Asia C-33/22
Österreichische Datenschutzbehörde
vastaan
WK
(Ennakkoratkaisupyyntö – Verwaltungsgerichtshof (Itävalta))
Unionin tuomioistuimen tuomio (suuri jaosto) 16.1.2024
Ennakkoratkaisupyyntö – Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – SEUT 16 artikla – Asetus (EU) N:o 2016/679 – 2 artiklan 2 kohdan a alakohta – Soveltamisala – Poikkeukset – Unionin lainsäädännön soveltamisalaan kuulumaton toiminta – SEU 4 artiklan 2 kohta – Kansallista turvallisuutta koskeva toiminta – Jäsenvaltion parlamentin perustama tutkintavaliokunta – Asetuksen (EU) 2016/679 23 artiklan 1 kohdan a ja h alakohta sekä 51 ja 55 artikla – Tietosuojasta vastaavan valvontaviranomaisen toimivalta – 77 artikla – Oikeus tehdä kantelu valvontaviranomaiselle – Välitön oikeusvaikutus
1. Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus 2016/679 – Soveltamisala – Poikkeukset – Tietojenkäsittely sellaisessa toiminnassa, joka ei kuulu unionin oikeuden soveltamisalaan – Jäsenvaltion parlamentin toimeenpanoa koskevaa valvontavaltaansa käyttäessään perustaman tutkintavaliokunnan harjoittama toiminta ei kuulu poikkeusten alaan – Asetuksen soveltaminen
(SEUT 16 artiklan 2 kohdan ensimmäinen virke; Euroopan parlamentin ja neuvoston asetuksen 2016/679 johdanto-osan 16 perustelukappale ja 2 artiklan 2 kohdan a alakohta)
(ks. 37–43 kohta ja tuomiolauselman 1 kohta)
2. Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus 2016/679 – Soveltamisala – Poikkeukset – Tietojenkäsittely sellaisessa toiminnassa, joka ei kuulu unionin oikeuden soveltamisalaan – Toiminta, jonka tarkoituksena on kansallisen turvallisuuden turvaaminen tai joka kuuluu tähän ryhmään – Käsite – Jäsenvaltion parlamentin toimeenpanoa koskevaa valvontavaltaansa käyttäessään perustaman tutkintavaliokunnan harjoittama toiminta – Tutkinta, joka koskee sitä, kohdistuuko valtion turvallisuudesta vastaavaan poliisiviranomaiseen mahdollisesti poliittista vaikuttamista, ei kuulu käsitteen alaan
(SEU 4 artiklan 2 kohta; Euroopan parlamentin ja neuvoston asetuksen 2016/679 johdanto-osan 16 perustelukappale, 2 artiklan 1 kohta ja 2 kohdan a alakohta ja 23 artikla)
(ks. 46, 50–57 kohta sekä tuomiolauselman 2 kohta)
3. Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus 2016/679 – Kansalliset valvontaviranomaiset – Jäsenvaltion oikeus perustaa yksi ainoa valvontaviranomainen – Asetuksessa annettu valvontaviranomaisen toimivalta – Kansallisiin perustuslaintasoisiin säännöksiin perustuvaa toimivallan rajoitusta ei voida hyväksyä – Unionin oikeuden ensisijaisuus ja välitön oikeusvaikutus
(Euroopan parlamentin ja neuvoston asetuksen 2016/679 johdanto-osan 117 perustelukappale, 51 artiklan 1 kohta, 55 artiklan 1 ja 3 kohta sekä 77 artiklan 1 kohta)
(ks. 62–72 kohta ja tuomiolauselman 3 kohta)
Tiivistelmä
Unionin tuomioistuin, joka käsittelee Verwaltungsgerichtshofin (ylin hallintotuomioistuin, Itävalta) esittämää ennakkoratkaisupyyntöä, toteaa suuressa jaostossa, että myös parlamentin tutkintavaliokunnan toimintaan sovelletaan yleistä tietosuoja-asetusta.(1)
Selvittääkseen, kohdistuuko Bundesamt für Verfassungsschutz und Terrorismusbekämpfungiin (liittovaltion perustuslainsuojelu- ja terrorismintorjuntavirasto, Itävalta)(2) mahdollisesti poliittista vaikuttamista, Nationalrat (kansallisneuvosto, Itävalta) perusti tutkintavaliokunnan (jäljempänä BVT-tutkintavaliokunta). Kyseinen tutkintavaliokunta kuuli WK:ta todistajana. Vaikka WK oli pyytänyt tunnistetietojen poistamista, hänen kuulemisestaan laadittu pöytäkirja, jossa mainittiin hänen suku- ja etunimensä täydellisinä, julkaistiin Parlament Österreichin (Itävallan parlamentti) internetsivustolla. WK väitti, että tällainen hänen henkilöllisyytensä paljastaminen on vastoin yleistä tietosuoja-asetusta ja Itävallan lainsäädäntöä,(3) ja teki kantelun Österreichische Datenschutzbehördille (tietosuojaviranomainen, Itävalta) (jäljempänä Datenschutzbehörde). Datenschutzbehörde katsoi 18.9.2019 tehdyssä päätöksessä, ettei sillä ole toimivaltaa ratkaista kantelua, ja totesi, että vallanjakoperiaatteen mukaan ei ole mahdollista, että se voisi toimeenpanovallan elimenä valvoa BVT-tutkintavaliokuntaa, joka kuuluu lainsäädäntövaltaan.
