Acórdão do Tribunal de Justiça da União Europeia
Processo C-5/25

Edição provisória

CONCLUSÕES DO ADVOGADO‑GERAL

DEAN SPIELMANN

apresentadas em 5 de março de 2026 (1)

Processo C‑5/25 [Pilev] (i)

Processo penal

contra

WE

sendo interveniente

Sofiyska gradska prokuratura

[pedido de decisão prejudicial apresentado pelo Sofiyski gradski sad (Tribunal da cidade de Sófia, Bulgária)]

« Reenvio prejudicial — Cooperação judiciária em matéria penal — Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais em matéria penal — Operações de tratamento efetuadas pelos órgãos jurisdicionais no exercício da sua função jurisdicional — Aplicabilidade da Diretiva (UE) 2016/680 — Verificação da identidade do arguido em audiência pública — Dados relativos ao local de nascimento, nacionalidade, domicílio, formação, estado civil, antecedentes criminais e “etnia” »

Introdução

1. O presente processo diz respeito ao alcance da recolha, por um órgão jurisdicional penal nacional, de dados pessoais de um arguido com o único objetivo de verificar se este é efetivamente a pessoa visada na acusação. Não diz, porém, respeito à questão da independência do juiz no âmbito das suas funções de juiz do mérito e à sua margem de manobra para interrogar o arguido a este respeito.

2. Este processo dá assim ao Tribunal de Justiça a oportunidade de esclarecer o âmbito de aplicação da Diretiva (UE) 2016/680 (2) relativamente ao Regulamento (UE) 2016/679 (3) e de consolidar a sua jurisprudência em matéria de proporcionalidade em relação ao objetivo prosseguido pela recolha de dados pessoais por um órgão jurisdicional penal.

Quadro jurídico

Diretiva 2016/680

3. O artigo 1.° desta diretiva, com a epígrafe «Objeto e objetivos», prevê no seu n.° 1:

«A presente diretiva estabelece as regras relativas à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, incluindo a salvaguarda e prevenção de ameaças à segurança pública.»

4. O artigo 2.° da referida diretiva, sob a epígrafe «Âmbito de aplicação», dispõe no seu n.° 1:

«A presente diretiva aplica‑se ao tratamento de dados pessoais pelas autoridades competentes para os efeitos estabelecidos no artigo 1.°, n.° 1.»

5. O artigo 3.° da Diretiva 2016/680, sob a epígrafe «Definições», tem a seguinte redação:

«Para efeitos da presente diretiva, entende‑se por:

[...]

7) “Autoridade competente”:

a) Uma autoridade pública competente para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, incluindo a salvaguarda e a prevenção de ameaças à segurança pública; ou

b) Qualquer outro organismo ou entidade designados pelo direito de um Estado‑Membro para exercer a autoridade pública e os poderes públicos para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, incluindo a salvaguarda e a prevenção de ameaças à segurança pública;

[...]»

6. Nos termos do artigo 4.° desta diretiva, sob a epígrafe «Princípios relativos ao tratamento de dados pessoais»:

«1. Os Estados‑Membros preveem que os dados pessoais sejam:

[...]

c) Adequados, pertinentes e limitados ao mínimo necessário relativamente às finalidades para as quais são tratados;

[...]»

7. O artigo 8.° da referida diretiva, sob a epígrafe «Licitude do tratamento», dispõe no seu n.° 1:

«Os Estados‑Membros preveem que o tratamento só seja lícito se e na medida em que for necessário para o exercício de uma atribuição pela autoridade competente para os efeitos previstos no artigo 1.°, n.° 1, e tiver por base o direito da União ou de um Estado‑Membro.»

8. O artigo 10.° da Diretiva 2016/680, intitulado «Tratamento de categorias especiais de dados pessoais», tem a seguinte redação:

«O tratamento de dados pessoais que revelem a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas, a filiação sindical, o tratamento de dados genéticos, dados biométricos destinados a identificar uma pessoa singular de forma inequívoca, dados relativos à saúde ou dados relativos à vida sexual ou à orientação sexual, só é autorizado se for estritamente necessário, se estiver sujeito a garantias adequadas dos direitos e liberdades do titular dos dados, e se:

a) For autorizado pelo direito da União ou de um Estado‑Membro;

b) Se destinar a proteger os interesses vitais do titular dos dados ou de outra pessoa singular; ou

c) Estiver relacionado com dados manifestamente tornados públicos pelo titular dos dados.»

Direito búlgaro

Código de Processo Penal (NPK)

9. O artigo 138.°, n.os 2 e 3, do nakazatelno‑protsesualen kodeks (Código de Processo Penal) (4), de 29 de abril de 2006 (a seguir «NPK»), tem a seguinte redação:

«[…]

(2) Antes do interrogatório, o órgão competente determina a identidade do arguido.

(3) O interrogatório do arguido inicia‑se com a pergunta sobre se este compreende a acusação contra ele deduzida; em seguida, é‑lhe solicitado que, se assim o desejar, diga por suas palavras tudo o que sabe sobre o processo.»

10. O artigo 272.°, n.° 1, do NPK enuncia:

«O presidente verifica a identidade do arguido, perguntando‑lhe o nome completo, a data e o local de nascimento, a etnia, a nacionalidade, o domicílio, a formação, o estado civil e o número de identificação pessoal, bem como a existência de antecedentes criminais.»

11. O artigo 311.°, n.° 1, ponto 2, do NPK dispõe:

«A ata da audiência [...] deve conter [...] as informações relativas à pessoa do arguido.»

Lei relativa ao Registo Civil (ZGR)

12. A zakon za grazhdanskata registratsia (Lei relativa ao Registo Civil) (5), de 27 de julho de 1999 (a seguir «ZGR»), dispõe, no seu artigo 8.°, n.° 1, que os dados principais respeitantes ao estado civil das pessoas são o seu nome, data (dia, mês, ano) e local de nascimento, sexo, nacionalidade e número de identificação pessoal.

Lei relativa aos Documentos de Identificação Búlgaros (ZBLD)

13. A zakon za balgarskite lichni dokumenti (Lei relativa aos Documentos de Identificação Búlgaros) (6), de 1 de abril de 1999 (a seguir «ZBLD»), prevê no seu artigo 3.°, n.° 1:

«Os documentos de identificação certificam a identidade e, se necessário, a nacionalidade através das indicações neles contidas.»

14. O artigo 6.° da ZBLD dispõe:

«Os cidadãos são obrigados a identificar‑se quando tal seja solicitado pelas entidades competentes designadas por lei.»

15. O artigo 16.°, n.° 1, da ZBLD tem a seguinte redação:

«Os documentos de identificação búlgaros contêm os seguintes dados pessoais obrigatórios:

1. Nomes;

2. Data de nascimento;

3. Número de identificação pessoal (número de identificação ou número de identificação estrangeiro);

4. Sexo;

5. Nacionalidade.»

Lei da Organização do Sistema Judiciário (ZSV)

16. A zakon za sadebnata vlast (Lei da Organização do Sistema Judiciário (7), a seguir «ZSV»), prevê no seu artigo 8.°, n.° 2:

«No exercício de funções jurisdicionais [...], não podem ser restringidos os direitos nem concedidas vantagens com base na [...] etnia [...]»

Litígio no processo principal, questão prejudicial e tramitação processual no Tribunal de Justiça

17. O Sofiyski gradski sad (Tribunal da cidade de Sófia, Bulgária), órgão jurisdicional de reenvio, foi chamado a pronunciar‑se sobre a acusação deduzida pela Sofiyska gradska prokuratura (Ministério Público da cidade de Sófia, Bulgária) segundo a qual, em 6 de setembro de 2023, em Sófia, por um lado, uma pessoa singular subornou agentes da polícia para evitar que lhe fosse aplicada uma contraordenação por condução de um automóvel sem carta de condução, e, por outro, no mesmo momento e no mesmo local, a pessoa em causa tinha exercido a profissão de motorista de táxi sem dispor da habilitação para esse efeito. Alega‑se que estes factos constituem infrações penais.

