62021CJ0306
WYROK TRYBUNAŁU (ósma izba)
z dnia 20 października 2022 r. (
*1
)
Odesłanie prejudycjalne – Ochrona danych osobowych – Rozporządzenie (UE) 2016/679 – Zakres stosowania – Artykuł 2 ust. 2 lit. a) – Pojęcie „działalności nieobjętej zakresem stosowania prawa Unii” – Wybory krajowe i europejskie – Artykuł 6 ust. 1 lit. e) – Zgodność przetwarzania z prawem – Artykuł 58 – Akt przyjęty przez organy nadzorcze ograniczający lub w stosownych przypadkach zakazujący zapisu obrazu liczenia głosów w lokalu wyborczym
W sprawie C‑306/21
mającej za przedmiot wniosek o wydanie, na podstawie art. 267 TFUE, orzeczenia w trybie prejudycjalnym, złożony przez Varhoven administrativen sad (najwyższy sąd administracyjny, Bułgaria) postanowieniem z dnia 23 kwietnia 2021 r., które wpłynęło do Trybunału w dniu 12 maja 2021 r., w postępowaniu:
Komisia za zashtita na lichnite danni,
Tsentralna izbiratelna komisia
przeciwko
Koalitsia „Demokratichna Bulgaria Obedinenie”,
TRYBUNAŁ (ósma izba),
w składzie: N. Piçarra, pełniący obowiązki prezesa izby, N. Jääskinen (sprawozdawca) i M. Gavalec, sędziowie,
rzecznik generalny: M. Campos Sánchez-Bordona,
sekretarz: A. Calot Escobar,
uwzględniając pisemny etap postępowania,
rozważywszy uwagi, które przedstawili:
–
w imieniu Komisia za zashtita na lichnite danni – V. Karadzhov,
–
w imieniu rządu rumuńskiego – L.-E. Baţagoi, E. Gane i A. Wellman, w charakterze pełnomocników,
–
w imieniu Komisji Europejskiej – A. Bouchagiar, C. Georgieva i H. Kranenborg, w charakterze pełnomocników,
podjąwszy, po wysłuchaniu rzecznika generalnego, decyzję o rozstrzygnięciu sprawy bez opinii,
wydaje następujący
Wyrok
1
Wniosek o wydanie orzeczenia w trybie prejudycjalnym dotyczy wykładni art. 2 ust. 2 lit. a) i art. 6 ust. 1 lit. e) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych) (Dz.U. 2016, L 119, s. 1, zwanego dalej „RODO”).
2
Wniosek ten został złożony w ramach sporu między Komisia za zashtita na lichnite danni (komisją ds. ochrony danych osobowych, Bułgaria, zwaną dalej „CPDCP”) i Tsentralna izbiratelna komisia (centralną komisją wyborczą, Bułgaria, zwaną dalej „CEC”) a Koalitsia „Demokratichna Bulgaria– Obedinenie” (zwaną dalej „Koalitsia”) – koalicją bułgarskich partii politycznych w przedmiocie instrukcji dotyczących przetwarzania i ochrony danych osobowych w trakcie procesu wyborczego (zwanych dalej „spornymi instrukcjami”), przyjętych przez CPDCP i CEC.
Ramy prawne
Prawo Unii
3
Motywy 4, 16 i 129 RODO mają następujące brzmienie:
„(4)
Przetwarzanie danych osobowych należy zorganizować w taki sposób, aby służyło ludzkości. Prawo do ochrony danych osobowych nie jest prawem bezwzględnym; należy je postrzegać w kontekście jego funkcji społecznej i wyważyć względem innych praw podstawowych w myśl zasady proporcjonalności. Niniejsze rozporządzenie nie narusza praw podstawowych, wolności i zasad uznanych w [Karcie praw podstawowych Unii Europejskiej] – zapisanych w traktatach – w szczególności prawa do poszanowania życia prywatnego i rodzinnego, domu oraz komunikowania się, ochrony danych osobowych, wolności myśli, sumienia i religii, wolności wypowiedzi i informacji, wolności prowadzenia działalności gospodarczej, prawa do skutecznego środka prawnego i dostępu do bezstronnego sądu oraz różnorodności kulturowej, religijnej i językowej.
[…]
(16)
Niniejsze rozporządzenie nie ma zastosowania do kwestii ochrony podstawowych praw i wolności ani do swobodnego przepływu danych osobowych w związku z działalnością nieobjętą zakresem prawa Unii, taką jak działalność dotycząca bezpieczeństwa narodowego. Niniejsze rozporządzenie nie ma zastosowania do przetwarzania danych osobowych przez państwa członkowskie w związku z działaniami związanymi ze wspólną polityką zagraniczną i bezpieczeństwa Unii [Europejskiej].
[…]
(129)
Aby zapewnić spójne monitorowanie i egzekwowanie niniejszego rozporządzenia w całej Unii, organy nadzorcze powinny mieć w każdym państwie członkowskim te same zadania i faktyczne uprawnienia, w tym uprawnienia do prowadzenia postępowań wyjaśniających, [stosowania środków] naprawcz[ych], [stosowania] kar oraz do udzielania zezwoleń i [wydawania opinii] […] Wśród tych uprawnień powinno być także uprawnienie do wprowadzania czasowego lub definitywnego ograniczenia przetwarzania, w tym zakazania przetwarzania. […] W szczególności każdy środek powinien być odpowiedni, niezbędny i proporcjonalny, aby zapewnić przestrzeganie niniejszego rozporządzenia […]”.
