62022CC0033
CONCLUZIILE AVOCATULUI GENERAL
DOMNUL MACIEJ SZPUNAR
prezentate la 11 mai 2023 (
1
)
Cauza C‑33/22
Österreichische Datenschutzbehörde
cu participarea
WK,
Präsident des Nationalrates
[cerere de decizie preliminară formulată de Verwaltungsgerichtshof (Curtea Administrativă, Austria)]
„Trimitere preliminară – Protecția datelor cu caracter personal – Articolul 16 alineatul (2) TFUE – Activități care intră în domeniul de aplicare al dreptului Uniunii – Regulamentul general privind protecția datelor cu caracter personal – Activități referitoare la securitatea națională – Comisie de anchetă a parlamentului unui stat membru – Control al activității unei autorități polițienești – Competențe ale autorității de supraveghere a protecției datelor – Articolul 55 alineatul (1) – Articolul 77 alineatul (1) – Efect direct”
Introducere
1.
Lucrările unei comisii de anchetă a parlamentului unui stat membru se încadrează în domeniul de aplicare al Regulamentului (UE) 2016/679 (
2
), inclusiv atunci când ancheta privește aspecte referitoare la securitatea națională? În caz afirmativ, pot fi aplicate în mod direct dispozițiile din RGPD referitoare la dreptul de a depune o plângere la o autoritate națională de supraveghere, în pofida unui principiu constituțional care se opune ingerinței externe în activitatea parlamentului? Acestea sunt în esență întrebările ridicate în prezenta cauză de Verwaltungsgerichtshof (Curtea Administrativă, Austria).
2.
În conformitate cu jurisprudența Curții, propunem să se răspundă în mod afirmativ la aceste întrebări. În opinia noastră, o astfel de soluție ar corespunde nu numai intențiilor legiuitorului Uniunii – care a instituit RGPD ca veritabilă lex generalis în materie de protecție a datelor cu caracter personal –, ci și motivelor care stau la baza dispozițiilor articolului 16 TFUE, al cărui domeniu de aplicare se extinde la activitățile de supraveghere ale statelor membre, precum cele în discuție în cauza principală.
3.
În prezenta cauză, un agent al poliției judiciare, WK (denumit în continuare „persoana în cauză”), a fost audiat de o comisie de anchetă a Parlamentului austriac cu privire la perchezițiile efectuate, printre altele, la sediile Bundesamt für Verfassungsschutz und Terrorismusbekämpfung (Oficiul Federal pentru Protecția Constituției și Combaterea Terorismului, Austria, denumit în continuare „BVT”). Procesul‑verbal al audierii a fost publicat ulterior pe site‑ul internet al Parlamentului austriac, cu indicarea numelui și a prenumelui persoanei în cauză, pentru motivul că presa dezvăluise deja identitatea acesteia.
4.
Considerând că dreptul său la confidențialitatea datelor cu caracter personal nu a fost respectat, persoana în cauză a sesizat Österreichische Datenschutzbehörde (autoritatea națională pentru protecția datelor, Austria, denumită în continuare „Datenschutzbehörde”), cu o plângere în temeiul articolului 77 alineatul (1) din RGPD, care nu a fost însă examinată pe fond. Având în vedere principiul separației puterilor consacrat în dreptul austriac, Datenschutzbehörde și‑a declinat competența, considerând că competențele sale de supraveghere se loveau în această cauză de independența constituțională a organelor parlamentului.
5.
În aceste împrejurări, persoana în cauză a introdus acțiunea a cărei soluționare depinde de răspunsurile la întrebările preliminare adresate Curții. Aceste întrebări privesc în esență domeniul material de aplicare și efectul direct al dispozițiilor relevante din RGPD, care au următorul conținut.
Cadrul juridic
Dreptul Uniunii
6.
Considerentele (16), (20) și (117) ale RGPD precizează:
„(16)
Prezentul regulament nu se aplică chestiunilor de protecție a drepturilor și libertăților fundamentale sau la libera circulație a datelor cu caracter personal referitoare la activități care nu intră în domeniul de aplicare al dreptului Uniunii, de exemplu activitățile privind securitatea națională. Prezentul regulament nu se aplică prelucrării datelor cu caracter personal de către statele membre atunci când acestea desfășoară activități legate de politica externă și de securitatea comună a Uniunii.
[…]
(20)
Deși prezentul regulament se aplică, inter alia, activităților instanțelor și ale altor autorități judiciare, dreptul Uniunii sau al statelor membre ar putea să precizeze operațiunile și procedurile de prelucrare în ceea ce privește prelucrarea datelor cu caracter personal de către instanțe și alte autorități judiciare. Prelucrarea datelor cu caracter personal nu ar trebui să fie de competența autorităților de supraveghere în cazul în care instanțele își exercită atribuțiile judiciare, în scopul garantării independenței sistemului judiciar în îndeplinirea sarcinilor sale judiciare, inclusiv în luarea deciziilor. […]
[…]
(117)
Instituirea în statele membre a unor autorități de supraveghere, împuternicite să își îndeplinească sarcinile și să își exercite competențele în deplină independență, este un element esențial al protecției persoanelor fizice în ceea ce privește prelucrarea datelor lor cu caracter personal. Statele membre ar trebui să poată institui mai multe autorități de supraveghere, pentru a reflecta structura lor constituțională, organizatorică și administrativă.”
7.
Articolul 2 din RGPD, intitulat „Domeniul de aplicare material”, prevede:
„(1)   Prezentul regulament se aplică prelucrării datelor cu caracter personal, efectuată total sau parțial prin mijloace automatizate, precum și prelucrării prin alte mijloace decât cele automatizate a datelor cu caracter personal care fac parte dintr‑un sistem de evidență a datelor sau care sunt destinate să facă parte dintr‑un sistem de evidență a datelor.
(2)   Prezentul regulament nu se aplică prelucrării datelor cu caracter personal:
(a)
în cadrul unei activități care nu intră sub incidența dreptului Uniunii;
(b)
de către statele membre atunci când desfășoară activități care intră sub incidența capitolului 2 al titlului V din Tratatul UE;
(c)
de către o persoană fizică în cadrul unei activități exclusiv personale sau domestice;
(d)
de către autoritățile competente în scopul prevenirii, investigării, depistării sau urmăririi penale a infracțiunilor, sau al executării sancțiunilor penale, inclusiv al protejării împotriva amenințărilor la adresa siguranței publice și al prevenirii acestora.
[…]”
8.
Articolul 23 alineatul (1) din RGPD, intitulat „Restricții”, prevede:
„Dreptul Uniunii sau dreptul intern care se aplică operatorului de date sau persoanei împuternicite de operator poate restricționa printr‑o măsură legislativă domeniul de aplicare al obligațiilor și al drepturilor prevăzute la articolele 12-22 și 34, precum și la articolul 5 în măsura în care dispozițiile acestuia corespund drepturilor și obligațiilor prevăzute la articolele 12-22, atunci când o astfel de restricție respectă esența drepturilor și libertăților fundamentale și constituie o măsură necesară și proporțională într‑o societate democratică, pentru a asigura:
a)
securitatea națională;
[…]
h)
funcția de monitorizare, inspectare sau reglementare legată, chiar și ocazional, de exercitarea autorității oficiale în cazurile menționate la literele (a)-(e) și (g);
[…]”
9.
Articolul 51 alineatul (1) din RGPD, intitulat „Autoritatea de supraveghere”, are următorul conținut:
„Fiecare stat membru se asigură că una sau mai multe autorități publice independente sunt responsabile de monitorizarea aplicării prezentului regulament, în vederea protejării drepturilor și libertăților fundamentale ale persoanelor fizice în ceea ce privește prelucrarea și în vederea facilitării liberei circulații a datelor cu caracter personal în cadrul Uniunii («autoritatea de supraveghere»)”.
10.
Articolul 55 din RGPD, intitulat „Competența”, este redactat după cum urmează:
„(1)   Fiecare autoritate de supraveghere are competența să îndeplinească sarcinile și să exercite competențele care îi sunt conferite în conformitate cu prezentul regulament pe teritoriul statului membru de care aparține.
[…]
(3)   Autoritățile de supraveghere nu sunt competente să supravegheze operațiunile de prelucrare ale instanțelor care acționează în exercițiul funcției lor judiciare.”
11.
Articolul 77 alineatul (1) din RGPD, intitulat „Dreptul de a depune o plângere la o autoritate de supraveghere”, prevede:
„Fără a aduce atingere oricăror alte căi de atac administrative sau judiciare, orice persoană vizată are dreptul de a depune o plângere la o autoritate de supraveghere, […] în cazul în care consideră că prelucrarea datelor cu caracter personal care o vizează încalcă prezentul regulament.”
Dreptul austriac
12.
Articolul 53 din Bundes‑Verfassungsgesetz (Legea constituțională federală) din 2 ianuarie 1930 (BGBl. 1/1930), în versiunea din 30 decembrie 2021 (BGBl. I 235/2021), prevede:
„(1) Nationalrat poate decide constituirea unor comisii de anchetă. În plus, o comisie de anchetă se înființează la cererea unui sfert din membrii săi.