18. Compareceram na primeira audiência, que teve lugar em 5 de julho de 2024, um representante do Ministério Público da cidade de Sófia, o arguido e o seu advogado. O órgão jurisdicional de reenvio deu continuidade ao processo e, em conformidade com o artigo 272.°, n.° 1, do NPK, o presidente da secção teve de proceder à verificação da identidade do arguido, interrogando‑o sobre as circunstâncias referidas nessa disposição.

19. Com base no bilhete de identidade apresentado pelo arguido, o presidente da secção assegurou‑se de que a pessoa que lhe tinha sido presente era efetivamente a pessoa que figurava como arguido na acusação. Contudo, absteve‑se de fazer as perguntas sobre a identidade do arguido previstas no artigo 272.°, n.° 1, do NPK, tendo a instância sido suspensa.

20. O órgão jurisdicional de reenvio pediu ao Konstitutsionen sad (Tribunal Constitucional, Bulgária) que declarasse a incompatibilidade do artigo 272.°, n.° 1, do NPK com determinadas disposições da Konstitutsia na Republika Bulgaria (Constituição da República da Bulgária) (8). Uma vez que o referido tribunal rejeitou pronunciar‑se quanto ao mérito, o órgão jurisdicional de reenvio decidiu submeter o presente pedido de decisão prejudicial.

21. O órgão jurisdicional de reenvio realça que, embora, tal como fez na primeira audiência, possa identificar o arguido com suficiente certeza consultando o seu documento de identidade, que contém todos os dados de identificação necessários, o pedido de informações relativas aos dados de identificação previsto no artigo 272.°, n.° 1, do NPK é útil para que, através das suas respostas, a pessoa que lhe foi presente demonstre com maior certeza que é efetivamente o arguido, ou seja, que o documento de identidade utilizado não pertence a outra pessoa e não é falsificado. Salienta, contudo, que basta interrogar a pessoa comparecente sobre o nome completo, a data de nascimento e o número de identificação pessoal para a identificar.

22. Por conseguinte, o órgão jurisdicional de reenvio tem dúvidas quanto à questão de saber se, ao interrogar a pessoa que lhe é presente, em audiência pública, sobre os outros elementos referidos no artigo 272.°, n.° 1, do NPK — a saber, o local de nascimento, a etnia, a nacionalidade, o domicílio, a formação, o estado civil e os antecedentes criminais — e ao registar as respostas orais na ata, não estará a violar o requisito da necessidade do tratamento de dados pessoais previsto na Diretiva 2016/680. Uma vez que estes outros elementos não são necessários para a identificação certa e completa do arguido, considera que é excessivo recolhê‑los, tendo em conta a finalidade do artigo 272.°, n.° 1, do NPK, a saber, a identificação do arguido.

23. O órgão jurisdicional de reenvio salienta que parte dos dados pessoais referidos no artigo 272.°, n.° 1, do NPK pode ser utilizada para outros fins. Assim, o domicílio pode ser utilizado para determinar a morada para a qual deve ser enviada a citação para comparecer, e os antecedentes criminais podem ser importantes para efeitos da individualização da pena.

24. Todavia, o órgão jurisdicional de reenvio sublinha, em substância, que esses dados, recolhidos antes do início da instrução judicial, não se destinam à identificação do arguido. Além disso, não basta interrogar o arguido e registar as suas respostas para estabelecer essas circunstâncias de forma fiável. Por último, nos termos do direito nacional, as informações reveladas aquando da identificação da pessoa que lhe é presente não podem ser utilizadas para proferir a decisão quanto ao mérito. O órgão jurisdicional começa por estabelecer a identidade da pessoa que lhe é presente, antes de lhe explicar os seus direitos. Por conseguinte, essas informações (etnia, antecedentes criminais, estado civil, nível de formação) não têm valor probatório.

25. Por conseguinte, o órgão jurisdicional de reenvio tem dúvidas quanto ao facto de o artigo 272.°, n.° 1, do NPK satisfazer os requisitos do artigo 4.°, n.° 1, alínea c), e do artigo 8.°, n.° 1, da Diretiva 2016/680. Na sua opinião, a recolha e o registo na ata da audiência, seguidos da conservação nos autos dos dados pessoais relativos ao local de nascimento, à etnia, à nacionalidade, ao domicílio, à formação, ao estado civil e aos antecedentes criminais são excessivos relativamente às finalidades do processo penal. Duvida ainda da conformidade do artigo 272.°, n.° 1, do NPK com o artigo 10.° da Diretiva 2016/680, uma vez que diz respeito às informações relativas à etnia do arguido, dado que essas informações revelam a origem étnica dessa pessoa.

26. Nestas circunstâncias, o Sofiyski gradski sad (Tribunal da cidade de Sófia) decidiu suspender a instância e submeter ao Tribunal de Justiça a seguinte questão prejudicial:

«Uma disposição legal de direito nacional, tal como o artigo 272.°, n.° 1, do [NPK], que requer que os dados pessoais do arguido relativos ao local de nascimento, à [etnia (“narodnost”)], à nacionalidade, ao domicílio, à formação, ao estado civil e aos antecedentes criminais sejam tratados (recolhidos, registados e conservados) para efeitos da determinação da identidade desta pessoa é compatível com os artigos 4.°, n.° 1, alínea [c], 8.°, n.° 1, e 10.°, n.° 1, da Diretiva 2016/680, quando estes dados pessoais não forem, de modo algum, necessários para efeitos do processo penal?»

27. A Comissão Europeia apresentou observações escritas e também apresentou observações orais na audiência pública que teve lugar a 3 de dezembro de 2025.

Análise

28. Embora resulte do pedido de decisão prejudicial que o órgão jurisdicional de reenvio considera que a regulamentação nacional controvertida está abrangida pelo âmbito de aplicação da Diretiva 2016/680, antes de abordar o mérito da questão submetida pelo órgão jurisdicional de reenvio, há que analisar a questão da aplicabilidade da Diretiva 2016/680, questão à qual, aliás, foi em grande parte dedicada a audiência.

Quanto à aplicabilidade da Diretiva 2016/680

29. Antes de mais, a questão de saber se estamos perante um «tratamento de dados pessoais» não se coloca no litígio principal. Com efeito, resulta do pedido de decisão prejudicial que os dados de identificação pessoais em causa são recolhidos, registados na ata da audiência e conservados nos autos. Além disso, mesmo que se considerasse que os dados foram anteriormente recolhidos pela autoridade competente ao abrigo do direito nacional (9), o conceito de «tratamento» é amplo e inclui a consulta e a conservação pelo órgão jurisdicional de reenvio. O requisito relativo à existência de um «tratamento de dados pessoais» está, portanto, preenchida.

30. Seguidamente, decorre da redação do artigo 2.°, n.° 1, da Diretiva 2016/680, lida em conjugação com o artigo 1.°, n.° 1, da mesma diretiva, que são exigidos dois requisitos para que o tratamento de dados pessoais seja abrangido pelo âmbito de aplicação da referida diretiva. Por um lado, esse tratamento deve ser efetuado por uma autoridade competente na aceção do artigo 3.°, n.° 7, da mesma diretiva, e, por outro, esse tratamento deve ser efetuado para um dos efeitos enumerados no artigo 1.°, n.° 1, da Diretiva 2016/680, a saber, a «prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, incluindo a salvaguarda e prevenção de ameaças à segurança pública». Por outro lado, o RGPD, que constitui a lex generalis em matéria de tratamento de dados pessoais, exclui do seu âmbito de aplicação os tratamentos efetuados por «autoridades competentes» para esses efeitos (10), sendo a Diretiva 2016/680, nesta matéria, a lex specialis aplicável (11).

