DOMSTOLENS DOM (åttonde avdelningen)

den 20 oktober 2022 ( *1 )

”Begäran om förhandsavgörande – Skydd av personuppgifter – Förordning (EU) 2016/679 – Tillämpningsområde – Artikel 2.2 a – Begreppet ’verksamhet som inte omfattas av unionsrätten’ – Nationella val och val till Europaparlamentet – Artikel 6.1 e – Tillåten behandling av personuppgifter – Artikel 58 – Rättsakt som antas av tillsynsmyndigheterna och som begränsar eller i förekommande fall förbjuder videoupptagningar vid registreringen av valresultatet i vallokalerna”

I mål C‑306/21,

angående en begäran om förhandsavgörande enligt artikel 267 FEUF, framställd av Varhoven administrativen sad (Högsta förvaltningsdomstolen, Bulgarien) genom beslut av den 23 april 2021, som inkom till domstolen den 12 maj 2021, i målet

Komisia za zashtita na lichnite danni,

Tsentralna izbiratelna komisia

mot

Koalitsia ”Demokratichna Bulgaria – Оbedinenie”,

meddelar

DOMSTOLEN (åttonde avdelningen),

sammansatt av den tillförordnade avdelningsordföranden N. Piçarra samt domarna N. Jääskinen (referent) och M. Gavalec,

generaladvokat: M. Campos Sánchez-Bordona,

justitiesekreterare: A. Calot Escobar,

efter det skriftliga förfarandet,

med beaktande av de yttranden som avgetts av:

Komisia za zashtita na lichnite danni, genom V. Karadzhov,

Rumäniens regering, genom L.-E. Baţagoi, E. Gane och A. Wellman, samtliga i egenskap av ombud,

Europeiska kommissionen, genom A. Bouchagiar, C. Georgieva och H. Kranenborg, samtliga i egenskap av ombud,

med hänsyn till beslutet, efter att ha hört generaladvokaten, att avgöra målet utan förslag till avgörande,

följande

Dom

1

Begäran om förhandsavgörande avser tolkningen av artikel 2.2 a och artikel 6.1 e i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1) (nedan kallad dataskyddsförordningen).

2

Begäran har framställts i ett mål mellan, å ena sidan, Komisia za zashtita na lichnite danni (kommission för skydd av personuppgifter, Bulgarien) (nedan kallad tillsynsmyndigheten) och Tsentralna izbiratelna Komisia (centrala valkommission, Bulgarien) (nedan kallad valkommissionen) och, å andra sidan, Koalitsia ”Demokratichna Bulgaria – Obedinenie” (nedan kallat Koalitsia), som är en bulgarisk partikoalition, angående riktlinjer om behandling och skydd av personuppgifter under valförfarandet (nedan kallade de omtvistade riktlinjerna), vilka antagits av tillsynsmyndigheten och valkommissionen.

Tillämpliga bestämmelser

Unionsrätt

3

Skälen 4, 16 och 129 i dataskyddsförordningen har följande lydelse:

”(4)

Behandlingen av personuppgifter bör utformas så att den tjänar människor. Rätten till skydd av personuppgifter är inte en absolut rättighet; den måste förstås utifrån sin uppgift i samhället och vägas mot andra grundläggande rättigheter i enlighet med proportionalitetsprincipen. Denna förordning respekterar alla grundläggande rättigheter och iakttar de friheter och principer som erkänns i [Europeiska unionens stadga om de grundläggande rättigheterna], såsom de fastställts i fördragen, särskilt skydd för privat- och familjeliv, bostad och kommunikationer, skydd av personuppgifter, tankefrihet, samvetsfrihet och religionsfrihet, yttrande- och informationsfrihet, näringsfrihet, rätten till ett effektivt rättsmedel och en opartisk domstol samt kulturell, religiös och språklig mångfald.

(16)

Denna förordning är inte tillämplig på frågor som rör skyddet av grundläggande rättigheter och friheter eller det fria flödet av personuppgifter på områden som inte omfattas av unionsrätten, såsom verksamhet rörande nationell säkerhet. Denna förordning är inte tillämplig på medlemsstaternas behandling av personuppgifter när de agerar inom ramen för [Europeiska] unionens gemensamma utrikes- och säkerhetspolitik.

(129)

För att säkerställa tillämpningen av denna förordning och för att säkerställa en enhetlig kontroll av dess tillämpning inom hela unionen bör tillsynsmyndigheterna i varje medlemsstat ha samma uppgifter och befogenheter, inbegripet utredningsbefogenheter, befogenhet att vidta korrigerande åtgärder och ålägga sanktioner samt befogenhet att bemyndiga och utfärda rådgivande yttranden … Dessa befogenheter bör även omfatta en befogenhet att införa en tillfällig eller definitiv begränsning av, inklusive förbud mot, behandling. … Framför allt bör varje åtgärd vara lämplig, nödvändig och proportionell för att säkerställa efterlevnad av denna förordning …”

4

I artikel 2 i förordningen, med rubriken ”Materiellt tillämpningsområde”, föreskrivs följande:

”1.   Denna förordning ska tillämpas på sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg samt på annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register.

