Séparation des pouvoirs et contrôle du respect du RGPD : quid si l’activité vise à préserver la sécurité nationale ?

Une commission d’enquête parlementaire doit respecter en principe le règlement général sur la protection des données lorsqu’elle exerce son pouvoir de contrôle de l’exécutif. Il en va différemment lorsqu’elle exerce effectivement une activité visant à préserver la sécurité nationale.

Une commission d’enquête, qui relève du pouvoir législatif et mène une enquête concernant des activités de sécurité nationale, est-elle soumise au règlement général sur la protection des données (RGPD) et au contrôle de l’autorité de la protection des données ? Interrogée, la Cour de justice de l’Union européenne (CJUE) juge dans un arrêt rendu ce jour, 16 janvier, qu’une commission d’enquête mise en place par le parlement d’un État membre dans l’exercice de son pouvoir de contrôler le pouvoir exécutif doit, en principe, respecter le règlement général sur la protection des données (RGPD).

De plus, lorsqu’il n’y a, dans cet État membre, qu’une seule autorité de contrôle, celle-ci est, en principe également, compétente pour contrôler le respect du RGPD par la commission d’enquête.

En revanche, lorsque la commission d’enquête exerce effectivement une activité visant comme telle à préserver la sécurité nationale, elle n’est pas soumise au RGPD ni, par conséquent, au contrôle de l’autorité de contrôle.