Дело C‑33/22
Österreichische Datenschutzbehörde
срещу
WK
(Преюдициално запитване, отправено от Verwaltungsgerichtshof (Австрия)
Решение на Съда (голям състав) от 16 януари 2024 година
„Преюдициално запитване — Защита на физическите лица във връзка с обработването на лични данни — Член 16 ДФЕС — Регламент (ЕС) 2016/679 — Член 2, параграф 2, буква a) — Приложно поле — Изключване — Дейности, които са извън приложното поле на правото на Съюза — Член 4, параграф 2 ДЕС — Дейности в областта на националната сигурност — Анкетна комисия, създадена от парламента на държава членка — Член 23, параграф 1, букви а) и з) и членове 51 и 55 от Регламент (ЕС) 2016/679 — Компетентност на надзорния орган за защита на данните — Член 77 — Право на подаване на жалба до надзорен орган — Директен ефект“
1. Защита на физическите лица във връзка с обработването на лични данни — Регламент 2016/679 — Приложно поле — Дерогации — Обработване на данни в рамките на дейност, която е извън приложното поле на правото на Съюза — Извършвана дейност от анкетна комисия, създадена от парламента на държава членка при упражняването на правомощието му на контрол върху изпълнителната власт — Изключване — Прилагане на Регламента
(член 16, параграф 2, първо изречение ДФЕС; съображение 16 и член 2, параграф 2, буква а) от Регламент 2016/679 на Европейския парламент и на Съвета)
(вж. т. 37—43; т. 1 от диспозитива)
2. Защита на физическите лица във връзка с обработването на лични данни — Регламент 2016/679 — Приложно поле — Дерогации — Обработване на данни в рамките на дейност, която е извън приложното поле на правото на Съюза — Дейност, която е насочена към запазване на националната сигурност или която е от тази категория — Понятие — Извършвана дейност от анкетна комисия, създадена от парламента на държава членка при упражняването на правомощието му на контрол върху изпълнителната власт — Разследване на евентуалното политическо влияние върху полицейски орган за защита на държавата — Изключване
(член 4, параграф 2 ДЕС; съображение 16, член 2, параграф 1 и параграф 2, буква а) и член 23 от Регламент 2016/679 на Европейския парламент и на Съвета)
(вж. т. 46 и 50—57; т. 2 от диспозитива)
3. Защита на физическите лица във връзка с обработването на лични данни — Регламент 2016/679 — Национални надзорни органи — Право на държава членка да създаде само един надзорен орган — Компетентност на надзорния орган, предоставена от Регламента — Ограничение на компетентността, което следва от национални конституционни разпоредби — Недопустимост — Предимство и директен ефект на правото на Съюза
(съображение 117, член 51, параграф 1, член 55, параграфи 1 и 3 и член 77, параграф 1 от Регламент 2016/679 на Европейския парламент и на Съвета)
(вж. т. 62—72; т. 3 от диспозитива)
Резюме
След отправено преюдициално запитване от Verwaltungsgerichtshof (Върховен административен съд, Австрия) големият състав на Съда постанови, че дейността на парламентарна анкетна комисия не е изключена от приложното поле на ОРЗД(1).
За да провери дали е налице евентуално политическо влияние върху Bundesamt für Verfassungsschutz und Terrorismusbekämpfung (Федерална служба за защита на конституцията и борба с тероризма, Австрия)(2), Nationalrat (Национален съвет, Австрия) създава анкетна комисия (наричана по-нататък „анкетната комисия за BVT“). Тази анкетна комисия изслушва WK като свидетел. Въпреки искането за анонимизиране, направено от WK, протоколът от изслушването му, в който е цитирано пълното му лично и фамилно име, е публикуван на интернет страницата на Parlament Österreich (австрийския парламент). С твърдението, че такова разкриване на самоличността му противоречи на ОРЗД и на австрийското законодателство(3), WK подава жалба до Österreichische Datenschutzbehörde (Орган за защита на данните, Австрия) (наричан по-нататък „Datenschutzbehörde“). С решение от 18 септември 2019 г. Datenschutzbehörde приема, че няма компетентност да се произнесе по жалбата, като посочва, че принципът на разделение на властите изключва възможността като орган на изпълнителната власт той да контролира анкетната комисия за BVT, която е част от законодателната власт.
След като с решение Bundesverwaltungsgericht (Федерален административен съд, Австрия) уважава жалбата на WK и отменя решението на Datenschutzbehörde, Datenschutzbehörde подава ревизионна жалба до Върховния административен съд срещу решението на федералния административен съд.
При тези обстоятелства запитващата юрисдикция иска от Съда да се произнесе дали дейностите на анкетна комисия, създадена от парламента на държава членка, попадат в приложното поле на ОРЗД и дали този регламент е приложим, когато тези дейности са свързани със защитата на националната сигурност. Тя иска Съдът да се произнесе и дали ОРЗД предоставя на национален надзорен орган като Datenschutzbehörde компетентността да разглежда жалбите относно обработване на лични данни, извършено от анкетна комисия в рамките на нейните дейности.