4
Artykuł 2 wspomnianego rozporządzenia, zatytułowany „Zakres podmiotowy”, stanowi:
„1.   Niniejsze rozporządzenie ma zastosowanie do przetwarzania danych osobowych w sposób całkowicie lub częściowo zautomatyzowany oraz do przetwarzania w sposób inny niż zautomatyzowany danych osobowych stanowiących część zbioru danych lub mających stanowić część zbioru danych.
2.   Niniejsze rozporządzenie nie ma zastosowania do przetwarzania danych osobowych:
a)
w ramach działalności nieobjętej zakresem prawa Unii;
b)
przez państwa członkowskie w ramach wykonywania działań wchodzących w zakres tytułu V rozdział 2 [TUE];
[…]”.
5
Artykuł 3 wspomnianego rozporządzenia definiuje jego terytorialny zakres stosowania. Zgodnie z ust. 1 tego przepisu RODO „ma zastosowanie do przetwarzania danych osobowych w związku z działalnością prowadzoną przez jednostkę organizacyjną administratora lub podmiotu przetwarzającego w Unii, niezależnie od tego, czy przetwarzanie odbywa się w Unii”.
6
Zgodnie z art. 4 RODO:
„Na użytek niniejszego rozporządzenia:
[…]
2)
»«przetwarzanie« oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie;
[…]”.
7
Artykuł 5 tego rozporządzenia, zatytułowany „Zasady dotyczące przetwarzania danych osobowych”, stanowi:
„1.   Dane osobowe muszą być:
[…]
c)
adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane (»minimalizacja danych«);
[…]”.
8
Artykuł 6 tego rozporządzenia, zatytułowany „Zgodność przetwarzania z prawem”, stanowi w ust. 1–3:
„1.   Przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest co najmniej jeden z poniższych warunków:
[…]
e)
przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi;
[…]
2.   Państwa członkowskie mogą zachować lub wprowadzić bardziej szczegółowe przepisy, aby dostosować stosowanie przepisów niniejszego rozporządzenia w odniesieniu do przetwarzania służącego wypełnieniu warunków określonych w ust. 1 lit. c) i e); w tym celu mogą dokładniej określić szczegółowe wymogi przetwarzania i inne środki w celu zapewnienia zgodności przetwarzania z prawem i jego rzetelności, także w innych szczególnych sytuacjach związanych z przetwarzaniem przewidzianych w rozdziale IX.
3.   Podstawa przetwarzania, o którym mowa w ust. 1 lit. c) i e), musi być określona:
a)
w prawie Unii; lub
b)
w prawie państwa członkowskiego, któremu podlega administrator.
Cel przetwarzania musi być określony w tej podstawie prawnej lub, w przypadku przetwarzania, o którym mowa w ust. 1 lit. e) – musi być ono niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi. Podstawa prawna może zawierać przepisy szczegółowe [szczególne] dostosowujące stosowanie przepisów niniejszego rozporządzenia, w tym: ogólne warunki zgodności z prawem przetwarzania przez administratora; rodzaj danych podlegających przetwarzaniu; osoby, których dane dotyczą; podmioty, którym można ujawnić dane osobowe; cele, w których można je ujawnić; ograniczenia celu; okresy przechowywania; oraz operacje i procedury przetwarzania, w tym środki zapewniające zgodność z prawem i rzetelność przetwarzania, w tym w innych szczególnych sytuacjach związanych z przetwarzaniem, o których mowa w rozdziale IX. Prawo Unii lub prawo państwa członkowskiego muszą służyć realizacji celu leżącego w interesie publicznym, oraz być proporcjonalne do wyznaczonego, prawnie uzasadnionego celu”.
9
Artykuł 58 tego rozporządzenia, zatytułowany „Uprawnienia”, stanowi w ust. 2–4:
„2.   Każdemu organowi nadzorczemu przysługują wszystkie następujące uprawnienia naprawcze:
[…]
f)
wprowadzanie czasowego lub całkowitego ograniczenia przetwarzania, w tym zakazu przetwarzania;
[…]
3.   Każdemu organowi nadzorczemu przysługują wszystkie następujące uprawnienia w zakresie wydawania zezwoleń i uprawnienia doradcze:
[…]
b)
wydawanie, z własnej inicjatywy lub na wniosek, opinii przeznaczonych dla parlamentu narodowego, rządu państwa członkowskiego lub – zgodnie z prawem państwa członkowskiego – innych instytucji i organów oraz ogółu społeczeństwa we wszelkich sprawach związanych z ochroną danych osobowych;
[…]
4.   Wykonywanie uprawnień powierzonych organowi nadzorczemu na mocy niniejszego artykułu podlega odpowiednim zabezpieczeniom – w tym prawu do skutecznego środka ochrony prawnej przed sądem i rzetelnego procesu, określonym w prawie Unii i prawie państwa członkowskiego zgodnie z [kartą praw podstawowych]”.
