões prejudiciais submetidas pelo juiz nacional no quadro normativo e factual que este define sob a sua responsabilidade, e cuja exatidão não cabe ao Tribunal de Justiça verificar, gozam de uma presunção de pertinência (7).

36. No caso em apreço, considero que esta presunção não pode ser posta em causa. Com efeito, resulta da decisão de reenvio que o litígio no processo principal tem por objeto os danos morais que o demandante no processo principal terá sofrido, nomeadamente, devido à recusa de promoção com o fundamento de que foi suspeito. Além disso, o demandante no processo principal pede o apagamento dos dados conservados no Ministério relativos à sua qualidade de suspeito no âmbito desse inquérito. Estes pedidos estão na origem das interrogações do órgão jurisdicional de reenvio sobre a interpretação da Diretiva 2000/78, bem como sobre a do RGPD e da Diretiva 2016/680 (8).

37. É verdade que o órgão jurisdicional de reenvio não explica se as medidas tomadas pelo Ministério na sequência do inquérito penal podem ser imputadas ao Ministério Público no âmbito desse pedido de indemnização. Indica apenas que, segundo a jurisprudência nacional, um pedido de indemnização é dirigido contra o Ministério Público quando diz respeito a um inquérito penal. Ora, a questão de uma eventual imputação dos atos alegadamente lesivos do Ministério é regida apenas pelo direito nacional. O mesmo se aplica à questão da legitimidade passiva no âmbito de um pedido de indemnização baseado na responsabilidade do Estado relativamente a um inquérito penal. Estes argumentos do Governo Búlgaro são, portanto, relativos à interpretação e à aplicação do direito nacional. Ora, importa recordar que não cabe ao Tribunal de Justiça pronunciar‑se sobre a interpretação das disposições nacionais nem decidir se é correta a interpretação ou a aplicação que delas faz o julgador nacional, sendo essa interpretação da competência exclusiva deste último (9).

38. Por conseguinte, proponho que as questões prejudiciais não sejam consideradas inadmissíveis na totalidade.

39. Em contrapartida, observo que a terceira a quinta e oitava a décima questões prejudiciais dizem respeito, em parte, a situações hipotéticas que não correspondem aos factos do litígio conforme foram expostos na decisão de reenvio, a saber, a participação de uma pessoa suspeita, acusada ou arguida num processo pendente, suspenso ou arquivado. Ora, resulta da decisão de reenvio que o inquérito penal foi arquivado e que os concursos em que o demandante no processo principal participou tiveram lugar após essa decisão de arquivamento. Além disso, é pacífico que o demandante foi unicamente suspeito.

40. Por conseguinte, há que considerar a terceira a quinta e oitava a décima questões prejudiciais inadmissíveis na medida em que são hipotéticas, porquanto visam situações diferentes da do demandante no processo principal.

B. Quanto ao mérito

1. Observações preliminares sobre o alcance das questões prejudiciais

41. O órgão jurisdicional de reenvio submeteu um total de onze questões, que visam o RGPD (questão preliminar e primeira a quinta questões prejudiciais), a Diretiva 2016/680 (sexta a nona questões prejudiciais) e a Diretiva 2000/78 (décima questão prejudicial).

42. Resulta do presente pedido de decisão prejudicial que o órgão jurisdicional de reenvio pergunta qual é o ato jurídico — o RGPD ou a Diretiva 2016/680 — com base no qual um funcionário pode, em circunstâncias como as que estão em causa no processo principal, pedir o apagamento dos dados do seu processo pessoal que o identificam como suspeito no âmbito de um inquérito penal arquivado.

43. Em primeiro lugar, por motivos de clareza, importa precisar a premissa factual que é objeto das questões relativas ao RGPD e à Diretiva 2016/680. Observo que, embora a maior parte destas questões (10) se refiram expressamente aos dados conservados no processo pessoal do funcionário, algumas (11) referem‑se, mais genericamente, à conservação pelo empregador dos dados de um funcionário que exerça as suas funções numa unidade do empregador, tendo os dados sido recolhidos pela unidade encarregada do inquérito.

44. À luz de toda a fundamentação da decisão de reenvio, todas estas questões têm por objeto a conservação de dados do funcionário no seu processo pessoal. Embora o pedido de decisão prejudicial mencione igualmente, de forma pontual, a conservação de dados em «arquivos» ou «bases de dados» do Ministério, estas indicações não são posteriormente desenvolvidas e, em qualquer caso, não são retomadas nas questões.

45. Por conseguinte, a minha análise incidirá apenas sobre a conservação de dados no processo pessoal.

46. Em segundo lugar, a fim de fornecer indicações úteis para que o órgão jurisdicional de reenvio possa decidir sobre o pedido de apagamento, considero necessário reformular conjuntamente várias questões (12). Pelas razões que exporei seguidamente, analisarei as questões agrupando‑as da seguinte forma:

– a questão preliminar e a primeira, segunda e sexta a oitava questões prejudiciais, que visam, em substância, determinar o âmbito de aplicação do RGPD;

– a terceira a quinta questões prejudiciais, que dizem respeito, em substância, às condições de licitude do tratamento no âmbito do exercício do direito ao apagamento ao abrigo do RGPD;

– a nona questão prejudicial, que diz respeito ao direito ao apagamento ao abrigo da Diretiva 2016/680;

– a décima questão prejudicial, que diz respeito à Diretiva 2000/78.

2. Quanto à questão preliminar bem como à primeira, segunda e sexta a oitava questões prejudiciais

a) Quanto à reformulação das questões

47. Com a sua questão preliminar, o órgão jurisdicional de reenvio pergunta, em substância, se o artigo 2.°, n.° 1, do RGPD deve ser interpretado no sentido de que este regulamento se aplica ao tratamento de dados por uma autoridade pública da qual uma parte das suas unidades organizacionais executa as funções de empregador, quando apenas uma outra unidade tinha a qualidade de autoridade de investigação no processo penal instaurado contra funcionários das outras unidades.

48. Em caso de resposta afirmativa, esse órgão jurisdicional pergunta, em substância, com as suas primeira e segunda questões, se o artigo 4.°, pontos 2 e 6, do RGPD devem ser interpretados no sentido de que a conservação, no processo pessoal de um funcionário de uma autoridade pública, de dados pessoais que essa autoridade pública obteve através da sua unidade que age na sua qualidade de autoridade de investigação, constitui um «tratamento de dados pessoais» contidos num «ficheiro».

