HOTĂRÂREA CURȚII (Camera a opta)

20 octombrie 2022 ( *1 )

„Trimitere preliminară – Protecția datelor cu caracter personal – Regulamentul (UE) 2016/679 – Domeniu de aplicare – Articolul 2 alineatul (2) litera (a) – Noțiunea de «activitate care nu intră sub incidența dreptului Uniunii» – Alegeri naționale și europene – Articolul 6 alineatul (1) litera (e) – Legalitatea prelucrării – Articolul 58 – Act adoptat de autoritățile de supraveghere care limitează sau, dacă este cazul, interzice înregistrarea video a numărării voturilor în incintele electorale”

În cauza C‑306/21,

având ca obiect o cerere de decizie preliminară formulată în temeiul articolului 267 TFUE de Varhoven administrativen sad (Curtea Administrativă Supremă, Bulgaria), prin decizia din 23 aprilie 2021, primită de Curte la 12 mai 2021, în procedura

Komisia za zashtita na lichnite danni,

Tsentralna izbiratelna komisia

împotriva

Koalitsia „Demokratichna Bulgaria – Obedinenie”,

CURTEA (Camera a opta),

compusă din domnul N. Piçarra, îndeplinind funcția de președinte de cameră, și domnii N. Jääskinen (raportor) și M. Gavalec, judecători,

avocat general: domnul M. Campos Sánchez‑Bordona,

grefier: domnul A. Calot Escobar,

având în vedere procedura scrisă,

luând în considerare observațiile prezentate:

–	pentru Komisia za zashtita na lichnite danni, de V. Karadzhov;

–	pentru guvernul român, de L.‑E. Bațagoi, E. Gane și A. Wellman, în calitate de agenți;

–	pentru Comisia Europeană, de A. Bouchagiar, C. Georgieva și H. Kranenborg, în calitate de agenți,

având în vedere decizia de judecare a cauzei fără concluzii, luată după ascultarea avocatului general,

pronunță prezenta

Hotărâre

Cererea de decizie preliminară privește interpretarea articolului 2 alineatul (2) litera (a) și a articolului 6 alineatul (1) litera (e) din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) (JO 2016, L 119, p. 1, denumit în continuare „RGPD”).

Această cerere a fost formulată în contextul unui litigiu între Komisia za zashtita na lichnite danni (Comisia pentru protecția datelor cu caracter personal, Bulgaria) (denumită în continuare „CPDCP”) și Tsentralna izbiratelna komisia (Comisia Electorală Centrală, Bulgaria) (denumită în continuare „CEC”), pe de o parte, și Koalitsia „Demokratichna Bulgaria” – Obedinenie (denumită în continuare „Koalitsia”), o coaliție de partide politice bulgare, pe de altă parte, în legătură cu instrucțiunile referitoare la prelucrarea și la protecția datelor cu caracter personal în cursul procesului electoral (denumite în continuare „instrucțiunile în litigiu”) adoptate de CPDCP și de CEC.

Cadrul juridic

Dreptul Uniunii

Considerentele (4), (16) și (129) ale RGPD au următorul cuprins:

„(4)

Prelucrarea datelor cu caracter personal ar trebui să fie în serviciul cetățenilor. Dreptul la protecția datelor cu caracter personal nu este un drept absolut; acesta trebuie luat în considerare în raport cu funcția pe care o îndeplinește în societate și echilibrat cu alte drepturi fundamentale, în conformitate cu principiul proporționalității. Prezentul regulament respectă toate drepturile fundamentale și libertățile și principiile recunoscute în [Carta drepturilor fundamentale a Uniunii Europene] astfel cum sunt consacrate în tratate, în special respectarea vieții private și de familie, a reședinței și a comunicațiilor, a protecției datelor cu caracter personal, a libertății de gândire, de conștiință și de religie, a libertății de exprimare și de informare, a libertății de a desfășura o activitate comercială, dreptul la o cale de atac eficientă și la un proces echitabil, precum și diversitatea culturală, religioasă și lingvistică.

[…]

(16)

Prezentul regulament nu se aplică chestiunilor de protecție a drepturilor și libertăților fundamentale sau la libera circulație a datelor cu caracter personal referitoare la activități care nu intră în domeniul de aplicare al dreptului Uniunii, de exemplu activitățile privind securitatea națională. Prezentul regulament nu se aplică prelucrării datelor cu caracter personal de către statele membre atunci când acestea desfășoară activități legate de politica externă și de securitatea comună a Uniunii [Europene].

[…]

(129)

Pentru a se asigura consecvența monitorizării și a aplicării prezentului regulament în întreaga Uniune, autoritățile de supraveghere ar trebui să aibă în fiecare stat membru aceleași sarcini și competențe efective, inclusiv competențe de investigare, competențe corective și sancțiuni, precum și competențe de autorizare și de consiliere […] Aceste competențe ar trebui să includă și competența de a impune o limitare temporară sau definitivă, inclusiv o interdicție, asupra prelucrării. […] În special, fiecare măsură ar trebui să fie adecvată, necesară și proporțională în scopul de a asigura conformitatea cu dispozițiile prezentului regulament […].”

