ARRÊT DE LA COUR (huitième chambre)
20 octobre 2022 (*)
« Renvoi préjudiciel – Protection des données à caractère personnel – Règlement (UE) 2016/679 – Champ d’application – Article 2, paragraphe 2, sous a) – Notion d’“activité qui ne relève pas du champ d’application du droit de l’Union” – Élections nationales et européennes – Article 6, paragraphe 1, sous e) – Licéité du traitement – Article 58 – Acte adopté par les autorités de contrôle limitant, ou le cas échéant, interdisant l’enregistrement vidéo du dépouillement du scrutin dans les locaux
électoraux »
Dans l’affaire C‑306/21,
ayant pour objet une demande de décision préjudicielle au titre de l’article 267 TFUE, introduite par le Varhoven administrativen sad (Cour administrative suprême, Bulgarie), par décision du 23 avril 2021, parvenue à la Cour le 12 mai 2021, dans la procédure
Komisia za zashtita na lichnite danni,
Tsentralna izbiratelna komisia
contre
Koalitsia « Demokratichna Bulgaria – Obedinenie »,
LA COUR (huitième chambre),
composée de M. N. Piçarra, faisant fonction de président de chambre, MM. N. Jääskinen (rapporteur) et M. Gavalec, juges,
avocat général : M. M. Campos Sánchez-Bordona,
greffier : M. A. Calot Escobar,
vu la procédure écrite,
considérant les observations présentées :
– pour la Komisia za zashtita na lichnite danni, par M. V. Karadzhov,
– pour le gouvernement roumain, par M^mes L.-E. Baţagoi, E. Gane et A. Wellman, en qualité d’agents,
– pour la Commission européenne, par M. A. Bouchagiar, M^me C. Georgieva et M. H. Kranenborg, en qualité d’agents,
vu la décision prise, l’avocat général entendu, de juger l’affaire sans conclusions,
rend le présent
Arrêt
1 La demande de décision préjudicielle porte sur l’interprétation de l’article 2, paragraphe 2, sous a), et de l’article 6, paragraphe 1, sous e), du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO 2016, L 119, p. 1, ci-après le
« RGPD »).
2 Cette demande a été présentée dans le cadre d’un litige opposant la Komisia za zashtita na lichnite danni (Commission de protection des données à caractère personnel, Bulgarie) (ci-après la « CPDCP ») et la Tsentralna izbiratelna komisia (Commission centrale électorale, Bulgarie) (ci-après la « CEC ») à la Koalitsia « Demokratichna Bulgaria – Obedinenie » (ci-après la « Koalitsia »), une coalition de partis politiques bulgares, au sujet des instructions relatives au traitement et à la
protection des données à caractère personnel au cours du processus électoral (ci-après les « instructions litigieuses »), adoptées par la CPDCP et la CEC.
Le cadre juridique
Le droit de l’Union
3 Les considérants 4, 16 et 129 du RGPD sont libellés comme suit :
« (4) Le traitement des données à caractère personnel devrait être conçu pour servir l’humanité. Le droit à la protection des données à caractère personnel n’est pas un droit absolu ; il doit être considéré par rapport à sa fonction dans la société et être mis en balance avec d’autres droits fondamentaux, conformément au principe de proportionnalité. Le présent règlement respecte tous les droits fondamentaux et observe les libertés et les principes reconnus par la [charte des droits
fondamentaux de l’Union européenne], consacrés par les traités, en particulier le respect de la vie privée et familiale, du domicile et des communications, la protection des données à caractère personnel, la liberté de pensée, de conscience et de religion, la liberté d’expression et d’information, la liberté d’entreprise, le droit à un recours effectif et à accéder à un tribunal impartial, et la diversité culturelle, religieuse et linguistique.
[...]
(16) Le présent règlement ne s’applique pas à des questions de protection des libertés et droits fondamentaux ou de libre flux des données à caractère personnel concernant des activités qui ne relèvent pas du champ d’application du droit de l’Union, telles que les activités relatives à la sécurité nationale. Le présent règlement ne s’applique pas au traitement des données à caractère personnel par les États membres dans le contexte de leurs activités ayant trait à la politique étrangère et de
sécurité commune de l’Union [européenne].
[...]
(129) Afin de veiller à faire appliquer le présent règlement et à contrôler son application de manière cohérente dans l’ensemble de l’Union, les autorités de contrôle devraient avoir, dans chaque État membre, les mêmes missions et les mêmes pouvoirs effectifs, y compris les pouvoirs d’enquête, le pouvoir d’adopter des mesures correctrices et d’infliger des sanctions, ainsi que le pouvoir d’autoriser et d’émettre des avis consultatifs [...] Ces pouvoirs devraient également inclure celui
d’imposer une limitation temporaire ou définitive au traitement, y compris une interdiction. [...] Toute mesure devrait notamment être appropriée, nécessaire et proportionnée en vue de garantir le respect du présent règlement [...] »
4 L’article 2 de ce règlement, intitulé « Champ d’application matériel », énonce :
« 1. Le présent règlement s’applique au traitement de données à caractère personnel, automatisé en tout ou en partie, ainsi qu’au traitement non automatisé de données à caractère personnel contenues ou appelées à figurer dans un fichier.