49. Embora, com a primeira e segunda questões prejudiciais, o órgão jurisdicional de reenvio interrogue formalmente o Tribunal de Justiça sobre a interpretação a dar a estes dois conceitos, sou de opinião que esse não é o verdadeiro objeto destas questões. Ao fazer referência ao duplo papel em que uma autoridade pública, como o Ministério, trata os dados dos seus funcionários (a recolha enquanto autoridade de investigação e a conservação enquanto empregador), as referidas questões devem ser entendidas como as premissas do raciocínio destinado a determinar o âmbito de aplicação do RGPD. Na minha opinião, esta leitura é confirmada pelo facto de o órgão jurisdicional de reenvio não levantar nenhuma dúvida concreta sobre a interpretação destes conceitos na fundamentação destas mesmas questões.

50. No que respeita à oitava questão prejudicial, insere‑se, na minha opinião, na mesma linha de raciocínio e visa, em substância, saber se o artigo 9.°, n.° 1, da Diretiva 2016/680 (13) deve ser interpretado no sentido de que autoriza uma autoridade pública a conservar informações relativas à qualidade de suspeito de um dos seus funcionários no âmbito de um inquérito penal, quando essa autoridade tenha recolhido essas informações através de uma das suas unidades organizacionais agindo na qualidade de autoridade de investigação.

51. Resulta da redação desta oitava questão, bem como da fundamentação do pedido de decisão prejudicial, que o órgão jurisdicional de reenvio tem, mais precisamente, dúvidas sobre a articulação dos âmbitos de aplicação do RGPD e da Diretiva 2016/680, quando os dados conservados no processo pessoal tenham sido recolhidos por uma unidade organizacional do empregador no exercício das suas funções de «autoridade competente», na aceção do artigo 3.°, ponto 7, desta diretiva. Como explicarei em seguida nas presentes conclusões, o artigo 9.° da referida diretiva estabelece precisamente a ligação entre esta diretiva e o RGPD em caso de tratamento posterior de dados recolhidos pelas autoridades competentes.

52. A sexta e sétima questões prejudiciais têm por objeto, em substância, a questão de saber se a conservação, no processo pessoal do funcionário de uma autoridade pública, de dados pessoais que esta obteve através da sua unidade organizacional que age na qualidade de autoridade de investigação constitui um «tratamento de dados pessoais», na aceção do artigo 3.°, pontos 1 e 2, da Diretiva 2016/680.

53. Considero que estas duas questões, à semelhança da primeira e segunda questões prejudiciais, não suscitam, na realidade, nenhuma interrogação sobre a interpretação dos conceitos de «tratamento» e de «dados pessoais», mas são puramente instrumentais para determinar qual o ato do direito da União — o RGPD ou a Diretiva 2016/680 — que é aplicável. Em qualquer caso, estes conceitos são definidos em termos idênticos aos da Diretiva 2016/680 (14), pelo que não constituem um elemento de distinção.

54. Por estas razões, proponho que se considere que, com a sua questão preliminar e a sua primeira, segunda e sexta a oitava questões conjuntamente, o órgão jurisdicional de reenvio pergunta, em substância, se o artigo 2.°, n.° 1, do RGPD e o artigo 9.°, n.° 1, da Diretiva 2016/680 devem ser interpretados no sentido de que este regulamento se aplica à conservação, por uma autoridade pública, de dados no processo pessoal de um dos seus funcionários relativos à sua qualidade de suspeito no âmbito de um inquérito penal, quando os dados tenham sido recolhidos por uma unidade organizacional dessa autoridade pública no exercício das suas funções de autoridade competente, na aceção desta diretiva.

b) Análise

55. Em primeiro lugar, observo que o artigo 2.°, n.° 1, do RGPD define de forma ampla o âmbito de aplicação material deste regulamento, que inclui qualquer «tratamento de dados pessoais por meios total ou parcialmente automatizados, bem como [o] tratamento por meios não automatizados de dados pessoais contidos em ficheiros ou a eles destinados» (15).

56. Não parece ser contestado, no litígio no processo principal, que as informações relativas à qualidade de suspeito que são conservadas no processo pessoal do demandante no processo principal constituem dados pessoais, na aceção do artigo 4.°, ponto 1, do RGPD.

57. Além disso, o registo e a conservação de dados dos funcionários nos seus processos pessoais constituem seguramente um «tratamento», conforme definido no artigo 4.°, ponto 2, do RGPD, e não parece haver nenhuma dúvida de que o ministro da Administração Interna é o responsável pelo tratamento, na aceção do artigo 4.°, ponto 7, deste regulamento (16).

58. Quanto ao conceito de «ficheiro», preciso que este conceito só é pertinente na falta de tratamento efetuado, pelo menos em parte, por meios automatizados (17). O artigo 4.°, ponto 6, do RGPD define o termo «ficheiro» como «qualquer conjunto estruturado de dados pessoais, acessível segundo critérios específicos [...]». Não são previstas as modalidades específicas segundo as quais um ficheiro deve ser estruturado nem a forma do mesmo, e também não se precisa que os dados devem figurar em bases de dados eletrónicas ou em processos ou registos físicos (18). Assim, um processo pessoal que recolhe dados dos funcionários ou dos empregados de forma estruturada está abrangido pelo conceito de «ficheiro». Sob reserva de verificação pelo órgão jurisdicional de reenvio, parece ser o que acontece no caso em apreço (19).

59. Em segundo lugar, o artigo 2.°, n.° 2, alínea d), do RGPD dispõe que este regulamento não se aplica ao tratamento de dados pessoais efetuado pelas autoridades competentes para efeitos, nomeadamente, de prevenção e de deteção de infrações penais bem como de investigação das mesmas. Como resulta do considerando 19 do referido regulamento e do artigo 1.°, n.° 1, da Diretiva 2016/680, esse tratamento é regido por esta diretiva enquanto lex specialis (20).