10
Zgodnie z art. 85 RODO, zatytułowanym „Przetwarzanie a wolność wypowiedzi i informacji”:
„1.   Państwa członkowskie przyjmują przepisy pozwalające pogodzić prawo do ochrony danych osobowych na mocy niniejszego rozporządzenia z wolnością wypowiedzi i informacji, w tym do przetwarzania dla potrzeb dziennikarskich oraz do celów wypowiedzi akademickiej, artystycznej lub literackiej.
2.   Dla przetwarzania do celów dziennikarskich lub do celów wypowiedzi akademickiej, artystycznej lub literackiej państwa członkowskie określają odstępstwa lub wyjątki od rozdziału II (Zasady), rozdziału III (Prawa osoby, której dane dotyczą), rozdziału IV (Administrator i podmiot przetwarzający), rozdziału V (Przekazywanie danych osobowych do państw trzecich lub organizacji międzynarodowych), rozdziału VI (Niezależne organy nadzorcze), rozdziału VII (Współpraca i spójność) oraz rozdziału IX (Szczególne sytuacje związane z przetwarzaniem danych), jeżeli są one niezbędne, by pogodzić prawo do ochrony danych osobowych z wolnością wypowiedzi i informacji.
3.   Każde państwo członkowskie zawiadamia Komisję [Europejską] o przepisach, które przyjęło zgodnie z ust. 2, a następnie niezwłocznie o wszelkich późniejszych aktach zmieniających lub zmianach ich dotyczących”.
Prawo bułgarskie
11
Artykuł 272 Izboren kodeks (kodeksu wyborczego), w brzmieniu mającym zastosowanie do sporu w postępowaniu głównym, stanowi:
„Przy otwarciu urn wyborczych i ustalaniu wyników głosowania w lokalu wyborczym, w którym odbywały się wybory, mogą przebywać: kandydaci, rzecznicy i przedstawiciele partii, koalicji i komitetów wyborczych […], obserwatorzy […], po jednym zarejestrowanym ankieterze z zarejestrowanej agencji badań socjologicznych i przedstawiciele środków masowego przekazu – przy czym zapewnia się im bezpośrednie obserwowanie liczenia głosów”.
Postępowanie główne i pytania prejudycjalne
12
Sporne instrukcje zostały wydane decyzją CPDCP z dnia 28 stycznia 2021 r. i decyzją CEC z dnia 8 lutego 2021 r.
13
Co się tyczy przetwarzania danych osobowych za pomocą zapisu obrazu (zapisu lub nadawania na żywo) w ramach procesu wyborczego, sporne wytyczne precyzują, że celem takiego przetwarzania jest zagwarantowanie przejrzystości, obiektywizmu, zgodności z prawem procesu wyborczego, równego traktowania uczestników tego procesu, a także wolności wypowiedzi i prawa do informacji.
14
W odniesieniu do sposobu przetwarzania danych osobowych za pomocą zapisu obrazu podczas procesu wyborczego przedmiotowe wytyczne przewidują z jednej strony, że media przetwarzają dane osobowe za pomocą zapisu obrazu jedynie podczas otwarcia lokali wyborczych w dniu wyborów, ich zamknięcia, ogłoszenia wyników głosowania oraz losowania pozycji na kartach do głosowania.
15
Z drugiej strony, w wytycznych tych uściślono, że żaden inny uczestnik procesu wyborczego nie może przetwarzać danych osobowych za pomocą zapisu ze względu na konflikt ról, w jakich występuje w ramach procesu wyborczego.
16
Skargą z dnia 10 lutego 2021 r. Koalitsia zakwestionowała zgodność z prawem tych instrukcji przed Administrativen sad Sofia (sądem administracyjnym w Sofii, Bułgaria) w zakresie, w jakim mają one zastosowanie do przetwarzania danych osobowych za pomocą zapisu obrazu.
17
Wyrokiem z dnia 15 marca 2021 r. sąd ten uchylił:
–
pkt 2 sekcji I, zatytułowanej „Przepisy ogólne”, spornych wytycznych w zakresie, w jakim dotyczył on administratorów, podmiotów przetwarzających oraz osób przetwarzających dane osobowe w ramach procesu wyborczego, zgodnie z wytycznymi administratora, który przewidywał, że „[i]ch prawa i obowiązki dotyczące przetwarzania danych osobowych są ograniczone w zakresie, w jakim ich prawa i obowiązki w ramach procesu wyborczego są uregulowane w sposób wyczerpujący i ograniczający”, że „[p]rzypadki, w których osoby te przetwarzają dane osobowe, są wyraźnie określone w kodeksie wyborczym (prawo do bezpośredniego obserwowania ustalania wyników głosowania, prawo do otrzymania kopii protokołu obwodowej komisji wyborczej itp.)” oraz że „[w] przypadku przetwarzania danych osobowych osoby te nie mogą wykraczać poza prawa i obowiązki przewidziane w kodeksie wyborczym”;
–
punkt 9 sekcji II, zatytułowanej „Wytyczne dla administratorów danych osobowych”, w zakresie, w jakim punkt ten stanowił, że „[ż]aden inny uczestnik procesu wyborczego nie może przetwarzać danych osobowych za pomocą zapisu obrazu lub transmisji obrazu ze względu na konflikt ról, w jakich występuje w ramach procesu wyborczego w celu przetwarzania danych osobowych za pomocą zapisu obrazu w ramach procesu wyborczego” oraz że „[n]iektóre funkcje i role tych uczestników procesu wyborczego są wyraźnie i wyczerpująco określone w kodeksie wyborczym”.
