WYROK TRYBUNAŁU (trzecia izba)
z dnia 9 lipca 2020 r.(*)
Odesłanie prejudycjalne – Artykuł 267 TFUE – Pojęcie „sądu” – Ochrona osób fizycznych w zakresie przetwarzania danych osobowych – Rozporządzenie (UE) 2016/679 – Zakres stosowania – Artykuł 2 ust. 2 lit. a) – Pojęcie „działalności nieobjętej zakresem prawa Unii” – Artykuł 4 pkt 7 – Pojęcie „administratora danych” – Komisja ds. petycji parlamentu kraju związkowego państwa członkowskiego – Artykuł 15 – Prawo dostępu przysługujące osobie, której dane dotyczą
W sprawie C‑272/19
mającej za przedmiot wniosek o wydanie, na podstawie art. 267 TFUE, orzeczenia w trybie prejudycjalnym, złożony przez Verwaltungsgericht Wiesbaden (sąd administracyjny w Wiesbaden, Niemcy) postanowieniem z dnia 27 marca 2019 r., które wpłynęło do Trybunału w dniu 1 kwietnia 2019 r., w postępowaniu:
VQ
przeciwko
Land Hessen,
TRYBUNAŁ (trzecia izba),
w składzie: A. Prechal, prezes izby, L.S. Rossi (sprawozdawczyni), J. Malenovský, F. Biltgen i N. Wahl, sędziowie,
rzecznik generalny: M. Szpunar,
sekretarz: A. Calot Escobar,
uwzględniając pisemny etap postępowania,
rozważywszy uwagi, które przedstawili:
– w imieniu VQ – A.-K. Pantaleon, genannt Stemberg, Rechtsanwältin,
– w imieniu Land Hessen – H.-G. Kamann, M. Braun i L. Hesse, Rechtsanwälte,
– w imieniu rządu niemieckiego – J. Möller, M. Hellmann i A. Berg, w charakterze pełnomocników,
– w imieniu rządu czeskiego – M. Smolek, O. Serdula i J. Vláčil, w charakterze pełnomocników,
– w imieniu rządu estońskiego – N. Grünberg, w charakterze pełnomocnika,
– w imieniu rządu polskiego – B. Majczyna, w charakterze pełnomocnika,
– w imieniu Komisji Europejskiej – H. Krämer, D. Nardi i F. Erlbacher, w charakterze pełnomocników,
podjąwszy, po wysłuchaniu rzecznika generalnego, decyzję o rozstrzygnięciu sprawy bez opinii,
wydaje następujący
Wyrok
1 Wniosek o wydanie orzeczenia w trybie prejudycjalnym dotyczy wykładni z jednej strony art. 4 pkt 7 i art. 15 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych) (Dz.U. 2016, L 119, s. 1) oraz, z drugiej strony, art. 267 TFUE w związku z art. 47 akapit drugi Karty praw podstawowych Unii Europejskiej (zwanej dalej „kartą”).
2 Wniosek ten został złożony w ramach sporu pomiędzy VQ a Land Hessen (krajem związkowym Hesja, Niemcy) w przedmiocie zgodności z prawem oddalenia przez przewodniczącego Hessischer Landtag (parlamentu kraju związkowego Hesja) wniosku zainteresowanego o dostęp do dotyczących go danych osobowych zarejestrowanych przez komisję ds. petycji tego parlamentu.
Ramy prawne
Prawo Unii
Dyrektywa 95/46
3 Dyrektywa 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz.U. 1995, L 281, s. 31 – wyd. spec. w jęz. polskim, t. 15, rozdz. 13, s. 355), uchylona rozporządzeniem 2016/679, zawierała art. 3 zatytułowany „Zakres obowiązywania”, który przewidywał:
„1. Niniejsza dyrektywa stosuje się do przetwarzania danych osobowych w całości lub w części w sposób zautomatyzowany oraz innego przetwarzania danych osobowych, stanowiących część zbioru danych lub mających stanowić część zbioru danych.
2. Niniejsza dyrektywa nie ma zastosowania do przetwarzania danych osobowych:
– w ramach działalności wykraczającej poza zakres prawa Wspólnoty, jak np. dane, o których stanowi tytuł V i VI Traktatu o Unii Europejskiej, a w żadnym razie do działalności na rzecz bezpieczeństwa publicznego, obronności, bezpieczeństwa państwa (łącznie z dobrą kondycją gospodarczą państwa, gdy działalność ta dotyczy spraw związanych z bezpieczeństwem państwa) oraz działalności państwa w obszarach prawa karnego,
– przez osobę fizyczną w trakcie czynności o czysto osobistym lub domowym charakterze”.
Rozporządzenie 2016/679
4 Motywy 16 i 20 rozporządzenia 2016/679 stanowią:
„(16) Niniejsze rozporządzenie nie ma zastosowania do kwestii ochrony podstawowych praw i wolności ani do swobodnego przepływu danych osobowych w związku z działalnością nieobjętą zakresem prawa Unii, taką jak działalność dotycząca bezpieczeństwa narodowego. Niniejsze rozporządzenie nie ma zastosowania do przetwarzania danych osobowych przez państwa członkowskie w związku z działaniami związanymi ze wspólną polityką zagraniczną i bezpieczeństwa Unii.
[…]
(20) Niniejsze rozporządzenie ma zastosowanie między innymi do działań sądów i innych organów wymiaru sprawiedliwości, niemniej prawo Unii lub prawo państwa członkowskiego [państw członkowskich] może doprecyzować operacje i procedury przetwarzania danych osobowych przez sądy i inne organy wymiaru sprawiedliwości. Właściwość organów nadzorczych nie powinna dotyczyć przetwarzania danych osobowych przez sądy w ramach sprawowania wymiaru sprawiedliwości – tak by chronić niezawisłość sprawowania wymiaru sprawiedliwości [w ramach wykonywania ich funkcji sądowniczych, w tym również przy wydawaniu orzeczeń]. Powinna istnieć możliwość powierzenia nadzoru nad takimi operacjami przetwarzania danych specjalnym organom w systemie wymiaru sprawiedliwości państwa członkowskiego, organy te powinny w szczególności zapewnić przestrzeganie przepisów niniejszego rozporządzenia, zwiększać w wymiarze sprawiedliwości wiedzę o jego obowiązkach wynikających z niniejszego rozporządzenia oraz rozpatrywać skargi związane z takimi operacjami przetwarzania danych”.