Articolul 2 din acest regulament, intitulat „Domeniul de aplicare material”, prevede:

„(1) Prezentul regulament se aplică prelucrării datelor cu caracter personal, efectuată total sau parțial prin mijloace automatizate, precum și prelucrării prin alte mijloace decât cele automatizate a datelor cu caracter personal care fac parte dintr‑un sistem de evidență a datelor sau care sunt destinate să facă parte dintr‑un sistem de evidență a datelor.

(2) Prezentul regulament nu se aplică prelucrării datelor cu caracter personal:

(a)	în cadrul unei activități care nu intră sub incidența dreptului Uniunii;

(b)	de către statele membre atunci când desfășoară activități care intră sub incidența capitolului 2 al titlului V din Tratatul UE;

[…]”

Articolul 3 din regulamentul menționat definește domeniul de aplicare teritorial al acestuia. În conformitate cu alineatul (1) al articolului 3, RGPD „se aplică prelucrării datelor cu caracter personal în cadrul activităților unui sediu al unui operator sau al unei persoane împuternicite de operator pe teritoriul Uniunii, indiferent dacă prelucrarea are loc sau nu pe teritoriul Uniunii”.

Potrivit articolului 4 din RGPD:

„În sensul prezentului regulament:

[…]

«prelucrare» înseamnă orice operațiune sau set de operațiuni efectuate asupra datelor cu caracter personal sau asupra seturilor de date cu caracter personal, cu sau fără utilizarea de mijloace automatizate, cum ar fi colectarea, înregistrarea, organizarea, structurarea, stocarea, adaptarea sau modificarea, extragerea, consultarea, utilizarea, divulgarea prin transmitere, diseminarea sau punerea la dispoziție în orice alt mod, alinierea sau combinarea, restricționarea, ștergerea sau distrugerea;

[…]”

Articolul 5 din acest regulament, intitulat „Principii legate de prelucrarea datelor cu caracter personal”, prevede:

„(1) Datele cu caracter personal sunt:

[…]

(c)	adecvate, relevante și limitate la ceea ce este necesar în raport cu scopurile în care sunt prelucrate («reducerea la minimum a datelor»);

[…]”

Articolul 6 din regulamentul menționat, intitulat „Legalitatea prelucrării”, prevede la alineatele (1)-(3):

„(1) Prelucrarea este legală numai dacă și în măsura în care se aplică cel puțin una dintre următoarele condiții:

[…]

(e)	prelucrarea este necesară pentru îndeplinirea unei sarcini care servește unui interes public sau care rezultă din exercitarea autorității publice cu care este învestit operatorul;

[…]

(2) Statele membre pot menține sau introduce dispoziții mai specifice de adaptare a aplicării normelor prezentului regulament în ceea ce privește prelucrarea în vederea respectării alineatului (1) literele (c) și (e) prin definirea unor cerințe specifice mai precise cu privire la prelucrare și a altor măsuri de asigurare a unei prelucrări legale și echitabile, inclusiv pentru alte situații concrete de prelucrare, astfel cum este prevăzut în capitolul IX.

(3) Temeiul pentru prelucrarea menționată la alineatul (1) literele (c) și (e) trebuie să fie prevăzut în:

(a)	dreptul Uniunii; sau

(b)	dreptul intern care se aplică operatorului.

Scopul prelucrării este stabilit pe baza respectivului temei juridic sau, în ceea ce privește prelucrarea menționată la alineatul (1) litera (e), este necesar pentru îndeplinirea unei sarcini efectuate în interes public sau în cadrul exercitării unei funcții publice atribuite operatorului. Respectivul temei juridic poate conține dispoziții specifice privind adaptarea aplicării normelor prezentului regulament, printre altele: condițiile generale care reglementează legalitatea prelucrării de către operator; tipurile de date care fac obiectul prelucrării; persoanele vizate; entitățile cărora le pot fi divulgate datele și scopul pentru care respectivele date cu caracter personal pot fi divulgate; limitările legate de scop; perioadele de stocare; și operațiunile și procedurile de prelucrare, inclusiv măsurile de asigurare a unei prelucrări legale și echitabile cum sunt cele pentru alte situații concrete de prelucrare astfel cum sunt prevăzute în capitolul IX. Dreptul Uniunii sau dreptul intern urmărește un obiectiv de interes public și este proporțional cu obiectivul legitim urmărit.”

Articolul 58 din același regulament, intitulat „Competențe”, prevede la alineatele (2)-(4):

„(2) Fiecare autoritate de supraveghere are toate următoarele competențe corective:

[…]

(f)	de a impune o limitare temporară sau definitivă, inclusiv o interdicție asupra prelucrării;

[…]

(3) Fiecare autoritate de supraveghere are toate următoarele competențe de autorizare și de consiliere:

[…]

(b)	de a emite avize, din proprie inițiativă sau la cerere, parlamentului național, guvernului statului membru sau, în conformitate cu dreptul intern, altor instituții și organisme, precum și publicului, cu privire la orice aspect legat de protecția datelor cu caracter personal;

[…]

(4) Exercitarea competențelor conferite autorității de supraveghere în temeiul prezentului articol face obiectul unor garanții adecvate, inclusiv căi de atac judiciare eficiente și procese echitabile, prevăzute în dreptul Uniunii și în dreptul intern în conformitate cu [Carta drepturilor fundamentale].”

