CJUE – Österreichische Datenschutzbehörde – C-33/22

Décision

Autorité:

Cour de Justice de l'UE

Numéro:

C-33/22

Nom:

Österreichische Datenschutzbehörde

Date:

16 janvier 2024

Pays:

Autriche

Lien:

Cliquer ici

Contexte

Par décision du 20 avril 2018, l’Assemblée nationale a constitué une commission d’enquête chargée de faire la lumière sur l’existence d’une éventuelle influence politique sur un service de renseignement Le 19 septembre 2018, cette commission d’enquête (ci-après la « commission d’enquête BVT ») a entendu WK en tant que témoin lors d’une audition accessible aux représentants des médias. En dépit d’une demande d’anonymisation formulée par WK, le compte rendu de cette audition, dans lequel étaient cités ses nom et prénoms complets, a été publié sur le site Internet du Parlament Österreich (Parlement autrichien).

Le 2 avril 2019, WK a introduit une réclamation auprès de la Datenschutzbehörde (autorité de contrôle, Autriche) dans laquelle il faisait valoir que la publication, contre sa volonté, du compte rendu de ladite audition, avec la mention de son identité, était contraire aux dispositions du RGPD. Par décision du 18 septembre 2019, la Datenschutzbehörde a rejeté cette réclamation. Par décision du 23 novembre 2020, le Bundesverwaltungsgericht (tribunal administratif fédéral, Autriche) a accueilli le recours introduit par WK et a annulé la décision de la Datenschutzbehörde. Cette dernière a alors saisi le Verwaltungsgerichtshof (Cour administrative, Autriche) d'un recours en révision, qui est la juridiction de renvoi.

Apport(s)
Exception au champ d'application du droit de l'Union (ici, du RGPD) - Activité exercée par une commission d'enquête du seul fait de sa qualité - Absence Extrait(s) pertinent(s)43. Eu égard à ce qui précède, il convient de répondre à la première question que l’article 16, paragraphe 2, première phrase, TFUE et l’article 2, paragraphe 2, sous a), du RGPD doivent être interprétés en ce sens qu’une activité ne saurait être considérée comme située en dehors du champ d’application du droit de l’Union et comme échappant dès lors à l’application de ce règlement pour la seule raison qu’elle est exercée par une commission d’enquête mise en place par le parlement d’un État membre dans l’exercice de son pouvoir de contrôle du pouvoir exécutif. Article(s) du RGPD Article 2 – Champ d’application matériel Fait référence à > CJUE – Land Hessen – C-272/19 > CJUE – Koalitsia « Demokratichna Bulgaria – Obedinenie » – C-306/21 > CJUE – Latvijas Republikas Saeima (Points de pénalité) – C-439/19 > CJUE – Autoriteit Persoonsgegevens – C-245/20 Autres informations
Exception au champ d'application du droit de l'Union (ici, du RGPD) - Activité visant à préserver la sécurité nationale ou activité relevant de cette catégorie - Activité d'une commission d’enquête mise en place par le parlement d’un État membre dans l’exercice de son pouvoir de contrôler une autorité policière - Exclusion Extrait(s) pertinent(s)57. Eu égard à ce qui précède, il convient de répondre à la deuxième question que l’article 2, paragraphe 2, sous a), du RGPD, lu à la lumière du considérant 16 de celui-ci, doit être interprété en ce sens que ne sauraient être considérées, en tant que telles, comme des activités relatives à la sécurité nationale situées en dehors du champ d’application du droit de l’Union, au sens de cette disposition, les activités d’une commission d’enquête mise en place par le parlement d’un État membre dans l’exercice de son pouvoir de contrôle du pouvoir exécutif, ayant pour objet d’enquêter sur les activités d’une autorité policière de protection de l’État en raison d’un soupçon d’influence politique sur cette autorité. Article(s) du RGPD Article 2 – Champ d’application matériel Fait référence à > CJUE – Latvijas Republikas Saeima (Points de pénalité) – C-439/19 > CJUE – Koalitsia « Demokratichna Bulgaria – Obedinenie » – C-306/21 Autres informations
Principe de séparation des pouvoirs exécutifs et législatifs - Application à une autorité de contrôle du RGPD - Absence Extrait(s) pertinent(s)72. Compte tenu de ce qui précède, il convient de répondre à la troisième question que l’article 77, paragraphe 1, et l’article 55, paragraphe 1, du RGPD doivent être interprétés en ce sens que, lorsqu’un État membre a fait le choix, conformément à l’article 51, paragraphe 1, de ce règlement, d’instituer une seule autorité de contrôle, sans toutefois lui attribuer la compétence pour surveiller l’application dudit règlement par une commission d’enquête mise en place par le parlement de cet État membre dans l’exercice de son pouvoir de contrôle du pouvoir exécutif, ces dispositions confèrent directement à cette autorité la compétence pour connaître des réclamations relatives à des traitements de données à caractère personnel effectués par ladite commission d’enquête. Article(s) du RGPD Article 55 – Compétence Article 77 – Droit d’introduire une réclamation auprès d’une autorité de contrôle Fait référence à > CJUE – Facebook Ireland e.a. – C-645/19 Autres informations