–

за Комисията за защита на личните данни, от В. Караджов,

–

за румънското правителство, от L.‑E. Baţagoi, E. Gane и A. Wellman, в качеството на представители,

–

за Европейската комисия, от A. Bouchagiar, Цв. Георгиева и H. Kranenborg, в качеството на представители,

1

Преюдициалното запитване се отнася до тълкуването на член 2, параграф 2, буква а) и член 6, параграф 1, буква д) от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните) (ОВ L 119, 2016 г., стр. 1, наричан по-нататък „ОРЗД“).

2

Запитването е отправено в рамките на спор между Комисията за защита на личните данни (България) (наричана по-нататък „КЗЛД“) и Централната избирателна комисия (България) (наричана по-нататък „ЦИК“), от една страна, и Коалиция „Демократична България — Обединение“, коалиция на български политически партии (наричана по-нататък „Коалицията“), от друга страна, във връзка с Указания относно обработването и защитата на личните данни в изборния процес (наричани по-нататък „спорните указания“), приети от КЗЛД и ЦИК.

3

Съображения 4, 16 и 129 от ОРЗД гласят следното:

[…]

[…]

4

Член 2 от посочения регламент, озаглавен „Материален обхват“, гласи:

„1.   Настоящият регламент се прилага за обработването на лични данни изцяло или частично с автоматични средства, както и за обработването с други средства на лични данни, които са част от регистър с лични данни или които са предназначени да съставляват част от регистър с лични данни.

2.   Настоящият регламент не се прилага за обработването на лични данни:

[…]“.

5

Член 3 от посочения регламент определя териториалния му обхват. Съгласно параграф 1 от ОРЗД той „се прилага за обработването на лични данни в контекста на дейностите на дадено място на установяване на администратор или обработващ лични данни в Съюза, независимо дали обработването се извършва в Съюза или не“.

6

Съгласно член 4 от ОРЗД:

„За целите на настоящия регламент:

[…]

[…]“.

7

Член 5 от посочения регламент, озаглавен „Принципи, свързани с обработването на лични данни“, гласи:

„1.   Личните данни са:

[…]

[…]“.

8

Член 6 от посочения регламент, озаглавен „Законосъобразност на обработването“, предвижда в параграфи 1—3:

„1.   Обработването е законосъобразно, само ако и доколкото е приложимо поне едно от следните условия:

[…]

[…]

2.   Държавите членки могат да запазят или въведат по-конкретни разпоредби, за да адаптират прилагането на правилата на настоящия регламент по отношение на обработването, необходимо за спазването на параграф 1, букви в) и д), като установят по-конкретно специални изисквания за обработването и други мерки, за да се гарантира законосъобразно и добросъвестно обработване, включително за други особени случаи на обработване на данни, предвидени в глава IX.

3.   Основанието за обработването, посочено в параграф 1, букви в) и д), е установено от:

Целта на обработването се определя в това правно основание или доколкото се отнася до обработването по параграф 1, буква д), то трябва да е необходимо за изпълнението на задача от обществен интерес или при упражняването на официални правомощия, които са предоставени на администратора. Това правно основание може да включва конкретни разпоредби за адаптиране на прилагането на разпоредбите на настоящия регламент, inter alia общите условия, които определят законосъобразността на обработването от администратора, видовете данни, които подлежат на обработване, съответните субекти на данни; образуванията, пред които могат да бъдат разкривани лични данни, и целите, за които се разкриват; ограниченията по отношение на целите на разкриването; периодът на съхранение и операциите и процедурите за обработване, включително мерки за гарантиране на законосъобразното и добросъвестно обработване, като тези за други конкретни случаи на обработване съгласно предвиденото в глава IX. Правото на Съюза или правото на държавата членка се съобразява с обществения интерес и е пропорционално на преследваната легитимна цел“.

9

Член 58 от същия регламент, озаглавен „Правомощия“, предвижда в параграфи 2—4:

„2.   Всеки надзорен орган има всички от посочените по-долу правомощия да дава разрешения и становища:

[…]

[…]

3.   Всеки надзорен орган има всички от посочените по-долу правомощия да дава разрешения и становища:

[…]

[…]

4.   Упражняването на правомощията, предоставени на надзорния орган по силата на настоящия член, се осъществява при осигуряване на подходящи гаранции, в т.ч. ефективни съдебни средства за правна защита и справедлив съдебен процес, определени в правото на Съюза и правото на държава членка в съответствие с Хартата [на основните права]“.

