Věc C‑33/22
Österreichische Datenschutzbehörde
v.
WK
[žádost o rozhodnutí o předběžné otázce, kterou podal Verwaltungsgerichtshof (Rakousko)]
Rozsudek Soudního dvora (velkého senátu) ze dne 16. ledna 2024
„Řízení o předběžné otázce – Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Článek 16 SFEU – Nařízení (EU) 2016/679 – Článek 2 odst. 2 písm. a) – Oblast působnosti – Vyloučení – Činnosti, které nespadají do oblasti působnosti unijního práva – Článek 4 odst. 2 SEU – Činnosti týkající se národní bezpečnosti – Vyšetřovací výbor zřízený parlamentem členského státu – Článek 23 odst. 1 písm. a) a h), články 51 a 55 nařízení (EU) 2016/679 – Pravomoc dozorového úřadu pro ochranu údajů – Článek 77 – Právo podat stížnost u dozorového úřadu – Přímý účinek“
1. Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Nařízení 2016/679 – Oblast působnosti – Odchylky – Zpracování údajů při výkonu činností, které nespadají do oblasti působnosti práva Unie – Činnost vyšetřovacího výboru zřízeného parlamentem členského státu při výkonu jeho kontrolní pravomoci vůči výkonné moci – Vyloučení – Použití nařízení
[Článek 16 odst. 2 první věta SFEU; nařízení Evropského parlamentu a Rady 2016/679, bod 16 odůvodnění a čl. 2 odst. 2 písm. a)]
(viz body 37–43, výrok 1)
2. Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Nařízení 2016/679 – Oblast působnosti – Odchylky – Zpracování údajů při výkonu činností, které nespadají do oblasti působnosti práva Unie – Činnost, která má chránit národní bezpečnost nebo spadá do této kategorie – Pojem – Činnost vyšetřovacího výboru zřízeného parlamentem členského státu při výkonu jeho kontrolní pravomoci vůči výkonné moci – Vyšetřování existence případného politického ovlivňování policejního orgánu pro ochranu státu – Vyloučení
[Článek 4 odst. 2 SEU; nařízení Evropského parlamentu a Rady 2016/679, bod 16 odůvodnění a čl. 2 odst. 1 a odst. 2 písm. a) a článek 23]
(viz body 46, 50–57, výrok 2)
3. Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Nařízení 2016/679 – Vnitrostátní dozorové úřady – Právo členského státu zřídit jediný dozorový úřad – Pravomoc dozorového úřadu přiznaná nařízením – Omezení pravomoci plynoucí z vnitrostátních ustanovení ústavní povahy – Nepřípustnost – Přednost a přímý účinek unijního práva
[Nařízení Evropského parlamentu a Rady 2016/679, bod 117 odůvodnění a čl. 51 odst. 1, čl. 55 odst. 1 a 3 a čl. 77 odst. 1]
(viz body 62–72, výrok 3)
Shrnutí
Velký senát Soudního dvora, kterému Verwaltungsgerichtshof (Nejvyšší správní soud, Rakousko) předložil žádost o rozhodnutí o předběžné otázce, rozhodl, že činnost parlamentního vyšetřovacího výboru není vyňata z působnosti GDPR(1).
Za účelem prošetření případného politického ovlivňování Bundesamt für Verfassungsschutz und Terrorismusbekämpfung (Spolkový úřad pro ochranu ústavy a boj proti terorismu, Rakousko)(2) zřídila Nationalrat (Národní rada, Rakousko) vyšetřovací výbor (dále jen „vyšetřovací výbor BVT“). Tento výbor vyslechl WK jako svědka. Navzdory jeho žádosti o zachování anonymity byl zápis z jeho slyšení, ve kterém bylo uvedeno jeho úplné příjmení a jméno, zveřejněn na internetových stránkách rakouského parlamentu (Parlament Österreich). WK, který tvrdil, že takové zveřejnění jeho totožnosti je v rozporu s GDPR a rakouskými právními předpisy(3), podal stížnost k Österreichische Datenschutzbehörde (Úřad pro ochranu osobních údajů, Rakousko) (dále jen „Datenschutzbehörde“). Rozhodnutím ze dne 18. září 2019 prohlásil Datenschutzbehörde, že nemá pravomoc k rozhodnutí o stížnosti a vysvětlil, že zásada dělby moci vylučuje, aby jakožto orgán výkonné moci mohl kontrolovat vyšetřovací výbor BVT, který je součástí moci zákonodárné.
