ROZSUDEK SOUDNÍHO DVORA (velkého senátu)
16. ledna 2024(*)
„Řízení o předběžné otázce – Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Článek 16 SFEU – Nařízení (EU) 2016/679 – Článek 2 odst. 2 písm. a) – Oblast působnosti – Vyloučení – Činnosti, které nespadají do oblasti působnosti unijního práva – Článek 4 odst. 2 SEU – Činnosti týkající se národní bezpečnosti – Vyšetřovací výbor zřízený parlamentem členského státu – Článek 23 odst. 1 písm. a) a h) a články 51 a 55 nařízení (EU) 2016/679 – Pravomoc dozorového úřadu pro ochranu údajů – Článek 77 – Právo podat stížnost u dozorového úřadu – Přímý účinek“
Ve věci C‑33/22,
jejímž předmětem je žádost o rozhodnutí o předběžné otázce podaná na základě článku 267 SFEU rozhodnutím Verwaltungsgerichtshof (Nejvyšší správní soud, Rakousko) ze dne 14. prosince 2021, došlým Soudnímu dvoru dne 14. ledna 2022, v řízení
Österreichische Datenschutzbehörde
proti
WK,
za účasti:
Präsident des Nationalrates,
SOUDNÍ DVŮR (velký senát),
ve složení: K. Lenaerts, předseda, L. Bay Larsen, místopředseda, K. Jürimäe, C. Lycourgos, E. Regan a N. Piçarra, předsedové senátů, M. Ilešič, P. G. Xuereb, L. S. Rossi (zpravodajka), I. Jarukaitis, A. Kumin, N. Jääskinen, N. Wahl, I. Ziemele a J. Passer, soudci,
generální advokát: M. Szpunar,
za soudní kancelář: D. Dittert, vedoucí oddělení,
s přihlédnutím k písemné části řízení a po jednání konaném dne 6. března 2023,
s ohledem na vyjádření, která předložili:
– za Österreichische Datenschutzbehörde: A. Jelinek a M. Schmidl, jako zmocněnci,
– za WK: M. Sommer, Rechtsanwalt,
– za Präsident des Nationalrates: C. Neugebauer a R. Posnik, jako zmocněnkyně,
– za rakouskou vládu: A. Posch, J. Schmoll, S. Dörnhöfer a C. Leeb, jako zmocněnci,
– za českou vládu: O. Serdula, M. Smolek a J. Vláčil, jako zmocněnci,
– za Evropskou komisi: A. Bouchagiar, M. Heller a H. Kranenborg, jako zmocněnci,
po vyslechnutí stanoviska generálního advokáta na jednání konaném dne 11. května 2023,
vydává tento
Rozsudek
1 Žádost o rozhodnutí o předběžné otázce se týká výkladu čl. 16 odst. 2 první věty SFEU, jakož i čl. 2 odst. 2 písm. a), čl. 51 odst. 1, čl. 55 odst. 1 a čl. 77 odst. 1 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. 2016, L 119, s. 1, dále jen „GDPR“).
2 Tato žádost byla předložena v rámci sporu mezi Österreichische Datenschutzbehörde (Úřad pro ochranu osobních údajů, Rakousko) (dále jen „Datenschutzbehörde“) a WK ohledně zamítnutí stížnosti podané WK proti údajnému porušení jeho práva na ochranu osobních údajů.
Právní rámec
Unijní právo
3 Body 16, 20 a 117 odůvodnění GDPR znějí takto:
„(16) Toto nařízení se nevztahuje na otázky ochrany základních práv a svobod nebo volného pohybu osobních údajů v souvislosti s činnostmi, které nespadají do působnosti práva Unie, jako jsou činnosti týkající se národní bezpečnosti. Toto nařízení se rovněž nevztahuje na zpracování osobních údajů členskými státy při výkonu činností v rámci společné zahraniční a bezpečnostní politiky Unie.
[…]
(20) Toto nařízení se mimo jiné vztahuje na činnost soudů a dalších justičních orgánů, a proto by právo Unie nebo členského státu mohlo stanovit operace a postupy zpracování v souvislosti se zpracováním osobních údajů soudy a dalšími justičními orgány. Pravomoc dozorových úřadů by neměla zahrnovat zpracování osobních údajů, pokud soudy jednají v rámci svých soudních pravomocí, aby byla zajištěna nezávislost soudnictví při plnění soudních funkcí, včetně rozhodování. Dozor nad takovými operacemi zpracování by mělo být možné svěřit zvláštním subjektům v rámci justičního systému členského státu, které by zejména měly zajistit soulad s pravidly tohoto nařízení, posilovat povědomí členů justičních orgánů o jejich povinnostech podle tohoto nařízení a zabývat se stížnostmi souvisejícími s takovými operacemi zpracování.
[…]
(117) Zásadním prvkem ochrany fyzických osob v souvislosti se zpracováním jejich osobních údajů je zřízení dozorových úřadů, jež mohou v členských státech plnit své úkoly a vykonávat své pravomoci zcela nezávisle. Členské státy by měly mít možnost zřídit více než jeden dozorový úřad, aby zohlednily své ústavní, organizační a správní uspořádání.“
4 Článek 2 GDPR, nadepsaný „Věcná působnost“, stanoví:
„1. Toto nařízení se vztahuje na zcela nebo částečně automatizované zpracování osobních údajů a na neautomatizované zpracování těch osobních údajů, které jsou obsaženy v evidenci nebo do ní mají být zařazeny.
2. Toto nařízení se nevztahuje na zpracování osobních údajů prováděné:
a) při výkonu činností, které nespadají do oblasti působnosti práva Unie;
b) členskými státy při výkonu činností, které spadají do oblasti působnosti hlavy V kapitoly 2 Smlouvy o EU;
[…]
d) příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, včetně ochrany před hrozbami pro veřejnou bezpečnost a jejich předcházení.