10

Съгласно член 85 от ОРЗД, озаглавен „Обработване и свобода на изразяване и информация“:

„1.   Държавите членки съгласуват със закон правото на защита на личните данни в съответствие с настоящия регламент с правото на свобода на изразяване и информация, включително обработването за журналистически цели и за целите на академичното, художественото или литературното изразяване.

2.   За обработването, извършвано за журналистически цели и за целите на академичното, художественото или литературното изразяване, държавите членки предвиждат изключения или дерогации от глава II (принципи), глава III (права на субекта на данни), глава IV (администратор и обработващ лични данни), глава V (предаване на лични данни на трети държави и международни организации), глава VI (независими надзорни органи), глава VII (сътрудничество и съгласуваност) и глава IX (особени ситуации на обработване на данни), ако те са необходими за съгласуване на правото на защита на личните данни със свободата на изразяване и информация.

3.   Всяка държава членка уведомява [Европейската комисия] за разпоредбите в правото си, които е приела съгласно параграф 2, и я уведомява незабавно за всеки последващ закон за изменение или за всяко изменение, които ги засягат“.

11

Член 272 от Изборния кодекс в редакцията му, приложима към спора в главното производство, гласи:

„При отваряне на избирателните кутии и при установяване на резултатите от гласуването в изборното помещение може да присъстват кандидати, застъпници и представители на партии, коалиции и инициативни комитети […], наблюдатели […], по един регистриран анкетьор от регистрирана социологическа агенция и представители на средствата за масово осведомяване, като им се осигурява пряка видимост при преброяване на гласовете“.

12

Спорните указания са приети с решение на КЗЛД от 28 януари 2021 г. и с решение на ЦИК от 8 февруари 2021 г.

13

Що се отнася до обработването на лични данни чрез видеозаснемане (запис или предаване на живо) в изборния процес, в спорните указания се уточнява, че целта на това обработване е да се гарантира прозрачност, обективност, законосъобразност на изборния процес, равнопоставеност на субектите в него и осигуряване свободата на изразяване и правото на информация.

14

Що се отнася до реда и условията за обработване на лични данни чрез видеозаснемане по време на изборния процес, в спорните указания се предвижда, от една страна, че средствата за масово осведомяване обработват лични данни чрез видеозаснемане при откриване на изборния ден, закриване на изборния ден, установяване на резултатите от гласуването, както и при теглене на жребий за определяне на поредните номера в бюлетините.

15

От друга страна, в тези указания се уточнява, че всички останали участници в изборния процес не могат да обработват лични данни чрез видеозаснемане поради несъвместимост на ролята им в изборния процес.

16

С жалба от 10 февруари 2021 г. Коалицията оспорва законосъобразността на тези указания пред Административен съд София-град (България) в частта, в която те се прилагат по отношение на обработването на лични данни чрез видеозаснемане.

17

С решение от 15 март 2021 г. посочения съд отменя:

18

Според Административен съд София-град съгласно член 2, параграф 2, буква а) от ОРЗД последният не се прилага към дейности, които са извън приложното поле на правото на Съюза, като разглежданата в главното производство дейност, а именно провеждането на национални избори за членове на местния парламент или органи на местно самоуправление в държава членка. Следователно спорните указания, доколкото представляват мерки за прилагане на ОРЗД, били лишени от правно основание.

19

На 29 март 2021 г. КЗЛД и ЦИК обжалват това съдебно решение пред запитващата юрисдикция — Върховния административен съд (България).

20

С искане от 2 април 2021 г. КЗЛД, подкрепена от ЦИК, иска да бъде отправено преюдициално запитване до Съда относно приложимостта на правото на Съюза към главното производство.

21

Коалицията изтъква пред запитващата юрисдикция, че посоченото съдебно решение трябва да бъде оставено в сила и че не следва да се отправя преюдициално запитване до Съда.

