Acórdão do Tribunal de Justiça da União Europeia
Processo C-312/24

Edição provisória

ACÓRDÃO DO TRIBUNAL DE JUSTIÇA (Quinta Secção)

4 de junho de 2026 (*)

« Reenvio prejudicial — Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais em matéria penal — Regulamento (UE) 2016/679 — Diretiva (UE) 2016/680 — Âmbito de aplicação — Tratamento dos dados recolhidos no âmbito de uma investigação dirigida contra um agente de polícia enquanto suspeito da prática de um crime — Registo dos dados relativos a essa investigação no processo pessoal do agente de polícia — Licitude do tratamento — Artigo 6.°, n.° 1, primeiro parágrafo, alínea c), e artigo 6.°, n.° 3, daquele regulamento — Tratamento necessário para o cumprimento de uma obrigação legal — Fundamento jurídico para o tratamento — Artigo 17.° do referido regulamento — Direito ao apagamento »

No processo C‑312/24 [Darashev] (i),

que tem por objeto um pedido de decisão prejudicial apresentado, nos termos do artigo 267.° TFUE, pelo Sofiyski rayonen sad (Tribunal de Primeira Instância de Sófia, Bulgária), por Decisão de 30 de janeiro de 2024, que deu entrada no Tribunal de Justiça em 29 de abril de 2024, no processo

CL

contra

Prokuratura na Republika Bulgaria,

O TRIBUNAL DE JUSTIÇA (Quinta Secção),

composto por: M. L. Arastey Sahún, presidente de secção, J. Passer, E. Regan (relator), D. Gratsias e B. Smulders, juízes,

advogado‑geral: M. Szpunar,

secretário: R. Stefanova‑Kamisheva, administradora,

vistos os autos e após a audiência de 21 de maio de 2025,

vistas as observações apresentadas:

– em representação do Governo Búlgaro, por T. Mitova, S. Ruseva e R. Stoyanov, na qualidade de agentes,

– em representação do Governo Húngaro, por Zs. Biró‑Tóth e M. Z. Fehér, na qualidade de agentes,

– em representação da Comissão Europeia, por A. Bouchagiar, G. Koleva e H. Kranenborg, na qualidade de agentes,

ouvidas as conclusões do advogado‑geral na audiência de 4 de setembro de 2025,

profere o presente

Acórdão

1 O pedido de decisão prejudicial tem por objeto a interpretação do artigo 1.° da Diretiva 2000/78/CE do Conselho, de 27 de novembro de 2000, que estabelece um quadro geral de igualdade de tratamento no emprego e na atividade profissional (JO 2000, L 303, p. 16), do artigo 2.°, n.° 1, do artigo 4.°, pontos 2 e 6, do artigo 9.°, n.° 2, alínea b), e do artigo 17.°, n.° 1, alíneas a) e d), do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO 2016, L 119, p. 1; retificação no JO 2018, L 127, p. 2; a seguir «RGPD»), do artigo 3.°, pontos 1 e 2, do artigo 9.°, n.° 1, e do artigo 16.°, n.° 2, da Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, e à livre circulação desses dados, e que revoga a Decisão‑Quadro 2008/977/JAI do Conselho (JO 2016, L 119, p. 89), bem como do artigo 52.° da Carta dos Direitos Fundamentais da União Europeia (a seguir «Carta»).

2 Este pedido foi apresentado no âmbito de um litígio que opõe CL à Prokuratura na Republika Bulgaria (Ministério Público da República da Bulgária; a seguir «Ministério Público») relativo a uma indemnização reclamada por CL pelos danos que alega ter sofrido em resultado, por um lado, das medidas de investigação que lhe foram aplicadas no âmbito de uma investigação penal contra si instaurada e, por outro, das consequências desta última.

Quadro jurídico

Direito da União

Diretiva 2000/78

3 O artigo 1.° da Diretiva 2000/78, com a epígrafe «Objeto», prevê:

«A presente diretiva tem por objeto estabelecer um quadro geral para lutar contra a discriminação em razão da religião ou das convicções, de uma deficiência, da idade ou da orientação sexual, no que se refere ao emprego e à atividade profissional, com vista a pôr em prática nos Estados‑Membros o princípio da igualdade de tratamento.»

RGPD

4 Os considerandos 4, 10, 19, 39, 41, 65 e 66 do RGPD enunciam:

«(4) [...] O presente regulamento respeita todos os direitos fundamentais e observa as liberdade[s] e os princípios reconhecidos na Carta, consagrados nos Tratados, nomeadamente o respeito pela vida privada e familiar [...]

[...]

(10) A fim de assegurar um nível de proteção coerente e elevado das pessoas singulares e eliminar os obstáculos à circulação de dados pessoais na União [Europeia], o nível de proteção dos direitos e liberdades das pessoas singulares relativamente ao tratamento desses dados deverá ser equivalente em todos os Estados‑Membros. É conveniente assegurar em toda a União a aplicação coerente e homogénea das regras de defesa dos direitos e das liberdades fundamentais das pessoas singulares no que diz respeito ao tratamento de dados pessoais. [...]

[...]

(19) No que respeita ao tratamento de dados pessoais pelas referidas autoridades competentes para efeitos que sejam abrangidos pelo presente regulamento, os Estados‑Membros deverão poder manter ou aprovar disposições mais específicas para adaptar a aplicação das regras previstas no presente regulamento. Tais disposições podem estabelecer requisitos mais específicos e precisos a respeitar pelas referidas autoridades competentes no tratamento dos dados pessoais para esses outros efeitos, tendo em conta as estruturas constitucionais, organizativas e administrativas do respetivo Estado‑Membro. [...]

[...]

(39) Os dados pessoais deverão ser adequados, pertinentes e limitados ao necessário para os efeitos para os quais são tratados. Para isso, é necessário assegurar que o prazo de conservação dos dados seja limitado ao mínimo. Os dados pessoais apenas deverão ser tratados se a finalidade do tratamento não puder ser atingida de forma razoável por outros meios. [...]

[...]

(41) Caso o presente regulamento se refira a um fundamento jurídico ou a uma medida legislativa, não se trata necessariamente de um ato legislativo adotado por um parlamento, sem prejuízo dos requisitos que decorram da ordem constitucional do Estado‑Membro em causa. No entanto, esse fundamento jurídico ou essa medida legislativa deverão ser claros e precisos e a sua aplicação deverá ser previsível para os seus destinatários, em conformidade com a jurisprudência do Tribunal de Justiça da União Europeia […] e pelo Tribunal Europeu dos Direitos do Homem.

[…]

(65) Os titulares dos dados deverão ter direito a que os dados que lhes digam respeito sejam retificados e o «direito a serem esquecidos» quando a conservação desses dados violar o presente regulamento ou o direito da União ou dos Estados‑Membros aplicável ao responsável pelo tratamento. Em especial, os titulares de dados deverão ter direito a que os seus dados pessoais sejam apagados e deixem de ser objeto de tratamento se deixarem de ser necessários para a finalidade para a qual foram recolhidos ou tratados, se os titulares dos dados [...] se opuserem ao tratamento de dados pessoais que lhes digam respeito ou se o tratamento dos seus dados pessoais não respeitar o disposto no presente regulamento. [...] No entanto, o prolongamento da conservação dos dados pessoais deverá ser efetuado de forma lícita quando tal se revele necessário [...] para o cumprimento de uma obrigação jurídica, para o exercício de funções de interesse público ou o exercício da autoridade pública de que está investido o responsável pelo tratamento [...].

(66) Para reforçar o direito a ser esquecido no ambiente por via eletrónica, o âmbito do direito ao apagamento deverá ser alargado através da imposição ao responsável pelo tratamento que tenha tornado públicos os dados pessoais da adoção de medidas razoáveis, incluindo a aplicação de medidas técnicas, para informar os responsáveis que estejam a tratar esses dados pessoais de que os titulares dos dados solicitaram a supressão de quaisquer ligações para esses dados pessoais ou de cópias ou reproduções dos mesmos. [...]»

5 O artigo 1.° do RGPD, com a epígrafe «Objeto e objetivos», prevê, no n.° 2:

«O presente regulamento defende os direitos e as liberdades fundamentais das pessoas singulares, nomeadamente o seu direito à proteção dos dados pessoais.»

6 O artigo 2.° do RGPD, com a epígrafe «Âmbito de aplicação material», dispõe:

«1. O presente regulamento aplica‑se ao tratamento de dados pessoais por meios total ou parcialmente automatizados, bem como ao tratamento por meios não automatizados de dados pessoais contidos em ficheiros ou a eles destinados.

2. O presente regulamento não se aplica ao tratamento de dados pessoais:

[...]

d) Efetuado pelas autoridades competentes para efeitos de prevenção, investigação, deteção e repressão de infrações penais ou da execução de sanções penais, incluindo a salvaguarda e a prevenção de ameaças à segurança pública.

[...]»

7 O artigo 4.° do RGPD, com a epígrafe «Definições», tem a seguinte redação:

«Para efeitos do presente regulamento, entende‑se por:

1) “Dados pessoais”, informação relativa a uma pessoa singular identificada ou identificável [...]; é considerada identificável uma pessoa singular que possa ser identificada, direta ou indiretamente, em especial por referência a um identificador, como por exemplo um nome, um número de identificação, dados de localização, identificadores por via eletrónica ou a um ou mais elementos específicos da identidade física, fisiológica, genética, mental, económica, cultural ou social dessa pessoa singular;

2) “Tratamento”, uma operação ou um conjunto de operações efetuadas sobre dados pessoais ou sobre conjuntos de dados pessoais, por meios automatizados ou não automatizados, tais como a recolha, o registo, a organização, a estruturação, a conservação, a adaptação ou alteração, a recuperação, a consulta, a utilização, a divulgação por transmissão, difusão ou qualquer outra forma de disponibilização, a comparação ou interconexão, a limitação, o apagamento ou a destruição;

[...]

6) “Ficheiro”, qualquer conjunto estruturado de dados pessoais, acessível segundo critérios específicos, quer seja centralizado, descentralizado ou repartido de modo funcional ou geográfico;

[...]»

8 O artigo 5.° do RGPD, com a epígrafe «Princípios relativos ao tratamento de dados pessoais», prevê, no n.° 1:

«Os dados pessoais são:

a) Objeto de um tratamento lícito, leal e transparente em relação ao titular dos dados (“licitude, lealdade e transparência”);

[...]

e) Conservados de uma forma que permita a identificação dos titulares dos dados apenas durante o período necessário para as finalidades para as quais são tratados; os dados pessoais podem ser conservados durante períodos mais longos, desde que sejam tratados exclusivamente para fins de arquivo de interesse público, ou para fins de investigação científica ou histórica ou para fins estatísticos, em conformidade com o artigo 89.°, n.° 1, sujeitos à aplicação das medidas técnicas e organizativas adequadas exigidas pelo presente regulamento, a fim de salvaguardar os direitos e liberdades do titular dos dados (“limitação da conservação”);

[...]»

