Zaak C‑33/22
Österreichische Datenschutzbehörde
tegen
WK
[verzoek om een prejudiciële beslissing, ingediend door het Verwaltungsgerichtshof (Oostenrijk)]
Arrest van het Hof (Grote kamer) van 16 januari 2024
„Prejudiciële verwijzing – Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens – Artikel 16 VWEU – Verordening (EU) 2016/679 – Artikel 2, lid 2, onder a) – Werkingssfeer – Daarvan uitgesloten – Activiteiten die buiten de werkingssfeer van het Unierecht vallen – Artikel 4, lid 2, VEU – Activiteiten betreffende de nationale veiligheid – Enquêtecommissie die door het parlement van een lidstaat is ingesteld – Artikel 23, lid 1, onder a) en h), en artikelen 51 en 55 van verordening (EU) 2016/679 – Competentie van de voor gegevensbescherming bevoegde toezichthoudende autoriteit – Artikel 77 – Recht om een klacht in te dienen bij een toezichthoudende autoriteit – Rechtstreekse werking”
1. Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens – Verordening 2016/679 – Werkingssfeer – Uitzonderingen – Verwerking van gegevens in het kader van activiteiten die buiten de werkingssfeer van het Unierecht vallen – Activiteiten van een enquêtecommissie die door het parlement van een lidstaat is ingesteld om zijn recht van toezicht op de uitvoerende macht uit te oefenen – Daarvan uitgesloten – Toepassing van de verordening
[Art. 16, lid 2, eerste zin, VWEU; verordening 2016/679 van het Europees Parlement en de Raad, overweging 16 en art. 2, lid 2, a)]
(zie punten 37‑43, dictum 1)
2. Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens – Verordening 2016/679 – Werkingssfeer – Uitzonderingen – Verwerking van gegevens in het kader van activiteiten die buiten de werkingssfeer van het Unierecht vallen – Activiteiten die ertoe strekken de nationale veiligheid te beschermen of die binnen die categorie vallen – Begrip – Activiteiten van een enquêtecommissie die door het parlement van een lidstaat is ingesteld om zijn recht van toezicht op de uitvoerende macht uit te oefenen – Onderzoek naar mogelijke politieke beïnvloeding van een politiële staatsveiligheidsdienst – Daarvan uitgesloten
[Art. 4, lid 2, VEU, verordening 2016/679 van het Europees Parlement en de Raad, overweging 16 en art. 2, lid 1 en lid 2, a), en art. 23]
(zie punten 46, 50‑57, dictum 2)
3. Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens – Verordening 2016/679 – Nationale toezichthoudende autoriteiten – Recht van een lidstaat om één enkele toezichthoudende autoriteit in te stellen –Competentie van de toezichthoudende autoriteit op grond van de verordening – Beperking van de competentie ingevolge nationale constitutionele bepalingen – Ontoelaatbaarheid – Voorrang en rechtstreekse werking van het Unierecht
[Verordening 2016/679 van het Europees Parlement en de Raad, overweging 117 en art. 51, lid 1, art. 55, leden 1 en 3, en art. 77, lid 1]
(zie punten 62‑72, dictum 3)
Samenvatting
Het Hof (Grote kamer), dat door het Verwaltungsgerichtshof (hoogste bestuursrechter, Oostenrijk) is verzocht om een prejudiciële beslissing, is van oordeel dat de AVG(1) van toepassing is op de activiteiten van een parlementaire enquêtecommissie.
Omdat er sprake was van mogelijke politieke beïnvloeding van het Bundesamt für Verfassungsschutz und Terrorismusbekämpfung (federaal bureau voor de bescherming van de grondwet en de bestrijding van terrorisme, Oostenrijk)(2) heeft de Nationalrat (lagerhuis van het parlement, Oostenrijk) een enquêtecommissie (hierna: BVT-enquêtecommissie) ingesteld om dit na te gaan. Deze commissie heeft WK als getuige gehoord. Hoewel WK om anonimiteit had verzocht, werd het verslag van zijn hoorzitting gepubliceerd op de website van het Parlament Österreich (Oostenrijks parlement), met vermelding van zijn volledige voor- en achternaam. WK voerde aan dat de openbaarmaking van zijn identiteit in strijd was met de AVG en met Oostenrijks recht(3) en heeft een klacht ingediend bij de Österreichische Datenschutzbehörde (toezichthoudende autoriteit op het gebied van gegevensbescherming, Oostenrijk; hierna: „Datenschutzbehörde”). Bij besluit van 18 september 2019 heeft de Datenschutzbehörde zich onbevoegd verklaard om uitspraak te doen over de klacht omdat het op grond van het beginsel van de scheiding der machten uitgesloten is dat zij, als orgaan van de uitvoerende macht, toezicht houdt op de BVT-enquêtecommissie, die onderdeel is van de wetgevende macht.