22

Запитващата юрисдикция посочва, че спорните указания представляват административен акт с нееднократно правно действие по време на провеждане на избори. Тя подчертава, че спорните указания се прилагат за всички национални, местни и европейски избори, организирани на територията на Република България.

23

Посочената юрисдикция иска по-специално да се установи дали ОРЗД се прилага в контекста на провеждането на избори в държава членка, и ако се прилага в този контекст, какво е значението на разпоредбите на ОРЗД за възможността компетентните органи в областта на защитата на личните данни да ограничават или евентуално да забраняват обработването на такива данни в изборния процес.

24

При тези обстоятелства Върховният административен съд решава да спре производството и да постави на Съда следните преюдициални въпроси:

25

На 14 септември 2021 г. Съдът отправя до запитващата юрисдикция искане за предоставяне на информация, с което я приканва да уточни дали настъпилото след отправянето на преюдициалното запитване изменение на член 272 от Изборния кодекс има отношение към релевантността на поставените въпроси за решаването на спора в главното производство.

26

В отговора си от 29 октомври 2021 г. запитващата юрисдикция посочва, че съгласно националното процесуално право тя трябва да прецени законосъобразността на спорните указания, като вземе предвид не датата, на която е извършено посоченото законодателно изменение, а датата, на която спорните указания са издадени. При това положение релевантността на преюдициалното запитване не се поставяла под въпрос от това законодателно изменение, настъпило след приемането на спорните указания.

27

В това отношение следва да се припомни, че съгласно постоянната практика на Съда въпросите, които са свързани с тълкуването на правото на Съюза и са поставени от националния съд в нормативната и фактическата рамка, които той определя съгласно своите правомощия, и проверката на чиято точност не е задача на Съда, се ползват с презумпция за релевантност. Съдът може да откаже да се произнесе по преюдициален въпрос, отправен от национална юрисдикция съгласно член 267 ДФЕС, само когато не са спазени по-специално изискванията относно съдържанието на преюдициалното запитване в член 94 от Процедурния правилник или когато е ясно, че исканото от националната юрисдикция тълкуване или преценка на валидността на норма от правото на Съюза няма никаква връзка с действителността или предмета на спора по главното производство, или когато въпросът е хипотетичен (решение от 25 март 2021 г., Obala i lučice, C‑307/19, EU:C:2021:236, т. 48 и цитираната съдебна практика).

28

В случая от предоставените от запитващата юрисдикция разяснения недвусмислено следва, че според нея отговорът на поставените въпроси е необходим, за да се произнесе по спора, с който е сезирана.

29

Следователно преюдициалното запитване е допустимо.

30

С първия и втория си въпрос, които следва да се разгледат заедно, запитващата юрисдикция по същество иска да се установи дали член 2, параграф 2, буква а) от ОРЗД трябва да се тълкува в смисъл, че обработването на лични данни при провеждане на избори в дадена държава членка е изключено от приложното поле на този регламент.

31

Първо, следва да се отбележи, че съгласно член 2, параграф 1 от ОРЗД посоченият регламент се прилага към обработването на лични данни изцяло или частично с автоматични средства, както и към обработването с други средства на лични данни, които са част от регистър с лични данни или които са предназначени да съставляват част от регистър с лични данни. Съгласно член 4, точка 2 от посочения регламент в обхвата на определението „обработване“ попада всяка операция, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като например събиране, записване, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни.

32

От това следва, че видеозаснемането на физически лица представлява обработване на лични данни, което по принцип попада в материалния обхват на ОРЗД (вж. в този смисъл решение от 11 декември 2014 г., Ryneš, C‑212/13, EU:C:2014:2428, т. 35).

33

Второ, следва да се подчертае, че изключенията от материалния обхват на посочения регламент са изчерпателно посочени в член 2, параграфи 2 и 3 от Регламента.

34

В случая запитващата юрисдикция иска да се установи дали обработването на лични данни чрез видеозаснемане при провеждането както на европейски, така и на национални избори, попада в изключението, предвидено в член 2, параграф 2, буква а) от ОРЗД, според което този регламент не се прилага към обработването на лични данни, извършвано „в хода на дейности, които са извън приложното поле на правото на Съюза“.