5 Artykuł 2 tego rozporządzenia, zatytułowany „Materialny zakres stosowania”, stanowi:
„1. Niniejsze rozporządzenie ma zastosowanie do przetwarzania danych osobowych w sposób całkowicie lub częściowo zautomatyzowany oraz do przetwarzania w sposób inny niż zautomatyzowany danych osobowych stanowiących część zbioru danych lub mających stanowić część zbioru danych.
2. Niniejsze rozporządzenie nie ma zastosowania do przetwarzania danych osobowych:
a) w ramach działalności nieobjętej zakresem prawa Unii;
b) przez państwa członkowskie w ramach wykonywania działań wchodzących w zakres tytułu V rozdział 2 TUE;
c) przez osobę fizyczną w ramach czynności o czysto osobistym lub domowym charakterze;
d) przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych lub wykonywania kar, w tym ochrony przed zagrożeniami dla bezpieczeństwa publicznego i zapobiegania takim zagrożeniom.
[…]”.
6 Artykuł 4 tego rozporządzenia, zatytułowany „Definicje”, stanowi:
„Na użytek niniejszego rozporządzenia:
[…]
7) »administrator [danych]« oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych; jeżeli cele i sposoby takiego przetwarzania są określone w prawie Unii lub w prawie państwa członkowskiego, to również w prawie Unii lub w prawie państwa członkowskiego może zostać wyznaczony administrator [danych] lub mogą zostać określone konkretne kryteria jego wyznaczania;
[…]”.
7 Artykuł 15 wspomnianego rozporządzenia, zatytułowany „Prawo dostępu przysługujące osobie, której dane dotyczą”, stanowi w ust. 1:
„Osoba, której dane dotyczą, jest uprawniona do uzyskania od administratora [danych] potwierdzenia, czy przetwarzane są dane osobowe jej dotyczące, a jeżeli ma to miejsce, jest uprawniona do uzyskania dostępu do nich oraz następujących informacji:
[…]”.
8 Artykuł 23 rozporządzenia 2016/679, zatytułowany „Ograniczenia”, przewiduje w ust. 1:
„Prawo Unii lub prawo państwa członkowskiego, któremu podlegają administrator danych lub podmiot przetwarzający, może aktem prawnym ograniczyć zakres obowiązków i praw przewidzianych w art. 12–22 i w art. 34, a także w art. 5 – o ile jego przepisy odpowiadają prawom i obowiązkom przewidzianym w art. 12–22 – jeżeli ograniczenie takie nie narusza istoty podstawowych praw i wolności oraz jest w demokratycznym społeczeństwie środkiem niezbędnym i proporcjonalnym, służącym:
a) bezpieczeństwu narodowemu;
b) obronie;
c) bezpieczeństwu publicznemu;
d) zapobieganiu przestępczości, prowadzeniu postępowań przygotowawczych, wykrywaniu lub ściganiu czynów zabronionych lub wykonywaniu kar, w tym ochronie przed zagrożeniami dla bezpieczeństwa publicznego i zapobieganiu takim zagrożeniom;
e) innym ważnym celom leżącym w ogólnym interesie publicznym Unii lub państwa członkowskiego, w szczególności ważnemu interesowi gospodarczemu lub finansowemu Unii lub państwa członkowskiego, w tym kwestiom pieniężnym, budżetowym i podatkowym, zdrowiu publicznemu i zabezpieczeniu społecznemu;
f) ochronie niezależności sądów i postępowania sądowego;
g) zapobieganiu naruszeniom zasad etyki w zawodach regulowanych, prowadzeniu postępowań w takich sprawach, ich wykrywaniu oraz ściganiu;
h) funkcjom kontrolnym, inspekcyjnym lub regulacyjnym związanym, nawet sporadycznie, ze sprawowaniem władzy publicznej w przypadkach, o których mowa w lit. a)–e) oraz g);
i) ochronie osoby, której dane dotyczą, lub praw i wolności innych osób;
j) egzekucji roszczeń cywilnoprawnych”.
Prawo niemieckie
Prawo federalne
9 Artykuł 97 Grundgesetz für die Bundesrepublik Deutschland (ustawy zasadniczej Republiki Federalnej Niemiec) stanowi:
„(1) Sędziowie są niezawiśli i podlegają wyłącznie ustawom.
(2) Sędziowie mianowani na etatach planowych i na czas nieokreślony mogą zostać odwołani przed upływem kadencji i wbrew swojej woli, definitywnie lub tymczasowo zawieszeni w pełnieniu obowiązków, przeniesieni na inne stanowisko lub przeniesieni w stan spoczynku wyłącznie na mocy orzeczenia sądowego oraz wyłącznie z powodów i w formie określonych w ustawie. Ustawodawstwo może określać granicę wieku, po osiągnięciu której sędziowie mianowani dożywotnio są uprawnieni do przejścia w stan spoczynku. W przypadku zmian w ustroju sądów lub granic ich okręgów sędziowie mogą zostać przeniesieni do innego sądu lub pozbawieni urzędu, lecz tylko przy zachowaniu pełnego wynagrodzenia”.
10 Paragraf 26 Deutsches Richtergesetz (niemieckiej ustawy o statusie sędziów, zwanej dalej „DRiG”) ma następujące brzmienie:
„(1) Sędzia podlega kontroli dyscyplinarnej jedynie w zakresie, w jakim nie narusza to jego niezawisłości.
(2) Bez uszczerbku dla ust. 1 kontrola dyscyplinarna obejmuje również uprawnienie do stawiania sędziemu zarzutów niezgodnego z prawem sposobu wywiązania się z obowiązków i wezwania go do należytego i bez zwłoki wywiązania się ze swoich obowiązków.
(3) Jeżeli sędzia twierdzi, że środek kontroli dyscyplinarnej narusza jego niezawisłość, sąd, na wniosek tego sędziego, orzeka zgodnie z niniejszą ustawą”.