(2) Ancheta vizează o activitate anterioară într‑un domeniu care intră sub incidența puterii executive la nivel federal. Aceasta include toate activitățile organelor federale prin intermediul cărora guvernul federal, indiferent de gradul său de implicare, exercită competențe de participare și supraveghere. Este exclusă o revizuire a jurisprudenței.
(3) Toate organismele guvernului federal, ale landurilor, ale municipalităților și ale grupurilor de municipalități, precum și alte organisme autonome trebuie să prezinte, la cerere, dosarele și documentele lor unei comisii de anchetă, în măsura în care acestea fac obiectul anchetei, și sunt obligate să se conformeze solicitărilor unei comisii de anchetă de a colecta elemente de probă care au legătură cu obiectul anchetei. […]
[…]”
13.
Potrivit articolului 18 alineatul (1) din Datenschutzgesetz (Legea privind protecția datelor cu caracter personal) din 17 august 1999 (BGBl. I 165/1999), în versiunea din 26 iulie 2021 (BGBl. I 148/2021, denumită în continuare „DSG”), intitulat „Organizare”:
„Datenschutzbehörde este instituită în calitate de autoritate națională de supraveghere în conformitate cu articolul 51 din [RGPD].”
14.
Articolul 24 din DSG, intitulat „Plângeri depuse la Datenschutzbehörde”, are următorul conținut:
„(1) Orice persoană vizată are dreptul de a depune o plângere la Datenschutzbehörde în cazul în care consideră că prelucrarea datelor cu caracter personal care o privesc constituie o încălcare a RGPD […]”
15.
Articolul 35 din DSG, intitulat „Competențe specifice ale autorității de supraveghere a protecției datelor”, prevede la alineatul (1):
„Datenschutzbehörde este responsabilă pentru asigurarea protecției datelor în conformitate cu prevederile RGPD și ale prezentei legi federale.”
Situația de fapt aflată la originea litigiului, procedura principală și întrebările preliminare
Istoricul litigiului
16.
La 20 aprilie 2018, camera inferioară a Parlamentului austriac a creat o comisie de anchetă însărcinată cu examinarea influențelor care ar fi fost exercitate asupra BVT în scopul instrumentalizării activităților sale. Afirmațiile făcute de deputații care au solicitat ancheta se refereau, în special, la cazuri de abuz de autoritate din partea agenților BVT, la zvonuri privind un dispozitiv pentru interceptarea convorbirilor telefonice instalat în birourile Cancelariei Federale, la presupusa instrumentalizare a investigațiilor care vizează anumite mișcări extremiste, precum și la numiri motivate politic efectuate în cadrul BVT și în cabinetele ministeriale.
17.
La 19 septembrie 2018, persoana în cauză a fost audiată de comisia de anchetă în calitate de martor. Agent al unei brigăzi a poliției federale însărcinate cu lupta împotriva delincvenței pe domeniul public, acesta a fost interogat cu privire la perchezițiile și la interceptările de date efectuate de unitatea sa în cadrul birourilor BVT și la domiciliile angajaților acestuia.
18.
În pofida practicii adoptate cu privire la o serie de alți martori și fără a ține seama de cererea de asigurare a anonimatului formulată de persoana în cauză, comisia de anchetă a dezvăluit identitatea acesteia prin publicarea versiunii integrale a procesului‑verbal al audierii pe site‑ul internet al Parlamentului austriac.
Procedura în cauza principală
19.
Plângerea depusă de persoana în cauză la Datenschutzbehörde în temeiul articolului 77 alineatul (1) din RGPD a fost respinsă pentru lipsă de competență. În decizia sa din 18 septembrie 2019, autoritatea respectivă a susținut că principiul separației puterilor se opune imixtiunii sale în lucrările unui organ al parlamentului.
20.
Acțiunea formulată de persoana în cauză împotriva deciziei din 18 septembrie 2019 a fost admisă de Bundesverwaltungsgericht (Tribunalul Administrativ Federal, Austria), prin Hotărârea din 23 noiembrie 2020. Această instanță a anulat decizia Datenschutzbehörde pentru motivul că dispozițiile RGPD nu prevedeau excepții susceptibile să limiteze domeniul de aplicare al acestuia în ceea ce privește organele puterii legislative.
21.
Datenschutzbehörde a formulat recurs împotriva acestei hotărâri la Verwaltungsgerichtshof (Curtea Administrativă), care își pune întrebarea dacă dispozițiile RGPD se pot aplica în cauza principală.
Întrebările preliminare
22.
În primul rând – și indiferent de obiectul anchetei din cauza principală –, instanța de trimitere se întreabă dacă activitățile unei comisii parlamentare de anchetă „fac parte din domeniul de aplicare al dreptului Uniunii” în sensul articolului 16 alineatul (2) TFUE. Această dispoziție stabilește competența Parlamentului European și a Consiliului de a adopta normele privind prelucrarea datelor cu caracter personal efectuată de statele membre.
23.
În această privință, în măsura în care competențele Uniunii rămân limitate de principiul atribuirii, instanța de trimitere se întreabă dacă RGPD are vocația de a se aplica activităților unui organ parlamentar învestit cu o misiune de control politic, care nu îi par a fi reglementate de nicio dispoziție specifică de drept al Uniunii.
24.
Preocupată de păstrarea identității naționale și a funcțiilor esențiale ale statelor membre, în conformitate cu articolul 4 alineatul (2) TUE, instanța de trimitere subliniază, în plus, că ingerința unui organ administrativ, precum Datenschutzbehörde, în lucrările parlamentului ar contraveni principiului separației puterilor consacrat de Constituția austriacă.
25.
În lumina Hotărârii Land Hessen (
3
), în care Curtea a confirmat că dispozițiile din RGPD se aplică lucrărilor Comisiei pentru petiții a Parlamentului landului Hessen, instanța de trimitere se întreabă, în sfârșit, dacă sarcinile care revin acestei din urmă comisii, a cărei contribuție la lucrările parlamentului nu este decât indirectă, nu ar trebui să fie diferențiate de cele cu care sunt învestite comisiile de anchetă. În opinia sa, acestea din urmă se află în centrul activității parlamentului și ar putea, prin urmare, să nu se încadreze în domeniul de aplicare al dreptului Uniunii.
26.
În al doilea rând, în ipoteza în care Curtea ar statua că dispozițiile din RGPD au vocația de a reglementa activitățile comisiilor de anchetă, instanța de trimitere se întreabă totuși dacă comisia în discuție în cauza principală nu ar trebui să fie exclusă din domeniul de aplicare al acestui regulament, în măsura în care obiectul lucrărilor sale are legătură cu provocările de securitate națională.
27.
Cu privire la acest aspect, instanța de trimitere amintește că, potrivit considerentului (16) al RGPD, „activitățile privind securitatea națională” nu intră în domeniul de aplicare al acestui regulament. În opinia sa, acesta ar putea fi cazul anchetei privind presiunile politice exercitate asupra BVT, organism federal responsabil cu menținerea funcțiilor esențiale ale statului.
28.
În al treilea rând, în eventualitatea în care Curtea ar concluziona că dispozițiile din RGPD sunt totuși aplicabile în prezenta cauză, instanța de trimitere pune sub semnul întrebării aplicarea directă a acestui regulament.
29.
Într‑adevăr, în absența unei derogări corespunzătoare de rang constituțional, competența Datenschutzbehörde rămâne limitată de principiul separației puterilor care prevalează în dreptul austriac. În consecință, instanța de trimitere se întreabă dacă competența acestei autorități în raport cu organele Parlamentului austriac ar putea decurge direct din dispozițiile coroborate ale articolului 77 alineatul (1) și articolului 55 alineatul (1) din RGPD, în condițiile în care legiuitorul național a instituit o singură autoritate de supraveghere în temeiul articolului 51 alineatul (1) din regulamentul menționat.
30.
În acest context, Verwaltungsgerichtshof (Curtea Administrativă, Austria) a decis să suspende judecarea cauzei și să adreseze Curții următoarele întrebări preliminare:
„1)
Lucrările unei comisii de anchetă instituite de un parlament al unui stat membru în exercitarea dreptului său de control asupra executivului, indiferent de obiectul anchetei, intră în domeniul de aplicare al dreptului Uniunii în sensul articolului 16 alineatul (2) prima teză TFUE, astfel încât [RGPD] este aplicabil prelucrării datelor cu caracter personal efectuate de o comisie parlamentară de anchetă a unui stat membru?
În cazul unui răspuns afirmativ la prima întrebare:
2)
Lucrările unei comisii de anchetă instituite de un parlament al unui stat membru în exercitarea dreptului său de control asupra executivului care au ca obiect de anchetă activitățile unei autorități polițienești de protecție a statului, așadar, activități privind protecția securității naționale în sensul considerentului (16) al [RGPD], intră sub incidența excepției prevăzute la articolul 2 alineatul (2) litera (a) din RGPD?