35

Важно е да се подчертае, че това изключение от приложимостта на ОРЗД, подобно на другите изключения, предвидени в член 2, параграф 2, трябва да се тълкува стриктно (вж. в този смисъл решение от 22 юни 2021 г., Latvijas Republikas Saeima (Точки за пътнотранспортни нарушения), C‑439/19, EU:C:2021:504, т. 62 и цитираната съдебна практика).

36

Както Съдът е приел, в това отношение е важно член 2, параграф 2, буква а) от ОРЗД да се тълкува във връзка с член 2, параграф 2, буква б) и със съображение 16, в което се уточнява, че посоченият регламент не се прилага към обработването на лични данни в контекста на „дейности, които са извън приложното поле на правото на Съюза, например дейности в областта на националната сигурност“, и „дейности във връзка с общата външна политика и политика на сигурност на Съюза“ (вж. в този смисъл решение от 22 юни 2021 г., Latvijas Republikas Saeima (Точки за пътнотранспортни нарушения), C‑439/19, EU:C:2021:504, т. 63).

37

От това следва, че член 2, параграф 2, букви а) и б) от ОРЗД е частично продължение на член 3, параграф 2, първо тире от Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 година за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (OB L 281, 1995 г., стр. 31; Специално издание на български език, 2007 г., глава 13, том 17, стр. 10). Следователно член 2, параграф 2, букви а) и б) от ОРЗД не може да се тълкува в смисъл, че има по-широк обхват от изключението, произтичащо от член 3, параграф 2, първо тире от Директива 95/46, което вече е въвело изключение от приложното поле на тази директива по-специално за обработването на лични данни, извършвано в рамките на „дейности извън приложното поле на правото на Общността, например дейностите, предвидени в дял V и дял VI от Договора за [ЕС, в неговата редакция преди Договора от Лисабон], и във всички случаи при дейности по обработването на данни, отнасящи се до обществената сигурност, отбраната, държавната сигурност […]“ (решение от 22 юни 2021 г., Latvijas Republikas Saeima (Точки за пътнотранспортни нарушения), C‑439/19, EU:C:2021:504, т. 64).

38

Само обработването на лични данни, извършвано в рамките на дейност, присъща на държавите или на държавните органи и изрично спомената в посочения член 3, параграф 2 или в рамките на дейност, която може да бъде причислена към същата категория, е изключено от приложното поле на посочената директива (решение от 22 юни 2021 г., Latvijas Republikas Saeima (Точки за пътнотранспортни нарушения), C‑439/19, EU:C:2021:504, т. 65 и цитираната съдебна практика).

39

От това следва, че член 2, параграф 2, буква а) от ОРЗД, разглеждан във връзка със съображение 16 от този регламент, има за цел единствено да изключи от приложното поле на посочения регламент обработването на лични данни, извършвано от държавните органи в рамките на дейност, насочена към запазване на националната сигурност, или на дейност, която може да бъде причислена към същата категория, от което следва, че сам по себе си фактът, че дадена дейност е присъща на държавата или на публичен орган, не е достатъчен, за да може това изключение да се прилага автоматично към подобна дейност (решение от 22 юни 2021 г., Latvijas Republikas Saeima (Точки за пътнотранспортни нарушения), C‑439/19, EU:C:2021:504, т. 66 и цитираната съдебна практика).

40

Посочените в член 2, параграф 2, буква а) от ОРЗД дейности, които имат за цел защита на националната сигурност, обхващат по-специално дейностите, които имат за предмет защитата на съществените функции на държавата и на основните интереси на обществото (вж. в този смисъл решение от 22 юни 2021 г., Latvijas Republikas Saeima (Точки за пътнотранспортни нарушения), C‑439/19, EU:C:2021:504, т. 67).

41

Дейностите, свързани с провеждането на избори в дадена държава членка, обаче не преследват такава цел и следователно не могат да се причислят към категорията на посочените в член 2, параграф 2, буква а) от ОРЗД дейности, чиято цел е защитата на националната сигурност.

42

С оглед на гореизложените съображения на първия и втория въпрос следва да се отговори, че член 2, параграф 2, буква а) от ОРЗД трябва да се тълкува в смисъл, че обработването на лични данни при провеждане на избори в дадена държава членка не е изключено от приложното поле на този регламент.