3. Na zpracování osobních údajů orgány, institucemi a jinými subjekty Unie se vztahuje nařízení [Evropského parlamentu a Rady] (ES) č. 45/2001 [ze dne 18. prosince 2000 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů orgány a institucemi Společenství a o volném pohybu těchto údajů (Úř. věst. 2001, L 8, s. 1; Zvl. vyd. 13/26, s. 102)]. Nařízení (ES) č. 45/2001 a další právní akty Unie týkající se takového zpracování osobních údajů jsou uzpůsobeny zásadám a pravidlům tohoto nařízení podle článku 98.
[…]“
5 Článek 4 nařízení GDPR, nadepsaný „Definice“, stanoví:
„Pro účely tohoto nařízení se rozumí:
[…]
7) ‚správcem‘ fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, který sám nebo společně s jinými určuje účely a prostředky zpracování osobních údajů; jsou-li účely a prostředky tohoto zpracování určeny právem Unie či členského státu, může toto právo určit dotčeného správce nebo zvláštní kritéria pro jeho určení;
[…]“
6 Článek 23 GDPR, nadepsaný „Omezení“, v odstavci 1 stanoví:
„Právo Unie nebo členského státu, které se na správce nebo zpracovatele vztahuje, může prostřednictvím legislativního opatření omezit rozsah povinností a práv uvedených v článcích 12 až 22 a v článku 34, jakož i v článku 5, v rozsahu, v jakém ustanovení tohoto článku odpovídají právům a povinnostem stanoveným v článcích 12 až 22, jestliže takové omezení respektuje podstatu základních práv a svobod a představuje nezbytné a přiměřené opatření v demokratické společnosti s cílem zajistit:
a) národní bezpečnost;
b) [národní] obranu;
c) veřejnou bezpečnost;
d) prevenci, vyšetřování, odhalování či stíhání trestných činů nebo výkon trestů, včetně ochrany před hrozbami pro veřejnou bezpečnost a jejich předcházení;
e) jiné důležité cíle obecného veřejného zájmu Unie nebo členského státu, zejména důležitý hospodářský nebo finanční zájem Unie nebo členského státu, včetně měnových, rozpočtových a daňových záležitostí, veřejného zdraví a sociálního zabezpečení;
f) ochranu nezávislosti soudnictví a soudních řízení;
[…]
h) monitorovací, inspekční nebo regulační funkci spojenou, i pouze příležitostně, s výkonem veřejné moci v případech uvedených v písmenech a) až e) a g);
i) ochranu subjektu údajů nebo práv a svobod druhých;
[…]“
7 Článek 51 GDPR, nadepsaný „Dozorový úřad“, v odstavci 1 stanoví:
„Každý členský stát stanoví, že jeden nebo více nezávislých orgánů veřejné moci jsou pověřeny monitorováním uplatňování tohoto nařízení s cílem chránit základní práva a svobody fyzických osob v souvislosti se zpracováním jejich osobních údajů a usnadnit volný pohyb osobních údajů uvnitř Unie (dále jen ‚dozorový úřad‘).“
8 Článek 54 GDPR, nadepsaný „Pravidla pro zřízení dozorového úřadu“, v odstavci 1 stanoví:
„Každý členský stát upraví právním předpisem všechny tyto záležitosti:
a) zřízení každého dozorového úřadu;
[…]“
9 Článek 55 GDPR, nadepsaný „Příslušnost“, zní takto:
„1. Každý dozorový úřad je na území svého členského státu příslušný k plnění úkolů a výkonu pravomocí, které mu byly svěřeny v souladu s tímto nařízením.
2. Pokud zpracování provádějí orgány veřejné moci nebo soukromé subjekty jednající na základě čl. 6 odst. 1 písm. c) nebo e), je příslušným dozorový úřad dotčeného členského státu. V takových případech se nepoužije článek 56.
3. Dozorové úřady nejsou příslušné k dozoru nad operacemi zpracování, které provádějí soudy jednající v rámci svých soudních pravomocí.“
10 Článek 77 GDPR, nadepsaný „Právo podat stížnost u dozorového úřadu“, stanoví:
„1. Aniž jsou dotčeny jakékoliv jiné prostředky správní nebo soudní ochrany, má každý subjekt údajů právo podat stížnost u některého dozorového úřadu, zejména v členském státě svého obvyklého bydliště, místa výkonu zaměstnání nebo místa, kde došlo k údajnému porušení, pokud se subjekt údajů domnívá, že zpracováním jeho osobních údajů je porušeno toto nařízení.
2. Dozorový úřad, kterému byla stížnost podána, informuje stěžovatele o pokroku v řešení stížnosti a o jeho výsledku, jakož i o možnosti soudní ochrany podle článku 78.“
Rakouské právo
11 Článek 53 Bundes-Verfassungsgesetz (spolkový ústavní zákon), znovu vyhlášený dne 2. ledna 1930 (BGBl. 1/1930), ve znění použitelném na skutkový stav v původním řízení (dále jen „B-VG“), stanoví:
„1) Nationalrat [Národní rada, Rakousko] může rozhodnout o zřízení vyšetřovacích výborů. Kromě toho musí být vyšetřovací výbor zřízen na žádost jedné čtvrtiny jejích členů.
2) Vyšetřování se týká určité ukončené činnosti v oblasti výkonné moci na spolkové úrovni. Zahrnuje všechny činnosti spolkových orgánů, jejichž prostřednictvím vykonává Bund (spolková republika) bez ohledu na míru své účasti účastnická a kontrolní práva. Přezkum judikatury je vyloučen.
3) Všechny orgány spolku, spolkových zemí, obcí a svazků obcí, jakož i jiných samosprávných celků jsou povinny na vyžádání předložit vyšetřovacímu výboru v rozsahu předmětu vyšetřování své spisy a dokumenty a jsou povinny vyhovět žádostem vyšetřovacího výboru o shromáždění důkazů v souvislosti s předmětem vyšetřování. Tato povinnost se nevztahuje na předkládání spisů a dokumentů, jejichž zpřístupnění by mohlo ohrozit zdroje ve smyslu čl. 52a odst. 2.