2. Le présent règlement ne s’applique pas au traitement de données à caractère personnel effectué :
a) dans le cadre d’une activité qui ne relève pas du champ d’application du droit de l’Union ;
b) par les États membres dans le cadre d’activités qui relèvent du champ d’application du chapitre 2 du titre V du traité [UE] ;
[...] »
5 L’article 3 dudit règlement définit le champ d’application territorial de celui-ci. Conformément à son paragraphe 1, le RGPD « s’applique au traitement des données à caractère personnel effectué dans le cadre des activités d’un établissement d’un responsable du traitement ou d’un sous-traitant sur le territoire de l’Union, que le traitement ait lieu ou non dans l’Union ».
6 Aux termes de l’article 4 du RGPD :
« Aux fins du présent règlement, on entend par :
[...]
2) “traitement”, toute opération ou tout ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, la
limitation, l’effacement ou la destruction ;
[...] »
7 L’article 5 de ce règlement, intitulé « Principes relatifs au traitement des données à caractère personnel », énonce :
« 1. Les données à caractère personnel doivent être :
[...]
c) adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données) ;
[...] »
8 L’article 6 dudit règlement, intitulé « Licéité du traitement », prévoit, à ses paragraphes 1 à 3 :
« 1. Le traitement n’est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie :
[...]
e) le traitement est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement ;
[...]
2. Les États membres peuvent maintenir ou introduire des dispositions plus spécifiques pour adapter l’application des règles du présent règlement pour ce qui est du traitement dans le but de respecter le paragraphe 1, points c) et e), en déterminant plus précisément les exigences spécifiques applicables au traitement ainsi que d’autres mesures visant à garantir un traitement licite et loyal, y compris dans d’autres situations particulières de traitement comme le prévoit le chapitre IX.
3. Le fondement du traitement visé au paragraphe 1, points c) et e), est défini par :
a) le droit de l’Union ; ou
b) le droit de l’État membre auquel le responsable du traitement est soumis.
Les finalités du traitement sont définies dans cette base juridique ou, en ce qui concerne le traitement visé au paragraphe 1, point e), sont nécessaires à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement. Cette base juridique peut contenir des dispositions spécifiques pour adapter l’application des règles du présent règlement, entre autres : les conditions générales régissant la licéité du traitement par le
responsable du traitement ; les types de données qui font l’objet du traitement ; les personnes concernées ; les entités auxquelles les données à caractère personnel peuvent être communiquées et les finalités pour lesquelles elles peuvent l’être ; la limitation des finalités ; les durées de conservation ; et les opérations et procédures de traitement, y compris les mesures visant à garantir un traitement licite et loyal, telles que celles prévues dans d’autres situations particulières de traitement
comme le prévoit le chapitre IX. Le droit de l’Union ou le droit des États membres répond à un objectif d’intérêt public et est proportionné à l’objectif légitime poursuivi. »
9 L’article 58 de ce même règlement, intitulé « Pouvoirs », dispose, à ses paragraphes 2 à 4 :
« 2. Chaque autorité de contrôle dispose du pouvoir d’adopter toutes les mesures correctrices suivantes :
[...]
f) imposer une limitation temporaire ou définitive, y compris une interdiction, du traitement ;
[...]
3. Chaque autorité de contrôle dispose de tous les pouvoirs d’autorisation et de tous les pouvoirs consultatifs suivants :
[...]
b) émettre, de sa propre initiative ou sur demande, des avis à l’attention du parlement national, du gouvernement de l’État membre ou, conformément au droit de l’État membre, d’autres institutions et organismes ainsi que du public, sur toute question relative à la protection des données à caractère personnel ;
[...]
4. L’exercice des pouvoirs conférés à l’autorité de contrôle en application du présent article est subordonné à des garanties appropriées, y compris le droit à un recours juridictionnel effectif et à une procédure régulière, prévues par le droit de l’Union et le droit des États membres conformément à la [charte des droits fondamentaux]. »
10 Aux termes de l’article 85 du RGPD, intitulé « Traitement et liberté d’expression et d’information » :
« 1. Les États membres concilient, par la loi, le droit à la protection des données à caractère personnel au titre du présent règlement et le droit à la liberté d’expression et d’information, y compris le traitement à des fins journalistiques et à des fins d’expression universitaire, artistique ou littéraire.