60. Em terceiro lugar, tanto o RGPD como a Diretiva 2016/680 preveem o princípio da «limitação das finalidades» (21), segundo o qual os dados pessoais devem ser recolhidos para finalidades determinadas, explícitas e legítimas e não podendo ser tratados de uma forma incompatível com essas finalidades. Este princípio não se aplica, todavia, de forma absoluta (22). Com efeito, o artigo 9.°, n.° 1, desta diretiva prevê que os dados podem ser tratados para fins diferentes dos fins enunciados no seu artigo 1.°, n.° 1, para os quais esses dados foram recolhidos, e que o RGPD é aplicável a esse tratamento (23), desde que esse tratamento «seja autorizado pelo direito da União ou de um Estado‑Membro». Esta reserva significa simplesmente que a licitude do tratamento para outros fins deve ser apreciada à luz do RGPD (24).

61. No caso em apreço, não há dúvida de que o Ministério recolheu e tratou, por intermédio da sua direção encarregada das medidas de investigação contra os seus funcionários, os dados do demandante no processo principal para os fins enunciados no artigo 1.°, n.° 1, da Diretiva 2016/680, enquanto autoridade competente na aceção do artigo 3.°, n.° 7, desta diretiva.

62. Quanto à conservação desses dados no processo pessoal do demandante, o órgão jurisdicional de reenvio não dá nenhuma indicação sobre as finalidades prosseguidas. Todavia, segundo as explicações fornecidas pelo Governo Búlgaro (25), sob reserva das verificações a efetuar pelo órgão jurisdicional de reenvio, a conservação no processo pessoal não é efetuada para os fins enunciados no artigo 1.°, n.° 1, da Diretiva 2016/680. Nestas condições, considero, à semelhança de todos os participantes no processo que apresentaram observações escritas, que o RGPD é aplicável ao tratamento, no processo pessoal, de dados como os que estão em causa no processo principal.

63. Por conseguinte, proponho ao Tribunal de Justiça que responda à questão preliminar e à primeira, segunda e sexta a oitava questões prejudiciais que o artigo 2.°, n.° 1, do RGPD e o artigo 9.°, n.° 1, da Diretiva 2016/680 devem ser interpretados no sentido de que este regulamento se aplica à conservação, por uma autoridade pública, de dados no processo pessoal de um dos seus funcionários relativos à sua qualidade de suspeito no âmbito de um inquérito penal, quando os dados tenham sido recolhidos por uma unidade organizacional dessa autoridade pública no exercício das suas funções de autoridade competente, na aceção desta diretiva, desde que a conservação prossiga finalidades diferentes das enunciadas no artigo 1.°, n.° 1, da mesma.

3. Quanto à terceira a quinta questões prejudiciais

a) Quanto à reformulação das questões

64. Com a sua terceira questão, o órgão jurisdicional de reenvio pergunta, em substância, se o artigo 9.°, n.° 2, alínea b), do RGPD deve ser interpretado no sentido de que uma unidade organizacional de uma autoridade pública pode recolher e conservar dados relativos ao facto de um dos seus funcionários ter sido suspeito no âmbito de um processo penal, quando essas informações tenham sido recolhidas por outra unidade dessa autoridade que tem a qualidade de autoridade de investigação.

65. A quarta questão prejudicial visa saber se o artigo 17.°, n.° 1, alínea a), do RGPD deve ser interpretado no sentido de que uma autoridade pública deve, na sua qualidade de empregador, apagar todos os dados do processo pessoal de um funcionário relativos à sua qualidade de suspeito no âmbito de um inquérito penal arquivado, quando esses dados tenham sido recolhidos por uma unidade dessa autoridade que tem a qualidade de autoridade de investigação relativamente a esse funcionário.

66. Além disso, a quinta questão prejudicial visa saber, em substância, se o artigo 17.°, n.° 1, alínea d), deste regulamento deve ser interpretado no sentido de que tais dados são «tratados ilicitamente».

67. No que respeita à disposição referida na terceira questão prejudicial, importa salientar que o artigo 9.° do RGPD rege, como resulta do seu n.° 1, o tratamento de certas categorias especiais de dados. Nada na decisão de reenvio indica que, no caso em apreço, os dados decorrentes do inquérito penal que são conservados no processo pessoal correspondam a uma dessas categorias. Por conseguinte, o artigo 9.°, n.° 2, alínea b), deste regulamento não pode constituir um fundamento para a conservação dos dados em causa no caso em apreço. Como explicarei em seguida nas presentes conclusões, o fundamento da licitude deve ser procurado noutras disposições do referido regulamento, que não são mencionadas nas questões submetidas pelo órgão jurisdicional de reenvio (26).

68. As disposições do artigo 17.°, n.° 1, alíneas a) e d), do RGPD, que são objeto da quarta e quinta questões prejudiciais, consagram os motivos de apagamento dos dados que «deixaram de ser necessários para a finalidade que motivou a sua recolha ou tratamento» [alínea a)] ou que «foram tratados ilicitamente» [alínea d)].

69. Ora, resulta de uma leitura conjugada destas duas questões e da fundamentação do pedido de decisão prejudicial que, com estas questões, o órgão jurisdicional de reenvio se interroga, mais fundamentalmente, enquanto premissa para se pronunciar sobre o pedido de apagamento, sobre se a conservação dos dados em causa no processo pessoal é lícita.

70. Embora o órgão jurisdicional de reenvio não forneça nenhuma indicação sobre o eventual fundamento de licitude pertinente no caso em apreço nem sobre o quadro jurídico nacional aplicável, tanto a Comissão como o Governo Búlgaro fizeram referência, nas suas observações escritas, ao artigo 6.°, n.° 1, alínea c), do RGPD.

71. Segundo esta disposição, um tratamento é lícito quando for necessário para o cumprimento de uma obrigação jurídica a que o responsável pelo tratamento esteja sujeito. O artigo 6.°, n.° 3, do RGPD precisa, nomeadamente, que o direito do Estado‑Membro ao qual o responsável pelo tratamento está sujeito e que define o fundamento do tratamento deve responder a um objetivo de interesse público e ser proporcional ao objetivo legítimo prosseguido. Este mesmo fundamento de licitude está refletido no artigo 17.°, n.° 3, alínea b), deste regulamento, que exclui o direito ao apagamento previsto no artigo 17.°, n.° 1, do mesmo, quando o tratamento dos dados for necessário para o cumprimento de tal obrigação legal (27).