9 Nos termos do artigo 6.° do RGPD, com a epígrafe «Licitude do tratamento»:

«1. O tratamento só é lícito se e na medida em que se verifique pelo menos uma das seguintes situações:

[...]

c) O tratamento for necessário para o cumprimento de uma obrigação jurídica a que o responsável pelo tratamento esteja sujeito;

[...]

3. O fundamento jurídico para o tratamento referido no n.° 1, alíneas c) e e), é definido:

a) Pelo direito da União; ou

b) Pelo direito do Estado‑Membro ao qual o responsável pelo tratamento está sujeito.

A finalidade do tratamento é determinada com esse fundamento jurídico ou, no que respeita ao tratamento referido no n.° 1, alínea e), deve ser necessária ao exercício de funções de interesse público ou ao exercício da autoridade pública de que está investido o responsável pelo tratamento. Esse fundamento jurídico pode prever disposições específicas para adaptar a aplicação das regras do presente regulamento, nomeadamente: as condições gerais de licitude do tratamento pelo responsável pelo seu tratamento; os tipos de dados objeto de tratamento; os titulares dos dados em questão; as entidades a que os dados pessoais poderão ser comunicados e para que efeitos; os limites a que as finalidades do tratamento devem obedecer; os prazos de conservação; e as operações e procedimentos de tratamento, incluindo as medidas destinadas a garantir a legalidade e lealdade do tratamento, como as medidas relativas a outras situações específicas de tratamento em conformidade com o capítulo IX. O direito da União ou do Estado‑Membro deve responder a um objetivo de interesse público e ser proporcional ao objetivo legítimo prosseguido.

[...]»

10 O artigo 9.° do RGPD, com a epígrafe «Tratamento de categorias especiais de dados pessoais», dispõe:

«1. É proibido o tratamento de dados pessoais que revelem a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas, ou a filiação sindical, bem como o tratamento de dados genéticos, dados biométricos para identificar uma pessoa de forma inequívoca, dados relativos à saúde ou dados relativos à vida sexual ou orientação sexual de uma pessoa.

2. O disposto no n.° 1 não se aplica se se verificar um dos seguintes casos:

[...]

b) Se o tratamento for necessário para efeitos do cumprimento de obrigações e do exercício de direitos específicos do responsável pelo tratamento ou do titular dos dados em matéria de legislação laboral, de segurança social e de proteção social, na medida em que esse tratamento seja permitido pelo direito da União ou dos Estados‑Membros ou ainda por uma convenção coletiva nos termos do direito dos Estados‑Membros que preveja garantias adequadas dos direitos fundamentais e dos interesses do titular dos dados;

[...]»

11 O artigo 10.° do RGPD, com a epígrafe «Tratamento de dados pessoais relacionados com condenações penais e infrações», prevê:

«O tratamento de dados pessoais relacionados com condenações penais e infrações ou com medidas de segurança conexas com base no artigo 6.°, n.° 1, só é efetuado sob o controlo de uma autoridade pública ou se o tratamento for autorizado por disposições do direito da União ou de um Estado‑Membro que prevejam garantias adequadas para os direitos e liberdades dos titulares dos dados. [...]»

12 O artigo 17.° do RGPD, com a epígrafe «Direito ao apagamento dos dados (“direito a ser esquecido”)», tem a seguinte redação:

«1. O titular tem o direito de obter do responsável pelo tratamento o apagamento dos seus dados pessoais, sem demora injustificada, e este tem a obrigação de apagar os dados pessoais, sem demora injustificada, quando se aplique um dos seguintes motivos:

a) Os dados pessoais deixaram de ser necessários para a finalidade que motivou a sua recolha ou tratamento;

[...]

d) Os dados pessoais foram tratados ilicitamente;

[...]

3. Os n.os 1 e 2 não se aplicam na medida em que o tratamento se revele necessário:

[...]

b) Ao cumprimento de uma obrigação legal que exija o tratamento prevista pelo direito da União ou de um Estado‑Membro a que o responsável esteja sujeito, ao exercício de funções de interesse público ou ao exercício da autoridade pública de que esteja investido o responsável pelo tratamento;

[...]»

Diretiva 2016/680

13 Os considerandos 11 e 12 da Diretiva 2016/680 enunciam:

«(11) Por conseguinte, esses domínios deverão ser objeto de uma diretiva que estabeleça regras específicas relativas à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, incluindo a salvaguarda e a prevenção de ameaças à segurança pública, no respeito da natureza específica dessas atividades. Essas autoridades competentes podem incluir não só as autoridades públicas como, por exemplo, as autoridades judiciárias, a polícia ou outras autoridades de aplicação da lei, mas também outros organismos ou entidades designados pelo direito dos Estados‑Membros para o exercício da autoridade e dos poderes públicos para efeitos da presente diretiva. Caso esses organismos ou entidades tratem dados pessoais para efeitos que não sejam os da presente diretiva, é aplicável o [RGPD]. O [RGPD] é, pois, aplicável nos casos em que um organismo ou uma entidade recolhe dados pessoais para outros efeitos e, em seguida, os trata a fim de dar cumprimento a uma obrigação legal a que está sujeito. [...]

(12) As funções de polícia ou de outras autoridades de aplicação da lei centram‑se principalmente na prevenção, investigação, deteção ou repressão de infrações penais, incluindo as atividades policiais sem conhecimento prévio de que um incidente constitui ou não uma infração penal. [...] Essas funções incluem também a manutenção da ordem pública enquanto atribuição da polícia ou de outras autoridades de aplicação da lei, quando necessárias para a salvaguarda e prevenção de ameaças à segurança pública e aos interesses fundamentais da sociedade protegidos por lei, e à prática de infrações penais. [...]»

14 O artigo 1.° desta diretiva, com a epígrafe «Objeto e objetivos», prevê, no n.° 1:

«A presente diretiva estabelece as regras relativas à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, incluindo a salvaguarda e prevenção de ameaças à segurança pública.»

15 O artigo 2.° da referida diretiva, com a epígrafe «Âmbito de aplicação», dispõe, no n.° 1:

«A presente diretiva aplica‑se ao tratamento de dados pessoais pelas autoridades competentes para os efeitos estabelecidos no artigo 1.°, n.° 1.»

16 Nos termos do artigo 3.° da mesma diretiva, com a epígrafe «Definições»:

«Para efeitos da presente diretiva, entende‑se por:

1. “Dados pessoais”, informações relativas a uma pessoa singular identificada ou identificável (“titular dos dados”); é considerada identificável uma pessoa singular que possa ser identificada, direta ou indiretamente, em especial por referência a um identificador como, por exemplo, um nome, um número de identificação, dados de localização, identificadores em linha ou um ou mais elementos específicos da identidade física, fisiológica, genética, mental, económica, cultural ou social dessa pessoa singular;

2. “Tratamento”, uma operação ou um conjunto de operações efetuadas sobre dados pessoais ou sobre conjuntos de dados pessoais, por meios automatizados ou não automatizados, tais como a recolha, o registo, a organização, a estruturação, a conservação, a adaptação ou alteração, a recuperação, a consulta, a utilização, a divulgação por transmissão, por difusão ou por qualquer outra forma de disponibilização, a comparação ou interconexão, a limitação, o apagamento ou a destruição;

[...]

7. “Autoridade competente”:

a) Uma autoridade pública competente para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, incluindo a salvaguarda e a prevenção de ameaças à segurança pública; ou

[...]

8. “Responsável pelo tratamento”, a autoridade competente que, individualmente ou em conjunto com outras, determina as finalidades e os meios de tratamento dos dados pessoais; caso as finalidades e os meios desse tratamento sejam determinados pelo direito da União ou pelo direito de um Estado‑Membro, o responsável pelo tratamento ou os critérios específicos aplicáveis à sua nomeação podem ser previstos pelo direito da União ou de um Estado‑Membro;

[...]»

17 O artigo 9.° da Diretiva 2016/680, com a epígrafe «Condições específicas do tratamento», dispõe:

«1. Os dados pessoais recolhidos pelas autoridades competentes para os fins do artigo 1.°, n.° 1, não podem ser tratados para fins diferentes dos previstos no artigo 1.°, n.° 1, a não ser que esse tratamento seja autorizado pelo direito da União ou de um Estado‑Membro. Caso os dados pessoais sejam tratados para esses outros fins, é aplicável o [RGPD], salvo se tratamento for efetuado no âmbito de uma atividade não sujeita à aplicação do direito da União.

2. Caso o direito dos Estados‑Membros confie às autoridades competentes o exercício de atribuições diferentes das exercidas para os fins do artigo 1.°, n.° 1, o [RGPD] é aplicável ao tratamento para esses fins, inclusive para fins de arquivo de interesse público, para fins de investigação científica ou histórica ou para fins estatísticos, salvo se o tratamento for efetuado no âmbito de uma atividade não sujeita à aplicação do direito da União.

[...]»

18 O artigo 10.° prevê condições relativas ao tratamento de categorias especiais de dados pessoais.

19 O artigo 16.° da referida diretiva, com a epígrafe «Direito de retificação ou apagamento dos dados pessoais e limitação do tratamento», dispõe, no n.° 2:

«Os Estados‑Membros exigem que o responsável pelo tratamento apague os dados pessoais sem demora injustificada e preveem que o titular dos dados tenha o direito de obter sem demora injustificada do responsável pelo tratamento o apagamento dos dados pessoais que lhe digam respeito caso o tratamento infrinja as disposições adotadas nos termos dos artigos 4.°, 8.° ou 10.°, ou caso os dados pessoais tenham de ser apagados a fim de cumprir uma obrigação legal a que o responsável pelo tratamento esteja sujeito.»

Direito búlgaro

20 A zakon za otgovornostta na darzhavata i obshtinite za vredi (Lei relativa à Responsabilidade Civil do Estado e dos Municípios) (DV n.° 60, de 5 de agosto de 1988), na versão aplicável ao litígio no processo principal, prevê, no artigo 2.°, n.° 1, pontos 2 e 3:

«O Estado responde pelos danos causados aos cidadãos pelos serviços de investigação, pelo Ministério Público ou pelos tribunais nos seguintes casos: [...] 2. violação dos direitos protegidos pelo artigo 5.°, n.os 2 a 4, da Convenção; 3. acusação da prática de um crime, se a pessoa for absolvida ou se o processo penal for arquivado com o fundamento de que o ato não foi praticado pelo titular dos dados ou de que o ato praticado não constitui um crime, ou de que o processo penal foi instaurado após prescrição ou amnistia; [...]»