31. Por um lado, no que diz respeito à questão de saber se um órgão jurisdicional pode ser abrangido pelo âmbito de aplicação ratione personae da Diretiva 2016/680, a resposta é, na minha opinião, afirmativa. Com efeito, o artigo 3.°, n.° 7, alínea a), desta diretiva pode visar, sob a expressão «autoridade pública competente», não só às autoridades policiais, mas também aos órgãos jurisdicionais penais nacionais (12). Uma constatação desta natureza, embora não decorra explicitamente da definição do conceito de «autoridade pública competente», pode ser deduzida logicamente do contexto em que aquela disposição se insere e, em particular, de várias disposições da Diretiva 2016/680.

32. Com efeito, nos termos do artigo 32.°, n.° 1, dessa diretiva, os Estados‑Membros preveem que o responsável pelo tratamento designe um encarregado da proteção de dados e podem isentar dessa obrigação os tribunais e outras autoridades judiciais independentes «no exercício da sua função jurisdicional». Do mesmo modo, o artigo 45.°, n.° 2, desta diretiva, lido à luz do seu considerando 80 (13), abrange expressamente os tribunais nacionais, excluindo qualquer competência da autoridade de controlo no que diz respeito às operações de tratamento efetuadas pelos «tribunais no exercício da sua função jurisdicional» (14), a fim de não interferir com as regras específicas do processo penal e a independência judicial.

33. Estas disposições confirmam que, no exercício da sua função jurisdicional, os órgãos jurisdicionais estão sujeitos às obrigações impostas pela Diretiva 2016/680, sendo a sua independência e imparcialidade preservadas neste contexto (15).

34. Além disso, as autoridades judiciais são expressamente mencionadas no considerando 11 da Diretiva 2016/680, segundo o qual «[e]ssas autoridades competentes podem incluir [...] autoridades públicas, como por exemplo as autoridades judiciárias». Os considerandos 20, 49, 107 e o artigo 18.° desta diretiva (16) também fazem referência ao tratamento de dados pessoais por «tribunais e as outras autoridades judiciais, em particular no que respeita aos dados pessoais que constem de uma decisão judicial ou de um registo relacionado com uma ação penal»(17).

35. Por conseguinte, os órgãos jurisdicionais nacionais devem ser considerados «autoridades públicas competentes» na aceção da Diretiva 2016/680 e estar sujeitos às disposições desta diretiva quando tratam dados pessoais que constem de uma decisão judicial ou de um registo relacionado com uma ação penal (18).

36. Por outro lado, a questão que se coloca de forma mais delicada consiste em saber se se pode considerar que um tratamento efetuado por um juiz no âmbito de um processo penal está abrangido ratione materiae pela Diretiva 2016/680. Esta questão, que, tanto quanto sei, é inédita (19), equivale a perguntar se esse tratamento visa ou não um dos efeitos enumerados no artigo 1.°, n.° 1, e no artigo 3.°, n.° 7, alínea a), desta diretiva, em particular, o de «repressão» em matéria penal.

37. Recorde‑se que o Tribunal de Justiça já declarou, no Acórdão Inspektor v Inspektorata kam Visshia sadeben savet (Finalidades do tratamento de dados pessoais — Inquérito penal) (20), que os efeitos mencionados no artigo 1.° da Diretiva 2016/680 são diferentes dos efeitos de «prevenção», de «investigações», de «deteção», de «repressão de ações penais», e de «execução de sanções penais». Esse acórdão permitiu assim esclarecer que o legislador da União pretendeu adotar regras correspondentes às especificidades que caracterizam as funções exercidas pelas autoridades competentes no domínio regulado por esta diretiva, tendo em conta o facto de constituírem funções distintas que prosseguem finalidades que lhes são próprias (21).

38. É verdade que, tal como indicado pelo advogado‑geral M. Campos Sánchez‑Bordona nas suas conclusões, o conceito de «repressão» diz respeito a uma atividade que, exceto na versão em língua espanhola da diretiva referida, precede o processo judicial (22). Além disso, sem prejuízo das diferenças existentes nos sistemas jurídicos dos Estados‑Membros, este termo designa geralmente o conjunto de atos e procedimentos instaurados pelo Ministério Público (procurador ou procurador‑geral) contra uma pessoa suspeita de ter cometido uma infração, com o objetivo de a julgar para determinar a sua culpa ou inocência (23).

39. Contudo, para determinar o âmbito de aplicação ratione materiae da Diretiva 2016/680, parece‑me que, em vez de tentar distinguir entre o papel da «autoridade de repressão» e o do juiz no âmbito do processo penal, é mais pertinente compreender o conceito de «repressão» na perspetiva da finalidade da repressão em matéria penal. As regras desta diretiva aplicam‑se, com efeito, ao tratamento de dados pessoais «para efeitos» de repressão de infrações penais.

40. Ora, essa aceção finalista implica, na minha opinião, uma interpretação ampla do conceito de «atividade de repressão», suscetível de abranger algumas das atividades dos tribunais penais realizadas no âmbito de um processo judicial. Com efeito, em determinadas circunstâncias, que dependem, em especial, dos sistemas processuais nacionais (24), pode considerar‑se que os tratamentos de dados pessoais efetuados por um juiz no âmbito de um processo judicial penal permitem estabelecer o caráter suficientemente probatório dos factos imputados ao arguido, bem como a exatidão da qualificação penal desses factos, de modo a conduzir, in fine, à decisão (25). Neste sentido, pode considerar‑se que esses tratamentos de dados pelo órgão jurisdicional responsável pelo tratamento são efetuados «para efeitos de repressão» na aceção das disposições pertinentes da Diretiva 2016/680.

41. Neste contexto, a atividade de «repressão» pode incluir não só a investigação conduzida pela polícia e a decisão de acusar ou não tomada pelo Ministério Público, mas também a instrução, a remessa a um órgão jurisdicional e, se for caso disso, um processo judicial penal como o que está em causa no litígio principal.

42. Aliás, saliento que, tal como resulta do pedido de decisão prejudicial, após a investigação policial, o órgão jurisdicional de reenvio, ao qual foi remetida a acusação do Ministério Público, dá continuidade ao processo e exerce ele próprio uma atividade de investigação judicial (26), que começa com a verificação da identidade da pessoa processada nos termos do artigo 272.° do NPK e prossegue com o julgamento do mérito do processo pelo mesmo juiz. Assim, este último tem a atribuição de «conduzir o processo judicial no âmbito da ação penal com base numa acusação deduzida pelo Ministério Público». Trata‑se, segundo o órgão jurisdicional de reenvio, da fase judicial do processo penal instaurado para efeitos de repressão. Neste contexto, o conceito de «atividade de repressão» exercida no âmbito do processo judicial penal assume todo o seu sentido.

43. Acrescento que esta abordagem ampla do conceito de «atividade de repressão», além de apresentar a vantagem de não prejudicar os diferentes sistemas nacionais em matéria penal, não é contraditória com o princípio segundo o qual as exceções à aplicação do RGPD, lex generalis, devem ser interpretadas de forma estrita (27). Com efeito, esta abordagem conduz não a que o processo judicial penal escape à regulamentação em matéria de proteção de dados pessoais, mas sim a que esteja sujeito à lex specialis nesta matéria, especificamente prevista pelo artigo 2.°, n.° 2, alínea d), do RGPD.