2.   Denna förordning ska inte tillämpas på behandling av personuppgifter som

a)

utgör ett led i en verksamhet som inte omfattas av unionsrätten,

b)

medlemsstaterna utför när de bedriver verksamhet som omfattas av avdelning V kapitel 2 i EU-fördraget,

…”

5

I artikel 3 i förordningen definieras förordningens territoriella tillämpningsområde. Enligt artikel 1 i dataskyddsförordningen ska förordningen ”tillämpas på behandlingen av personuppgifter inom ramen för den verksamhet som bedrivs på personuppgiftsansvarigas eller personuppgiftsbiträdens verksamhetsställen inom unionen, oavsett om behandlingen utförs i unionen eller inte”.

6

Artikel 4 i dataskyddsförordningen har följande lydelse:

”I denna förordning avses med

2)

behandling: behandling en åtgärd eller kombination av åtgärder beträffande personuppgifter eller uppsättningar av personuppgifter, oberoende av om de utförs automatiserat eller ej, såsom insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utlämning genom överföring, spridning eller tillhandahållande på annat sätt, justering eller sammanförande, begränsning, radering eller förstöring,

…”

7

I artikel 5 i förordningen, med rubriken ”Principer för behandling av personuppgifter”, föreskrivs följande:

”1.   Vid behandling av personuppgifter ska följande gälla:

c)

De ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas (uppgiftsminimering).

…”

8

Artikel 6 i nämnda förordning har rubriken ”Laglig behandling av personuppgifter”. I punkterna 1–3 i den artikeln föreskrivs följande:

”1.   Behandling är endast laglig om och i den mån som åtminstone ett av följande villkor är uppfyllt:

e)

Behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning.

2.   Medlemsstaterna får behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i denna förordning med hänsyn till behandling för att efterleva punkt 1 c och e genom att närmare fastställa specifika krav för uppgiftsbehandlingen och andra åtgärder för att säkerställa en laglig och rättvis behandling, inbegripet för andra specifika situationer då uppgifter behandlas i enlighet med kapitel IX.

3.   Den grund för behandlingen som avses i punkt 1 c och e ska fastställas i enlighet med

a)

unionsrätten, eller

b)

en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av.

Syftet med behandlingen ska fastställas i den rättsliga grunden eller, i fråga om behandling enligt punkt 1 e, ska vara nödvändigt för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. Den rättsliga grunden kan innehålla särskilda bestämmelser för att anpassa tillämpningen av bestämmelserna i denna förordning, bland annat: de allmänna villkor som ska gälla för den personuppgiftsansvariges behandling, vilken typ av uppgifter som ska behandlas, vilka registrerade som berörs, de enheter till vilka personuppgifterna får lämnas ut och för vilka ändamål, ändamålsbegränsningar, lagringstid samt typer av behandling och förfaranden för behandling, inbegripet åtgärder för att tillförsäkra en laglig och rättvis behandling, däribland för behandling i andra särskilda situationer enligt kapitel IX. Unionsrätten eller medlemsstaternas nationella rätt ska uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas.”

9

I artikel 58 i samma förordning, med rubriken ”Befogenheter”, föreskrivs följande i punkterna 2–4:

”2.   Varje tillsynsmyndighet ska ha samtliga följande korrigerande befogenheter

f)

Införa en tillfällig eller definitiv begränsning av, inklusive ett förbud mot, behandling.

3.   Varje tillsynsmyndighet ska ha samtliga följande befogenheter att utfärda tillstånd och att ge råd:

b)

På eget initiativ eller på begäran avge yttranden till det nationella parlamentet, medlemsstatens regering eller, i enlighet med medlemsstatens nationella rätt, till andra institutioner och organ samt till allmänheten, i frågor som rör skydd av personuppgifter.

4.   Utövandet av de befogenheter som tillsynsmyndigheten tilldelas enligt denna artikel ska omfattas av lämpliga skyddsåtgärder, inbegripet effektiva rättsmedel och rättssäkerhet, som fastställs i unionsrätten och i medlemsstaternas nationella rätt i enlighet med [stadgan om de grundläggande rättigheterna].”

10

Artikel 85 i dataskyddsförordningen, med rubriken ”Behandling och yttrande- och informationsfriheten”, har följande lydelse:

”1.   Medlemsstaterna ska i lag förena rätten till integritet i enlighet med denna förordning med yttrande- och informationsfriheten, inbegripet behandling som sker för journalistiska ändamål eller för akademiskt, konstnärligt eller litterärt skapande.