Nadat het Bundesverwaltungsgericht (federale bestuursrechter in eerste aanleg, Oostenrijk) het door WK ingestelde beroep had toegewezen en het besluit van de Datenschutzbehörde nietig had verklaard, heeft de Datenschutzbehörde tegen het vonnis van het Bundesverwaltungsgericht beroep in Revision ingesteld bij de hoogste bestuursrechter.
Tegen deze achtergrond heeft de verwijzende rechter het Hof de vraag gesteld of de activiteiten van een enquêtecommissie die door het parlement van een lidstaat is ingesteld binnen de werkingssfeer van de AVG vallen en of deze verordening van toepassing is wanneer het gaat om activiteiten die zien op de bescherming van de nationale veiligheid. Daarnaast wenst de verwijzende rechter van het Hof ook te vernemen of de AVG aan een nationale toezichthoudende autoriteit zoals de Datenschutzbehörde de bevoegdheid verleent om kennis te nemen van klachten over de verwerking van persoonsgegevens die door een enquêtecommissie wordt verricht in het kader van haar activiteiten.
Beoordeling door het Hof
In de eerste plaats merkt het Hof op dat artikel 2, lid 2, onder a), AVG, waarin wordt bepaald dat deze verordening niet van toepassing is op de verwerking van persoonsgegevens in het kader van activiteiten die buiten de werkingssfeer van het Unierecht vallen, enkel tot doel heeft om de verwerking door overheidsinstanties in het kader van activiteiten die ertoe strekken de nationale veiligheid te beschermen of die in die categorie kunnen worden ondergebracht, van de werkingssfeer van die verordening uit te sluiten. Dat het gaat om specifieke activiteiten van de staat of een overheidsinstantie, is dus op zichzelf niet voldoende om automatisch uit te sluiten dat de AVG van toepassing op die activiteiten.(4)
Deze uitlegging, die voortvloeit uit het feit dat de AVG geen onderscheid maakt naargelang van wie de betrokken verwerking verricht, wordt bevestigd door artikel 4, punt 7, AVG(5).
Het Hof wijst erop dat de parlementaire aard van de BVT-enquêtecommissie niet impliceert dat haar activiteiten van de werkingssfeer van de AVG zijn uitgesloten. De in artikel 2, lid 2, onder a), van deze verordening neergelegde uitzondering heeft immers slechts betrekking op categorieën van activiteiten die naar hun aard niet binnen de werkingssfeer van het Unierecht vallen en niet op categorieën van personen. Bijgevolg kan op basis van het feit dat de verwerking van persoonsgegevens wordt verricht door een enquêtecommissie die door het parlement van een lidstaat is ingesteld ter uitoefening van zijn recht van toezicht op de uitvoerende macht, als zodanig niet worden geoordeeld dat deze verwerking plaatsvindt in het kader van activiteiten die buiten de werkingssfeer van het Unierecht vallen.
In de tweede plaats merkt het Hof op dat het weliswaar aan de lidstaten staat om hun wezenlijke veiligheidsbelangen te definiëren en passende maatregelen te nemen teneinde de veiligheid te verzekeren(6), maar dat het enkele feit dat een nationale maatregel is genomen met het oog op de bescherming van de nationale veiligheid er niet toe kan leiden dat het Unierecht niet van toepassing is en dat de lidstaten worden ontheven van de verplichting om dit recht te eerbiedigen. De uitzondering van artikel 2, lid 2, onder a), AVG heeft slechts betrekking op categorieën van activiteiten die naar hun aard niet binnen de werkingssfeer van het Unierecht vallen. Het is op zichzelf niet voldoende dat de verwerkingsverantwoordelijke een overheidsinstantie is waarvan de hoofdactiviteiten bestaan uit het waarborgen van de nationale veiligheid, om de verwerking van persoonsgegevens die deze instantie verricht in het kader van haar andere activiteiten uit te sluiten van de werkingssfeer van de AVG.