În cazul unui răspuns negativ la cea de a doua întrebare:
3)
În măsura în care, precum în speță, un stat membru a instituit o singură autoritate de supraveghere în temeiul articolului 51 alineatul (1) din RGPD, competența acesteia de soluționare a plângerilor în sensul articolului 77 alineatul (1) din RGPD coroborat cu articolul 55 alineatul (1) din RGPD rezultă deja în mod direct din [acest regulament]?”
31.
Au depus observații scrise persoana în cauză, Präsident des Nationalrates (președintele Adunării Naționale, Austria), Datenschutzbehörde, guvernele austriac și ceh, precum și Comisia Europeană. Aceleași părți au fost reprezentate în ședința desfășurată la 6 martie 2023.
Evaluare
Cu privire la prima întrebare preliminară
32.
Prin intermediul primei întrebări, instanța de trimitere solicită să se stabilească dacă lucrările unei comisii de anchetă instituite de parlamentul unui stat membru în cadrul exercitării dreptului său de control asupra puterii executive face parte din domeniul de aplicare al dreptului Uniunii în sensul articolului 16 alineatul (2) prima teză TFUE.
33.
Răspunsul la această întrebare depinde, pe de o parte, de interpretarea care trebuie dată noțiunii de „activități[…] care fac parte din domeniul de aplicare al dreptului Uniunii”, menționată la articolul 16 alineatul (2) prima teză TFUE. Această noțiune, formulată în sens negativ, este cuprinsă și la articolul 2 alineatul (2) litera (a) din RGPD, care exclude de la aplicarea acestui regulament „activități[le] care nu intră sub incidența dreptului Uniunii”. Aceste două dispoziții delimitează competența organismelor Uniunii de a adopta normele privind protecția datelor cu caracter personal și, respectiv, domeniul material de aplicare al RGPD.
34.
Pe de altă parte, răspunsul la prima întrebare preliminară depinde de modul în care trebuie calificate activitățile comisiilor parlamentare de anchetă din perspectiva dispozițiilor din TFUE și RGPD menționate mai sus.
Cu privire la noțiunea de „activități care fac parte din domeniul de aplicare al dreptului Uniunii”
35.
Astfel cum ne‑am străduit să arătăm într‑o altă cauză (
4
), această noțiune nu este lipsită de ambiguitate, în măsura în care se pretează la două interpretări diferite. Având în vedere controversele pe care interpretarea sa le suscită în prezenta cauză, în pofida unei jurisprudențe bine stabilite a Curții (
5
), considerăm că este necesar să prezentăm în mod exhaustiv motivele care au guvernat dezvoltările jurisprudențiale în materie.
– Interpretarea concretizantă
36.
Prima dintre interpretările posibile ale „domeniului de aplicare al dreptului Uniunii” poate fi descrisă ca fiind concretizantă, în sensul că ea conduce la întrebarea dacă o anumită activitate este încadrată de o dispoziție specifică a dreptului Uniunii.
37.
În esență, această interpretare corespunde noțiunii de „punere în aplicare a dreptului Uniunii”, care delimitează domeniul de aplicare al Cartei drepturilor fundamentale a Uniunii Europene (denumită în continuare „carta”). Într‑un alt context decât cel al protecției datelor cu caracter personal, această noțiune este asimilată în jurisprudența Curții cu „domeniul de aplicare al dreptului Uniunii” (
6
).
38.
Aceasta este interpretarea pe care se bazează instanța de trimitere în cererea sa de decizie preliminară, atunci când subliniază că activitățile comisiilor parlamentare de anchetă rămân reglementate exclusiv de dreptul național, ceea ce o determină să manifeste îndoieli cu privire la vocația RGPD de a se aplica în cauza principală.
39.
Pe această interpretare s‑a bazat, de asemenea, avocatul general Tizzano în Concluziile sale prezentate în cauzele conexate Österreichischer Rundfunk și alții (
7
), precum și în cauza Lindqvist (
8
), sub imperiul Directivei 95/46/CE (
9
), care nu au fost urmate de Curte.
40.
Trebuie amintit faptul că Directiva 95/46 a fost adoptată în temeiul fostului articol 100a din Tratatul CE, devenit articolul 95 CE, iar ulterior articolul 114 TFUE, în cadrul măsurilor care aveau ca obiect instituirea și funcționarea pieței interne. Urmărind să asigure libera circulație și un nivel echivalent de protecție a datelor cu caracter personal în cadrul Uniunii, directiva menționată nu se aplica, în conformitate cu articolul 3 alineatul (2) din aceasta, activităților „din afara domeniului de aplicare al dreptului comunitar, cum ar fi cele prevăzute în titlurile V și VI din Tratatul privind Uniunea Europeană și, în orice caz, prelucrărilor care au ca obiect siguranța publică, apărarea, securitatea statului […] și activitățile statului în domeniul dreptului penal”, precum și prelucrării datelor efectuate „de către o persoană fizică în cursul unei activități exclusiv personale sau domestice”.
41.
În lumina acestor dispoziții, avocatul general Tizzano a concluzionat că Directiva 95/46 nu poate fi aplicată în cauzele conexate Österreichischer Rundfunk și alții (
10
). În raport cu prelucrarea datelor referitoare la remunerațiile plătite de organismele publice, care urmau să fie incluse într‑un raport trimis Parlamentului de către Curtea de Conturi austriacă, acesta a considerat că, în speță, Curtea de Conturi desfășura o „activitate publică de control, prevăzută și reglementată de autoritățile austriece (chiar și prin intermediul unei legi constituționale) pe baza unei alegeri autonome de natură politică și instituțională făcute de acestea, și nu pentru a îndeplini o obligație comunitară. Întrucât nu face obiectul niciunei reglementări comunitare specifice, această activitate nu poate ține decât de competența statelor membre” (
11
).
42.
Urmând aceeași interpretare în cauza Lindqvist, avocatul general Tizzano a considerat că pagina de internet creată de doamna Lindqvist în cadrul activității sale voluntare de catehet se încadra în categoria unei „activități de natură neeconomică care nu prezintă nicio legătură (sau, cel puțin, nicio legătură directă) cu exercitarea libertăților fundamentale garantate de tratat și nu face obiectul unei reglementări specifice pe plan comunitar” (
12
). Potrivit avocatului general, această activitate nu se încadra, prin urmare, în domeniul de aplicare al dreptului comunitar în sensul articolului 3 alineatul (2) din Directiva 95/46.
43.
Aceste concluzii nu au fost urmate de Curte, pentru motive care pot fi legate de dorința de a păstra securitatea juridică și necesitatea de a asigura efectul util al Directivei 95/46.
44.
Într‑adevăr, având în vedere specificitatea datelor cu caracter personal, a căror circulație și valorificare economică sunt facilitate de digitalizarea lor, este foarte dificil de stabilit în practică, de la caz la caz, dacă prelucrarea acestora prezintă o legătură cu dispoziții specifice ale dreptului Uniunii sau cu libertățile care guvernează piața internă, astfel cum ar impune interpretarea concretizantă.
45.
Pentru a relua exemplul cauzei în care a fost pronunțată Hotărârea Lindqvist (
13
), ar fi dificil de stabilit în practică dacă funcționarea unei pagini de internet destinate unui cerc limitat de enoriași prezintă o legătură concretă cu dispozițiile Directivei 95/46 privind libera circulație a datelor între statele membre în cadrul pieței comune. Răspunsul la această întrebare ar putea depinde, printre altele, de localizarea fizică a serverelor care găzduiesc site‑ul internet în cauză (
14
).
46.
Am adăuga că ar exista riscul să apară dificultăți de natură similară în cazul în care interpretarea concretizantă ar trebui să prevaleze în prezenta cauză în contextul RGPD.
47.
Cu titlu ilustrativ, ar fi dificil de stabilit cu precizie în ce măsură activitățile anumitor operatori – precum bisericile sau asociațiile religioase, care sunt vizate în mod explicit de acest regulament (
15
) – rămân supuse în mod efectiv unor dispoziții specifice ale dreptului Uniunii (
16
). Aceeași întrebare s‑ar putea pune și în cazul organismelor fără scop lucrativ care nu desfășoară activități economice. Aceasta ar conduce la incertitudine juridică în ceea ce privește domeniul de aplicare al RGPD.
48.
Având în vedere astfel de dificultăți, Curtea a respins interpretarea concretizantă a „domeniului de aplicare al dreptului comunitar” în temeiul Directivei 95/46. În Hotărârea Österreichischer Rundfunk și alții (
17
) și în Hotărârea Lindqvist (
18
), aceasta a statuat că, „[î]ntrucât orice date cu caracter personal pot circula între statele membre, Directiva 95/46 impune, în principiu, respectarea normelor privind protecția unor astfel de date în ceea ce privește orice prelucrare a acestora din urmă, astfel cum este definită la articolul 3 din directivă. […] În aceste condiții, aplicabilitatea Directivei 95/46 nu poate depinde de faptul dacă situațiile specifice în cauză […] au o legătură suficientă cu exercitarea libertăților fundamentale garantate de tratat […] Într‑adevăr, o interpretare contrară ar risca să facă limitele domeniului de aplicare al directivei menționate deosebit de nesigure și aleatorii, ceea ce ar fi contrar obiectivului esențial al acesteia, care este acela de a apropia actele cu putere de lege și actele administrative ale statelor membre în scopul eliminării obstacolelor în calea funcționării pieței interne care rezultă tocmai din disparitățile dintre legislațiile naționale” (
19
).