2.   Medlemsstaterna ska, för behandling som sker för journalistiska ändamål eller för akademiskt, konstnärligt eller litterärt skapande, fastställa undantag eller avvikelser från kapitel II (principer), kapitel III (den registrerades rättigheter), kapitel IV (personuppgiftsansvarig och personuppgiftsbiträde), kapitel V (överföring av personuppgifter till tredjeländer eller internationella organisationer), kapitel VI (oberoende tillsynsmyndigheter), kapitel VII (samarbete och enhetlighet) och kapitel IX (särskilda situationer vid behandling av personuppgifter) om dessa är nödvändiga för att förena rätten till integritet med yttrande- och informationsfriheten.

3.   Varje medlemsstat ska till kommissionen anmäla de bestämmelser i sin lagstiftning som den antagit i enlighet med punkt 2, samt utan dröjsmål anmäla eventuell senare ändringslagstiftning eller ändringar som berör dem.”

Bulgarisk rätt

11

I artikel 272 i Izboren kodeks (vallagen), i den lydelse som är tillämplig i det nationella målet, föreskrivs följande:

”När valurnorna öppnas och valresultatet upprättas får kandidater, anhängare och företrädare för partierna, koalitioner, åtgärdskommittéer …, observatörer …, en registrerad intervjuare från en registrerad sociologisk agentur och företrädare för massmedia delta, varvid de ska beviljas direkt insyn vid rösträkningen.”

Målet vid den nationella domstolen och tolkningsfrågorna

12

De omtvistade riktlinjerna antogs genom beslut av tillsynsmyndigheten den 28 januari 2021 och genom beslut av valkommissionen den 8 februari 2021.

13

Vad gäller behandlingen av personuppgifter genom videoinspelning (inspelning eller direktsändning) inom ramen för valförfarandet, preciseras det i de omtvistade riktlinjerna att syftet med en sådan behandling är att säkerställa insyn, objektivitet, valförfarandets legitimitet, likabehandling av aktörerna i denna process, yttrandefrihet och rätt till information.

14

Vad beträffar formerna för behandling av personuppgifter genom videoinspelning under valförfarandet föreskrivs i de omtvistade riktlinjerna för det första att massmedierna inte får behandla personuppgifter med hjälp av videoinspelning förrän valdagen börjar, när valdagen avslutas och när valresultatet registreras.

15

I riktlinjerna anges vidare att ingen annan deltagare i valförfarandet får behandla personuppgifter genom videoinspelning, eftersom detta inte är förenligt med deras roll i valförfarandet.

16

Genom ansökan av den 10 februari 2021 bestred Koalitsia lagenligheten av dessa riktlinjer vid Administrativen sad Sofia (Förvaltningsdomstolen i Sofia, Bulgarien), i den del de var tillämpliga på behandling av personuppgifter genom videoinspelning.

17

Genom dom av den 15 mars 2021 upphävde nämnda domstol följande delar:

punkt 2 i avsnitt I, med rubriken ”Allmänt”, i de omtvistade riktlinjerna, såvitt denna avser personuppgiftsansvariga, personuppgiftsbiträden och personer som behandlar personuppgifter, inom ramen för ett valförfarande i enlighet med den personuppgiftsansvariges instruktioner och där det föreskrivs att ”[d]eras rättigheter och skyldigheter med avseende på behandlingen av personuppgifter är begränsade genom att deras rättigheter och skyldigheter inom ramen för valförfarandet anges uttömmande och inskränkande”, och att ”[d]e situationer i vilka dessa personer behandlar personuppgifter anges uttryckligen i valordningen (rätt till direkt insyn vid fastställandet av röstresultatet, rätt att erhålla kopior på valkretsprotokoll etcetera)” och ”[d]essa personer får, vid behandling av personuppgifter, inte överskrida de rättigheter och skyldigheter som föreskrivs i valordningen”, och

punkt 9 i avsnitt II, med rubriken ”Instruktioner till de personuppgiftsansvariga”, i den del det i denna punkt föreskrivs att ”[i]ngen annan deltagare i valförfarandet får behandla personuppgifter genom videoinspelning och/eller videosändning, eftersom detta är oförenligt med syftet med behandlingen av personuppgifter genom videoinspelningar under valförfarandet” och att ”[d]essa aktörers uppgifter och roller i valförfarandet fastställs uttryckligen och på ett uttömmande sätt i valordningen”.