72. A este respeito, o Governo Búlgaro precisou que o tratamento dos dados pessoais para efeitos da elaboração, manutenção, conservação e utilização dos processos pessoais dos funcionários do Ministério é efetuado com fundamento na instrução relativa aos processos pessoais emitida pelo ministro da Administração Interna com base no artigo 147.°, n.° 2, da ZMVR. Esta instrução prevê que são conservados, nomeadamente, todos os dados para efeitos da «alteração de funções» dos funcionários, tais como os relativos a processos disciplinares (28). Quanto a este aspeto, este Governo indicou que, segundo as disposições aplicáveis em matéria de responsabilidade disciplinar dos funcionários do ministério, por qualquer incidente relativo a uma infração penal no Ministério, é junta ao processo pessoal uma cópia do relatório sobre o resultado do inquérito e sobre a questão de saber se é necessário desencadear a responsabilidade disciplinar do funcionário. Segundo o referido Governo, daqui decorre que a conservação desses dados no processo pessoal é justificada pelas funções específicas dos agentes policiais, que visam manter a ordem pública.

73. É com base nestas premissas, extraídas das observações submetidas ao Tribunal de Justiça (29), que proponho reformular a terceira a quinta questões prejudiciais no sentido de que visam determinar se o artigo 17.°, n.° 3, do RGPD, lido em conjugação com o seu artigo 6.°, n.° 1, alínea c), e n.° 3, deve ser interpretado no sentido de que a conservação, no processo pessoal de um agente policial, de dados pessoais relativos a um inquérito penal no âmbito do qual esse agente foi objeto de medidas de investigação enquanto suspeito e que foi arquivado pode ser considerada lícita para efeitos do cumprimento de uma obrigação jurídica a que a autoridade pública, que é o seu empregador, esteja sujeita com base no direito nacional enquanto responsável pelo tratamento, apenas em razão da natureza das funções que esse agente deve desempenhar.

b) Análise

74. Parece resultar das explicações fornecidas pelo Governo Búlgaro que a base jurídica da conservação dos dados em causa resulta de uma leitura conjugada de várias disposições que figuram numa «instrução» emitida pelo ministro da Administração Interna com base na ZMVR, que prevê uma delegação expressa do poder regulamentar neste ministro.

75. A este respeito, coloca‑se, antes de mais, a questão de saber se o fundamento do tratamento, na aceção do artigo 6.°, n.° 3, do RGPD, pode ser definido por um ato regulamentar adotado por uma autoridade pública de um Estado‑Membro com base numa habilitação legal prevista num ato legislativo nacional.

76. O considerando 41 do RGPD enuncia, no seu primeiro período, que a exigência de um fundamento jurídico não significa necessariamente um ato legislativo adotado por um parlamento, sem prejuízo dos requisitos que decorram da ordem constitucional do Estado‑Membro em causa. Daqui resulta que o legislador da União não quis excluir que uma obrigação jurídica relativa ao tratamento seja definida no direito nacional por uma base jurídica diferente de uma lei em sentido formal, em conformidade com o direito constitucional nacional.

77. Além disso, importa salientar que, segundo o considerando 19 do RGPD, os Estados‑Membros devem ter uma certa margem de manobra quanto ao tratamento de dados efetuado, como no caso em apreço, por uma autoridade competente, na aceção da Diretiva 2016/680, mas para efeitos abrangidos pelo RGPD. Assim, os Estados‑Membros deverão poder manter ou aprovar disposições mais específicas para adaptar a aplicação do RGPD no que respeita ao tratamento desses dados, «tendo em conta as estruturas constitucionais, organizativas e administrativas do respetivo Estado‑Membro».

78. O RGPD não se opõe, portanto, a que o fundamento jurídico para o tratamento seja definido num ato regulamentar adotado em conformidade com o direito constitucional nacional. Todavia, a referida margem de manobra não pode ser interpretada no sentido de que permite utilizar arbitrariamente as chamadas cláusulas «de abertura», como a do artigo 6.°, n.° 3, do RGPD, que permite introduzir no direito nacional uma obrigação jurídica enquanto fundamento de licitude do tratamento dos dados (30). Com efeito, conforme enunciado no segundo período do considerando 41 deste regulamento — retomando a jurisprudência relativa ao artigo 52.°, n.° 1, da Carta (31), à luz do qual o artigo 6.°, n.° 3, do referido regulamento deve ser interpretado (32) — o fundamento jurídico do tratamento deverá ser claro e preciso e a sua aplicação deverá ser previsível para os seus destinatários.

79. No caso em apreço, resulta dos autos que as instruções do Ministério são emitidas como atos regulamentares com base na habilitação legal prevista pela ZMVR e são igualmente publicadas no Darzhaven vestnik (jornal oficial). Não constituem, portanto, instruções puramente internas que, manifestamente, não poderiam ser qualificadas de «lei» em sentido material (33).

80. Todavia, as disposições a que o Governo Búlgaro fez referência suscitam, na minha opinião, interrogações quanto à previsibilidade do tratamento dos dados provenientes de um inquérito penal. Mais precisamente, tenho dúvidas quanto à previsibilidade das finalidades do tratamento que, em conformidade com o artigo 6.°, n.° 3, do RGPD, devem ser definidas pelo fundamento jurídico para o tratamento.

81. Segundo as indicações fornecidas pelo Governo Búlgaro, entre essas finalidades, que se afiguram enumeradas de forma exaustiva no artigo 5.°, n.° 2, da instrução relativa aos processos pessoais, encontra‑se a relativa à «alteração […] de serviço dos agentes», à qual corresponderia a conservação dos dados em causa. De acordo com o artigo 6.°, n.° 4, desta instrução, os dados conservados para efeitos da «alteração de funções» incluem, nomeadamente, os «documentos relativos a processos disciplinares».

82. Ora, ao considerar o conteúdo dos dados em causa, afigura‑se que esta finalidade é entendida no sentido de que inclui, de forma muito ampla e apesar da sua redação, mesmo a conservação de dados sobre a inexistência de tais processos disciplinares na sequência do inquérito, como terá acontecido no caso em apreço, e que, portanto, não dizem respeito a nenhuma alteração de funções do funcionário em causa.