49.
Astfel, în jurisprudența Curții, a prevalat interpretarea „generalizantă” a Directivei 95/46.
– Interpretarea generalizantă
50.
Această interpretare conduce la includerea în domeniul de aplicare al dreptului Uniunii a tuturor activităților care sunt susceptibile să intre sub incidența sa, în sensul că nu au fost excluse din cadrul acesta ca urmare a competențelor exclusive ale statelor membre.
51.
În temeiul Directivei 95/46, această interpretare a determinat Curtea să interpreteze în mod restrictiv excepția referitoare la activitățile care nu se încadrează în domeniul de aplicare al dreptului comunitar. În Hotărârea Lindqvist, Curtea a statuat astfel că „activitățile menționate cu titlu de exemplu la articolul 3 alineatul (2) prima liniuță din Directiva 95/46 sunt menite să definească domeniul de aplicare al excepției prevăzute de dispoziția menționată, astfel încât această excepție să se aplice numai activităților care sunt menționate în mod expres în dispoziția respectivă sau care pot fi încadrate în aceeași categorie (eiusdem generis)” (
20
).
52.
Înainte de intrarea în vigoare a Tratatului de la Lisabona, activitățile care fac obiectul acestei excepții – referitoare la siguranța publică, apărare, securitatea statului, domeniul penal, precum și cele menționate în titlurile V și VI din Tratatul privind Uniunea Europeană – erau acoperite de cel de al doilea și cel de al treilea pilon al Uniunii și, ca atare, intrau sub incidența cooperării interguvernamentale. Prin urmare, aceste activități nu puteau face obiectul unei reglementări comunitare, având în vedere repartizarea competențelor între Uniune și statele membre prevăzută de tratate la momentul respectiv.
53.
În acest context trebuie interpretată excluderea „activităților din afara domeniului de aplicare al dreptului comunitar” de la articolul 3 alineatul (2) prima liniuță din Directiva 95/46. Or, domeniul de aplicare al RGPD a fost definit în termeni similari.
54.
În conformitate cu articolul 2 alineatul (2) literele (a)-(d), RGPD nu se aplică prelucrării datelor cu caracter personal efectuate „(a) în cadrul unei activități care nu intră sub incidența dreptului Uniunii; (b) de către statele membre atunci când desfășoară activități care intră sub incidența capitolului 2 al titlului V din Tratatul UE; (c) de către o persoană fizică în cadrul unei activități exclusiv personale sau domestice; (d) de către autoritățile competente în scopul prevenirii, investigării, depistării sau urmăririi penale a infracțiunilor sau al executării sancțiunilor penale, inclusiv al protejării împotriva amenințărilor la adresa siguranței publice și al prevenirii acestora”. Acest din urmă tip de prelucrare a făcut obiectul dispozițiilor Directivei (UE) 2016/680 (
21
).
55.
În lumina considerentului (16) al RGPD, activitățile care nu intră în domeniul de aplicare al dreptului Uniunii sunt, printre altele, cele legate de securitatea națională.
56.
Bazându‑se pe toate aceste dispoziții, Curtea a statuat, în Hotărârea Land Hessen, că excepția prevăzută la articolul 2 alineatul (2) litera (a) din RGPD, care acoperă „activități[le] care nu intră sub incidența dreptului Uniunii”, trebuie interpretată în mod strict, astfel încât „faptul că o activitate este proprie statului sau unei autorități publice nu este suficient pentru ca această excepție să fie automat aplicabilă unei asemenea activități. Astfel, este necesar ca această activitate să figureze printre cele care sunt menționate în mod expres de dispoziția respectivă sau să poată fi încadrată în aceeași categorie cu acestea” (
22
).
57.
Considerăm că niciunul dintre argumentele invocate în prezenta cauză nu este de natură să repună în discuție această interpretare.
58.
În special, nu subscriem la argumentele bazate pe principiul atribuirii, care au fost invocate, în special, de instanța de trimitere și de Präsident des Nationalrates (președintele Adunării Naționale).
59.
În conformitate cu principiul atribuirii prevăzut la articolul 5 alineatul (2) TUE (
23
), Uniunea dispune numai de competențele care i‑au fost atribuite de statele membre prin tratate.
60.
Pe un plan pur lexical, noțiunea de „activități care intră sub incidența dreptului Uniunii” prezintă în această privință o ambiguitate. La prima vedere, interpretarea generalizantă a acestei noțiuni reținută în jurisprudența Curții ar putea părea îndoielnică, în măsura în care conduce la a supune dispozițiilor RGPD toate activitățile care nu au fost excluse din domeniul de aplicare al acestui regulament, ceea ce pare a fi contrar principiului amintit mai sus.
61.
Cu toate acestea, potrivit unei jurisprudențe constante a Curții, la interpretarea unei dispoziții a dreptului Uniunii trebuie să se țină seama nu numai de termenii acesteia și de obiectivele pe care le urmărește, ci și de contextul său, precum și de ansamblul dispozițiilor dreptului Uniunii. Geneza unei dispoziții a dreptului Uniunii poate de asemenea să ofere elemente importante pentru interpretarea acesteia (
24
).
62.
Or, lăsând la o parte interpretarea literală, pe care o considerăm mai puțin concludentă din perspectiva conținutului ambiguu al „domeniului de aplicare al dreptului Uniunii”, analiza contextuală (
25
) și teleologică pledează în mod clar în favoarea interpretării generalizante a articolului 16 alineatul (2) TFUE, astfel încât domeniul de aplicare al acestei dispoziții îl depășește pe cel al „pun[erii] în aplicare [a] dreptul[ui] Uniunii” în sensul articolului 51 alineatul (1) din cartă.
63.
În primul rând, această concluzie se impune din perspectiva naturii sistematice a TFUE și a locului special pe care îl ocupă articolul 16 alineatul (2) în arhitectura acestui tratat.
64.
Articolul în cauză se regăsește în titlul II din partea întâi a Tratatului FUE, care conține „dispoziții[le] de aplicare generală”. Rezultă că dreptul persoanelor fizice la protecția datelor cu caracter personal, consacrat de această dispoziție, are o importanță specială în raport cu celelalte drepturi fundamentale care și‑au găsit locul în carta anexată la tratat.
65.
Mai concret, poziția privilegiată a articolului 16 TFUE în economia tratatului sugerează că „domeniul de aplicare” vizat în această dispoziție nu se limitează numai la situațiile în care statele membre „pun în aplicare dreptul Uniunii” în sensul articolului 51 alineatul (1) din cartă, ceea ce ar corespunde interpretării concretizante menționate mai sus.
66.
Cu privire la acest aspect, dorim să subliniem o diferență de natură care există între dispozițiile articolului 16 alineatul (2) TFUE și dispozițiile cartei.
67.
În conformitate cu articolul 51 alineatul (2), carta „nu creează nici o competență sau sarcină nouă pentru Uniune și nu modifică competențele și sarcinile stabilite de tratate”. Dispozițiile sale se adresează statelor membre în măsura în care acestea pun în aplicare dreptul Uniunii în domenii care sunt deja cuprinse în domeniul de aplicare al acestui drept.
68.
Acest lucru nu este valabil în cazul articolului 16 alineatul (2) TFUE, ale cărui dispoziții constituie și deleagă Uniunii o competență legislativă în materie de protecție și liberă circulație a datelor cu caracter personal și definesc în acest scop un domeniu de aplicare specific, bazat pe dispozițiile Directivei 95/46, după cum atestă geneza acestei dispoziții.
69.
În al doilea rând, într‑adevăr, rezultă în mod clar din lucrările pregătitoare ale Tratatului de la Lisabona că autorii Tratatului FUE au intenționat să reafirme domeniul de aplicare al normelor privind protecția datelor cu caracter personal, astfel cum a fost definit sub imperiul Directivei 95/46.
70.
În această privință, trebuie reamintit că conținutul articolului 16 TFUE este direct inspirat din proiectul de Tratat de instituire a unei Constituții pentru Europa, al cărui articol 36a alineatul (2) [devenit articolul 50 alineatul (2) în versiunea finală a proiectului din 18 iulie 2003 (
26
)] prevedea competența Parlamentului și a Consiliului de a adopta „normele privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal de către instituțiile și organele Uniunii, precum și de către statele membre în desfășurarea unor activități care intră în domeniul de aplicare al dreptului Uniunii, precum și normele privind libera circulație a acestor date” (
27
).