Prawo kraju związkowego Hesja
11 Artykuł 126 Verfassung des Landes Hessen (konstytucji kraju związkowego Hesja) stanowi:
„(1) Władzę sądowniczą sprawują wyłącznie sądy ustanowione zgodnie z prawem.
(2) Sędziowie są niezawiśli i podlegają wyłącznie ustawom”.
12 Artykuł 127 tej konstytucji ma następujące brzmienie:
„(1) Sędziowie mianowani są powoływani na urząd sędziego dożywotnio.
(2) Sędziowie są mianowani dożywotnio tylko wtedy, gdy po tymczasowym zatrudnieniu na okres próbny, którego czas trwania jest określony przez ustawę, dają oni ze względu na swoją osobowość i działalność w charakterze sędziego rękojmię pełnienia swoich funkcji w duchu demokracji i rozumienia spraw społecznych.
(3) Decyzja o tymczasowym zatrudnieniu i dożywotnim mianowaniu jest podejmowana wspólnie przez ministra sprawiedliwości i komisję ds. wyboru sędziów.
[…]”.
13 Paragraf 2b Hessisches Richtergesetz (ustawy kraju związkowego Hesja o statusie sędziów, zwanej dalej „HRiG”) stanowi:
„Ocena zdolności do pełnienia urzędu, kompetencji i pracy sędziów podlega wytycznym ministerstwa sprawiedliwości”.
14 Paragraf 3 HRiG stanowi:
„Sędziowie są mianowani przez ministra sprawiedliwości”.
15 Paragraf 18 Verwaltungsgerichtsordnung (kodeksu postępowania przed sądami administracyjnymi) ma następujące brzmienie:
„W celu zaspokojenia tymczasowego zapotrzebowania kadrowego urzędnik mianowany dożywotnio, posiadający dyplomy wymagane do wykonywania obowiązków sędziego, może zostać mianowany na sędziego tymczasowego na okres co najmniej dwóch lat i maksymalnie na okres pełnienia przez niego służby na zasadniczym stanowisku. Paragraf 15 ust. 1 zdania pierwsze i trzecie oraz § 15 ust. 2 DRiG stosuje się odpowiednio”.
16 Hessisches Datenschutz- und Informationsfreiheitsgesetz (ustawa kraju związkowego Hesja o ochronie danych i wolności informacji), która dostosowuje prawo kraju związkowego Hesja w zakresie ochrony danych między innymi do rozporządzenia 2016/679, stanowi w § 30 ust. 1:
„Z wyjątkiem §§ 15 i 29 przepisy niniejszej ustawy mają zastosowanie do parlamentu kraju związkowego wyłącznie w zakresie, w jakim działa on w sprawach administracyjnych, w szczególności w sprawach gospodarczych parlamentu kraju związkowego, zarządzania personelem lub wdrażania przepisów ustawowych, których wykonanie spoczywa na przewodniczącym lub przewodniczącej parlamentu kraju związkowego. Ponadto parlament kraju związkowego przyjmuje regulamin wewnętrzny w zakresie ochrony danych zgodnie z jego statutem konstytucyjnym. […]”.
17 Załącznik 2 do Geschäftsordnung des Hessischen Landtags (regulaminu parlamentu kraju związkowego Hesja) z dnia 16 grudnia 1993 r. zawiera wytyczne dotyczące przetwarzania informacji niejawnych w dziedzinie parlamentu kraju związkowego Hesja z 1986 r., które w art. 13, zatytułowanym „Ochrona tajemnicy prywatnej”, stanowią:
„(1) W zakresie, w jakim wymaga tego ochrona tajemnicy osobistej, handlowej lub przedsiębiorstwa, akta, inne dokumenty i sprawozdania z posiedzeń komisji muszą być zachowane w tajemnicy. Dotyczy to w szczególności akt spraw podatkowych i petycji. […]
(2) Dostęp do takich akt lub dokumentów jest zastrzeżony dla członków właściwej komisji. To samo dotyczy przeglądania protokołów z obrad komisji w kwestiach wymagających poszanowania tajemnicy w rozumieniu ust. 1. Komisja podejmuje decyzję o przedłożeniu protokołów”.
Postępowanie główne i pytania prejudycjalne
18 Po złożeniu petycji do komisji ds. petycji parlamentu kraju związkowego Hesja VQ, działając na podstawie art. 15 rozporządzenia 2016/679, zażądał od tej komisji dostępu do dotyczących go danych osobowych, zarejestrowanych przez tę komisję w ramach rozpatrywania petycji.
19 Przewodniczący parlamentu kraju związkowego Hesja postanowił oddalić ten wniosek na tej podstawie, że postępowanie w sprawie petycji stanowi działalność parlamentarną i że wspomniany parlament nie jest objęty zakresem stosowania rozporządzenia 2016/679.
20 W dniu 22 marca 2013 r. VQ wniósł skargę do Verwaltungsgericht Wiesbaden (sądu administracyjnego w Wiesbaden, Niemcy) na decyzję przewodniczącego parlamentu kraju związkowego Hesja oddalającą jego wniosek.
21 Sąd ten zauważa, że biorąc pod uwagę w szczególności art. 13 wytycznych dotyczących przetwarzania informacji niejawnych w dziedzinie parlamentu kraju związkowego Hesja z 1986 r., prawo niemieckie nie przyznaje żadnego prawa dostępu do danych osobowych w ramach petycji takiej jak rozpatrywana w postępowaniu głównym.
22 Jednakże w pierwszej kolejności zastanawia się on, czy komisja ds. petycji parlamentu kraju związkowego Hesja może zostać zakwalifikowana jako „organ publiczny” w rozumieniu art. 4 pkt 7 rozporządzenia 2016/679 i czy może w niniejszym przypadku zostać uznana za „administratora danych” w odniesieniu do danych osobowych VQ. W takim wypadku skarżący mógłby powołać się na prawo dostępu na podstawie art. 15 wspomnianego rozporządzenia.
