保加利亚CPDP就「彼得罗汗」案个人数据公开披露发声明：已依举报启动核查，明确新闻目的处理不豁免GDPR第5条原则

CPDP表示其正就相关举报开展工作，已指定的核查使委员会能够对案件事实与情形作出整体评估，而无需就受影响人员范围——本案件中包含一名未成年儿童及其父母或监护人——另行官方立案。

关于核查范围，CPDP说明其仅有权在《通用数据保护条例》（Regulation (EU) 2016/679）与《个人数据保护法》（ЗЗЛД）所规定的权限范围内就本案作出裁决。与个人数据处理无关的隐私保护、人格完整性、名誉损害等方面，超出上述实体法的范围，完全属于法院在受影响人员提起的程序中作出裁决的权限，包括为寻求赔偿而提起的程序。

依据《个人数据保护法》第25е条第1款，数据处理者或处理者只有在存在法律基础时，方可处理已故人员的个人数据；在此情况下，数据处理者应采取适当措施，避免对其他人员的权利与自由或公共利益造成不利影响。

关于以新闻为目的的公开披露，适用该法第25з条。其第1款保障：为上述目的处理个人数据，在行使表达自由与信息权、并尊重隐私的前提下，属合法。

依同条第3款，为第1款目的处理个人数据时，GDPR第6条、第9条、第10条、第30条、第34条与第五章不适用，同时数据处理者可全部或部分拒绝数据主体依GDPR第12至21条行使权利。

尽管为新闻目的处理个人数据时不适用GDPR第6条（即不存在对有效法律基础的要求），但数据处理者仍有义务遵守该条例第5条，即遵循合法性、公平性、必要性、比例性以及数据最小化等处理原则。

委员会还提及，《个人数据保护法》2019年第17期国家公报修订引入了第25з条第2款，规定为表达自由目的处理个人数据时引入平衡标准。在多个相关行业组织支持的上诉中，宪法法院2019年第8号决定宣布上述标准违宪，因此不能适用于本案。

CPDP明确：对违反GDPR与《个人数据保护法》的行为，其可施加的处罚由两法本身规定，取决于违规类型与程度、受影响人员范围及其他相关情形。对以记者身份行事的数据处理者，不存在处罚规范的例外。

【价值判断】这条对中国读者有两层价值。第一层是它直接触及「公开死者的法医鉴定报告」这类极端敏感场景，CPDP把《个人数据保护法》第25е条（死者数据需有法律基础）与第25з条（新闻目的豁免）两套规则并置分析，是欧盟内少见的、把死者数据与新闻豁免交叉适用的官方解释样本。第二层更重要：CPDP明确指出「为新闻目的不适用GDPR第6条」但「仍须遵守第5条原则」，且「对记者身份的数据处理者不存在处罚例外」——这句话把新闻豁免的边界划得很清：豁免的是合法性基础的形式要求，不豁免数据处理原则本身，也不豁免处罚。同时它划清了监管与司法的分界：名誉损害不归数据保护机构管。对处理敏感个人信息、舆情事件数据、以及涉及未成年人的内容发布主体，这条给出了监管机构自我限权的清晰口径。