18

Enligt Administrativen sad Sofia (Förvaltningsdomstolen i Sofia) är dessa riktlinjer, enligt artikel 2.2 a i dataskyddsförordningen, inte tillämpliga på verksamhet som inte omfattas av unionsrättens tillämpningsområde, såsom den som är aktuell i det nationella målet, det vill säga anordnandet av val till det nationella parlamentet eller till lokala församlingar i en medlemsstat. De omtvistade riktlinjerna saknar följaktligen rättslig grund, i den del de utgör tillämpningsföreskrifter till dataskyddsförordningen.

19

Den 29 mars 2021 överklagade tillsynsmyndigheten och valkommissionen denna dom till Varhoven administrativen sad (Högsta förvaltningsdomstolen, Bulgarien), som är den hänskjutande domstolen.

20

Genom ansökan av den 2 april 2021 begärde tillsynsmyndigheten, som stöds av valkommissionen, att EU-domstolen skulle meddela ett förhandsavgörande angående unionsrättens tillämplighet i det nationella målet.

21

Koalitsia har vid den hänskjutande domstolen gjort gällande att nämnda dom ska fastställas och att det saknas anledning att begära ett förhandsavgörande från EU-domstolen.

22

Den hänskjutande domstolen har angett att de omtvistade riktlinjerna utgör en administrativ rättsakt som har rättsverkningar varje gång ett val genomförs. Den hänskjutande domstolen har understrukit att de omtvistade riktlinjerna tillämpas på samtliga val till det nationella parlamentet, lokala församlingar och Europaparlamentet som anordnas i Republiken Bulgarien.

23

Den hänskjutande domstolen vill bland annat få klarhet i huruvida dataskyddsförordningen är tillämplig i samband med anordnandet av val i en medlemsstat och, för det fall denna är tillämplig i detta sammanhang, vilken inverkan bestämmelserna i dataskyddsförordningen har på möjligheten för de myndigheter som är behöriga i fråga om skydd av personuppgifter att begränsa eller i förekommande fall förbjuda behandling av sådana uppgifter inom ramen för valförfarandet.

24

Mot denna bakgrund beslutade Varhoven administrativen sad (Högsta förvaltningsdomstolen) att vilandeförklara målet och ställa följande frågor till domstolen:

”1)

Ska artikel 2.2 a i dataskyddsförordningen tolkas så, att den utgör hinder mot att förordningen tillämpas på till synes rent interna förhållanden, såsom genomförandet av val till parlamentet, om de intressen som skyddas utgör personuppgifter från unionsmedborgare och uppgiftsbehandlingen inte är begränsad till insamlingen av uppgifter inom ramen för den aktuella verksamheten?

2)

Om den första frågan besvaras jakande: Medför slutförandet av val till parlamentet, på vilka unionsrätten till synes inte är tillämplig, att de personuppgiftsansvariga, personuppgiftsbiträdena eller personer som lagrar personuppgifter befrias från sina skyldigheter enligt förordningen, vilken utgör det enda verktyget för skydd av unionsmedborgarnas personuppgifter på unionsnivå? Är frågan genom vilken verksamhet personuppgifterna har genererats respektive samlats in det enda som är avgörande för frågan huruvida förordningen är tillämplig, vilket även leder till slutsatsen att en senare tillämpning är utesluten?

3)

Om den första frågan besvaras nekande: Utgör artikel 6[.1] e i dataskyddsförordningen och proportionalitetsprincipen som fastställs i skälen 4 och 129 hinder mot en nationell bestämmelse som har antagits för att genomföra förordningen, såsom den här aktuella, som redan från början utesluter och begränsar möjligheten att göra videoupptagningar vid registreringen av valresultatet i vallokalerna, inte tillåter någon åtskillnad och reglering av enskilda delar av registreringsförfarandet och utesluter möjligheten att uppnå förordningens syfte – skydd av personuppgifter – med andra medel?

4)

Alternativt och inom ramen för unionsrättens tillämpningsområde – vid genomförande av kommunalval och val till Europaparlamentet: Utgör artikel 6[.1] e i dataskyddsförordningen och proportionalitetsprincipen, som kommer till uttryck i skälen 4 och 129, hinder mot en nationell bestämmelse som har antagits för att genomföra förordningen, såsom den här aktuella, som redan från början utesluter och begränsar möjligheten att göra videoupptagningar vid registreringen av valresultatet i vallokalerna, varken företar eller enbart tillåter åtskillnad eller reglering av enskilda delar av registreringsförfarandet och utesluter möjligheten att uppnå förordningens syften – skydd av personuppgifter – med andra medel?

5)

Utgör artikel 6.1 e i dataskyddsförordningen hinder mot att de uppgifter som rör fastställande av ett korrekt genomförande och sammanställning av resultatet från genomförda val klassificeras som en uppgift av allmänt intresse som motiverar ett visst ingrepp som omfattas av kravet på proportionalitet med avseende på personuppgifterna från de personer som är närvarande i vallokalerna, om dessa fullgör en officiell, offentlig uppgift som regleras i lag?