71.
Or, în conformitate cu explicațiile oferite de autorii săi, „proiectul de articol 36a vizează crearea unui temei juridic unic pentru protecția datelor cu caracter personal, atât pentru protecția acestor date de către instituții, cât și de statele membre, atunci când acestea acționează într‑un domeniu care intră sub incidența dreptului Uniunii. Textul se bazează pe actualul regim comunitar care rezultă din [Directiva 95/46] (bazată pe articolul 95 TCE), în ceea ce privește acțiunea statelor membre” (
28
).
72.
Rezultă în mod clar că, în cazul în care noțiunea „sub incidența dreptului Uniunii” de la articolul 2 alineatul (2) litera (a) din RGPD ar trebui interpretată astfel încât să restrângă aplicarea acestui regulament în raport cu cea a Directivei 95/46, acest lucru ar fi contrar voinței statelor membre exprimate în Tratatul FUE.
73.
În al treilea rând, trebuie luate în considerare considerațiile teleologice, legate de dinamica și obiectivele specifice ale protecției datelor cu caracter personal în care se înscrie adoptarea RGPD.
74.
Din această perspectivă, nu există nicio îndoială că legiuitorul Uniunii a urmărit să întărească această protecție și să consolideze domeniul de aplicare al normelor aferente acesteia. O demonstrează înlocuirea deliberată a Directivei 95/46 cu un cadru de reglementare mai constrângător și, în mod explicit, conținutul considerentelor (9), (11) și (13) ale RGPD.
75.
Obiectivele vizate de această măsură derivă din specificitatea fenomenului de prelucrare a datelor cu caracter personal, care depășește cadrul activităților cu ocazia cărora pot fi colectate aceste date.
76.
În plus, aceste activități nu sunt în mod necesar activități economice, care ar fi deja supuse unor norme ale dreptului Uniunii care reglementează piața internă, ceea ce nu diminuează cu nimic valoarea de piață a datelor colectate și nu elimină riscurile asociate prelucrării acestora.
77.
Problematica datelor cu caracter personal prezintă, în această privință, un caracter transversal, astfel încât normele privind protecția acestora nu pot fi limitate la domeniul de aplicare al categoriilor preexistente ale dreptului Uniunii.
78.
Cu alte cuvinte, în cazul în care „domeniul de aplicare al dreptului Uniunii” menționat la articolul 16 alineatul (2) TFUE depășește ipotezele de „pun[ere] în aplicare [a] dreptul[ui] Uniunii”, în sensul articolului 51 alineatul (1) din cartă, acest lucru se datorează naturii autonome a problematicilor legate de prelucrarea datelor cu caracter personal, care au necesitat o intervenție legislativă specifică al cărei domeniu de aplicare depășește suma dispozițiilor preexistente ale dreptului Uniunii. Din acest punct de vedere, domeniul de aplicare extins al RGPD reflectă voința de a răspunde provocărilor legate de protecția datelor cu caracter personal prin adoptarea unui sistem croit „pe măsură”.
79.
Având în vedere convergența concluziilor care decurg din analiza contextuală și teleologică a articolului 16 alineatul (2) TFUE, propunem Curții să confirme jurisprudența sa anterioară (
29
) prin adoptarea unei interpretări stricte a excepției referitoare la „activități[le] care nu intră sub incidența dreptului Uniunii” cuprinsă la articolul 2 alineatul (2) litera (a) din RGPD.
80.
În lumina acestei interpretări, propunem Curții să aprecieze aptitudinea acestui regulament de a se aplica lucrărilor comisiei parlamentare de anchetă în cauză în acțiunea principală.
Cu privire la aplicarea RGPD la lucrările comisiei parlamentare de anchetă
81.
Considerăm că se impune o observație preliminară cu privire la modul în care dispozițiile relevante din RGPD definesc domeniul de aplicare al acestui regulament.
– Importanța secundară a criteriilor instituționale pentru definirea domeniului de aplicare al RGPD
82.
Trebuie subliniat că considerațiile organice sau instituționale referitoare la natura organelor sau a persoanelor responsabile cu prelucrarea datelor cu caracter personal au o importanță secundară în definirea domeniului de aplicare al RGPD.
83.
Pe de o parte, într‑adevăr, domeniul de aplicare al RGPD se bazează pe noțiunea materială de „prelucrare” a datelor cu caracter personal, în conformitate cu articolul 2 alineatul (1) din acest regulament. Noțiunea organică de „operator” cuprinsă la articolul 4 punctul 7 din RGPD nu are, din acest punct de vedere, decât un caracter accesoriu, în sensul că se bazează în esență pe noțiunea materială de prelucrare. Într‑adevăr, chiar dacă definiția operatorului menționează „persoana fizică sau juridică, autoritatea publică, agenția sau alt organism”, această mențiune echivalează cu neutralizarea criteriilor organice în scopul aplicării sale.
84.
Pe de altă parte, chiar dacă dispozițiile care limitează domeniul material de aplicare al RGPD, cuprinse la articolul 2 alineatul (2) din acest regulament, fac referire la anumite categorii de persoane sau organe, și anume statele membre, persoanele fizice și autoritățile competente în materie penală, acest lucru se face întotdeauna în contextul activităților care sunt excluse din domeniul de aplicare al regulamentului respectiv. Prin urmare, nu persoanele ca atare sunt excluse din domeniul de aplicare al RGPD, ci numai anumite activități ale acestora.
85.
Importanța secundară a criteriilor instituționale este confirmată de asemenea de modul în care sunt definite derogările parțiale, care limitează domeniul de aplicare al dispozițiilor specifice ale RGPD. Cu titlu de exemplu (
30
), dacă instanțele nu intră în competența autorităților naționale de supraveghere, în conformitate cu articolul 55 alineatul (3) din RGPD, acest lucru se întâmplă numai în măsura în care acestea își exercită funcțiile judiciare. Prin urmare, domeniul de aplicare al acestei excepții este determinat nu de statutul organelor judiciare, ci de natura specifică a activităților acestora.
86.
În absența oricărei dispoziții a RGPD care să vizeze în mod specific organele parlamentare, rezultă, în opinia noastră, că nu statutul organelor Parlamentului în temeiul dreptului austriac, ci natura activităților acestora este cea care trebuie să determine posibilitatea aplicării acestui regulament.
– Cu privire la natura activităților comisiei de anchetă în cauza principală
87.
În lumina tuturor elementelor aduse la cunoștința Curții, considerăm că sarcinile încredințate acestei comisii pot fi calificate drept activități de control public care implică exercitarea autorității publice.
88.
Această calificare reiese din însăși formularea primei și a celei de a doua întrebări preliminare, care privesc activitățile desfășurate în cadrul controlului puterii executive. Potrivit explicațiilor furnizate de instanța de trimitere, „[o]biectivul comisiilor de anchetă este de a face lumină asupra anumitor chestiuni în scopuri politice […] În această privință, ține de competența comisiilor de anchetă să îndeplinească sarcina de control care le‑a fost conferită constituțional” (
31
).
89.
Calificarea menționată este coroborată de observațiile scrise prezentate Curții (
32
).
90.
În lumina explicațiilor furnizate în ședință de Präsident des Nationalrates (președintele Adunării Naționale), este evident, în plus, că comisia de anchetă în cauză dispune de anumite prerogative de autoritate publică, precum dreptul de a convoca martori sau de a obține acces la documentele referitoare la obiectul lucrărilor sale, care sunt însoțite de competența de a impune sancțiuni financiare, menite să asigure buna desfășurare a anchetei.
91.
În schimb, considerăm că planează o oarecare confuzie în ceea ce privește natura legislativă a activităților acestei comisii și eventualele sale consecințe pentru aplicabilitatea RGPD.
92.
Präsident des Nationalrates (președintele Adunării Naționale) observă în această privință că „comisiile de anchetă fac parte, atât din punct de vedere organizatoric, cât și funcțional, din puterea legislativă. Actele efectuate de comisiile de anchetă sau în numele acestora se încadrează astfel în funcția legislativă a statului” (
33
). În opinia acestui organism, rezultă că „activitatea unei comisii de anchetă se înscrie astfel în miezul domeniului legislativ și, în calitate de activitate (de control) de natură exclusiv parlamentară și politică, se încadrează în excepția prevăzută la articolul 2 alineatul (2) litera (a) din RGPD” (
34
).
93.
Aceste afirmații necesită trei observații din partea noastră.
94.
În primul rând, indiferent de posibila participare a comisiilor de anchetă la lucrările legislative, dorim să subliniem că activitățile legislative sau parlamentare nu au fost excluse din domeniul de aplicare al RGPD (
35
), spre deosebire de activitățile legate de exercitarea funcțiilor judiciare, care intră sub incidența derogării parțiale prevăzute la articolul 55 alineatul (3) din acest regulament.
95.