44. Por último, a abordagem finalista do conceito de «atividade de repressão» parece‑me decorrer da génese da Diretiva 2016/680 e corresponder aos seus objetivos.

45. Com efeito, primeiro, no que diz respeito à génese da Diretiva 2016/680, saliento que, com a entrada em vigor do Tratado de Lisboa, o artigo 16.° TFUE passou a ser a base jurídica pertinente para a revisão da Decisão‑Quadro 2008/977/JAI (28). Tal como referido no considerando 10 da Diretiva 2016/680, na Declaração 21 sobre a proteção de dados pessoais no domínio da cooperação judiciária em matéria penal e da cooperação policial, anexada à Ata Final da Conferência Intergovernamental que adotou o Tratado de Lisboa (29), a conferência reconheceu que, atendendo à especificidade dos domínios em causa, poderão ser necessárias disposições específicas sobre proteção de dados pessoais e sobre a livre circulação dos dados pessoais, nos domínios da cooperação judiciária em matéria penal e da cooperação policial, com base no artigo 16.o do TFUE. A Comissão propôs, portanto, dois textos, um, geral, na forma de regulamento, que se tornará no RGPD, e outro, específico, para a proteção de dados no domínio penal (30), considerado mais sensível e, portanto, objeto de uma diretiva que exige a transposição pelos Estados‑Membros, que se tornará na Diretiva 2016/680, aplicável a todos os atos que possam ser praticados pelos intervenientes na justiça penal, independentemente de esses atos terem ou não uma dimensão transfronteiriça (31).

46. A abordagem da União consistiu, assim, em distinguir o tratamento de dados no contexto policial e penal dos outros tratamentos de dados pessoais, de modo que tenha em conta a natureza específica do domínio abrangido pela Diretiva 2016/680, ou seja, a proteção de dados pessoais no domínio da cooperação judiciária em matéria penal e da cooperação policial, tal como decorre dos considerandos 10 e 11 desta diretiva.

47. Segundo, no que diz respeito aos objetivos da Diretiva 2016/680, esta visa, como decorre dos seus considerandos 4, 7 e 15, nomeadamente, assegurar um nível elevado e homogéneo de proteção dos dados pessoais das pessoas singulares e facilitar o intercâmbio desses dados entre as autoridades competentes dos Estados‑Membros, a fim de garantir a eficácia da cooperação judiciária em matéria penal e da cooperação policial.

48. Note‑se que, tal como realçado na doutrina, o duplo regime de proteção de dados pode ser fonte de dificuldades não negligenciáveis para determinar, entre o RGPD ou a Diretiva 2016/680, qual é o instrumento pertinente (32).

49. Por conseguinte, é ainda mais importante que, no âmbito de um mesmo processo penal, o tratamento de dados pessoais não esteja sujeito a dois textos diferentes pelo simples facto de esses tratamentos terem sido efetuados por autoridades repressivas diferentes em fases diferentes desse mesmo processo. Com efeito, se os tribunais penais que decidem no quadro do processo penal fossem excluídos do âmbito de aplicação da Diretiva 2016/680, tal conduziria, como salientou a Comissão na audiência, a um regime fragmentado em que um mesmo processo penal poderia ser regido por dois textos, em função da fase processual em causa.

50. Uma abordagem dessa natureza seria, na minha opinião, contrária não só ao princípio da segurança jurídica (33) mas também à proteção homogénea e coerente dos dados pessoais.

51. Além disso, em certos casos, as autoridades repressivas têm mais flexibilidade no exercício das suas funções no âmbito da Diretiva 2016/680 do que teriam no âmbito do RGPD (34). Em particular, o tratamento de «categorias especiais de dados pessoais», que incluem os dados ditos «sensíveis», só é autorizado se for estritamente necessário pelo artigo 10.° da referida diretiva, ao passo que é proibido pelo n.° 1 do artigo 9.° do RGPD, salvo as exceções previstas no seu n.° 2. Da mesma forma, o artigo 4.°, n.° 1, alínea c), da Diretiva 2016/680, relativo ao princípio da minimização dos dados, prevê que os dados pessoais devem ser adequados, pertinentes e limitados ao mínimo necessário, ao passo que o artigo 5.°, n.° 1, alínea c), do RGPD prevê que devem ser adequados, pertinentes e limitados ao que é necessário relativamente às finalidades para as quais são tratados.

52. Por conseguinte, a aplicação da Diretiva 2016/680 ao longo do processo penal justifica‑se, tanto mais que as regras de proteção de dados pessoais podem diferir, em certos aspetos, das do RGPD.

53. Por último, uma abordagem fragmentada do processo penal é difícil de conciliar com o objetivo, referido no considerando 7 Diretiva 2016/680, de facilitar o intercâmbio de dados pessoais entre as autoridades competentes dos Estados‑Membros, a fim de assegurar a eficácia da cooperação judiciária em matéria penal e da cooperação policial.

54. Decorre de todas as considerações anteriores que o tratamento de dados pessoais efetuado por um órgão jurisdicional nacional no âmbito da apreciação de um processo penal está abrangido pelo âmbito de aplicação da Diretiva 2016/680 enquanto tratamento efetuado por uma autoridade competente para efeitos de repressão penal.

Quanto ao mérito

55. O órgão jurisdicional de reenvio pergunta, em substância, se o artigo 4.°, n.° 1, alínea c), o artigo 8.°, n.° 1, e o artigo 10.° da Diretiva 2016/680 se opõem a uma regulamentação nacional que prevê a verificação sistemática, pelo juiz penal, de todas as informações referidas no artigo 272.°, n.° 1, do NPK, com o único objetivo de identificar o arguido no âmbito de um processo penal (35).

56. Recordo que os direitos fundamentais ao respeito pela vida privada e à proteção dos dados pessoais, garantidos pelos artigos 7.° e 8.° da Carta dos Direitos Fundamentais da União Europeia (a seguir «Carta»), não são prerrogativas absolutas. Assim, podem ser introduzidas limitações, desde que, em conformidade com o artigo 52.°, n.° 1, da Carta, sejam previstas por lei e respeitem o conteúdo essencial dos referidos direitos fundamentais e o princípio da proporcionalidade (36).

57. O princípio da minimização dos dados, previsto no artigo 4.°, n.° 1, alínea c), da Diretiva 2016/680, e o princípio da licitude do tratamento, previsto no artigo 8.°, n.° 1, desta diretiva, obrigam assim os Estados‑Membros a prever que os dados pessoais em causa sejam adequados, pertinentes e não excessivos em relação às finalidades para as quais são tratados e que o tratamento seja necessário em relação às finalidades prosseguidas, em conformidade com o princípio da proporcionalidade.

58. Além disso, o artigo 10.° da Diretiva 2016/680, que constitui uma disposição específica que regula os tratamentos das categorias especiais de dados pessoais, incluindo os dados biométricos e genéticos, destina‑se a assegurar uma maior proteção relativamente a esses tratamentos que, devido à particular sensibilidade dos dados em causa e ao contexto do seu tratamento, são suscetíveis de implicar, como resulta do considerando 37 desta diretiva, riscos significativos para os direitos e as liberdades fundamentais, como o direito ao respeito pela vida privada e o direito à proteção dos dados pessoais, garantidos pelos artigos 7.° e 8.° da Carta (37).