Съображения на Съда
На първо място, Съдът припомня, че член 2, параграф 2, буква а) от ОРЗД, съгласно който този регламент не се прилага за обработването на лични данни в хода на дейности, които са извън приложното поле на правото на Съюза, цели единствено да изключи от приложното му поле обработването на лични данни, извършвано от държавните органи в рамките на дейност, която е насочена към запазване на националната сигурност или която е от същата категория. Ето защо сам по себе си фактът, че дадена дейност е присъща на държавата или на публичен орган, не е достатъчен, за да се изключи автоматично прилагането на ОРЗД към подобна дейност(4).
Изложеното тълкуване, което следва от липсата на разграничение съобразно това кой извършва съответното обработване, се потвърждава от член 4, точка 7 от ОРЗД(5).
Съдът уточнява, че парламентарното естество на анкетната комисия за BVT не означава, че дейностите ѝ са изключени от приложното поле на ОРЗД. Всъщност изключването, предвидено в член 2, параграф 2, буква а) от този регламент, се отнася само до категории дейности, които поради естеството си не попадат в приложното поле на правото на Съюза, а не до категории лица. Ето защо обстоятелството, че обработването на лични данни се извършва от анкетна комисия, създадена от парламента на държава членка при упражняване на правомощието му на контрол върху законодателната власт, само по себе си не дава основание да се направи извод, че това обработване се извършва в рамките на дейност, която е извън приложното поле на правото на Съюза.
На второ място, Съдът отбелязва, че макар държавите членки да са тези, които определят основните интереси на своята сигурност и предприемат подходящи мерки, за да я гарантират(6), сам по себе си фактът, че дадена национална мярка е приета за целите на защитата на националната сигурност, не може да доведе до неприложимост на правото на Съюза и до освобождаване на държавите членки от необходимостта да спазват това право. Всъщност изключването, предвидено в член 2, параграф 2, буква а) от ОРЗД, се отнася само до категории дейности, които поради естеството си не попадат в приложното поле на правото на Съюза. В тази насока фактът, че администраторът е публичен орган, чиято основна дейност е да се гарантира националната сигурност, сам по себе си не е достатъчен, за да изключи от приложното поле на ОРЗД обработването на лични данни, извършено от този орган в рамките на останалите му дейности.
В случая политическият контрол, осъществяван от анкетната комисия за BVT, сам по себе си, изглежда, не представлява дейност, която е насочена към запазване на националната сигурност или която е от същата категория. Ето защо, без да се засяга проверката, която трябва да се направи от запитващата юрисдикция, тази дейност не попада извън приложното поле на ОРЗД.
Парламентарна анкетна комисия обаче може да има достъп до лични данни, които по съображения за национална сигурност трябва да се ползват от особена защита. В тази насока чрез законодателна мярка могат да се ограничат задълженията и правата, произтичащи от ОРЗД, по-специално с цел да се гарантира националната сигурност(7). Така на тази база могат да бъдат обосновани ограничения за събирането на лични данни, предоставянето на информация на субектите на данни и достъпа им до тези данни или пък разкриването на посочените данни, без съгласието на субектите на данни, на различни от администратора лица, стига подобни ограничения да са съобразени със същността на основните права и свободи и да представляват необходима и пропорционална мярка в едно демократично общество.
Според Съда обаче от предоставената му информация не е видно анкетната комисия за BVT да е твърдяла, че разкриването на личните данни на субекта на данни е необходимо за опазването на националната сигурност и се основава на предвидена за тази цел национална законодателна мярка, като това, според случая, трябва да бъде проверено от запитващата юрисдикция.
На трето и последно място, Съдът отбелязва, че разпоредбите на ОРЗД относно компетентността на националните надзорни органи и относно правото на обжалване(8) не налагат да се приемат национални мерки за прилагане и са достатъчно ясни, конкретни и безусловни, за да имат директен ефект. Следователно ОРЗД предоставя на държавите членки свобода на преценка досежно броя на надзорните органи, които да бъдат създадени(9), но за сметка на това определя обхвата на техните правомощия, за да наблюдават прилагането на този регламент. Поради това, когато държава членка реши да създаде само един национален надзорен орган, същият задължително разполага с всички правомощия, предвидени от този регламент. Всяко различно тълкуване би поставило под въпрос полезния ефект на тези разпоредби и има опасност да отслаби полезния ефект на всички останали разпоредби от ОРЗД, до които може да се отнася дадена жалба.
По отношение на факта, че националните конституционни разпоредби изключват възможността надзорен орган, който е част от изпълнителната власт, да наблюдава прилагането на ОРЗД от орган на законодателната власт, Съдът подчертава, че в съзвучие именно с конституционната структура на държавите членки ОРЗД просто изисква те да създадат поне по един надзорен орган, като им дава възможност да създадат и няколко. Следователно този регламент предоставя на всяка държава членка свобода на преценка, което ѝ позволява да създаде толкова надзорни органа, колкото по-специално налага нейната конституционна структура.
В допълнение позоваването от държава членка на разпоредби от националното ѝ право не може да накърни единството и ефикасността на правото на Съюза. Всъщност действието на принципа на предимство на правото на Съюза обвързва всички органи на дадена държава членка, без националните разпоредби в частност, в това число и конституционни, да могат да са пречка за това(10).
Следователно, щом е решила да създаде само един надзорен орган, държавата членка не може да се позовава на разпоредби от националното право, били те и с конституционен ранг, за да изключи обработването на лични данни, което попада в приложното поле на ОРЗД, от упражнявания от този орган надзор.