21 A zakon za ministerstvoto na vatreshnite raboti (Lei relativa ao Ministério da Administração Interna) (DV n.° 53, de 27 de junho de 2014), na versão aplicável ao litígio no processo principal (a seguir «ZMVR»), dispõe, no artigo 2.°, n.° 1:

«As atividades do Ministério da Administração Interna visam proteger os direitos e as liberdades dos cidadãos, combater a criminalidade, proteger a segurança nacional, preservar a ordem pública, garantir a proteção contra os incêndios e proteger a população.»

22 O artigo 26.°, n.° 2, da ZMVR tem a seguinte redação:

«O ministro da Administração Interna estabelece os prazos de conservação dos dados a que se refere o n.° 1 ou de verificação periódica da necessidade de conservação dos mesmos. Esses dados são igualmente apagados em execução de uma decisão judicial ou de uma decisão da Comissão de Proteção de Dados [Pessoais].»

23 Nos termos do artigo 29.°, n.os 1 e 2, da ZMVR:

«(1) O responsável pelo tratamento dos dados [pessoais] é o ministro da Administração Interna, que pode confiar o tratamento de dados pessoais a funcionários por ele designados. (2) As modalidades do tratamento dos dados pessoais são fixadas por instrução do ministro da Administração Interna.»

24 O artigo 147.° da ZMVR prevê:

«(1) É elaborado e conservado um processo pessoal para cada agente do Ministério da Administração Interna. (2) As modalidades de elaboração, de gestão e de conservação dos processos pessoais, bem como as modalidades da sua utilização, são fixadas por instrução do ministro da Administração Interna.»

25 O artigo 150.° do ZMVR dispõe:

«(1) O ministro da Administração Interna estabelece um Código Deontológico dos Agentes do Ministério da Administração Interna, que é publicado no Darzhaven vestnik; (2) Os agentes são obrigados a respeitar as regras estabelecidas no Código Deontológico dos Agentes do Ministério da Administração Interna.»

26 Nos termos do artigo 155.°, n.os 1 a 4, da ZMVR:

«(1) Um agente do Ministério da Administração Interna é uma pessoa singular com capacidade de agir que preenche as seguintes condições: [...] 2. não ter sido condenado pela prática de um crime doloso de direito comum, ainda que tenha sido reabilitado; 3. não ter sido constituído arguido ou investigado pela prática de um crime doloso de direito comum; [...]

[...]

(4) A entidade competente para proceder a nomeações verifica ex officio as circunstâncias referidas no n.° 1, ponto 2.»

27 A zakon za zashtita na lichnite danni (Lei relativa à Proteção de Dados Pessoais) (DV n.° 1, de 4 de janeiro de 2002), na versão aplicável ao litígio no processo principal (a seguir «ZZLD»), dispõe, no artigo 6.°, n.os 1 e 2:

«(1) A Comissão de Proteção de Dados Pessoais [...] é uma autoridade de controlo independente e permanente que assegura a proteção das pessoas no tratamento dos seus dados pessoais e no acesso a esses dados, bem como o controlo do cumprimento [do RGPD] e da presente lei; (2) a Comissão [de Proteção de Dados Pessoais] contribui para a aplicação da política do Estado em matéria de proteção de dados pessoais.»

28 O artigo 42.° da ZZLD tem a seguinte redação:

«(1) As regras do presente capítulo aplicam‑se em caso de tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, deteção, investigação e repressão de crimes ou de execução de sanções penais, incluindo a salvaguarda e a prevenção de ameaças à ordem e à segurança públicas. (2) Os dados pessoais recolhidos para os efeitos referidos no n.° 1 não são tratados para outros fins, salvo disposição em contrário do direito da União ou da legislação da República da Bulgária. (3) O [RGPD] e as disposições relevantes da presente lei que introduzem medidas de execução do mesmo são aplicados quando as autoridades competentes nos termos do n.° 1 procedem ao tratamento de dados pessoais para fins diferentes dos referidos no n.° 1, bem como nos casos previstos no n.° 2. (4) As autoridades competentes a que se refere o n.° 1 são as autoridades públicas investidas de poderes de prevenção e deteção de crimes, de investigação e ação penal nessas matérias ou de execução de sanções penais, incluindo a salvaguarda e a prevenção de ameaças à ordem e à segurança públicas. (5) Salvo disposição legal em contrário, um responsável pelo tratamento, na aceção do presente capítulo, de dados pessoais para os fins referidos no n.° 1, é uma autoridade competente na aceção do n.° 4 ou a entidade administrativa de que essa autoridade faz parte que, individualmente ou em conjunto com outras autoridades, determina as finalidades e os meios de tratamento de dados pessoais.»

29 O artigo 43.° da ZZLD prevê:

«As regras do presente capítulo aplicam‑se ao tratamento de dados pessoais por meios total ou parcialmente automatizados, bem como ao tratamento por meios não automatizados de dados pessoais contidos em ficheiros ou a eles destinados.»

30 Nos termos do artigo 46.° do ZZLD:

«(1) Quando a lei não fixar os prazos de apagamento dos dados pessoais ou de verificação periódica da necessidade de conservação dos mesmos, estes são fixados pelo responsável pelo tratamento; (2) A verificação periódica a que se refere o n.° 1 deve ser documentada e a decisão de continuar a conservar os dados deve ser fundamentada.»

31 A Instrução n.° 8121z‑532, de 9 de setembro de 2014, relativa à Redação, à Manutenção, ao Armazenamento e à Utilização dos Processos Pessoais dos Agentes do Ministério da Administração Interna (DV n.° 78, de 19 de setembro de 2014, alterada e completada na DV n.° 27, de 14 de abril de 2015, alterada e completada na DV n.° 53, de 25 de junho de 2021) (a seguir «Instrução relativa aos Processos Pessoais»), dispõe, no artigo 3.°:

«Os processos pessoais são constituídos e conservados pela unidade dos “Recursos Humanos” das estruturas em causa, numerados por ordem crescente, descritos num diário [...] e armazenados em locais (repertórios) que satisfaçam os requisitos de conservação do material que contém informações classificadas.»

32 O artigo 5.° da Instrução relativa aos Processos Pessoais tem a seguinte redação:

«(1) O tratamento de dados pessoais constantes dos processos pessoais é efetuado em conformidade com as disposições da zakon za zashtita na klasifitsiranata informatsia [...] [(Lei relativa à Proteção das Informações Classificadas)], da [ZZLD] e do [RGPD]; (2) O tratamento das informações armazenadas nos processos pessoais é efetuado para efeitos de: 1. início, alteração e cessação do contrato de trabalho ou de serviço dos agentes; 2. execução do contrato de trabalho, incluindo o cumprimento das obrigações estabelecidas por lei ou em convenções coletivas, gestão, planeamento e organização do trabalho, igualdade e diversidade no local de trabalho, saúde e segurança no trabalho, proteção dos bens da entidade empregadora ou do trabalhador; 3. exercício e gozo, numa base individual ou coletiva, dos direitos e benefícios relacionados com o trabalho; 4. arquivos de interesse público, para fins de investigação científica ou histórica ou para fins estatísticos; (3) O acesso às informações armazenadas nos processos pessoais é restrito e efetuado em conformidade com as disposições da [Lei relativa à Proteção das Informações Classificadas], da [ZZLD] e do [RGPD].»

33 O artigo 6.° da Instrução relativa aos Processos Pessoais prevê:

«(1) Nos processos pessoais são recolhidos e armazenados documentos classificados em três secções que contêm dados e informações sobre o estudo, a nomeação, a celebração de contratos de trabalho, a alteração de funções e a cessação de funções dos agentes. (2) A primeira secção contém documentos relativos à entrada no Ministério da Administração Interna. (3) A segunda secção contém documentos relativos à evolução profissional (declarações, atas, propostas, relatórios de avaliações, fichas pessoais, certificados de formação, documentos de participação em concursos, verificação de segurança, cópias de baixa por doença, etc.). (4) A terceira secção contém documentos relativos à mudança de funções [decisões, atos de entrada e de cessação de funções, documentos relativos a processos disciplinares, contratos de trabalho, acordos complementares, notificações referidas no artigo 62.° do Kodeks na truda (Código do Trabalho), etc.].»

Litígio no processo principal e questões prejudiciais

34 Entre o ano de 2012 e o ano de 2023, o demandante no processo principal exerceu várias funções na qualidade de agente de polícia na Direção‑Geral «Polícia de Segurança» e na Direção‑Geral «Polícia Nacional» do Ministério da Administração Interna búlgaro.

35 Em 1 de março de 2016, a Direção «Segurança Interna» daquele ministério abriu uma investigação, contra autor desconhecido, pela prática de um crime de furto com violência em concertação com um terceiro.

36 Em 17 de maio de 2016, foi realizada uma assembleia geral de todos os agentes de polícia da direção em cujo âmbito o demandante no processo principal exercia as suas funções. Nessa assembleia, estiveram igualmente presentes o diretor da secção em causa, um representante da Direção «Segurança Interna», um procurador do Sofiyska gradska prokuratura (Ministério Público de Sófia, Bulgária) e um investigador. Durante a assembleia, o demandante no processo principal foi detido em público e obrigado a entregar o seu crachá, a sua arma e o seu cartão de serviço.

37 No âmbito da investigação em causa, o demandante no processo principal foi sujeito, na qualidade de suspeito, a diferentes medidas de investigação, isto é, a uma revista, a uma recolha de impressões digitais e, na sequência de uma autorização judicial, a uma busca no seu domicílio que resultou numa apreensão. Participou num reconhecimento dos suspeitos durante o qual não foi identificado pelas vítimas como autor do crime, não tendo sido detetado nenhum vestígio das suas impressões digitais nos objetos das vítimas. O demandante no processo principal foi liberto 24 horas após ser detido, não tendo sido constituído arguido nem acusado de praticar um crime de furto com violência. A investigação foi suspensa uma vez que não foi possível identificar o autor do crime.

38 O demandante no processo principal continuou a exercer as suas funções no Ministério da Administração Interna e participou em concursos para efeitos de promoção, o que lhe foi negado por ter sido detido na qualidade de suspeito no âmbito da investigação por crime de furto com violência. O processo pessoal e os arquivos do referido ministério contêm informações sobre a sua detenção e as medidas de investigação a que foi sujeito na qualidade de suspeito.

39 O demandante no processo principal intentou uma ação no Sofiyski rayonen sad (Tribunal de Primeira Instância de Sófia, Bulgária), que é o órgão jurisdicional de reenvio, pedindo a condenação do Ministério Público no pagamento de uma compensação pelos danos morais resultantes das medidas a que foi sujeito no âmbito da investigação em causa e das consequências daí resultantes. Alega que sofreu danos morais pelo facto de ter sido detido diante dos seus colegas por um crime cuja autoria não ficou apurada, embora sendo trabalhador do Ministério da Administração Interna há vários anos. Considera que esta medida humilhante constitui um obstáculo à sua progressão na carreira e salienta, a este título, que a sua entidade empregadora, que ordenou a sua detenção, conserva uma base de dados da qual consta a investigação e o seu nome na qualidade de suspeito e que a mesma se recusa a retirar ou a eliminar estes dados.