43

Най-напред следва да се припомни, че съгласно постоянната съдебна практика в рамките на въведеното с член 267 ДФЕС производство за сътрудничество между националните юрисдикции и Съда той трябва да даде на националния съд полезен отговор, който да му позволи да реши спора, с който е сезиран. С оглед на това при необходимост Съдът трябва да преформулира въпросите, които са му зададени (вж. в този смисъл решение от 7 юли 2022 г., Pensionsversicherungsanstalt (Периоди за гледане на малко дете в чужбина), C‑576/20, EU:C:2022:525, т. 35 и цитираната съдебна практика).

44

За тази цел Съдът може да изведе от цялата информация, предоставена от запитващата юрисдикция, и по-специално от мотивите на акта за преюдициално запитване, разпоредбите от правото на Съюза, които изискват тълкуване предвид предмета на спора в главното производство (вж. в този смисъл решение от 2 юни 2022 г., HK/Danmark и HK/Privat, C‑587/20, EU:C:2022:419, т. 18 и цитираната съдебна практика).

45

В случая от акта за преюдициално запитване е видно, че спорът по главното производство се отнася най-вече до това дали компетентните органи в областта на защитата на личните данни могат да ограничат или да забранят обработването на такива данни, що се отнася до възможността да бъде извършено видеозаснемане в изборния процес, и по-специално при преброяване на изборните резултати.

46

Ето защо следва да се приеме, че с въпроси от трети до шести, които следва да се разгледат заедно, запитващата юрисдикция иска по същество да се установи дали член 6, параграф 1, буква д) и член 58 от ОРЗД трябва да се тълкуват в смисъл, че не допускат компетентните органи на дадена държава членка да приемат административен акт с общо приложение, с който се ограничава или евентуално се забранява видеозаснемането при преброяване на изборните резултати в изборните помещения по време на избори в тази държава членка.

47

На първо място, следва да се отбележи, че член 6 от ОРЗД определя условията за законосъобразност на обработване на лични данни.

48

Що се отнася по-специално до изрично посочения в акта за преюдициално запитване член 6, параграф 1, буква д) от ОРЗД, от тази разпоредба следва, че обработването на лични данни е законосъобразно, ако е необходимо за изпълнението на задача от обществен интерес или на задача, свързана с упражняването на официалните правомощия, които са предоставени на администратора.

49

Член 6, параграф 1, буква д) от ОРЗД трябва обаче да се тълкува във връзка с член 6, параграф 3 от този регламент, в който се уточнява, че посоченото в буква д) основание за обработването е установено от правото на Съюза или от правото на държавата членка, което се прилага спрямо администратора.

50

Следователно разпоредбите на член 6, параграф 1, буква д) от ОРЗС във връзка с член 6, параграф 3 от същия регламент позволяват на държавите членки да приемат правила, въз основа на които администраторите могат да обработват лични данни при изпълнението на задача от обществен интерес или на задача, свързана с упражняването на официални правомощия.

51

В конкретния случай запитващата юрисдикция, изглежда, приема в рамките на петия си въпрос, че някои лица, присъстващи в изборните помещения при преброяване на изборните резултати, биха могли да изпълнят задача от обществен интерес по смисъла на член 6, параграф 1, буква д) от ОРЗД.

52

В това отношение следва да се подчертае, че законосъобразното обработване на лични данни от такива лица на основание член 6, параграф 1, буква д) от ОРЗД предполага не само да се приеме, че те могат да изпълняват задача от обществен интерес, но и че обработването на лични данни за целите на изпълнението на такава задача почива на правно основание, посочено в член 6, параграф 3 от този регламент.

53

Както Комисията правилно отбелязва в писменото си становище, спорните указания, приети от компетентните български надзорни органи, явно не представляват такова правно основание. Напротив, те, изглежда, представляват мярка за защита на личните данни на лицата, които присъстват в изборните помещения, като ограничават по отношение на представителите на средствата за масово осведомяване и като забраняват по отношение на останалите лица, които присъстват в изборните помещения, обработването на такива данни чрез видеозаснемане по време на конкретен етап от изборния процес, а именно при преброяване на изборните резултати.