2. Dans le cadre du traitement réalisé à des fins journalistiques ou à des fins d’expression universitaire, artistique ou littéraire, les États membres prévoient des exemptions ou des dérogations au chapitre II (principes), au chapitre III (droits de la personne concernée), au chapitre IV (responsable du traitement et sous-traitant), au chapitre V (transfert de données à caractère personnel vers des pays tiers ou à des organisations internationales), au chapitre VI (autorités de contrôle
indépendantes), au chapitre VII (coopération et cohérence) et au chapitre IX (situations particulières de traitement) si celles-ci sont nécessaires pour concilier le droit à la protection des données à caractère personnel et la liberté d’expression et d’information.
3. Chaque État membre notifie à la Commission [européenne] les dispositions légales qu’il a adoptées en vertu du paragraphe 2 et, sans tarder, toute disposition légale modificative ultérieure ou toute modification ultérieure les concernant. »
Le droit bulgare
11 L’article 272 de l’Izboren kodeks (code électoral), dans sa version applicable au litige au principal, dispose :
« Lors de l’ouverture des urnes contenant les bulletins de vote et lors de l’établissement des résultats du vote, dans les locaux où ont été tenues les élections peuvent être présents les candidats, activistes et représentants de partis, coalitions et comités d’initiative [...], les observateurs [...], un enquêteur enregistré par agence d’études sociologiques enregistrée et des représentants des médias, la visibilité directe lors du décompte des scrutins leur étant assurée. »
Le litige au principal et les questions préjudicielles
12 Les instructions litigieuses ont été adoptées par décision de la CPDCP du 28 janvier 2021 et par décision de la CEC du 8 février 2021.
13 S’agissant du traitement des données à caractère personnel au moyen de l’enregistrement vidéo (enregistrement ou émission en direct) dans le cadre du processus électoral, les instructions litigieuses précisent que l’objectif d’un tel traitement est de garantir la transparence, l’objectivité, la légitimité du processus électoral, l’égalité de traitement entre les acteurs de ce processus ainsi que la liberté d’expression et le droit à l’information.
14 En ce qui concerne les modalités du traitement des données à caractère personnel au moyen de l’enregistrement vidéo pendant le processus électoral, les instructions litigieuses prévoient, d’une part, que les médias ne traitent des données à caractère personnel au moyen de l’enregistrement vidéo que lors de l’ouverture de la journée électorale, de sa clôture, de l’annonce des résultats du scrutin ainsi que du tirage des numéros d’ordre des bulletins.
15 D’autre part, ces instructions précisent qu’aucun autre participant au processus électoral ne peut traiter des données à caractère personnel au moyen de l’enregistrement vidéo, en raison de l’incompatibilité de leur rôle dans le cadre du processus électoral.
16 Par requête du 10 février 2021, la Koalitsia a contesté la légalité de ces instructions devant l’Administrativen sad Sofia (tribunal administratif de Sofia, Bulgarie) en ce qu’elles s’appliquent au traitement des données à caractère personnel au moyen de l’enregistrement vidéo.
17 Par jugement du 15 mars 2021, cette juridiction a annulé :
– le point 2 de la section I, intitulée « Généralités », des instructions litigieuses en ce qu’il concerne les responsables du traitement, les sous-traitants et les personnes traitant des données à caractère personnel dans le cadre d’un processus électoral conformément aux instructions du responsable du traitement et qui prévoit que « [l]eurs droits et obligations à l’égard du traitement des données à caractère personnel sont limités dans la mesure où leurs droits et obligations dans le
cadre du processus électoral sont édictés de manière exhaustive et limitative », que « [l]es cas dans lesquels ces personnes traitent des données à caractère personnel sont expressément définis dans le code électoral (droit d’observer directement l’établissement des résultats du scrutin, droit de recevoir une copie du procès-verbal de la commission électorale de section, etc.) » et que, « [e]n cas de traitement de données à caractère personnel, ces personnes ne peuvent aller au-delà des droits et
obligations prévus par le code électoral », et
– le point 9 de la section II, intitulée « Instructions aux responsables du traitement des données à caractère personnel », dans la mesure où ce point dispose qu’« [a]ucun autre participant au processus électoral ne peut traiter des données à caractère personnel au moyen de l’enregistrement vidéo et/ou de la diffusion vidéo en raison de l’incompatibilité de leur rôle dans le cadre du processus électoral avec la finalité du traitement des données à caractère personnel au moyen de
l’enregistrement vidéo dans le cadre d’un processus électoral » et que « [l]es fonctions et les rôles de ces participants dans le processus électoral sont fixés expressément et limitativement dans le code électoral ».