Potrivit articolului 85 din RGPD, intitulat „Prelucrarea și libertatea de exprimare și de informare”:

„(1) Prin intermediul dreptului intern, statele membre asigură un echilibru între dreptul la protecția datelor cu caracter personal în temeiul prezentului regulament și dreptul la libertatea de exprimare și de informare, inclusiv prelucrarea în scopuri jurnalistice sau în scopul exprimării academice, artistice sau literare.

(2) Pentru prelucrarea efectuată în scopuri jurnalistice sau în scopul exprimării academice, artistice sau literare, statele membre prevăd exonerări sau derogări de la dispozițiile capitolului II (principii), ale capitolului III (drepturile persoanei vizate), ale capitolului IV (operatorul și persoana împuternicită de operator), ale capitolului V (transferul datelor cu caracter personal către țări terțe sau organizații internaționale), ale capitolului VI (autorități de supraveghere independente), ale capitolului VII (cooperare și coerență) și ale capitolului IX (situații specifice de prelucrare a datelor) în cazul în care acestea sunt necesare pentru a asigura un echilibru între dreptul la protecția datelor cu caracter personal și libertatea de exprimare și de informare.

(3) Fiecare stat membru informează Comisia [Europeană] cu privire la dispozițiile de drept intern pe care le‑a adoptat în temeiul alineatului (2) precum și, fără întârziere, cu privire la orice act legislativ de modificare sau orice modificare ulterioară a acestora.”

Dreptul bulgar

Articolul 272 din Izboren kodeks (Codul electoral), în versiunea aplicabilă litigiului principal, prevede:

„La deschiderea urnelor de vot și la stabilirea rezultatelor votului, în secțiile de votare pot fi prezenți candidați, susținători și reprezentanți ai partidelor, coalițiilor și comitetelor de acțiune […], observatori […], câte un intervievator înregistrat al unei agenții înregistrate de sondare a opiniei publice și reprezentanți ai mass‑media, acestora fiindu‑le asigurată vizibilitate directă asupra numărării voturilor.”

Litigiul principal și întrebările preliminare

12	Instrucțiunile în litigiu au fost adoptate prin decizia CPDCP din 28 ianuarie 2021 și prin decizia CEC din 8 februarie 2021.

În ceea ce privește prelucrarea datelor cu caracter personal prin intermediul înregistrării video (înregistrare sau emitere în direct) în cadrul procesului electoral, instrucțiunile în litigiu precizează că obiectivul unei astfel de prelucrări este de a garanta transparența, obiectivitatea, legitimitatea procesului electoral, egalitatea de tratament între participanții la acest proces, precum și libertatea de exprimare și dreptul la informare.

În ceea ce privește modalitățile de prelucrare a datelor cu caracter personal prin intermediul înregistrării video în timpul procesului electoral, instrucțiunile în litigiu prevăd, pe de o parte, că mass‑media prelucrează date cu caracter personal prin intermediul înregistrării video numai la deschiderea zilei electorale, la închiderea acesteia, la anunțul rezultatelor scrutinului, precum și la tragerea la sorți a numerelor de ordine ale buletinelor.

15	Pe de altă parte, aceste instrucțiuni precizează că niciun alt participant la procesul electoral nu poate prelucra date cu caracter personal prin intermediul înregistrării video, din cauza incompatibilității rolului său în cadrul procesului electoral.

16	Prin cererea din 10 februarie 2021, Koalitsia a contestat legalitatea acestor instrucțiuni în fața Administrativen sad Sofia (Tribunalul Administrativ din Sofia, Bulgaria) în măsura în care acestea se aplică prelucrării datelor cu caracter personal prin intermediul înregistrării video.

Prin hotărârea din 15 martie 2021, această instanță a anulat:

–

punctul 2 din secțiunea I, intitulată „Generalități”, din instrucțiunile în litigiu în ceea ce privește operatorii, persoanele împuternicite și persoanele care prelucrează date cu caracter personal în cadrul unui proces electoral în conformitate cu instrucțiunile operatorului și care prevede că „[d]repturile și obligațiile acestora în ceea ce privește prelucrarea datelor cu caracter personal sunt limitate în măsura în care drepturile și obligațiile lor în cadrul procesului electoral sunt adoptate în mod exhaustiv și limitativ”, că „[s]ituațiile în care aceste persoane prelucrează date cu caracter personal sunt definite în mod expres în codul electoral (dreptul de a observa în mod direct stabilirea rezultatelor scrutinului, dreptul de a primi o copie a procesului‑verbal de la comisia electorală de secție etc.)” și că „[î]n caz de prelucrare a datelor cu caracter personal, aceste persoane nu pot să depășească drepturile și obligațiile prevăzute de Codul electoral”; și

–

punctul 9 din secțiunea II, intitulată „Instrucțiuni pentru operatorii de date cu caracter personal”, în măsura în care acest punct prevede că „[n]iciun alt participant la procesul electoral nu poate prelucra date cu caracter personal prin intermediul înregistrării video și/sau al difuzării video din cauza incompatibilității rolului său în cadrul procesului electoral cu scopul prelucrării datelor cu caracter personal prin intermediul înregistrării video în cadrul unui proces electoral” și că „[f]uncțiile și rolurile acestor participanți la procesul electoral sunt stabilite în mod expres și exhaustiv în Codul electoral”.

