Vec C‑33/22
Österreichische Datenschutzbehörde
proti
WK
[návrh na začatie prejudiciálneho konania, ktorý podal Verwaltungsgerichtshof (Rakúsko)]
Rozsudok Súdneho dvora (veľká komora) zo 16. januára 2024
„Návrh na začatie prejudiciálneho konania – Ochrana fyzických osôb pri spracúvaní osobných údajov – Článok 16 ZFEÚ – Nariadenie (EÚ) 2016/679 – Článok 2 ods. 2 písm. a) – Pôsobnosť – Vylúčenie – Činnosti, ktoré nepatria do pôsobnosti práva Únie – Článok 4 ods. 2 ZEÚ – Činnosti týkajúce sa národnej bezpečnosti – Vyšetrovací výbor zriadený parlamentom členského štátu – Článok 23 ods. 1 písm. a) a h), články 51 a 55 nariadenia (EÚ) 2016/679 – Príslušnosť dozorného orgánu na ochranu údajov – Článok 77 – Právo podať sťažnosť dozornému orgánu – Priamy účinok“
1. Ochrana fyzických osôb pri spracúvaní osobných údajov – Nariadenie 2016/679 – Pôsobnosť – Výnimky – Spracúvanie údajov v rámci činnosti, ktorá nepatrí do práva Únie – Činnosť vyšetrovacieho výboru zriadeného parlamentom členského štátu pri výkone jeho kontrolnej právomoci výkonnej moci – Vylúčenie – Uplatňovanie nariadenia
[Článok 16 ods. 2 prvá veta ZFEÚ; nariadenie Európskeho parlamentu a Rady 2016/679, odôvodnenie 16 a článok 2 ods. 2 písm. a)]
(pozri body 37 – 43, bod 1 výroku)
2. Ochrana fyzických osôb pri spracúvaní osobných údajov – Nariadenie 2016/679 – Pôsobnosť – Výnimky – Spracúvanie údajov v rámci činnosti, ktorá nepatrí do práva Únie – Činnosť slúžiaca na ochranu národnej bezpečnosti alebo činnosť patriaca do tejto kategórie – Pojem – Činnosť vyšetrovacieho výboru zriadeného parlamentom členského štátu pri výkone jeho kontrolnej právomoci výkonnej moci – Vyšetrovanie existencie prípadného politického ovplyvňovania policajného orgánu ochrany štátu – Vylúčenie
[Článok 4 ods. 2 ZEÚ; nariadenie Európskeho parlamentu a Rady 2016/679, odôvodnenie 16 a článok 2 ods. 1 a článok 2 ods. 2 písm. a) a článok 23]
(pozri body 46, 50 – 57, bod 2 výroku)
3. Ochrana fyzických osôb pri spracúvaní osobných údajov – Nariadenie 2016/679 – Vnútroštátne dozorné orgány – Právo členského štátu zriadiť jeden dozorný orgán – Príslušnosť dozorného orgánu stanovená nariadením – Obmedzenie právomoci vyplývajúce z vnútroštátnych ustanovení ústavnej povahy – Neprípustnosť – Prednosť a priamy účinok práva Únie
(Nariadenie Európskeho parlamentu a Rady 2016/679, odôvodnenie 117 a článok 51 ods. 1, článok 55 ods. 1 a 3 a článok 77 ods. 1)
(pozri body 62 – 72, bod 3 výroku)
Zhrnutie
Na základe návrhu na začatie prejudiciálneho konania, ktorý podal Verwaltungsgerichtshof (Najvyšší správny súd, Rakúsko), Súdny dvor zasadajúci vo veľkej komore rozhodol, že činnosť parlamentného vyšetrovacieho výboru nie je vyňatá z pôsobnosti GDPR(1).