În această privință, spre deosebire de unele dintre părțile interesate, avem îndoieli că această derogare poate fi interpretată prin analogie, astfel încât să se extindă la funcțiile legislative excepția care vizează funcțiile judiciare. Dimpotrivă, în cazul în care derogarea cuprinsă la articolul 55 alineatul (3) din RGPD ar trebui să inspire raționamentul Curții în prezenta cauză, aceasta nu ar putea genera decât o interpretare a contrario. Având în vedere domeniul de aplicare extins al RGPD, excepția privind funcțiile judiciare nu poate fi interpretată în mod extensiv.
96.
În al doilea rând, în opinia noastră, niciunul dintre elementele aduse la cunoștința Curții nu permite să se susțină că activitatea comisiei de anchetă din acțiunea principală ar avea o funcție legislativă.
97.
În special, comisia de anchetă în cauză nu este abilitată să formuleze inițiative legislative și nu participă în niciun alt mod la lucrările legislative ale Parlamentului austriac. În plus, chiar dacă raportul final de anchetă poate constitui o sursă de inspirație pentru legiuitor, considerăm că această împrejurare nu conferă un caracter legislativ activităților acesteia. Lucrările anumitor organisme extraparlamentare, precum Curtea de Conturi austriacă, ale cărei rapoarte sunt transmise Parlamentului, pot inspira de asemenea legiuitorul, fără a se pune problema de a le asocia în acest sens cu exercițiul puterii legislative.
98.
În al treilea rând și indiferent de eventuala lor semnificație din perspectiva dreptului austriac, considerațiile instituționale sunt lipsite de relevanță pentru aplicabilitatea RGPD, astfel încât apartenența organizațională a comisiei parlamentare de anchetă nu poate fi determinantă pentru răspunsul care trebuie dat la prima întrebare preliminară.
– Cu privire la aplicabilitatea RGPD la activitățile de monitorizare publică
99.
În lumina considerațiilor menționate anterior, se pune întrebarea dacă activitățile de monitorizare publică exercitate de o comisie parlamentară de anchetă se încadrează în domeniul de aplicare al RGPD.
100.
În opinia noastră, răspunsul la această întrebare trebuie să fie unul afirmativ, din trei motive principale.
101.
În primul rând, prelucrarea de date cu caracter personal efectuată de comisia în cauză se încadrează în noțiunea materială de „prelucrare”, astfel cum este definită la articolul 2 alineatul (1) din RGPD. Această calificare nu este contestată de niciuna dintre părțile interesate în prezenta cauză.
102.
În al doilea rând, activitățile de monitorizare publică se încadrează în domeniul de aplicare al dreptului Uniunii în sensul articolului 16 alineatul (2) TFUE și al articolului 2 alineatul (2) litera (a) din RGPD, astfel cum a fost interpretat în jurisprudența Curții, în special în măsura în care nicio dispoziție din acest regulament nu le exclude din domeniul său de aplicare.
103.
Dimpotrivă, activitățile de monitorizare sunt menționate în mod explicit la articolul 23 alineatul (1) litera (h) din RGPD, care prevede posibilitatea de a limita domeniul de aplicare al anumitor drepturi și obligații prevăzute de acest regulament, în cazul în care o astfel de limitare este necesară pentru a garanta exercițiul „funcți[ei] de monitorizare, inspectare sau reglementare legat[e], chiar și ocazional, de exercitarea autorității oficiale” în anumite cazuri prevăzute în această dispoziție.
104.
Rezultă că dispozițiile din RGPD sunt menite să reglementeze activitățile de monitorizare publică, chiar dacă pot fi prevăzute aranjamente specifice în acest scop. Posibila limitare a protecțiilor care decurg din RGPD nu conduce însă la excluderea aplicării acestuia.
105.
În al treilea rând, având în vedere repartizarea generală a competențelor între Uniune și statele membre, nu rezultă în niciun caz că activitățile de monitorizare publică sunt rezervate exclusiv acestora din urmă.
106.
Pentru a lua un exemplu concret de monitorizare parlamentară, anchetele duble în așa‑numita cauză „Dieselgate”, declanșate în mod concomitent de Parlamentul European (
36
) și Bundestag‑ul german (adunarea federală), ilustrează bine suprapunerea de competențe în materie.
107.
Desigur, s‑ar putea susține că domeniul de aplicare al dreptului Uniunii acoperă numai activitățile de monitorizare care au o legătură cu aplicarea dispozițiilor acestui drept.
108.
Cu toate acestea, o astfel de abordare ar echivala cu reintroducerea interpretării concretizante a „domeniului de aplicare al dreptului Uniunii” și ar prezenta, prin urmare, aceleași riscuri de incertitudine juridică. Având în vedere însăși natura anchetei parlamentare, care are ca scop să facă lumină asupra împrejurărilor în cauză, considerăm că este dificil de stabilit în prealabil dacă lucrările unei comisii de anchetă au o legătură concretă cu aplicarea dispozițiilor dreptului Uniunii (
37
).
109.
În acest context, trebuie să se țină seama de obiectivul de securitate juridică urmărit de dispozițiile RGPD, care vizează prevenirea fragmentării modului în care protecția datelor este pusă în aplicare în Uniune (
38
).
110.
Având în vedere acest obiectiv și în conformitate cu soluția reținută de Curte în Hotărârea Österreichischer Rundfunk și alții (
39
), pronunțată sub imperiul Directivei 95/46, domeniul de aplicare al RGPD ar trebui interpretat astfel încât să includă activitățile de monitorizare publică, indiferent de legătura pe care o prezintă acestea cu aplicarea unor dispoziții specifice ale dreptului Uniunii.
111.
Având în vedere cele menționate anterior, propunem să se răspundă la prima întrebare preliminară în sensul că lucrările unei comisii de anchetă instituite de parlamentul unui stat membru în exercitarea dreptului său de control asupra puterii executive intră în domeniul de aplicare al dreptului Uniunii în sensul articolului 16 alineatul (2) prima teză TFUE.
Cu privire la cea de a doua întrebare preliminară
112.
Prin intermediul celei de a doua întrebări, instanța de trimitere solicită să se stabilească dacă activitățile comisiei de anchetă din litigiul principal se încadrează în excepția prevăzută la articolul 2 alineatul (2) litera (a) din RGPD, interpretat în lumina considerentului (16) al acestui regulament, având în vedere obiectul specific al lucrărilor acesteia, care este legat de provocările de securitate națională.
113.
Nu considerăm că acesta este cazul, din mai multe motive.
114.
În primul rând, având în vedere domeniul de aplicare extins al RGPD, excepția care acoperă activitățile referitoare la securitatea națională ar trebui să fie de strictă interpretare. Deducem de aici că numai activitățile care au ca obiect imediat securitatea națională intră sub incidența acestei excepții.
115.
În mod evident, nu acesta este cazul activităților comisiei de anchetă din litigiul principal, care a fost învestită cu o sarcină de control al organelor guvernului federal.
116.
Desigur, în măsura în care controlul în cauză privește funcționarea BVT, a cărei misiune constă în asigurarea integrității și a continuității instituțiilor statului, activitatea acestei comisii a putut contribui în mod indirect la protejarea securității naționale.
117.
Cu toate acestea, o astfel de contribuție nu modifică natura activităților încredințate unei comisii de anchetă și nu poate conduce la excluderea acestora din domeniul de aplicare al dispozițiilor RGPD. În cazul în care ar prevala soluția contrară, ne‑am putea întreba dacă o agenție de publicitate, angajată de Ministerul Apărării în vederea promovării profesiilor din cadrul armatei, nu ar trebui să fie exclusă în același temei.
118.
În al doilea rând, dacă aplicarea RGPD ar trebui să depindă de obiectul unei anchete parlamentare, acest lucru ar fi contrar obiectivului de securitate juridică urmărit de legiuitorul Uniunii.
119.
Având în vedere natura sa schimbătoare, obiectul unei anchete parlamentare nu constituie o bază suficient de coerentă pentru a determina domeniul de aplicare al RGPD. Factori conjuncturali, precum implicarea personală a unui ministru al apărării într‑un caz de corupție, care ar putea fi dezvăluită (sau infirmată) în cursul anchetei, nu pot servi drept repere în acest scop.
120.
În al treilea rând, interpretarea excepției conținute la articolul 2 alineatul (2) litera (a) din RGPD ar trebui să țină seama de ratio legis a acestei dispoziții. Considerăm că aceasta este legată de imposibilitatea de a reconcilia anumite aspecte fundamentale ale dreptului la respectarea datelor cu caracter personal cu secretul inerent anumitor activități legate de securitatea națională.
121.
Cu titlu ilustrativ, ne este dificil să vedem cum ar putea serviciile de informații interne să asigure respectarea dreptului la informare și a dreptului de acces, consacrate la articolele 14 și 15 din RGPD, fără a compromite în același timp activitățile de supraveghere care vizează persoanele suspectate de apartenență la o mișcare teroristă. Într‑o astfel de ipoteză, cerințele care decurg din RGPD par a fi fundamental incompatibile cu imperativele securității naționale.
122.