Potrivit Administrativen sad Sofia (Tribunalul Administrativ din Sofia), în temeiul articolului 2 alineatul (2) litera (a) din RGPD, acesta din urmă nu se aplică în cadrul unei activități care nu intră sub incidența dreptului Uniunii, precum cea în discuție în litigiul principal, și anume organizarea de alegeri parlamentare naționale sau ale colectivităților locale ale unui stat membru. În consecință, instrucțiunile în litigiu, în măsura în care sunt măsuri de punere în aplicare a RGPD, ar fi lipsite de temei legal.

19	La 29 martie 2021, CPDCP și CEC au formulat recurs împotriva acestei hotărâri la Varhoven administrativen sad (Curtea Administrativă Supremă, Bulgaria), instanța de trimitere.

20	Prin cererea din 2 aprilie 2021, CPDCP, susținută de CEC, a solicitat sesizarea Curții cu titlu preliminar cu privire la aplicabilitatea dreptului Uniunii în cauza principală.

21	Koalitsia susține în fața instanței de trimitere că hotărârea menționată trebuie confirmată și că nu este necesară sesizarea Curții cu o cerere de decizie preliminară.

22	Instanța de trimitere arată că instrucțiunile în litigiu constituie un act administrativ care are efecte juridice repetate cu ocazia alegerilor. Aceasta subliniază că instrucțiunile în litigiu se aplică tuturor alegerilor naționale, locale și europene organizate pe teritoriul Republicii Bulgaria.

Această instanță ridică în special problema aplicabilității RGPD în contextul organizării de alegeri într‑un stat membru și, în cazul aplicabilității sale în acest context, a incidenței dispozițiilor RGPD asupra posibilității autorităților competente în materie de protecție a datelor cu caracter personal de a limita sau, dacă este cazul, de a interzice prelucrarea unor astfel de date în cadrul procesului electoral.

În aceste condiții, Varhoven administrativen sad (Curtea Administrativă Supremă) a hotărât să suspende judecarea cauzei și să adreseze Curții următoarele întrebări preliminare:

„1)

Articolul 2 alineatul (2) litera (a) din [RGPD] trebuie interpretat în sensul că se opune aplicării acestui regulament unei situații aparent pur interne precum organizarea alegerilor pentru Adunarea Națională atunci când obiectul protecției îl constituie datele cu caracter personal ale persoanelor – cetățeni ai Uniunii Europene –, iar operațiunile de prelucrare nu se limitează la colectarea datelor în cadrul activității respective?

În cazul unui răspuns afirmativ la prima întrebare: finalizarea organizării alegerilor pentru Adunarea Națională, care nu pare să intre în domeniul de aplicare al dreptului Uniunii, îi exonerează pe operatorii, persoanele împuternicite de operatori și persoanele care păstrează date cu caracter personal de obligațiile care le revin în temeiul regulamentului ca mijloc unic de protecție a datelor cu caracter personal ale cetățenilor Uniunii la nivelul Uniunii? Aplicabilitatea regulamentului depinde numai de activitatea pentru care au fost generate sau colectate datele cu caracter personal, ceea ce conduce de asemenea la concluzia că aplicabilitatea lor ulterioară este exclusă?

În cazul unui răspuns negativ la prima întrebare, articolul 6 [alineatul 1] litera (e) din [RGPD] și principiul proporționalității, consacrat în considerentele (4) și (129) ale acestuia, se opun unei reglementări naționale de punere în aplicare a regulamentului, precum cea în discuție, care exclude și limitează a priori posibilitatea ca, la înregistrarea rezultatelor în secțiile de votare, să fie efectuate orice înregistrări video, care nu permite nicio diferențiere și reglementare a elementelor procedurii de înregistrare și care exclude posibilitatea de a realiza prin alte mijloace obiectivele regulamentului – protecția datelor cu caracter personal ale persoanelor?

Alternativ, în contextul domeniului de aplicare al dreptului Uniunii – în cadrul organizării alegerilor locale și a alegerilor pentru Parlamentul European –, articolul 6 [alineatul (1)] litera (e) din [RGPD] și principiul proporționalității, consacrat în considerentele (4) și (129) ale acestuia, se opun unei reglementări naționale de punere în aplicare a regulamentului, precum cea în discuție, care exclude și limitează a priori posibilitatea ca, la înregistrarea rezultatelor în secțiile de votare, să fie efectuate orice înregistrări video, care nici nu face, nici nu permite o diferențiere și o reglementare a elementelor procedurii de înregistrare și care exclude posibilitatea de a realiza prin alte mijloace obiectivele regulamentului – protecția datelor cu caracter personal ale persoanelor?