83. Sob reserva de qualquer outra disposição que o órgão jurisdicional de reenvio considere pertinente, não me parece que tal aplicação muito ampla das disposições em causa da instrução relativa aos processos pessoais respeite as exigências enunciadas no n.° 78 das presentes conclusões.

84. Se o Tribunal de Justiça não partilhar da minha posição no que respeita à constatação de falta de previsibilidade da base legal, considero que esta base legal que constitui o fundamento da conservação dos dados não parece, em qualquer caso, responder a um objetivo de interesse público na aceção do artigo 6.°, n.° 3, do RGPD.

85. Quanto a este aspeto, o Governo Búlgaro alegou na audiência que, na falta de um processo disciplinar instaurado na sequência de um inquérito, os dados relativos a esse inquérito não seriam posteriormente utilizados no âmbito da gestão da carreira do funcionário. No entanto, seria do interesse público conservar esses dados, uma vez que dizem respeito a pessoas encarregadas de atividades específicas que visam garantir a ordem pública e defender a população.

86. É certo que se admite em geral que a função de agente policial exige o respeito de regras de conduta e de comportamento de um nível mais elevado do que o de outros funcionários ou empregados. No entanto, é pacífico que, no caso em apreço, o inquérito foi arquivado por falta de provas e que não foi instaurado nenhum processo de responsabilidade disciplinar contra o funcionário em causa. Por conseguinte, não vejo de que modo a natureza das funções de defesa da ordem pública que incumbem a este funcionário possa justificar a conservação dos dados em causa no seu processo pessoal.

87. Além disso, o Governo Búlgaro precisou na audiência que a conservação de dados resultantes do inquérito penal está associada à conservação de dados relativos à responsabilidade disciplinar dos funcionários, uma vez que o resultado do inquérito penal é determinante para saber se há que desencadear essa responsabilidade disciplinar. Assim, o processo pessoal do demandante no processo principal indica que o inquérito penal de que foi objeto enquanto suspeito concluiu pela inexistência de prova contra ele, pelo que não foi instaurado nenhum processo disciplinar. Ora, considero que se trata de um raciocínio circular que equipara a conservação dos dados a um objetivo de interesse geral. Seguindo esta lógica, qualquer conservação de dados seria então justificada por si própria, o que tornaria supérflua a exigência de um objetivo de interesse público.

88. Por outro lado, seguindo este argumento até ao extremo da sua lógica, a conservação de certos dados para demonstrar a inexistência de acusação, de condenação ou de sanções disciplinares — quando isso poderia igualmente ser demonstrado sem incluir nenhuma informação relativa ao inquérito penal ou à responsabilidade disciplinar no processo pessoal — implicaria que, sem essa conservação, a inexistência de antecedentes não poderia ser provada.

89. Ora, estaríamos então quase perante uma presunção de culpa, em violação do princípio da presunção de inocência, consagrado no artigo 48.°, n.° 1, da Carta, que corresponde (34) ao artigo 6.°, n.° 2, da CEDH. Sublinho que, segundo a jurisprudência do TEDH, este princípio não cessa com o encerramento do procedimento criminal, mas visa impedir que pessoas que tenham beneficiado de uma absolvição ou de uma extinção da ação penal sejam tratadas por autoridades públicas, em processos posteriores, como se fossem de facto culpadas de uma infração que lhes tivesse sido imputada (35). Esta interpretação militaria, portanto, em caso de arquivamento do inquérito, a favor da reposição do statu quo ante no processo pessoal.

90. Independentemente desta última consideração, considero que os elementos de que o Tribunal de Justiça dispõe não são suficientes para demonstrar que os requisitos previstos no artigo 6.°, n.° 1, alínea c), e no artigo 6.°, n.° 3, do RGPD foram respeitados. Na medida em que nenhum dos outros fundamentos de licitude referidos no artigo 6.°, n.° 1, deste regulamento parece aplicar-se ao caso em apreço, o que cabe ao órgão jurisdicional de reenvio verificar (36), há que considerar que a conservação desses dados não é lícita e que o funcionário tem, portanto, o direito de obter o seu apagamento, ao abrigo do artigo 17.°, n.° 1, alínea d), do referido regulamento.

91. Nestas condições, e na falta de outras indicações sobre o objetivo legítimo prosseguido, não é possível apreciar a proporcionalidade da duração da conservação dos dados nos processos pessoais que, segundo as informações fornecidas pelo Governo Búlgaro na audiência, iria até aos 100 anos de idade do funcionário. No entanto, a aplicação desse prazo, de forma indiferenciada, a qualquer dado relativo ao inquérito penal, independentemente do seu desfecho e da aplicação ou não de sanções disciplinares, também não pode ser justificada por uma simples remissão para as missões dos agentes policiais (37).

92. Em conclusão, proponho que se responda à terceira a quinta questões prejudiciais que o artigo 17.°, n.° 3, do RGPD, lido em conjugação com o seu artigo 6.°, n.° 1, alínea c), e n.° 3, deve ser interpretado no sentido de que a conservação, no processo pessoal de um agente policial, de dados pessoais relativos a um inquérito penal em que esse agente foi objeto de medidas de investigação enquanto suspeito e que foi arquivado, não pode ser considerada lícita para efeitos do cumprimento de uma obrigação jurídica a que a autoridade pública, que é o seu empregador, esteja sujeita com base no direito nacional enquanto responsável pelo tratamento, apenas em razão da natureza das funções que esse agente deve desempenhar.

c) Reflexões adicionais

93. Gostaria de me debruçar sucintamente sobre o artigo 10.° do RGPD, a respeito do qual o órgão jurisdicional de reenvio não submeteu uma questão, mas quanto ao qual o Governo Búlgaro tomou posição na audiência em resposta a uma questão colocada pelo Tribunal de Justiça.

94. Esta disposição estabelece condições específicas aplicáveis ao tratamento dos dados «relacionados com condenações penais e infrações». Prevê, nomeadamente, que o tratamento desses dados com base no artigo 6.°, n.° 1, do RGPD, só é efetuado sob o controlo de uma autoridade pública ou se o tratamento for autorizado por disposições do direito da União ou de um Estado‑Membro que prevejam garantias adequadas para os direitos e liberdades dos titulares dos dados. Como resulta da redação da referida disposição, esta aplica‑se apenas aos tratamentos que correspondam a um dos fundamentos de licitude previstos no artigo 6.°, n.° 1, do RGPD. Assim, o órgão jurisdicional de reenvio só deve tomar em conta o artigo 10.° deste regulamento se concluir pela licitude da conservação dos dados em causa.

