Angelov împotriva Bulgariei

Publicat la 3 martie 2025 SECȚIUNEA TERZĂ Cererea nr. 42776/21 Mihail Hristov ANGELOV împotriva Bulgariei depusă la 10 august 2021 comunicată la 14 februarie 2025 OBIECTUL CAUZEI Cererea se referă la o plângere de faptul că păstrarea datelor cu caracter personal ale reclamantului de către un laborator și refuzul său de a distruge datele, confirmat de un organism specializat și de două nivele de instanță, au încălcat dreptul reclamantului la respectarea vieții sale private. Reclamantul se plânge, în special, că autoritățile, hotărând, după cererea sa de a-și distruge datele și/sau a revenit la el, nu au evaluat în mod corespunzător necesitatea continuării retenției/procesării datelor sale după scopul pentru care a furnizat-o în mod voluntar a încetat să existe.

Cazul ridică o chestiune în temeiul articolului 8 din Convenție (de asemenea, reclamantul invocă articolele 6 § 1 și 13). La 25 aprilie 2018, reclamantul a aplicat unui laborator (privat), X, solicitând să-și stabilească profilul ADN. Reclamantul a dorit să aibă profilul ADN în comparație cu cel creat de X în ceea ce privește un alt individ privat, S.D., cu scopul de a determina dacă reclamantul și S.D. au fost fiul și mama. S.D. a aplicat, de asemenea, la X cu o cerere în acest sens, în urma căreia ea a avut profilul ADN-ului stabilit de X. În contextul cererii sale la X, reclamantul a completat o formă furnizată de X în acest scop, solicitând X să facă expertiza în ADN. El a furnizat material celular (saliva), care X a colectat prin a lua două eșantioane – un swab bucal principal și un swab bucal de control.

Experiența ADN în ceea ce privește reclamantul și cea în ceea ce privește S.D. au fost solicitate pe bază voluntară, nu au fost ordonate de o instanță și nu au fost destinate să fie utilizate în nici o procedură juridică care vizează stabilirea maternității. Forma pe care reclamantul le-a completat conține declarația că rezultatele vor fi utilizate numai pentru informațiile sale personale și nu în nici un fel împotriva intereselor terțelor. Formularul nu a conținut informații despre cât timp datele vor fi păstrate. La 14 iunie 2018, după ce expertiza ADN-ului a fost pregătită și rezultatele comunicate reclamantului, el a cerut X în scris să-și șteargă datele personale din baza de date și să aibă swab de control revenit la el.

La 25 iunie 2018 managerul X a trimis o scrisoare reclamantului, refuzând cererea sa. El a specificat că laboratorul trebuie să păstreze sweb-ul bucal de control furnizat de către reclamant pentru o perioadă de 20 de ani. Acest lucru a fost necesar pentru a putea demonstra veracitatea rezultatelor expertizării ADN-ului pe care l-a pregătit în cazul reclamantului. Reclamantul a contestat refuzul în fața Comisiei pentru protecția datelor privind persoanele („Comisia”, un organism de stat). Într-o decizie din 17 iulie 2019, Comisia a respins provocarea sa, constatând că operatorul X a acționat în conformitate cu cerințele regulamentului (UE) 2016/679 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date (Regulamentul general privind protecția datelor – „GDPR”).

Reclamantul a introdus proceduri de reexaminare judiciară. Tribunalul administrativ al orașului Sofia, hotărând în primă instanță, a confirmat refuzul Comisiei de la cererea reclamantului la 19 decembrie 2019. Prin recursul reclamantului, Curtea Supremă de Administrație a susținut concluziile instanței de judecată în hotărârea finală din 15 martie 2021. Curtea administrativă cea mai înaltă a susținut că reținerea și prelucrarea continuă a datelor reclamantului de către X ca tratator de date, după ce expertia în ADN a fost pregătită în privința sa, s-a bazat pe motive legale prevăzute la art. 17 § 3 litera (b) punctul (e) și art. 6 § 1 litera (f) coroborat cu art. 9 § 2 litera (f) din RGPD.

Aceste motive au permis operatorilor de date să nu șteargă datele cu caracter personal fără întârziere nejustificată, în special atunci când acest lucru a fost necesar pentru respectarea unei obligații juridice (în cazul reclamantului, acestea au fost obligațiile X în special în temeiul articolului 38 § 1 alineatul (3) din Codul de procedură fiscală și de securitate socială și în temeiul articolului 12 alineatul (1) alineatul (2) din Actul de contabilitate), sau pentru apărarea cererilor juridice (care instanța constatată ar putea fi adusă împotriva X de către persoanele private care interoghează veracitatea expertiza în ADN produsă de X în ceea ce privește reclamantul). Astfel, acțiunile X au respectat în întregime cerințele GDPR, care, la rândul lor, a furnizat protecție echivalentă a drepturilor fundamentale individuale, astfel cum se constată în Convenția Europeană a Drepturilor Omului și jurisprudența conexe a Curții.