40 Resulta da decisão de reenvio que, de acordo com a jurisprudência do Varhoven kasatsionen sad na Republika Balgaria (Supremo Tribunal de Cassação da República da Bulgária), um suspeito que tenha sido relacionado com um crime e que não tenha sido formalmente acusado tem direito a indemnização em caso de encerramento do processo penal.

41 O órgão jurisdicional de reenvio esclarece que o Ministério da Administração Interna constitui uma única autoridade administrativa, cuja missão consiste em assegurar a manutenção da ordem pública, sendo composta por várias direções, designadamente a da «Polícia Nacional» e da «Polícia de Segurança» que intervêm em proteção da ordem pública, bem como a da «Segurança Interna» que conduz as investigações relativas a trabalhadores deste ministério, independentemente do tipo de infrações imputadas e da unidade à qual estão afetos.

42 Enquanto autoridade administrativa única, o Ministério da Administração Interna é a entidade empregadora de todos os agentes em cujo âmbito exercem as suas funções, embora cada direção que o compõe mantenha as informações relativas aos seus agentes, registando‑as nos respetivos processos pessoais. No contexto da participação em processos para efeitos de promoção e de transferência, o trabalhador em causa deve fornecer o seu processo pessoal e informações sobre o modo como cumpriu as [suas] obrigações e sobre se já foi suspeito ou acusado de praticar um crime, se já foi arguido em processos penais, se praticou uma infração disciplinar ou se violou a ordem pública. As informações obtidas durante a investigação também são conservadas no processo pessoal.

43 Em primeiro lugar, o órgão jurisdicional de reenvio tem dúvidas sobre se o RGPD se aplica a situações como a do processo principal, isto é, quando está em causa uma única e mesma estrutura organizacional na qual uma parte assegura as funções de entidade empregadora, ao passo que outra desempenha funções de autoridade de investigação no âmbito de um processo penal.

44 Em segundo lugar, em caso afirmativo, aquele órgão jurisdicional pretende saber se a conservação de informações como as referidas no n.° 42 do presente acórdão no processo pessoal de um trabalhador constitui um «tratamento de dados pessoais», na aceção do artigo 4.°, ponto 2, do RGPD, e se esse processo constitui um «ficheiro», na aceção do artigo 4.°, ponto 6, do RGPD. Coloca‑se igualmente a questão de saber se a conservação desses dados está abrangida pelo âmbito de aplicação do artigo 9.°, n.° 2, alínea b), do RGPD.

45 Em terceiro lugar, o órgão jurisdicional de reenvio pretende saber se o Ministério da Administração Interna pode, na qualidade de entidade empregadora, recusar uma progressão na carreira a um dos seus trabalhadores apenas por este ter sido suspeito, arguido ou acusado numa situação em que o processo penal acabou por ser suspenso. Embora seja do conhecimento público que o pessoal do Ministério da Administração Interna, que assegura o respeito da ordem pública, deve satisfazer critérios morais e éticos mais elevados que os aplicáveis a outras categorias de trabalhadores ou funcionários, o referido órgão jurisdicional tem dúvidas quanto à questão de saber se as modalidades relativas ao tratamento de dados no processo pessoal dos trabalhadores daquele ministério relativos à qualidade de suspeito, de arguido ou de acusado são proporcionadas às exigências que impendem sobre este tipo de trabalhadores. Com efeito, segundo o referido órgão jurisdicional, só uma condenação transitada em julgado constitui um fundamento legítimo para resolver unilateralmente o contrato de trabalho de um trabalhador.

46 Em quarto lugar, o órgão jurisdicional de reenvio questiona se o princípio do «direito a ser esquecido», previsto no artigo 17.°, n.° 1, alínea a), do RGPD, lido à luz dos considerandos 65 e 66 do mesmo, deve ser interpretado no sentido de que os dados do processo pessoal de um trabalhador devem ser apagados, quando são recolhidos por uma unidade da entidade empregadora, diferente daquela a que pertence o trabalhador, responsável por conduzir a investigação e quando dizem respeito ao facto de esse trabalhador ter sido suspeito, acusado de praticar um crime ou arguido num processo penal. Este órgão jurisdicional também tem dúvidas, neste contexto, quanto ao alcance do conceito de «tratamento ilícito», na aceção do artigo 17.°, n.° 1, alínea d), do RGPD.

47 Em quinto lugar, o órgão jurisdicional de reenvio tem dúvidas sobre se as disposições da Diretiva 2016/680 são aplicáveis à situação em causa no processo principal e, em caso afirmativo, sobre o caráter lícito e proporcionado da conservação dos dados em causa no processo principal à luz do artigo 9.°, n.° 1, e do artigo 10.° desta diretiva, bem como sobre o apagamento desses dados ao abrigo do artigo 16.°, n.° 2, da mesma.

48 Em sexto e último lugar, aquele órgão jurisdicional sublinha que o demandante no processo principal se candidatou a concursos para efeitos de promoção e de transferência e que, apesar de ter ficado classificado nos lugares cimeiros, não foi considerado por ser suspeito no âmbito da investigação relativa ao crime de furto com violência. Neste contexto, surge a questão de saber se a conservação de dados pessoais por uma autoridade administrativa única, como o Ministério da Administração Interna, constitui discriminação, na aceção do artigo 1.° da Diretiva 2000/78.

49 Nestas circunstâncias, o Sofiyski rayonen sad (Tribunal de Primeira Instância de Sófia) decidiu suspender a instância e submeter ao Tribunal de Justiça as seguintes questões prejudiciais:

«1) Deve o artigo 2.°, [n.°] 1, do RGPD ser interpretado no sentido de que um tratamento de dados abrange as atividades de uma única estrutura organizacional na qual uma parte das direções assume as funções de entidade empregadora, ao passo que uma única outra direção tem a qualidade de autoridade de investigação em processo penal contra funcionários das outras direções? Em caso de resposta afirmativa a esta questão:

2) Deve a expressão “tratamento de dados pessoais” constante do artigo 4.°, ponto 2, do RGPD ser interpretada no sentido de que abrange uma atividade em cujo âmbito são incluídas no processo pessoal de um funcionário informações que a entidade empregadora obteve na sua qualidade de autoridade de investigação, através de uma das suas direções, relativamente a precisamente o mesmo funcionário?

3) Deve o termo “ficheiro” constante do artigo 4.°, ponto 6, do RGPD ser interpretado no sentido de que abrange um processo pessoal de um funcionário ou de um trabalhador que trabalhe numa direção da entidade empregadora, tendo as informações sido recolhidas por outra direção da entidade empregadora que tem a qualidade de autoridade de investigação?

4) Deve o artigo 9.°, n.° 2, alínea b), do RGPD ser interpretado no sentido de que uma unidade organizacional de uma entidade empregadora pode recolher e conservar dados sobre a participação do funcionário num processo penal na qualidade de suspeito/arguido/acusado, tendo estas informações sido recolhidas por outra unidade organizacional da entidade empregadora que tem a qualidade de autoridade de investigação?

5) Deve o “direito a ser esquecido” nos termos do artigo 17.°, n.° 1, alínea a), do RGPD ser interpretado no sentido de que uma entidade empregadora deve apagar todos os dados do processo pessoal do funcionário que tenha recolhido e conservado através de outra direção sua que tem a qualidade de autoridade de investigação dos seus funcionários, relativos ao facto de o funcionário:

– ser suspeito/arguido/acusado da prática de um crime [num] processo penal pendente;

– ter sido suspeito/arguido/acusado da prática de um crime relativamente ao qual o processo penal foi encerrado ou suspenso?

6) Deve a expressão dados pessoais “tratados ilicitamente” nos termos do artigo 17.°, n.° 1, alínea d), do RGPD ser interpretada no sentido de que abrange dados obtidos, recolhidos e conservados pela entidade empregadora através de outra das suas unidades organizacionais que exerce funções de investigação em processo penal contra funcionários de outras unidades organizacionais da entidade empregadora, sendo estes dados conservados no processo pessoal e respeitantes ao facto de o funcionário ser suspeito/arguido/acusado da prática de um crime, nomeadamente:

– ser suspeito/arguido/acusado da prática de um crime [num] processo penal pendente;

– ter sido suspeito/arguido/acusado da prática de um crime relativamente ao qual o processo penal foi encerrado ou suspenso?

7) Deve o conceito de “dados pessoais” na aceção do artigo 3.°, ponto 1, da [Diretiva 2016/680], [lido] em conjugação com o artigo 52.° da [Carta], ser interpretado no sentido de que se trata de dados obtidos, recolhidos e conservados pela entidade empregadora através de uma das suas unidades organizacionais que exerce funções de investigação em processo penal contra um funcionário que trabalha noutra unidade organizacional da entidade empregadora?

8) Deve o conceito de “tratamento” na aceção do artigo 3.°, ponto 2, da [Diretiva 2016/680], [lido] em conjugação com o artigo 52.° da [Carta], ser interpretado no sentido de que abrange a atividade de conservação pela entidade empregadora de dados no processo pessoal do funcionário, obtidos, recolhidos e conservados pela entidade empregadora através de uma das suas unidades organizacionais que exerce funções de investigação em processo penal contra um funcionário da entidade empregadora que trabalha noutra unidade organizacional da entidade empregadora?

9) Deve o artigo 9.°, n.° 1, da [Diretiva 2016/680], [lido] em conjugação com o artigo 52.° da [Carta], ser interpretado no sentido de que permite que a entidade empregadora recolha e conserve informações sobre um funcionário que é suspeito/arguido/acusado, tendo a entidade empregadora recolhido estas informações através de outra das suas unidades organizacionais que tem a qualidade de autoridade de investigação em processo penal contra este funcionário?

10) Deve o artigo 16.°, n.° 2, da [Diretiva 2016/680], [lido] em conjugação com o artigo 52.° da [Carta], ser interpretado no sentido de que a entidade empregadora deve apagar do processo pessoal do funcionário todos os dados que a entidade empregadora tenha recolhido e conservado através de outra das suas unidades organizacionais que tem a qualidade de autoridade de investigação em processo penal contra este funcionário e que dizem respeito ao facto de o funcionário:

– ser suspeito/arguido/acusado da prática de um crime [num] processo penal pendente;

– ter sido suspeito/arguido/acusado da prática de um crime relativamente ao qual o processo penal foi encerrado ou suspenso?

11) Deve o artigo 1.° da Diretiva [2000/78] ser interpretado no sentido de que não permite que a entidade empregadora de que uma unidade organizacional pratica atos de investigação contra um funcionário de outra unidade organizacional recuse a progressão na carreira a um funcionário apenas com base no facto de o funcionário:

– ser suspeito/arguido/acusado da prática de um crime [num] processo penal pendente;

– ter sido suspeito/arguido/acusado da prática de um crime relativamente ao qual o processo penal foi encerrado ou suspenso?»