4) Povinnost stanovená v odstavci 3 nevzniká, pokud je dotčen zákonný proces tvorby vůle spolkové vlády nebo některých jejích členů nebo její bezprostřední příprava.
[…]“
12 B-VG upravuje dělbu moci zákonodárné, výkonné a soudní. Každé prolomení této zásady dělby moci vyžaduje ústavní základ.
13 Ustanovení § 1 odst. 1 Datenschutzgesetz (zákon o ochraně osobních údajů) ze dne 17. srpna 1999 (BGBl. I, 165/1999), ve znění použitelném na skutkový stav v původním řízení (dále jen „DSG“), stanoví:
„Každý má, zejména i s ohledem na respektování soukromého a rodinného života, právo na důvěrnost osobních údajů, které se ho týkají, pokud má na něm zájem hodný ochrany. Tento zájem je vyloučen, pokud údaje nezakládají právo na důvěrnost v důsledku jejich všeobecné dostupnosti nebo z důvodu chybějící vysledovatelnosti subjektu údajů.“
14 Ustanovení § 18 odst. 1 DSG zní takto:
„Datenschutzbehörde je zřízen jako vnitrostátní dozorový úřad v souladu s článkem 51 GDPR.“
15 Ustanovení § 24 odst. 1 DSG stanoví:
„Každý subjekt údajů má právo podat stížnost u Datenschutzbehörde, jestliže se domnívá, že při zpracování osobních údajů, které se ho týkají, bylo porušeno GDPR nebo § 1 nebo článek 2, první hlavní část.“
16 Ustanovení § 35 DSG stanoví:
„1) Úkolem Datenschutzbehörde je zajistit ochranu údajů v souladu s ustanoveními GDPR a tohoto spolkového zákona.
2) Datenschutzbehörde vykonává své pravomoci rovněž ve vztahu k nejvyšším orgánům výkonné moci uvedeným v článku 19 B-VG, jakož i ve vztahu k nejvyšším orgánům v souladu s čl. 30 odst. 3 až 6, článkem 125 a čl. 134 odst. 8, jakož i čl. 148h odst. 1 a 2 B-VG v oblasti správních záležitostí spadajících do jejich pravomoci.“
Spor v původním řízení a předběžné otázky
17 Rozhodnutím ze dne 20. dubna 2018 zřídila Národní rada v souladu s článkem 53 B-VG vyšetřovací výbor, který měl objasnit existenci případného politického ovlivňování Bundesamt für Verfassungsschutz und Terrorismusbekämpfung (Spolkový úřad pro ochranu ústavy a boj proti terorismu, Rakousko) (dále jen „BVT“), který byl od 1. prosince 2021 nahrazen Direktion Staatsschutz und Nachrichtendienst (Ředitelství pro bezpečnost státu a zpravodajské služby, Rakousko).
18 Dne 19. září 2018 vyslechl tento vyšetřovací výbor (dále jen „vyšetřovací výbor BVT“) WK jako svědka na slyšení, které bylo přístupné zástupcům sdělovacích prostředků. Navzdory žádosti WK o zachování anonymity byl zápis z tohoto slyšení, ve kterém bylo uvedeno jeho úplné příjmení a jméno, zveřejněn na internetových stránkách rakouského parlamentu.
19 Dne 2. dubna 2019 podal WK stížnost k Datenschutzbehörde, v níž tvrdil, že zveřejnění zápisu z uvedeného slyšení s uvedením jeho totožnosti proti jeho vůli je v rozporu s ustanoveními GDPR a § 1 DSG. Na podporu své stížnosti vysvětlil, že působí jako tajný agent u policejní zásahové jednotky pověřené bojem s pouliční kriminalitou.
20 Datenschutzbehörde zamítl tuto stížnost rozhodnutím ze dne 18. září 2019. Měl za to, že GDPR sice v zásadě nebrání tomu, aby dozorové úřady prováděly dohled nad zákonodárnými orgány, avšak na základě zásady dělby moci je vyloučeno, aby zákonodárná moc podléhala kontrole ze strany moci výkonné. Za těchto podmínek a vzhledem k tomu, že vyšetřovací výbor BVT je součástí zákonodárné moci, není Datenschutzbehörde, který je orgánem výkonné moci, oprávněn kontrolovat činnost uvedeného výboru, a nemá tedy pravomoc rozhodnout o stížnosti WK.
21 Rozhodnutím ze dne 23. listopadu 2020 vyhověl Bundesverwaltungsgericht (Spolkový správní soud, Rakousko) žalobě podané WK a rozhodnutí Datenschutzbehörde zrušil. V podstatě rozhodl, že GDPR je použitelné na jednání zákonodárce, a tedy i na činnost vyšetřovacího výboru BVT. Věcná působnost GDPR definovaná v jeho čl. 2 odst. 1 je totiž koncipována taxativně a zahrnuje veškerá zpracování údajů bez ohledu na subjekt, který provádí zpracování, a na funkci státu, pod níž tento subjekt spadá. Kromě toho konstatoval, že ani z čl. 2 odst. 2 GDPR nelze vyvodit výjimku z použitelnosti tohoto nařízení pro některé funkce státu, jako je legislativní funkce, neboť výjimka stanovená v písm. a) tohoto ustanovení musí být vykládána restriktivně. Podle Bundesverwaltungsgericht (Spolkový správní soud) měl tedy Datenschutzbehörde pravomoc rozhodnout o stížnosti WK v souladu s článkem 77 uvedeného nařízení.
22 Verwaltungsgerichtshof (Nejvyšší správní soud, Rakousko), k němuž podal Datenschutzbehörde proti tomuto rozhodnutí Bundesverwaltungsgericht (Spolkový správní soud, Rakousko) opravný prostředek Revision a který je předkládajícím soudem v projednávané věci, se zaprvé táže, zda úkony vyšetřovacího výboru zřízeného parlamentem členského státu jsou i bez ohledu na předmět vyšetřování vyloučeny z působnosti GDPR na základě jeho čl. 2 odst. 2 písm. a) a čl. 16 odst. 2 první věty SFEU, jelikož činnost takového výboru je ze své povahy činností, která nespadá do působnosti unijního práva.
