1.

Spadá práce vyšetřovacího výboru parlamentu členského státu do oblasti působnosti nařízení (EU) 2016/679 ( 2 ), a to i v případě, že se vyšetřování týká otázek národní bezpečnosti? Pokud ano, lze ustanovení GDPR týkající se práva podat stížnost vnitrostátnímu dozorovému orgánu použít přímo, navzdory ústavní zásadě zákazu vnějšího zasahování do činnosti parlamentu? To jsou v podstatě otázky, které v projednávané věci položil Verwaltungsgerichtshof (Správní soudní dvůr, Rakousko).

2.

V souladu s judikaturou Soudního dvora navrhnu odpovědět kladně. Domnívám se, že takové řešení odpovídá nejen záměrům unijního normotvůrce, který zavedl GDPR jako skutečný lex generalis v oblasti ochrany osobních údajů, ale také důvodům, na nichž jsou založena ustanovení článku 16 SFEU, jehož působnost zahrnuje dozorové činnosti členských států, jako jsou činnosti dotčené ve věci v původním řízení.

3.

V projednávané věci byl příslušník kriminální policie, WK (dále jen „dotčená osoba“), vyslechnut vyšetřovacím výborem rakouského parlamentu ve věci prohlídek provedených mimo jiné v prostorách Bundesamt für Verfassungsschutz und Terrorismusbekämpfung (Spolkový úřad pro ochranu ústavy a boj proti terorismu, Rakousko, dále jen „BVT“). Zápis ze slyšení byl poté zveřejněn na internetových stránkách rakouského parlamentu s uvedením jména a příjmení dotčené osoby, s odůvodněním, že tisk již odhalil její totožnost.

4.

Vzhledem k tomu, že se dotčená osoba domnívala, že její právo na důvěrnost osobních údajů nebylo dodrženo, podala u Österreichische Datenschutzbehörde (Úřad pro ochranu osobních údajů, Rakousko) stížnost podle čl. 77 odst. 1 GDPR, která však nebyla přezkoumána ve věci samé. S ohledem na zásadu dělby moci zakotvenou v rakouském právu Úřad pro ochranu osobních údajů odmítl svou pravomoc, neboť se domníval, že jeho kontrolním pravomocím v projednávané věci odporuje ústavněprávní nezávislost orgánů parlamentu.

5.

Za těchto okolností podala dotčená osoba žalobu, jejíž výsledek závisí na odpovědích na předběžné otázky položené Soudnímu dvoru. Tyto otázky se v podstatě týkají věcné působnosti a přímého účinku příslušných ustanovení GDPR.

6.

Body 16, 20 a 117 odůvodnění GDPR uvádějí:

[…]

[…]

7.

Článek 2 GDPR, nadepsaný „Věcná působnost“, stanoví:

„1.   Toto nařízení se vztahuje na zcela nebo částečně automatizované zpracování osobních údajů a na neautomatizované zpracování těch osobních údajů, které jsou obsaženy v evidenci nebo do ní mají být zařazeny.

2.   Toto nařízení se nevztahuje na zpracování osobních údajů prováděné:

[…]“

8.

Článek 23 odst. 1 GDPR, nadepsaný „Omezení“, zní:

„Právo Unie nebo členského státu, které se na správce nebo zpracovatele vztahuje, může prostřednictvím legislativního opatření omezit rozsah povinností a práv uvedených v článcích 12 až 22 a v článku 34, jakož i v článku 5, v rozsahu, v jakém ustanovení tohoto článku odpovídají právům a povinnostem stanoveným v článcích 12 až 22, jestliže takové omezení respektuje podstatu základních práv a svobod a představuje nezbytné a přiměřené opatření v demokratické společnosti s cílem zajistit:

[…]

[…]“

9.

Článek 51 GDPR, nadepsaný „Nezávislé dozorové úřady“, v odstavci 1 stanoví:

„Každý členský stát stanoví, že jeden nebo více nezávislých orgánů veřejné moci jsou pověřeny monitorováním uplatňování tohoto nařízení s cílem chránit základní práva a svobody fyzických osob v souvislosti se zpracováním jejich osobních údajů a usnadnit volný pohyb osobních údajů uvnitř Unie (dále jen ‚dozorový úřad‘).“

10.

Článek 55 GDPR, nadepsaný „Příslušnost“, zní takto:

„1.   Každý dozorový úřad je na území svého členského státu příslušný k plnění úkolů a výkonu pravomocí, které mu byly svěřeny v souladu s tímto nařízením.

[…]

3.   Dozorové úřady nejsou příslušné k dozoru nad operacemi zpracování, které provádějí soudy jednající v rámci svých soudních pravomocí.“

11.

