Zadeva C‑33/22
Österreichische Datenschutzbehörde
proti
WK
(Predlog za sprejetje predhodne odločbe, ki ga je vložilo Verwaltungsgerichtshof (Avstrija))
Sodba Sodišča (veliki senat) z dne 16. januarja 2024
„Predhodno odločanje – Varstvo posameznikov pri obdelavi osebnih podatkov – Člen 16 PDEU – Uredba (EU) 2016/679 – Člen 2(2)(a) – Področje uporabe – Izključitve – Dejavnosti, ki ne spadajo na področje uporabe prava Unije – Člen 4(2) PEU – Dejavnosti v zvezi z nacionalno varnostjo – Preiskovalna komisija, ki jo ustanovi parlament države članice – Člen 23(1)(a) in (h) ter člena 51 in 55 Uredbe (EU) 2016/679 – Pristojnost nadzornega organa za varstvo podatkov – Člen 77 – Pravica do vložitve pritožbe pri nadzornem organu – Neposredni učinek“
1. Varstvo posameznikov pri obdelavi osebnih podatkov – Uredba 2016/679 – Področje uporabe – Odstopanja – Obdelava podatkov v okviru dejavnosti zunaj področja uporabe prava Unije – Dejavnost, ki jo opravlja preiskovalna komisija, ki jo ustanovi parlament države članice zaradi izvajanja svoje pristojnosti nadzora nad izvršilno oblastjo – Izključitev – Uporaba Uredbe
(člen 16(2), prvi stavek, PDEU; Uredba Evropskega parlamenta in Sveta 2016/679, uvodna izjava 16 in člen 2(2)(a))
(Glej točke od 37 do 43 in točko 1 izreka.)
2. Varstvo posameznikov pri obdelavi osebnih podatkov – Uredba 2016/679 – Področje uporabe – Odstopanja – Obdelava podatkov v okviru dejavnosti zunaj področja uporabe prava Unije – Dejavnost, katere namen je ohranjanje nacionalne varnosti ali ki jo je mogoče razvrstiti v isto kategorijo – Pojem – Dejavnost, ki jo opravlja preiskovalna komisija, ki jo ustanovi parlament države članice zaradi izvajanja svoje pristojnosti nadzora nad izvršilno oblastjo – Preiskava o obstoju morebitnega političnega vpliva na policijski organ za državno varnost – Izključitev
(člen 4(2) PEU; Uredba Evropskega parlamenta in Sveta 2016/679, uvodna izjava 16 ter člena 2(1) in (2)(a) ter 23)
(Glej točke 46 in od 50 do 57 ter točko 2 izreka.)
3. Varstvo posameznikov pri obdelavi osebnih podatkov – Uredba 2016/679 – Nacionalni nadzorni organi – Pravica države članice, da ustanovi en sam nadzorni organ – Pristojnost nadzornega organa na podlagi Uredbe – Omejitev pristojnosti, izhajajoča iz nacionalnih določb na ustavni ravni – Nedopustnost – Primarnost in neposredni učinek prava Unije
(Uredba Evropskega parlamenta in Sveta 2016/679, uvodna izjava 117 ter členi 51(1), 55(1) in (3) ter 77(1))
(Glej točke od 62 do 72 in točko 3 izreka.)
Povzetek
Sodišče, pri katerem je Verwaltungsgerichtshof (vrhovno upravno sodišče, Avstrija) vložilo predlog za sprejetje predhodne odločbe, je v sestavi velikega senata razsodilo, da dejavnost parlamentarne preiskovalne komisije ni izključena iz uporabe SUVP(1).