23 V této souvislosti uvedený soud poukazuje v první řadě na to, že podle judikatury Soudního dvora v oblasti vycházející zejména z rozsudku ze dne 9. července 2020, Land Hessen (C‑272/19, EU:C:2020:535), nelze pro účely použití GDPR vyžadovat, aby dotčené zpracování osobních údajů bylo prováděno konkrétně pro účely, které spadají do působnosti unijního práva, aby bylo přeshraniční nebo aby se konkrétně a přímo dotýkalo volného pohybu mezi členskými státy. Použití tohoto nařízení je naopak vyloučeno pouze tehdy, pokud je splněna alespoň jedna z podmínek pro použití výjimky uvedené v čl. 2 odst. 2 písm. a) až d) uvedeného nařízení.
24 V tomto ohledu předkládající soud připomíná, že podle judikatury Soudního dvora musí být čl. 2 odst. 2 písm. a) GDPR ve spojení s bodem 16 odůvodnění tohoto nařízení považován za ustanovení, jehož jediným cílem je vyloučit z působnosti uvedeného nařízení zpracování osobních údajů prováděné státními orgány v rámci činnosti, která má chránit národní bezpečnost, nebo činnosti, kterou lze zařadit do téže kategorie. Činnosti uvedené v čl. 2 odst. 2 písm. a) GDPR, jejichž cílem je ochrana národní bezpečnosti, zahrnují zejména činnosti, jejichž cílem je chránit základní funkce státu a hlavní zájmy společnosti [rozsudek ze dne 22. června 2021, Latvijas Republikas Saeima (Trestné body), C‑439/19, EU:C:2021:504, body 62 až 67 a citovaná judikatura].
25 Předkládající soud dále poukazuje na určité rozdíly mezi parlamentním výborem dotčeným ve věci, v níž byl vydán rozsudek ze dne 9. července 2020, Land Hessen (C‑272/19, EU:C:2020:535), a sice Petičním výborem Zemského sněmu spolkové země Hesensko (Německo), a vyšetřovacím výborem BVT. Konkrétně činnosti posledně uvedeného výboru nepřispívají pouze nepřímo k parlamentní činnosti, ale jsou jejím jádrem z důvodu kontrolní úlohy, kterou B-VG svěřuje vyšetřovacím výborům, které zřídila Národní rada.
26 A konečně předkládající soud odkazuje na zásadu dělby zákonodárné, výkonné a soudní moci, která je vlastní jak právu každého členského státu, tak unijnímu právu. Je pravda, že čl. 55 odst. 3 GDPR vylučuje pouze pravomoc dozorových úřadů kontrolovat zpracování osobních údajů, které provádějí soudy v rámci svých soudních činností, a mlčí o zpracování údajů prováděné v rámci hlavní parlamentní činnosti. Tato mezera by však podle předkládajícího soudu mohla být vysvětlena skutečností, že podle unijního normotvůrce tato posledně uvedená činnost nespadá do působnosti uvedeného nařízení již na základě jeho čl. 2 odst. 2 písm. a).
27 Ve druhé řadě předkládající soud zdůrazňuje, že se předmět vyšetřování vyšetřovacího výboru BVT týká činností v oblasti národní bezpečnosti, které s ohledem na bod 16 odůvodnění GDPR nespadají do působnosti unijního práva, a jsou tedy v souladu s jeho čl. 2 odst. 2 písm. a) vyloučeny z věcné působnosti tohoto nařízení.
28 Předkládající soud má za to, že i kdyby parlamentní kontrolní činnost vyšetřovacího výboru v zásadě spadala do působnosti unijního práva ve smyslu čl. 16 odst. 2 SFEU, bylo by třeba ještě ověřit, zda se na jeho činnosti vztahuje přinejmenším výjimka stanovená v čl. 2 odst. 2 písm. a) GDPR, a to s ohledem na okolnost, že předmět vyšetřování se týká činností výkonné moci, která tak jako v projednávané věci nespadá do působnosti unijního práva.
29 Ve třetí řadě si předkládající soud klade otázku, zda s ohledem zejména na ústavní zásadu dělby moci v Rakousku má Datenschutzbehörde, který je jediným vnitrostátním dozorovým úřadem ve smyslu článku 51 GDPR, pravomoc rozhodnout o takové stížnosti, jako je stížnost podaná WK, pouze na základě tohoto nařízení, jelikož ve vnitrostátním právu chybí ústavněprávní základ pro takovou pravomoc.
30 Za těchto okolností se Verwaltungsgerichtshof (Nejvyšší správní soudní) rozhodl přerušit řízení a položit Soudnímu dvoru následující předběžné otázky:
„1) Spadá činnost vyšetřovacího výboru zřízeného parlamentem členského státu v rámci výkonu jeho práva na kontrolu moci výkonné bez ohledu na předmět vyšetřování do oblasti působnosti unijního práva ve smyslu čl. 16 odst. 2 první věty SFEU, takže se na zpracování osobních údajů prováděné parlamentním vyšetřovacím výborem členského státu použije [GDPR]?
V případě kladné odpovědi na první otázku:
2) Vztahuje se na činnost vyšetřovacího výboru zřízeného parlamentem členského státu v rámci výkonu jeho práva na kontrolu moci výkonné, předmětem jehož vyšetřování je činnost policejní složky pověřené ochranou státu, tedy činnost týkající se národní bezpečnosti ve smyslu bodu 16 odůvodnění [GDPR], výjimka uvedená v čl. 2 odst. 2 písm. a) GDPR?