Článek 77 GDPR, nadepsaný „Právo podat stížnost u dozorového úřadu“, v odstavci 1 stanoví:

„Aniž jsou dotčeny jakékoliv jiné prostředky správní nebo soudní ochrany, má každý subjekt údajů právo podat stížnost u některého dozorového úřadu, […] pokud se subjekt údajů domnívá, že zpracováním jeho osobních údajů je porušeno toto nařízení.“

12.

Článek 53 Bundes-Verfassungsgesetz (spolkový ústavní zákon, dále jen „B-VG“) ze dne 2. ledna 1930 (BGBl. 1/1930), ve znění ze dne 30. prosince 2021 (BGBl. I 235/2021), stanoví:

„(1) Nationalrat [Národní rada, dolní komora rakouského parlamentu] může rozhodnout o zřízení vyšetřovacích výborů. Kromě toho se na žádost jedné čtvrtiny jejích členů zřídí vyšetřovací výbor.

(2) Vyšetřování se týká minulé činnosti v oblasti výkonné moci na spolkové úrovni. Vztahuje se na všechny činnosti spolkových orgánů, jejichž prostřednictvím vykonává Bund [spolková republika] bez ohledu na míru své účasti účastnická a kontrolní práva. Opětovný přezkum judikatury je vyloučen.

(3) Všechny orgány Spolku, spolkových zemí, obcí a svazků obcí a jiných samosprávných celků jsou povinny na požádání předložit vyšetřovacímu výboru své spisy a dokumenty, pokud se vztahují k předmětu vyšetřování, a jsou povinny vyhovět žádostem vyšetřovacího výboru o shromáždění důkazů vztahujících se k předmětu vyšetřování. […]

[…]“

13.

Ustanovení § 18 Datenschutzgesetz (zákon o ochraně osobních údajů) ze dne 17. srpna 1999 (BGBl. I 165/1999), ve znění ze dne 26. července 2021 (BGBl. I 148/2021, dále jen „DSG“), nadepsaný „Organizace“, v odstavci 1 stanoví:

„Úřad pro ochranu osobních údajů je zřízen jako vnitrostátní dozorový úřad v souladu s článkem 51 [GDPR].“

14.

Ustanovení § 24 DSG, nadepsaného „Stížnost u Úřadu pro ochranu osobních údajů“, má toto znění:

„(1) Každý subjekt údajů má právo podat stížnost u Úřadu pro ochranu osobních údajů, jestliže se domnívá, že při zpracování osobních údajů, které se ho týkají, bylo porušeno GDPR […]“

15.

Ustanovení § 35 DSG, nadepsaného „Zvláštní pravomoci úřadu pro dozor nad ochranou údajů“, v odst. 1 stanoví:

„Úkolem Úřadu pro ochranu osobních údajů je zajistit ochranu údajů v souladu s ustanoveními GDPR a tohoto spolkového zákona.“

16.

Dne 20. dubna 2018 zřídila dolní komora rakouského parlamentu vyšetřovací výbor, který má prošetřit údajné ovlivňování BVT s cílem ovlivnit jeho činnost. Tvrzení poslanců, z nichž vzešla žádost o šetření, se týkala zejména případů zneužití pravomoci, které jsou přisuzovány pracovníkům BVT, údajného odposlechu kanceláří spolkového kancléřství, údajného ovlivňování vyšetřování zaměřených na některá extremistická hnutí, jakož i politicky motivovaných jmenování v rámci BVT a v ministerských kabinetech.

17.

Dne 19. září 2018 byla dotčená osoba vyslechnuta vyšetřovacím výborem jako svědek. Byl vyslýchán jakožto příslušník složky spolkové policie pro boj s pouliční kriminalitou ohledně prohlídek a zabavování dat, které jeho útvar prováděl v kancelářích BVT a v místech bydliště jeho zaměstnanců.

18.

Navzdory postupu, který byl použit v případě některých jiných svědků, a navzdory žádosti dotčené osoby o zachování anonymity vyšetřovací výbor odhalil její totožnost zveřejněním plného znění zápisu ze slyšení na internetových stránkách rakouského parlamentu.

19.

Stížnost, kterou dotčená osoba podala u Úřadu pro ochranu osobních údajů podle čl. 77 odst. 1 GDPR, byla odmítnuta z důvodu nepříslušnosti. Ve svém rozhodnutí ze dne 18. září 2019 tento orgán argumentoval tím, že zásada dělby moci mu brání zasahovat do činnosti orgánu parlamentu.

20.