23 Tymczasem rozporządzenie 2016/679 nie zawiera żadnej definicji pojęcia „organu publicznego”. Zdaniem Verwaltungsgericht Wiesbaden (sądu administracyjnego w Wiesbaden) temu wyrażeniu można nadać znaczenie funkcjonalne lub znaczenie instytucjonalne. Zgodnie z pierwszym z tych znaczeń „organy publiczne” oznaczają wszystkie podmioty publiczne wykonujące zadania z zakresu administracji publicznej, w tym również parlament kraju związkowego Hesja przy wykonywaniu takich zadań. Zgodnie z drugim z tych znaczeń komisja ds. petycji tego parlamentu jest podmiotem autonomicznym, a zatem organem publicznym w znaczeniu instytucjonalnym. Nie uczestniczy ona w działalności prawodawczej tego parlamentu, ponieważ, po pierwsze, jej działalność nie ma charakteru wiążącego, a po drugie, nie dysponuje ona ani prawem inicjatywy, ani prawem stanowienia norm, ponieważ jej działanie zawsze zależy od petycji obywatela i treści wniosku.
24 Ponadto, skoro art. 2 ust. 2 rozporządzenia 2016/679 nie wyklucza organów lub instytucji pełniących funkcje o charakterze sądowym lub prawodawczym, przepis ten oznacza, że należy przyjąć szeroką koncepcję pojęcia administracji, a zatem organu publicznego. Zatem w świetle prawa do składania petycji nic nie odróżnia tej komisji od każdego innego organu administracyjnego kraju związkowego Hesja.
25 Verwaltungsgericht Wiesbaden (sąd administracyjny w Wiesbaden) uważa zatem, że komisja ds. petycji parlamentu kraju związkowego Hesja jest „organem publicznym” w rozumieniu art. 4 pkt 7 tego rozporządzenia i że względy nie stoją w niniejszym przypadku na przeszkodzie skorzystaniu z prawa dostępu na podstawie art. 15 wspomnianego rozporządzenia.
26 Tymczasem sąd ten zastanawia się, w drugiej kolejności, czy on sam może zostać uznany za „sąd” w rozumieniu art. 267 TFUE w związku z art. 47 akapit drugi karty w świetle kryteriów wypracowanych w tym względzie przez Trybunał, w szczególności kryterium dotyczącego niezawisłości danego organu.
27 W tym względzie przypomina on, że wymóg niezależności obejmuje dwa aspekty. Pierwszy aspekt – zewnętrzny – zakłada, że organ wykonuje swe funkcje całkowicie niezależnie, bez podlegania jakiejkolwiek hierarchii służbowej i nie otrzymuje nakazów czy poleceń z jakiegokolwiek źródła, przez co jest chroniony przed ingerencją i naciskami zewnętrznymi mogącymi zagrozić niezależności orzeczeń jego członków przy rozpatrywaniu przez nich sporów. Drugi aspekt, o charakterze wewnętrznym, łączy się z kolei z pojęciem bezstronności i dotyczy jednakowego dystansu względem stron sporu i ich odpowiednich interesów w odniesieniu do jego przedmiotu. Aspekt ten wymaga przestrzegania obiektywizmu oraz braku wszelkiego interesu przy rozstrzyganiu sporu poza ścisłym stosowaniem norm prawa.
28 Jeśli chodzi o zewnętrzny aspekt niezawisłości, związanie sądu z ministerstwem sprawiedliwości oznacza, że sąd ten nie może wykonywać swoich funkcji w sposób całkowicie niezależny. W niniejszym przypadku organizacja sądów kraju związkowego Hesja została narzucona przez ministerstwo sprawiedliwości tego kraju związkowego. W szczególności ministerstwo to określiło środki komunikacji (telefon, faks, Internet i inne) oraz wyposażenie informatyczne, w szczególności „HessenPC”, zaprojektowane dla administracji z dostawcą centralnym, czyli Hessische Zentrale für Datenverarbeitung (centralą ds. przetwarzania danych kraju związkowego Hesja), podległym ministerstwu finansów kraju związkowego Hesja. Dostawca ten zapewnia również konserwację wszystkich tych urządzeń, w związku z czym administracja ma możliwość dostępu do wszystkich danych sądów.
29 Samo ryzyko wywierania wpływu politycznego na sądy, w szczególności za pośrednictwem wyposażenia lub personelu wyznaczonego przez ministerstwo sprawiedliwości, wystarczyłoby do pociągnięcia za sobą wystąpienia ryzyka ingerencji w ich decyzje i mogłoby mieć wpływ na niezależność sądów przy wykonywaniu ich zadań. W tym celu wystarczyłaby nawet zakładana presja wywierana w celu szybkiego załatwienia spraw za pomocą statystyk nakładu pracy, którymi zarządza wspomniane ministerstwo.
30 Ponadto sądy kraju związkowego Hesja nie korzystają z autonomicznej kontroli w zakresie ochrony danych, ponieważ zasadniczo przetwarzania danych wymaga na ogół ministerstwo sprawiedliwości kraju związkowego Hesja, w związku z czym nie przeprowadza się kontroli sądowej, o której mowa w motywie 20 rozporządzenia 2016/679.
31 W odniesieniu do aspektu wewnętrznego niezawisłości Verwaltungsgericht Wiesbaden (sąd administracyjny w Wiesbaden) wyjaśnia, że niemieckie prawo konstytucyjne nie gwarantuje niezawisłości instytucjonalnej sądów.
32 Przede wszystkim bowiem – jak wynika z §§ 2b i 3 HRiG – mianowanie, ocena i awans sędziów, w tym sędziów tworzących sąd odsyłający, należą do ministra sprawiedliwości kraju związkowego Hesja. Wynika z tego, że przepisy prawa służby publicznej znajdują do nich zastosowanie, tak że wspomniany minister powinien w szczególności decydować o wyjazdach służbowych sędziów za granice, takich jak te odbywające się w ramach Europejskiej Sieci Kształcenia Sądowego.
33 Następnie, zgodnie z art. 18 kodeksu postępowania administracyjnego, w celu zaspokojenia tymczasowego zapotrzebowania kadrowego urzędnik może zostać powołany na stanowisko sędziego tymczasowego. Tymczasem taki sędzia może wywodzić się z organu publicznego, który może przed nim występować w charakterze strony pozwanej w postępowaniu sądowym.