S cieľom preskúmať prípadné politické ovplyvňovanie Bundesamt für Verfassungsschutz und Terrorismusbekämpfung (Spolkový úrad pre ochranu ústavy a boj proti terorizmu, Rakúsko)(2) zriadila Nationalrat (Národná rada, Rakúsko) vyšetrovací výbor (ďalej len „vyšetrovací výbor BVT“). Tento výbor vypočul WK ako svedka. Napriek jeho žiadosti o anonymizáciu bola zápisnica z jeho vypočutia, v ktorej boli uvedené jeho celé priezvisko a meno, uverejnená na internetovej stránke Parlament Österreich (Rakúsky parlament). WK podal sťažnosť na Österreichische Datenschutzbehörde (Úrad na ochranu údajov, Rakúsko) (ďalej len „Datenschutzbehörde“), pričom tvrdil, že takéto uverejnenie jeho totožnosti je v rozpore s GDPR a rakúskou právnou úpravou(3). Rozhodnutím z 18. septembra 2019 Datenschutzbehörde vyhlásil, že nemá právomoc rozhodnúť o sťažnosti, pričom vysvetlil, že zásada deľby moci vylučuje, aby ako orgán výkonnej moci mohol kontrolovať vyšetrovací výbor BVT, ktorý patrí do zákonodarnej moci.
V nadväznosti na rozhodnutie Bundesverwaltungsgericht (Spolkový správny súd, Rakúsko), ktorým sa vyhovelo žalobe WK a zrušilo rozhodnutie Datenschutzbehörde, podal WK na Najvyšší správny súd opravný prostriedok „Revision“ proti rozhodnutiu spolkového správneho súdu.
V tomto kontexte sa vnútroštátny súd pýta Súdneho dvora, či činnosti vyšetrovacieho výboru zriadeného parlamentom členského štátu patria do pôsobnosti GDPR a či sa toto nariadenie uplatňuje v prípade, keď sa tieto činnosti týkajú ochrany národnej bezpečnosti. Okrem toho požiadal Súdny dvor, aby rozhodol o tom, či GDPR priznáva vnútroštátnemu dozornému orgánu, akým je Datenschutzbehörde, právomoc rozhodovať o sťažnostiach týkajúcich sa spracúvania osobných údajov vyšetrovacím výborom v rámci jeho činností.
Posúdenie Súdnym dvorom
V prvom rade Súdny dvor pripomína, že jediným cieľom článku 2 ods. 2 písm. a) GDPR, ktorý stanovuje, že toto nariadenie sa nevzťahuje na spracúvanie osobných údajov v rámci činnosti, ktorá nepatrí do pôsobnosti práva Únie, je vylúčiť z jeho pôsobnosti spracúvanie vykonávané štátnymi orgánmi v rámci činnosti, ktorej cieľom je chrániť národnú bezpečnosť, alebo činnosti, ktorá patrí do tej istej kategórie. Samotná skutočnosť, že ide o činnosť štátu alebo orgánu verejnej moci, tak nestačí na automatické vylúčenie uplatňovania GDPR na takúto činnosť.(4)
Tento výklad vyplývajúci z neexistencie rozlišovania v závislosti od totožnosti dotknutého prevádzkovateľa potvrdzuje článok 4 bod 7 GDPR.(5)
Súdny dvor spresňuje, že parlamentná povaha vyšetrovacieho výboru BVT neznamená, že jeho činnosti sú vylúčené z pôsobnosti GDPR. Výnimka stanovená v článku 2 ods. 2 písm. a) tohto nariadenia sa totiž vzťahuje len na kategórie činností, ktoré vzhľadom na svoju povahu nepatria do pôsobnosti práva Únie, a nie na kategórie osôb. Okolnosť, že spracúvanie osobných údajov vykonáva vyšetrovací výbor zriadený parlamentom členského štátu pri výkone jeho kontrolnej právomoci výkonnej moci, sama osebe neumožňuje konštatovať, že toto spracúvanie sa vykonáva v rámci činnosti, ktorá nepatrí do pôsobnosti práva Únie.
V druhom rade Súdny dvor uvádza, že síce členským štátom prináleží definovať ich základné bezpečnostné záujmy a prijať opatrenia vhodné na ich zabezpečenie(6), samotná skutočnosť, že vnútroštátne opatrenie bolo prijaté na účely ochrany národnej bezpečnosti, nemôže mať za následok neuplatniteľnosť práva Únie a oslobodiť členské štáty od potrebného dodržiavania tohto práva. Výnimka stanovená v článku 2 ods. 2 písm. a) GDPR pritom odkazuje len na kategórie činností, ktoré vzhľadom na svoju povahu nepatria do pôsobnosti práva Únie. V tejto súvislosti okolnosť, že prevádzkovateľom je orgán verejnej moci, ktorého hlavnou činnosťou je zabezpečiť národnú bezpečnosť, nemôže sama osebe postačovať na to, aby bolo z pôsobnosti GDPR vylúčené spracovanie osobných údajov, ktoré vykonáva v rámci svojich ostatných činností.