Quanto às questões prejudiciais

Quanto à admissibilidade

50 O Governo Búlgaro afirma que todas as questões prejudiciais são manifestamente inadmissíveis.

51 Aquele Governo alega que, embora o pedido de reparação dos danos se dirija exclusivamente ao Ministério Público, que integra o poder judicial, as informações que figuram no processo pessoal do demandante no processo principal só estão na posse do Ministério da Administração Interna, que integra o poder executivo, e que é a entidade empregadora do demandante. Consequentemente, o demandante no processo principal não pode pedir ao Ministério Público que apague os seus dados, não o pode responsabilizar pelo facto de o Ministério da Administração Interna possuir essas informações nem tão‑pouco acusá‑lo de ter dificultado a sua progressão na carreira.

52 O referido Governo salienta que, para desencadear a responsabilidade do Ministério Público, o órgão jurisdicional de reenvio tem de apurar, de acordo com a legislação nacional sobre a responsabilidade do Estado, se os direitos do titular dos dados, na qualidade de acusado, foram violados e se foi injustamente acusado de praticar um crime. O litígio no processo principal não tem por objeto a aplicação de disposições do RGPD nem a aplicação da legislação nacional que transpõe as Diretivas 2016/680 e 2000/78. Por conseguinte, a interpretação destes atos do direito da União não é necessária para resolver esse litígio.

53 A este propósito, resulta da jurisprudência constante do Tribunal de Justiça que as questões relativas à interpretação do direito da União submetidas pelo juiz nacional no quadro normativo e factual que este define sob a sua responsabilidade, e cuja exatidão não cabe ao Tribunal de Justiça verificar, gozam de uma presunção de pertinência. O Tribunal de Justiça só pode recusar pronunciar‑se sobre um pedido de decisão prejudicial apresentado por um órgão jurisdicional nacional se for manifesto que a interpretação do direito da União solicitada não tem nenhuma relação com a realidade ou com o objeto do litígio no processo principal, quando o problema for hipotético ou ainda quando o Tribunal de Justiça não dispuser dos elementos de facto e de direito necessários para dar uma resposta útil às questões que lhe são submetidas (v. Acórdão de 8 de maio de 2025, Stadt Wuppertal, C‑130/24, EU:C:2025:340, n.° 42 e jurisprudência aí referida).

54 Por outro lado, cumpre recordar que não cabe ao Tribunal de Justiça pronunciar‑se sobre a interpretação das disposições nacionais e decidir se a interpretação ou a aplicação dada pelo juiz nacional é correta, uma vez que essa interpretação é da competência exclusiva deste último [Acórdão de 4 de outubro de 2024, Bezirkshauptmannschaft Landeck (Tentativa de acesso aos dados pessoais armazenados num telemóvel), C‑548/21, EU:C:2024:830, n.° 53 e jurisprudência aí referida].

55 Assim, incumbe ao Tribunal de Justiça ter em conta, no quadro da repartição das competências entre os órgãos jurisdicionais da União e nacionais, o contexto factual e regulamentar no qual se inserem as questões prejudiciais, conforme definido na decisão de reenvio. Por conseguinte, independentemente das críticas que o governo de um Estado‑Membro possa fazer à interpretação do direito nacional adotada pelo órgão jurisdicional de reenvio, o exame das questões prejudiciais deve ser efetuado com base nessa interpretação e não cabe ao Tribunal de Justiça verificar a sua exatidão [Acórdão de 29 de julho de 2024, CU e ND (Assistência social — Discriminação indireta), C‑112/22 e C‑223/22, EU:C:2024:636, n.° 40 e jurisprudência aí referida).

56 Não obstante, para que o Tribunal de Justiça possa fornecer uma interpretação do direito da União que seja útil ao juiz nacional, resulta do artigo 94.°, alínea c), do Regulamento de Processo do Tribunal de Justiça que o pedido de decisão prejudicial deve conter a exposição das razões que conduziram o órgão jurisdicional de reenvio a interrogar‑se sobre a interpretação ou sobre a validade de determinadas disposições do direito da União, bem como o nexo que o mesmo estabelece entre essas disposições e a legislação nacional aplicável ao litígio no processo principal (Acórdão de 2 de julho de 2015, Gullotta e Farmacia di Gullotta Davide & C., C‑497/12, EU:C:2015:436, n.° 17).

57 No caso em apreço, no que respeita ao objeto do litígio no processo principal, é facto assente que as questões prejudiciais foram suscitadas no âmbito de um litígio pendente no órgão jurisdicional de reenvio relativo a um pedido de reparação dos danos suportados pelo demandante no processo principal não só devido às medidas a que foi sujeito no âmbito de uma investigação mas também às consequências desta. A este respeito, resulta da decisão de reenvio que os danos alegadamente sofridos decorrem, em particular, da conservação e da utilização posterior, pela entidade empregadora, de dados pessoais recolhidos no âmbito daquela investigação, tendo a entidade empregadora recusado uma progressão na carreira ao demandante no processo principal por ter sido suspeito no âmbito da referida investigação. O demandante no processo principal pede também que o seu nome seja apagado da base de dados em que consta como suspeito.

58 Resulta, assim, dos autos de que dispõe o Tribunal de Justiça, por um lado, que existe um nexo entre o objeto do litígio no processo principal e as regras do direito da União em matéria de proteção de dados pessoais, bem como, por outro, as razões que levaram o órgão jurisdicional de reenvio a questionar‑se sobre se a recusa da entidade empregadora em apagar os dados em questão é compatível com aquelas regras.

59 No que diz respeito, especificamente, à relevância da interpretação da Diretiva 2000/78 para resolver o litígio no processo principal, uma vez que a questão relativa a esta diretiva visa, em substância, determinar se o dano sofrido pelo demandante no processo principal, relacionado com uma recusa de progressão na carreira com base na sua qualidade de suspeito, é passível de ser analisado à luz das disposições desta diretiva, essa questão implica, nas circunstâncias do presente processo, dar uma resposta de fundo quanto à interpretação do artigo 1.° da referida diretiva, que delimita o objeto da mesma.

60 Por conseguinte, os argumentos apresentados pelo Governo Búlgaro não justificam que todas as questões prejudiciais sejam consideradas inadmissíveis.

61 Em contrapartida, cumpre observar, em primeiro lugar, que, com a quarta questão, o órgão jurisdicional de reenvio faz referência ao artigo 9.° do RGPD, que regula, como resulta da sua epígrafe, o tratamento de categorias especiais de dados pessoais. Não obstante, não resulta do pedido de decisão prejudicial que os dados em causa no processo principal estejam abrangidos por uma das categorias de dados elencadas no n.° 1 deste artigo 9.°, isto é, nomeadamente, dados que revelem a origem racial ou étnica, o tratamento de dados genéticos, dados biométricos para identificar uma pessoa de forma inequívoca e dados relativos à saúde de uma pessoa singular. Visto que a interpretação pedida do artigo 9.°, n.° 2, alínea b), do RGPD não é relevante para resolver o litígio no processo principal, esta quarta questão deve ser jugada inadmissível.

62 Em segundo lugar, algumas das circunstâncias referidas na formulação das quinta, sexta e nona a décima primeira questões não são relevantes para a situação em causa no processo principal, que diz respeito, como resulta da decisão de reenvio conforme resumida nos n.os 35 a 37 do presente acórdão, a uma pessoa suspeita de ter praticado um crime no âmbito de uma investigação penal que acabou por ser suspensa. Não há que, por conseguinte, responder a estas questões, uma vez que dizem respeito a um tratamento de dados de um trabalhador que é ou foi acusado de ter praticado um crime ou que é ou foi constituído arguido um processo penal, dado que as referidas questões apresentam um caráter hipotético quanto a este aspeto.

63 Em terceiro lugar, no que respeita a algumas das restantes premissas factuais em que assenta a décima primeira questão, o Governo Búlgaro referiu na audiência que, no período subsequente à investigação penal em causa, o demandante no processo principal foi promovido várias vezes, contrariamente ao que afirma. Todavia, cumpre sublinhar que a presunção de pertinência de que beneficiam as questões prejudiciais, recordada no n.° 53 do presente acórdão, não pode ser ilidida pelo simples facto de uma das partes no processo principal contestar determinados factos cuja exatidão não compete ao Tribunal de Justiça verificar e de que depende a definição do objeto do litígio (Acórdão de 5 de dezembro de 2006, Cipolla e o., C‑94/04 e C‑202/04, EU:C:2006:758, n.° 26).

Quanto ao mérito

Quanto às questões primeira a terceira e sétima a nona

64 Importa recordar que, no âmbito do procedimento de cooperação entre os órgãos jurisdicionais nacionais e o Tribunal de Justiça, instituído pelo artigo 267.° TFUE, cabe a este dar ao órgão jurisdicional nacional uma resposta útil que lhe permita decidir o litígio que lhe foi submetido. Nesta ótica, incumbe ao Tribunal de Justiça, se necessário, reformular as questões que lhe são submetidas. Além disso, o Tribunal de Justiça pode ser levado a tomar em consideração disposições de direito da União a que o órgão jurisdicional nacional não fez referência no enunciado da sua questão (Acórdão de 18 de janeiro de 2024, Hewlett Packard Development Company, C‑367/21, EU:C:2024:61, n.° 44 e jurisprudência aí referida).

65 A este respeito, cumpre salientar que, como o advogado‑geral observou nos n.os 47 a 53 das suas conclusões, embora, através das suas segunda, terceira, sétima e oitava questões, o órgão jurisdicional de reenvio questione formalmente o Tribunal de Justiça sobre a interpretação a dar aos conceitos de «tratamento» de dados pessoais e de «ficheiro», na aceção do artigo 4.°, pontos 2 e 6, do RGPD, bem como aos conceitos de «dados pessoais» e de «tratamento», na aceção do artigo 3.°, pontos 1 e 2, da Diretiva 2016/680, além de estes últimos conceitos estarem definidos em termos idênticos aos utilizados no RGPD, aquele órgão jurisdicional pretende, na realidade, determinar se a situação em causa no processo principal está abrangida pelo âmbito de aplicação do RGPD ou da Diretiva 2016/680. Com efeito, resulta da fundamentação da decisão de reenvio e destas questões que o verdadeiro objeto das mesmas é a questão de saber qual destes atos se aplica a um tratamento de dados efetuado pela direção de uma autoridade pública, que atua na qualidade de entidade empregadora, que consiste em conservar no processo pessoal de um trabalhador dessa autoridade dados relativos à sua qualidade de suspeito no âmbito de uma investigação penal, quando essa direção obteve esses dados por intermédio de outra direção da mesma autoridade pública, uma vez que esta última direção está habilitada a conduzir esse tipo de investigação.