V případě záporné odpovědi na druhou otázku:
3) Pokud – jako je tomu v projednávané věci – členský stát zřídil pouze jediný dozorový úřad podle čl. 51 odst. 1 GDPR, vyplývá jeho pravomoc rozhodovat o stížnostech ve smyslu čl. 77 odst. 1 ve spojení s čl. 55 odst. 1 GDPR již přímo z [GDPR]?“
K předběžným otázkám
K první otázce
31 Podstatou první otázky předkládajícího soudu je, zda čl. 16 odst. 2 první věta SFEU a čl. 2 odst. 2 písm. a) GDPR musí být vykládány v tom smyslu, že určitá činnost nespadá do působnosti unijního práva, takže se na ni nevztahuje toto nařízení, pouze z toho důvodu, že je vykonávána vyšetřovacím výborem zřízeným parlamentem členského státu při výkonu jeho kontrolní pravomoci vůči výkonné moci?
32 Článek 16 SFEU, který je právním základem nařízení GDPR, v odstavci 2 stanoví, že Evropský parlament a Rada Evropské unie přijmou pravidla o ochraně fyzických osob při zpracovávání osobních údajů mimo jiné členskými státy, pokud vykonávají činnosti spadající do oblasti působnosti práva Unie.
33 V souladu s tímto ustanovením definuje čl. 2 odst. 1 GDPR velmi široce věcnou působnost GDPR [rozsudek ze dne 22. června 2021, Latvijas Republikas Saeima (Trestné body), C‑439/19, EU:C:2021:504, bod 61]. Toto ustanovení totiž stanoví, že toto nařízení „se vztahuje na zcela nebo částečně automatizované zpracování osobních údajů a na neautomatizované zpracování těch osobních údajů, které jsou obsaženy v evidenci nebo do ní mají být zařazeny“.
34 Kromě toho tento článek 2 GDPR stanoví v odstavcích 2 a 3 vyčerpávajícím způsobem výjimky z pravidla definujícího věcnou oblast působnosti tohoto nařízení stanovenou v jeho odstavci 1. Článek 2 odst. 2 písm. a) uvedeného nařízení mimo jiné stanoví, že se toto nařízení nevztahuje na zpracování osobních údajů prováděné „při výkonu činností, které nespadají do oblasti působnosti práva Unie“.
35 V této souvislosti se předkládající soud táže, zda zpracování osobních údajů v rámci činnosti vyšetřovacího výboru zřízeného parlamentem členského státu při výkonu jeho kontrolní pravomoci vůči výkonné moci spadá v každém případě a nezávisle na předmětu vyšetřování pod výjimku stanovenou v tomto posledně uvedeném ustanovení.
36 V tomto ohledu je třeba připomenout, že s výhradou případů uvedených v jeho čl. 2 odst. 2 a 3 se GDPR použije na zpracování prováděné jak soukromými osobami, tak orgány veřejné moci (v tomto smyslu viz rozsudek ze dne 24. března 2022, Autoriteit Persoonsgegevens, C‑245/20, EU:C:2022:216, bod 25).
37 Z judikatury Soudního dvora vyplývá, že výjimka stanovená v čl. 2 odst. 2 GDPR musí být vykládána restriktivně [rozsudek ze dne 22. června 2021, Latvijas Republikas Saeima (Trestné body), C‑439/19, EU:C:2021:504, bod 62 a citovaná judikatura]. V tomto kontextu již měl Soudní dvůr příležitost upřesnit, že jediným cílem čl. 2 odst. 2 písm. a) GDPR ve světle bodu 16 odůvodnění tohoto nařízení je vyloučit z působnosti uvedeného nařízení zpracování osobních údajů prováděné státními orgány v rámci činnosti, která má chránit národní bezpečnost, nebo činnosti, kterou lze zařadit do téže kategorie, takže pouhá skutečnost, že se jedná o činnost státu nebo orgánu veřejné moci nepostačuje k tomu, aby se na takovou činnost automaticky vztahovala tato výjimka [rozsudky ze dne 22. června 2021, Latvijas Republikas Saeima (Trestné body), C‑439/19, EU:C:2021:504, bod 66, a ze dne 20. října 2022, Koalicia „Demokratična Bulgaria – Obedinenie“, C‑306/21, EU:C:2022:813, bod 39].
38 Tento výklad, který vyplývá již z okolnosti, že čl. 2 odst. 1 GDPR nerozlišuje podle totožnosti autora dotčeného zpracování, je potvrzen čl. 4 bodem 7 tohoto nařízení, který definuje pojem „správce“ jako „fyzickou nebo právnickou osobu, orgán veřejné moci, agenturu nebo jiný subjekt, který sám nebo společně s jinými určuje účely a prostředky zpracování osobních údajů“.
39 Právě při výkladu posledně uvedeného ustanovení Soudní dvůr rozhodl, že pokud petiční výbor parlamentu člena federace, která je členským státem, sám nebo společně s jinými určuje účely a prostředky zpracování osobních údajů, je nutno jej kvalifikovat jako „správce“ ve smyslu tohoto ustanovení, takže zpracování osobních údajů prováděné takovým výborem spadá do působnosti tohoto nařízení (rozsudek ze dne 9. července 2020, Land Hessen, C‑272/19, EU:C:2020:535, bod 74).
40 Okolnost, kterou zdůraznil Präsident des Nationalrates (předseda Národní rady, Rakousko), že na rozdíl od petičního výboru dotčeného ve věci, ve které byl vydán rozsudek ze dne 9. července 2020, Land Hessen (C‑272/19, EU:C:2020:535), který přispívá k parlamentní činnosti pouze nepřímo, je vyšetřovací výbor BVT orgánem, jehož činnost má přímo a výlučně parlamentní povahu, neznamená, že jsou činnosti posledně uvedeného výboru vyloučeny z působnosti GDPR.
