Lieta C‑33/22
Österreichische Datenschutzbehörde
pret
WK
(Verwaltungsgerichtshof (Austrija) lūgums sniegt prejudiciālu nolēmumu)
Tiesas (virspalāta) 2024. gada 16. janvāra spriedums
Lūgums sniegt prejudiciālu nolēmumu – Fizisko personu aizsardzība attiecībā uz personas datu apstrādi – LESD 16. pants – Regula (ES) 2016/679 – 2. panta 2. punkta a) apakšpunkts – Piemērojamība – Izņēmumi – Darbības, kas neietilpst Savienības tiesību aktu darbības jomā – LES 4. panta 2. punkts – Darbības saistībā ar valsts drošību – Dalībvalsts parlamenta izveidota izmeklēšanas komisija – Regulas (ES) 2016/679 23. panta 1. punkta a) un h) apakšpunkts, 51. un 55. pants – Datu aizsardzības uzraudzības iestādes kompetence – 77. pants – Tiesības iesniegt sūdzību uzraudzības iestādē – Tieša iedarbība
1. Fizisko personu aizsardzība attiecībā uz personas datu apstrādi – Regula 2016/679 – Piemērojamība – Atkāpes – Datu apstrāde tādas darbības gaitā, kas neietilpst Savienības tiesību aktu darbības jomā – Darbība, ko veic izmeklēšanas komisija, kuru, izmantojot savas tiesības īstenot kontroli pār izpildvaru, izveidojis dalībvalsts parlaments – Izslēgšana – Regulas piemērošana
(LESD 16. panta 2. punkta pirmais teikums; Eiropas Parlamenta un Padomes Regulas 2016/679 16. apsvērums un 2. panta 2. punkta a) apakšpunkts)
(skat. 37.–43. punktu un rezolutīvās daļas 1. punktu)
2. Fizisko personu aizsardzība attiecībā uz personas datu apstrādi – Regula 2016/679 – Piemērojamība – Atkāpes – Datu apstrāde tādas darbības gaitā, kas neietilpst Savienības tiesību aktu darbības jomā – Darbība, kas vērsta uz valsts drošības aizsardzību vai ietilpst šajā kategorijā – Jēdziens – Darbība, ko veic izmeklēšanas komisija, kuru, izmantojot savas tiesības īstenot kontroli pār izpildvaru, izveidojis dalībvalsts parlaments – Izmeklēšana jautājumā par to, vai pastāv iespējama politiska ietekme uz valsts drošības policijas iestādi – Izslēgšana
(LES 4. panta 2. punkts; Eiropas Parlamenta un Padomes Regulas 2016/679 16. apsvērums un 2. panta 1. punkts un 2. punkta a) apakšpunkts, kā arī 23. pants)
(skat. 46., 50.–57. punktu un rezolutīvās daļas 2. punktu)
3. Fizisko personu aizsardzība attiecībā uz personas datu apstrādi – Regula 2016/679 – Valsts uzraudzības iestādes – Dalībvalsts tiesības izveidot tikai vienu uzraudzības iestādi – Uzraudzības iestādei regulā piešķirtā kompetence – Kompetences ierobežojums, kas izriet no valsts konstitucionāla ranga tiesību normām – Nepieļaujamība – Savienības tiesību pārākums un tiešā iedarbība
(Eiropas Parlamenta un Padomes Regulas 2016/679 117. apsvērums un 51. panta 1. punkts, 55. panta 1. un 3. punkts un 77. panta 1. punkts)
(skat. 62.–72. punktu un rezolutīvās daļas 3. punktu)
Rezumējums
Izskatot Verwaltungsgerichtshof (Augstākā administratīvā tiesa, Austrija) lūgumu sniegt prejudiciālu nolēmumu, Tiesa virspalātas sastāvā nospriež, ka parlamentārās izmeklēšanas komisijas darbība nav izslēgta no VDAR (1) piemērojamības.