59. No caso vertente, o órgão jurisdicional de reenvio tem a atribuição de conduzir o processo judicial no âmbito da ação penal, com base numa acusação deduzida pelo Ministério Público. Para poder cumprir essa missão, deve determinar formalmente a identidade da pessoa que lhe é presente e, em particular, verificar se se trata efetivamente da pessoa visada pela acusação (38). Para efeitos de determinação da identidade do arguido, o artigo 272.°, n.° 1, do NPK impõe ao órgão jurisdicional de reenvio que solicite sistematicamente à pessoa que comparece perante ele em cada processo específico um certo número de dados pessoais, a saber, o nome completo, a data e o local de nascimento, a etnia, a nacionalidade, o domicílio, a formação, o estado civil e o número de identificação pessoal, bem como a existência de antecedentes criminais.

60. O objetivo de verificar a identidade do arguido é, enquanto tal, legítimo e suscetível de ser considerado de interesse geral reconhecido pela União, na aceção do artigo 52.°, n.° 1, da Carta, em particular para evitar qualquer erro quanto à pessoa que comparece em juízo.

61. Cabe, portanto, ao órgão jurisdicional de reenvio fiscalizar se a exigência de recolha dos dados em causa é, primeiro, adequada para contribuir para a realização do objetivo de verificação da identidade prosseguido, segundo, se é necessária, o que implica que não existem medidas alternativas menos lesivas do direito ao respeito pela proteção dos dados pessoais, mas também eficazes para atingir o objetivo invocado (39), e, terceiro, se é proporcionada a esse objetivo, o que implica uma ponderação entre, por um lado, o objetivo de interesse geral visado, e, por outro, os direitos da pessoa cujos dados pessoais são recolhidos (40), sendo o Tribunal de Justiça competente para lhe fornecer os elementos de interpretação úteis.

62. Saliento que a questão submetida não diz respeito à recolha de determinados dados relativos ao estado civil e à identificação, tais como o nome completo, a data de nascimento e o número de identificação pessoal. Aliás, esses dados constituem tradicionalmente elementos de identificação, incluindo nos termos da legislação búlgara relativa ao estado civil e aos documentos de identificação (41).

63. Em contrapartida, o órgão jurisdicional de reenvio coloca a questão da proporcionalidade da recolha sistemática de certas informações, tais como, primeiro, o local de nascimento e a nacionalidade, segundo, o domicílio, a formação, o estado civil e os antecedentes criminais, e, terceiro, a etnia, que convém abordar sucessivamente.

64. Primeiro, alguns destes dados, tais como o local de nascimento e a nacionalidade, constituem «dados principais respeitantes ao estado civil» (42). Os referidos dados são, assim, suscetíveis de permitir controlar a identidade da pessoa visada pela acusação e evitar qualquer equívoco. Além disso, a ingerência no direito à privacidade e à proteção dos dados pessoais que a recolha dessas informações implica não é tal, que, após uma ponderação dos interesses em causa, pareça desproporcionada em relação ao objetivo de verificação da identidade prosseguido.

65. Segundo, a recolha de dados adicionais relativos à formação, ao estado civil, ao domicílio e aos antecedentes criminais pode ser relevante para outros fins diferentes da identificação, tal como recordado pelo órgão jurisdicional de reenvio e pela Comissão nas suas observações escritas. Com efeito, a formação e o estado civil podem ser importantes para efeitos de individualização da pena. O domicílio pode desempenhar um papel importante para efeitos de transferência do cumprimento da pena para outro Estado. Do mesmo modo, os antecedentes criminais podem permitir verificar a existência ou não de reincidência. No entanto, por um lado, tal como resulta das regras processuais búlgaras, essas informações, recolhidas pelo presidente da secção nesta fase da verificação da identidade da pessoa que comparece perante ele, não podem ser utilizadas para proferir a decisão quanto ao mérito e não têm valor probatório. Por outro lado, e em qualquer caso, não basta interrogar o arguido e registar as suas respostas para estabelecer a fiabilidade desses dados. Com efeito, devem ser consultados ou apresentados documentos oficiais, como o registo criminal, o registo civil ou a obtenção de um diploma.

66. Nestas circunstâncias, considero que uma regulamentação que obriga, de forma indiferenciada e generalizada, a interrogar sistematicamente qualquer arguido sobre esses dados adicionais, e, em seguida, a registar essas respostas em ata, pode ir além do que é necessário para a simples finalidade da sua identificação. A exigência de identificação não impõe, a meu ver, o tratamento sistemático de todas as categorias de dados enumeradas, mas apenas daquelas que, tendo em conta as circunstâncias concretas, são necessárias para dissipar uma dúvida razoável quanto à identidade da pessoa que é presente ao juiz, o que cabe ao órgão jurisdicional nacional apreciar.

67. Por outro lado, mesmo admitindo que certos dados relativos à formação, ao estado civil, ao domicílio e aos antecedentes criminais possam, em certos casos, ser necessários para a identificação do arguido, o princípio da proporcionalidade implica também pesar todos os elementos relevantes e ponderar a importância do objetivo de interesse geral prosseguido e a gravidade da limitação introduzida ao exercício dos direitos fundamentais e na proteção dos dados da pessoa em causa (43). Ora, a circunstância de esses dados serem sistematicamente solicitados, acrescido ao facto de essa recolha ter lugar no âmbito de uma audiência pública, de serem registados em ata e posteriormente conservados nos autos acessíveis às partes, é suscetível de constituir uma ingerência que vai além do exigido pela identificação nesta fase preliminar do processo penal.

68. Terceiro, no que diz respeito aos dados relativos à «etnia», cabe recordar que o artigo 10.° da Diretiva 2016/680 prevê que o tratamento de dados sensíveis só é autorizado «se for estritamente necessário», que constitui uma condição reforçada da licitude do tratamento desses dados e implica, nomeadamente, um controlo particularmente estrito do respeito do princípio da «minimização dos dados», conforme decorre do artigo 4.°, n.° 1, alínea c), da Diretiva 2016/680, do qual este requisito constitui uma aplicação específica aos referidos dados sensíveis (44). A utilização do advérbio «só» antes da expressão «se for estritamente necessário» sublinha que o tratamento destas categorias específicas apenas pode ser considerado admissível num número limitado de casos, ao passo que o caráter «estrito» da necessidade impõe uma apreciação particularmente rigorosa (45).

69. Uma pergunta sistemática, feita em audiência pública a qualquer arguido, relativa à sua etnia e, portanto, à sua origem étnica, não responde de forma alguma aos requisitos estabelecidos no artigo 10.° da Diretiva 2016/680 (46). Com efeito, a identificação do arguido pode, regra geral, ser assegurada pelos dados do registo civil e pelos elementos de identificação já disponíveis, nomeadamente através dos documentos de identidade, sem recorrer a um indicador relacionado com a sua origem étnica. Além disso, o requisito de necessidade estrita implica demonstrar, com base em elementos concretos, que, na falta desse dado específico, o objetivo prosseguido não pode ser alcançado de forma equivalente. Ora, uma obrigação geral e indiferenciada de recolha de tais dados pessoais, imposta nesta fase do processo com vista à identificação do arguido e que não depende de uma dificuldade particular relacionada com essa identificação, parece‑me, em princípio, contrária à exigência de «necessidade estrita» formulada no artigo 10.° da referida diretiva (47).

70. Decorre de todas as considerações anteriores que entendo dever responder‑se ao órgão jurisdicional de reenvio que o artigo 4.°, n.° 1, alínea c), o artigo 8.°, n.° 1, e o artigo 10.° da Diretiva 2016/680 devem ser interpretados no sentido de que se opõem a uma disposição legal de direito nacional como o artigo 272.°, n.° 1, do NPK, na parte em que requer que os dados pessoais do arguido relativos ao domicílio, ao nível de formação, ao estado civil, ao registo criminal e à etnia sejam sistematicamente tratados (recolhidos, registados e conservados) para efeitos da determinação da identidade da referida pessoa no âmbito de um processo penal, apesar de esses dados não serem necessários para tal efeito, o que cabe ao órgão jurisdicional de reenvio verificar.