Articolul 6 alineatul (1) litera (e) din [RGPD] se opune calificării activităților de stabilire a punerii în aplicare și înregistrării legale a rezultatelor alegerilor desfășurate drept o misiune de interes public, care justifică o anumită ingerință, supusă cerinței proporționalității, în legătură cu datele personale ale persoanelor prezente în secțiile de votare atunci când acestea exercită o misiune oficială, publică și reglementată prin lege?

În cazul unui răspuns afirmativ la întrebarea anterioară: protecția datelor cu caracter personal se opune instituirii în dreptul național a unei interdicții de colectare și de prelucrare a datelor cu caracter personal care limitează posibilitatea de a efectua activități conexe de înregistrare video a materialelor, a obiectelor sau a bunurilor care nu conțin date cu caracter personal atunci când procedura de înregistrare permite potențial ca înregistrarea video a persoanelor prezente în secția de votare, care desfășoară la momentul respectiv o activitate în interes public, să colecteze de asemenea date cu caracter personal?”

Cu privire la admisibilitatea cererii de decizie preliminară

La 14 septembrie 2021, Curtea a adresat instanței de trimitere o solicitare de informații prin care o invita să precizeze eventuala incidență a modificării articolului 272 din Codul electoral, intervenită ulterior introducerii cererii de decizie preliminară, asupra pertinenței întrebărilor adresate în vederea soluționării litigiului principal.

În răspunsul său din 29 octombrie 2021, instanța de trimitere a arătat că, potrivit dreptului procedural național, ea trebuie să aprecieze legalitatea instrucțiunilor în litigiu ținând seama nu de data la care a intervenit modificarea legislativă menționată, ci de data la care au fost adoptate instrucțiunile în litigiu. Prin urmare, pertinența trimiterii preliminare nu ar fi repusă în discuție de această modificare legislativă intervenită ulterior adoptării instrucțiunilor în litigiu.

În această privință trebuie amintit că, potrivit jurisprudenței constante a Curții, întrebările referitoare la interpretarea dreptului Uniunii adresate de instanța națională în cadrul normativ și factual pe care îl definește sub răspunderea sa și a cărui exactitate Curtea nu are competența să o verifice beneficiază de o prezumție de pertinență. Curtea nu poate refuza să se pronunțe asupra unei întrebări preliminare adresate de o instanță națională, în sensul articolului 267 TFUE, decât atunci când, în special, cerințele privind conținutul cererii de decizie preliminară care figurează la articolul 94 din Regulamentul de procedură al Curții nu sunt respectate sau atunci când este evident că interpretarea sau aprecierea validității unei norme de drept al Uniunii, solicitată de instanța națională, nu are nicio legătură cu realitatea sau cu obiectul litigiului principal ori atunci când problema este de natură ipotetică (Hotărârea din 25 martie 2021, Obala i lučice, C‑307/19, EU:C:2021:236, punctul 48 și jurisprudența citată).

28	În speță, din explicațiile furnizate de instanța de trimitere reiese fără echivoc că aceasta apreciază că răspunsul la întrebările adresate este necesar pentru a se pronunța asupra litigiului cu care este sesizată.

29	Prin urmare, cererea de decizie preliminară este admisibilă.

Cu privire la întrebările preliminare

Cu privire la prima și la a doua întrebare

Prin intermediul primei și al celei de a doua întrebări, care trebuie analizate împreună, instanța de trimitere solicită în esență să se stabilească dacă articolul 2 alineatul (2) litera (a) din RGPD trebuie interpretat în sensul că este exclusă din domeniul de aplicare al acestui regulament prelucrarea datelor cu caracter personal în contextul organizării de alegeri într‑un stat membru.

În primul rând, trebuie arătat că, în conformitate cu articolul 2 alineatul (1) din RGPD, acest regulament se aplică prelucrării automate, în totalitate sau parțial, precum și prelucrării neautomate a datelor cu caracter personal conținute sau care urmează să fie conținute într‑un sistem de evidență a datelor cu caracter personal. Potrivit articolului 4 punctul 2 din acest regulament, se încadrează în definiția „prelucrării”, între altele, orice operațiune efectuată asupra datelor cu caracter personal sau asupra seturilor de date cu caracter personal, cu sau fără utilizarea de mijloace automatizate, cum ar fi, printre altele, colectarea, înregistrarea, utilizarea, divulgarea prin transmitere, diseminarea sau punerea la dispoziție în orice alt mod.

32	Rezultă de aici că înregistrarea video a persoanelor fizice constituie o prelucrare a datelor cu caracter personal care intră, în principiu, în domeniul de aplicare material al RGPD (a se vedea în acest sens Hotărârea din 11 decembrie 2014, Ryneš, C‑212/13, EU:C:2014:2428, punctul 35).

33	În al doilea rând, trebuie subliniat că excepțiile de la domeniul de aplicare material al regulamentului menționat sunt stabilite în mod exhaustiv la articolul 2 alineatele (2) și (3) din acesta.