În schimb, considerăm că activitatea unei comisii parlamentare de anchetă nu întâmpină niciun obstacol insurmontabil de acest tip și nu vedem cum ar putea respectarea obligațiilor care decurg din RGPD să compromită eventuala sa contribuție la protejarea securității naționale.
123.
Desigur, publicitatea care însoțește de obicei lucrările comisiilor de anchetă contribuie la dimensiunea publică a controlului parlamentar. Cu toate acestea, obiectivul de transparență este în opoziție cu ratio legis a articolului 2 alineatul (2) litera (a) din RGPD, care vizează păstrarea secretelor privind securitatea națională.
124.
În al patrulea rând, chiar dacă buna desfășurare a unei anchete parlamentare poate intra în unele cazuri în conflict cu obligațiile care decurg din RGPD – de exemplu, în ipoteza în care comisia obține acces la documente confidențiale care conțin date cu caracter personal – dorim să reamintim că articolul 23 alineatul (1) literele (a) și (h) din RGPD prevede posibilitatea de a limita drepturile și obligațiile consacrate la articolele 5, 12-22 și 34 din acest regulament, în cazul în care această limitare este necesară pentru a asigura o misiune de control din perspectiva cerințelor de securitate națională.
125.
În opinia noastră, rezultă că legătura pe care obiectul unei anchete parlamentare o poate prezenta cu problemele de securitate națională nu ar trebui să conducă la excluderea comisiei de anchetă din domeniul de aplicare al RGPD. Având în vedere contextul instituțional în care se înscrie activitatea unor astfel de comisii, ai căror membri participă la lucrările organelor legislative ale parlamentului, considerăm, în plus, că este relativ ușor să se facă ajustările legislative necesare, care ar permite să se țină seama de obiectul specific al anumitor anchete parlamentare, astfel cum prevăd dispozițiile articolului 23 alineatul (1) din RGPD.
126.
Pentru toate aceste motive, propunem Curții să răspundă la cea de a doua întrebare preliminară în sensul că lucrările unei comisii parlamentare care are ca obiect anchetarea activităților unei autorități polițienești de protecție a statului referitoare la protecția securității naționale, în sensul considerentului (16) al RGPD, nu intră sub incidența derogării prevăzute la articolul 2 alineatul (2) litera (a) din acest regulament.
Cu privire la cea de a treia întrebare preliminară
127.
Prin intermediul celei de a treia întrebări, instanța de trimitere solicită să se stabilească dacă competența unei autorități unice de supraveghere, instituite în temeiul articolului 51 alineatul (1) din RGPD, de a soluționa plângerile menționate la articolul 77 alineatul (1) din acest regulament, poate rezulta în mod direct din această din urmă dispoziție coroborată cu articolul 55 alineatul (1) din RGPD.
128.
Această întrebare, care este adresată în eventualitatea în care RGPD ar fi aplicabil lucrărilor comisiei de anchetă din litigiul principal, se explică prin obstacole de natură constituțională. În opinia Verwaltungsgerichtshof (Curtea Administrativă) și a anumitor părți în cauză, principiul separației puterilor specific dreptului austriac se opune ca un organ administrativ, în speță Datenschutzbehörde, să se amestece în activitățile parlamentului prin examinarea plângerilor referitoare la acestea.
129.
Astfel, cea de a treia întrebare preliminară urmărește să stabilească domeniul de aplicare al efectului direct al dispozițiilor coroborate ale articolului 55 alineatul (1) și articolului 77 alineatul (1) din RGPD, în cazul în care competența autorității unice de supraveghere instituite de un stat membru riscă să fie limitată de un principiu de rang constituțional.
130.
În ceea ce privește un regulament al Uniunii, trebuie reamintit că acesta este în principiu direct aplicabil în toate elementele sale, în conformitate cu articolul 288 al doilea paragraf TFUE, astfel cum confirmă articolul 99 alineatul (2) al doilea paragraf din RGPD (
40
).
131.
În conformitate cu jurisprudența Curții, situația este diferită numai în ipoteza în care o dispoziție normativă necesită adoptarea unor măsuri de aplicare, ținând seama de marja de apreciere lăsată statelor membre în procesul de punere în aplicare a acesteia (
41
).
132.
În această privință, considerăm că dispozițiile coroborate ale articolului 77 alineatul (1) din RGPD, care prevede competența autorităților de supraveghere de a examina plângerile prevăzute de acesta, și ale articolului 55 alineatul (1) din acest regulament au un caracter suficient de clar și necondiționat pentru a fi aplicate în mod direct.
133.
Adăugăm că Curtea a confirmat deja efectul direct al articolului 58 alineatul (5) din RGPD, statuând că o autoritate națională de supraveghere se poate prevala de capacitatea de a sta în justiție care îi este recunoscută de această dispoziție pentru a intenta sau a relua o acțiune în justiție îndreptată împotriva unui particular, chiar și în absența oricărei măsuri legislative de punere în aplicare adoptate în acest sens de statul membru în cauză (
42
).
134.
În plus, în împrejurările din cauza principală, considerăm că nu este necesară nicio măsură suplimentară de punere în aplicare pentru a reglementa modalitățile procedurale ale plângerii prevăzute la articolul 77 din RGPD. Datenschutzbehörde examinează în mod regulat astfel de plângeri, singura problemă care se pune fiind aceea a competenței sale în raport cu organele parlamentului.
135.
Or, această chestiune nu a fost lăsată la libera apreciere a statelor membre.
136.
Desigur, exercitarea efectivă a dreptului de a depune o plângere presupune crearea prealabilă a uneia sau mai multor autorități de supraveghere, în conformitate cu articolul 51 alineatul (1) din RGPD, ceea ce necesită intervenția statelor membre. Totuși, este vorba în acest caz de o problemă legată de efectul direct al acestei din urmă dispoziții, problemă care nu se pune în litigiul principal.
137.
În ceea ce privește numărul autorităților de supraveghere care urmează să fie instituite în temeiul articolului 51 alineatul (1) din RGPD, alegerea instituțională lăsată la latitudinea statelor membre în această privință nu poate conduce la limitarea competențelor autorității unice instituite de legiuitorul austriac. Interpretarea contrară ar lipsi articolul 55 alineatul (1) și articolul 77 alineatul (1) din RGPD de efectul lor direct și ar risca să slăbească efectul util al tuturor celorlalte dispoziții din acest regulament care pot fi afectate de o plângere.
138.
În sfârșit, în ceea ce privește obstacolele de natură constituțională existente în dreptul austriac, acestea nu pot conduce la refuzul aplicării dispozițiilor RGPD. În conformitate cu o jurisprudență constantă a Curții, invocarea unor atingeri aduse principiilor unei structuri constituționale naționale nu poate afecta efectul unui act al Uniunii (
43
).
139.
Ca răspuns la cea de a treia întrebare preliminară, propunem, prin urmare, Curții să statueze că, în ipoteza în care un stat membru nu a instituit decât o singură autoritate de supraveghere în sensul articolului 51 alineatul (1) din RGPD, competența acesteia de a soluționa plângerile prevăzute la articolul 77 alineatul (1) din acest regulament rezultă în mod direct din această din urmă dispoziție coroborată cu articolul 55 alineatul (1) din regulamentul menționat.
Concluzie
140.
Având în vedere toate considerațiile menționate anterior, propunem Curții să răspundă la întrebările adresate de Verwaltungsgerichtshof (Curtea Administrativă, Austria) după cum urmează:
1)
Lucrările unei comisii de anchetă instituite de parlamentul unui stat membru în exercitarea dreptului său de control asupra puterii executive intră în domeniul de aplicare al dreptului Uniunii în sensul articolului 16 alineatul (2) prima teză TFUE, astfel încât Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) se aplică prelucrării datelor cu caracter personal efectuate de o astfel de comisie.
2)
Lucrările unei comisii de anchetă instituite de parlamentul unui stat membru în exercitarea dreptului său de control asupra puterii executive, având ca obiect anchetarea activităților unei autorități polițienești de protecție a statului și, prin urmare, activități referitoare la protecția securității naționale în sensul considerentului (16) al Regulamentului 2016/679, nu intră sub incidența derogării prevăzute la articolul 2 alineatul (2) litera (a) din acest regulament.
3)
În ipoteza în care un stat membru nu a instituit decât o singură autoritate de supraveghere în sensul articolului 51 alineatul (1) din Regulamentul 2016/679, competența acesteia de a soluționa plângerile prevăzute la articolul 77 alineatul (1) din regulamentul menționat rezultă în mod direct din această din urmă dispoziție coroborată cu articolul 55 alineatul (1) din respectivul regulament.
(
1
)	Limba originală: franceza.
(
2
)	Regulamentul Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) (JO 2016, L 119, p. 1, rectificare în JO 2018, L 127, p. 2, denumit în continuare „RGPD”).
(
3
)	Hotărârea din 9 iulie 2020 (C‑272/19, EU:C:2020:535).
(
4
)	A se vedea Concluziile noastre prezentate în cauza Latvijas Republikas Saeima (Puncte de penalizare) (C‑439/19, EU:C:2020:1054, punctul 44 și urm.).