Conclusão

71. Ante o exposto, sugiro ao Tribunal de Justiça que responda da seguinte forma à questão prejudicial apresentada pelo Sofiyski gradski sad (Tribunal da cidade de Sófia, Bulgária):

O artigo 4.°, n.° 1, alínea c), o artigo 8.°, n.° 1, e o artigo 10.° da Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, e à livre circulação desses dados, e que revoga a Decisão‑Quadro 2008/977/JAI do Conselho,

devem ser interpretados no sentido de que:

se opõem a uma disposição legal de direito nacional, como o artigo 272.°, n.° 1, do nakazatelno‑protsesualen kodeks (Código de Processo Penal búlgaro), na parte em que requer que os dados pessoais do arguido, relativos ao domicílio, ao nível de formação, ao estado civil, ao registo criminal e à etnia sejam sistematicamente tratados (recolhidos, registados e conservados) para efeitos da determinação da identidade da referida pessoa no âmbito de um processo penal, apesar de esses dados não serem necessários para tal efeito, o que cabe ao órgão jurisdicional de reenvio verificar.

1 Língua original: francês.

i O nome do presente processo é fictício. Não corresponde ao nome real de nenhuma das partes no processo.

2 Diretiva do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação deteção ou repressão de infrações penais ou execução de sanções penais, e à livre circulação desses dados, e que revoga a Decisão‑Quadro 2008/977/JAI do Conselho (JO 2016, L 119, p. 89).

3 Regulamento do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO 2016, L 119, p. 1; a seguir «RGPD»).

4 DV n.° 86, de 28 de outubro de 2005, conforme alterado e completado pelo DV n.° 39, de 1 de maio de 2024.

5 DV n.° 67, de 27 de julho de 1999, conforme alterado e completado pelo DV n.° 85, de 8 de outubro de 2024.

6 DV n.° 93, de 11 de agosto de 1998, conforme alterado e completado pelo DV n.° 67, de 4 de agosto de 2023.

7 DV n.° 64, de 7 de agosto de 2007, conforme alterado e completado pelo DV n.° 67, de 9 de agosto de 2024.

8 DV n.° 56, de 13 de julho de 1991.

9 Pode, assim, discutir‑se se o órgão jurisdicional de reenvio recolhe ele próprio os dados ou se estes já foram recolhidos anteriormente pela autoridade competente (v., a este respeito, artigo 138.°, n.° 2, do NPK).

10 V. artigo 2.°, n.° 2, alínea d), do RGPD.

11 Ainda assim, o RGPD aplica‑se ao tratamento de dados pessoais efetuado por uma «autoridade competente» na aceção do artigo 3.°, n.° 7, da Diretiva 2016/680, quando esta atua para outros efeitos, relativos, por exemplo, ao emprego, à formação do pessoal, ao arquivo, à investigação ou às estatísticas. V., neste sentido, Acórdão de 21 de junho de 2022, Ligue des droits humains (C‑817/19, EU:C:2022:491, n.° 72 e jurisprudência aí referida). V., também, Leiser, M. e Custers, B., «The Law Enforcement Directive: Conceptual Challenges of EU Directive 2016/680», European Data Protection Law Review, vol. 5, n.° 3, 2019, p. 367 a 378, em especial p. 371.

12 Em contrapartida, entendo que o artigo 3.°, n.° 7, alínea b), da Diretiva 2016/680 não se refere aos órgãos jurisdicionais, mas destina‑se, com a expressão «qualquer outro organismo ou entidade designados pelo direito de um Estado‑Membro para exercer a autoridade pública e os poderes públicos para efeitos de prevenção, investigação, e deteção ou repressão de infrações penais, ou execução de sanções penais» a abranger organismos privados. Pode‑se pensar aqui em forças policiais privatizadas ou prisões geridas por uma entidade privada. V., a este respeito, Purtova, N., «Between the GDPR and the Police Directive: navigating through the maze of information sharing in public—private partnerships», International Data Privacy Law, vol. 8, n.° 1, fevereiro de 2018, pp. 52 a 68. V., igualmente, De Hert, P. e Sajfert, J., «Chapter 10: Variety, velocity and volume of personal data in criminal investigations and proceedings: the limits drawn by the purpose limitation and data minimization principles in Directive (EU) 2016/680», em Research Handbook on EU Criminal Law, Mitsilegas, V., Bergström, M. e Quintel, T. (editores), Edward Elgar Publishing, 2024, 2..ª ed., pp. 212 a 228.

13 De acordo com este considerando, «[e]mbora a presente diretiva se aplique também às atividades dos tribunais nacionais e outras autoridades judiciais, a competência das autoridades de controlo não deverá abranger o tratamento de dados pessoais efetuado pelos tribunais no exercício da sua função jurisdicional, a fim de assegurar a independência dos juízes no desempenho das suas funções jurisdicionais».

14 V., por analogia, no que diz respeito à disposição análoga do RGPD, Acórdão de 24 de março de 2022, Autoriteit Persoonsgegevens (C‑245/20, EU:C:2022:216, n.° 26). Este acórdão dizia respeito a um litígio administrativo relativo a um tratamento que tinha sido efetuado por um tribunal no âmbito da disponibilização temporária a jornalistas de documentos dos autos de um processo judicial que continham dados pessoais, tratamento esse que foi considerado como estando abrangido pelo exercício da sua função jurisdicional, na aceção do RGPD.

15 V., a este respeito, Tosconi, L. e Bygrave, L., A., «Artigo 3.° — Definições», em TheEU Law Enforcement Directive (LED): A Commentary, Kosta, E. e Boehm, F. (editores), Oxford University Press, 2024, pp. 79 a 132, em especial p. 104, n.° 7.2.4, que cita igualmente as atas da 12.ª reunião do grupo de peritos da Comissão sobre o RGPD e a Diretiva 2016/680, de 2 de outubro de 2017, que menciona o acordo dos Estados‑Membros para que esta diretiva se aplique aos órgãos jurisdicionais penais (documento disponível no seguinte endereço: https://ec.europa.eu/transparency/expertgroupsregister/screen/expertgroups/consult?lang=fr&groupID=3461).

16 Em particular, o artigo 18.° da diretiva referida, sob a epígrafe «Direitos do titular dos dados no âmbito de investigações e ações penais», diz respeito ao exercício dos direitos de informação, acesso, retificação e apagamento, e prevê que esses direitos sejam exercidos nos termos do direito dos Estados‑Membros se os dados pessoais constarem «de uma decisão judicial ou registo ou de um processo objeto de tratamento no âmbito de uma investigação ou ação penal».

17 V. considerando 20 da Diretiva 2016/680.

18 Acrescente‑se que, tal como indicado no considerando 20 da referida diretiva, tal não obsta a que os Estados‑Membros especifiquem as operações e os procedimentos de tratamento na legislação processual penal nacional.