18 Selon l’Administrativen sad Sofia (tribunal administratif de Sofia), en vertu de l’article 2, paragraphe 2, sous a), du RGPD, ce dernier ne s’applique pas dans le cadre d’une activité ne relevant pas du champ d’application du droit de l’Union, telle que celle en cause au principal, à savoir l’organisation d’élections parlementaires nationales ou des collectivités locales d’un État membre. Par conséquent, les instructions litigieuses, en tant qu’elles sont des mesures d’application du RGPD,
seraient dépourvues de base légale.
19 Le 29 mars 2021, la CPDCP et la CEC ont formé un pourvoi contre ce jugement devant le Varhoven administrativen sad (Cour administrative suprême, Bulgarie), la juridiction de renvoi.
20 Par demande du 2 avril 2021, la CPDCP, soutenue par la CEC, a demandé la saisine de la Cour à titre préjudiciel au sujet de l’applicabilité du droit de l’Union à l’affaire au principal.
21 La Koalitsia fait valoir devant la juridiction de renvoi que ledit jugement doit être confirmé et qu’il n’y a pas lieu de saisir la Cour d’une demande de décision préjudicielle.
22 La juridiction de renvoi indique que les instructions litigieuses constituent un acte administratif qui a des effets juridiques répétés lors des élections. Elle souligne que les instructions litigieuses s’appliquent à toutes les élections nationales, locales et européennes organisées sur le territoire de la République de Bulgarie.
23 Cette juridiction s’interroge, notamment, sur l’applicabilité du RGPD dans le contexte de l’organisation d’élections dans un État membre et, dans le cas de l’applicabilité de celui-ci dans ce contexte, sur l’incidence des dispositions du RGPD sur la possibilité des autorités compétentes en matière de protection des données à caractère personnel de limiter, ou le cas échéant d’interdire, le traitement de telles données dans le cadre du processus électoral.
24 Dans ces conditions, le Varhoven administrativen sad (Cour administrative suprême) a décidé de surseoir à statuer et de poser à la Cour les questions préjudicielles suivantes :
« 1) L’article 2, paragraphe 2, sous a), du [RGPD] doit-il être interprété en ce sens qu’il s’oppose à l’application dudit règlement dans une situation en apparence purement interne, telle que la tenue d’élections au parlement national, alors que la protection vise les données à caractère personnel de citoyens de l’Union européenne et que le traitement desdites données ne se limite pas à leur collecte dans le cadre des seules activités réalisées dans la situation en cause ?
2) En cas de réponse affirmative à la première question : la clôture des élections au parlement national (apparemment hors du champ d’application du droit de l’Union) libère-t-elle les responsables du traitement, les sous-traitants et les personnes stockant des données à caractère personnel des obligations qui leur incombent en vertu du règlement, seul instrument de droit de l’Union assurant la protection des données à caractère personnel des citoyens de l’Union ? L’applicabilité dudit
règlement dépend-elle seulement des activités dans le cadre desquelles les données à caractère personnel sont créées et collectées, ce qui fait qu’ensuite il ne trouve plus à s’appliquer ?
3) En cas de réponse négative à la première question, l’article 6, sous e), du [RGPD] et le principe de proportionnalité, consacré aux considérants 4 et 129 de ce règlement, s’opposent-ils à une réglementation nationale d’application dudit règlement, telle que celle en cause au principal, qui interdit et limite d’emblée toute possibilité de filmer le dépouillement du scrutin dans les locaux électoraux, et interdit de réglementer de manière distincte les différents éléments figurant dans
l’enregistrement vidéo et empêche dès lors d’atteindre les objectifs du règlement, notamment assurer la protection des données à caractère personnel par d’autres moyens ?
4) Subsidiairement et dans le contexte du champ d’application du droit de l’Union, lors des élections municipales et des élections au Parlement européen, l’article 6, sous e), du [RGPD] et le principe de proportionnalité consacré aux considérants 4 et 129 de ce règlement s’opposent-ils à une réglementation nationale d’application dudit règlement, telle que celle en cause au principal, qui interdit et limite d’emblée toute possibilité de filmer le dépouillement du scrutin dans les locaux
électoraux, et omet, voire interdit, de réglementer de manière distincte les différents éléments figurant dans l’enregistrement vidéo et empêche dès lors d’atteindre les objectifs du règlement, notamment assurer la protection des données à caractère personnel par d’autres moyens ?
5) L’article 6, paragraphe 1, sous e), du [RGPD] s’oppose-t-il à ce que les actes visant à établir le déroulement et le dépouillement légal des résultats des élections soient qualifiés de tâches d’intérêt public, justifiant une certaine ingérence, subordonnée à l’exigence de proportionnalité, dans les données à caractère personnel des personnes présentes dans les locaux électoraux, lorsque lesdites personnes remplissent une fonction officielle, publique et réglementée ?