6)

Om ovanstående fråga besvaras jakande: Utgör skyddet av personuppgifter hinder mot införandet av ett nationellt rättsligt förbud mot insamling och behandling av personuppgifter som begränsar möjligheten att vidta kompletterande åtgärder till videoupptagningen av material, objekt eller föremål som inte innehåller några personuppgifter, om det under inspelningsförfarandet potentiellt föreligger en möjlighet att personuppgifter även samlats in vid videoupptagningen av de personer som är närvarande i vallokalerna, vilka vid den aktuella tidpunkten utövar en verksamhet av allmänt intresse?”

Huruvida begäran om förhandsavgörande kan tas upp till prövning

25

Den 14 september 2021 riktade domstolen en begäran om upplysningar till den hänskjutande domstolen, i vilken sistnämnda domstol ombads att precisera den eventuella inverkan som ändringen i artikel 272 i vallagen, som gjordes efter det att begäran om förhandsavgörande hade ingetts, kunde ha på relevansen av de frågor som ställts för att lösa tvisten i målet vid den nationella domstolen.

26

I sitt svar av den 29 oktober 2021 angav den hänskjutande domstolen att den enligt nationell processrätt ska bedöma huruvida de omtvistade riktlinjerna är lagenliga med utgångspunkt från det datum då de omtvistade riktlinjerna antogs och inte utifrån tidpunkten för lagändringen. Relevansen av begäran om förhandsavgörande påverkas således inte av denna lagändring som ägde rum efter antagandet av de omtvistade riktlinjerna.

27

Det ska i detta hänseende erinras om att nationella domstolars frågor om tolkningen av unionsrätten enligt EU-domstolens fasta praxis presumeras vara relevanta. Dessa frågor ställs mot bakgrund av den beskrivning av omständigheterna i målet och tillämplig lagstiftning som den nationella domstolen på eget ansvar har lämnat och vars riktighet det inte ankommer på EU-domstolen att pröva. EU-domstolen får endast i vissa fall besluta att inte pröva en tolkningsfråga som ställts av en nationell domstol i enlighet med artikel 267 FEUF, bland annat när de villkor som rör innehållet i begäran om förhandsavgörande i artikel 94 i domstolens rättegångsregler inte har iakttagits eller när det är uppenbart att den tolkning eller bedömning av giltigheten av en unionsbestämmelse som begärts av den nationella domstolen inte har något samband med de verkliga omständigheterna eller saken, eller då frågan är hypotetisk (dom av den 25 mars 2021, Obala i lučice, C‑307/19, EU:C:2021:236, punkt 48 och där angiven rättspraxis).

28

I förevarande fall framgår det otvetydigt av de förklaringar som lämnats av den hänskjutande domstolen att den anser att svaret på de ställda frågorna är nödvändigt för att avgöra det mål som är anhängigt vid den.

29

Härav följer att begäran om förhandsavgörande kan tas upp till prövning.

Prövning av tolkningsfrågorna

Den första och den andra frågan

30

Den hänskjutande domstolen har ställt den första och den andra frågan, vilka ska prövas tillsammans, för att få klarhet i huruvida artikel 2.2 a i dataskyddsförordningen ska tolkas så, att denna förordnings tillämpningsområde inte omfattar behandling av personuppgifter i samband med anordnandet av val i en medlemsstat.

31

För det första ska det påpekas att enligt artikel 2.1 i dataskyddsförordningen ska förordningen tillämpas på sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg samt på annan behandling än automatisk behandling av personuppgifter som ingår i eller kommer att ingå i ett register. Enligt artikel 4 led 2 i förordningen omfattar definitionen av ”behandling” bland annat varje åtgärd eller serie av åtgärder som vidtas beträffande personuppgifter, vare sig det sker på automatisk väg eller inte, till exempel insamling, registrering, användning, utlämning genom överföring, spridning eller tillhandahållande på annat sätt.

32

Härav följer att videoinspelning av människor utgör en behandling av personuppgifter som i princip omfattas av dataskyddsförordningens materiella tillämpningsområde (se, för ett liknande resonemang, dom av den 11 december 2014, Ryneš, C‑212/13, EU:C:2014:2428, punkt 35).

33

För det andra fastställs undantag från förordningens materiella tillämpningsområde på ett uttömmande sätt i artikel 2.2 och 2.3 i densamma.

34

I förevarande fall vill den hänskjutande domstolen få klarhet i huruvida behandling av personuppgifter genom videoinspelning vid anordnandet av såväl val till Europaparlamentet som nationella val omfattas av undantaget i artikel 2.2 a i dataskyddsförordningen, enligt vilket denna förordning inte ska tillämpas på behandling av personuppgifter som ”utgör ett led i en verksamhet som inte omfattas av unionsrätten”.