19 Embora o âmbito de aplicação da Diretiva 2016/680 tenha sido objeto de acórdãos do Tribunal de Justiça, estes não têm por objeto esta questão. Por exemplo, as transportadoras aéreas, mesmo estando sujeitas à obrigação legal de transferência os dados dos registos dos passageiros (PNR), não podem ser consideradas autoridades competentes, na aceção do artigo 3.°, n.° 7, da Diretiva 2016/680 [v. Acórdão de 21 de junho de 2022, Ligue des droits humains (C‑817/19, EU:C:2022:491, n.° 81)]. V., igualmente, as conclusões do advogado‑geral P. Pikamäe no processo Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2021:991, n.° 28) relativa à Vyriausioji tarnybinės etikos komisija (Comissão Superior de Deontologia dos Funcionários Públicos), à qual foi aplicado o RGPD (v. Acórdão de 1 de agosto de 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, a seguir «Acórdão Vyriausioji tarnybinės etikos komisija», EU:C:2022:601). Da mesma forma, a Ceļu satiksmes drošības direkcija (Direção da Segurança Rodoviária, Letónia) não é uma «autoridade competente» na aceção da Diretiva 2016/680 no exercício das atividades em causa no processo principal, que consistem em comunicar ao público, para fins de segurança rodoviária, dados pessoais relativos a pontos de penalização [v. Acórdão de 22 de junho de 2021, Latvijas Republikas Saeima (Pontos de penalização) (C‑439/19, EU:C:2021:504, n.° 71)].

20 Acórdão de 8 de dezembro de 2022 (C‑180/21, a seguir «Acórdão Inspektor», EU:C:2022:967). Neste acórdão, colocava‑se a questão de saber se os dados pessoais, obtidos quando o titular aparecia como vítima da infração objeto da investigação, podiam ser posteriormente tratados contra ela como arguida ou acusada, quando tinham sido inicialmente recolhidos e tratados para outros efeitos, a saber para efeitos de deteção e investigação. É neste contexto que o Tribunal de Justiça considerou que, quando os dados pessoais foram recolhidos para efeitos de «deteção» e «investigação» de uma infração penal e posteriormente tratados para efeitos de «repressão», essa recolha e esse tratamento respondem a finalidades diferentes n.° 44) e que a apreciação do respeito da proporcionalidade do tratamento pelo responsável pelo tratamento deve ser efetuada tendo em consideração cada uma dessas finalidades como específica e distinta (n.° 56).

21 Acórdão Inspektor (n.° 59).

22 V. Conclusões do advogado‑geral M. Campos Sánchez‑Bordona no processo Inspektor v Inspektorata kam Visshia sadeben savet (Finalidades do tratamento de dados pessoais — Inquérito penal) (C‑180/21, EU:C:2022:406, nota 15). É o caso, nomeadamente, das versões em língua alemã, francesa, inglesa, italiana e neerlandesa da Diretiva 2016/680, com exceção da versão espanhola, que faz referência ao «enjuiciamiento» (processo judicial) propriamente dito, que é exclusivamente reservado aos órgãos jurisdicionais.

23 Sobre a diversidade dos sistemas nacionais e a complementaridade das respetivas funções do juiz e do Ministério Público, v. Parecer conjunto do Conselho Consultivo de Juízes Europeus (CCJE) e do Conselho Consultivo de Procuradores Europeus (CCPE) sobre as relações entre juízes e procuradores [1075.ª reunião] [CM(2009)192]. V., também, para uma abordagem comparativa, Pradel, J., Droit pénal comparé, Dalloz, Paris, 2016, 4..ª ed., em especial n.° 145 e segs. V., igualmente, sobre a transposição da Diretiva 2016/680 em diferentes Estados‑Membros, Franssen, V. e Corhay, M., «Article 18 — Rightsofthe data subject in criminal investigationsandproceedings», em TheEU Law Enforcement Directive (LED): A Commentary, op. cit., pp. 321 a 330, em especial subtítulo B.3., intitulado «National legislation», pp. 325 a 328.

24 No seu Parecer n.° 6/2015, Um novo passo em direção a uma proteção europeia completa de dados, de 28 de outubro de 2015, no ponto VI, relativo aos poderes das autoridades de controlo, o próprio Comité Europeu para a Proteção de Dados (CEPD) salientou a importância das diferenças entre os sistemas nacionais dos Estados‑Membros e o facto de nem sempre ser claro saber se e quando os procuradores são «autoridades judiciais independentes» e em que medida as suas atividades constituem atividades judiciais. V., também, as atas da 15.ª reunião do grupo de peritos da Comissão sobre o RGPD e Diretiva 2016/680, de 20 de fevereiro de 2018, que evocam, no ponto 5, as dificuldades de transposição da diretiva a este respeito, com alguns Estados‑Membros a salientarem que os seus procuradores têm o mesmo nível de independência que os seus juízes (disponível em: https://ec.europa.eu/transparency/expert‑groups‑register/screen/meetings/consult?lang=en&meetingId=3656&fromExpertGroups=true).

25 V. Acórdão Inspektor (n.° 53), no qual o Tribunal de Justiça salientou que «no âmbito do tratamento de dados pessoais para efeitos de “repressão”, estes dados visam demonstrar o caráter suficientemente probatório dos factos imputados aos acusados e a exatidão da qualificação penal desses factos, com vista a permitir ao órgão jurisdicional competente decidir».

26 Tal como referido na audiência, não existe um juiz de instrução no direito penal búlgaro, mas sim uma «investigação judicial» ou um «inquérito» que se segue ao inquérito policial.

27 V., sobre a interpretação estrita das exceções à aplicação do RGPD, Acórdão Inspektor (n.° 78), do qual resulta que, quando o Ministério Público atua em defesa do Estado no âmbito de uma ação de responsabilidade administrativa, não tem como objetivo assegurar as funções que lhe incumbem para os fins enunciados no artigo 1.°, n.° 1, da Diretiva 2016/680; aplicando‑se, por conseguinte, o RGPD. Do mesmo modo, a recolha, pela Autoridade Tributária de um Estado‑Membro, de dados pessoais relativos a anúncios de venda de veículos publicados no sítio Internet de um operador económico está abrangida pelo âmbito de aplicação material do Regulamento 2016/679, uma vez que esses dados não são recolhidos com o objetivo específico de instaurar processos penais ou no âmbito das atividades do Estado relativas a domínios do direito penal [v. Acórdão de 24 de fevereiro de 2022, Valsts ieņēmumu dienests (Tratamento de dados pessoais para fins fiscais) (C‑175/20, EU:C:2022:124, n.os 44 a 46)].

28 Decisão‑Quadro do Conselho, de 27 de novembro de 2008, relativa à proteção dos dados pessoais tratados no âmbito da cooperação policial e judiciária em matéria penal (JO 2008, L 350, p. 60). O seu âmbito de aplicação era limitado ao tratamento transfronteiriço de dados pessoais.

29 Conferência dos Representantes dos Governos dos Estados‑Membros, Ato Final, adotado em Bruxelas em 3 de dezembro de 2007 (CIG 15/07), disponível no seguinte endereço: https://data.consilium.europa.eu/doc/document/CG‑15‑2007‑INIT/fr/pdf.

30 Proposta de diretiva do Parlamento Europeu e do Conselho relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção e repressão de infrações penais ou de execução de sanções penais, e à livre circulação desses dados, de 25 de janeiro de 2012 [COM(2012) 0010].

31 V. De Hert, P. e Papakonstantinou, V., «The New Police and Criminal Justice Data Protection Directive. A First Analysis», New Journal of European Criminal Law, vol. 7, n.° 1, 2016, pp. 7 a 19; e Brière, C., «Défaut de transposition de la directive sur la protection des données dans le domaine pénal: vers une application ordinaire de l’article 260, paragraphe 3, TFUE. CJUE (8.ª ch.), 25 de fevereiro de 2021, Comissão Europeia/Reino de Espanha (Diretiva relativa aos dados pessoais — Domínio penal), processo C‑658/19, EU:C:2021:138», Revue des affaires européennes, vol. 1, 2021, pp. 223 a 233.