Bundesverwaltungsgerichtin (liittovaltion hallintotuomioistuin, Itävalta) antaman ratkaisun, jolla WK:n kantelu hyväksyttiin ja Datenschutzbehörden päätös kumottiin, johdosta Datenschutzbehörde teki ylimmälle hallintotuomioistuimelle Revision-valituksen liittovaltion hallintotuomioistuimen ratkaisusta.
Ennakkoratkaisua pyytänyt tuomioistuin tiedusteli tässä yhteydessä unionin tuomioistuimelta, kuuluuko jäsenvaltion parlamentin perustaman tutkintavaliokunnan toiminta yleisen tietosuoja-asetuksen soveltamisalaan ja sovelletaanko kyseistä asetusta, kun tämä toiminta koskee kansallisen turvallisuuden suojaamista. Se pyysi unionin tuomioistuinta ottamaan lisäksi kantaa siihen, annetaanko yleisessä tietosuoja-asetuksessa Datenschutzbehörden kaltaisella kansalliselle valvontaviranomaiselle toimivalta käsitellä kantelut, jotka koskevat tutkintavaliokunnan toimintansa yhteydessä suorittamaa henkilötietojen käsittelyä.
Unionin tuomioistuimen arviointi asiasta
Ensimmäiseksi unionin tuomioistuin huomauttaa, että yleisen tietosuoja-asetuksen 2 artiklan 2 kohdan a alakohdan, jonka mukaan kyseistä asetusta ei sovelleta henkilötietojen käsittelyyn, jota suoritetaan sellaisen toiminnan yhteydessä, joka ei kuulu unionin lainsäädännön soveltamisalaan, ainoana tarkoituksena on sulkea asetuksen soveltamisalan ulkopuolelle henkilötietojen käsittely, jota valtion viranomaiset suorittavat sellaisen toiminnan yhteydessä, jonka tarkoituksena on kansallisen turvallisuuden turvaaminen tai joka kuuluu samaan ryhmään. Pelkästään se seikka, että jokin toiminto on valtiolle tai viranomaiselle ominaista, ei siis ole riittävä, jotta tällainen toiminta voisi automaattisesti jäädä yleisen tietosuoja-asetuksen ulkopuolelle.(4)
Tämä tulkinta, joka perustuu siihen, ettei eroa tehdä asianomaisen käsittelyn suorittajan henkilöllisyyden perusteella, saa vahvistuksen kyseisen asetuksen 4 artiklan 7 alakohdasta.(5)
Unionin tuomioistuin täsmentää, että BVT-tutkintavaliokunnan parlamentaarinen luonne ei merkitse sitä, että sen toiminta jää yleisen tietosuoja-asetuksen soveltamisalan ulkopuolelle. Kyseisen asetuksen 2 artiklan 2 kohdan a alakohdassa säädetty poikkeus liittyy yksinomaan sellaisen toiminnan ryhmiin, joka ei luonteensa vuoksi kuulu unionin oikeuden soveltamisalaan, eikä se liity henkilöiden ryhmiin. Näin ollen sen perusteella, että henkilötietoja käsittelee jäsenvaltion parlamentin toimeenpanoa koskevaa valvontavaltaansa käyttäessään perustama tutkintavaliokunta, ei sellaisenaan voida katsoa, että kyseinen käsittely suoritetaan sellaisen toiminnan yhteydessä, joka ei kuulu unionin lainsäädännön soveltamisalaan.
Toiseksi unionin tuomioistuin huomauttaa, että vaikka jäsenvaltioiden asiana on määritellä keskeiset turvallisuusetunsa ja toteuttaa turvallisuutensa varmistamiseen soveltuvat toimenpiteet,(6) pelkästään se, että kansallinen toimenpide on toteutettu kansallisen turvallisuuden suojaamiseksi, ei voi johtaa siihen, ettei unionin oikeutta sovelleta, ja vapauttaa jäsenvaltioita velvollisuudesta noudattaa unionin oikeutta. Yleisen tietosuoja-asetuksen 2 artiklan 2 kohdan a alakohdassa säädetty poikkeus liittyy kuitenkin yksinomaan sellaisen toiminnan ryhmiin, joka ei luonteensa vuoksi kuulu unionin oikeuden soveltamisalaan. Tältä osin se, että rekisterinpitäjä on viranomainen, jonka pääasiallisena toimintana on varmistaa kansallinen turvallisuus, ei sellaisenaan voi riittää siihen, että kyseisen viranomaisen muun toimintansa yhteydessä suorittama henkilötietojen käsittely jätetään yleisen tietosuoja-asetuksen soveltamisalan ulkopuolelle.