6) En cas de réponse [affirmative] à la question précédente, la protection des données à caractère personnel s’oppose-t-elle à une réglementation nationale qui interdit de collecter et de traiter des données à caractère personnel et limite la possibilité d’effectuer des enregistrements vidéo accessoires d’équipements ou d’objets et de matériel ne contenant pas de données à caractère personnel, lorsqu’il existe potentiellement une possibilité de collecte des données à caractère personnel par
enregistrement vidéo des personnes présentes dans les locaux et qui y exercent une activité d’intérêt général ? »
Sur la recevabilité de la demande de décision préjudicielle
25 Le 14 septembre 2021, la Cour a adressé une demande de renseignements à la juridiction de renvoi l’invitant à préciser l’éventuelle incidence de la modification de l’article 272 du code électoral, intervenue postérieurement à l’introduction de la demande de décision préjudicielle, sur la pertinence des questions posées en vue de la résolution du litige au principal.
26 Dans sa réponse du 29 octobre 2021, la juridiction de renvoi a indiqué que, selon le droit procédural national, elle doit apprécier la légalité des instructions litigieuses en tenant compte non pas de la date à laquelle ladite modification législative est intervenue, mais de la date à laquelle les instructions litigieuses ont été adoptées. Dès lors, la pertinence du renvoi préjudiciel ne serait pas remise en cause par cette modification législative intervenue postérieurement à l’adoption des
instructions litigieuses.
27 À cet égard, il convient de rappeler que, selon la jurisprudence constante de la Cour, les questions relatives à l’interprétation du droit de l’Union posées par le juge national dans le cadre réglementaire et factuel qu’il définit sous sa responsabilité, et dont il n’appartient pas à la Cour de vérifier l’exactitude, bénéficient d’une présomption de pertinence. Il n’est possible pour la Cour de refuser de statuer sur une question préjudicielle posée par une juridiction nationale, au sens de
l’article 267 TFUE, que lorsque, notamment, les exigences concernant le contenu de la demande de décision préjudicielle figurant à l’article 94 du règlement de procédure de la Cour ne sont pas respectées ou lorsqu’il apparaît de manière manifeste que l’interprétation ou l’appréciation de la validité d’une règle de l’Union, demandées par la juridiction nationale, n’ont aucun rapport avec la réalité ou l’objet du litige au principal ou lorsque le problème est de nature hypothétique (arrêt du 25 mars
2021, Obala i lučice, C‑307/19, EU:C:2021:236, point 48 et jurisprudence citée).
28 En l’occurrence, il ressort sans équivoque des explications fournies par la juridiction de renvoi qu’elle estime que la réponse aux questions posées est nécessaire aux fins de statuer sur le litige dont elle est saisie.
29 Il s’ensuit que la demande de décision préjudicielle est recevable.
Sur les questions préjudicielles
Sur les première et deuxième questions
30 Par ses première et deuxième questions, qu’il convient d’examiner ensemble, la juridiction de renvoi demande, en substance, si l’article 2, paragraphe 2, sous a), du RGPD doit être interprété en ce sens qu’est exclu du champ d’application de ce règlement le traitement des données à caractère personnel dans le contexte de l’organisation d’élections dans un État membre.
31 Premièrement, il convient de relever que, conformément à l’article 2, paragraphe 1, du RGPD, ce règlement s’applique au traitement de données à caractère personnel, automatisé en tout ou en partie, ainsi qu’au traitement non automatisé de données à caractère personnel contenues ou appelées à figurer dans un fichier. Selon l’article 4, point 2, de ce règlement, relève de la définition de « traitement », entre autres, toute opération effectuée ou non à l’aide de procédés automatisés et
appliquée à des données ou à des ensembles de données à caractère personnel, tels, notamment, la collecte, l’enregistrement, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition.
32 Il en découle que constitue un traitement de données à caractère personnel qui relève, en principe, du champ d’application matériel du RGPD l’enregistrement vidéo des personnes physiques (voir, en ce sens, arrêt du 11 décembre 2014, Ryneš, C‑212/13, EU:C:2014:2428, point 35).
33 Deuxièmement, il y a lieu de souligner que les exceptions au champ d’application matériel dudit règlement sont fixées de manière exhaustive à l’article 2, paragraphes 2 et 3, de celui-ci.
34 En l’occurrence, la juridiction de renvoi s’interroge sur le point de savoir si le traitement de données à caractère personnel au moyen de l’enregistrement vidéo lors de l’organisation d’élections tant européennes que nationales relève de l’exception prévue à l’article 2, paragraphe 2, sous a), du RGPD, selon laquelle ce règlement ne s’applique pas au traitement de données à caractère personnel effectué « dans le cadre d’une activité qui ne relève pas du champ d’application du droit de
l’Union ».