66 Nestas condições, há que considerar que, com as suas primeira a terceira e sétima a nona questões, que devem ser analisadas conjuntamente, o órgão jurisdicional de reenvio pergunta, em substância, se o artigo 2.°, n.° 1, do RGPD e o artigo 9.°, n.° 1, da Diretiva 2016/680 devem ser interpretados no sentido de que este regulamento se aplica a um tratamento de dados pessoais efetuado pela direção de uma autoridade pública, que consiste em conservar no processo pessoal de um dos seus agentes dados relativos à sua qualidade de suspeito no âmbito de uma investigação penal (a seguir «tratamento em causa no processo principal»), quando essa direção tenha obtido esses dados por intermédio de outra direção da mesma autoridade pública, uma vez que esta última direção está habilitada a conduzir esse tipo de investigação.

67 Nos termos do artigo 2.°, n.° 2, alínea d), do RGPD, este regulamento não se aplica ao tratamento de dados pessoais efetuado pelas autoridades competentes para efeitos de prevenção, investigação, deteção e repressão de infrações penais ou da execução de sanções penais, incluindo a salvaguarda e a prevenção de ameaças à segurança pública.

68 O artigo 1.°, n.° 1, da Diretiva 2016/680 dispõe, em contrapartida, que a mesma estabelece as regras relativas à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, incluindo a salvaguarda e prevenção de ameaças à segurança pública.

69 Além disso, o artigo 9.°, n.° 1, daquela diretiva prevê, nomeadamente, que, quando os dados pessoais são tratados para fins diferentes dos previstos no artigo 1.°, n.° 1, da referida diretiva, é aplicável o RGPD, salvo se o tratamento for efetuado no âmbito de uma atividade não sujeita à aplicação do direito da União.

70 Resulta do exposto que, se um tratamento de dados pessoais for efetuado pelas autoridades competentes para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou de execução de sanções penais, se aplica a Diretiva 2016/680, ao passo que, se o tratamento for efetuado para outros fins, se aplica o RGPD [v., neste sentido, Acórdão de 8 de dezembro de 2022, Inspektor v Inspektorata kam Visshia sadeben savet (Finalidades do tratamento de dados pessoais), C‑180/21, EU:C:2022:967, n.os 73 e 74 e jurisprudência aí referida).

71 No caso em apreço, embora a recolha inicial de dados pessoais efetuada pela Direção «Segurança Interna» do Ministério da Administração Interna para efeitos da investigação que visa o demandante no processo principal esteja abrangida pela Diretiva 2016/680, o tratamento em causa no processo principal está, em contrapartida, abrangido pelo RGPD, porquanto é efetuado para efeitos de gestão de recursos humanos.

72 Cumpre esclarecer que a aplicabilidade do RGPD ao tratamento em questão no processo principal não é posta em causa pelo facto de a entidade empregadora ter obtido as referidas informações por intermédio da direção do Ministério da Administração Interna responsável por conduzir a investigação relativa ao demandante no processo principal. A este respeito, o Tribunal de Justiça já declarou que resulta da redação do artigo 9.°, n.os 1 e 2, da Diretiva 2016/680 e da articulação destes números, que o RGPD é aplicável a qualquer tratamento de dados pessoais recolhidos para os fins enunciados no artigo 1.°, n.° 1, desta diretiva, para fins diferentes daqueles, salvo se o tratamento em causa não estiver abrangido pelo direito da União, incluindo quando o «responsável pelo tratamento», na aceção do artigo 3.°, n.° 8, da referida diretiva, for uma «autoridade competente», na aceção do seu artigo 3.°, n.° 7, alínea a), e efetuar o tratamento de dados pessoais no âmbito de funções diferentes das realizadas para os fins enunciados no artigo 1.°, n.° 1, da mesma diretiva [Acórdão de 8 de dezembro de 2022, Inspektor v Inspektorata kam Visshia sadeben savet (Finalidades do tratamento de dados pessoais — Inquérito penal), C‑180/21, EU:C:2022:967, n.° 81].

73 Tendo em conta o que precede, há que responder à primeira a terceira e sétima a nona questões que o artigo 2.°, n.° 1, do RGPD e o artigo 9.°, n.° 1, da Diretiva 2016/680 devem ser interpretados no sentido de que este regulamento se aplica à atividade exercida pela direção de uma autoridade pública, que consiste em conservar no processo pessoal de um dos seus agentes dados relativos à sua qualidade de suspeito no âmbito de uma investigação penal. A este respeito, é irrelevante que essa direção tenha obtido esses dados por intermédio de outra direção da mesma autoridade pública, uma vez que esta última direção está habilitada a conduzir esse tipo de investigação.

Quanto às questões quinta e sexta

74 Cumpre salientar que as quinta e sexta questões dizem respeito, em substância, à possibilidade de o agente em questão obter o apagamento dos dados em causa no processo principal do seu processo pessoal com fundamento no artigo 17.°, n.° 1, alíneas a) e d), do RGPD.

75 Resulta dos autos submetidos ao Tribunal de Justiça que a lei nacional que regula as atividades do Ministério da Administração Interna prevê o dever de este último elaborar e manter um processo pessoal para cada agente deste ministério, bem como instaurar um código deontológico, que os agentes têm de respeitar, e exige que estes últimos, para exercerem as suas funções, não tenham sido condenados, constituídos arguidos ou investigados a título de um crime doloso de direito comum. Do mesmo modo, esta lei dispõe que o ministro da Administração Interna é o responsável pelo tratamento dos dados efetuado pelos seus agentes e que estabelece as modalidades do tratamento de dados através de instruções.

76 Nos termos do artigo 17.°, n.° 1, do RGPD, o titular tem o direito de obter do responsável pelo tratamento o apagamento dos seus dados pessoais, sem demora injustificada, e este tem a obrigação de apagar os dados pessoais, sem demora injustificada, quando se aplique um dos motivos enunciados nesta disposição.

77 É o caso, em conformidade com o artigo 17.°, n.° 1, alínea a), do RGPD, quando os dados pessoais «deixaram de ser necessários para a finalidade que motivou a sua recolha ou tratamento» ou, em conformidade com a alínea d), deste artigo 17.°, n.° 1, quando os dados em questão tenham sido «tratados ilicitamente».

78 Não obstante, conforme o advogado‑geral salienta no n.° 69 das suas conclusões, resulta de uma leitura conjugada das quinta e sétima questões e da fundamentação do pedido de decisão prejudicial que, com estas questões, o órgão jurisdicional de reenvio se interroga, mais fundamentalmente, enquanto premissa para se pronunciar sobre o pedido de apagamento do demandante no processo principal, sobre se a conservação dos dados no processo pessoal do demandante que está em causa no processo principal é lícita.

79 A este respeito, importa recordar que o artigo 6.°, n.° 1, primeiro parágrafo, do RGPD prevê uma lista exaustiva e taxativa dos casos em que o tratamento de dados pessoais pode ser considerado lícito. Assim, para ser considerado legítimo, um tratamento deve ser abrangido por um dos casos previstos nesta disposição (Acórdão de 4 de outubro de 2024, Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, n.° 94 e jurisprudência aí referida). O artigo 6.°, n.° 1, primeiro parágrafo, alínea c), do RGPD prevê que um tratamento de dados pessoais é lícito se for necessário para o cumprimento de uma obrigação jurídica a que o responsável pelo tratamento esteja sujeito.

80 O artigo 6.°, n.° 3, do RGPD esclarece, nomeadamente, que o tratamento previsto no artigo 6.°, n.° 1, primeiro parágrafo, alínea c), do mesmo deve ter por fundamento o direito da União ou o direito do Estado‑Membro ao qual o responsável pelo tratamento está sujeito e que este fundamento jurídico deve responder a um objetivo de interesse público e ser proporcionado ao objetivo legítimo prosseguido (v., neste sentido, Acórdão de 12 de setembro de 2024, HTB Neunte Immobilien Portfolio e Ökorenta Neue Energien Ökostabil IV, C‑17/22 e C‑18/22, EU:C:2024:738, n.° 67 e jurisprudência aí referida).

81 Cumpre ainda observar que o fundamento de licitude previsto no artigo 6.°, n.° 1, primeiro parágrafo, alínea c), do RGPD, lido em conjugação com o artigo 6.°, n.° 3, deste regulamento, está refletido no artigo 17.°, n.° 3, alínea b), do referido regulamento, que exclui o direito ao apagamento previsto no seu artigo 17.°, n.° 1, quando, nomeadamente, o tratamento dos dados for necessário para o cumprimento de uma obrigação legal que exija o tratamento previsto pelo direito da União ou de um Estado‑Membro a que o responsável esteja sujeito.

82 O Tribunal de Justiça já declarou que, admitindo que um tratamento de dados pessoais responde efetivamente ao motivo de licitude previsto no artigo 6.°, n.° 1, primeiro parágrafo, alínea c), do RGPD, este último, e, nomeadamente, o seu artigo 6.°, n.° 3, segundo parágrafo, consagra expressamente a exigência de uma ponderação entre, por um lado, os direitos fundamentais ao respeito pela vida privada e à proteção dos dados pessoais, consagrados nos artigos 7.° e 8.° da Carta, e, por outro, os objetivos legitimamente prosseguidos pelo direito da União ou pelo direito dos Estados‑Membros que estão na base da obrigação jurídica cujo tratamento é necessário para o seu cumprimento (v., neste sentido, Acórdão de 4 de outubro de 2024, Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, n.° 124 e jurisprudência aí referida).

83 Neste contexto, importa recordar que o artigo 52.°, n.° 1, da Carta admite a introdução de restrições ao exercício de direitos como os consagrados nos seus artigos 7.° e 8.°, desde que essas restrições sejam previstas por lei, respeitem o conteúdo essencial dos referidos direitos e liberdades e, na observância do princípio da proporcionalidade, sejam necessárias e correspondam efetivamente a objetivos de interesse geral reconhecidos pela União, ou à necessidade de proteção dos direitos e das liberdades de terceiros [Acórdão de 24 de setembro de 2019, GC e o. (Supressão de referências a dados sensíveis), C‑136/17, EU:C:2019:773, n.° 58 e jurisprudência aí referida].

84 Nestas condições e atenta a jurisprudência referida no n.° 64 do presente acórdão, há que considerar que, com as suas quinta e sexta questões, o órgão jurisdicional de reenvio pergunta, em substância, se o artigo 17.°, n.° 3, alínea b), do RGPD, lido em conjugação com o artigo 6.°, n.° 1, primeiro parágrafo, alínea c), e com o artigo 6.°, n.° 3, do mesmo, bem como à luz do artigo 52.°, n.° 1, da Carta, deve ser interpretado no sentido de que a conservação, no processo pessoal de um agente de polícia, para efeitos de gerir a sua carreira e de verificar se o mesmo cumpre as regras inerentes às suas funções, de dados pessoais relativos à sua qualidade de suspeito no âmbito de uma investigação penal suspensa, quando não tenha sido deduzida acusação nem tenha havido procedimento penal contra o referido agente devido à infração em causa, pode ser considerada justificada para efeitos de cumprimento de uma obrigação legal a que a autoridade pública, entidade empregadora do referido agente, está sujeita ao abrigo do direito nacional.