34 Ponadto ministerstwo sprawiedliwości kraju związkowego Hesja wpisywało informacje zawodowe dotyczące wszystkich sędziów do systemu zarządzania zasobami ludzkimi zależnego od rządu kraju związkowego Hesja, tak że wszystkie organy administracyjne tego kraju związkowego mogły uzyskać dostęp do tych danych, mimo że mogą one mieć status strony w sprawie toczącej się przed tymi samymi sądami.
35 Wreszcie ministerstwo sprawiedliwości decyduje również o liczbie sędziów i stanowisk poszczególnych sądów, personelu „spoza grona sędziów”, przydzielonego w rzeczywistości władzy wykonawczej, a także wyposażenia informatycznego każdego sądu.
36 Tym samym sądom przysługuje jedynie niezależność funkcjonalna, ponieważ zgodnie z art. 126 konstytucji kraju związkowego Hesja jedynie sędziowie są niezależni i podlegają ustawie. Jednakże taka niezależność funkcjonalna sama w sobie jest niewystarczająca do ochrony sądów przed jakimkolwiek wpływem zewnętrznym.
37 Verwaltungsgericht Wiesbaden (sąd administracyjny w Wiesbaden) wyciąga z tego wniosek, że prawdopodobnie nie spełnia on przewidzianych w art. 47 akapit drugi karty przesłanek uznania go za niezawisły i bezstronny sąd.
38 W tych okolicznościach Verwaltungsgericht Wiesbaden (sąd administracyjny w Wiesbaden) postanowił zawiesić postępowanie i zwrócić się do Trybunału z następującymi pytaniami prejudycjalnymi:
„1) Czy art. 15 [rozporządzenia 2016/679], [zatytułowany »Prawo dostępu przysługujące osobie, której dane dotyczą«], znajduje zastosowanie do komisji parlamentu kraju związkowego państwa członkowskiego odpowiedzialnej za rozpatrywanie petycji obywateli – tu komisji ds. petycji parlamentu krajowego kraju związkowego Hesja – i czy taką komisję należy kwalifikować jako organ publiczny w rozumieniu art. 4 pkt 7 [rozporządzenia 2016/679]?
2) Czy sąd odsyłający jest niezawisłym i bezstronnym sądem w rozumieniu art. 267 TFUE w związku z art. 47 akapit drugi [karty]?”.
W przedmiocie właściwości Trybunału
39 W swoich uwagach rząd polski kwestionuje właściwość Trybunału, w szczególności do orzekania w przedmiocie pytania drugiego, ponieważ prawo Unii nie reguluje organizacji sądowniczej państw członkowskich, a w konsekwencji kwestia ta podlega wyłącznie prawu krajowemu.
40 Wystarczy stwierdzić w tym względzie, że wniosek o wydanie orzeczenia w trybie prejudycjalnym dotyczy wykładni prawa Unii, czy to rozporządzenia 2016/679, czy też art. 267 TFUE w związku z art. 47 karty.
41 W tych okolicznościach Trybunał jest oczywiście właściwy do orzekania w przedmiocie tego wniosku w całości, czyli zarówno w przedmiocie pytania pierwszego, jak i drugiego [zob. podobnie wyrok z dnia 19 listopada 2019 r., A.K. i in. (niezależność Izby Dyscyplinarnej Sądu Najwyższego), C‑585/18, C‑624/18 i C‑625/18, EU:C:2019:982, pkt 74, 75].
W przedmiocie dopuszczalności wniosku o wydanie orzeczenia w trybie prejudycjalnym
42 Poprzez pytanie drugie Verwaltungsgericht Wiesbaden (sąd administracyjny w Wiesbaden) wyraża wątpliwości co do swojego statusu „sądu” w rozumieniu art. 267 TFUE w świetle art. 47 karty. Zwraca się on zatem w rzeczywistości do Trybunału o zbadanie dopuszczalności jego wniosku o wydanie orzeczenia w trybie prejudycjalnym, ponieważ status „sądu” w rozumieniu wspomnianego art. 267 stanowi przesłankę tej dopuszczalności, a w konsekwencji przesłankę dokonania przez Trybunał wykładni przepisu prawa Unii, o którym mowa w pytaniu pierwszym.
43 Zgodnie z utrwalonym orzecznictwem w celu dokonania oceny, czy organ występujący z wnioskiem o wydanie orzeczenia w trybie prejudycjalnym ma charakter „sądu” w rozumieniu art. 267 TFUE – co stanowi wyłącznie kwestię prawa Unii – a zatem dla oceny dopuszczalności wniosku o wydanie orzeczenia w trybie prejudycjalnym, Trybunał bierze pod uwagę całokształt okoliczności, takich jak ustanowienie organu na podstawie ustawy, jego stały charakter, obligatoryjny charakter jego jurysdykcji, kontradyktoryjność postępowania, stosowanie przez organ przepisów prawa oraz jego niezawisłość (zob. podobnie wyrok z dnia 21 stycznia 2020 r., Banco de Santander, C‑274/14, EU:C:2020:17, pkt 51 i przytoczone tam orzecznictwo).
44 Wątpliwości wyrażone przez Verwaltungsgericht Wiesbaden (sąd administracyjny w Wiesbaden) dotyczą jego niezależności od władzy ustawodawczej lub władzy wykonawczej. Wątpliwości te opierają się na okolicznościach, zgodnie z którymi, po pierwsze, sędziowie są mianowani i awansowani przez ministra sprawiedliwości, po drugie, ocena sędziów jest regulowana przez ministerstwo sprawiedliwości zgodnie z tymi samymi przepisami, które mają zastosowanie do urzędników, po trzecie, dane osobowe i informacje służbowe dotyczące sędziów są administrowane przez to ministerstwo, które ma wobec tego dostęp do tych danych, po czwarte, w celu zaspokojenia tymczasowego zapotrzebowania kadrowego urzędnicy mogą być powoływani jako sędziowie tymczasowi i, po piąte, wspomniane ministerstwo określa organizację zewnętrzną i wewnętrzną sądów, wyznacza przydział personelu, środków komunikacji i sprzętu komputerowego sądów oraz decyduje również o wyjazdach służbowych sędziów za granicę.