35 Il importe de souligner que cette exception à l’applicabilité du RGPD doit, à l’instar des autres exceptions prévues à l’article 2, paragraphe 2, de celui-ci, recevoir une interprétation stricte [voir, en ce sens, arrêt du 22 juin 2021, Latvijas Republikas Saeima (Points de pénalité), C‑439/19, EU:C:2021:504, point 62 et jurisprudence citée].
36 Ainsi que la Cour l’a jugé, il importe de lire l’article 2, paragraphe 2, sous a), du RGPD conjointement avec son article 2, paragraphe 2, sous b), et son considérant 16, lequel précise que ledit règlement ne s’applique pas aux traitements de données à caractère personnel dans le contexte des « activités qui ne relèvent pas du champ d’application du droit de l’Union, telles que les activités relatives à la sécurité nationale » et les « activités ayant trait à la politique étrangère et de
sécurité commune de l’Union » [voir, en ce sens, arrêt du 22 juin 2021, Latvijas Republikas Saeima (Points de pénalité), C‑439/19, EU:C:2021:504, point 63].
37 Il en résulte que l’article 2, paragraphe 2, sous a) et b), du RGPD s’inscrit partiellement dans la continuité de l’article 3, paragraphe 2, premier tiret, de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (JO 1995, L 281, p. 31). Il s’ensuit que l’article 2, paragraphe 2, sous a) et b), du RGPD ne saurait être
interprété comme disposant d’une portée plus large que l’exception découlant de l’article 3, paragraphe 2, premier tiret, de la directive 95/46, lequel excluait déjà du champ d’application de cette directive, notamment, le traitement de données à caractère personnel ayant lieu dans le cadre « d’activités qui ne relèvent pas du champ d’application du droit communautaire, telles que celles prévues aux titres V et VI du traité [UE, dans sa version antérieure au traité de Lisbonne], et, en tout état de
cause, [les] traitements ayant pour objet la sécurité publique, la défense, la sûreté de l’État [...] » [arrêt du 22 juin 2021, Latvijas Republikas Saeima (Points de pénalité), C‑439/19, EU:C:2021:504, point 64].
38 Or, seuls les traitements de données à caractère personnel mis en œuvre dans le cadre d’une activité propre aux États ou aux autorités étatiques et expressément mentionnée audit article 3, paragraphe 2, ou dans le cadre d’une activité pouvant être rangée dans la même catégorie étaient exclus du champ d’application de ladite directive [arrêt du 22 juin 2021, Latvijas Republikas Saeima (Points de pénalité), C‑439/19, EU:C:2021:504, point 65 et jurisprudence citée].
39 Dès lors, l’article 2, paragraphe 2, sous a), du RGPD, lu à la lumière du considérant 16 de ce règlement, a pour seul objet d’exclure du champ d’application dudit règlement les traitements de données à caractère personnel effectués par les autorités étatiques dans le cadre d’une activité qui vise à préserver la sécurité nationale ou d’une activité pouvant être rangée dans la même catégorie, de telle sorte que le seul fait qu’une activité soit propre à l’État ou à une autorité publique ne
suffit pas pour que cette exception soit automatiquement applicable à une telle activité [arrêt du 22 juin 2021, Latvijas Republikas Saeima (Points de pénalité), C‑439/19, EU:C:2021:504, point 66 et jurisprudence citée].
40 Les activités qui ont pour but de préserver la sécurité nationale visées à l’article 2, paragraphe 2, sous a), du RGPD couvrent, en particulier, celles ayant pour objet de protéger les fonctions essentielles de l’État et les intérêts fondamentaux de la société [voir, en ce sens, arrêt du 22 juin 2021, Latvijas Republikas Saeima (Points de pénalité), C‑439/19, EU:C:2021:504, point 67].
41 Or, les activités relatives à l’organisation d’élections dans un État membre ne poursuivent pas un tel objectif et ne sauraient, en conséquence, être rangées dans la catégorie des activités ayant pour but la préservation de la sécurité nationale, visées à l’article 2, paragraphe 2, sous a), du RGPD.
42 Eu égard aux considérations qui précèdent, il convient de répondre aux première et deuxième questions que l’article 2, paragraphe 2, sous a), du RGPD doit être interprété en ce sens que n’est pas exclu du champ d’application de ce règlement le traitement des données à caractère personnel dans le contexte de l’organisation d’élections dans un État membre.
Sur les troisième à sixième questions
43 À titre liminaire, il y a lieu de rappeler que, selon une jurisprudence constante, dans le cadre de la procédure de coopération entre les juridictions nationales et la Cour instituée à l’article 267 TFUE, il appartient à celle-ci de donner au juge national une réponse utile qui lui permette de trancher le litige dont il est saisi. Dans cette optique, il incombe, le cas échéant, à la Cour de reformuler les questions qui lui sont soumises [voir, en ce sens, arrêt du 7 juillet 2022,
Pensionsversicherungsanstalt (Périodes d’éducation d’enfants à l’étranger), C‑576/20, EU:C:2022:525, point 35 et jurisprudence citée].