In casu lijkt er bij het door de BVT-enquêtecommissie uitgeoefende politieke toezicht als zodanig geen sprake te zijn van activiteiten waarmee de nationale veiligheid wordt beschermd of die in die categorie kunnen worden ondergebracht. Deze activiteiten vallen, onder voorbehoud van verificatie door de verwijzende rechter, dus niet buiten de werkingssfeer van de AVG.
Een parlementaire enquêtecommissie kan echter toegang hebben tot persoonsgegevens die om redenen van nationale veiligheid bijzondere bescherming behoeven. In dit verband kunnen er door middel van een wetgevingsmaatregel beperkingen aan de uit de AVG voortvloeiende verplichtingen en rechten worden gesteld, onder meer om de nationale veiligheid te waarborgen.(7) Op deze basis kan het dus gerechtvaardigd zijn dat er beperkingen worden gesteld met betrekking tot het verzamelen van persoonsgegevens, de aan de betrokkenen te verstrekken informatie en hun toegang tot die gegevens of de openbaarmaking ervan – zonder toestemming van de betrokkenen – aan andere personen dan de verwerkingsverantwoordelijke, op voorwaarde dat die beperkingen de wezenlijke inhoud van de grondrechten en fundamentele vrijheden van de betrokkenen onverlet laten en in een democratische samenleving een noodzakelijke en evenredige maatregel zijn.
Het Hof wijst er evenwel op dat uit de informatie waarover het beschikt, niet blijkt dat de BVT-enquêtecommissie heeft gesteld dat de openbaarmaking van de persoonsgegevens van de betrokkene noodzakelijk was om de nationale veiligheid te waarborgen en gebaseerd was op een daartoe vastgestelde nationale wetgevingsmaatregel, hetgeen indien nodig door de verwijzende rechter moet worden geverifieerd.
In de derde en laatste plaats merkt het Hof op dat de bepalingen van de AVG met betrekking tot de competentie van de nationale toezichthoudende autoriteiten en het recht om een klacht in te dienen(8) geen nationale uitvoeringsmaatregelen vereisen en voldoende duidelijk, nauwkeurig en onvoorwaardelijk zijn om rechtstreekse werking te hebben. Hieruit volgt dat de AVG de lidstaten weliswaar een beoordelingsmarge laat met betrekking tot het aantal in te stellen toezichthoudende autoriteiten(9), maar dat deze verordening wel bepaalt welke reikwijdte hun bevoegdheden hebben opdat zij toezicht houden op de toepassing van de verordening. Wanneer een lidstaat ervoor kiest om één enkele nationale toezichthoudende autoriteit in te stellen, beschikt deze autoriteit dus noodzakelijkerwijs over alle door de verordening toegekende bevoegdheden. Een andersluidende uitlegging zou afbreuk doen aan de effectiviteit van die bepalingen en zou de effectiviteit kunnen aantasten van alle andere bepalingen van de AVG die relevant zouden kunnen zijn voor een klacht.
Wat de omstandigheid betreft dat nationale constitutionele bepalingen eraan in de weg staan dat een toezichthoudende autoriteit die onderdeel is van de uitvoerende macht, toezicht kan uitoefenen op de toepassing van de AVG door een orgaan van de wetgevende macht, geeft het Hof aan dat het juist met het oog op de constitutionele structuur van de lidstaten is dat de AVG slechts vereist dat de lidstaten ten minste één toezichthoudende autoriteit instellen, maar hun de mogelijkheid laat om er meerdere in te stellen. Deze verordening verleent elke lidstaat dus een beoordelingsmarge waardoor hij zo veel toezichthoudende autoriteiten kan instellen als nodig is, met name vanwege zijn constitutionele structuur.
Bovendien kan het feit dat een lidstaat zich beroept op bepalingen van nationaal recht niet afdoen aan de eenheid en de werking van het Unierecht. De gevolgen van het beginsel van voorrang van het Unierecht zijn immers bindend voor alle organen van een lidstaat; nationale bepalingen, waaronder ook constitutionele bepalingen, kunnen daar niet aan in de weg staan.(10)
Wanneer een lidstaat ervoor heeft gekozen om één enkele toezichthoudende autoriteit in te stellen, kan hij zich dus niet beroepen op bepalingen van nationaal recht, ook niet van constitutionele aard, om onder de AVG vallende verwerkingen van persoonsgegevens aan het toezicht van deze autoriteit te onttrekken.