45 W tym względzie należy przypomnieć, że niezawisłość sądów państw członkowskich ma fundamentalne znaczenie dla porządku prawnego Unii Europejskiej z różnych względów. Przede wszystkim wchodzi ona w zakres zasady państwa prawnego, należącej do wartości, na których zgodnie z art. 2 TUE opiera się Unia i które są wspólne dla państw członkowskich, a także w zakres art. 19 TUE, który konkretyzuje tę wartość i powierza zadanie zapewnienia kontroli prawnej w tym porządku również sądom krajowym (zob. podobnie wyrok z dnia 27 lutego 2018 r., Associação Sindical dos Juízes Portugueses, C‑64/16, EU:C:2018:117, pkt 32). Następnie owa niezawisłość jest warunkiem koniecznym dla zagwarantowania podmiotom prawa, w zakresie stosowania prawa Unii, prawa podstawowego do niezawisłego i bezstronnego sądu przewidzianego w art. 47 karty, które ma podstawowe znaczenie jako gwarancja ochrony wszystkich praw wywodzonych przez jednostki z prawa Unii (zob. podobnie w szczególności wyrok z dnia 26 marca 2020 r., szczególna procedura kontroli orzeczenia Simpson/Rada i HG/Komisja, C‑542/18 RX-II i C‑543/18 RX-II, EU:C:2020:232, pkt 70, 71 i przytoczone tam orzecznictwo). Wreszcie owa niezawisłość sądów krajowych ma zasadnicze znaczenie dla prawidłowego funkcjonowania systemu współpracy sądowej pod postacią mechanizmu odesłania prejudycjalnego przewidzianego w art. 267 TFUE, jako że mechanizm ten może zostać uruchomiony wyłącznie przez organ, którego zadaniem jest stosowanie prawa Unii, spełniający w szczególności rzeczone kryterium niezawisłości (zob. w szczególności wyrok z dnia 21 stycznia 2020 r., Banco de Santander, C‑274/14, EU:C:2020:17, pkt 56 i przytoczone tam orzecznictwo).
46 Zatem w celu zbadania dopuszczalności wniosku o wydanie orzeczenia w trybie prejudycjalnym kryterium dotyczące niezawisłości, jakie powinien spełniać organ odsyłający, aby mógł zostać uznany za „sąd” w rozumieniu art. 267 TFUE, może być oceniane wyłącznie w świetle tego przepisu.
47 Wynika z tego – jak podkreśla Komisja Europejska – że w niniejszym przypadku ocena ta powinna dotyczyć niezawisłości samego tylko Verwaltungsgericht Wiesbaden (sądu administracyjnego w Wiesbaden) w ramach sporu w postępowaniu głównym, który dotyczy – jak wynika z pkt 22–25 niniejszego wyroku – wykładni prawa Unii, a mianowicie rozporządzenia 2016/679.
48 W tym względzie niektóre okoliczności przedstawione przez wspomniany sąd administracyjny są w sposób oczywisty pozbawione znaczenia dla tej oceny.
49 Jest tak w pierwszej kolejności w przypadku przepisów dotyczących postępowania w sprawie mianowania sędziów tymczasowych, ponieważ sędziowie ci nie są częścią składu orzekającego, do którego w tym przypadku należy wyłącznie prezes Verwaltungsgericht Wiesbaden (sądu administracyjnego w Wiesbaden).
50 W drugiej kolejności, jeśli chodzi o rolę ministerstwa sprawiedliwości kraju związkowego Hesja w zakresie zarządzania wyjazdami służbowymi sędziów lub organizacji sądów, określania członków personelu, zarządzania środkami komunikacji i wyposażenia informatycznego oraz zarządzania danymi osobowymi, wystarczy zauważyć, że wniosek o wydanie orzeczenia w trybie prejudycjalnym nie zawiera żadnej informacji pozwalającej zrozumieć, w jakim zakresie okoliczności te mogłyby podważyć w postępowaniu głównym niezależność Verwaltungsgericht Wiesbaden (sądu administracyjnego Wiesbaden).
51 Pozostaje zatem zasadniczo zbadać wpływ, jaki władza ustawodawcza lub władza wykonawcza mogą wywierać na sędziów wchodzących w skład tego sądu administracyjnego ze względu na ich zaangażowanie w mianowanie, awans i ocenę tych sędziów.
52 Zgodnie z utrwalonym orzecznictwem gwarancje niezawisłości i bezstronności, z których powinny korzystać sądy państw członkowskich, wymagają istnienia zasad – w szczególności co do składu organu, mianowania, okresu trwania kadencji oraz powodów wstrzymywania się od głosu, wyłączenia i odwołania jego członków – pozwalających wykluczyć, w przekonaniu podmiotów prawa, wszelką uzasadnioną wątpliwość co do niezależności tego organu od czynników zewnętrznych oraz co do jego neutralności w odniesieniu do sprzecznych ze sobą interesów (wyrok z dnia 21 stycznia 2020 r., Banco de Santander, C‑274/14, EU:C:2020:17, pkt 63 i przytoczone tam orzecznictwo).
53 W tym względzie rząd niemiecki uściśla, że w niniejszej sprawie sędziowie posiadają autonomiczny status w ramach służby publicznej, zapewniony w szczególności przez gwarancję nieusuwalności, o której mowa w art. 97 ustawy zasadniczej Republiki Federalnej Niemiec, przez właściwość wymiaru sprawiedliwości w zakresie ochrony sądowej sędziów, a także przez procedurę mianowania, w której to procedurze komisja ds. wyboru sędziów odgrywa decydującą rolę. W skład tej komisji, przewidzianej w art. 127 konstytucji kraju związkowego Hesja, wchodzi siedmiu członków mianowanych przez parlament tego kraju związkowego, pięciu członków wywodzących się z grona sędziów oraz – w drodze rotacji rocznej – z przewodniczącego jednej z dwóch izb adwokackich tego kraju związkowego. Członkowie wyznaczeni przez wspomniany parlament w sposób proporcjonalny do jego składu powinni zapewnić demokratyczną legitymację rzeczonej komisji.