44 À ces fins, la Cour peut extraire de l’ensemble des éléments fournis par la juridiction de renvoi, et notamment de la motivation de la décision de renvoi, les éléments dudit droit qui appellent une interprétation compte tenu de l’objet du litige au principal (voir, en ce sens, arrêt du 2 juin 2022, HK/Danmark et HK/Privat, C‑587/20, EU:C:2022:419, point 18 ainsi que jurisprudence citée).
45 En l’occurrence, il ressort de la décision de renvoi que le litige au principal porte essentiellement sur le point de savoir si les autorités compétentes en matière de protection des données à caractère personnel peuvent limiter ou interdire le traitement de telles données s’agissant de la possibilité de filmer le processus électoral, et notamment le dépouillement du scrutin.
46 Dès lors, il convient de comprendre que, par ses troisième à sixième questions, qu’il y a lieu d’examiner ensemble, la juridiction de renvoi demande, en substance, si l’article 6, paragraphe 1, sous e), et l’article 58 du RGPD doivent être interprétés en ce sens qu’ils s’opposent à ce que les autorités compétentes d’un État membre adoptent un acte administratif d’application générale qui prévoit la limitation ou, le cas échéant, l’interdiction de l’enregistrement vidéo du dépouillement du
scrutin dans les bureaux de vote lors d’élections dans cet État membre.
47 En premier lieu, il convient de relever que l’article 6 du RGPD fixe les conditions de la licéité du traitement des données à caractère personnel.
48 S’agissant plus particulièrement de l’article 6, paragraphe 1, sous e), du RGPD, visé spécifiquement par la demande de décision préjudicielle, il ressort de cette disposition que le traitement de données à caractère personnel est licite s’il est nécessaire aux fins de l’exécution d’une mission d’intérêt public ou d’une mission relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement.
49 Or, il importe de lire le point e) du paragraphe 1 de l’article 6 du RGPD conjointement avec l’article 6, paragraphe 3, de ce règlement qui précise que le fondement du traitement visé à ce point e) est défini par le droit de l’Union ou par le droit de l’État membre auquel le responsable du traitement est soumis.
50 Les dispositions combinées de l’article 6, paragraphe 1, sous e), du RGPD et de l’article 6, paragraphe 3, de ce règlement permettent donc aux États membres d’adopter des règles sur le fondement desquelles les responsables du traitement peuvent traiter des données à caractère personnel dans le cadre de l’exécution d’une mission d’intérêt public ou d’une mission relevant de l’exercice de l’autorité publique.
51 En l’occurrence, la juridiction de renvoi semble considérer, dans le cadre de sa cinquième question, que certains des acteurs présents dans les locaux électoraux lors du dépouillement du scrutin pourraient exécuter une mission d’intérêt public, au sens de l’article 6, paragraphe 1, sous e), du RGPD.
52 À cet égard, il y a lieu de souligner que le traitement licite de données à caractère personnel par de tels acteurs sur le fondement de l’article 6, paragraphe 1, sous e), du RGPD présuppose non seulement que ceux-ci puissent être considérés comme exécutant une mission d’intérêt publique, mais aussi que les traitements de données à caractère personnel aux fins de l’exécution d’une telle mission reposent sur une base légale visée à l’article 6, paragraphe 3, de ce règlement.
53 Ainsi que l’a relevé à juste titre la Commission dans ses observations écrites, les instructions litigieuses, adoptées par les autorités de contrôle bulgares compétentes, ne semblent pas constituer une telle base légale. Celles-ci semblent, au contraire, constituer une mesure visant la protection des données à caractère personnel des personnes présentes dans les locaux électoraux en limitant, s’agissant des représentants des médias, et en interdisant, en ce qui concerne les autres acteurs
présents dans les locaux électoraux, le traitement de telles données au moyen de l’enregistrement vidéo au cours d’une phase spécifique du processus électoral, à savoir au cours du dépouillement du scrutin.
54 Il importe de rappeler, en deuxième lieu, que les pouvoirs des autorités de contrôle sont fixés à l’article 58 du RGPD.
55 Il ressort de l’article 58, paragraphe 2, sous f), du RGPD, lu à la lumière du considérant 129 de ce règlement, que les autorités de contrôle disposent, notamment, du pouvoir d’imposer une limitation temporaire ou définitive au traitement de données à caractère personnel, y compris une interdiction, et que ce pouvoir doit être exercé en respectant le principe de proportionnalité. De même, conformément à l’article 58, paragraphe 3, sous b), du RGPD, chaque autorité de contrôle dispose du
pouvoir d’émettre, de sa propre initiative ou sur demande, des avis, conformément au droit de l’État membre concerné, à l’attention d’autres institutions et organismes que le parlement national ou le gouvernement de cet État membre ainsi qu’à l’attention du public, sur toute question relative à la protection des données à caractère personnel. Enfin, conformément à l’article 58, paragraphe 4, de ce règlement, l’exercice de ces pouvoirs est subordonné à des garanties appropriées, y compris au droit à
un recours juridictionnel effectif.
