Affaire C-33/22, Österreichische Datenschutzbehörde: Arrêt de la Cour (Grande chambre) du 16 janvier 2024 (demande de décision préjudicielle du Verwaltungsgerichtshof — Autriche) — Österreichische Datenschutzbehörde / WK [Renvoi préjudiciel – Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Article 16 TFUE – Règlement (UE) 2016/679 – Article 2, paragraphe 2, sous a) – Champ d’application – Exclusions – Activités qui ne relèvent pas du champ d’application du droit de l’Union – Article 4, paragraphe 2, TUE – Activités relatives à la sécurité nationale – Commission d’enquête instituée par le parlement d’un État membre – Article 23, paragraphe 1, sous a) et h), articles 51 et 55 du règlement (UE) 2016/679 – Compétence de l’autorité de contrôle chargée de la protection des données – Article 77 – Droit d’introduire une réclamation auprès d’une autorité de contrôle – Effet direct]

1)

L’article 16, paragraphe 2, première phrase, TFUE et l’article 2, paragraphe 2, sous a), du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données),

doivent être interprétés en ce sens que:

une activité ne saurait être considérée comme située en dehors du champ d’application du droit de l’Union et comme échappant dès lors à l’application de ce règlement pour la seule raison qu’elle est exercée par une commission d’enquête mise en place par le parlement d’un État membre dans l’exercice de son pouvoir de contrôle du pouvoir exécutif.

2)

L’article 2, paragraphe 2, sous a), du règlement 2016/679, lu à la lumière du considérant 16 de ce règlement,

doit être interprété en ce sens que:

ne sauraient être considérées, en tant que telles, comme des activités relatives à la sécurité nationale situées en dehors du champ d’application du droit de l’Union, au sens de cette disposition, les activités d’une commission d’enquête mise en place par le parlement d’un État membre dans l’exercice de son pouvoir de contrôle du pouvoir exécutif, ayant pour objet d’enquêter sur les activités d’une autorité policière de protection de l’État en raison d’un soupçon d’influence politique sur cette autorité.

3)

L’article 77, paragraphe 1, et l’article 55, paragraphe 1, du règlement 2016/679

doivent être interprétés en ce sens que:

lorsqu’un État membre a fait le choix, conformément à l’article 51, paragraphe 1, de ce règlement, d’instituer une seule autorité de contrôle, sans toutefois lui attribuer la compétence pour surveiller l’application dudit règlement par une commission d’enquête mise en place par le parlement de cet État membre dans l’exercice de son pouvoir de contrôle du pouvoir exécutif, ces dispositions confèrent directement à cette autorité la compétence pour connaître des réclamations relatives à des traitements de données à caractère personnel effectués par ladite commission d’enquête.