54 Co się tyczy warunków mianowania sędziego orzekającego w sądzie odsyłającym, należy na wstępie przypomnieć, że sam fakt, iż władze ustawodawcze lub wykonawcze uczestniczą w procesie mianowania sędziego, nie może prowadzić do powstania zależności sędziego od tych władz ani do wzbudzenia wątpliwości co do jego bezstronności, jeśli po mianowaniu zainteresowany nie podlega żadnej presji i nie otrzymuje instrukcji w ramach wykonywania swoich obowiązków [zob. podobnie wyrok z dnia 19 listopada 2019 r., A.K. i in. (niezależność Izby Dyscyplinarnej Sądu Najwyższego), C‑585/18, C‑624/18 i C‑625/18, EU:C:2019:982, pkt 133 i przytoczone tam orzecznictwo].
55 Verwaltungsgericht Wiesbaden (sąd administracyjny w Wiesbaden) wydaje się jednak zastanawiać również nad zgodnością składu komisji ds. wyboru sędziów z zasadą niezawisłości, biorąc pod uwagę przewagę liczebną członków wybranych przez władzę ustawodawczą.
56 Okoliczność ta nie może jednak sama w sobie prowadzić do powzięcia wątpliwości co do niezawisłości sądu odsyłającego. Niezawisłość sądu krajowego powinna bowiem, również pod kątem warunków, w jakich dochodzi do mianowania jego członków, być oceniana z uwzględnieniem wszystkich istotnych czynników.
57 Tymczasem należy przypomnieć w tym względzie, że w przypadku gdy sąd krajowy przedstawił Trybunałowi szereg czynników, które jego zdaniem mogą budzić wątpliwości co do niezależności komisji uczestniczącej w mianowaniu sędziów, Trybunał orzekł, że o ile pojedynczo każdy z wyróżnionych w ten sposób przez ten sąd czynników może sam w sobie nie podlegać krytyce i wchodzić w tym wypadku w zakres kompetencji państw członkowskich oraz dokonywanych przez nie wyborów, o tyle ich zbieg, w połączeniu z okolicznościami, w jakich wyborów tych dokonano, może jednak prowadzić do powzięcia wątpliwości co do niezależności organu biorącego udział w procedurze mianowania sędziów, nawet jeżeli taki wniosek nie nasuwałby się, gdyby czynniki te były rozpatrywane oddzielnie [wyrok z dnia 19 listopada 2019 r., A.K. i in. (niezależność Izby Dyscyplinarnej Sądu Najwyższego) C‑585/18, C‑624/18 i C‑625/18, EU:C:2019:982, pkt 142].
58 W niniejszej sprawie nie można stwierdzić braku niezależności komisji takiej jak ta, o której mowa w postępowaniu głównym, ze względu na obecność jedynego elementu wspomnianego w pkt 55 niniejszego wyroku.
59 Co się tyczy warunków oceny i awansu sędziów, zakwestionowanych również przez Verwaltungsgericht Wiesbaden (sąd administracyjny w Wiesbaden), wystarczy stwierdzić, że akta sprawy przedłożone Trybunałowi nie zawierają wskazówek, zgodnie z którymi sposób, w jaki władza wykonawcza wykonuje swoje kompetencje w tym względzie, mógłby wzbudzić, szczególnie po stronie podmiotów prawa, uzasadnione wątpliwości co do niezależności danych sędziów od czynników zewnętrznych oraz ich neutralności względem ścierających się przed nim interesów.
60 W świetle powyższych okoliczności czynniki przedstawione przez Verwaltungsgericht Wiesbaden (sąd administracyjny w Wiesbaden) na poparcie wątpliwości, jakie sąd ten wyraził w odniesieniu do jego własnej niezależności, nie mogą same w sobie wystarczyć do stwierdzenia, że wątpliwości te są zasadne i że sąd ten nie jest niezależny, pomimo wszystkich innych zasad przewidzianych w porządku prawnym, w skład którego wchodzi ów sąd administracyjny, i mających na celu zapewnienie jego niezależności, wśród których znajdują się w szczególności zasady wymienione w pkt 53 niniejszego wyroku.
61 W tych okolicznościach Verwaltungsgericht Wiesbaden (sąd administracyjny w Wiesbaden) należy w niniejszej sprawie uznać za „sąd” w rozumieniu art. 267 TFUE. Z powyższego wynika, że wniosek o wydanie orzeczenia w trybie prejudycjalnym jest dopuszczalny.
62 Należy uściślić, że wniosek ten nie ma wpływu na badanie dopuszczalności drugiego pytania prejudycjalnego, które jako takie jest niedopuszczalne. Jako że pytanie to dotyczy wykładni samego art. 267 TFUE, który nie ma znaczenia dla rozstrzygnięcia sporu w postępowaniu głównym, wykładnia, o którą wnosi sąd odsyłający, nie odpowiada obiektywnej potrzebie wydania przez sąd odsyłający orzeczenia (zob. podobnie postanowienie z dnia 25 maja 1998 r., Nour, C‑361/97, EU:C:1998:250, pkt 15 i przytoczone tam orzecznictwo).
W przedmiocie wniosku o wydanie orzeczenia w trybie prejudycjalnym
63 Sąd odsyłający w swoim wniosku o wydanie orzeczenia w trybie prejudycjalnym zwraca się zasadniczo do Trybunału z pytaniem o ustalenie, czy art. 4 pkt 7 rozporządzenia 2016/679 należy interpretować w ten sposób, że komisja ds. petycji parlamentu kraju związkowego państwa członkowskiego powinna zostać zakwalifikowana jako „administrator danych” w rozumieniu tego przepisu, tak że przetwarzanie danych osobowych przez taką komisję wchodzi w zakres stosowania tego rozporządzenia, a w szczególności jego art. 15.
64 W celu udzielenia odpowiedzi na to pytanie, należy w pierwszej kolejności przypomnieć, że wspomniany art. 4 pkt 7 definiuje „administratora danych” jako osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych.
65 Tak więc definicja pojęcia „administratora danych” zawarta w rozporządzeniu 2016/679 nie ogranicza się do organów publicznych, lecz – jak podkreśla rząd czeski – jest wystarczająco szeroka, aby objąć swoim zakresem każdy podmiot, który samodzielnie lub wspólnie z innymi podmiotami określa cele i sposoby przetwarzania danych osobowych.