18
Zdaniem Administrativen sad Sofia (sądu administracyjnego w Sofii) na podstawie art. 2 ust. 2 lit. a) RODO akt ten nie ma zastosowania w ramach działalności wykraczającej poza zakres stosowania prawa Unii, takiej jak działalność rozpatrywana w postępowaniu głównym, mianowicie organizacji krajowych wyborów parlamentarnych lub samorządowych w państwie członkowskim. W konsekwencji sporne wytyczne, jako przepisy wykonawcze w stosunku do RODO były pozbawione podstawy prawnej.
19
W dniu 29 marca 2021 r. CPDCP i CEC wniosły odwołanie od tego wyroku do Varhoven administrativen sad (najwyższego sądu administracyjnego, Bułgaria), będącego sądem odsyłającego.
20
Wnioskiem z dnia 2 kwietnia 2021 r. CPDCP, wspierany przez CEC, zwrócił się do tegoż sądu o wystąpienie do Trybunału z wnioskiem o wydanie orzeczenia w trybie prejudycjalnym w przedmiocie możliwości stosowania prawa Unii do sprawy w postępowaniu głównym.
21
Koalitsia podnosi przed sądem odsyłającym, że wyrok ten powinien zostać utrzymany w mocy i że nie ma potrzeby zwracania się do Trybunału z wnioskiem o wydanie orzeczenia w trybie prejudycjalnym.
22
Sąd odsyłający wskazuje, że sporne wytyczne stanowią akt administracyjny wywołujący skutki prawne powtarzające się w toku wyborów. Podkreśla on, że sporne wytyczne mają zastosowanie do wszystkich wyborów krajowych, lokalnych i europejskich organizowanych na terytorium Republiki Bułgarii.
23
Sąd ten zastanawia się w szczególności nad stosowaniem RODO w kontekście organizacji wyborów w państwie członkowskim i – w przypadku jego stosowania w tym kontekście – nad wpływem przepisów RODO na możliwość ograniczenia przetwarzania takich danych przez organy właściwe w sprawach ochrony danych osobowych lub ewentualnie zakazywania przetwarzania takich danych w ramach procesu wyborczego.
24
W tych okolicznościach Varhoven administrativen sad (najwyższy sąd administracyjny) postanowił zawiesić postępowanie i zwrócić się do Trybunału z następującymi pytaniami prejudycjalnymi:
„1)
Czy art. 2 ust. 2 lit. a) [RODO] należy interpretować w ten sposób, że nie dopuszcza on stosowania tego rozporządzenia w odniesieniu do danej, pozornie czysto wewnętrznej sytuacji, takiej jak przeprowadzenie wyborów do zgromadzenia narodowego, gdy przedmiotem ochrony są dane osobowe osób będących obywatelami Unii Europejskiej i gdy czynności związane z przetwarzaniem danych nie polegają jedynie na gromadzeniu tych danych w kontekście danej działalności?
2)
W przypadku udzielenia odpowiedzi twierdzącej na pytanie pierwsze – czy zakończenie działalności związanej z przeprowadzeniem wyborów do zgromadzenia narodowego (pozornie nieobjętych zakresem stosowania prawa Unii) zwalnia administratorów, przetwarzających i przechowujących dane osobowe osób, z ich obowiązków określonych w rozporządzeniu, które jest jedynym instrumentem prawa Unii zapewniającym ochronę danych osobowych obywateli Unii Europejskiej? Czy stosowanie przywołanego rozporządzenia zależy jedynie od działalności, w ramach której ustanowiono i zgromadzono dane osobowe, w związku z czym nie znajduje ono dalszego zastosowania?
3)
W przypadku udzielenia odpowiedzi przeczącej na pytanie pierwsze – czy art. 6 [ust. 1] lit. e) [RODO] i określona w motywach 4 i 129 tego rozporządzenia zasada proporcjonalności stoją na przeszkodzie krajowym przepisom wykonawczym do tego rozporządzenia, takim jak rozpatrywane w postępowaniu głównym, które z góry zakazują i ograniczają możliwość filmowania liczenia głosów w lokalach wyborczych i zakazują uregulowania w sposób odmienny różnych elementów występujących w zapisie obrazu, uniemożliwiając w ten sposób osiągnięcie celów rozporządzenia – mianowicie ochrony danych osobowych – za pomocą innych środków?
4)
Alternatywnie i w kontekście zakresu stosowania prawa Unii – przy przeprowadzaniu wyborów lokalnych i wyborów do Parlamentu Europejskiego – czy art. 6 [ust. 1] lit. e) [RODO] i zasada proporcjonalności, określona w motywach 4 i 129 tego rozporządzenia, stoją na przeszkodzie krajowym przepisom wykonawczym do tego rozporządzenia, takim jak rozpatrywane w postępowaniu głównym, które z góry zakazują i ograniczają możliwość filmowania liczenia głosów w lokalach wyborczych, uniemożliwiając w ten sposób osiągnięcie celów rozporządzenia – mianowicie ochrony danych osobowych – za pomocą innych środków?