95. No entanto, mesmo que assim fosse, considero que, nas circunstâncias do caso em apreço, os requisitos adicionais previstos no artigo 10.° do RGPD estariam, em qualquer caso, preenchidos.

96. Antes de mais, recordo que, segundo a jurisprudência, o artigo 10.° do RGPD se aplica aos dados relativos a infrações penais independentemente do facto de, no decurso do processo penal, ter ou não sido provada a infração pela qual a pessoa foi constituída arguida (38).

97. No caso em apreço, é pacífico que o demandante no processo principal não foi constituído arguido nem acusado, mas que os dados conservados no seu processo pessoal revelam que foi objeto de medidas de investigação enquanto suspeito. Além disso, considero que tais dados constituem dados «relativos» a infrações penais (39). Com efeito, o objetivo prosseguido pelo artigo 10.° do RGPD (40) aponta no sentido de uma aplicação desta disposição aos dados pessoais que revelem que suspeitas sobre a prática de uma infração penal deram origem a medidas de investigação, adotadas pela autoridade competente contra a pessoa em causa (41). Ainda que o inquérito não conduza a uma condenação, o facto de tais dados figurarem no processo pessoal pode ter consequências negativas posteriormente.

98. Ora, quando o responsável pelo tratamento é uma autoridade pública, o tratamento dos dados pessoais é, em qualquer caso, efetuado «sob o controlo de uma autoridade pública» (42). No caso em apreço, os dados do demandante no processo principal foram tratados exclusivamente no âmbito das unidades do Ministério enquanto responsável pelo tratamento. Por conseguinte, não é necessário examinar se o direito nacional prevê, na aceção do artigo 10.° do RGPD, garantias adequadas para os direitos e liberdades dos titulares dos dados.

4. Quanto à nona questão prejudicial

99. Com a sua nona questão, o órgão jurisdicional de reenvio pergunta, em substância, se o artigo 16.°, n.° 2, da Diretiva 2016/680 deve ser interpretado no sentido de que uma autoridade pública, na sua qualidade de empregador, deve apagar do processo pessoal do funcionário todos os dados que foram recolhidos e conservados através da sua unidade organizacional que tem a qualidade de autoridade de investigação, quando esses dados digam respeito ao facto de o agente ter sido suspeito no âmbito de um inquérito penal arquivado.

100. Na medida em que resulta da análise precedente que o RGPD se aplica à conservação de dados como os que estão em causa no processo principal e que a aplicação da Diretiva 2016/680 está excluída, não há que responder à nona questão prejudicial.

5. Quanto à décima questão prejudicial

101. Com a sua décima questão, o órgão jurisdicional de reenvio pergunta, em substância, se o artigo 1.° da Diretiva 2000/78 deve ser interpretado no sentido de que esta diretiva se opõe a que uma autoridade pública, cuja unidade organizacional executa medidas de investigação contra um funcionário de outra unidade, recuse, na sua qualidade de empregador, promovê‑lo apenas pelo facto de ter sido suspeito no âmbito de um inquérito penal arquivado.

102. Antes de mais, no que respeita às premissas factuais em que esta questão assenta, o Governo Búlgaro indicou na audiência, em resposta às questões colocadas pelo Tribunal de Justiça, que, durante o período subsequente ao inquérito penal, o demandante no processo principal, contrariamente ao que afirma, foi promovido a funções superiores. Ora, a presunção de pertinência de que gozam as questões prejudiciais não pode ser ilidida pelo simples facto de uma das partes no processo principal contestar determinados factos, cuja exatidão não compete ao Tribunal de Justiça verificar e de que depende a definição do objeto do litígio (43).

103. Seguidamente, recordo que a Diretiva 2000/78 enumera de forma exaustiva, no seu artigo 1.°, os motivos de discriminação que proíbe, a saber, a religião ou as convicções, a deficiência, a idade ou a orientação sexual (44). Ora, a circunstância de ter sido suspeito no âmbito de um inquérito penal arquivado não é abrangida por nenhum desses motivos. A recusa de progressão na carreira baseada apenas nesta circunstância não está, portanto, abrangida pelo âmbito de aplicação desta diretiva.

104. Nestas condições, a circunstância de os dados relativos à qualidade de suspeito terem sido recolhidos por uma unidade organizacional do empregador diferente daquela a que o funcionário estava afetado é irrelevante.

105. A Diretiva 2000/78 também não se aplica à recusa de promoção em razão da qualidade de suspeito enquanto agente policial. Resulta da jurisprudência do Tribunal de Justiça que uma discriminação fundada na relação laboral enquanto tal, em especial na pertença a uma categoria socioprofissional ou no local de trabalho, não é abrangida por esta diretiva (45).

106. Por conseguinte, proponho que se responda à décima questão prejudicial que o artigo 1.° da Diretiva 2000/78 deve ser interpretado no sentido de que esta diretiva não se aplica à recusa de progressão na carreira de um funcionário apenas com base no facto de este ter sido suspeito no âmbito de um inquérito penal arquivado.

V. Conclusão

107. Tendo em conta as considerações precedentes, proponho ao Tribunal de Justiça que responda do seguinte modo às questões prejudiciais submetidas pelo Sofiyski rayonen sad (Tribunal de Primeira Instância de Sófia, Bulgária):

1) O artigo 2.°, n.° 1, do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE, e o artigo 9.°, n.° 1, da Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, e à livre circulação desses dados, e que revoga a Decisão‑Quadro 2008/977/JAI do Conselho

devem ser interpretados no sentido de que:

este regulamento se aplica à conservação, por uma autoridade pública, de dados no processo pessoal de um dos seus funcionários relativos à sua qualidade de suspeito no âmbito de um inquérito penal, quando os dados tenham sido recolhidos por uma unidade organizacional dessa autoridade pública no exercício das suas funções de autoridade competente, na aceção desta diretiva, desde que a conservação prossiga finalidades diferentes das enunciadas no artigo 1.°, n.° 1, da mesma.