56 Or, l’exposé du droit bulgare et des instructions litigieuses, tel qu’il ressort du dossier dont dispose la Cour, ne permet pas d’établir, sous réserve des vérifications auxquelles il incombe à la juridiction de renvoi de procéder, que les autorités bulgares compétentes ont excédé les pouvoirs dont elles disposent sur le fondement de l’article 58, paragraphe 2, sous f), et paragraphe 3, sous b), du RGPD, et notamment que les instructions litigieuses ne respectent pas le principe de
proportionnalité.
57 À cet égard, la juridiction de renvoi relève que les instructions litigieuses limitent, s’agissant des représentants des médias, et interdisent, en ce qui concerne les autres acteurs présents dans les locaux électoraux, le traitement des données à caractère personnel au moyen de l’enregistrement vidéo au cours d’une phase spécifique du processus électoral, à savoir au cours de la procédure d’ouverture des urnes et d’établissement des résultats des élections. En revanche, ces instructions ne
semblent pas limiter la possibilité des acteurs présents dans les locaux électoraux, lors du dépouillement du scrutin, d’observer l’ouverture des urnes et l’établissement des résultats des élections, ce qui permet de garantir la transparence, l’objectivité et la légitimité du processus électoral, l’égalité de traitement entre les acteurs du processus ainsi que la liberté d’expression et le droit à l’information, conformément à l’objectif desdites instructions.
58 Ainsi, il convient de considérer que les instructions litigieuses sont destinées, conformément au principe de minimisation des données visé à l’article 5, paragraphe 1, sous c), du RGDP, à minimiser l’entrave au droit à la protection des données à caractère personnel occasionnée par l’enregistrement vidéo du processus électoral.
59 En troisième et dernier lieu, il importe encore de rappeler, à toutes fins utiles, que les États membres peuvent prévoir des exemptions et des dérogations à certaines dispositions du RGPD afin de concilier le droit à la protection des données à caractère personnel et la liberté d’expression et d’information.
60 En vertu de l’article 85, paragraphe 1, du RGPD, les États membres concilient, par la loi, le droit à la protection des données à caractère personnel au titre de ce règlement et le droit à la liberté d’expression et d’information, y compris le traitement des données à caractère personnel à des fins journalistiques. Conformément à l’article 85, paragraphe 2, dudit règlement, les États membres prévoient des exemptions ou des dérogations à certains chapitres du RGPD, dont le chapitre II, dans
lequel figure l’article 6 de celui-ci. Ces exemptions ou dérogations doivent être limitées à ce qui est nécessaire en vue de concilier le droit à la protection des données à caractère personnel et la liberté d’expression et d’information.
61 Eu égard aux considérations qui précédent, il convient de répondre aux troisième à sixième questions que l’article 6, paragraphe 1, sous e), et l’article 58 du RGPD doivent être interprétés en ce sens que ces dispositions ne s’opposent pas à ce que les autorités compétentes d’un État membre adoptent un acte administratif d’application générale qui prévoit la limitation ou, le cas échéant, l’interdiction de l’enregistrement vidéo du dépouillement du scrutin dans les bureaux de vote lors
d’élections dans cet État membre.
Sur les dépens
62 La procédure revêtant, à l’égard des parties au principal, le caractère d’un incident soulevé devant la juridiction de renvoi, il appartient à celle-ci de statuer sur les dépens. Les frais exposés pour soumettre des observations à la Cour, autres que ceux desdites parties, ne peuvent faire l’objet d’un remboursement.
Par ces motifs, la Cour (huitième chambre) dit pour droit :
1) L’article 2, paragraphe 2, sous a), du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données),
doit être interprété en ce sens que :
n’est pas exclu du champ d’application de ce règlement le traitement des données à caractère personnel dans le contexte de l’organisation d’élections dans un État membre.
2) L’article 6, paragraphe 1, sous e), et l’article 58 du règlement 2016/679,
doivent être interprétés en ce sens que :
ces dispositions ne s’opposent pas à ce que les autorités compétentes d’un État membre adoptent un acte administratif d’application générale qui prévoit la limitation ou, le cas échéant, l’interdiction de l’enregistrement vidéo du dépouillement du scrutin dans les bureaux de vote lors d’élections dans cet État membre.
Signatures
--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
* Langue de procédure : le bulgare.