5)
Czy art. 6 ust. 1 lit. e) [RODO] stoi na przeszkodzie temu, by akty mające na celu ustalenie przebiegu liczenia wyników wyborów i jego zgodności z prawem zostały uznane za zadania leżące w interesie publicznym, uzasadniające określoną ingerencję, uzależnioną od przestrzegania wymogu proporcjonalności, w dane osobowe osób obecnych w lokalach wyborczych, gdy osoby te pełnią funkcję urzędową, publiczną i regulowaną ustawą?
6)
W przypadku udzielenia odpowiedzi [twierdzącej] na poprzednie pytanie – czy ochrona danych osobowych stoi na przeszkodzie przepisom krajowym zakazującym gromadzenia i przetwarzania danych osobowych ogranicza możliwość dokonywania dodatkowych zapisów obrazu wyposażenia lub przedmiotów i materiałów niezawierających danych osobowych, gdy istnieje hipotetyczna możliwość gromadzenia za pomocą zapisu obrazu danych osobowych obecnych w lokalach wyborczych osób wykonujących czynności w interesie publicznym?”.
W przedmiocie dopuszczalności wniosku o wydanie orzeczenia w trybie prejudycjalnym
25
W dniu 14 września 2021 r. Trybunał skierował do sądu odsyłającego wniosek o udzielenie informacji, w którym zwrócił się o wyjaśnienie, czy zmiana art. 272 kodeksu wyborczego, która nastąpiła po złożeniu wniosku o wydanie orzeczenia w trybie prejudycjalnym, miała jakikolwiek wpływ na znaczenie zadanych pytań dla rozstrzygnięcia sporu w postępowaniu głównym.
26
W odpowiedzi z dnia 29 października 2021 r. sąd odsyłający wskazał, że zgodnie z krajowym prawem procesowym powinien on dokonać oceny zgodności z prawem spornych wytycznych z uwzględnieniem nie dnia, w którym nastąpiła wspomniana zmiana przepisów, lecz daty przyjęcia spornych wytycznych. W związku z tym zasadność odesłania prejudycjalnego nie może zostać podważona przez nowelizację ustawy, która nastąpiła po wydaniu spornych wytycznych.
27
Należy przypomnieć w tej kwestii, że zgodnie z utrwalonym orzecznictwem pytania dotyczące wykładni prawa Unii, z którymi zwrócił się do Trybunału sąd krajowy w ramach stanu prawnego i faktycznego, za którego ustalenie jest on odpowiedzialny, przy czym prawidłowość tych ustaleń nie podlega ocenie przez Trybunał, korzystają z domniemania posiadania znaczenia dla sprawy. Trybunał może odmówić wydania orzeczenia w przedmiocie pytania prejudycjalnego zadanego przez sąd krajowy, w rozumieniu art. 267 TFUE, w szczególności tylko w razie niespełnienia wymogów dotyczących treści wniosku o wydanie orzeczenia w trybie prejudycjalnym uregulowanych w art. 94 regulaminu postępowania przed Trybunałem, lub też gdy jest oczywiste, że wykładnia lub ocena ważności normy prawa Unii, o którą wnioskuje sąd krajowy, nie ma żadnego związku z okolicznościami lub przedmiotem sporu w postępowaniu głównym, lub gdy problem jest natury hipotetycznej (wyrok z dnia 25 marca 2021 r., Obala i lučice, C‑307/19, EU:C:2021:236, pkt 48 i przytoczone tam orzecznictwo).
28
W niniejszej sprawie z wyjaśnień przedstawionych przez sąd odsyłający wynika jednoznacznie, że uważa on, iż odpowiedź na zadane pytania jest niezbędna do rozstrzygnięcia zawisłego przed nim sporu.
29
Wynika stąd, że wniosek o wydanie orzeczenia w trybie prejudycjalnym jest dopuszczalny.
W przedmiocie pytań prejudycjalnych
W przedmiocie pytań pierwszego i drugiego
30
Poprzez pytania pierwsze i drugie, które należy rozpatrzyć łącznie, sąd odsyłający dąży w istocie do ustalenia, czy art. 2 ust. 2 lit. a) RODO należy interpretować w ten sposób, że przetwarzanie danych osobowych w kontekście organizacji wyborów w państwie członkowskim jest wyłączone z zakresu stosowania tego rozporządzenia.
31
Po pierwsze, należy zwrócić uwagę, że zgodnie z art. 2 ust. 1 RODO rozporządzenie to stosuje się do przetwarzania danych osobowych w całości lub w części w sposób zautomatyzowany oraz innego przetwarzania danych osobowych, stanowiących część zbioru danych lub mających stanowić część zbioru danych. Zgodnie z art. 4 pkt 2 tego rozporządzenia w zakres definicji „przetwarzania” wchodzi między innymi każda operacja wykonywana na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, w szczególności taka jak zbieranie, utrwalanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie.
32
Wynika stąd, że zapisywanie obrazu osób fizycznych stanowi przetwarzanie danych osobowych, które co do zasady wchodzi w zakres przedmiotowy stosowania RODO (zob. podobnie wyrok z dnia 11 grudnia 2014 r., Ryneš, C‑212/13, EU:C:2014:2428, pkt 35).
33
Po drugie, należy podkreślić, że wyjątki od przedmiotowego zakresu stosowania wspomnianego rozporządzenia są określone w sposób wyczerpujący w jego art. 2 ust. 2 i 3.