66 Co się tyczy, w drugiej kolejności, uwag kraju związkowego Hesja, zgodnie z którymi działalność komisji parlamentarnej nie jest objęta zakresem stosowania prawa Unii w rozumieniu art. 2 ust. 2 rozporządzenia 2016/679, należy przypomnieć, że Trybunał miał już okazję uściślić w świetle art. 3 ust. 2 dyrektywy 95/46, że skoro dyrektywa ta jest oparta na art. 100 A traktatu WE (obecnie, po zmianie, art. 95 WE), posłużenie się tą podstawą prawną nie zakłada istnienia rzeczywistego związku ze swobodnym przepływem między państwami członkowskimi w każdej sytuacji objętej zakresem normowania aktu opartego na takiej podstawie i że nie byłoby odpowiednie interpretowanie wyrażenia „działanie nieobjęte zakresem prawa [Unii]” jako mającego taki zakres, że konieczne byłoby sprawdzenie w każdym indywidualnym przypadku, czy dana konkretna działalność ma bezpośredni wpływ na swobodę przemieszczania się między państwami (wyrok z dnia 6 listopada 2003 r., Lindqvist, C‑101/01, EU:C:2003:596, pkt 40, 42).
67 Jest tak tym bardziej w odniesieniu do rozporządzenia 2016/679, które opiera się na art. 16 TFUE, zgodnie z którym Parlament Europejski i Rada Unii Europejskiej określają zasady dotyczące ochrony osób fizycznych w zakresie przetwarzania danych osobowych w szczególności przez państwa członkowskie w wykonywaniu działań wchodzących w zakres zastosowania prawa Unii, a także zasady dotyczące swobodnego przepływu takich danych i którego art. 2 ust. 2 odpowiada w istocie art. 3 ust. 2 dyrektywy 95/46.
68 W trzeciej kolejności art. 2 ust. 2 lit. a) tego rozporządzenia, ze względu na to, że stanowi on wyjątek od szerokiej definicji zakresu stosowania tego rozporządzenia zawartej w jego art. 2 ust. 1, należy interpretować w sposób zawężający.
69 Prawdą jest, że Trybunał podkreślił w istocie, iż działania wymienione tytułem przykładu w art. 3 ust. 2 tiret pierwsze dyrektywy 95/46 (a mianowicie działania przewidziane w tytułach V i VI Traktatu o Unii Europejskiej oraz działalność na rzecz bezpieczeństwa publicznego, obronności, bezpieczeństwa państwa oraz działalności związanej z dziedzinami prawa karnego) są we wszystkich przypadkach działaniami właściwymi państwom lub władzom państwowym i że te rodzaje działalności mają na celu określenie zakresu tam przewidzianego wyłączenia w taki sposób, że to wyłączenie ma zastosowanie wyłącznie do takich działalności, które zostały w nim wyraźnie wymienione i które nie mogą być zaliczone do tej samej kategorii rodzaju (eiusdem generis) (wyrok z dnia 6 listopada 2003 r., Lindqvist, C‑101/01, EU:C:2003:596, pkt 43, 44).
70 W związku z tym okoliczność, że dana działalność należy do państwa czy organu publicznego, nie wystarcza, aby wyjątek ten mógł być automatycznie stosowany do takiej działalności. Konieczne jest bowiem, aby działalność ta zaliczała się do tych rodzajów działalności, które są wyraźnie wymienione w tym przepisie lub aby mogła zostać zaliczona do tej samej kategorii co owa analizowana działalność.
71 O ile działalność komisji ds. petycji parlamentu kraju związkowego Hesja ma bez wątpienia charakter publiczny i jest właściwa temu krajowi związkowemu, ponieważ komisja ta pośrednio przyczynia się do działalności parlamentarnej, o tyle jednak nie tylko działalność ta ma charakter zarówno polityczny, jak i administracyjny, ale, co więcej, z akt sprawy, którymi dysponuje Trybunał, nie wynika w żaden sposób, że działalność ta odpowiada w niniejszym przypadku działalności wymienionej w art. 2 ust. 2 lit. b) i d) rozporządzenia 2016/679 lub że może być zaliczona do tej samej kategorii.
72 W czwartej i ostatniej kolejności w rozporządzeniu 2016/679, w szczególności w jego motywie 20 i art. 23, nie przewidziano żadnego wyjątku w odniesieniu do działalności parlamentarnej.
73 W konsekwencji w zakresie, w jakim komisja ds. petycji parlamentu kraju związkowego Hesja określa – samodzielnie lub wraz z innymi – cele i sposoby przetwarzania danych, komisja ta powinna zostać uznana za „administratora danych” w rozumieniu art. 4 pkt 7 rozporządzenia 2016/679, a tym samym art. 15 tego rozporządzenia znajduje w niniejszym przypadku zastosowanie.
74 Z całości powyższych rozważań wynika, że art. 4 ust. 7 rozporządzenia 2016/679 należy interpretować w ten sposób, że w zakresie, w jakim komisja ds. petycji parlamentu kraju związkowego państwa członkowskiego określa – samodzielnie lub wspólnie z innymi – cele i sposoby przetwarzania danych, komisja ta powinna zostać uznana za „administratora danych” w rozumieniu tego przepisu, wobec czego przetwarzanie danych osobowych przez taką komisję wchodzi w zakres stosowania tego rozporządzenia, w szczególności jego art. 15.
W przedmiocie kosztów
75 Dla stron w postępowaniu głównym niniejsze postępowanie ma charakter incydentalny, dotyczy bowiem kwestii podniesionej przed sądem odsyłającym, do niego zatem należy rozstrzygnięcie o kosztach. Koszty poniesione w związku z przedstawieniem uwag Trybunałowi, inne niż koszty stron w postępowaniu głównym, nie podlegają zwrotowi.
Z powyższych względów Trybunał (trzecia izba) orzeka, co następuje:
Artykuł 4 pkt 7 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych) należy interpretować w ten sposób, że w zakresie, w jakim komisja ds. petycji parlamentu kraju związkowego państwa członkowskiego określa – samodzielnie lub wspólnie z innymi – cele i sposoby przetwarzania danych, komisja ta powinna zostać uznana za „administratora danych” w rozumieniu tego przepisu, wobec czego przetwarzanie danych osobowych przez taką komisję wchodzi w zakres stosowania tego rozporządzenia, w szczególności jego art. 15.
Podpisy