85 A título preliminar, cumpre recordar que, segundo o artigo 1.°, n.° 2, do RGPD, conjugado com os considerandos 4 e 10 do mesmo, este regulamento tem por objeto, nomeadamente, garantir um nível elevado de proteção das liberdades e dos direitos fundamentais das pessoas singulares no que diz respeito ao tratamento de dados pessoais, tendo presente que este direito é igualmente reconhecido pelo artigo 8.° da Carta e que está estreitamente ligado ao direito ao respeito da vida privada, consagrado no artigo 7.° da mesma (v., neste sentido, Acórdão de 1 de agosto de 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, n.° 61).

86 A este respeito, em conformidade com jurisprudência constante do Tribunal de Justiça, qualquer tratamento de dados pessoais deve, por um lado, ser conforme com os princípios relativos ao tratamento de dados estabelecidos no artigo 5.° do RGPD e, por outro, à luz, em particular, do princípio da licitude do tratamento previsto no n.° 1, alínea a), deste artigo 5.°, cumprir um dos requisitos de licitude do tratamento enumerados no artigo 6.° deste regulamento (Acórdão de 7 de março de 2024, Endemol Shine Finland, C‑740/22, EU:C:2024:216, n.° 45 e jurisprudência aí referida).

87 Importa também esclarecer que, nos termos do artigo 5.° do RGPD, é sobre o responsável pelo tratamento que recai o ónus de provar que esses dados são recolhidos, nomeadamente, para finalidades determinadas, explícitas e legítimas, que são adequados, pertinentes e limitados ao necessário para as finalidades para que são tratados e que são objeto de um tratamento lícito, leal e transparente em relação ao titular dos dados (Acórdão de 4 de outubro de 2024, Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, n.° 97 e jurisprudência aí referida).

88 Por outro lado, as justificações previstas no artigo 6.°, n.° 1, primeiro parágrafo, alíneas b) a f), daquele regulamento, na medida em que permitem tornar lícito um tratamento de dados pessoais efetuado sem o consentimento do titular dos dados, devem ser objeto de uma interpretação restritiva (Acórdão de 4 de outubro de 2024, Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, n.° 96 e jurisprudência aí referida).

89 Embora caiba ao órgão jurisdicional de reenvio determinar se um tratamento como o que está em causa no processo principal é necessário para o cumprimento de uma obrigação legal a que o responsável pelo tratamento está sujeito, na aceção do artigo 17.°, n.° 3, alínea b), do RGPD, lido em conjugação com o artigo 6.°, n.° 1, primeiro parágrafo, alínea c), e com o artigo 6.°, n.° 3, do mesmo, o Tribunal de Justiça pode, no entanto, fornecer‑lhe indicações úteis para lhe permitir decidir o litígio que lhe foi submetido (v., neste sentido, Acórdão de 4 de outubro de 2024, Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, n.° 98 e jurisprudência aí referida).

90 Como resulta dos autos do Tribunal de Justiça e, nomeadamente, dos esclarecimentos prestados pelo Governo Búlgaro na audiência, a conservação dos dados em causa no processo principal assenta em várias disposições de instruções, adotadas pelo ministro da Administração Interna com fundamento na ZMVR, para dar cumprimento às obrigações legais que lhe são impostas por esta lei em matéria de gestão dos processos pessoais dos agentes e de responsabilidade disciplinar destes, e por força da habilitação que lhe é conferida pela referida lei para exercer um poder regulamentar. Por conseguinte, parece resultar destes elementos que o tratamento dos dados em causa no processo principal pode ser necessário para o cumprimento de obrigações legais, na aceção do artigo 6.°, n.° 1, primeiro parágrafo, alínea c), do RGPD, previstas na legislação nacional aplicável, que são executadas pela autoridade pública responsável pelo tratamento no âmbito de instruções de caráter regulamentar que constituem, assim, o fundamento jurídico do tratamento de dados efetuado pelos seus agentes.

91 Consequentemente, coloca‑se a questão de saber se o fundamento jurídico para o tratamento, na aceção do artigo 6.°, n.° 3, do RGPD, pode resultar de um ato regulamentar adotado por uma autoridade pública de um Estado‑Membro com base numa habilitação legal prevista num ato legislativo para efeitos de cumprimento de obrigações legais a que a referida autoridade está sujeita por força desse ato.

92 Além disso, conforme resulta do considerando 41 do RGPD, caso este regulamento se refira a um fundamento jurídico ou a uma medida legislativa, não se trata necessariamente de um ato legislativo adotado por um parlamento, sem prejuízo dos requisitos que decorram da ordem constitucional do Estado‑Membro em causa. No entanto, esse fundamento jurídico ou essa medida legislativa deverão ser claros e precisos e a sua aplicação deverá ser previsível para os seus destinatários, em conformidade com a jurisprudência do Tribunal de Justiça e do Tribunal Europeu dos Direitos do Homem.

93 Além disso, o considerando 19 do RGPD esclarece que, no que respeita ao tratamento de dados pessoais pelas autoridades competentes, na aceção da Diretiva 2016/680, para efeitos que estejam abrangidos pelo âmbito de aplicação do RGPD, os Estados‑Membros deverão poder manter ou aprovar disposições mais específicas para adaptar a aplicação das regras previstas neste regulamento. Tais disposições podem estabelecer requisitos mais específicos e precisos a respeitar pelas referidas autoridades competentes no tratamento dos dados pessoais para esses outros efeitos, tendo em conta as estruturas constitucionais, organizativas e administrativas do respetivo Estado‑Membro.

94 Por conseguinte, há que retirar do exposto que o artigo 6.°, n.° 3, do RGPD não se opõe a que o fundamento jurídico de um tratamento de dados pessoais seja definido pela autoridade pública responsável pelo tratamento num ato regulamentar destinado a dar cumprimento às obrigações legais a que está sujeita, na aceção do artigo 6.°, n.° 1, primeiro parágrafo, alínea c), deste regulamento, desde que essa autoridade esteja habilitada pelo direito nacional a adotar esse ato, esse fundamento jurídico seja claro e preciso e a sua aplicação seja previsível para os titulares dos dados.

95 No caso em apreço, resulta dos autos de que dispõe o Tribunal de Justiça que as instruções do ministro da Administração Interna constituem atos regulamentares adotados com fundamento na habilitação legal prevista na ZMVR e que são publicadas no Jornal Oficial búlgaro. Todavia, cumpre ainda verificar, em particular, se as finalidades do tratamento estão definidas de forma clara e precisa nesse fundamento jurídico, conferindo assim à sua aplicação um caráter previsível, em conformidade com o artigo 6.°, n.° 3, do RGPD, lido à luz do considerando 41 deste regulamento.

96 A este respeito, resulta dos autos submetidos ao Tribunal de Justiça que as instruções daquela autoridade se referem, no que respeita aos documentos que devem constar do processo pessoal dos agentes, aos documentos relativos a processos disciplinares.

97 Incumbe ao órgão jurisdicional de reenvio apreciar se, atendendo a todas as disposições relevantes do direito búlgaro, essa menção pode ser interpretada de forma suficientemente clara, precisa e previsível no sentido de incluir a conservação de dados relativos a uma investigação penal dirigida contra um agente, inclusivamente quando não tenha sido deduzida acusação nem tenha havido procedimento penal em relação a este último a título da infração em causa e esta investigação não tenha dado lugar a processos penais nem a processos disciplinares.

98 Em caso de resposta afirmativa, há que questionar se, em conformidade com o artigo 6.°, n.° 3, segundo parágrafo, do RGPD, a obrigação legal em causa, ao impor um tratamento de dados pessoais como o que está em causa no processo principal, responde a um objetivo de interesse público e é proporcionada ao objetivo legítimo prosseguido.

99 No que respeita à questão de saber se a regulamentação nacional em causa responde a um objetivo de interesse público, o Governo Búlgaro alegou, em substância, que existe um interesse público em conservar dados como os que estão em causa no processo principal, atentas as funções específicas dos agentes de polícia, que consistem, particularmente, em preservar a ordem pública e proteger a população.

100 A este respeito, é geralmente aceite, como o advogado‑geral observou no n.° 86 das suas conclusões, que as funções de agente de polícia exigem que este respeite regras de conduta estritas e, conforme decorre do n.° 45 do presente acórdão, na Bulgária, os agentes de polícia devem satisfazer critérios morais e éticos mais elevados que os aplicáveis a outras categorias de trabalhadores ou de funcionários, demonstrando, assim, que possuem as qualidades profissionais e humanas necessárias para o exercício das suas funções. De resto, conforme salientado no n.° 75 deste acórdão, essas regras de conduta e esses critérios estão expressamente consagrados na lei nacional que regula as atividades do Ministério da Administração Interna e dos seus agentes.

101 Assim, pode considerar‑se que o facto de se exigir que os agentes de polícia cumpram aqueles critérios faz parte de um objetivo de interesse público e, por conseguinte, legítimo, na aceção do artigo 6.°, n.° 3, do RGPD, isto é, em substância, o de garantir a probidade de um trabalhador responsável, nomeadamente, por preservar a ordem pública e proteger a população.

102 Por conseguinte, esse objetivo legítimo pode justificar a conservação, no processo pessoal de um agente de polícia, de informações relativas, nomeadamente, à sua qualidade de suspeito no âmbito de uma investigação penal, quando essa investigação penal esteja em curso ou tenha conduzido a um processo penal ou a uma condenação do referido agente, uma vez que a autoridade competente pode estar obrigada, nesses casos, a adotar medidas cautelares ou, se for o caso, disciplinares, para assegurar o cumprimento das regras de conduta e dos critérios referidos no n.° 100 do presente acórdão.

103 Em contrapartida, numa situação como a que está em causa no processo principal, em que a investigação penal relativa ao agente de polícia em causa acabou por ser suspensa, uma vez que não foi possível apurar a identidade do autor dos factos, e no âmbito da qual se concluiu não existirem provas de que esse agente de polícia tenha praticado o crime, e em que não foi instaurado nenhum processo disciplinar contra este último, não resulta dos elementos dos autos de que dispõe o Tribunal de Justiça que uma regulamentação nacional que prevê a conservação de dados relativos a essa investigação seja suscetível de cumprir esse objetivo legítimo.