Käsiteltävässä asiassa BVT-tutkintavaliokunnan suorittama poliittinen valvonta ei näytä sellaisenaan olevan toimintaa, jonka tarkoituksena on kansallisen turvallisuuden turvaaminen tai joka kuuluu samaan ryhmään. Jollei ennakkoratkaisua pyytäneen tuomioistuimen selvityksestä muuta johdu, tämä toiminta ei siis jää yleisen tietosuoja-asetuksen soveltamisalan ulkopuolelle.
Parlamentaarisella tutkintavaliokunnalla voi kuitenkin olla pääsy henkilötietoihin, joille on kansalliseen turvallisuuteen liittyvistä syistä annettava erityistä suojaa. Lainsäädäntötoimenpiteillä voidaan tältä osin rajoittaa yleisestä tietosuoja-asetuksesta ilmeneviä velvollisuuksia ja oikeuksia etenkin kansallinen turvallisuuden varmistamiseksi.(7) Tällä perusteella oikeutettuja voisivat siten olla rajoitukset, joissa on kyse henkilötietojen keräämisestä, tietojen ilmoittamisesta rekisteröidyille ja rekisteröityjen pääsystä näihin tietoihin tai näiden tietojen luovuttamisesta ilman rekisteröityjen suostumusta muille henkilöille kuin rekisterinpitäjälle, sillä edellytyksellä, että niissä noudatetaan keskeisiltä osin rekisteröityjen perusoikeuksia ja ‑vapauksia ja ne ovat demokraattisessa yhteiskunnassa välttämättömiä ja oikeasuhteisia toimenpiteitä.
Unionin tuomioistuin huomauttaa kuitenkin, ettei sen käytössä olevista tiedoista ilmene, että BVT-tutkintavaliokunta olisi väittänyt, että rekisteröidyn henkilötietojen luovuttaminen olisi ollut tarpeen kansallisen turvallisuuden suojaamiseksi ja perustuisi tätä varten säädettyyn kansalliseen lainsäädäntötoimenpiteeseen, mikä ennakkoratkaisua pyytänyt tuomioistuimen on mahdollisesti kuitenkin selvitettävä.
Kolmanneksi ja viimeiseksi unionin tuomioistuin toteaa, että yleisen tietosuoja-asetuksen säännökset, jotka koskevat kansallisten valvontaviranomaisten toimivaltaa ja oikeutta tehdä kantelu,(8) eivät edellytä kansallisten täytäntöönpanotoimenpiteiden toteuttamista ja ne ovat riittävän selkeitä, täsmällisiä ja ehdottomia, jotta niillä voi olla välitön oikeusvaikutus. Tästä seuraa, että vaikka yleisessä tietosuoja-asetuksessa annetaan jäsenvaltioille harkintavaltaa perustettavien valvontaviranomaisten lukumäärän osalta,(9) siinä vahvistetaan sitä vastoin sen toimivallan laajuus, joka näillä viranomaisilla on yleisen tietosuoja-asetuksen soveltamista valvottaessa. Jos jäsenvaltio päättää perustaa yhden ainoan valvontaviranomaisen, tälle on välttämättä annettava kaikki se toimivalta, josta kyseisessä asetuksessa säädetään. Muunlainen tulkinta kyseenalaistaisi kyseisten säännösten tehokkaan vaikutuksen ja saattaisi heikentää kaikkien yleisten tietosuoja-asetuksen sellaisten muiden säännösten tehokasta vaikutusta, joita kantelu voi koskea.
Unionin tuomioistuin korostaa siitä seikasta, että perustuslaintasoisissa kansallisissa säännöksissä suljetaan pois valvontaviranomaisen, joka on osa toimeenpanovaltaa, mahdollisuus valvoa sitä, miten lainsäädäntövaltaan kuuluva elin soveltaa yleistä tietosuoja-asetusta, että yleisessä tietosuoja-asetuksessa vaaditaan jäsenvaltioilta juuri niiden perustuslakia kunnioittaen ainoastaan, että ne perustavat ainakin yhden valvontaviranomaisen, samalla kun siinä annetaan niille mahdollisuus perustaa useampia valvontaviranomaisia. Kyseisessä asetuksessa jokaiselle jäsenvaltiolle annetaan siis harkintavaltaa, jonka nojalla se voi perustaa juuri niin monta valvontaviranomaista kuin muun muassa sen perustuslakiin liittyvät vaatimukset edellyttävät.
Se, että jäsenvaltio vetoaa kansallisen oikeuden säännöksiin, ei myöskään saa vahingoittaa unionin oikeuden yhtenäisyyttä ja tehokkuutta. Unionin oikeuden ensisijaisuuden periaatteen vaikutukset näet koskevat kaikkia jäsenvaltion elimiä kansallisten säännösten – mukaan lukien perustuslaintasoiset säännökset – voimatta tätä estää.(10)
Jos jäsenvaltio on harkintavaltansa puitteissa päättänyt perustaa yhden ainoan valvontaviranomaisen, se ei siis voi vedota kansallisen oikeuden säännöksiin – vaikka ne olisivatkin perustuslaintasoisia – jättääkseen yleisen tietosuoja-asetuksen soveltamisalaan kuuluvan henkilötietojen käsittelyn kyseisen valvontaviranomaisen valvonnan ulkopuolelle.