Iespējamās politiskās ietekmes uz Bundesamt für Verfassungsschutz und Terrorismusbekämpfung (Federālais konstitucionālās kārtības aizsardzības un terorisma apkarošanas birojs, Austrija) (2) noskaidrošanai Nationalrat (Nacionālā padome, Austrija) izveidoja izmeklēšanas komisiju (turpmāk tekstā – “BVT izmeklēšanas komisija”). Šī komisija uzklausīja WK kā liecinieku. Lai arī viņš bija izteicis lūgumu par anonimizāciju, Parlament Österreich (Austrijas parlaments) interneta vietnē tika publiskots šīs uzklausīšanas protokols, kurā bija pilnībā norādīts viņa vārds un uzvārds. Apgalvojot, ka šāda viņa identitātes izpaušana ir pretrunā VDAR un Austrijas tiesību aktiem (3), WK iesniedza sūdzību Österreichische Datenschutzbehörde (Datu aizsardzības iestāde, Austrija; turpmāk tekstā – “Datenschutzbehörde”). Ar 2019. gada 18. septembra lēmumu Datenschutzbehörde atzina, ka tās kompetencē nav lemt par šo sūdzību tāpēc, ka varas dalīšanas princips liedzot šai iestādei kā izpildvaras orgānam kontrolēt likumdošanas varai piederīgo BVT izmeklēšanas komisiju.
Pēc tam, kad Bundesverwaltungsgericht (Federālā administratīvā tiesa, Austrija) ar nolēmumu bija apmierinājusi WK prasību un atcēlusi Datenschutzbehörde lēmumu, šī nupat minētā iestāde vērsās Augstākajā administratīvajā tiesā ar revīzijas sūdzību par šo Federālās administratīvās tiesas nolēmumu.
Šajā kontekstā iesniedzējtiesa jautāja Tiesai, vai dalībvalsts parlamenta izveidotas izmeklēšanas komisijas darbības ietilpst VDAR piemērošanas jomā un vai šī regula ir piemērojama situācijā, kad šīs darbības attiecas uz valsts drošības aizsardzību. Tā arī lūdza Tiesu lemt par to, vai tādai valsts uzraudzības iestādei kā Datenschutzbehörde VDAR ir piešķirta kompetence izskatīt sūdzības par personas datu apstrādi, ko savas darbības ietvaros veic izmeklēšanas komisija.
Tiesas vērtējums
Pirmām kārtām, Tiesa atgādina, ka VDAR 2. panta 2. punkta a) apakšpunkta – kas noteic, ka šo regulu nepiemēro personas datu apstrādei, kas veikta tādas darbības gaitā, kas neietilpst Savienības tiesību aktu darbības jomā – vienīgais mērķis ir izslēgt no minētās regulas piemērošanas jomas tādu personas datu apstrādi, ko valsts iestādes veic uz valsts drošības aizsardzību vērstas vai arī šajā pašā kategorijā iekļaujamas darbības ietvaros. Tādējādi ar to vien, ka darbība ir raksturīga valstij vai valsts iestādei, nav pietiekami, lai automātiski izslēgtu VDAR piemērojamību šai darbībai (4).
Šo interpretāciju – kas izriet jau no tā, ka netiek veikta nošķiršana atkarībā no attiecīgās apstrādes veicēja identitātes – apstiprina VDAR 4. panta 7. punkts (5).
Tiesa precizē, ka BVT izmeklēšanas komisijas parlamentārā iedaba nenozīmē, ka tās darbības būtu izslēgtas no VDAR piemērošanas jomas. Proti, šīs regulas 2. panta 2. punkta a) apakšpunktā paredzētais izņēmums attiecas nevis uz personu kategorijām, bet gan tikai uz darbību kategorijām, kas savas iedabas dēļ neietilpst Savienības tiesību aktu darbības jomā. Līdz ar to apstāklis, ka personas datu apstrādi veic izmeklēšanas komisija, ko dalībvalsts parlaments izveidojis, izmantojot savas tiesības īstenot kontroli pār izpildvaru, pats par sevi neļauj konstatēt, ka šī apstrāde tiek veikta tādas darbības ietvaros, kas neietilpst Savienības tiesību aktu darbības jomā.
Otrām kārtām, Tiesa norāda, ka, lai gan dalībvalstu ziņā ir noteikt savas būtiskās drošības intereses un veikt pienācīgus pasākumus, lai šo drošību garantētu (6), tas vien, ka valsts pasākums ir veikts valsts drošības aizsardzības nolūkā, nevar izraisīt Savienības tiesību nepiemērojamību un atbrīvot dalībvalstis no obligātās šo tiesību ievērošanas. Savukārt VDAR 2. panta 2. punkta a) apakšpunktā paredzētais izņēmums attiecas tikai uz tādām darbību kategorijām, kas savas iedabas dēļ neietilpst Savienības tiesību aktu darbības jomā. Šajā ziņā apstāklis, ka pārzinis ir publiska iestāde, kuras pamatdarbība ir garantēt valsts drošību, pats par sevi nav pietiekams, lai no VDAR piemērošanas jomas izslēgtu personas datu apstrādi, ko šī iestāde veic saistībā ar citām tās veiktajām darbībām.