A fost validarea de către autoritățile relevante a refuzului laboratorului de a șterge și/sau de a reveni la reclamant datele sale cu caracter personal (inclusiv materialul său celular și profilul ADN), pe care laboratorul are de a stoca o perioadă de 20 de ani, „în conformitate cu legea” și „necesar într-o societate democratică” pentru a atinge unul sau mai multe dintre obiectivele prevăzute la art. 8 § 2 din convenție (a se vedea, mutatis mutandis L.B. v. Ungaria [GC], nr. 36345/16, §§ 103 și 106, 9 martie 2023 și S. și Marper v. Regatul Unit [GC], nr. 30562/04 și 30566/04, §§ 101-103, 107 și 121, CEDO 2008 privind dreptul la protecție a datelor cu caracter personal în temeiul convenției; N.P.

v. Germania , nr. 744440/17 , § 84, 11 iunie 2020 și Catt v. Regatul Unit , nr. 43514/15, § 111, 24 ianuarie 2019 privind diferite tipuri de date cu caracter personal; precum și Liebscher v. Austria , nr. 5434/17, §§ 60-63, 6 aprilie 2021 privind obligațiile pozitive ale statelor în ceea ce privește protejarea efectivă a drepturilor articolului 8 în contextul protecției datelor)? În special, în procesul decizional, autoritățile s-au asigurat că garanțiile procedurale disponibile sunt aplicate în mod adecvat și eficient în cazul reclamantului (a se vedea, mutatis mutandis Catt , § 111 și Liebscher , §§ 61-62 și 64-69, ambele cazuri menționate mai sus, în ceea ce privește standardul aplicabil pentru controlul judiciar în acest context)?

Published on 3 March 2025

THIRD SECTION

Application no. 42776/21 Mihail Hristov ANGELOV against Bulgaria lodged on 10 August 2021 communicated on 14 February 2025

SUBJECT MATTER OF THE CASE

The application concerns a complaint that the retention of the applicant’s personal data by a laboratory and its refusal to destroy the data, confirmed by a specialised body and two levels of courts, breached the applicant’s right to respect for his private life. The applicant complains in particular that the authorities, deciding on his request to have his data destroyed and/or returned to him, did not adequately assess the necessity of any continued retention/processing of his data after the purpose for which he had provided it voluntarily had ceased to exist. The case raises an issue under Article 8 of the Convention (the applicant also invokes Articles 6 § 1 and 13). On 25 April 2018 the applicant applied to a (private) laboratory, X, requesting to have his DNA profile established.

The applicant wished to have his DNA profile compared to the one created by X in respect of another private individual, S.D., with a view to determining if the applicant and S.D. were son and mother. S.D. had also applied to X with a request to that effect, following which she had her DNA profile established by X. In the context of his application to X, the applicant filled-in a form provided by X for that purpose, requesting X to make a DNA expertise. He provided cellular material (saliva), which X collected by taking two samples – a main buccal swab and a control buccal swab. The DNA expertise in respect of the applicant and that in respect of S.D. were requested on a voluntary basis, were not ordered by a court and were not meant to be used in any legal procedure aiming to establish maternity.

The form which the applicant filled-in contained the statement that the results would be used solely for his personal information and not in any way against the interests of third parties. The form did not contain information about for how long the data would be retained. On 14 June 2018, after the DNA expertise had been prepared and the results communicated to the applicant, he asked X in writing to delete his personal data from its database and to have the control buccal swab returned to him. On 25 June 2018 X’s manager sent a letter to the applicant, refusing his request. He specified that the laboratory needed to keep the control buccal swab provided by the applicant for a period of 20 years.

This was necessary in order to be able to demonstrate the veracity of the results of the DNA expertise which it had prepared in the applicant’s case. The applicant challenged the refusal before the Commission for Protection of Persona Data (“the Commission”, a State body). In a decision of 17 July 2019 the Commission rejected his challenge, finding that the data controller X had acted in compliance with the requirements of the Regulation (EU) 2016/679 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data (General Data Protection Regulation – “the GDPR”). The applicant brought judicial review proceedings.

The Sofia City Administrative Court, acting at first instance, confirmed the Commission’s refusal of the applicant’s request on 19 December 2019. Upon the applicant’s appeal, the Supreme Administrative Court upheld the lower court’s findings in a final decision of 15 March 2021. The highest administrative court held that the continued retention and processing of the applicant’s data by X as data controller, after the DNA expertise had been prepared in his regard, were based on legal grounds provided for in Article 17 § 3(b)(e), and Article 6 § 1(f) in conjunction with Article 9 § 2(f), of the GDPR.

Those grounds allowed data controllers not to erase personal data without undue delay, in particular when that was necessary for the compliance with a legal obligation (in the applicant’s case those were specifically X’s obligations under Article 38 § 1(3) of the Tax and Social Security Code of Procedure and under section 12(1)(2) of the Accounting Act), or for the defence of legal claims (which the court found might potentially be brought against X by private individuals questioning the veracity of the DNA expertise produced by X in respect of the applicant). Thus, X’s actions had complied entirely with the requirements of the GDPR, which in turn provided equivalent protection to individual fundamental rights as that found in the European Convention on Human Rights and the Court’s related case law.

QUESTIONS TO THE PARTIES

Was the validation by the relevant authorities of the laboratory’s refusal to delete and/or return to the applicant his personal data (including his cellular material and DNA profile), which the laboratory purports to store for a period of 20 years, “in accordance with the law” and “necessary in a democratic society” to attain one or more of the aims in Article 8 § 2 of the Convention (see, mutatis mutandis , L.B. v. Hungary [GC], no. 36345/16, §§ 103 and 106, 9 March 2023 and S. and Marper v. the United Kingdom [GC], nos. 30562/04 and 30566/04, §§ 101-103, 107 and 121, ECHR 2008 on the right to protection of personal data under the Convention; P.N.

v. Germany , no. 74440/17, § 84, 11 June 2020 and Catt v. the United Kingdom , no. 43514/15, § 111, 24 January 2019 on the different types of personal data; as well as Liebscher v. Austria , no. 5434/17, §§ 60-63, 6 April 2021 on States’ positive obligations in respect of effectively protecting Article 8 rights in the context of data protection)? In particular, in their decision making process, did the authorities ensure that the available procedural safeguards were adequately and effectively applied in the applicant’s case (see, mutatis mutandis , Catt , § 111 and Liebscher , §§ 61-62 and 64-69, both cases cited above, in respect of the applicable standard to judicial scrutiny in this context)?