34
W niniejszej sprawie sąd odsyłający zastanawia się nad kwestią, czy przetwarzanie danych osobowych za pomocą zapisu obrazu podczas organizacji wyborów europejskich i krajowych, wchodzi w zakres wyjątku przewidzianego w art. 2 ust. 2 lit. a) RODO, zgodnie z którym rozporządzenie to nie znajduje zastosowania do przetwarzania danych osobowych „w ramach działalności nieobjętej zakresem prawa Unii”.
35
Należy podkreślić, że ten wyjątek od stosowania RODO, podobnie jak inne wyjątki przewidziane w jego art. 2 ust. 2, powinien podlegać ścisłej wykładni [zob. podobnie wyrok z dnia 22 czerwca 2021 r., Latvijas Republikas Saeima (Punkty karne), C‑439/19, EU:C:2021:504, pkt 62 i przytoczone tam orzecznictwo].
36
Jak orzekł Trybunał, art. 2 ust. 2 lit. a) RODO należy odczytywać w związku z jego art. 2 ust. 2 lit. b) i motywem 16 tego rozporządzenia, który uściśla, że rozporządzenie to nie ma zastosowania do przetwarzania danych osobowych „w związku z działalnością nieobjętą zakresem prawa Unii, taką jak działalność dotycząca bezpieczeństwa narodowego” i „w związku z działaniami związanymi ze wspólną polityką zagraniczną i bezpieczeństwa Unii” [zob. podobnie wyrok z dnia 22 czerwca 2021 r., Latvijas Republikas Saeima (Punkty karne), C‑439/19, EU:C:2021:504, pkt 63].
37
Wynika z tego, że art. 2 ust. 2 lit. a) i b) RODO częściowo wpisuje się w ciągłość art. 3 ust. 2 tiret pierwsze dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz.U. 1995, L 281, s. 31). W konsekwencji art. 2 ust. 2 lit. a) i b) RODO nie może być interpretowany w ten sposób, że ma on szerszy zakres niż wyjątek wynikający z art. 3 ust. 2 tiret pierwsze dyrektywy 95/46, który wykluczał już z zakresu stosowania tej dyrektywy między innymi przetwarzanie danych osobowych w ramach „działalności wykraczającej poza zakres prawa Wspólnoty, jak np. danych, o których stanowi tytuł V i VI traktatu [UE, w wersji sprzed traktatu z Lizbony], a w żadnym razie […] [przetwarzania danych, których przedmiotem jest bezpieczeństwo publiczne], obronności, bezpieczeństwa państwa […]” [zob. podobnie wyrok z dnia 22 czerwca 2021 r., Latvijas Republikas Saeima (Punkty karne), C‑439/19, EU:C:2021:504, pkt 64].
38
Tymczasem jedynie przetwarzanie danych osobowych w ramach działalności właściwej państwom lub organom państwowym i wyraźnie wymienione we wspomnianym art. 3 ust. 2 lub w ramach działalności, która może zostać zaliczona do tej samej kategorii, jest wyłączone z zakresu stosowania tej dyrektywy [wyrok z dnia 22 czerwca 2021 r., Latvijas Republikas Saeima (Punkty karne), C‑439/19, EU:C:2021:504, pkt 65 i przytoczone tam orzecznictwo].
39
Z powyższego wynika, że art. 2 ust. 2 lit. a) RODO w związku z motywem 16 tego rozporządzenia należy uznać za mający na celu jedynie wyłączenie z zakresu stosowania tego rozporządzenia przetwarzania danych osobowych dokonywanego przez organy państwowe w ramach działalności mającej na celu ochronę bezpieczeństwa narodowego lub działalności, która może zostać zaliczona do tej samej kategorii, wobec czego sam fakt, iż dana działalność jest właściwa państwu lub organowi publicznemu, nie wystarcza, aby wyjątek ten mógł być automatycznie stosowany do takiej działalności [zob. podobnie wyrok z dnia 22 czerwca 2021 r., Latvijas Republikas Saeima (Punkty karne), C‑439/19, EU:C:2021:504, pkt 66 i przytoczone tam orzecznictwo].
40
Działalność, której celem jest ochrona bezpieczeństwa narodowego, a o której mowa w art. 2 ust. 2 lit. a) RODO, obejmuje w szczególności działalność mającą na celu ochronę podstawowych funkcji państwa i podstawowych interesów społeczeństwa [zob. podobnie wyrok z dnia 22 czerwca 2021 r., Latvijas Republikas Saeima (Punkty karne), C‑439/19, EU:C:2021:504, pkt 67].
41
Tymczasem działania związane z organizacją wyborów w państwie członkowskim nie realizują takiego celu i w konsekwencji nie mogą być zaliczone do kategorii działań mających na celu ochronę bezpieczeństwa narodowego, o których mowa w art. 2 ust. 2 lit. a) RODO.
42
W świetle powyższych rozważań odpowiedź na pytania pierwsze i drugie brzmi następująco: art. 2 ust. 2 lit. a) RODO należy interpretować w ten sposób, że przetwarzanie danych osobowych w kontekście organizacji wyborów w państwie członkowskim nie jest wyłączone z zakresu stosowania tego rozporządzenia.