41 Jak totiž v podstatě uvedl generální advokát v bodě 84 svého stanoviska, výjimka z oblasti působnosti GDPR stanovená v čl. 2 odst. 2 písm. a) tohoto nařízení se vztahuje pouze na kategorie činností, které z důvodu své povahy nespadají do oblasti působnosti unijního práva, a nikoli na kategorie osob bez ohledu na to, zda mají soukromou či veřejnou povahu, ani – pokud je správcem orgán veřejné moci – na okolnost, že úkoly a povinnosti tohoto orgánu jsou přímo a výlučně spjaty s určitou výsadou veřejné moci, aniž tato výsada souvisí s činností, která se každopádně vymyká působnosti unijního práva.
42 Okolnost, že zpracování osobních údajů provádí vyšetřovací výbor zřízený parlamentem členského státu při výkonu jeho kontrolní pravomoci vůči výkonné moci, neumožňuje tedy sama o sobě konstatovat, že toto zpracování je prováděno v rámci činnosti, která nespadá do působnosti unijního práva ve smyslu čl. 2 odst. 2 písm. a) GDPR.
43 S ohledem na výše uvedené je třeba na první otázku odpovědět tak, že čl. 16 odst. 2 první věta SFEU a čl. 2 odst. 2 písm. a) GDPR musí být vykládány v tom smyslu, že nelze mít za to, že určitá činnost nespadá do působnosti unijního práva, takže se na ni nevztahuje toto nařízení, pouze z toho důvodu, že je vykonávána vyšetřovacím výborem zřízeným parlamentem členského státu při výkonu jeho kontrolní pravomoci vůči moci výkonné.
K druhé otázce
44 Podstatou druhé otázky předkládajícího soudu je, zda musí být čl. 2 odst. 2 písm. a) GDPR ve spojení s bodem 16 odůvodnění tohoto nařízení vykládán v tom smyslu, že činnosti vyšetřovacího výboru zřízeného parlamentem členského státu při výkonu jeho kontrolní pravomoci vůči moci výkonné, jejichž předmětem je vyšetřování činností policejního orgánu ochrany státu z důvodu podezření z politického ovlivňování tohoto orgánu, nelze považovat za činnosti týkající se národní bezpečnosti, které nespadají do oblasti působnosti unijního práva ve smyslu tohoto ustanovení.
45 Jak bylo připomenuto v bodě 37 tohoto rozsudku, článek 2 odst. 2 písm. a) GDPR musí být vykládán restriktivně a jeho jediným cílem je vyloučit z působnosti tohoto nařízení zpracování osobních údajů prováděná státními orgány v rámci činnosti, která má chránit národní bezpečnost, nebo činnosti, kterou lze zařadit do téže kategorie.
46 Činnosti uvedené v čl. 2 odst. 2 písm. a) GDPR, jejichž cílem je ochrana národní bezpečnosti, zahrnují zejména činnosti, jejichž cílem je chránit základní funkce státu a hlavní zájmy společnosti [rozsudky ze dne 22. června 2021, Latvijas Republikas Saeima (Trestné body), C‑439/19, EU:C:2021:504, bod 67, a ze dne 20. října 2022 Koalicia „Demokratična Bulgaria – Obedinenie“, C‑306/21, EU:C:2022:813, bod 40].
47 Podle čl. 4 odst. 2 SEU zůstávají takové činnosti výhradní odpovědností členských států (v tomto smyslu viz rozsudek ze dne 15. července 2021, Ministrstvo za obrambo, C‑742/19, EU:C:2021:597, bod 36).
48 V projednávané věci vyplývá ze spisu, který má Soudní dvůr k dispozici, že vyšetřovací výbor BVT byl zřízen Národní radou za účelem vyšetřování existence případného politického ovlivňování BVT, jehož úkolem bylo v období dotčeném v původním řízení zajištění ochrany ústavy a boj proti terorismu.
49 Předseda Národní rady a česká vláda mají za to, že jelikož úkoly BVT zahrnují „činnosti týkající se národní bezpečnosti“, vztahuje se na jeho činnosti výjimka stanovená v čl. 2 odst. 2 písm. a) GDPR. Činnosti vyšetřovacího výboru parlamentu členského státu spočívající v kontrole státních orgánů, které jsou, jako tomu bylo v případě BVT, pověřeny zajišťováním národní bezpečnosti, spadají přitom rovněž pod pojem „činnosti týkající se národní bezpečnosti“. Cílem kontrolní činnosti takového vyšetřovacího výboru je totiž ověřit, zda kontrolované orgány zajišťují národní bezpečnost řádným způsobem.
50 V této souvislosti je třeba uvést, že členským státům sice přísluší podle čl. 4 odst. 2 SEU vymezit jejich podstatné bezpečnostní zájmy a přijmout opatření způsobilá k zajištění jejich vnitřní a vnější bezpečnosti, avšak nelze na základě pouhé skutečnosti, že určité vnitrostátní opatření bylo přijato za účelem ochrany národní bezpečnosti, vyloučit uplatnění unijního práva a zprostit členské státy povinnosti jej dodržovat (v tomto smyslu viz rozsudek ze dne 15. července 2021, Ministrstvo za obrambo, C‑742/19, EU:C:2021:597, bod 40 a citovaná judikatura).
51 Jak bylo připomenuto v bodě 41 tohoto rozsudku, výjimka stanovená v čl. 2 odst. 2 písm. a) GDPR se vztahuje pouze na kategorie činností, které z důvodu své povahy nespadají do oblasti působnosti unijního práva, a nikoli na kategorie osob bez ohledu na to, zda mají soukromou či veřejnou povahu, ani – pokud je správcem orgán veřejné moci – na okolnost, že úkoly a povinnosti tohoto orgánu jsou přímo a výlučně spjaty s určitou výsadou veřejné moci, aniž tato výsada souvisí s činností, která se každopádně vymyká působnosti unijního práva. Okolnost, že správce je orgánem veřejné moci, jehož hlavní činností je zajistit národní bezpečnost, nemůže sama o sobě postačovat k tomu, aby byla z působnosti GDPR vyloučena zpracování osobních údajů, která tento orgán provádí v rámci svých ostatních činností.