V návaznosti na rozhodnutí Bundesverwaltungsgericht (Spolkový správní soud, Rakousko), který vyhověl žalobě WK a zrušil rozhodnutí Datenschutzbehörde, podal posledně uvedený proti rozhodnutí Spolkového správního soudu opravný prostředek „Revision“ k Nejvyššímu správnímu soudu.
V této souvislosti se předkládající soud Soudního dvora dotázal, zda činnosti vyšetřovacího výboru zřízeného parlamentem členského státu spadají do působnosti GDPR a zda se toto nařízení použije, pokud se tyto činnosti týkají ochrany národní bezpečnosti. Kromě toho požádal Soudní dvůr, aby se vyjádřil k otázce, zda GDPR přiznává takovému vnitrostátnímu dozorovému úřadu, jako je Datenschutzbehörde, pravomoc rozhodovat o stížnostech týkajících se zpracování osobních údajů prováděného vyšetřovacím výborem v rámci jeho činností.
Závěry Soudního dvora
Soudní dvůr v první řadě připomíná, že cílem čl. 2 odst. 2 písm. a) GDPR, který stanoví, že se toto nařízení nevztahuje na zpracování osobních údajů prováděné při výkonu činností, které nespadají do oblasti působnosti práva Unie, je pouze vyloučit z jeho působnosti zpracování osobních údajů prováděné státními orgány v rámci činnosti, která má chránit národní bezpečnost, nebo činnosti, kterou lze zařadit do téže kategorie. Pouhá skutečnost, že se jedná o činnost státu nebo orgánu veřejné moci tedy nepostačuje k tomu, aby taková činnost byla automaticky vyloučena z použití GDPR(4).
Tento výklad, vyplývající z nerozlišování podle totožnosti autora dotčeného zpracování, je potvrzen čl. 4 bodem 7 GDPR(5).
Soudní dvůr upřesňuje, že parlamentní povaha vyšetřovacího výboru BVT neznamená, že jeho činnosti jsou vyloučeny z působnosti GDPR. Výjimka stanovená v čl. 2 odst. 2 písm. a) tohoto nařízení se totiž vztahuje pouze na kategorie činností, které nespadají do oblasti působnosti unijního práva z důvodu své povahy, a nikoli na kategorie osob. Okolnost, že zpracování osobních údajů provádí vyšetřovací výbor zřízený parlamentem členského státu při výkonu jeho kontrolní pravomoci vůči výkonné moci, neumožňuje tedy sama o sobě konstatovat, že toto zpracování je prováděno v rámci činnosti, která nespadá do působnosti unijního práva.
Ve druhé řadě Soudní dvůr uvádí, že členským státům sice přísluší vymezit jejich podstatné bezpečnostní zájmy a přijmout opatření způsobilá k jejich zajištění(6), avšak vyloučit uplatnění unijního práva a zprostit členské státy povinnosti jej dodržovat nelze na základě pouhé skutečnosti, že určité vnitrostátní opatření bylo přijato za účelem ochrany národní bezpečnosti. Výjimka stanovená v čl. 2 odst. 2 písm. a) GDPR se přitom vztahuje pouze na kategorie činností, které z důvodu své povahy nespadají do oblasti působnosti unijního práva. Okolnost, že správce je orgánem veřejné moci, jehož hlavní činností je zajišťovat národní bezpečnost, nemůže sama o sobě postačovat k tomu, aby byla z působnosti GDPR vyloučena zpracování osobních údajů, která tento orgán provádí v rámci svých ostatních činností.