(
5
)	A se vedea Hotărârea din 20 mai 2003, Österreichischer Rundfunk și alții (C‑465/00, C‑138/01 și C‑139/01, EU:C:2003:294), Hotărârea din 6 noiembrie 2003, Lindqvist (C‑101/01, EU:C:2003:596), Hotărârea din 9 iulie 2020, Land Hessen (C‑272/19, EU:C:2020:535), precum și Hotărârea din 22 iunie 2021, Latvijas Republikas Saeima (Puncte de penalizare) (C‑439/19, EU:C:2021:504).
(
6
)	Hotărârea din 26 februarie 2013, Åkerberg Fransson (C‑617/10, EU:C:2013:105, punctul 21), Hotărârea din 21 decembrie 2016, AGET Iraklis (C‑201/15, EU:C:2016:972, punctul 62), Hotărârea din 21 mai 2019, Comisia/Ungaria (Drepturi de uzufruct asupra terenurilor agricole) (C‑235/17, EU:C:2019:432, punctul 63), precum și Hotărârea din 24 septembrie 2020, YS (Pensii ocupaționale ale personalului cadru) (C‑223/19, EU:C:2020:753, punctul 78).
(
7
)	C‑465/00, C‑138/01 și C‑139/01, EU:C:2002:662.
(
8
)	C‑101/01, EU:C:2002:513.
(
9
)	Directiva Parlamentului European și a Consiliului din 24 octombrie 1995 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date (JO 1995, L 281, p. 31, Ediție specială, 13/vol. 17, p. 10). Această directivă a fost înlocuită de RGPD.
(
10
)	C‑465/00, C‑138/01 și C‑139/01, EU:C:2002:662.
(
11
)	Concluziile avocatului general Tizzano prezentate în cauzele conexate Österreichischer Rundfunk și alții (C‑465/00, C‑138/01 și C‑139/01, EU:C:2002:662, punctul 43). Sublinierea noastră.
(
12
)	Concluziile avocatului general Tizzano prezentate în cauza Lindqvist (C‑101/01, EU:C:2002:513, punctul 36).
(
13
)	Hotărârea din 6 noiembrie 2003 (C‑101/01, EU:C:2003:596).
(
14
)	Cu privire la această întrebare, a se vedea Hotărârea din 6 noiembrie 2003, Lindqvist (C‑101/01, EU:C:2003:596, punctul 59).
(
15
)	A se vedea articolul 91 din RGPD.
(
16
)	Pe de o parte, dreptul Uniunii nu are vocația de a reglementa în mod specific activitățile confesionale. Pe de altă parte, astfel de activități nu sunt exceptate însă de la respectarea dreptului Uniunii și a principiilor generale ale acestuia, cum ar fi principiul nediscriminării. Cu privire la această chestiune, a se vedea Concluziile avocatului general Tanchev prezentate în cauza Egenberger (C‑414/16, EU:C:2017:851, punctele 46-51).
(
17
)	Hotărârea din 20 mai 2003 (C‑465/00, C‑138/01 și C‑139/01, EU:C:2003:294).
(
18
)	Hotărârea din 6 noiembrie 2003 (C‑101/01, EU:C:2003:596).
(
19
)	Hotărârea din 20 mai 2003, Österreichischer Rundfunk și alții (C‑465/00, C‑138/01 și C‑139/01, EU:C:2003:294, punctele 40 și 42). A se vedea de asemenea Hotărârea din 6 noiembrie 2003, Lindqvist (C‑101/01, EU:C:2003:596, punctul 40 și urm.).
(
20
)	Hotărârea din 6 noiembrie 2003, Lindqvist (C‑101/01, EU:C:2003:596, punctul 44).
(
21
)	Directiva Parlamentului European și a Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice referitor la prelucrarea datelor cu caracter personal de către autoritățile competente în scopul prevenirii, depistării, investigării sau urmăririi penale a infracțiunilor sau al executării pedepselor și privind libera circulație a acestor date și de abrogare a Deciziei‑cadru 2008/977/JAI a Consiliului (JO 2016, L 119, p. 89).
(
22
)	Hotărârea din 9 iulie 2020, Land Hessen (C‑272/19, EU:C:2020:535, punctul 70). Sublinierea noastră.
(
23
)	Pentru a reaminti, articolul 5 alineatul (2) TUE prevede că, „[î]n temeiul principiului atribuirii, Uniunea acționează numai în limitele competențelor care i‑au fost atribuite de statele membre prin tratate pentru realizarea obiectivelor stabilite prin aceste tratate. Orice competență care nu este atribuită Uniunii prin tratate aparține statelor membre”.
(
24
)	Pentru o exemplificare, a se vedea Hotărârea din 10 decembrie 2018, Wightman și alții (C‑621/18, EU:C:2018:999, punctul 47 și jurisprudența citată).
(
25
)	Înțelegem prin aceasta o interpretare bazată pe considerente sistematice și istorice, în conformitate cu tipologia general admisă a metodelor de interpretare (a se vedea Lenaerts, K., și Gutierrez‑Fons, J. A., Les méthodes d’interprétation de la Cour de justice de l’Union européenne, Bruylant, Bruxelles, 2020, capitolul I).
(
26
)	Proiect de Tratat de instituire a unei Constituții pentru Europa (JO 2003, C 169, p. 1).
(
27
)	Articolul 36a alineatul (2) din proiectul titlului VI din Tratatul constituțional privind viața democratică a Uniunii (nota Praesidium‑ului Convenției Europene la Convenția din 2 aprilie 2003, Bruxelles, CONV 650/03, p. 6). Sublinierea noastră.
(
28
)	Nota Praesidium‑ului Convenției Europene la Convenția din 2 aprilie 2003, Bruxelles, CONV 650/03, p. 3. Sublinierea noastră.
(
29
)	A se vedea jurisprudența menționată în nota de subsol 5 din prezentele concluzii.
(
30
)	A se vedea de asemenea articolul 20 alineatul (3), articolul 49 alineatul (3) și articolul 79 alineatul (2) din RGPD.
(
31
)	Punctul 25 din cererea de decizie preliminară. Sublinierea noastră.
(
32
)	Cu titlu exemplificativ, la punctul 13 din observațiile sale scrise, Präsident des Nationalrates (Președintele Adunării Naționale) explică faptul că Parlamentul austriac „are dreptul de a decide constituirea unor comisii de anchetă pentru a ancheta anumite acte care țin de competența puterii executive la nivel federal. Astfel, Constituția atribuie unei comisii de anchetă o sarcină de control. Obiectivul unei comisii de anchetă este de a clarifica, în scop politic, desfășurarea anumitor evenimente și de a asigura astfel un control parlamentar eficient”.
(
33
)	Punctul 14 din observațiile scrise ale Präsident des Nationalrates (Președintele Adunării Naționale).
(
34
)	Punctul 15 din observațiile scrise ale Präsident des Nationalrates (Președintele Adunării Naționale).
(
35
)	A se vedea Hotărârea din 9 iulie 2020, Land Hessen (C‑272/19, EU:C:2020:535, punctul 72).
(
36
)	A se vedea Decizia (UE) 2016/34 a Parlamentului European din 17 decembrie 2015 privind constituirea, atribuțiile, componența numerică și durata mandatului Comisiei de anchetă privind măsurarea emisiilor în sectorul autovehiculelor (JO 2016, L 10, p. 13).
(
37
)	Din acest punct de vedere, ne punem întrebarea cum ar trebui calificată ancheta Parlamentului austriac în cazul „Ibizagate”, privind nereguli care au afectat atribuirea unor contracte de achiziții publice; ancheta Senatului belgian deschisă în anul 1995, care a avut ca scop „examinarea crimei organizate în Belgia”, sau activitățile desfășurate în prezent de comisia de anchetă a Adunării Naționale franceze, privind „cauzele pierderii suveranității și independenței energetice a Franței”.
(
38
)	A se vedea considerentele (9) și (13) ale RGPD.
(
39
)	Hotărârea din 20 mai 2003 (C‑465/00, C‑138/01 și C‑139/01, EU:C:2003:294, punctele 45-47).
(
40
)	A se vedea de asemenea Hotărârea din 15 martie 2017, Al Chodor (C‑528/15, EU:C:2017:213, punctul 27 și jurisprudența citată).
(
41
)	A se vedea Hotărârea din 11 ianuarie 2001, Monte Arcosu (C‑403/98, EU:C:2001:6, punctul 28), și Hotărârea din 14 aprilie 2011, Vlaamse Dierenartsenvereniging și Janssens (C‑42/10, C‑45/10 și C‑57/10, EU:C:2011:253, punctul 48).
(
42
)	Hotărârea din 15 iunie 2021, Facebook Ireland și alții (C‑645/19, EU:C:2021:483, punctul 113).
(
43
)	Hotărârea din 17 decembrie 1970, Internationale Handelsgesellschaft (11/70, EU:C:1970:114, punctul 3).