52 V projednávané věci ze spisu, který má Soudní dvůr k dispozici, vyplývá, že účelem vyšetřovacího výboru dotčeného ve věci v původním řízení byla politická kontrola činnosti BVT z důvodu podezření z politického ovlivňování tohoto orgánu, aniž se tato kontrola jako taková jevila jako činnost sloužící k ochraně národní bezpečnosti nebo jako činnost, kterou lze zařadit do téže kategorie ve smyslu judikatury připomenuté v bodě 45 tohoto rozsudku. Z toho vyplývá, že s výhradou ověření předkládajícím soudem není tato činnost vyňata z působnosti GDPR podle jeho čl. 2 odst. 2 písm. a).
53 Takový parlamentní vyšetřovací výbor, jako je výbor dotčený ve věci v původním řízení, však může mít v rámci své činnosti přístup k informacím, a zejména k osobním údajům, které musí z důvodů národní bezpečnosti požívat zvláštní ochrany, která spočívá například v omezení informací, které mají být poskytnuty subjektům údajů ohledně shromažďování těchto údajů, nebo v omezení přístupu těchto osob k uvedeným údajům.
54 V tomto ohledu článek 23 GDPR stanoví, že prostřednictvím legislativního opatření lze omezit povinnosti a práva uvedená v článcích 5, 12 až 22 a 34 GDPR zejména s cílem zajistit národní bezpečnost nebo monitorovací funkci spojenou s výkonem veřejné moci mimo jiné v rámci národní bezpečnosti.
55 Požadavek zajištění národní bezpečnosti může tedy prostřednictvím legislativního opatření odůvodnit omezení povinností a práv vyplývajících z GDPR, zejména pokud jde o shromažďování osobních údajů, informování subjektů údajů a jejich přístup k těmto údajům nebo také jejich zpřístupnění jiným osobám, než jsou správci bez souhlasu subjektů údajů, pokud tato omezení respektují podstatu základních práv a svobod subjektů údajů a představují nezbytné a přiměřené opatření v demokratické společnosti.
56 V projednávané věci však ze spisu, který má Soudní dvůr k dispozici, nevyplývá, že by vyšetřovací výbor BVT tvrdil, že zveřejnění osobních údajů WK, k němuž došlo při zveřejnění zápisu z jeho slyšení před tímto výborem na internetových stránkách rakouského parlamentu bez souhlasu této osoby, je nezbytné pro zajištění národní bezpečnosti a je založeno na vnitrostátním legislativním opatření přijatém za tímto účelem. Nezbytná ověření však musí v této souvislosti případně provést předkládající soud.
57 S ohledem na výše uvedené je třeba na druhou otázku odpovědět tak, že čl. 2 odst. 2 písm. a) GDPR ve spojení s bodem 16 odůvodnění tohoto nařízení musí být vykládán v tom smyslu, že činnosti vyšetřovacího výboru zřízeného parlamentem členského státu při výkonu jeho kontrolní pravomoci vůči výkonné moci, jejichž předmětem je vyšetřování činností policejního orgánu ochrany státu z důvodu podezření z politického ovlivňování tohoto orgánu, nelze jako takové považovat za činnosti týkající se národní bezpečnosti, které nespadají do oblasti působnosti unijního práva ve smyslu tohoto ustanovení.
K třetí otázce
58 Podstatou třetí otázky předkládajícího soudu je, zda čl. 77 odst. 1 a čl. 55 odst. 1 GDPR musí být vykládány v tom smyslu, že pokud se členský stát rozhodl v souladu s čl. 51 odst. 1 tohoto nařízení zřídit pouze jeden dozorový úřad, kterému však nepřiznává pravomoc dohlížet na dodržování GDPR vyšetřovacím výborem zřízeným parlamentem tohoto členského státu při výkonu jeho kontrolní pravomoci nad výkonnou mocí, svěřují tomuto úřadu pravomoc rozhodovat o stížnostech týkajících se zpracování osobních údajů prováděného uvedeným vyšetřovacím výborem přímo tato ustanovení.
59 Pro účely odpovědi na tuto otázku je třeba připomenout, že podle čl. 288 druhého pododstavce SFEU je nařízení závazné v celém rozsahu a přímo použitelné ve všech členských státech.
60 Podle ustálené judikatury mají ustanovení nařízení – na základě článku 288 SFEU a z důvodu samotné povahy nařízení a jejich funkce v systému pramenů unijního práva – ve vnitrostátních právních řádech obecně bezprostřední účinek, aniž je třeba, aby vnitrostátní orgány přijaly prováděcí opatření (rozsudek ze dne 15. června 2021, Facebook Ireland a další, C‑645/19, EU:C:2021:483, bod 110, jakož i citovaná judikatura).
61 Zaprvé podle čl. 77 odst. 1 GDPR platí, že každý subjekt údajů má právo podat stížnost u některého dozorového úřadu, pokud se domnívá, že zpracováním jeho osobních údajů je porušeno toto nařízení. Zadruhé podle čl. 55 odst. 1 uvedeného nařízení je každý dozorový úřad na území svého členského státu příslušný k plnění úkolů a výkonu pravomocí, které mu byly svěřeny v souladu s tímto nařízením.
62 Ze znění těchto ustanovení vyplývá, jak v podstatě uvedl generální advokát v bodě 132 svého stanoviska, že čl. 77 odst. 1 a čl. 55 odst. 1 GDPR nevyžadují ke svému provedení přijetí vnitrostátních prováděcích opatření a jsou dostatečně jasné, přesné a bezpodmínečné, aby měly přímý účinek.
63 Z toho vyplývá, že i když GDPR přiznalo členským státům v souladu s jeho čl. 51 odst. 1 prostor pro uvážení při určení počtu dozorových úřadů, které mají být zřízeny, stanovilo naopak rozsah pravomoci, kterou musí tyto úřady mít bez ohledu na jejich počet, aby mohly dohlížet na dodržování tohoto nařízení.
64 Jak v podstatě uvedl generální advokát v bodě 137 svého stanoviska, v případě, že se členský stát rozhodne zřídit jediný dozorový úřad, má tento orgán nutně veškeré pravomoci, které GDPR svěřuje dozorovým úřadům.