W przedmiocie pytań od trzeciego do szóstego
43
Na wstępie należy przypomnieć, że zgodnie z utrwalonym orzecznictwem w ramach ustanowionej w art. 267 TFUE procedury współpracy między sądami krajowymi a Trybunałem do tego ostatniego należy udzielenie sądowi krajowemu użytecznej odpowiedzi, która umożliwi mu rozstrzygnięcie zawisłego przed nim sporu. Mając to na uwadze, Trybunał powinien w razie potrzeby przeformułować przedłożone mu pytania [zob. podobnie wyrok z dnia 7 lipca 2022 r., Pensionsversicherungsanstalt (Okresy [składkowe] przeznaczone na wychowywanie dzieci za granicą), C‑576/20, EU:C:2022:525, pkt 35 i przytoczone tam orzecznictwo].
44
W tym celu Trybunał może wyprowadzić z całości informacji przedstawionych przez sąd odsyłający, a w szczególności z uzasadnienia postanowienia odsyłającego, elementy tego prawa, które wymagają wykładni w świetle przedmiotu sporu w postępowaniu głównym (zob. podobnie wyrok z dnia 2 czerwca 2022 r., HK/Danmark i HK/Privat, C‑587/20, EU:C:2022:419, pkt 18 i przytoczone tam orzecznictwo).
45
W niniejszej sprawie z postanowienia odsyłającego wynika, że spór w postępowaniu głównym dotyczy zasadniczo tego, czy organy właściwe w dziedzinie ochrony danych osobowych mogą ograniczyć lub zakazać przetwarzania takich danych w odniesieniu do możliwości filmowania procesu wyborczego, a w szczególności liczenia głosów.
46
Należy zatem rozumieć, że poprzez pytania od trzeciego do szóstego, które należy rozpatrzyć łącznie, sąd odsyłający dąży w istocie do ustalenia, czy art. 6 ust. 1 lit. e) i art. 58 RODO należy interpretować w ten sposób, że stoją one na przeszkodzie temu, by właściwe organy państwa członkowskiego przyjęły powszechnie obowiązujący akt administracyjny, który przewiduje ograniczenie lub w odpowiednim przypadku, zakaz zapisu obrazu liczenia głosów w lokalach wyborczych podczas wyborów w tym państwie członkowskim.
47
W pierwszej kolejności należy zauważyć, że art. 6 RODO określa przesłanki zgodności z prawem przetwarzania danych osobowych.
48
Jeśli chodzi w szczególności o art. 6 ust. 1 lit. e) RODO, którego konkretnie dotyczy wniosek o wydanie orzeczenia w trybie prejudycjalnym, z przepisu tego wynika, że przetwarzanie danych osobowych jest zgodne z prawem, jeżeli jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi.
49
Tymczasem art. 6 ust. 1 lit. e) RODO w związku z art. 6 ust. 3 tego rozporządzenia należy interpretować w ten sposób, że podstawa prawna przetwarzania określona w tymże art. 6 ust. 1 lit. e) definiuje prawo Unii lub prawo państwa członkowskiego, któremu podlega administrator danych.
50
Przepisy art. 6 ust. 1 lit. e) RODO w związku z art. 6 ust. 3 tego rozporządzenia pozwalają zatem państwom członkowskim na przyjęcie przepisów, na podstawie których administratorzy danych mogą przetwarzać dane osobowe w ramach realizacji zadania wykonywanego w interesie publicznym lub do wykonywania władzy publicznej.
51
W niniejszej sprawie w kontekście pytania piątego sąd odsyłający wydaje się być zdania, że niektóre podmioty obecne w lokalach wyborczych podczas liczenia głosów mogą wykonywać zadania w interesie publicznym w rozumieniu art. 6 ust. 1 lit. e) RODO.
52
W tym względzie należy podkreślić, że zgodne z prawem przetwarzanie danych osobowych przez takie podmioty na podstawie art. 6 ust. 1 lit. e) RODO zakłada nie tylko, że można je uznać za wykonujące zadanie w interesie publicznym, ale także, że przetwarzanie danych osobowych w celu wykonywania tego zadania opiera się na podstawie prawnej z art. 6 ust. 3 tego rozporządzenia.
53
Jak słusznie zauważyła Komisja w uwagach na piśmie, sporne wytyczne, przyjęte przez właściwe bułgarskie organy nadzorcze nie wydają się stanowić takiej podstawy prawnej. Przeciwnie, wydają się one stanowić środek mający na celu ochronę danych osobowych osób obecnych w lokalach wyborczych, ograniczając, w odniesieniu do przedstawicieli mediów, i zakazując, w odniesieniu do innych podmiotów obecnych w lokalach wyborczych, przetwarzania takich danych za pomocą zapisu obrazu w trakcie szczególnego etapu procesu wyborczego, a mianowicie w trakcie liczenia głosów.
54
W drugiej kolejności należy przypomnieć, że uprawnienia organów nadzorczych zostały określone w art. 58 RODO.