Nationalrat (državni svet, Avstrija) je za preučitev morebitnega političnega vpliva na Bundesamt für Verfassungsschutz und Terrorismusbekämpfung (zvezni urad za varstvo ustave in boj proti terorizmu, Avstrija)(2) ustanovil preiskovalno komisijo (v nadaljevanju: preiskovalna komisija v zvezi z BVT). Ta komisija je zaslišala WK kot pričo. Kljub njegovi zahtevi za anonimizacijo je bil zapisnik njegovega zaslišanja, v katerem so bili navedeni njegovi popolni priimek in imena, objavljen na spletnem mestu Parlament Österreich (avstrijski parlament). WK je pri Österreichische Datenschutzbehörde (organ za varstvo podatkov, Avstrija) (v nadaljevanju: Datenschutzbehörde) vložil pritožbo, v kateri je trdil, da je tako razkritje njegove identitete v nasprotju s SUVP in z avstrijsko zakonodajo(3). Datenschutzbehörde se je z odločbo z dne 18. septembra 2019 izrekel za nepristojnega za odločanje o pritožbi, in sicer je pojasnil, da načelo delitve oblasti izključuje, da bi kot organ izvršilne oblasti lahko nadziral preiskovalno komisijo v zvezi BVT, ki je del zakonodajne oblasti.
Po odločbi Bundesverwaltungsgericht (zvezno upravno sodišče, Avstrija), ki je ugodilo pravnemu sredstvu WK in odpravilo odločbo Datenschutzbehörde, je ta organ pri vrhovnem upravnem sodišču vložil revizijo zoper odločbo zveznega upravnega sodišča.
V tem okviru je predložitveno sodišče Sodišču postavilo vprašanje, ali dejavnosti preiskovalne komisije, ki jo ustanovi parlament države članice, spadajo na področje uporabe SUVP in ali se ta uredba uporablja, kadar se te dejavnosti nanašajo na zaščito nacionalne varnosti. Poleg tega je Sodišče prosilo, naj se izreče o tem, ali SUVP nacionalnemu nadzornemu organu, kot je Datenschutzbehörde, daje pristojnost za odločanje o pritožbah v zvezi z obdelavami osebnih podatkov, ki jih preiskovalna komisija izvaja v okviru svojih dejavnosti.
Presoja Sodišča
Na prvem mestu, Sodišče je opozorilo, da je edini namen člena 2(2)(a) SUVP, ki določa, da se ta uredba ne uporablja za obdelavo osebnih podatkov v okviru dejavnosti zunaj področja uporabe prava Unije, izključiti s področja uporabe te uredbe obdelave osebnih podatkov, ki jih izvajajo državni organi v okviru dejavnosti, katere namen je ohranjanje nacionalne varnosti, ali v okviru dejavnosti, ki jo je mogoče razvrstiti v isto kategorijo. Tako zgolj dejstvo, da je dejavnost značilna za državo ali državni organ, ne zadostuje za samodejno izključitev uporabe SUVP za to dejavnost.(4)
To razlago, ki izhaja iz neobstoja razlikovanja glede na identiteto avtorja zadevne obdelave, potrjuje člen 4, točka 7, SUVP(5).
Sodišče je pojasnilo, da parlamentarna narava preiskovalne komisije v zvezi z BVT ne pomeni, da so njene dejavnosti izključene s področja uporabe SUVP. Izjema iz člena 2(2)(a) te uredbe se namreč nanaša le na kategorije dejavnosti, ki zaradi svoje narave ne spadajo na področje uporabe prava Unije, ne pa na kategorije oseb. Zato okoliščina, da obdelavo osebnih podatkov izvaja preiskovalna komisija, ki jo je ustanovil parlament države članice zaradi izvajanja svoje pristojnosti nadzora nad izvršilno oblastjo, sama po sebi ne omogoča ugotovitve, da se ta obdelava izvaja v okviru dejavnosti zunaj področja uporabe prava Unije.
Na drugem mestu, Sodišče je navedlo, da čeprav so države članice pristojne, da opredelijo svoje bistvene varnostne interese in sprejmejo ustrezne ukrepe za zagotovitev varnosti,(6) zgolj dejstvo, da je bil nacionalni ukrep sprejet zaradi zaščite nacionalne varnosti, ne more povzročiti neuporabe prava Unije in držav članic oprostiti obveznosti spoštovanja tega prava. Izjema iz člena 2(2)(a) SUVP pa se nanaša le na kategorije dejavnosti, ki zaradi svoje narave ne spadajo na področje uporabe prava Unije. V zvezi s tem okoliščina, da je upravljavec javni organ, katerega glavna dejavnost je zagotavljanje nacionalne varnosti, sama po sebi ne more zadostovati za to, da se s področja uporabe SUVP izključijo obdelave osebnih podatkov, ki jih ta organ izvaja v okviru svojih drugih dejavnosti.