În speță, instanța de trimitere ridică problema dacă prelucrarea datelor cu caracter personal prin intermediul înregistrării video cu ocazia organizării de alegeri atât europene, cât și naționale intră sub incidența excepției prevăzute la articolul 2 alineatul (2) litera (a) din RGPD, potrivit căreia acest regulament nu se aplică prelucrării datelor cu caracter personal efectuate „în cadrul unei activități care nu intră sub incidența dreptului Uniunii”.

Trebuie subliniat că această excepție de la aplicabilitatea RGPD trebuie, la fel ca celelalte excepții prevăzute la articolul 2 alineatul (2) din acesta, să primească o interpretare strictă [a se vedea în acest sens Hotărârea din 22 iunie 2021, Latvijas Republikas Saeima (Puncte de penalizare), C‑439/19, EU:C:2021:504, punctul 62 și jurisprudența citată].

Astfel cum a statuat Curtea, articolul 2 alineatul (2) litera (a) din RGPD trebuie interpretat în coroborare cu articolul 2 alineatul (2) litera (b) și cu considerentul (16) al acestuia, care precizează că regulamentul menționat nu se aplică prelucrării datelor cu caracter personal în contextul „activități[lor] care nu intră în domeniul de aplicare al dreptului Uniunii, de exemplu activitățile privind securitatea națională”, și al „activități[lor] legate de politica externă și de securitate comună a Uniunii” [a se vedea în acest sens Hotărârea din 22 iunie 2021, Latvijas Republikas Saeima (Puncte de penalizare), C‑439/19, EU:C:2021:504, punctul 63].

Rezultă că articolul 2 alineatul (2) literele (a) și (b) din RGPD se înscrie parțial în continuitatea articolului 3 alineatul (2) prima liniuță din Directiva 95/46/CE a Parlamentului European și a Consiliului din 24 octombrie 1995 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date (JO 1995, L 281, p. 31, Ediție specială, 13/vol. 17, p. 10). Prin urmare, articolul 2 alineatul (2) literele (a) și (b) din RGPD nu poate fi interpretat în sensul că are un înțeles mai larg decât excepția care decurge din articolul 3 alineatul (2) prima liniuță din Directiva 95/46, care excludea deja din domeniul de aplicare al acestei directive printre altele prelucrarea datelor cu caracter personal care avea loc în cadrul „activităților din afara domeniului de aplicare a dreptului comunitar, cum ar fi cele prevăzute în titlurile V și VI din Tratatul [UE, în versiunea anterioară Tratatului de la Lisabona,] și, în orice caz, [al] prelucrărilor care au ca obiect siguranța publică, apărarea, securitatea statului […]” [Hotărârea din 22 iunie 2021, Latvijas Republikas Saeima (Puncte de penalizare), C‑439/19, EU:C:2021:504, punctul 64].

Or, numai prelucrările de date cu caracter personal puse în aplicare în cadrul unei activități proprii statelor sau autorităților de stat și expres menționate la articolul 3 alineatul (2) amintit sau în cadrul unei activități care poate fi încadrată în aceeași categorie erau excluse din domeniul de aplicare al directivei respective [Hotărârea din 22 iunie 2021, Latvijas Republikas Saeima (Puncte de penalizare), C‑439/19, EU:C:2021:504, punctul 65 și jurisprudența citată].

Prin urmare, articolul 2 alineatul (2) litera (a) din RGPD, interpretat în lumina considerentului (16) al acestui regulament, are ca unic obiectiv excluderea din domeniul de aplicare al regulamentului a prelucrărilor de date cu caracter personal efectuate de autoritățile de stat în cadrul unei activități de apărare a securității naționale sau al unei activități care poate fi încadrată în aceeași categorie, astfel încât simplul fapt că o activitate este proprie statului sau unei autorități publice nu este suficient pentru ca această excepție să fie automat aplicabilă unei asemenea activități [Hotărârea din 22 iunie 2021, Latvijas Republikas Saeima (Puncte de penalizare), C‑439/19, EU:C:2021:504, punctul 66 și jurisprudența citată].

Activitățile care au ca scop apărarea securității naționale prevăzute la articolul 2 alineatul (2) litera (a) din RGPD cuprind în special activitățile care au ca obiect protejarea funcțiilor esențiale ale statului și a intereselor fundamentale ale societății [a se vedea în acest sens Hotărârea din 22 iunie 2021, Latvijas Republikas Saeima (Puncte de penalizare), C‑439/19, EU:C:2021:504, punctul 67].

41	Or, activitățile referitoare la organizarea de alegeri într‑un stat membru nu urmăresc un astfel de obiectiv și, în consecință, nu pot fi încadrate în categoria activităților care au ca scop apărarea securității naționale, vizate la articolul 2 alineatul (2) litera (a) din RGPD.

Având în vedere considerațiile care precedă, este necesar să se răspundă la prima și la a doua întrebare că articolul 2 alineatul (2) litera (a) din RGPD trebuie interpretat în sensul că nu este exclusă din domeniul de aplicare al acestui regulament prelucrarea datelor cu caracter personal în contextul organizării de alegeri într‑un stat membru.