104 No entanto, admitindo que o órgão jurisdicional de reenvio chega à conclusão de que a regulamentação nacional em causa no litígio no processo principal responde a um objetivo legítimo, cabe‑lhe, além disso, apreciar se a regulamentação nacional que exige esse tratamento é proporcionada. Em particular, no que respeita à conservação desses dados, o artigo 17.°, n.° 3, alínea b), do RGPD deve ser interpretado em conjugação com o artigo 5.°, n.° 1, alínea e), deste regulamento, no sentido de que, quando o período de conservação dos referidos dados excede o necessário ao cumprimento desta obrigação, o titular dos dados pode recuperar o seu direito ao apagamento dos mesmos, nomeadamente com base no fundamento enunciado no artigo 17.°, n.° 1, alínea a), do referido regulamento. Consequentemente, caberá, se for o caso, ao órgão jurisdicional de reenvio verificar se o período de conservação dos dados relativos ao processo penal instaurado contra o demandante no processo principal não foi excessivo.

105 Cumpre acrescentar que, uma vez que os artigos 7.° a 11.° do RGPD, que figuram, à semelhança dos seus artigos 5.° e 6.°, no capítulo II deste regulamento, que é relativo aos «princípios», têm por objeto esclarecer o alcance das obrigações que incumbem ao responsável pelo tratamento por força do artigo 5.°, n.° 1, alínea a), e do artigo 6.°, n.° 1, do referido regulamento, o tratamento de dados pessoais, para ser lícito, deve igualmente respeitar, como resulta da jurisprudência do Tribunal de Justiça, as outras disposições do referido capítulo II que dizem respeito, em substância, ao consentimento, ao tratamento de categorias específicas de dados pessoais de caráter sensível e ao tratamento de dados pessoais relativos às condenações penais e às infrações [Acórdão de 4 de maio de 2023, Bundesrepublik Deutschland (Caixa de correio eletrónico dos tribunais), C‑60/22, EU:C:2023:373, n.° 58 e jurisprudência aí referida].

106 Ora, os dados em causa no processo principal constituem dados pessoais «relacionados com condenações penais e infrações ou com medidas de segurança conexas», na aceção do artigo 10.° do RGPD, cujo tratamento está sujeito aos requisitos de licitude adicionais previstos neste artigo 10.°, independentemente do facto de, durante a investigação penal, não ter ficado provado que a pessoa em causa praticou o crime de que era suspeita. Assim, em conformidade com esta disposição, o tratamento desses dados «só é efetuado sob o controlo da autoridade pública», a menos que seja «autorizado por disposições do direito da União ou de um Estado‑Membro que prevejam garantias adequadas para os direitos e liberdades dos titulares dos dados» [v., neste sentido, Acórdão de 24 de setembro de 2019, GC e o. (Supressão de referências de dados sensíveis), C‑136/17, EU:C:2019:773, n.os 72 e 73].

107 No caso em apreço, como o advogado‑geral observou no n.° 98 das suas conclusões, o tratamento em causa no processo principal é realizado exclusivamente no Ministério da Administração Interna, que tem a qualidade de responsável pelo tratamento. Por conseguinte, este tratamento é efetuado «sob o controlo d[a] autoridad[e] públic[a]», na aceção do artigo 10.° do RGPD.

108 Por último, quanto ao pedido de apagamento ao abrigo do artigo 17.° do RGPD em causa no processo principal, cumpre salientar que, conforme referiu a Comissão Europeia, se o órgão jurisdicional de reenvio concluir, após apreciar a licitude do referido tratamento, que este último não é lícito, cabe ao Ministério da Administração Interna, enquanto responsável pelo tratamento, em conformidade com o artigo 17.°, n.° 1, alínea d), do RGPD, apagar os dados em causa sem demora injustificada, uma vez que não é aplicável nenhuma das exceções previstas no artigo 17.°, n.° 3, do RGPD (v., neste sentido, Acórdão de 4 de outubro de 2024, Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, n.° 118 e jurisprudência aí referida).

109 Tendo em conta o que precede, há que responder às quinta e sexta questões que o artigo 17.°, n.° 3, alínea b), do RGPD, lido em conjugação com o artigo 6.°, n.° 1, primeiro parágrafo, alínea c), e com o artigo 6.°, n.° 3, do mesmo, bem como à luz do artigo 52.°, n.° 1, da Carta, deve ser interpretado no sentido de que se pode considerar justificada a conservação, no processo pessoal de um agente de polícia, para efeitos de gerir a sua carreira e de verificar se o mesmo cumpre as regras inerentes às suas funções, de dados pessoais relativos à sua qualidade de suspeito no âmbito de uma investigação penal suspensa, quando não tenha sido deduzida acusação nem tenha havido procedimento penal em relação ao referido agente a título da infração em causa, para efeitos de cumprimento de uma obrigação legal a que a autoridade pública, entidade empregadora do referido agente, está sujeita ao abrigo do direito nacional, desde que esse fundamento jurídico seja claro e preciso, que a sua aplicação seja previsível para os titulares dos dados e que essa obrigação responda a um objetivo de interesse público e seja proporcionada a esse objetivo.

Quanto à décima questão

110 Tendo em conta as respostas às primeira a terceira e quinta a nona questões, das quais resulta que o pedido de apagamento dos dados em causa no processo principal está abrangido pelo RGPD e, em particular, pelo seu artigo 17.°, não há que responder à décima questão, uma vez que tem por objeto o mesmo pedido, embora ao abrigo do artigo 16.°, n.° 2, da Diretiva 2016/680.

Quanto à décima primeira questão

111 Com a sua décima primeira questão, o órgão jurisdicional de reenvio pergunta, em substância, se o artigo 1.° da Diretiva 2000/78 deve ser interpretado no sentido de que esta diretiva se opõe a que uma autoridade pública, cuja direção é responsável por conduzir investigações penais contra os agentes dessa autoridade, recuse, na qualidade de entidade empregadora, promover um dos seus agentes apenas pelo facto de este ter sido considerado suspeito no âmbito de semelhante investigação, que acabou por ser suspensa, não tenha sido deduzida acusação nem tenha havido procedimento penal em relação a este agente a título da infração em causa.

112 A este respeito, cumpre recordar que, como resulta do artigo 1.° da Diretiva 2000/78, esta última tem por objeto estabelecer um quadro geral para lutar, no que se refere ao emprego e à atividade profissional, contra as discriminações em razão da religião ou das convicções, de uma deficiência, da idade ou da orientação sexual. Ora, como decorre, nomeadamente, do artigo 2.°, n.° 1, desta diretiva, estes motivos são enumerados de forma exaustiva (v., neste sentido, Acórdãos de 21 de maio de 2015, SCMD, C‑262/14, EU:C:2015:336, n.° 29 e jurisprudência aí referida, e de 9 de março de 2017, Milkova, C‑406/15, EU:C:2017:198, n.° 34 e jurisprudência aí referida).

113 A recusa de progressão na carreira pelo facto de uma pessoa ter sido considerada suspeita no âmbito de uma investigação penal, que acabou por ser suspensa, não se enquadra, por conseguinte, no âmbito de aplicação da Diretiva 2000/78.

114 Por outro lado, no que respeita às discriminações fundadas na relação laboral enquanto tal, o Tribunal de Justiça declarou que essa discriminação não se inclui no quadro geral estabelecido pela Diretiva 2000/78 (Acórdão de 9 de março de 2017, Milkova, C‑406/15, EU:C:2017:198, n.° 44 e jurisprudência aí referida).

115 Por conseguinte, há que responder à décima primeira questão que o artigo 1.° da Diretiva 2000/78 deve ser interpretado no sentido de que esta diretiva não se aplica quando uma autoridade pública, cuja direção é responsável por conduzir investigações penais contra os agentes dessa autoridade, recusa, na qualidade de entidade empregadora, promover um dos seus agentes apenas pelo facto de este ter sido considerado suspeito no âmbito de semelhante investigação, que acabou por ser suspensa, quando não tenha sido deduzida acusação nem tenha havido procedimento penal em relação a este agente a título da infração em causa.

Quanto às despesas

116 Revestindo o processo, quanto às partes na causa principal, a natureza de incidente suscitado perante o órgão jurisdicional de reenvio, compete a este decidir quanto às despesas. As despesas efetuadas pelas outras partes para a apresentação de observações ao Tribunal de Justiça não são reembolsáveis.

Pelos fundamentos expostos, o Tribunal de Justiça (Quinta Secção) declara:

1) O artigo 2.°, n.° 1, do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados), e o artigo 9.°, n.° 1, da Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, e à livre circulação desses dados, e que revoga a Decisão‑Quadro 2008/977/JAI do Conselho,

devem ser interpretados no sentido de que:

este regulamento se aplica à atividade exercida pela direção de uma autoridade pública, que consiste em conservar no processo pessoal de um dos seus agentes dados relativos à sua qualidade de suspeito no âmbito de uma investigação penal. A este respeito, é irrelevante que essa direção tenha obtido esses dados por intermédio de outra direção da mesma autoridade pública, uma vez que esta última direção está habilitada a conduzir esse tipo de investigação.

2) O artigo 17.°, n.° 3, alínea b), do Regulamento 2016/679, lido em conjugação com o artigo 6.°, n.° 1, primeiro parágrafo, alínea c), e com o artigo 6.°, n.° 3, deste regulamento, bem como à luz do artigo 52.°, n.° 1, da Carta dos Direitos Fundamentais da União Europeia,

deve ser interpretado no sentido de que:

se pode considerar justificada a conservação, no processo pessoal de um agente de polícia, para efeitos de gerir a sua carreira e de verificar se o mesmo cumpre as regras inerentes às suas funções, de dados pessoais relativos à sua qualidade de suspeito no âmbito de uma investigação penal suspensa, quando não tenha sido deduzida acusação nem tenha havido procedimento penal em relação ao referido agente a título da infração em causa, para efeitos de cumprimento de uma obrigação legal a que a autoridade pública, entidade empregadora do referido agente, está sujeita ao abrigo do direito nacional, desde que esse fundamento jurídico seja claro e preciso, que a sua aplicação seja previsível para os titulares dos dados e que essa obrigação responda a um objetivo de interesse público e seja proporcionada a esse objetivo.

3) O artigo 1.° da Diretiva 2000/78/CE do Conselho, de 27 de novembro de 2000, que estabelece um quadro geral de igualdade de tratamento no emprego e na atividade profissional,

deve ser interpretado no sentido de que:

esta diretiva não se aplica quando uma autoridade pública, cuja direção é responsável por conduzir investigações penais contra os agentes dessa autoridade, recusa, na qualidade de entidade empregadora, promover um dos seus agentes apenas pelo facto de este ter sido considerado suspeito no âmbito de semelhante investigação, que acabou por ser suspensa, quando não tenha sido deduzida acusação nem tenha havido procedimento penal em relação a este agente a título da infração em causa.

Assinaturas

* Língua do processo: búlgaro.

i O nome do presente processo é um nome fictício. Não corresponde ao nome verdadeiro de nenhuma das partes no processo.