2) O artigo 17.°, n.° 3, do Regulamento 2016/679, lido em conjugação com o seu artigo 6.°, n.° 1, alínea c), e n.° 3

deve ser interpretado no sentido de que:

a conservação, no processo pessoal de um agente policial, de dados pessoais relativos a um inquérito penal em que esse agente foi objeto de medidas de investigação enquanto suspeito e que foi arquivado, não pode ser considerada lícita para efeitos do cumprimento de uma obrigação jurídica a que a autoridade pública, que é o seu empregador, esteja sujeita com base no direito nacional enquanto responsável pelo tratamento, apenas em razão da natureza das funções que esse agente deve desempenhar.

3) O artigo 1.° da Diretiva 2000/78/CE do Conselho, de 27 de novembro de 2000, que estabelece um quadro geral de igualdade de tratamento no emprego e na atividade profissional

deve ser interpretado no sentido de que:

esta diretiva não se aplica à recusa de progressão na carreira de um funcionário apenas com base no facto de este ter sido suspeito no âmbito de um inquérito penal arquivado.

1 Língua original: francês.

i O nome do presente processo é um nome fictício. Não corresponde ao nome verdadeiro de nenhuma das partes no processo.

2 Regulamento do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO 2016, L 119, p. 1).

3 Diretiva do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, e à livre circulação desses dados, e que revoga a Decisão‑Quadro 2008/977/JAI do Conselho (JO 2016, L 119, p. 89).

4 Diretiva do Conselho, de 27 de novembro de 2000, que estabelece um quadro geral de igualdade de tratamento no emprego e na atividade profissional (JO 2000, L 303, p. 16).

5 DV n.° 53, de 27 de junho de 2014.

6 DV n.° 78, de 19 de setembro de 2014, alterada e completada na DV n.° 27, de 14 de abril de 2015, alterada e completada na DV n.° 53, de 25 de junho de 2021.

7 V., neste sentido, Acórdão de 8 de maio de 2025, Stadt Wuppertal (C‑130/24, EU:C:2025:340, n.° 42).

8 Embora o inquérito penal tenha decorrido em 2016, a saber, antes da entrada em vigor do RGPD e da Diretiva 2016/680, o demandante no processo principal pede o apagamento dos seus dados que, até à data, continuam a ser conservados pelo Ministério. Nestas condições, não tenho dúvidas de que o RGPD e a Diretiva 2016/680 são aplicáveis ratione temporis ao litígio no processo principal.

9 V., neste sentido, Acórdão de 4 de outubro de 2024, Bezirkshauptmannschaft Landeck (Tentativa de acesso aos dados pessoais armazenados num telemóvel) (C‑548/21, EU:C:2024:830, n.° 53).

10 Primeira, segunda, quarta, quinta, sétima e nona questões prejudiciais.

11 Terceira, sexta e oitava questões prejudiciais.

12 Quanto à reformulação das questões, v. Acórdão de 3 de junho de 2025, Kinsa (C‑460/23, EU:C:2025:392, n.° 34 e jurisprudência referida).

13 O artigo 52.° da Carta, igualmente visado por esta questão, rege as restrições aos direitos fundamentais e não é, na minha opinião, pertinente no contexto da delimitação dos âmbitos de aplicação do RGPD e da Diretiva 2016/680.

14 A interpretação destes conceitos feita no âmbito do RGPD deve, assim, aplicar‑se por analogia a esta diretiva; v., quanto ao conceito de «tratamento», Acórdão de 4 de outubro de 2024, Bezirkshauptmannschaft Landeck (Tentativa de acesso aos dados pessoais armazenados num telemóvel) (C‑548/21, EU:C:2024:830, n.° 71).

15 V., neste sentido, Acórdão de 8 de dezembro de 2022, Inspektor v Inspektorata kam Visshia sadeben savet (Finalidades do tratamento de dados pessoais — Inquérito penal) (C‑180/21, EU:C:2022:967, n.° 73).

16 V. artigo 29.°, n.° 1, da ZMVR. Quanto à designação do responsável pelo tratamento pelo direito nacional, v. Acórdão de 11 de janeiro de 2024, État belge (Dados tratados por um jornal oficial) (C‑231/22, EU:C:2024:7, n.os 29 e 30).

17 Artigo 2.°, n.° 1, do RGPD.

18 V., neste sentido, Acórdão de 7 de março de 2024, Endemol Shine Finland (C‑740/22, EU:C:2024:216, n.os 37 e 38).

19 Segundo as informações apresentadas pelo Governo Búlgaro, por força do artigo 147.°, n.° 1, da ZMVR e dos artigos 3.° e 6.° da instrução relativa aos processos pessoais, estes são numerados por ordem crescente e armazenados em repertórios específicos, sendo os dados pessoais aí conservados e repartidos por secções predefinidas.

20 V., neste sentido, Acórdão de 8 de dezembro de 2022, Inspektor v Inspektorata kam Visshia sadeben savet (Finalidades do tratamento de dados pessoais — Inquérito penal) (C‑180/21, EU:C:2022:967, n.° 74).

21 Artigo 5.°, n.° 1, alínea b), do RGPD e artigo 4.°, n.° 1, alínea b), da Diretiva 2016/680.

22 V., neste sentido, Conclusões do Advogado‑geral M. Campos Sánchez‑Bordona no processo Inspektor v Inspektorata kam Visshia sadeben savet (Finalidades do tratamento de dados pessoais — Inquérito penal) (C‑180/21, EU:C:2022:406, n.os 37, 38, 70 e 71).

23 A menos que se trate de uma atividade que não seja abrangida pelo âmbito de aplicação do direito da União, isto é, que tenha por objetivo preservar a segurança nacional ou que possa ser classificada na mesma categoria, o que não parece ser aqui o caso; v. Acórdão de 22 de junho de 2021, Latvijas Republikas Saeima (Pontos de penalização) (C‑439/19, EU:C:2021:504, n.os 66 a 68).

24 V., neste sentido, Conclusões do advogado‑geral M. Campos Sánchez‑Bordona no processo Lietuvos Respublikos generalinė prokuratūra (C‑162/22, EU:C:2023:266, n.os 83 e 84).

25 V., mais precisamente, n.° 72 das presentes conclusões.

26 Esta circunstância não obsta a que o Tribunal de Justiça tome em consideração essas disposições na reformulação das questões; ver Acórdão de 13 de março de 2025, Alsen (C‑137/23, EU:C:2025:179, n.° 46 e jurisprudência referida).