Cu privire la întrebările a treia-a șasea

Cu titlu introductiv, trebuie amintit că, potrivit unei jurisprudențe constante, în cadrul procedurii de cooperare între instanțele naționale și Curte instituite la articolul 267 TFUE, este de competența acesteia să ofere instanței naționale un răspuns util, care să îi permită să soluționeze litigiul cu care este sesizată. Din această perspectivă, dacă este cazul, incumbă Curții obligația să reformuleze întrebările care îi sunt adresate [a se vedea în acest sens Hotărârea din 7 iulie 2022, Pensionsversicherungsanstalt (Perioade de creștere a copilului în străinătate), C‑576/20, EU:C:2022:525, punctul 35 și jurisprudența citată].

În acest scop, Curtea poate extrage din ansamblul elementelor furnizate de instanța națională și mai ales din motivarea deciziei de trimitere elementele respectivului drept care necesită o interpretare, având în vedere obiectul litigiului principal (a se vedea în acest sens Hotărârea din 2 iunie 2022, HK/Danmark și HK/Privat, C‑587/20, EU:C:2022:419, punctul 18 precum și jurisprudența citată).

În speță, din decizia de trimitere reiese că litigiul principal privește în esență aspectul dacă autoritățile competente în domeniul protecției datelor cu caracter personal pot limita sau interzice prelucrarea unor astfel de date în ceea ce privește posibilitatea de a filma procesul electoral și în special numărarea voturilor.

În consecință, este necesar să se înțeleagă că, prin intermediul întrebărilor a treia-a șasea, care trebuie analizate împreună, instanța de trimitere solicită în esență să se stabilească dacă articolul 6 alineatul (1) litera (e) și articolul 58 din RGPD trebuie interpretate în sensul că se opun ca autoritățile competente ale unui stat membru să adopte un act administrativ cu aplicabilitate generală care prevede limitarea sau, dacă este cazul, interzicerea înregistrării video a numărării voturilor în secțiile de votare în timpul alegerilor în acest stat membru.

47	În primul rând, trebuie arătat că articolul 6 din RGPD stabilește condițiile legalității prelucrării datelor cu caracter personal.

În ceea ce privește în special articolul 6 alineatul (1) litera (e) din RGPD, vizat în mod specific de cererea de decizie preliminară, din această dispoziție reiese că prelucrarea datelor cu caracter personal este legală dacă este necesară pentru îndeplinirea unei sarcini de interes public sau a unei sarcini care rezultă din exercitarea autorității publice cu care este învestit operatorul.

Or, litera (e) a alineatului (1) al articolului 6 din RGPD trebuie interpretată coroborat cu articolul 6 alineatul (3) din acest regulament, care precizează că temeiul prelucrării menționate la această literă (e) este definit de dreptul Uniunii sau de dreptul statului membru căruia îi este supus operatorul.

Dispozițiile coroborate ale articolului 6 alineatul (1) litera (e) și ale articolului 6 alineatul (3) din RGPD permit, așadar, statelor membre să adopte norme în temeiul cărora operatorii pot prelucra date cu caracter personal în cadrul îndeplinirii unei sarcini de interes public sau a unei sarcini care rezultă din exercitarea autorității publice.

51	În speță, instanța de trimitere pare să considere, în cadrul celei de a cincea întrebări, că unii dintre participanții prezenți în incintele electorale cu ocazia numărării voturilor ar putea executa o misiune de interes public, în sensul articolului 6 alineatul (1) litera (e) din RGPD.

În această privință este necesar să se sublinieze că prelucrarea licită de date cu caracter personal de către asemenea participanți în temeiul articolului 6 alineatul (1) litera (e) din RGPD presupune nu numai ca aceștia să poată fi considerați ca executând o sarcină de interes public, ci și că prelucrările de date cu caracter personal în scopul executării unei astfel de sarcini se întemeiază pe o bază legală prevăzută la articolul 6 alineatul (3) din acest regulament.

După cum a arătat în mod întemeiat Comisia în observațiile sale scrise, instrucțiunile în litigiu, adoptate de autoritățile de supraveghere bulgare competente, nu par să constituie un atare temei juridic. Dimpotrivă, ele par să constituie o măsură care vizează protecția datelor cu caracter personal ale persoanelor prezente în incintele electorale, limitând, în ceea ce îi privește pe reprezentanții mass‑media, și interzicând, în ceea ce îi privește pe ceilalți participanți prezenți în spațiile electorale, prelucrarea unor astfel de date prin intermediul înregistrării video în cursul unei etape specifice a procesului electoral, și anume în cursul numărării voturilor.

54	Trebuie amintit, în al doilea rând, că competențele autorităților de supraveghere sunt stabilite la articolul 58 din RGPD.