54

На второ място, важно е да се припомни, че правомощията на надзорните органи са определени в член 58 от ОРЗД.

55

От член 58, параграф 2, буква е) от ОРЗД, тълкуван във връзка със съображение 129 от същия регламент, следва, че надзорните органи разполагат по-специално с правомощието да налагат временно или окончателно ограничаване, в т.ч. забрана, на обработването на лични данни, и че това правомощие трябва да се упражнява при спазване на принципа на пропорционалност. Също така в съответствие с член 58, параграф 3, буква б) от ОРЗД всеки надзорен орган разполага с правомощието да издава по собствена инициатива или при поискване становища, в съответствие с правото на съответната държава членка, до други институции и органи, различни от националния парламент или правителството на тази държава членка, както и до обществеността по всякакви въпроси, свързани със защитата на личните данни. Най-накрая, съгласно член 58, параграф 4 от този регламент упражняването на тези правомощия се осъществява при осигуряване на подходящи гаранции, в т.ч. ефективни съдебни средства за правна защита.

56

От изложението на българското право и на спорните указания, така както са представени от преписката, с която разполага Съдът и освен ако не се установи друго при проверките, които запитващата юрисдикция трябва да извърши, обаче не може да се установи, че компетентните български органи са превишили правомощията, с които разполагат на основание член 58, параграф 2, буква е) и параграф 3, буква б) от ОРЗД, и по-специално че спорните указания не зачитат принципът на пропорционалност.

57

В това отношение запитващата юрисдикция отбелязва, че спорните указания ограничават по отношение на представителите на средствата за масово осведомяване, и забраняват по отношение на останалите лица, които присъстват в изборните помещения, обработването на лични данни чрез видеозаснемане по време на конкретен етап от изборния процес, а именно при процеса по отваряне на изборните кутии и установяване на изборните резултати. За сметка на това посочените указания, изглежда, не ограничават възможността на присъстващите в изборните помещения лица при преброяване на изборните резултати да наблюдават отварянето на изборните кутии и установяването на изборните резултати, което позволява да се гарантира прозрачност, обективност, законосъобразност на изборния процес, равнопоставеност на субектите в него и осигуряване свободата на изразяване и правото на информация в съответствие с целта на посочените указания.

58

Ето защо следва да се приеме, че в съответствие с посочения в член 5, параграф 1, буква в) от ОРЗД принцип на свеждане на данните до минимум, предназначението на спорните указания е да сведат до минимум пречката пред правото на защита на личните данни, която се поражда от видеозаснемането на изборния процес.

59

На трето и последно място, за изчерпателност е важно също така да се припомни, че държавите членки могат да предвиждат изключения и дерогации от определени разпоредби от ОРЗД, за да съгласуват правото на защита на личните данни със свободата на изразяване и информация.

60

Съгласно член 85, параграф 1 от ОРЗД държавите членки съгласуват със закон правото на защита на личните данни в съответствие с този регламент с правото на свобода на изразяване и информация, включително обработването на лични данни за журналистически цели. Съгласно член 85, параграф 2 от посочения регламент държавите членки могат да предвиждат изключения или дерогации от някои глави на ОРЗД, сред които е глава II, в която се съдържа член 6. Тези изключения или дерогации трябва да се ограничават до необходимото за съгласуване на правото на защита на личните данни със свободата на изразяване и информация.

61

С оглед на изложените съображения на въпроси от трети до шести следва да се отговори, че член 6, параграф 1, буква д) и член 58 от ОРЗД трябва да се тълкуват в смисъл, че допускат компетентните органи на дадена държава членка да приемат административен акт с общо приложение, с който се ограничава или евентуално се забранява видеозаснемането при преброяване на изборните резултати в изборните помещения по време на избори в тази държава членка.

62

С оглед на обстоятелството, че за страните по главното производство настоящото дело представлява отклонение от обичайния ход на производството пред запитващата юрисдикция, последната следва да се произнесе по съдебните разноски. Разходите, направени за представяне на становища пред Съда, различни от тези на посочените страни, не подлежат на възстановяване.

По изложените съображения Съдът (осми състав) реши: