OPINIA RZECZNIKA GENERALNEGO
MACIEJA SZPUNARA
przedstawiona w dniu 11 maja 2023 r.(1)
Sprawa C‑33/22
Österreichische Datenschutzbehörde
przy udziale
WK,
Präsident des Nationalrates
[wniosek o wydanie orzeczenia w trybie prejudycjalnym złożony przez Verwaltungsgerichtshof (trybunał administracyjny, Austria)]
Odesłanie prejudycjalne – Ochrona danych osobowych – Artykuł 16 ust. 2 TFUE – Działalność objęta zakresem prawa Unii – Ogólne rozporządzenie o ochronie danych osobowych – Działalność dotycząca bezpieczeństwa narodowego – Komisja śledcza parlamentu państwa członkowskiego – Kontrola działalności organu policji – Kompetencje organu nadzorczego ds. ochrony danych – Artykuł 55 ust. 1 – Artykuł 77 ust. 1 – Bezpośrednia skuteczność
Wprowadzenie
1. Czy działalność komisji śledczej parlamentu państwa członkowskiego wchodzi w zakres stosowania rozporządzenia (UE) 2016/679(2), i to również wtedy, gdy śledztwo dotyczy kwestii bezpieczeństwa narodowego? Jeśli tak, to czy przepisy RODO dotyczące prawa do wniesienia skargi do krajowego organu nadzorczego mogą być stosowane bezpośrednio, wbrew konstytucyjnej zasadzie, która sprzeciwia się zewnętrznej ingerencji w działalność parlamentu? Takie zasadniczo pytania Verwaltungsgerichtshof (trybunał administracyjny, Austria) stawia w niniejszej sprawie.
2. Zgodnie z orzecznictwem Trybunału zaproponuję, by na pytania te udzielić odpowiedzi twierdzącej. Moim zdaniem takie rozwiązanie odpowiadałoby nie tylko intencjom prawodawcy Unii – który ustanowił RODO jako prawdziwe lex generalis w dziedzinie ochrony danych osobowych – lecz również motywom, na których opierają się przepisy art. 16 TFUE, obejmujące swoim stosowaniem działania państw członkowskich z zakresu kontroli, takie jak te rozpatrywane w postępowaniu głównym.
3. W niniejszej sprawie funkcjonariusz policji kryminalnej, WK (zwany dalej „zainteresowanym”), został przesłuchany przez komisję śledczą parlamentu austriackiego w przedmiocie przeszukań dokonanych, między innymi, w budynku Bundesamt für Verfassungsschutz und Terrorismusbekämpfung (federalnego urzędu ochrony konstytucji i zwalczania terroryzmu, Austria, zwanego dalej „BVT”). Protokół przesłuchania, opatrzony imieniem i nazwiskiem zainteresowanego, opublikowano następnie na stronie internetowej parlamentu austriackiego, uzasadniając to faktem, że jego tożsamość ujawniła już wcześniej prasa.
4. Uznawszy, że jego prawo do ochrony danych osobowych zostało naruszone, zainteresowany wniósł do Österreichische Datenschutzbehörde (krajowego organu ochrony danych, Austria, zwanego dalej „Datenschutzbehörde”) skargę na podstawie art. 77 ust. 1 RODO, która nie została jednak zbadana co do istoty. W świetle ustanowionej w prawie austriackim zasady podziału władzy Datenschutzbehörde stwierdził brak swojej właściwości, uznając, że w tym przypadku jego uprawnieniom nadzorczym stoi na przeszkodzie konstytucyjna niezależność organów parlamentu.
5. W tych okolicznościach zainteresowany wszczął postępowanie sądowoadministracyjne, którego rozstrzygnięcie zależeć będzie od odpowiedzi na pytania prejudycjalne przedstawione Trybunałowi. Pytania te dotyczą zasadniczo przedmiotowego zakresu stosowania i bezpośredniej skuteczności odpowiednich przepisów RODO, których treść przedstawiono poniżej.
Ramy prawne
Prawo Unii
6. Motywy 16, 20 i 117 RODO stanowią:
„(16) Niniejsze rozporządzenie nie ma zastosowania do kwestii ochrony podstawowych praw i wolności ani do swobodnego przepływu danych osobowych w związku z działalnością nieobjętą zakresem prawa Unii, taką jak działalność dotycząca bezpieczeństwa narodowego. Niniejsze rozporządzenie nie ma zastosowania do przetwarzania danych osobowych przez państwa członkowskie w związku z działaniami związanymi ze wspólną polityką zagraniczną i bezpieczeństwa Unii.
[…]
(20) Niniejsze rozporządzenie ma zastosowanie między innymi do działań sądów i innych organów wymiaru sprawiedliwości, niemniej prawo Unii lub prawo państwa członkowskiego może doprecyzować operacje i procedury przetwarzania danych osobowych przez sądy i inne organy wymiaru sprawiedliwości. Właściwość organów nadzorczych nie powinna dotyczyć przetwarzania danych osobowych przez sądy w ramach sprawowania wymiaru sprawiedliwości – tak, by chronić niezawisłość sprawowania wymiaru sprawiedliwości. […]
[…]
(117) Zasadniczym elementem ochrony osób fizycznych w związku z przetwarzaniem danych osobowych jest utworzenie w państwach członkowskich organów nadzorczych, uprawnionych do wypełniania zadań i wykonywania uprawnień w sposób całkowicie niezależny. Aby uwzględnić swoją strukturę konstytucyjną, organizacyjną i administracyjną, państwa członkowskie powinny mieć możliwość utworzenia więcej niż jednego organu nadzorczego”.
7. Artykuł 2 RODO, noszący tytuł „Materialny zakres stosowania”, stanowi:
„1. Niniejsze rozporządzenie ma zastosowanie do przetwarzania danych osobowych w sposób całkowicie lub częściowo zautomatyzowany oraz do przetwarzania w sposób inny niż zautomatyzowany danych osobowych stanowiących część zbioru danych lub mających stanowić część zbioru danych.
2. Niniejsze rozporządzenie nie ma zastosowania do przetwarzania danych osobowych:
a) w ramach działalności nieobjętej zakresem prawa Unii;
b) przez państwa członkowskie w ramach wykonywania działań wchodzących w zakres tytułu V rozdział 2 TUE;
c) przez osobę fizyczną w ramach czynności o czysto osobistym lub domowym charakterze;
d) przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych lub wykonywania kar, w tym ochrony przed zagrożeniami dla bezpieczeństwa publicznego i zapobiegania takim zagrożeniom.
[…]”.
8. Artykuł 23 ust. 1 RODO, zatytułowany „Ograniczenia”, stanowi:
„Prawo Unii lub prawo państwa członkowskiego, któremu podlegają administrator danych lub podmiot przetwarzający, może aktem prawnym ograniczyć zakres obowiązków i praw przewidzianych w art. 12–22 i w art. 34, a także w art. 5 – o ile jego przepisy odpowiadają prawom i obowiązkom przewidzianym w art. 12–22 – jeżeli ograniczenie takie nie narusza istoty podstawowych praw i wolności oraz jest w demokratycznym społeczeństwie środkiem niezbędnym i proporcjonalnym, służącym:
a) bezpieczeństwu narodowemu;
[…]
h) funkcjom kontrolnym, inspekcyjnym lub regulacyjnym związanym, nawet sporadycznie, ze sprawowaniem władzy publicznej w przypadkach, o których mowa w lit. a)–e) oraz g);
[…]”.
9. Artykuł 51 RODO, zatytułowany „Organ nadzorczy”, stanowi w ust. 1:
„Każde państwo członkowskie zapewnia, by za monitorowanie stosowania niniejszego rozporządzenia odpowiadał co najmniej jeden niezależny organ publiczny w celu ochrony podstawowych praw i wolności osób fizycznych w związku z przetwarzaniem oraz ułatwiania swobodnego przepływu danych osobowych w Unii (zwany dalej »organem nadzorczym«)”.
10. Artykuł 55 RODO, zatytułowany „Właściwość”, ma następujące brzmienie:
„1. Każdy organ nadzorczy jest właściwy do wypełniania zadań i wykonywania uprawnień powierzonych mu zgodnie z niniejszym rozporządzeniem na terytorium swojego państwa członkowskiego.
[…]
3. Organy nadzorcze nie są właściwe do nadzorowania operacji przetwarzania dokonywanych przez sądy w ramach sprawowania przez nie wymiaru sprawiedliwości”.
11. Artykuł 77 RODO, zatytułowany „Prawo do wniesienia skargi do organu nadzorczego”, stanowi w ust. 1:
„Bez uszczerbku dla innych administracyjnych lub środków ochrony prawnej przed sądem każda osoba, której dane dotyczą, ma prawo wnieść skargę do organu nadzorczego, […] jeżeli sądzi, że przetwarzanie danych osobowych jej dotyczące narusza niniejsze rozporządzenie”.
Prawo austriackie
12. Paragraf 53 Bundes-Verfassungsgesetz (federalnej ustawy konstytucyjnej) z dnia 2 stycznia 1930 r. (BGBl. 1/1930), w brzmieniu z dnia 30 grudnia 2021 r. (BGBl. I 235/2021), stanowi:
„1. Nationalrat podejmuje decyzje o powołaniu komisji śledczych. Ponadto komisję śledczą powołuje się na wniosek jednej czwartej jego członków.
2. Prowadzone przez komisję śledczą dochodzenie dotyczy przeszłej działalności w dziedzinach podlegających władzy wykonawczej na szczeblu federalnym. Należą do nich wszystkie działania organów federalnych, za pośrednictwem których Bund, niezależnie od znaczenia jej udziału, wykonuje prawa uczestnictwa i nadzoru. Wykluczone jest ponowne badanie wyroków sądowych.
3. Wszystkie organy Bund, krajów związkowych, gmin i związków gmin oraz inne organy niezależne powinny przedstawić komisji śledczej na wniosek swoje akta i dokumenty w zakresie, w jakim wchodzą one w zakres dochodzenia, i mają obowiązek zastosować się do wezwań komisji śledczej służących zebraniu dowodów związanych z przedmiotem śledztwa. […]
[…]”.
13. Zgodnie z § 18 ust. 1 Datenschutzgesetz (ustawy o ochronie danych osobowych) z dnia 17 sierpnia 1999 r. (BGBl. I 165/1999), w brzmieniu z dnia 26 lipca 2021 r. (BGBl. I 148/2021, zwanej dalej „DSG”), noszącym tytuł „Organizacja”:
„Ustanawia się Datenschutzbehörde jako krajowy organ nadzorczy zgodnie z art. 51 [RODO]”.
14. Paragraf 24 DSG, zatytułowany „Złożenie skargi do Datenschutzbehörde”, ma następujące brzmienie:
„1. Każda osoba, której dane dotyczą, ma prawo do złożenia skargi do Datenschutzbehörde, jeżeli uważa, że przetwarzanie dotyczących jej danych osobowych stanowi naruszenie RODO […]”.
15. Paragraf 35 DSG, zatytułowany „Konkretne uprawnienia organu nadzorczego ds. ochrony danych” przewiduje w ust. 1:
„Zadaniem Datenschutzbehörde jest zapewnienie ochrony danych zgodnie z przepisami RODO i niniejszej ustawy federalnej”.
Okoliczności faktyczne, postępowanie główne i pytania prejudycjalne
Okoliczności powstania sporu
16. W dniu 20 kwietnia 2018 r. izba niższa parlamentu austriackiego powołała komisję śledczą, której zadaniem było zbadanie rzekomych wpływów wywieranych na BVT celem instrumentalizacji jego działań. Posłowie, którzy złożyli wniosek o przeprowadzenie śledztwa, powoływali się, w szczególności, na przypadki nadużycia władzy zarzucane funkcjonariuszom BVT, na pogłoski dotyczące podsłuchu zainstalowanego w biurach urzędu kanclerza federalnego, na domniemaną instrumentalizację dochodzeń dotyczących niektórych ruchów ekstremistycznych, a także na nominacje polityczne w BVT i w gabinetach ministerialnych.
17. W dniu 19 września 2018 r. komisja śledcza przesłuchała zainteresowanego w charakterze świadka. Jako funkcjonariusz brygady policji federalnej ds. zwalczania przestępczości na drogach publicznych był on przesłuchiwany w przedmiocie przeszukań i zajęcia danych dokonanych przez jego jednostkę w biurach BVT i w domach pracowników BVT.
18. Wbrew praktyce przyjętej w odniesieniu do niektórych innych świadków, i pomimo wniosku o anonimizację danych złożonego przez zainteresowanego, komisja śledcza ujawniła jego tożsamość, publikując pełną wersję protokołu przesłuchania na stronie internetowej parlamentu austriackiego.
Postępowanie główne
19. Skargę wniesioną przez zainteresowanego do Datenschutzbehörde na podstawie art. 77 ust. 1 RODO oddalono ze względu na brak właściwości. W decyzji z dnia 18 września 2019 r. urząd ów podniósł, że zasada podziału władz stoi na przeszkodzie temu, by ingerował on w działalność organu parlamentu.
20. Skarga na decyzję z dnia 18 września 2019 r., wniesiona przez zainteresowanego do Bundesverwaltungsgericht (federalnego sądu administracyjnego, Austria), została uwzględniona wyrokiem z dnia 23 listopada 2020 r. Sąd ten stwierdził nieważność decyzji Datenschutzbehörde ze względu na to, że przepisy RODO nie przewidują wyjątków, które mogłyby ograniczać zakres jego stosowania w odniesieniu do organów władzy ustawodawczej.
21. Datenschutzbehörde wniósł skargę rewizyjną od tego wyroku do Verwaltungsgerichtshof (trybunału administracyjnego), który zastanawia się, czy przepisy RODO mogą mieć zastosowanie do sprawy w postępowaniu głównym.
Pytania prejudycjalne
22. W pierwszej kolejności – niezależnie od przedmiotu śledztwa w sprawie, której dotyczy postępowanie główne – sąd odsyłający zastanawia się, czy działania parlamentarnej komisji śledczej „wchodzą w zakres zastosowania prawa Unii” w rozumieniu art. 16 ust. 2 TFUE. Postanowienie to określa kompetencje Parlamentu Europejskiego i Rady do określania zasad dotyczących przetwarzania danych osobowych przez państwa członkowskie.
23. W tym względzie – zważywszy, że kompetencje Unii pozostają ograniczone zasadą kompetencji powierzonych – sąd odsyłający zastanawia się, czy RODO ma zastosowanie do działań organu parlamentarnego, któremu powierzono zadanie kontroli politycznej, działalność taka nie jest bowiem regulowana, jak się wydaje, przez żaden przepis szczególny prawa Unii.
24. W trosce o zachowanie tożsamości narodowej i podstawowych funkcji państw członkowskich, zgodnie z art. 4 ust. 2 TUE, sąd odsyłający zauważa ponadto, że ingerencja organu administracyjnego, takiego jak Datenschutzbehörde, w działalność parlamentu narusza zasadę podziału władzy ustanowioną w konstytucji austriackiej.
25. W świetle wyroku Land Hessen(3), w którym Trybunał potwierdził, że przepisy RODO mają zastosowanie do prac komisji ds. petycji parlamentu kraju związkowego Hesja, sąd odsyłający zastanawia się wreszcie, czy zadania tejże komisji, która jedynie pośrednio przyczynia się do działalności parlamentarnej, nie powinny być traktowane w sposób odmienny, niż zadania powierzane komisjom śledczym. Jego zdaniem, te ostatnie zajmują bowiem centralne miejsce w działalności parlamentu i z tego względu mogłyby pozostawać wyłączone z zakresu stosowania prawa Unii.
26. W drugiej kolejności, na wypadek gdyby Trybunał orzekł, że przepisy RODO regulują działanie komisji śledczych, sąd odsyłający zastanawia się jednak, czy komisja, o którą chodzi w postępowaniu głównym, nie powinna zostać wyłączona z zakresu ich stosowania ze względu na to, że przedmiot jej prac ma związek ze sprawami bezpieczeństwa narodowego.
27. Sąd odsyłający przypomina w tym względzie, że zgodnie z motywem 16 RODO „działalność dotycząca bezpieczeństwa narodowego” pozostaje wyjęta z zakresu stosowania tego rozporządzenia. Jego zdaniem, może tak być w przypadku śledztwa dotyczącego nacisków politycznych wywieranych na BVT, czyli na organ federalny odpowiedzialny za zachowanie podstawowych funkcji państwa.
28. W trzeciej kolejności, na wypadek gdyby Trybunał stwierdził, że przepisy RODO mimo wszystko mają zastosowanie w niniejszej sprawie, sąd odsyłający zastanawia się nad kwestią bezpośredniego stosowania tego rozporządzenia.
29. W braku odpowiedniego odstępstwa rangi konstytucyjnej właściwość Datenschutzbehörde pozostaje bowiem ograniczona zasadą podziału władz, mającą pierwszeństwo w prawie austriackim. Sąd odsyłający zastanawia się zatem, czy właściwość tego urzędu względem organów parlamentu austriackiego może wynikać bezpośrednio z art. 77 ust. 1 w związku z art. 55 ust. 1 RODO, w sytuacji gdy ustawodawca krajowy ustanowił na podstawie art. 51 ust. 1 tego rozporządzenia tylko jeden organ nadzorczy.
30. W powyższych okolicznościach Verwaltungsgerichtshof (trybunał administracyjny, Austria) postanowił zawiesić postępowanie i zwrócić się do Trybunału z następującymi pytaniami prejudycjalnymi:
„1) Czy działalność komisji śledczej powołanej przez parlament państwa członkowskiego w ramach wykonywania przysługującego mu prawa do kontroli władzy wykonawczej wchodzi, niezależnie od przedmiotu śledztwa, w zakres stosowania prawa Unii w rozumieniu art. 16 ust. 2 zdanie pierwsze TFUE, wobec czego do przetwarzania danych osobowych przez parlamentarną komisję śledczą państwa członkowskiego ma zastosowanie [RODO]?
W razie udzielenia odpowiedzi twierdzącej na pytanie pierwsze:
2) Czy działalność komisji śledczej powołanej przez parlament państwa członkowskiego w ramach wykonywania przysługującego mu prawa do kontroli władzy wykonawczej, której śledztwo ma za przedmiot działania policyjnego organu ochrony państwa, a więc działania związane z ochroną bezpieczeństwa narodowego w rozumieniu motywu 16 [RODO], jest objęta odstępstwem określonym w art. 2 ust. 2 lit. a) RODO?
W razie udzielenia odpowiedzi przeczącej na pytanie drugie:
3) Jeżeli – tak jak w niniejszej sprawie – państwo członkowskie ustanowiło tylko jeden organ nadzorczy, o którym mowa w art. 51 ust. 1 RODO, czy jego właściwość w zakresie skarg, o których mowa w art. 77 ust. 1 w związku z art. 55 ust. 1 RODO, wynika już bezpośrednio z [tego rozporządzenia]?”.
31. Uwagi na piśmie złożyli zainteresowany, Präsident des Nationalrates (prezes zgromadzenia narodowego, Austria), Datenschutzbehörde, rządy austriacki i czeski oraz Komisja Europejska. Ci sami uczestnicy byli reprezentowani na rozprawie, która odbyła się w dniu 6 marca 2023 r.
Ocena
W przedmiocie pierwszego pytania prejudycjalnego
32. Poprzez pytanie pierwsze sąd odsyłający zmierza do ustalenia, czy działalność komisji śledczej powołanej przez parlament państwa członkowskiego w ramach wykonywania przysługującego mu prawa do kontroli władzy wykonawczej wchodzi w zakres zastosowania prawa Unii w rozumieniu art. 16 ust. 2 zdanie pierwsze TFUE.
33. Odpowiedź na to pytanie zależy, w pierwszej kolejności, od wykładni, jaką należy nadać pojęciu „działań wchodzących w zakres zastosowania prawa Unii”, o którym mowa w art. 16 ust. 2 zdanie pierwsze TFUE. Pojęcie to, sformułowane w sposób negatywny, znaleźć można również w art. 2 ust. 2 lit. a) RODO, który wyłącza z zakresu stosowania tego rozporządzenia „działalność nieobjętą zakresem prawa Unii”. Przepisy te regulują, odpowiednio, kompetencje organów Unii do określania zasad dotyczących ochrony danych osobowych oraz przedmiotowy zakres stosowania RODO.
34. W drugiej kolejności, odpowiedź na pierwsze pytanie prejudycjalne zależy od tego, w jaki sposób należy zakwalifikować działalność parlamentarnych komisji śledczych w świetle ww. przepisów traktatu FUE i RODO.
W przedmiocie pojęcia „działań wchodzących w zakres zastosowania prawa Unii”
35. Jak starałem się wykazać w innej sprawie(4), pojęcie to nie jest wolne od niejasności, można je bowiem odczytać na dwa różne sposoby. Biorąc pod uwagę kontrowersje, jakie wykładnia tego pojęcia wywołuje w niniejszej sprawie, i to pomimo istnienia utrwalonego orzecznictwa Trybunału(5), konieczne wydaje mi się przedstawienie w sposób wyczerpujący powodów, które legły u podstaw tego orzecznictwa.
– Wykładnia konkretyzująca
36. Pierwszą z możliwych interpretacji „zakresu zastosowania prawa Unii” określić można jako konkretyzującą w tym znaczeniu, że prowadzi ona do zbadania, czy dana działalność jest objęta szczególnym przepisem prawa Unii.
37. Interpretacja ta odpowiada zasadniczo pojęciu „stosowania prawa Unii”, które wyznacza zakres stosowania Karty praw podstawowych Unii Europejskiej (zwanej dalej „kartą”). W kontekście niezwiązanym z ochroną danych osobowych, pojęcie to stanowi w orzecznictwie Trybunału ekwiwalent „zakresu stosowania prawa Unii”(6).
38. To właśnie na tej wykładni sąd odsyłający opiera się we wniosku o wydanie orzeczenia w trybie prejudycjalnym, wskazując, że działalność parlamentarnych komisji śledczych jest regulowana wyłącznie prawem krajowym, co prowadzi ów sąd do podważenia możliwości zastosowania RODO w sprawie rozpatrywanej w postępowaniu głównym.
39. Również na tej wykładni oparł się rzecznik generalny A. Tizzano w swoich opiniach w sprawach połączonych Österreichischer Rundfunk i in.(7) oraz w sprawie Lindqvist(8), rozpatrzonych pod rządami dyrektywy 95/46/WE(9), które nie przekonały jednak Trybunału.
40. Należy przypomnieć, że dyrektywę 95/46 przyjęto na podstawie dawnego art. 100a traktatu WE, który stał się następnie art. 95 WE, a obecnie art. 114 TFUE, w ramach przepisów dotyczących ustanowienia i funkcjonowania rynku wewnętrznego. Mając na celu zapewnienie swobodnego przepływu i równoważnego poziomu ochrony danych osobowych w Unii, dyrektywa ta (zgodnie z jej art. 3 ust. 2) nie regulowała działalności „wykraczającej poza zakres prawa Wspólnoty, jak np. [ta] , o któr[ej] stanowi[ą] tytuł[y] V i VI Traktatu o Unii Europejskiej, a w żadnym razie do działalności na rzecz bezpieczeństwa publicznego, obronności, bezpieczeństwa państwa […] oraz działalności państwa w obszarach prawa karnego”, ani do przetwarzania danych „przez osobę fizyczną w trakcie czynności o czysto osobistym lub domowym charakterze”.
41. Na gruncie tych przepisów rzecznik generalny A. Tizzano doszedł do wniosku, że dyrektywa 95/46 nie mogła znajdować zastosowania w sprawach połączonych Österreichischer Rundfunk i in.(10) W odniesieniu do przetwarzania danych dotyczących wynagrodzeń wypłacanych przez podmioty publiczne, zamieszczanych w sprawozdaniach przekazywanych parlamentowi przez austriacką izbę kontroli, uznał on, że izba ta wykonywała w rzeczonej sprawie „publiczną działalność kontrolną, przewidzianą i regulowaną przez władze austriackie (i to w drodze ustawy konstytucyjnej) na podstawie dokonanego przez nie autonomicznego wyboru o charakterze politycznym i instytucjonalnym, a nie w celu wypełnienia obowiązku wspólnotowego. Ponieważ działalność ta nie podlega żadnym szczególnym uregulowaniom wspólnotowym, może ona należeć wyłącznie do kompetencji państw członkowskich”(11).
42. Posługując się tą samą interpretacją w sprawie Lindqvist, rzecznik generalny A. Tizzano uznał, że strona internetowa stworzona przez B. Lindqvist w ramach niezarobkowej działalności katechetycznej stanowi „działanie o charakterze niegospodarczym, które nie ma żadnego związku (a przynajmniej żadnego bezpośredniego związku) z wykonywaniem podstawowych swobód zagwarantowanych przez traktat i nie jest przedmiotem żadnych szczególnych uregulowań wspólnotowych”(12). Zdaniem rzecznika generalnego, działalność taka nie wchodziła zatem w zakres stosowania prawa wspólnotowego w rozumieniu art. 3 ust. 2 dyrektywy 95/46.
43. Trybunał nie przychylił się do tych wniosków z powodów, które można powiązać z potrzebą zachowania pewności prawa oraz z koniecznością zapewnienia skuteczności (effet utile) dyrektywy 95/46.
44. Biorąc bowiem pod uwagę specyfikę danych osobowych, których przepływ i wykorzystanie gospodarcze ułatwia ich cyfryzacja, bardzo trudno jest określić w praktyce, w każdym konkretnym przypadku, czy przetwarzanie tych danych pozostaje w związku z określonymi przepisami prawa Unii lub ze swobodami rządzącymi rynkiem wewnętrznym, tak jak wymagałaby tego wykładnia konkretyzująca.
45. Nawiązując dla przykładu do sprawy Lindqvist(13), trudno byłoby określić w praktyce, czy działanie strony internetowej przeznaczonej dla ograniczonego kręgu parafian miało konkretny związek z przepisami dyrektywy 95/46 dotyczącymi swobodnego przepływu danych między państwami członkowskimi w ramach wspólnego rynku. Odpowiedź na to pytanie mogłaby zależeć, w szczególności, od fizycznej lokalizacji serwerów, na których znajdowała się rozpatrywana witryna internetowa(14).
46. Dodam, że gdyby wykładnia konkretyzująca miała przeważyć w niniejszej sprawie pod rządami przepisów RODO, mogłyby pojawić się podobne trudności.
47. Trudno byłoby na przykład dokładnie określić, w jakim zakresie działalność niektórych administratorów danych – takich jak kościoły lub związki wyznaniowe, które są wyraźnie wymienione w tym rozporządzeniu(15) – rzeczywiście podlega szczególnym przepisom prawa Unii(16). To samo pytanie mogłoby się pojawić w odniesieniu do organizacji niemających charakteru zarobkowego, które nie prowadzą działalności gospodarczej. Prowadziłoby to do niepewności w kwestii zakresu stosowania RODO.
48. Wobec podobnych trudności Trybunał odrzucił wykładnię konkretyzującą „zakresu stosowania prawa wspólnotowego” pod rządami dyrektywy 95/46. W wyrokach Österreichischer Rundfunk i in.(17) oraz Lindqvist(18) Trybunał orzekł, że skoro „wszelkie dane osobowe mogą przepływać między państwami członkowskimi, dyrektywa 95/46 co do zasady wymaga poszanowania reguł ochrony takich danych w odniesieniu do każdego ich przetwarzania zgodnie z art. 3. […] W tych okolicznościach możliwość stosowania dyrektywy 95/46 nie może zależeć od tego, czy konkretne sytuacje […] przedstawiają wystarczający związek z korzystaniem z zagwarantowanych przez traktat podstawowych swobód […]. Wykładnia przeciwna mogłaby bowiem spowodować, że granice zakresu stosowania tej dyrektywy staną się szczególnie niejednoznaczne i niepewne, co z kolei pozostaje w sprzeczności z jej zasadniczym celem, jakim jest zbliżenie przepisów ustawowych, wykonawczych i administracyjnych państw członkowskich w celu wyeliminowania wynikających z rozbieżności między ustawodawstwami krajowymi przeszkód w funkcjonowaniu rynku wewnętrznego”(19).
49. W ten właśnie sposób wykładnia „generalizująca” dyrektywy 95/46 przeważyła w orzecznictwie Trybunału .
– Wykładnia generalizująca
50. Wykładnia ta prowadzi do włączenia w zakres stosowania prawa Unii wszelkiej działalności, która może być nim objęta, w tym sensie, że nie została ona z niego wyjęta przez wzgląd na wyłączne kompetencje państw członkowskich.
51. Pod rządami dyrektywy 95/46 interpretacja ta skłoniła Trybunał do przyjęcia zawężającej wykładni wyjątku dotyczącego działalności nieobjętej zakresem stosowania prawa wspólnotowego. W wyroku Lindqvist Trybunał orzekł, że „rodzaje działalności wymienione tytułem przykładu w art. 3 ust. 2 tiret pierwsze dyrektywy 95/46 mają na celu określenie zakresu przewidzianego w nim wyłączenia w taki sposób, że wyłączenie to ma zastosowanie wyłącznie do takich działalności, które zostały w nim wyraźnie wymienione i które nie mogą być zaliczone do tego samego rodzaju (eiusdem generis)”(20).
52. Przed wejściem w życie traktatu z Lizbony działania objęte tym wyjątkiem – dotyczące bezpieczeństwa publicznego, obronności, bezpieczeństwa państwa, dziedziny prawa karnego, a także działania, o których mowa w tytułach V i VI Traktatu o Unii Europejskiej – wchodziły w zakres drugiego oraz trzeciego filaru Unii i z tego tytułu leżały w zakresie współpracy międzyrządowej. Ze względu na podział kompetencji między Unią a państwami członkowskimi przewidziany podówczas w traktatach, działania tego rodzaju nie mogły zatem stanowić przedmiotu uregulowania wspólnotowego.
53. To właśnie w tym kontekście należy odczytywać wyłączenie odnoszące się do „działalności wykraczającej poza zakres prawa Wspólnoty”, zawarte w art. 3 ust. 2 tiret pierwsze dyrektywy 95/46. Zakres stosowania RODO został przy tym zdefiniowany w sposób podobny.
54. Zgodnie z art. 2 ust. 2 lit. a)–d) RODO rozporządzenie to nie ma bowiem zastosowania do przetwarzania danych osobowych „a) w ramach działalności nieobjętej zakresem prawa Unii; b) przez państwa członkowskie w ramach wykonywania działań wchodzących w zakres tytułu V rozdział 2 TUE; c) przez osobę fizyczną w ramach czynności o czysto osobistym lub domowym charakterze; d) przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych lub wykonywania kar, w tym ochrony przed zagrożeniami dla bezpieczeństwa publicznego i zapobiegania takim zagrożeniom”. Ten ostatni rodzaj przetwarzania podlega przepisom dyrektywy (UE) 2016/680(21).
55. W świetle motywu 16 RODO działalność nieobjętą zakresem prawa Unii stanowi, w szczególności, działalność dotycząca bezpieczeństwa narodowego.
56. Opierając się na wszystkich tych przepisach, Trybunał orzekł w wyroku Land Hessen, że wyjątek przewidziany w art. 2 ust. 2 lit. a) RODO, odnoszący się do „działalności nieobjętej zakresem prawa Unii”, podlega ścisłej interpretacji, w związku z czym „okoliczność, że dana działalność należy do państwa czy organu publicznego, nie wystarcza, aby wyjątek ten mógł być automatycznie stosowany do takiej działalności. Konieczne jest bowiem, aby działalność ta zaliczała się do tych rodzajów działalności, które są wyraźnie wymienione w tym przepisie lub aby mogła zostać zaliczona do tej samej kategorii co owa analizowana działalność”(22).
57. Nie wydaje mi się, aby żaden z argumentów podniesionych w niniejszej sprawie mógł prowadzić do podważenia tej wykładni.
58. W szczególności, nie zgadzam się z argumentami opartymi na zasadzie kompetencji powierzonych, podniesionymi zwłaszcza przez sąd odsyłający i przez Präsident des Nationalrates (przewodniczącego zgromadzenia narodowego).
59. Zgodnie z zasadą kompetencji powierzonych, wyrażoną w art. 5 ust. 2 TUE(23), Unia posiada wyłącznie kompetencje przyznane jej w traktatach przez państwa członkowskie.
60. Z czysto leksykalnego punktu widzenia, pojęcie „działań wchodzących w zakres stosowania prawa Unii” jest pod tym względem obarczone dwuznacznością. Na pierwszy rzut oka wykładnia generalizująca tego pojęcia, przyjęta w orzecznictwie Trybunału, może wydawać się wątpliwa, prowadzi ona bowiem do objęcia przepisami RODO wszystkich działań, które nie zostały wyłączone z zakresu tego rozporządzenia, co wydaje się sprzeczne z przypomnianą powyżej zasadą.
61. Zgodnie z utrwalonym orzecznictwem, przy dokonywaniu wykładni przepisu prawa Unii należy jednak uwzględniać nie tylko brzmienie i cele tego przepisu, lecz także jego kontekst, a ponadto ogół przepisów prawa Unii. Również geneza przepisu prawa Unii może zawierać elementy istotne dla jego wykładni(24).
62. Abstrahując od wykładni językowej, która nie wydaje mi się decydująca ze względu na dwuznaczność „zakresu zastosowania prawa Unii”, analiza kontekstu(25) i analiza teleologiczna przemawiają tymczasem wyraźnie za wykładnią generalizującą art. 16 ust. 2 TFUE, w tym sensie, że zakres tego przepisu wykracza poza zakres „stosowania prawa Unii” w rozumieniu art. 51 ust. 1 karty.
63. W pierwszej kolejności, wniosek ten narzuca się ze względu na systematykę traktatu FUE i szczególne miejsce, jakie w strukturze tego traktatu zajmuje art. 16 ust. 2.
64. Artykuł ten znajduje się bowiem w części pierwszej tytułu II traktatu FUE, zawierającego „postanowienia ogólne”. Wynika z tego, że ustanowione w tym przepisie prawo osób fizycznych do ochrony danych osobowych ma szczególne znaczenie w porównaniu z innymi prawami podstawowymi, które zamieszczono w karcie załączonej do traktatu.
65. Ściślej rzecz ujmując, uprzywilejowane umiejscowienie art. 16 TFUE w systematyce traktatu pozwala sądzić, że „zakres zastosowania”, o którym mowa w tym przepisie, nie ogranicza się wyłącznie do sytuacji, w których państwa członkowskie „stosują prawo Unii” w rozumieniu art. 51 ust. 1 karty, co odpowiadałoby opisanej powyżej wykładni konkretyzującej.
66. W tej kwestii pragnę podkreślić fundamentalną różnicę, która odróżnia art. 16 ust. 2 TFUE od postanowień karty.
67. Zgodnie z art. 51 ust. 2 karty „nie rozszerza [ona] zakresu zastosowania prawa Unii poza kompetencje Unii, nie ustanawia nowych kompetencji ani zadań Unii, ani też nie zmienia kompetencji i zadań określonych w traktatach”. Postanowienia karty znajdują zastosowanie do państw członkowskich w zakresie, w jakim stosują one prawo Unii w dziedzinach, które są już objęte zakresem tego prawa.
68. Inaczej jest w przypadku art. 16 ust. 2 TFUE, którego przepisy tworzą i powierzają Unii kompetencję ustawodawczą w dziedzinie ochrony i swobodnego przepływu danych osobowych, definiując w tym celu specyficzny zakres zastosowania, oparty na przepisach dyrektywy 95/46, o czym świadczy geneza tego przepisu.
69. W drugiej kolejności należy bowiem zauważyć, że z prac przygotowawczych nad traktatem z Lizbony jasno wynikają intencje jego autorów, którzy zmierzali do potwierdzenia zakresu stosowania przepisów dotyczących ochrony danych osobowych, określonego pod rządami dyrektywy 95/46.
70. W tym miejscu trzeba przypomnieć, że brzmienie art. 16 TFUE odpowiada bezpośrednio przepisom projektu Traktatu ustanawiającego Konstytucję dla Europy, którego art. 36a ust. 2 (art. 50 ust. 2 w ostatecznej wersji projektu z dnia 18 lipca 2003 r.(26)) przewidywał kompetencję Parlamentu i Rady do określenia „zasad dotyczących ochrony osób fizycznych w zakresie przetwarzania danych osobowych przez instytucje i organy Unii oraz przez państwa członkowskie w wykonywaniu działań wchodzących w zakres zastosowania prawa Unii, a także zasad dotyczących swobodnego przepływu takich danych”(27).
71. Zgodnie zaś z wyjaśnieniami przedstawionymi przez autorów projektu, „art. 36a ma na celu stworzenie jednej podstawy prawnej dla ochrony danych osobowych zarówno przez instytucje, jak i przez państwa członkowskie, w sytuacji gdy działają one w dziedzinie objętej zakresem stosowania prawa Unii. W odniesieniu do działań państw członkowskich tekst ten opiera się na obecnym systemie wspólnotowym wynikającym z [dyrektywy 95/46] (opartym na art. 95 WE)”(28).
72. Z powyższego wynika jasno, że gdyby pojęcie „zakresu prawa Unii”, zawarte w art. 2 ust. 2 lit. a) RODO, interpretować w sposób ograniczający stosowanie tego rozporządzenia w stosunku do zakresu stosowania dyrektywy 95/46, stałoby to w sprzeczności z wolą państw członkowskich wyrażoną w traktacie FUE.
73. W trzeciej kolejności należy wziąć pod uwagę względy celowościowe związane z dynamiką i ze specyfiką ochrony danych osobowych, w które wpisuje się przyjęcie RODO.
74. Z tego punktu widzenia nie ulega wątpliwości, że prawodawca Unii zmierzał do wzmocnienia tej ochrony i do skonsolidowania zakresu stosowania powiązanych z nią przepisów. Świadczy o tym zastąpienie dyrektywy 95/46 przepisami rozporządzenia o bardziej wiążącym charakterze, jak również sama treść motywów 9, 11 i 13 RODO.
75. Realizowane w tym zakresie cele wynikają ze specyfiki zjawiska przetwarzania danych osobowych, które wykracza poza ramy działań, przy okazji których dane te mogą być gromadzone.
76. Działania te nie są zresztą koniecznie powiązane z działalnością gospodarczą, która podlega już przepisom prawa Unii regulującym rynek wewnętrzny, co w żaden sposób nie obniża wartości rynkowej zebranych danych i nie eliminuje ryzyka związanego z ich przetwarzaniem.
77. Problematyka danych osobowych posiada pod tym względem charakter przekrojowy, w związku z czym przepisów dotyczących ochrony tych danych nie można ograniczać do zakresu stosowania istniejących już wcześniej kategorii prawa Unii.
78. Innymi słowy, fakt, że „zakres zastosowania prawa Unii”, o którym mowa w art. 16 ust. 2 TFUE, wykracza poza przypadki „stosowania prawa Unii” w rozumieniu art. 51 ust. 1 karty, wynika z autonomicznego charakteru problematyki związanej z przetwarzaniem danych osobowych, która wymagała dedykowanej interwencji ustawodawczej, o zakresie szerszym niż suma istniejących dotychczas przepisów prawa Unii. Z tego punktu widzenia szeroki zakres stosowania RODO odzwierciedla zamiar sprostania wyzwaniom związanym z ochroną danych osobowych poprzez przyjęcie regulacji „skrojonej na miarę”.
79. Zważywszy na zbieżność wniosków wynikających z analizy kontekstu i z analizy teleologicznej art. 16 ust. 2 TFUE, proponuję, by Trybunał potwierdził swoje wcześniejsze orzecznictwo(29) przyjmując ścisłą wykładnię wyjątku dotyczącego „działalności nieobjętej zakresem prawa Unii”, przewidzianego w art. 2 ust. 2 lit. a) RODO.
80. Proponuję zatem, by w świetle takiej właśnie wykładni Trybunał ocenił możliwość zastosowania owego rozporządzenia do działań parlamentarnej komisji śledczej, której dotyczy sprawa w postępowaniu głównym.
W przedmiocie stosowania RODO do działań parlamentarnej komisji śledczej
81. Na wstępie konieczne wydaje mi się poczynić uwagę odnośnie sposobu, w jaki właściwe przepisy RODO określają zakres stosowania tego rozporządzenia.
– Drugorzędne znaczenie kryteriów instytucjonalnych dla określenia zakresu stosowania RODO
82. Należy podkreślić, że względy organiczne lub instytucjonalne, związane z charakterem organów lub osób odpowiedzialnych za przetwarzanie danych osobowych, mają przy określaniu zakresu stosowania RODO znaczenie drugorzędne.
83. Z jednej strony bowiem zakres stosowania RODO opiera się na przedmiotowym pojęciu „przetwarzania” danych osobowych, zgodnie z art. 2 ust. 1 tego rozporządzenia. Organiczne pojęcie „administratora danych”, znajdujące się w art. 4 pkt 7 RODO, ma z tego punktu widzenia jedynie charakter pomocniczy w tym znaczeniu, że opiera się zasadniczo na przedmiotowym pojęciu przetwarzania. O ile bowiem definicja administratora danych odnosi się do „osoby fizycznej lub prawnej, organu publicznego, jednostki lub innego podmiotu”, to odniesienie to prowadzi do neutralizacji kryteriów organicznych przy jej stosowaniu.
84. Z drugiej strony, nawet jeśli przepisy ograniczające przedmiotowy zakres stosowania RODO, zawarte w art. 2 ust. 2 tego rozporządzenia, odnoszą się do niektórych kategorii osób lub organów, a mianowicie do państw członkowskich, osób fizycznych i organów właściwych w sprawach karnych, to zawsze ma to miejsce w kontekście działalności, która pozostaje wyjęta z zakresu stosowania tego rozporządzenia. Zatem to nie osoby, jako takie, pozostają wyłączone z zakresu stosowania RODO, lecz jedynie niektóre rodzaje prowadzonej przez nie działalności.
85. Drugorzędne znaczenie kryteriów instytucjonalnych znajduje również potwierdzenie w sposobie, w jaki zdefiniowane zostały częściowe odstępstwa ograniczające zakres niektórych przepisów RODO. Tytułem przykładu(30), choć sądy są wyłączone z właściwości krajowych organów nadzorczych zgodnie z art. 55 ust. 3 RODO, to jest tak jedynie w zakresie, w jakim sprawują one wymiar sprawiedliwości. Zakres tego odstępstwa jest zatem określony nie przez status organów sądowych, lecz przez szczególny charakter ich działalności.
86. W braku jakiegokolwiek przepisu RODO, który dotyczyłby konkretnie organów parlamentarnych, wynika z tego moim zdaniem, że o możliwości stosowania tego rozporządzenia powinien przesądzać nie tyle status organów parlamentu w prawie austriackim, co charakter ich działalności.
– W przedmiocie charakteru działalności komisji śledczej w postępowaniu głównym
87. W świetle wszystkich okoliczności przedstawionych Trybunałowi uważam, że zadania powierzone tej komisji można zakwalifikować jako działalność z zakresu kontroli publicznej, obejmującą sprawowanie władzy publicznej.
88. Kwalifikacja ta wynika z samej treści pierwszego i drugiego pytania prejudycjalnego, które dotyczą działalności wykonywanej w ramach kontroli władzy wykonawczej. Zgodnie z wyjaśnieniami przedstawionymi przez sąd odsyłający „celem komisji śledczych jest wyjaśnienie określonych zagadnień dla celów politycznych […]. W tym względzie do komisji śledczych należy wykonywanie zadań kontrolnych, które zostały im powierzone konstytucyjnie”(31).
89. Kwalifikacja ta znajduje potwierdzenie w przedstawionych Trybunałowi uwagach na piśmie(32).
90. W świetle wyjaśnień przedstawionych na rozprawie przez Präsident des Nationalrates (przewodniczącego zgromadzenia narodowego) bezsporne jest ponadto, że omawiana komisja śledcza dysponuje pewnymi kompetencjami władczymi, takimi jak prawo do wzywania świadków lub uzyskania dostępu do dokumentów dotyczących przedmiotu jej działalności, którym towarzyszy prawo do nakładania kar finansowych, mające na celu zapewnienie prawidłowego przebiegu śledztwa.
91. Wydaje mi się natomiast, że istnieją pewne niejasności odnośnie ustawodawczego charakteru działań tej komisji i jego ewentualnych konsekwencji dla stosowania RODO.
92. Präsident des Nationalrates (przewodniczący zgromadzenia narodowego) zauważa w tym względzie, że „komisje śledcze, zarówno pod względem organizacyjnym, jak i funkcjonalnym, podlegają władzy ustawodawczej. Czynności wykonywane przez komisje śledcze lub w ich imieniu należą zatem do funkcji ustawodawczej państwa”(33). Zdaniem tego organu wynika z tego, że „[d]ziałalność komisji śledczej wpisuje się w samo sedno kompetencji ustawodawcy i jako działalność (z zakresu kontroli) o charakterze wyłącznie parlamentarnym i politycznym objęta jest wyjątkiem przewidzianym w art. 2 ust. 2 lit. a) RODO”(34).
93. Twierdzenia te skłaniają mnie do poczynienia trzech uwag.
94. W pierwszej kolejności, niezależnie od ewentualnego udziału komisji śledczych w pracach ustawodawczych, pragnę podkreślić, że działalność ustawodawcza czy też parlamentarna nie została wyłączona z zakresu stosowania RODO(35), w odróżnieniu od działalności związanej ze sprawowaniem wymiaru sprawiedliwości, do której odnosi się częściowe odstępstwo przewidziane w art. 55 ust. 3 tego rozporządzenia.
95. W przeciwieństwie do niektórych zainteresowanych wątpię, aby w drodze analogii odstępstwo to można było interpretować w sposób, który prowadziłby do objęcia funkcji ustawodawczych wyjątkiem dotyczącym sprawowania funkcji sądowniczych. Przeciwnie, gdyby Trybunał miał się w niniejszej sprawie kierować odstępstwem przewidzianym w art. 55 ust. 3 RODO, mogłoby to prowadzić jedynie do wykładni a contrario. Zważywszy na szeroki zakres stosowania RODO, wyjątek dotyczący sprawowania wymiaru sprawiedliwości nie może być interpretowany rozszerzająco.
96. W drugiej kolejności pragnę zaznaczyć, że w mojej ocenie żadna z informacji przedstawionych Trybunałowi nie pozwala na twierdzenie, jakoby działalność komisji śledczej, o której mowa w postępowaniu głównym, wiązała się ze sprawowaniem funkcji ustawodawczych.
97. W szczególności wskazana komisja śledcza nie posiada inicjatywy ustawodawczej ani w żaden inny sposób nie uczestniczy w pracach legislacyjnych parlamentu austriackiego. Ponadto, nawet jeśli raport końcowy z śledztwa może stanowić dla ustawodawcy źródło inspiracji, nie wydaje mi się, aby okoliczność ta mogła nadać czynnościom komisji charakter ustawodawczy. Prace niektórych organów pozaparlamentarnych – takich jak austriacki trybunał obrachunkowy, którego sprawozdania są przekazywane parlamentowi – również mogą stanowić inspirację dla ustawodawcy, co nie prowadzi jednak w żaden sposób do przypisania im władzy ustawodawczej.
98. W trzeciej kolejności należy zauważyć, że względy instytucjonalne nie mają wpływu na stosowanie RODO, niezależnie od ich ewentualnego znaczenia w świetle prawa austriackiego. Powiązania organizacyjne parlamentarnej komisji śledczej nie mogą być w związku z tym decydujące dla udzielenia odpowiedzi na pierwsze pytanie prejudycjalne.
– W przedmiocie możliwości stosowania RODO do działań z zakresu kontroli publicznej
99. W świetle powyższych rozważań należy zastanowić się, czy działalność z zakresu kontroli publicznej prowadzona przez parlamentarną komisję śledczą wchodzi w zakres stosowania RODO.
100. Moim zdaniem, na pytanie to należy udzielić odpowiedzi twierdzącej, a to z trzech głównych powodów.
101. Po pierwsze, należy wskazać, że przetwarzanie danych osobowych przez rzeczoną komisję wchodzi w zakres przedmiotowego pojęcia „przetwarzania” zdefiniowanego w art. 2 ust. 1 RODO. Kwalifikacji tej nie zakwestionowała w niniejszej sprawie żadna z zainteresowanych stron.
102. Po drugie, należy zauważyć, że działalność z zakresu kontroli publicznej wchodzi w zakres zastosowania prawa Unii w rozumieniu art. 16 ust. 2 TFUE i art. 2 ust. 2 lit. a) RODO, zgodnie z ich wykładnią przyjętą w orzecznictwie Trybunału, w szczególności z tego względu, że żaden przepis tego rozporządzenia nie wyłączył takiej działalności z zakresu jego stosowania.
103. Przeciwnie, działalność z zakresu kontroli została wyraźnie wymieniona w art. 23 ust. 1 lit. h) RODO, który przewiduje możliwość ograniczenia zakresu niektórych praw i obowiązków przewidzianych w tym rozporządzeniu, jeśli takie ograniczenie jest konieczne w celu zagwarantowania wykonywania „funkcji kontrolnych, inspekcyjnych lub regulacyjnych związanych, nawet sporadycznie, ze sprawowaniem władzy publicznej” w niektórych przypadkach określonych w tym przepisie.
104. Z powyższego wynika, że przepisy RODO znajdują zastosowanie do działań z zakresu kontroli publicznej, nawet jeśli można przewidzieć w tym zakresie pewne szczególne modyfikacje. Możliwe ograniczenie ochrony wynikającej z RODO nie prowadzi jednak do wykluczenia jego stosowania.
105. Po trzecie wreszcie, w świetle ogólnego podziału kompetencji pomiędzy Unią i państwami członkowskimi, nie wydaje się, aby działania z zakresu kontroli publicznej zostały zastrzeżone wyłącznie dla tych ostatnich.
106. Posługując się przykładem samej kontroli parlamentarnej, zbieg kompetencji w tej dziedzinie dobrze ilustruje podwójne śledztwo w sprawie znanej jako „Dieselgate”, przeprowadzone jednocześnie przez Parlament Europejski(36) i przez niemiecki Bundestag (zgromadzenie federalne).
107. Można by oczywiście twierdzić, że zakres stosowania prawa Unii obejmuje wyłącznie te działania z zakresu kontroli, które mają związek ze stosowaniem przepisów tego prawa.
108. Takie podejście sprowadzałoby się jednak do ponownego wprowadzenia wykładni konkretyzującej „zakresu stosowania prawa Unii” i z tego względu wiązałoby się z takim samym ryzykiem niepewności prawa. Biorąc pod uwagę sam charakter śledztwa parlamentarnego, które ma na celu wyjaśnienie badanych okoliczności, wydaje mi się, że trudno jest ustalić z wyprzedzeniem, czy działalność komisji śledczej posiada konkretny związek ze stosowaniem przepisów prawa Unii(37).
109. W tym kontekście należy wziąć pod uwagę cel pewności prawa realizowany przez przepisy RODO, które zmierzają do uniknięcia rozdrobnienia wdrażania ochrony danych w Unii(38).
110. Biorąc pod uwagę ten cel i pozostając w zgodzie z rozwiązaniem przyjętym przez Trybunał w wyroku Österreichischer Rundfunk i in.(39), wydanym pod rządami dyrektywy 95/46, zakres stosowania RODO należy interpretować w ten sposób, że obejmuje on działalność z zakresu kontroli publicznej, niezależnie od jej związku ze stosowaniem konkretnych przepisów prawa Unii.
111. W świetle powyższych rozważań proponuję, aby na pierwsze pytanie prejudycjalne odpowiedzieć, że działalność komisji śledczej powołanej przez parlament państwa członkowskiego w ramach wykonywania przysługującego mu prawa do kontroli władzy wykonawczej wchodzi w zakres stosowania prawa Unii w rozumieniu art. 16 ust. 2 zdanie pierwsze TFUE.
W przedmiocie drugiego pytania prejudycjalnego
112. Poprzez pytanie drugie sąd odsyłający dąży do ustalenia, czy działania komisji śledczej, o której mowa w postępowaniu głównym, są objęte wyjątkiem przewidzianym w art. 2 ust. 2 lit. a) RODO w związku z motywem 16 tego rozporządzenia, biorąc pod uwagę szczególny przedmiot jej prac, związany z kwestiami dotyczącymi bezpieczeństwa narodowego.
113. Z kilku powodów nie sądzę, aby tak było.
114. Po pierwsze, biorąc pod uwagę szeroki zakres stosowania RODO, wyjątek odnoszący się do działalności dotyczącej bezpieczeństwa narodowego należy interpretować ściśle. Wnioskuję z tego, że w zakres tego wyjątku wchodzi jedynie taka działalność, która bezpieczeństwu narodowemu służy w sposób bezpośredni.
115. W oczywisty sposób nie jest tak w przypadku działań komisji śledczej, o której mowa w postępowaniu głównym, a której powierzono zadanie skontrolowania organów rządu federalnego.
116. W zakresie, w jakim omawiana kontrola dotyczy funkcjonowania BVT, którego zadanie polega na zapewnieniu integralności i ciągłości instytucji państwowych, działalność tej komisji mogła niewątpliwie przyczynić się pośrednio do ochrony bezpieczeństwa narodowego.
117. Taki wkład w ochronę bezpieczeństwa narodowego nie zmienia jednak charakteru działań powierzonych komisji śledczej i nie może prowadzić do wyłączenia jej z zakresu stosowania przepisów RODO. Gdyby przyjąć rozwiązanie przeciwne, można by zadać sobie pytanie, czy na tej samej podstawie ze stosowania RODO nie powinna zostać wyłączona również agencja reklamowa, zaangażowana przez ministerstwo obrony do promowania zawodów wojskowych.
118. Po drugie, gdyby stosowanie RODO miało zależeć od przedmiotu śledztwa parlamentarnego, stałoby to w sprzeczności z celem pewności prawa realizowanym przez prawodawcę Unii.
119. Ze względu na swój zmienny charakter przedmiot śledztwa parlamentarnego nie dostarcza wystarczająco stabilnej podstawy do określenia zakresu stosowania RODO. Zmieniające się okoliczności, takie jak osobisty udział ministra obrony w aferze korupcyjnej – który może zostać ujawniony (lub zdementowany) w toku śledztwa – nie mogą służyć w tym względzie za punkt odniesienia.
120. Po trzecie, wykładnia wyjątku ustanowionego w art. 2 ust. 2 lit. a) RODO powinna uwzględniać ratio legis tego przepisu. Wydaje mi się, że jest ono związane z niemożliwością pogodzenia pewnych podstawowych aspektów prawa do poszanowania danych osobowych z poufną naturą niektórych działań dotyczących bezpieczeństwa narodowego.
121. Tytułem przykładu, trudno mi sobie wyobrazić, w jaki sposób służby wywiadu wewnętrznego mogłyby zapewnić poszanowanie praw do informacji i dostępu do danych, ustanowionych w art. 14 i 15 RODO, nie narażając przy tym na szwank działań wywiadowczych podejmowanych wobec osób podejrzanych o przynależność do organizacji terrorystycznej. W takim przypadku wymogi wynikające z RODO wydają się w swojej istocie niezgodne z wymogami bezpieczeństwa narodowego.
122. Wydaje mi się natomiast, że działalność parlamentarnej komisji śledczej nie napotyka na żadną niemożliwą do przezwyciężenia przeszkodę tego rodzaju i nie widzę, w jaki sposób przestrzeganie obowiązków wynikających z RODO mogłoby udaremnić ewentualny wkład takiej komisji w ochronę bezpieczeństwa narodowego.
123. Niewątpliwie rozgłos, jaki towarzyszy zazwyczaj pracom komisji śledczych, stanowi element publicznego wymiaru kontroli parlamentarnej. Cel polegający na zapewnieniu przejrzystości śledztwa stanowi jednak przeciwieństwo ratio legis art. 2 ust. 2 lit. a) RODO, który zmierza do ochrony tajemnic związanych z bezpieczeństwem narodowym.
124. Po czwarte, nawet jeśli przestrzeganie obowiązków wynikających z RODO mogłoby w niektórych przypadkach zakłócać sprawny przebieg śledztwa parlamentarnego – na przykład wtedy, gdy komisja uzyskuje dostęp do poufnych dokumentów zawierających dane osobowe – to pragnę przypomnieć, że art. 23 ust. 1 lit. a) i h) RODO przewiduje możliwość ograniczenia praw i obowiązków ustanowionych w art. 5, 12–22 i 34 tego rozporządzenia, w przypadku gdy ograniczenie to jest konieczne do zapewnienia wykonania zadań z zakresu kontroli przez wzgląd na interesy bezpieczeństwa narodowego.
125. Wynika z tego, moim zdaniem, że ewentualny związek przedmiotu śledztwa parlamentarnego z kwestiami bezpieczeństwa narodowego nie powinien skutkować wyłączeniem prac komisji śledczej z zakresu stosowania RODO. Biorąc pod uwagę kontekst instytucjonalny działalności takich komisji, których członkowie uczestniczą w pracach organów ustawodawczych parlamentu, wydaje mi się ponadto, że stosunkowo łatwo byłoby przeprowadzić odpowiednie zmiany w ustawodawstwie, które pozwoliłyby na uwzględnienie szczególnego przedmiotu niektórych śledztw parlamentarnych zgodnie z treścią art. 23 ust. 1 RODO.
126. Z powyższych względów proponuję, aby Trybunał odpowiedział na drugie pytanie prejudycjalne, że działalność parlamentarnej komisji śledczej, której przedmiotem jest śledztwo odnoszące się do działań policyjnego organu ochrony państwa dotyczących bezpieczeństwa narodowego w rozumieniu motywu 16 RODO, nie jest objęta odstępstwem określonym w art. 2 ust. 2 lit. a) tego rozporządzenia.
W przedmiocie trzeciego pytania prejudycjalnego
127. Poprzez pytanie trzecie sąd odsyłający dąży do ustalenia, czy właściwość jedynego organu nadzorczego ustanowionego na podstawie art. 51 ust. 1 RODO do rozpoznawania skarg, o których mowa w art. 77 ust. 1 tego rozporządzenia, może wynikać bezpośrednio z tego ostatniego przepisu w związku z art. 55 ust. 1 RODO.
128. Pytanie to, które zostało zadane na wypadek, gdyby RODO miało zastosowanie do działań komisji śledczej w postępowaniu głównym, związane jest z przeszkodami o charakterze konstytucyjnym. Zdaniem Verwaltungsgerichtshof (trybunału administracyjnego) i niektórych zainteresowanych, zasada podziału władzy istniejąca w prawie austriackim sprzeciwia się ingerencji organu administracyjnego – w tym przypadku Datenschutzbehörde – w działalność parlamentu, polegającej na rozpatrywaniu skarg związanych z tą działalnością.
129. Trzecie pytanie prejudycjalne ma zatem na celu ustalenie zakresu bezpośredniej skuteczności art. 55 ust. 1 i art. 77 ust. 1 RODO, w sytuacji gdy właściwość ustanowionego przez państwo członkowskie jedynego organu nadzorczego pozostaje ograniczona zasadą rangi konstytucyjnej.
130. Ponieważ w niniejszej sprawie chodzi o rozporządzenie Unii, należy przypomnieć, że ma ono co do zasady bezpośrednie zastosowanie we wszystkich swoich aspektach zgodnie z art. 288 akapit drugi TFUE, co potwierdza art. 99 ust. 2 akapit drugi RODO(40).
131. Zgodnie z orzecznictwem Trybunału inaczej jest jedynie w przypadku, gdy przepis rozporządzenia wymaga przyjęcia środków wykonawczych ze względu na pozostawiony państwom członkowskim zakres uznania przy jego wdrażaniu(41).
132. W tym względzie uważam, że przepisy art. 77 ust. 1 RODO, w związku z art. 55 ust. 1 tego rozporządzenia, przewidujące właściwość organów nadzorczych do rozpatrywania skarg, są wystarczająco jasne i bezwarunkowe, aby mogły być stosowane bezpośrednio.
133. Dodam, że Trybunał potwierdził już bezpośrednią skuteczność art. 58 ust. 5 RODO, orzekając, że krajowy organ nadzorczy może powołać się na zdolność sądową przyznaną mu w tym przepisie w celu wszczęcia lub dalszego prowadzenia postępowania spornego przeciwko jednostkom, nawet w braku wydania przez dane państwo członkowskie jakiegokolwiek ustawodawczego środka wykonawczego w tym zakresie(42).
134. W okolicznościach sprawy w postępowaniu głównym żaden dodatkowy środek wykonawczy nie wydaje mi się ponadto konieczny do uregulowania postępowania w sprawie skargi, o której mowa w art. 77 RODO. Datenschutzbehörde rozpatruje takie skargi regularnie, przy czym jedyną kwestią, jaka powstaje w sprawie, jest jego właściwość względem organów parlamentu.
135. Kwestia ta nie została zaś pozostawiona swobodnej ocenie państw członkowskich.
136. Co prawda, możliwość skutecznego wykonania prawa do skargi zakłada uprzednie utworzenie co najmniej jednego organu nadzorczego zgodnie z art. 51 ust. 1 RODO, co wymaga działania państw członkowskich. Chodzi tu jednak o kwestię bezpośredniej skuteczności tego ostatniego przepisu, która nie powstaje w sprawie rozpatrywanej w postępowaniu głównym.
137. Jeśli chodzi o liczbę organów nadzorczych, które należy utworzyć na podstawie art. 51 ust. 1 RODO, fakt pozostawienia państwom członkowskim wyboru instytucjonalnego w tej kwestii nie może prowadzić do ograniczenia właściwości jedynego organu ustanowionego przez ustawodawcę austriackiego. Odmienna wykładnia pozbawiłaby art. 55 ust. 1 i art. 77 ust. 1 RODO ich bezpośredniej skuteczności i mogłaby osłabić skuteczność (effet utile) wszystkich pozostałych przepisów tego rozporządzenia, do których skarga może się odnosić.
138. Wreszcie, jeśli chodzi o przeszkody natury konstytucyjnej powstające w prawie austriackim, nie mogą one prowadzić do odmowy zastosowania przepisów RODO. Zgodnie z utrwalonym orzecznictwem Trybunału powołanie się na naruszenie zasad krajowej struktury konstytucyjnej nie może mieć wpływu na skuteczność aktu Unii(43).
139. W odpowiedzi na trzecie pytanie prejudycjalne proponuję zatem, aby Trybunał orzekł, że w przypadku gdy państwo członkowskie ustanowiło tylko jeden organ nadzorczy w rozumieniu art. 51 ust. 1 RODO, jego właściwość do rozpoznawania skarg, o których mowa w art. 77 ust. 1 tego rozporządzenia, wynika bezpośrednio z tego ostatniego przepisu w związku z art. 55 ust. 1 rzeczonego rozporządzenia.
Wnioski
140. W świetle całości powyższych rozważań proponuję, aby Trybunał odpowiedział na pytania przedstawione przez Verwaltungsgerichtshof (trybunał administracyjny, Austria) w następujący sposób:
1) Działalność komisji śledczej powołanej przez parlament państwa członkowskiego w ramach wykonywania przysługującego mu prawa do kontroli władzy wykonawczej wchodzi w zakres stosowania prawa Unii w rozumieniu art. 16 ust. 2 zdanie pierwsze TFUE, wobec czego do przetwarzania danych osobowych przez taką komisję ma zastosowanie rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych).
2) Działalność komisji śledczej powołanej przez parlament państwa członkowskiego w ramach wykonywania przysługującego mu prawa do kontroli władzy wykonawczej, której przedmiotem jest śledztwo odnoszące się do działań policyjnego organu ochrony państwa, a więc działań dotyczących bezpieczeństwa narodowego w rozumieniu motywu 16 rozporządzenia 2016/679, nie jest objęta odstępstwem określonym w art. 2 ust. 2 lit. a) rzeczonego rozporządzenia.
3) W przypadku gdy państwo członkowskie ustanowiło tylko jeden organ nadzorczy w rozumieniu art. 51 ust. 1 rozporządzenia 2016/679, jego właściwość do rozpoznawania skarg, o których mowa w art. 77 ust. 1 tego rozporządzenia, wynika bezpośrednio z tego ostatniego przepisu w związku z art. 55 ust. 1 rzeczonego rozporządzenia.