Din articolul 58 alineatul (2) litera (f) din RGPD, interpretat în lumina considerentului (129) al acestui regulament, reiese că autoritățile de supraveghere dispun printre altele de competența de a impune o limitare temporară sau definitivă a prelucrării datelor cu caracter personal, inclusiv o interdicție, și că această competență trebuie exercitată cu respectarea principiului proporționalității. De asemenea, conform articolului 58 alineatul (3) litera (b) din RGPD, fiecare autoritate de supraveghere are competența de a emite, din proprie inițiativă sau la cerere, avize, în conformitate cu legislația statului membru în cauză, altor instituții și organisme decât parlamentul național sau guvernul acestui stat membru, precum și publicului, în legătură cu orice chestiune referitoare la protecția datelor cu caracter personal. În sfârșit, conform articolului 58 alineatul (4) din acest regulament, exercitarea acestor competențe face obiectul unor garanții adecvate, inclusiv dreptul la o cale de atac efectivă.

Or, prezentarea dreptului bulgar și a instrucțiunilor în litigiu, astfel cum reiese din dosarul de care dispune Curtea, nu permite să se stabilească, sub rezerva verificărilor care trebuie efectuate de instanța de trimitere, că autoritățile bulgare competente au depășit competențele de care dispun în temeiul articolului 58 alineatul (2) litera (f) și alineatul (3) litera (b) din RGPD și în special că instrucțiunile în litigiu nu respectă principiul proporționalității.

În această privință, instanța de trimitere arată că instrucțiunile în litigiu limitează, în ceea ce îi privește pe reprezentanții mass‑media, și interzic, în ceea ce îi privește pe ceilalți participanți prezenți în incintele electorale, prelucrarea datelor cu caracter personal prin intermediul înregistrării video în cursul unei etape specifice a procesului electoral, și anume în cursul procedurii de deschidere a urnelor și de stabilire a rezultatelor alegerilor. În schimb, aceste instrucțiuni nu par să limiteze posibilitatea participanților prezenți în incintele electorale, cu ocazia numărării voturilor, de a observa deschiderea urnelor și stabilirea rezultatelor alegerilor, ceea ce permite garantarea transparenței, a obiectivității și a legitimității procesului electoral, egalitatea de tratament între participanții la acest proces, precum și libertatea de exprimare și dreptul la informare, în conformitate cu obiectivul instrucțiunilor menționate.

Astfel, trebuie să se considere că instrucțiunile în litigiu sunt destinate, în conformitate cu principiul minimizării datelor prevăzut la articolul 5 alineatul (1) litera (c) din RGDP, să minimizeze obstacolul în calea dreptului la protecția datelor cu caracter personal provocat de înregistrarea video a procesului electoral.

În al treilea și ultimul rând, trebuie amintit de asemenea, pentru orice eventualitate, că statele membre pot prevedea scutiri și derogări de la anumite dispoziții din RGPD pentru a asigura un echilibru între dreptul la protecția datelor cu caracter personal și libertatea de exprimare și de informare.

În temeiul articolului 85 alineatul (1) din RGPD, prin intermediul dreptului intern, statele membre asigură un echilibru între dreptul la protecția datelor cu caracter personal în sensul acestui regulament și dreptul la libertatea de exprimare și de informare, inclusiv prelucrarea datelor cu caracter personal în scopuri jurnalistice Conform articolului 85 alineatul (2) din regulamentul menționat, statele membre prevăd scutiri sau derogări de la anumite capitole din RGPD, printre care capitolul II, în care figurează articolul 6. Aceste scutiri sau derogări trebuie limitate la ceea ce este necesar pentru a asigura un echilibru între dreptul la protecția datelor cu caracter personal și libertatea de exprimare și de informare.

Având în vedere considerațiile care precedă, trebuie să se răspundă la a treia-a șasea întrebare că articolul 6 alineatul (1) litera (e) și articolul 58 din RGPD trebuie interpretate în sensul că aceste dispoziții nu se opun ca autoritățile competente ale unui stat membru să adopte un act administrativ cu aplicabilitate generală care prevede limitarea sau, dacă este cazul, interzicerea înregistrării video a numărării voturilor în secțiile de votare cu ocazia alegerilor din acest stat membru.

Cu privire la cheltuielile de judecată

Întrucât, în privința părților din litigiul principal, procedura are caracterul unui incident survenit la instanța de trimitere, este de competența acesteia să se pronunțe cu privire la cheltuielile de judecată. Cheltuielile efectuate pentru a prezenta observații Curții, altele decât cele ale părților menționate, nu pot face obiectul unei rambursări.

Pentru aceste motive, Curtea (Camera a opta) declară:

Articolul 2 alineatul (2) litera (a) din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor)

trebuie interpretat în sensul că

nu este exclusă din domeniul de aplicare al acestui regulament prelucrarea datelor cu caracter personal în contextul organizării de alegeri într‑un stat membru.

Articolul 6 alineatul (1) litera (e) și articolul 58 din Regulamentul 2016/679

trebuie interpretate în sensul că

aceste dispoziții nu se opun ca autoritățile competente ale unui stat membru să adopte un act administrativ cu aplicabilitate generală care prevede limitarea sau, dacă este cazul, interzicerea înregistrării video a numărării voturilor în secțiile de votare cu ocazia alegerilor din acest stat membru.

Semnături

( *1 ) Limba de procedură: bulgara.