35

Det ska understrykas att detta undantag från dataskyddsförordningens tillämplighet, i likhet med övriga undantag som föreskrivs i artikel 2.2 i förordningen, ska ges en restriktiv tolkning (se, för ett liknande resonemang, dom av den 22 juni 2021, Latvijas Republikas Saeima (Prickning), C‑439/19, EU:C:2021:504, punkt 62 och där angiven rättspraxis).

36

Artikel 2.2 a i dataskyddsförordningen ska i detta avseende läsas tillsammans med artikel 2.2 b och skäl 16 i samma förordning, där det anges att nämnda förordning inte ska tillämpas på behandling av personuppgifter ”på områden som inte omfattas av unionsrätten, såsom verksamhet rörande nationell säkerhet”, och ”inom ramen för unionens gemensamma utrikes- och säkerhetspolitik” (se, för ett liknande resonemang, dom av den 22 juni 2021, Latvijas Republikas Saeima (Prickning), C‑439/19, EU:C:2021:504, punkt 63).

37

Härav följer att artikel 2.2 a och b i dataskyddsförordningen delvis bygger vidare på artikel 3.2 första strecksatsen i Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT L 281, 1995, s. 31). Följaktligen kan artikel 2.2 a och b i dataskyddsförordningen inte tolkas så, att de bestämmelserna har en vidare innebörd än det undantag som följer av artikel 3.2 första strecksatsen i direktiv 95/46, som redan föreskrev att man från direktivets tillämpningsområde bland annat skulle undanta behandling av personuppgifter inom ramen för ”en verksamhet som inte omfattas av gemenskapsrätten, exempelvis sådan verksamhet som avses i avdelningarna V och VI i [EU-fördraget, i dess lydelse före Lissabon-fördraget] och inte under några omständigheter behandlingar som rör allmän säkerhet, försvar, statens säkerhet …” (dom av den 22 juni 2021, Latvijas Republikas Saeima (Prickning), C‑439/19, EU:C:2021:504, punkt 64).

38

Emellertid är det endast behandling av personuppgifter som utförs som ett led i en verksamhet som endast kan bedrivas av staten eller statliga myndigheter, och som uttryckligen nämns i artikel 3.2, eller en verksamhet som kan placeras i samma kategori, som inte omfattas av direktivets tillämpningsområde (dom av den 22 juni 2021, Latvijas Republikas Saeima (Prickning), C‑439/19, EU:C:2021:504, punkt 65 och där angiven rättspraxis).

39

Artikel 2.2 a i dataskyddsförordningen, jämförd med skäl 16 i samma förordning, har således som enda syfte att från förordningens tillämpningsområde undanta behandling av personuppgifter som statliga myndigheter utför som ett led i en verksamhet som syftar till att upprätthålla nationell säkerhet eller en verksamhet som kan placeras i samma kategori. Detta innebär att enbart den omständigheten att en verksamhet endast kan bedrivas av staten eller av en offentlig myndighet inte räcker för att detta undantag automatiskt ska vara tillämpligt på en sådan verksamhet (dom av den 22 juni 2021, Latvijas Republikas Saeima (Prickning), C‑439/19, EU:C:2021:504, punkt 66 och där angiven rättspraxis).

40

Verksamhet som syftar till att bevara den nationella säkerheten, i den mening som avses i artikel 2.2 a i dataskyddsförordningen, omfattar särskilt sådan verksamhet som syftar till att skydda statens grundfunktioner och samhällets grundläggande intressen (se, för ett liknande resonemang, dom av den 22 juni 2021, Latvijas Republikas Saeima (Prickning), C‑439/19, EU:C:2021:504, punkt 67).

41

Verksamhet som rör anordnandet av val i en medlemsstat har emellertid inte ett sådant syfte och kan följaktligen inte placeras i kategorin verksamhet som syftar till att upprätthålla nationell säkerhet enligt artikel 2.2 a i dataskyddsförordningen.

42

Mot bakgrund av ovanstående överväganden ska den första och andra frågan besvaras enligt följande. Artikel 2.2 a i dataskyddsförordningen ska tolkas så, att denna förordnings tillämpningsområde även omfattar behandling av personuppgifter i samband med anordnandet av val i en medlemsstat.

Den tredje till den sjätte frågan

43

Inledningsvis erinrar EU-domstolen om att det av fast rättspraxis framgår att det enligt det förfarande för samarbete mellan nationella domstolar och EU-domstolen som införts genom artikel 267 FEUF ankommer på EU-domstolen att ge den nationella domstolen ett användbart svar, som gör det möjligt för den domstolen att avgöra det mål som den ska pröva. I detta syfte kan EU-domstolen behöva omformulera de frågor som hänskjutits (se, för ett liknande resonemang, dom av den 7 juli 2022, Pensionsversicherungsanstalt (Perioder för vård av barn som fullgjorts i en annan medlemsstat), C‑576/20, EU:C:2022:525, punkt 35 och där angiven rättspraxis).