Šajā gadījumā BVT izmeklēšanas komisijas veiktā politiskā kontrole pati par sevi nešķiet esam darbība, kas vērsta uz valsts drošības aizsardzību, vai tāda, kas būtu iekļaujama tajā pašā kategorijā. Tāpēc – ja vien iesniedzējtiesas veicamajā pārbaudē netiek konstatēts citādi – šī darbība nav izslēgta no VDAR piemērošanas jomas.
Parlamentārās izmeklēšanas komisija savā darbā gan var piekļūt personas datiem, kam valsts drošības apsvērumu dēļ jānodrošina īpaša aizsardzība. Šajā ziņā VDAR paredzētos pienākumus un tiesības var ierobežot ar leģislatīvu pasākumu tostarp tālab, lai garantētu valsts drošību (7). Tādējādi ar šādu pamatojumu var tikt attaisnoti ierobežojumi attiecībā uz personas datu vākšanu, datu subjektu informēšanu un viņu piekļuvi minētajiem datiem vai arī šo datu izpaušanu bez datu subjektu piekrišanas personām, kas nav pārzinis, ja vien ar šādiem ierobežojumiem tiek ievērota datu subjektu pamattiesību un pamatbrīvību būtība un tie demokrātiskā sabiedrībā ir nepieciešami un samērīgi.
Tomēr Tiesa norāda, ka no tās rīcībā esošās informācijas neizriet, ka BVT izmeklēšanas komisija būtu apgalvojusi, ka datu subjekta personas datu izpaušana bija nepieciešama valsts drošības aizsardzībai un balstīta uz tālab paredzētu valsts leģislatīvu pasākumu; to gan pārbaudīt vajadzības gadījumā ir iesniedzējtiesas ziņā.
Visbeidzot trešām kārtām, Tiesa norāda, ka VDAR normas par valsts uzraudzības iestāžu kompetenci un tiesībām iesniegt sūdzību tajās (8) neprasa pieņemt valsts piemērošanas pasākumus un ir pietiekami skaidras, precīzas un beznosacījuma, lai būtu apveltītas ar tiešu iedarbību. No tā izriet, ka, lai arī atstājot dalībvalstīm rīcības brīvību attiecībā uz izveidojamo uzraudzības iestāžu skaitu (9), VDAR tomēr noteic kompetences apjomu, ar kādu šīm iestādēm jābūt apveltītām, lai uzraudzītu VDAR piemērošanu. Tādējādi gadījumā, ja dalībvalsts izvēlas izveidot tikai vienu valsts uzraudzības iestādi, šī iestāde noteikti ir apveltīta ar visām šajā regulā paredzētajām kompetencēm. Jebkura citāda interpretācija apdraudētu šo normu lietderīgo iedarbību un draudētu vājināt lietderīgo iedarbību visām pārējām VDAR normām, uz kurām varētu attiekties sūdzība.
Attiecībā uz apstākli, ka valsts konstitucionāla ranga tiesību normas aizliedz izpildvarai pakļautajai uzraudzības iestādei uzraudzīt to, kā VDAR piemēro likumdošanas varai piederīgs orgāns, Tiesa uzsver, ka, tieši ievērojot dalībvalstu konstitucionālo iekārtu, VDAR ir vienīgi prasīts, lai tās izveidotu vismaz vienu uzraudzības iestādi, vienlaikus piedāvājot tām iespēju izveidot vairākas uzraudzības iestādes. Tādējādi VDAR katrai dalībvalstij ir atzīta rīcības brīvība, kas tai ļauj izveidot tik daudz uzraudzības iestāžu, cik tas var būt nepieciešams, it īpaši ņemot vērā prasības, kas saistītas ar tās konstitucionālo iekārtu.
Turklāt dalībvalsts atsaukšanās uz valsts tiesību normām nevar apdraudēt Savienības tiesību vienotību un efektivitāti. Proti, Savienības tiesību pārākuma principam piemītošās sekas ir saistošas visām dalībvalsts iestādēm, un valsts tiesību normas, tostarp konstitucionāla rakstura, nevar tam radīt šķērsli (10).
Tādējādi situācijā, kad dalībvalsts ir izvēlējusies izveidot tikai vienu uzraudzības iestādi, tā nevar no šīs iestādes uzraudzības atbrīvot VDAR piemērošanas jomā ietilpstošu personas datu apstrādi, atsaucoties uz valsts tiesību normām, pat ja tām ir konstitucionāls rangs.