55
Z art. 58 ust. 2 lit. f) RODO w związku z motywem 129 tego rozporządzenia wynika, że organom nadzorczym przysługuje w szczególności uprawnienie do wprowadzania czasowego lub całkowitego ograniczenia przetwarzania danych osobowych, w tym zakazu przetwarzania, oraz że uprawnienie to jest wykonywane z poszanowaniem zasady proporcjonalności. Podobnie, zgodnie z art. 58 ust. 3 lit. b) RODO, każdemu organowi nadzorczemu przysługują uprawnienia w zakresie wydawania, z własnej inicjatywy lub na wniosek, opinii przeznaczonych dla parlamentu narodowego, rządu państwa członkowskiego lub – zgodnie z prawem państwa członkowskiego – innych instytucji i organów oraz ogółu społeczeństwa we wszelkich sprawach związanych z ochroną danych osobowych. Wreszcie zgodnie z art. 58 ust. 4 tego rozporządzenia wykonywanie tych uprawnień podlega odpowiednim zabezpieczeniom – w tym prawu do skutecznego środka ochrony prawnej przed sądem.
56
Tymczasem przedstawienie prawa bułgarskiego i spornych wytycznych, na podstawie informacji zgromadzonych w aktach sprawy, którymi dysponuje Trybunał, nie pozwala na ustalenie – z zastrzeżeniem ustaleń, których powinien dokonać sąd odsyłający – że właściwe organy bułgarskie przekroczyły uprawnienia, którymi dysponują na podstawie art. 58 ust. 2 lit. f) i ust. 3 lit. b) RODO, a w szczególności, że sporne wytyczne nie respektują zasady proporcjonalności.
57
W tym względzie sąd odsyłający wskazuje, że sporne wytyczne ograniczają w odniesieniu do przedstawicieli mediów i zakazują w odniesieniu do innych podmiotów obecnych w lokalach wyborczych przetwarzania danych osobowych za pomocą zapisu obrazu w trakcie szczególnego etapu procesu wyborczego, mianowicie procedury otwierania urn i ustalania wyników wyborów. Natomiast wydaje się, że wytyczne te nie ograniczają możliwości podmiotów obecnych w lokalach wyborczych podczas liczenia głosów w zakresie obserwowania otwierania urn i ustalania wyników wyborów, co gwarantuje przejrzystość, obiektywizm i zgodność procesu wyborczego z prawem, równe traktowanie podmiotów tego procesu, a także wolność słowa i prawo do informacji, zgodnie z celem tych wytycznych.
58
Należy zatem uznać, że sporne wytyczne mają, zgodnie z zasadą minimalizacji danych, o której mowa w art. 5 ust. 1 lit. c) RODO, zmniejszyć przeszkody w korzystaniu z prawa do ochrony danych osobowych spowodowane zapisem obrazu procesu wyborczego.
59
W trzeciej i ostatniej kolejności należy jeszcze przypomnieć na wszelki wypadek, że państwa członkowskie mogą przewidzieć wyjątki i odstępstwa od niektórych przepisów RODO, aby pogodzić prawa do ochrony danych osobowych z wolnością wypowiedzi i informacji.
60
Zgodnie z art. 85 ust. 1 RODO państwa członkowskie godzą prawo do ochrony danych osobowych na mocy niniejszego rozporządzenia z wolnością wypowiedzi i informacji, w tym do przetwarzania dla potrzeb dziennikarskich. Zgodnie z art. 85 ust. 2 RODO państwa członkowskie ustanawiają wyjątki lub odstępstwa od niektórych rozdziałów tego rozporządzenia, w tym rozdziału II, w którym znajduje się art. 6. Te wyłączenia lub odstępstwa muszą ograniczać się do tego, co jest konieczne w celu pogodzenia prawa do ochrony danych osobowych z wolnością wypowiedzi i informacji.
61
W świetle powyższych rozważań na pytania od trzeciego do szóstego należy odpowiedzieć, że art. 6 ust. 1 lit. e) i art. 58 RODO należy interpretować w ten sposób, że przepisy te nie stoją na przeszkodzie temu, by właściwe organy państwa członkowskiego przyjęły powszechnie obowiązujący akt administracyjny, który przewiduje ograniczenie lub w odpowiednim przypadku, zakaz zapisu obrazu liczenia głosów w lokalach wyborczych w trakcie wyborów w tym państwie członkowskim.
W przedmiocie kosztów
62
Dla stron w postępowaniu głównym niniejsze postępowanie ma charakter incydentalny, dotyczy bowiem kwestii podniesionej przed sądem odsyłającym, do niego zatem należy rozstrzygnięcie o kosztach. Koszty poniesione w związku z przedstawieniem uwag Trybunałowi, inne niż koszty stron w postępowaniu głównym, nie podlegają zwrotowi.
Z powyższych względów Trybunał (ósma izba) orzeka, co następuje:
1)
Artykuł 2 ust. 2 lit. a) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych)
należy interpretować w ten sposób, że:
przetwarzanie danych osobowych w kontekście organizacji wyborów w państwie członkowskim nie jest wyłączone z zakresu stosowania tego rozporządzenia.
2)
Artykuł 6 ust. 1 lit. e) i art. 58 rozporządzenia 2016/679
należy interpretować w ten sposób, że:
przepisy te nie stoją na przeszkodzie temu, by właściwe organy państwa członkowskiego przyjęły powszechnie obowiązujący akt administracyjny, który przewiduje ograniczenie lub, w odpowiednim przypadku, zakaz zapisu obrazu liczenia głosów w lokalach wyborczych w trakcie wyborów w tym państwie członkowskim.
Podpisy
(
*1
)	Język postępowania: bułgarski.