32 V., a este respeito, Sajfert, J. e Quintel, T., «Data Protection Directive (EU) 2016/680 for Police and Criminal Justice Authorities», SSRN Electronic Journal, 2017, em especial subtítulo I.1, intitulado «Meandering between the Directive and the GDPR», segundo os quais a distinção entre os respetivos âmbitos de aplicação do RGPD e da Diretiva 2016/680 não é evidente. Citam o exemplo de um agente da polícia que trata dados pessoais para fins de arquivo e, nesse caso, está sujeito ao RGPD, mas indicam que o instrumento aplicável é menos claro quando esse agente atua para fins de identificação no domínio da migração e do controlo das fronteiras: a passagem ilegal de uma fronteira Schengen pode, por vezes, ser considerada uma infração penal, mas se o migrante em situação irregular solicitar asilo, o tratamento pode ser abrangido pelo RGPD ou por outro quadro regulamentar setorial pertinente, não obstante o processo penal instaurado. Isto demonstra a complexidade para as autoridades competentes em aplicarem dois regimes jurídicos diferentes em função da finalidade do tratamento. V., também, Vogiatzoglou, P., «Article 2 — Scope», em The EU Law Enforcement Directive (LED): A Commentary, op. cit., pp. 67 a 78, em especial subtítulo C.2., intitulado «Between the LED and the GDPR», pp. 74 a 75. V., também, Purtova, N., «Between the GDPR and the Police Directive: navigating through the maze of information sharing in public—private partnerships», op. cit.

33 O princípio da segurança exige que a aplicação das normas jurídicas seja previsível para os sujeitos de direito [v. Acórdão de 4 de outubro de 2024, Bezirkshauptmannschaft Landeck (Tentativa de acesso a dados pessoais armazenados num telemóvel) (C‑548/21, EU:C:2024:830, n.° 76)].

34 V., a este respeito, Sajfert, J. e Quintel, T., «Data Protection Directive (EU) 2016/680 for Police and Criminal Justice Authorities», op. cit., em especial subtítulo I.4, intitulado «Croquis of the Directive», p. 7, segundo os quais, por exemplo, o responsável pelo tratamento tem mais possibilidades de limitar o direito de acesso e o direito de obter informações sobre a eventual recusa de retificação, apagamento ou limitação do tratamento nos termos do artigo 13.°, n.° 3, do artigo 15.°, n.° 3, e do artigo 16.°, n.° 4, da Diretiva 2016/680 do que no âmbito do artigo 23.° do RGPD. Trata‑se, com efeito, de «evitar prejudicar inquéritos, investigações ou procedimentos oficiais ou judiciais» e de evitar prejudicar, nomeadamente, as ações judiciais nesta matéria [v. artigo 13.°, n.° 3, alíneas a) e b), da Diretiva 2016/680]. V., também, Purtova, N., «Between the GDPR and the Police Directive: navigating through the maze of information sharing in public—private partnerships», op. cit., em especial p. 60; bem como De Hert, P. e Sajfert, J., «Chapter 10: Variety, velocity and volume of personal data in criminal investigations and proceedings: the limits drawn by the purpose limitation and data minimization principles in Directive (EU) 2016/680», op. cit., p. 222.

35 A título indicativo, saliento que o órgão jurisdicional de reenvio indica ter submetido a questão ao Konstitutsionen sad (Tribunal Constitucional, Bulgária) para este se pronunciar sobre a incompatibilidade da disposição nacional em causa no processo principal com a Konstitutsia na Republika Bulgaria (Constituição da República da Bulgária). Este pedido foi, porém, declarado inadmissível, com o fundamento de que o órgão jurisdicional de reenvio não teve em conta o capítulo VIII da Zakon za zashtita na lichnite danni (Lei relativa à proteção dos dados pessoais), de 1 de janeiro de 2002 (DV n.° 1, de 4 de janeiro de 2002, conforme alterada e completada pelo DV n.° 70, de 20 de agosto de 2024) (a seguir «ZZLD»), que transpõe a Diretiva 2016/680. O órgão jurisdicional de reenvio considera, no entanto, que a regulamentação da ZZLD tem caráter geral e que, uma vez que o artigo 272.°, n.° 1, da NPK é uma lei especial, este artigo continua a ser aplicável. Recordo que o órgão jurisdicional de reenvio é competente para interpretar o seu direito nacional [v. Acórdão de 30 de abril de 2024, M.N. (EncroChat) (C‑670/22, EU:C:2024:372, n.° 76)], pelo que considero que se deve responder à questão tal como foi submetida, a qual goza de uma presunção de pertinência [v. Acórdão de 26 de janeiro de 2023, Ministerstvo na vatreshnite raboti (Registo de dados biométricos e genéticos pela polícia) (C‑205/21, a seguir «Acórdão Ministerstvo na vatreshnite raboti», EU:C:2023:49, n.° 54)].

36 V. Acórdão de 30 de janeiro de 2024, Direktor na Glavna direktsia «Natsionalna politsia» pri MVR — Sofia (C‑118/22, a seguir «Acórdão Direktor na Glavna direktsia», EU:C:2024:97, n.° 39).

37 V. Acórdão Ministerstvo na vatreshnite raboti (n.° 116 e jurisprudência aí referida). Sobre o conceito de «origem étnica» noutro contexto, v. Acórdão de 18 de dezembro de 2025, Slagelse Almennyttige Boligselskab, Afdeling Schackenborgvænge (C‑417/23, EU:C:2025:1017, n.° 71 e seguintes), relativo à Diretiva 2000/43/CE do Conselho, de 29 de junho de 2000, que aplica o princípio da igualdade de tratamento entre as pessoas, sem distinção de origem racial ou étnica (JO 2000, L 180, p. 22).

38 Não se trata aqui de uma recolha de dados pela polícia durante a investigação para efeitos de identificação ou de comparação futura do arguido, como era o caso, por exemplo, no processo que deu origem ao Acórdão de 20 de novembro de 2025, Policejní prezidium (Conservação de dados biométricos e genéticos) (C‑57/23, EU:C:2025:905, n.° 84).

39 V., por analogia, Acórdão de 22 de junho de 2021, Latvijas Republikas Saeima (Pontos de penalização) (C‑439/19, EU:C:2021:504, n.os 109 e 110).

40 V., por analogia, Acórdão Vyriausioji tarnybinės etikos komisija (n.° 98 e jurisprudência aí referida). V., igualmente, Acórdão Direktor na Glavna direktsia (n.° 62).

41 V. n.os 12 a15 das presentes conclusões.

42 V. artigo 8.°, n.° 1, do ZGR, cujo conteúdo se encontra no n.° 12 das presentes conclusões.

43 V., por analogia, Acórdão Vyriausioji tarnybinės etikos komisija (n.° 98 e jurisprudência aí referida). V., igualmente, Acórdão Direktor na Glavna direktsia (n.° 62).

44 V. Acórdão Direktor na Glavna direktsia (n.° 48 e jurisprudência aí referida).

45 V. Acórdãos Ministerstvo na vatreshnite raboti (n.os 118 e seguintes), e de 20 de novembro de 2025, Policejní prezidium (Conservação de dados biométricos e genéticos) (C‑57/23, EU:C:2025:905, n.° 78). V., também, Conclusões do advogado‑geral Szpunar no processo Comdribus (C‑371/24, EU:C:2025:631, n.os 43 e seguintes).

46 Interrogo‑me, aliás, sobre a razão de ser desta questão relativa à «origem étnica», que é suscetível de colocar um problema à luz dos valores da União na aceção do artigo 2.° do TUE.

47 V., neste sentido, Acórdão Ministerstvo na vatreshnite raboti (n.os 128 e 129); Simon, D., «Dados pessoais — Tratamento de dados sensíveis em processos penais», Revista Europe, LexisNexis, n.° 3, 2023, comentário n.° 112.