44

I detta syfte kan domstolen, utifrån samtliga uppgifter som den hänskjutande domstolen har lämnat, och i synnerhet utifrån skälen i beslutet om hänskjutande, avgöra vilka delar av unionsrätten som behöver tolkas med hänsyn till saken i det nationella målet (se, för ett liknande resonemang, dom av den 2 juni 2022, HK/Danmark och HK/Privat, C‑587/20, EU:C:2022:419, punkt 18 och där angiven rättspraxis).

45

I förevarande fall framgår det av beslutet om hänskjutande att det nationella målet huvudsakligen avser frågan huruvida de myndigheter som är behöriga i fråga om skydd av personuppgifter får begränsa eller förbjuda behandling av sådana uppgifter när det gäller möjligheten att göra videoupptagningar under valförfarandet och särskilt vid registreringen av valresultatet i vallokalerna.

46

Den hänskjutande domstolen ska således anses ha ställt den tredje till den sjätte frågan, vilka ska prövas tillsammans, för att få klarhet i huruvida artikel 6.1 e och artikel 58 i dataskyddsförordningen ska tolkas så, att dessa bestämmelser inte utgör hinder för att de behöriga myndigheterna i en medlemsstat antar en allmängiltig administrativ rättsakt i vilken det föreskrivs en begränsning eller, i förekommande fall, ett förbud mot att göra videoupptagningar vid registreringen av valresultatet i vallokalerna i denna medlemsstat.

47

För det första ska det påpekas att villkoren för att behandling av personuppgifter ska vara tillåten fastställs i artikel 6 i dataskyddsförordningen.

48

Vad närmare bestämt gäller artikel 6.1 e i dataskyddsförordningen, som särskilt avses i begäran om förhandsavgörande, framgår det av denna bestämmelse att behandling av personuppgifter är tillåten om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning.

49

Artikel 6.1 e i dataskyddsförordningen ska läsas tillsammans med artikel 6.3 i samma förordning, i vilken det anges att den grund för behandlingen som avses i artikel 6.1 e måste vara erkänd i unionsrätten eller i den nationella rätt som den personuppgiftsansvarige omfattas av.

50

Enligt artikel 6.1 e i dataskyddsförordningen, jämförd med artikel 6.3 i samma förordning, får medlemsstaterna således anta regler enligt vilka de personuppgiftsansvariga får behandla personuppgifter när dessa utför en uppgift av allmänt intresse eller på annat sätt agerar inom ramen för sin myndighetsutövning.

51

I förevarande fall förefaller den hänskjutande domstolen, inom ramen för den femte frågan, anse att vissa aktörer som befinner sig i vallokalen i samband med registreringen av valresultatet kan anses utföra en uppgift av allmänt intresse, i den mening som avses i artikel 6.1 e i dataskyddsförordningen.

52

Det ska i detta sammanhang understrykas att den tillåtna behandling av personuppgifter som utförs av sådana aktörer med stöd av artikel 6.1 e i dataskyddsförordningen inte bara förutsätter att dessa aktörer kan anses utföra en uppgift av allmänt intresse, utan även att behandlingen av personuppgifter för att utföra en sådan uppgift vilar på en rättslig grund som avses i artikel 6.3 i samma förordning.

53

Såsom kommissionen med rätta har påpekat i sitt skriftliga yttrande förefaller de omtvistade riktlinjerna, vilka har antagits av de behöriga bulgariska tillsynsmyndigheterna, inte utgöra en sådan rättslig grund. De förefaller tvärtom utgöra en åtgärd som syftar till att skydda personuppgifter för de personer som befinner sig i vallokalerna, genom att, vad gäller medierepresentanter, begränsa, och, vad gäller övriga aktörer som befinner sig i vallokalerna, förbjuda behandling av sådana uppgifter genom videoupptagning under en viss fas av valförfarandet, nämligen under registreringen av valresultatet.

54

För det andra ska det erinras om att tillsynsmyndigheternas befogenheter fastställs i artikel 58 i dataskyddsförordningen.