V projednávané věci se nezdá, že by politická kontrola prováděná vyšetřovacím výborem BVT představovala jako taková činnost sloužící k ochraně národní bezpečnosti nebo činnost, kterou lze zařadit do téže kategorie. S výhradou ověření předkládajícím soudem není tedy tato činnost vyňata z působnosti GDPR.
Parlamentní vyšetřovací výbor však může mít přístup k osobním údajům, které musí z důvodů národní bezpečnosti požívat zvláštní ochrany. V této souvislosti mohou být s cílem zajistit národní bezpečnost stanovena prostřednictvím legislativních opatření omezení práv a povinností vyplývajících z GDPR(7). Na tomto základě by tedy mohla být odůvodněna omezení týkající se shromažďování osobních údajů, informování subjektů údajů a jejich přístup k těmto údajům nebo také jejich zpřístupnění jiným osobám, než jsou správci bez souhlasu subjektů údajů, pokud tato omezení respektují podstatu základních práv a svobod subjektů údajů a představují nezbytné a přiměřené opatření v demokratické společnosti.
Soudní dvůr nicméně poznamenává, že z informací, které mu byly poskytnuty, nevyplývá, že by vyšetřovací výbor BVT tvrdil, že zpřístupnění osobních údajů subjektu údajů bylo nezbytné pro zajištění národní bezpečnosti a bylo založeno na vnitrostátním legislativním opatření přijatém za tímto účelem, což musí případně ověřit předkládající soud.
Ve třetí řadě a na posledním místě Soudní dvůr uvádí, že ustanovení GDPR týkající se pravomoci vnitrostátních dozorových úřadů a práva na stížnost(8) nevyžadují přijetí vnitrostátních prováděcích opatření a jsou dostatečně jasná, přesná a bezpodmínečná, aby měla přímý účinek. Z toho vyplývá, že i když GDPR přiznává členským státům prostor pro uvážení při určení počtu dozorových úřadů, které mají být zřízeny(9), stanoví naopak rozsah jejich pravomocí, aby mohly dohlížet na dodržování GDPR. V případě, že se členský stát rozhodne zřídit jediný vnitrostátní dozorový úřad, má tento orgán nutně veškeré pravomoci stanovené tímto nařízením. Jakýkoli jiný výklad by zpochybnil přímý účinek těchto ustanovení a mohl by oslabit účinnost všech ostatních ustanovení GDPR, jichž by se mohla týkat stížnost.
Pokud jde o okolnost, že vnitrostátní ustanovení ústavní povahy vylučují možnost dozorového úřadu, který spadá pod výkonnou moc, dohlížet na dodržování GDPR orgánem spadajícím do zákonodárné moci, Soudní dvůr zdůrazňuje, že se GDPR omezuje na požadavek, aby členské státy zřídily alespoň jeden dozorový úřad, avšak právě z důvodu respektování ústavního uspořádání členských států jim poskytuje možnost zřídit několik takových úřadů. Toto nařízení svěřuje tedy každému členskému státu prostor pro uvážení, který mu umožňuje zřídit tolik dozorových úřadů, kolik vyžadují zejména požadavky týkající se jeho ústavního uspořádání.
Kromě toho skutečnost, že se členský stát dovolává ustanovení vnitrostátního práva, nemůže mít vliv na jednotu a účinnost unijního práva. Účinky spojené se zásadou přednosti unijního práva jsou totiž závazné pro všechny orgány členského státu, a zejména tomu nemohou bránit vnitrostátní ustanovení, ani ta ústavní povahy(10).
Vzhledem k tomu, že se členský stát rozhodl zřídit jediný dozorový úřad, nemůže se dovolávat ustanovení vnitrostátního práva, a to ani v případě že by byla ústavní povahy, za účelem vynětí zpracování osobních údajů, které spadá do působnosti GDPR, z dohledu tohoto úřadu.