Odvolání podanému dotčenou osobou proti rozhodnutí ze dne 18. září 2019 vyhověl Bundesverwaltungsgericht (Spolkový správní soud, Rakousko) rozsudkem ze dne 23. listopadu 2020. Tento soud rozhodnutí Úřadu pro ochranu osobních údajů zrušil s odůvodněním, že ustanovení GDPR nestanoví výjimky, které by mohly omezit rozsah jeho působnosti ve vztahu k orgánům zákonodárné moci.

21.

Úřad pro ochranu osobních údajů podal proti tomuto rozsudku opravný prostředek Revision k Verwaltungsgerichtshof (Správní soudní dvůr), který si klade otázku, zda lze v původním řízení použít ustanovení GDPR.

22.

Zaprvé – a bez ohledu na předmět vyšetřování v původním řízení – se předkládající soud zamýšlí nad tím, zda činnost parlamentního vyšetřovacího výboru „[spadá] do oblasti působnosti práva Unie“ ve smyslu čl. 16 odst. 2 SFEU. Toto ustanovení vymezuje pravomoc Evropského parlamentu a Rady přijímat pravidla pro zpracování osobních údajů členskými státy.

23.

V tomto ohledu si předkládající soud klade otázku, zda se má GDPR vztahovat na činnost parlamentního orgánu pověřeného politickou kontrolou, která zřejmě není upravena žádným zvláštním ustanovením unijního práva, pokud jsou pravomoci Unie i na základě zásady svěření pravomocí omezeny.

24.

V zájmu zachování národní identity a základních funkcí členských států v souladu s čl. 4 odst. 2 SEU předkládající soud dále konstatuje, že zasahování správního orgánu, jako je Úřad pro ochranu osobních údajů, do činnosti parlamentu je v rozporu se zásadou dělby moci zakotvenou v rakouské ústavě.

25.

S ohledem na rozsudek ve věci Land Hessen ( 3 ), v němž Soudní dvůr potvrdil, že ustanovení GDPR se vztahují na činnost petičního výboru hesenského parlamentu, si předkládající soud konečně klade otázku, zda se úkoly petičního výboru, jehož přínos pro parlamentní práci je pouze nepřímý, neliší od úkolů vyšetřovacích výborů. Podle jeho názoru jsou tyto úkoly podstatou činnosti parlamentu a jako takové nemusí spadat do oblasti působnosti unijního práva.

26.

Zadruhé, pokud by Soudní dvůr rozhodl, že ustanovení GDPR mají upravovat činnost vyšetřovacích výborů, se předkládající soud zamýšlí nad tím, zda by výbor dotčený ve věci v původním řízení neměl být z těchto ustanovení vyňat, jelikož předmět jeho činnosti souvisí s otázkami národní bezpečnosti.

27.

V této souvislosti předkládající soud připomíná, že podle bodu 16 odůvodnění GDPR se toto nařízení nevztahuje na „činnosti týkající se národní bezpečnosti“. To by podle něj mohl být případ vyšetřování politických tlaků na BVT, který je spolkovým orgánem odpovědným za zajištění základních funkcí státu.

28.

Zatřetí v případě, že Soudní dvůr dospěje k závěru, že ustanovení GDPR jsou v projednávané věci přesto použitelná, si předkládající soud klade otázku ohledně přímé použitelnosti tohoto nařízení.

29.

Vzhledem k tomu, že neexistuje odpovídající odchylka ústavní povahy, zůstává pravomoc Úřadu pro ochranu osobních údajů omezena zásadou dělby moci, která je vůdčí zásadou rakouského práva. Předkládající soud si proto klade otázku, zda pravomoc tohoto orgánu ve vztahu k orgánům rakouského parlamentu může vyplývat přímo z ustanovení čl. 77 odst. 1 ve spojení s čl. 55 odst. 1 GDPR v situaci, kdy vnitrostátní zákonodárce zřídil pouze jeden dozorový úřad podle čl. 51 odst. 1 tohoto nařízení.

30.

Za těchto okolností se Verwaltungsgerichtshof (Správní soudní dvůr) rozhodl přerušit řízení a položit Soudnímu dvoru následující předběžné otázky:

V případě kladné odpovědi na první otázku:

V případě záporné odpovědi na druhou otázku:

31.

Písemná vyjádření předložila dotčená osoba, Präsident des Nationalrates (předseda Národní rady, Rakousko), Úřad pro ochranu osobních údajů, rakouská a česká vláda, jakož i Evropská komise. Titíž zúčastnění byli přítomni na jednání, které se konalo dne 6. března 2023.

32.