55

Det framgår av artikel 58.2 f i dataskyddsförordningen, jämförd med skäl 129 i samma förordning, att tillsynsmyndigheterna bland annat har befogenhet att införa en tillfällig eller definitiv begränsning av, inklusive förbud mot, behandling av personuppgifter, och att denna befogenhet ska utövas med iakttagande av proportionalitetsprincipen. Enligt artikel 58.3 b i dataskyddsförordningen har varje tillsynsmyndighet även befogenhet att på eget initiativ eller på begäran avge yttranden i enlighet med den berörda medlemsstatens nationella rätt till andra institutioner och organ än medlemsstatens nationella parlament eller regering samt till allmänheten, i frågor som rör skydd av personuppgifter. Slutligen följer det av artikel 58.4 i förordningen att utövandet av dessa befogenheter ska omfattas av lämpliga skyddsåtgärder, inbegripet effektiva rättsmedel.

56

Redogörelsen för bulgarisk rätt och de omtvistade riktlinjerna, såsom de framgår av handlingarna i målet, gör det emellertid inte möjligt att, med förbehåll för de kontroller som det ankommer på den hänskjutande domstolen att göra, fastställa att de behöriga bulgariska myndigheterna har överskridit sina befogenheter enligt artikel 58.2 f och 58.3 b i dataskyddsförordningen, och särskilt att de omtvistade riktlinjerna är oförenliga med proportionalitetsprincipen.

57

Den hänskjutande domstolen har i detta avseende påpekat att de omtvistade riktlinjerna, vad gäller medierepresentanter, begränsar, och, vad gäller övriga aktörer som befinner sig i vallokalerna, förbjuder behandling av sådana uppgifter genom videoupptagning under en viss fas av valförfarandet, nämligen under valurnornas öppnande och valresultatets upprättande. Däremot förefaller dessa riktlinjer inte begränsa möjligheten för de aktörer som är närvarande i vallokalerna att, vid registreringen av valresultatet, observera valurnornas öppnande och valresultatets upprättande, vilket gör det möjligt att säkerställa insyn, objektivitet, valförfarandets legitimitet, likabehandling av aktörerna i denna process, yttrandefrihet och rätt till information, i enlighet med syftet med dessa riktlinjer.

58

Det ska således anses att de omtvistade riktlinjerna, i enlighet med principen om uppgiftsminimering som avses i artikel 5.1 c i dataskyddsförordningen, är avsedda att minimera det hinder för rätten till skydd av personuppgifter som orsakas av videoinspelningar under valförfarandet.

59

För det tredje och slutligen ska det för säkerhets skull erinras om att medlemsstaterna får föreskriva undantag och avvikelser från vissa bestämmelser i dataskyddsförordningen för att förena rätten till skydd av personuppgifter med yttrande- och informationsfriheten.

60

Enligt artikel 85.1 i dataskyddsförordningen ska medlemsstaterna i lag förena rätten till integritet i enlighet med denna förordning med yttrande- och informationsfriheten, inbegripet behandling av personuppgifter som sker för journalistiska ändamål. Enligt artikel 85.2 i nämnda förordning ska medlemsstaterna fastställa undantag eller avvikelser från vissa kapitel i dataskyddsförordningen, däribland kapitel II, i vilket artikel 6 ingår. Dessa undantag eller avvikelser ska begränsas till vad som är nödvändigt för att förena rätten till skydd av personuppgifter med yttrandefriheten och informationsfriheten.

61

Mot bakgrund av det ovan anförda ska den tredje till den sjätte frågan besvaras enligt följande. Artikel 6.1 e och artikel 58 i dataskyddsförordningen ska tolkas så, att dessa bestämmelser inte utgör hinder för att de behöriga myndigheterna i en medlemsstat antar en allmängiltig administrativ rättsakt i vilken det föreskrivs en begränsning eller, i förekommande fall, ett förbud mot att göra videoupptagningar vid registreringen av valresultatet i vallokalerna i denna medlemsstat.

Rättegångskostnader

62

Eftersom förfarandet i förhållande till parterna i det nationella målet utgör ett led i beredningen av samma mål, ankommer det på den hänskjutande domstolen att besluta om rättegångskostnaderna. De kostnader för att avge yttrande till domstolen som andra än nämnda parter har haft är inte ersättningsgilla.

 

Mot denna bakgrund beslutar domstolen (åttonde avdelningen) följande:

 

1)

Artikel 2.2 a i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning),

ska tolkas enligt följande:

Förordningens tillämpningsområde omfattar även behandling av personuppgifter i samband med anordnandet av val i en medlemsstat.

 

2)

Artikel 6.1 e och artikel 58 i förordning 2016/679

ska tolkas enligt följande:

Dessa bestämmelser utgör inte hinder för att de behöriga myndigheterna i en medlemsstat antar en allmängiltig administrativ rättsakt i vilken det föreskrivs en begränsning eller, i förekommande fall, ett förbud mot att göra videoupptagningar vid registreringen av valresultatet i vallokalerna i denna medlemsstat.

 

Underskrifter


( *1 ) Rättegångsspråk: bulgariska.