27 V., neste sentido, Conclusões da advogada‑geral L. Medina no processo Agentsia po vpisvaniyata (C‑200/23, EU:C:2024:445, n.os 62 e 63).

28 Artigo 5.°, n.° 2, e artigo 6.°, n.° 4, da instrução relativa aos processos pessoais.

29 Quanto à tomada em consideração de tais indicações, v. Acórdão de 13 de julho de 2023, Ferrovienord (C‑363/21 e C‑364/21, EU:C:2023:563, n.° 58 e jurisprudência referida).

30 V., neste sentido, Conclusões do Advogado‑geral P. Pikamäe no processo SCHUFA Holding e o. (Scoring) (C‑634/21, EU:C:2023:220, n.° 69).

31 V., entre outros, Acórdão de 24 de fevereiro der 2022, Valsts ieņēmumu dienests (Tratamento de dados pessoais para efeitos fiscais) (C‑175/20, EU:C:2022:124, n.os 54 a 56).

32 V., neste sentido, Acórdão de 1 de agosto de 2022, Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2022:601, n.os 69 e 70).

33 V., sobre a qualidade de lei na aceção da Convenção Europeia para a Proteção dos Direitos do Homem e das Liberdade Fundamentais, assinada em Roma em 4 de novembro de 1950 (a seguir «CEDH»), TEDH, 25 de março de 1983, Silver e o. c. Reino Unido, CE:ECHR:1983:0325JUD000594772, § 26 e §§ 86 a 88.

34 V., nomeadamente, Acórdão de 2 de fevereiro de 2021, Consob (C‑481/19, EU:C:2021:84, n.° 37).

35 Para um panorama desta jurisprudência, v. TEDH, Grande Secção, 11 de junho de 2024, Nealon e Hallam c. Reino Unido, CE:ECHR:2024:0611JUD003248319, §§ 102 a 109 e §§ 122 a 125, bem como, mais especificamente, em matéria de função pública, TEDH, 16 de fevereiro de 2017, Yildiz c. Turquia, CE:ECHR:2017:0124DEC006518210, §§ 30 a 34. Nesse processo, um agente policial alegava que um procedimento de classificação negativo implicava uma presunção de que era culpado de uma infração penal, apesar de ter sido absolvido. Todavia, o TEDH concluiu pela inaplicabilidade do artigo 6.°, n.° 2, da CEDH, uma vez que o requerente não tinha demonstrado que o tratamento de que tinha sido alvo tinha criado um nexo entre o processo penal e o processo administrativo posterior.

36 A Comissão fez referência, nas suas observações escritas, ao artigo 6.°, n.° 1, alínea e), do RGPD, que visa o tratamento necessário ao exercício de funções de interesse público ou ao exercício da autoridade pública de que está investido o responsável pelo tratamento. Se se tratar efetivamente de um fundamento de licitude suscetível de se aplicar a uma autoridade pública, está igualmente sujeito aos requisitos do artigo 6.°, n.° 3, deste regulamento. Assim, colocar‑se‑ia, em qualquer caso, a questão da existência de um objetivo de interesse público.

37 Recordo que, por força do princípio da minimização dos dados, consagrado no artigo 5.°, n.° 1, alínea c), do RGPD, os dados devem ser adequados, pertinentes e limitados ao que é necessário relativamente às finalidades para as quais são tratados. Segundo o considerando 39 do RGPD, este princípio exige que se assegure que o prazo de conservação dos dados seja limitado ao mínimo.

38 Acórdão de 24 de setembro de 2019, GC e o. (Supressão de referências a dados sensíveis) (C‑136/17, EU:C:2019:773, n.° 72).

39 O Governo Búlgaro explicou na audiência que a qualidade de suspeito não implica um estatuto jurídico particular no direito búlgaro. Ora, o Tribunal de Justiça já declarou que o conceito de «infração» deve ser interpretado de maneira autónoma e uniforme [Acórdão de 22 de junho de 2021, Latvijas Republikas Saeima (Pontos de penalização) (C‑439/19, EU:C:2021:504, n.os 80 a 85)], o que deve ser válido, na minha opinião, para todos os elementos do âmbito de aplicação do artigo 10.° do RGPD.

40 A saber, assegurar uma maior proteção no que respeita a tratamentos que, devido à sensibilidade específica destes dados, podem constituir uma ingerência especialmente grave na vida privada ou profissional da pessoa em causa; v. Acórdão de 22 de junho de 2021, Latvijas Republikas Saeima (Pontos de penalização) (C‑439/19, EU:C:2021:504, n.os 74 e 75).

41 Esta posição é partilhada por Bäcker, M., «Art. 10», in Wolff, H.A., Brink, S., e von Ungern‑Sternberg, A., BeckOK Datenschutzrecht, 51e ed., C.H. Beck, 2024, ponto 3; v., igualmente, Georgieva, L., «Article 10», in Kuner, C., Bygrave, L.A., e Docksey, C., The EU General Data Protection Regulation (GDPR). A Commentary, Oxford University Press, 2020, p. 389.

42 V., neste sentido, Acórdão de 22 de junho de 2021, Latvijas Republikas Saeima (Pontos de penalização) (C‑439/19, EU:C:2021:504, n.° 101).

43 Acórdão de 5 de dezembro de 2006, Cipolla e o. (C‑94/04 e C‑202/04, EU:C:2006:758, n.° 26).

44 V., neste sentido, Acórdãos de 17 de julho de 2008, Coleman (C‑303/06, EU:C:2008:415, n.os 38 e 46); de 7 de julho de 2011, Agafiţei e o. (C‑310/10, EU:C:2011:467, n.° 34), e de 20 de outubro de 2022, Curtea de Apel Alba Iulia e o. (C‑301/21, EU:C:2022:811, n.os 64 e 69 bem como jurisprudência referida).

45 Acórdãos de 7 de julho de 2011, Agafiţei e o. (C‑310/10, EU:C:2011:467, n.os 31 a 33); de 9 de março de 2017, Milkova (C‑406/15, EU:C:2017:198, n.° 44); e de 17 de outubro de 2024, Zetschek (C‑349/23, EU:C:2024:889, n.° 25 e jurisprudência referida).