V prejednávanej veci sa zdá, že politická kontrola vykonaná vyšetrovacím výborom BVT sama osebe nepredstavuje činnosť smerujúcu k ochrane národnej bezpečnosti alebo patriacu do tej istej kategórie. Preto s výhradou overenia vnútroštátnym súdom nie je táto činnosť vyňatá z pôsobnosti GDPR.
Parlamentný vyšetrovací výbor však môže mať prístup k osobným údajom, na ktoré sa z dôvodov súvisiacich s národnou bezpečnosťou musí vzťahovať osobitná ochrana. V tejto súvislosti možno prostredníctvom legislatívnych opatrení stanoviť obmedzenia práv a povinností vyplývajúcich z GDPR najmä na účely zabezpečenia národnej bezpečnosti.(7) Na tomto základe by tak mohli byť odôvodnené obmedzenia týkajúce sa zhromažďovania osobných údajov, informovania dotknutých osôb a ich prístupu k uvedeným údajom, ako aj ich sprístupnenia bez súhlasu dotknutých osôb iným osobám, než je prevádzkovateľ, pod podmienkou, že rešpektujú podstatu základných práv a slobôd dotknutých osôb a predstavujú nevyhnutné a primerané opatrenie v demokratickej spoločnosti.
Súdny dvor však poznamenáva, že z informácií, ktoré má k dispozícii, nevyplýva, že vyšetrovací výbor BVT tvrdil, že uverejnenie osobných údajov dotknutej osoby bolo nevyhnutné na ochranu národnej bezpečnosti a bolo založené na vnútroštátnom legislatívnom opatrení stanovenom na tento účel, čo musí prípadne overiť vnútroštátny súd.
V treťom a poslednom rade Súdny dvor uvádza, že ustanovenia GDPR týkajúce sa právomoci vnútroštátnych dozorných orgánov a práva na sťažnosť(8) nevyžadujú prijatie vnútroštátnych vykonávacích opatrení a sú dostatočne jasné, presné a nepodmienené na to, aby mali priamy účinok. Z toho vyplýva, že hoci GDPR ponecháva členským štátom mieru voľnej úvahy, pokiaľ ide o počet dozorných orgánov, ktoré majú byť zriadené,(9) stanovuje rozsah ich právomocí dohliadať na uplatňovanie GDPR. V prípade, že sa členský štát rozhodne zriadiť jediný vnútroštátny dozorný orgán, má nevyhnutne všetky právomoci stanovené týmto nariadením. Akýkoľvek iný výklad by spochybnil užitočný účinok týchto ustanovení a mohol by oslabiť užitočný účinok všetkých ostatných ustanovení GDPR, ktoré môžu byť sťažnosťou dotknuté.
Pokiaľ ide o okolnosť, že vnútroštátne ustanovenia ústavnej povahy vylučujú možnosť dozorného orgánu, ktorý závisí od výkonnej moci, dohliadať na uplatňovanie GDPR orgánom patriacim do zákonodarnej moci, Súdny dvor zdôrazňuje, že práve z dôvodu rešpektovania ústavnej štruktúry členských štátov sa GDPR obmedzuje na to, že od nich vyžaduje, aby zriadili aspoň jeden dozorný orgán, pričom im poskytuje možnosť zriadiť viacero dozorných orgánov. Toto nariadenie tak priznáva každému členskému štátu určitú mieru voľnej úvahy, ktorá mu umožňuje zriadiť toľko dozorných orgánov, koľko vyžadujú najmä požiadavky súvisiace s jeho ústavnou štruktúrou.
Navyše odvolávanie sa na ustanovenia vnútroštátneho práva členským štátom nemôže ohroziť jednotu a účinnosť práva Únie. Účinky spojené so zásadou prednosti práva Únie sú totiž záväzné pre všetky orgány členského štátu, pričom tomu najmä nemôžu brániť vnútroštátne ustanovenia vrátane tých ústavných.(10)
Ak sa teda členský štát rozhodol zriadiť jediný dozorný orgán, nemôže sa odvolávať na ustanovenia vnútroštátneho práva, a to ani v prípade, že by boli ústavnej povahy, na účely vyňať spracúvanie osobných údajov, ktoré patrí do pôsobnosti GDPR, z dohľadu tohto orgánu.