V obravnavani zadevi se zdi, da politični nadzor, ki ga izvaja preiskovalna komisija v zvezi z BVT, sam po sebi ne pomeni dejavnosti, katere namen je ohraniti nacionalno varnost ali ki spada v isto kategorijo. Zato ta dejavnost ni izključena s področja uporabe SUVP, kar pa mora preveriti predložitveno sodišče.
Kljub temu ima lahko parlamentarna preiskovalna komisija dostop do osebnih podatkov, ki morajo biti iz razlogov nacionalne varnosti deležni posebnega varstva. V zvezi s tem se lahko z zakonodajnimi ukrepi določijo omejitve pravic in obveznosti iz SUVP za zagotovitev med drugim nacionalne varnosti.(7) Tako je mogoče na tej podlagi utemeljiti omejitve glede zbiranja osebnih podatkov, obveščanja posameznikov, na katere se nanašajo osebni podatki, in njihovega dostopa do navedenih podatkov ali razkritja teh podatkov brez privolitve posameznikov, na katere se nanašajo osebni podatki, drugim osebam kot upravljavcu, če take omejitve spoštujejo bistvo temeljnih pravic in svoboščin posameznikov, na katere se nanašajo osebni podatki, ter pomenijo potreben in sorazmeren ukrep v demokratični družbi.
Vendar je Sodišče opozorilo, da iz informacij, ki so mu bile dane na voljo, ni razvidno, da bi preiskovalna komisija v zvezi z BVT trdila, da je bilo razkritje osebnih podatkov posameznika, na katerega se nanašajo osebni podatki, potrebno za zaščito nacionalne varnosti in je temeljilo na za to določenem nacionalnem zakonodajnem ukrepu, kar pa mora predložitveno sodišče po potrebi preveriti.
Na tretjem in zadnjem mestu, Sodišče je navedlo, da določbe SUVP v zvezi s pristojnostjo nacionalnih nadzornih organov in pravico do pritožbe(8) ne zahtevajo sprejetja nacionalnih izvedbenih ukrepov ter so dovolj jasne, natančne in brezpogojne, da imajo neposredni učinek. Iz tega sledi, da čeprav je s SUVP državam članicam priznano polje proste presoje glede števila nadzornih organov, ki jih je treba ustanoviti,(9) je z njo določen obseg pristojnosti teh organov za nadzor nad uporabo SUVP. Tako ima v primeru, če se država članica odloči ustanoviti en sam nacionalni nadzorni organ, ta nujno vse pristojnosti, določene s to uredbo. Vsaka drugačna razlaga bi ogrozila polni učinek teh določb in bi lahko oslabila polni učinek vseh drugih določb SUVP, na katere bi se lahko nanašala pritožba.
V zvezi z okoliščino, da nacionalne določbe na ustavni ravni izključujejo možnost nadzornega organa, ki je odvisen od izvršilne oblasti, da nadzira uporabo SUVP s strani organa, ki spada pod zakonodajno oblast, je Sodišče poudarilo, da SUVP prav zaradi spoštovanja ustavne strukture držav članic zahteva le, da države članice ustanovijo vsaj en nadzorni organ, hkrati pa jim daje možnost, da jih ustanovijo več. Ta uredba tako vsaki državi članici priznava polje proste presoje, ki ji omogoča, da ustanovi toliko nadzornih organov, kolikor jih je potrebnih med drugim na podlagi zahtev v zvezi z njeno ustavno ureditvijo.
Poleg tega to, da se država članica sklicuje na določbe nacionalnega prava, ne sme posegati v enotnost in učinkovitost prava Unije. Učinki načela primarnosti prava Unije so namreč zavezujoči za vse organe države članice, ne da bi med drugim nacionalne določbe, vključno s tistimi na ustavni ravni, to lahko ovirale.(10)
Če se je torej država članica odločila ustanoviti en sam nadzorni organ, se ne more sklicevati na določbe nacionalnega prava, vključno s tistimi na ustavni ravni, da bi obdelave osebnih podatkov, ki spadajo na področje uporabe SUVP, izvzela iz nadzora tega organa.