65 Jakýkoli jiný výklad by zpochybnil přímý účinek čl. 55 odst. 1 a čl. 77 odst. 1 GDPR a mohl by oslabit účinnost všech ostatních ustanovení tohoto nařízení, jichž by se mohla týkat stížnost.
66 Kromě toho, pokud unijní normotvůrce zamýšlel omezit pravomoc dozorových úřadů v oblasti kontroly zpracování osobních údajů prováděných orgány veřejné moci, učinil tak výslovně, jak dokládá čl. 55 odst. 3 GDPR, podle kterého tyto orgány nejsou příslušné k dozoru nad operacemi zpracování, které provádějí soudy jednající v rámci svých soudních pravomocí.
67 Datenschutzbehörde, předseda Národní rady a rakouská vláda podotýkají, že ustanovení rakouského ústavního práva zakazují, aby výkonná moc vykonávala jakoukoli kontrolu nad zákonodárnou mocí. Tato ustanovení tedy vylučují možnost, aby Datenschutzbehörde, který je součástí výkonné moci, dohlížel na používání GDPR vyšetřovacím výborem BVT, který je institucí spadající pod zákonodárnou moc.
68 V projednávané věci se však čl. 51 odst. 1 GDPR omezuje na požadavek, aby členské státy zřídily alespoň jeden dozorový úřad, avšak poskytuje jim možnost zřídit několik takových úřadů, právě z důvodu respektování ústavního uspořádání členských států. Bod 117 odůvodnění tohoto nařízení navíc stanoví, že členské státy by měly mít možnost zřídit více než jeden dozorový úřad, aby zohlednily své ústavní, organizační a správní uspořádání.
69 Článek 51 odst. 1 GDPR svěřuje tedy každému členskému státu prostor pro uvážení, který mu umožňuje zřídit tolik dozorových úřadů, kolik vyžadují zejména požadavky týkající se jeho ústavního uspořádání.
70 Je nutné rovněž připomenout, že skutečnost, že se členský stát dovolává ustanovení vnitrostátního práva, nemůže mít vliv na jednotu a účinnost unijního práva. Účinky spojené se zásadou přednosti unijního práva jsou totiž závazné pro všechny orgány členského státu, a zejména tomu nemohou bránit vnitrostátní ustanovení, ani ta ústavní povahy [rozsudek ze dne 22. února 2022, RS (Účinek rozsudků ústavního soudu), C‑430/21, EU:C:2022:99, bod 51 a citovaná judikatura].
71 Vzhledem k tomu, že se členský stát v rámci svého prostoru pro uvážení rozhodl zřídit jediný dozorový úřad, nemůže se dovolávat ustanovení vnitrostátního práva, a to ani v případě, že by byla ústavní povahy, za účelem vynětí zpracování osobních údajů, které spadá do působnosti GDPR, z dohledu tohoto úřadu.
72 S ohledem na výše uvedené je třeba na třetí otázku odpovědět tak, že čl. 77 odst. 1 a čl. 55 odst. 1 GDPR musí být vykládány v tom smyslu, že pokud se členský stát rozhodl v souladu s čl. 51 odst. 1 tohoto nařízení zřídit pouze jeden dozorový úřad, kterému však nepřiznává pravomoc dohlížet na dodržování GDPR vyšetřovacím výborem zřízeným parlamentem tohoto členského státu při výkonu jeho kontrolní pravomoci nad výkonnou mocí, svěřují tomuto úřadu pravomoc rozhodovat o stížnostech týkajících se zpracování osobních údajů prováděného uvedeným vyšetřovacím výborem přímo tato ustanovení.
K nákladům řízení
73 Vzhledem k tomu, že řízení má, pokud jde o účastníky původního řízení, povahu incidenčního řízení ve vztahu ke sporu probíhajícímu před předkládajícím soudem, je k rozhodnutí o nákladech řízení příslušný uvedený soud. Výdaje vzniklé předložením jiných vyjádření Soudnímu dvoru než vyjádření uvedených účastníků řízení se nenahrazují.
Z těchto důvodů Soudní dvůr (velký senát) rozhodl takto:
1) Článek 16 odst. 2 první věta SFEU a čl. 2 odst. 2 písm. a) nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů)
musejí být vykládány v tom smyslu, že
nelze mít za to, že určitá činnost nespadá do působnosti unijního práva, takže se na ni nevztahuje toto nařízení, pouze z toho důvodu, že je vykonávána vyšetřovacím výborem zřízeným parlamentem členského státu při výkonu jeho kontrolní pravomoci vůči moci výkonné.
2) Článek 2 odst. 2 písm. a) nařízení 2016/679 ve spojení s bodem 16 odůvodnění tohoto nařízení
musí být vykládán v tom smyslu, že
činnosti vyšetřovacího výboru zřízeného parlamentem členského státu při výkonu jeho kontrolní pravomoci vůči výkonné moci, jejichž předmětem je vyšetřování činností policejního orgánu ochrany státu z důvodu podezření z politického ovlivňování tohoto orgánu, nelze jako takové považovat za činnosti týkající se národní bezpečnosti, které nespadají do oblasti působnosti unijního práva ve smyslu tohoto ustanovení.
3) Článek 77 odst. 1 a čl. 55 odst. 1 nařízení 2016/679
musejí být vykládány v tom smyslu, že
pokud se členský stát rozhodl v souladu s čl. 51 odst. 1 tohoto nařízení zřídit pouze jeden dozorový úřad, kterému však nepřiznává pravomoc dohlížet na dodržování uvedeného nařízení vyšetřovacím výborem zřízeným parlamentem tohoto členského státu při výkonu jeho kontrolní pravomoci nad výkonnou mocí, svěřují tomuto úřadu pravomoc rozhodovat o stížnostech týkajících se zpracování osobních údajů prováděného uvedeným vyšetřovacím výborem přímo tato ustanovení.
Podpisy