Svou první otázkou se předkládající soud táže, zda činnost vyšetřovacího výboru zřízeného parlamentem členského státu v rámci výkonu jeho práva na kontrolu moci výkonné spadá do oblasti působnosti unijního práva ve smyslu čl. 16 odst. 2 první věty SFEU.

33.

Odpověď na tuto otázku závisí na jedné straně na výkladu pojmu „činnosti spadající do oblasti působnosti práva Unie“ uvedeného v čl. 16 odst. 2 první větě SFEU. Tento pojem je rovněž negativně formulován v ustanovení čl. 2 odst. 2 písm. a) GDPR, které z působnosti tohoto nařízení vyjímá „[činnosti], které nespadají do působnosti práva Unie“. Tato dvě ustanovení vymezují pravomoc orgánů Unie přijímat pravidla pro ochranu osobních údajů a věcnou působnost GDPR.

34.

Na druhé straně odpověď na první předběžnou otázku závisí na tom, jak má být činnost parlamentních vyšetřovacích výborů klasifikována ve světle výše uvedených ustanovení SFEU a GDPR.

35.

Jak jsem se pokusil ukázat v jiné věci ( 4 ), tento pojem není jednoznačný, neboť se nabízí dva různé výklady. Vzhledem k rozporům, které jeho výklad vyvolal v projednávané věci, a to navzdory ustálené judikatuře Soudního dvora ( 5 ), mám za to, že je nezbytné uvést v plném rozsahu důvody, jimiž byl veden vývoj judikatury v této oblasti.

36.

První z možných výkladů pojmu „oblast působnosti práva Unie“ lze označit za konkretizující v tom smyslu, že vede k otázce, zda se na danou činnost vztahuje konkrétní ustanovení unijního práva.

37.

Tento výklad v podstatě odpovídá pojmu „uplatňování práva Unie“, který vymezuje oblast působnosti Listiny základních práv Evropské unie (dále jen „Listina“). V jiném kontextu, než je ochrana osobních údajů, je tento pojem v judikatuře Soudního dvora stavěn na roveň pojmu „oblast působnosti unijního práva“ ( 6 ).

38.

Předkládající soud se ve své žádosti o rozhodnutí o předběžné otázce opírá o tento výklad a konstatuje, že činnost parlamentních vyšetřovacích výborů se nadále řídí výlučně vnitrostátním právem, což jej vede k pochybnostem o tom, zda se má GDPR v původním řízení použít.

39.

Tento výklad použil také generální advokát Tizzano ve svém stanovisku ve spojených věcech Österreichischer Rundfunk a další ( 7 ) a ve věci Lindqvist ( 8 ), a to v souvislosti se směrnicí 95/46/ES ( 9 ), kterým se Soudní dvůr neřídil.

40.

Je důležité připomenout, že směrnice 95/46 byla přijata na základě dřívějšího článku 100 A Smlouvy o ES, poté článku 95 ES a nyní článku 114 SFEU, jako součást opatření zaměřených na vytvoření a fungování vnitřního trhu. Tato směrnice, jejímž cílem bylo zajistit volný pohyb a rovnocennou úroveň ochrany osobních údajů v rámci Unie, se podle čl. 3 odst. 2 nevztahovala na činnosti, které „nespadají do oblasti působnosti práva Společenství a jsou uvedeny v hlavě V a VI Smlouvy o Evropské unii, a v každém případě na zpracování, které se týká veřejné bezpečnosti, obrany, bezpečnosti státu […] a činnosti státu v oblasti trestního práva“, jakož i na zpracování údajů prováděné „fyzickou osobou pro výkon výlučně osobních či domácích činností“.

41.

Na základě těchto ustanovení dospěl generální advokát Tizzano k závěru, že směrnici 95/46 nelze použít ve spojených věcech Österreichischer Rundfunk a další ( 10 ). V souvislosti se zpracováním údajů o odměnách vyplácených veřejnoprávními subjekty, které měly být zahrnuty do zprávy zaslané rakouskému parlamentu rakouským účetním dvorem, se tak domníval, že rakouský účetní dvůr v tomto případě vykonával „činnost veřejné kontroly, kterou rakouské orgány zajišťují a upravují (dokonce prostřednictvím ústavního zákona) na základě autonomního rozhodnutí politické a institucionální povahy, které učinily, a nikoli za účelem splnění povinnosti Společenství. Vzhledem k tomu, že tato činnost nepodléhá žádné zvláštní právní úpravě Společenství, spadá nutně do pravomoci členských států“ ( 11 ).

42.

V souvislosti se stejným výkladem ve věci Lindqvist se generální advokát Tizzano domníval, že internetová stránka vytvořená paní Lindqvist v rámci její dobrovolné činnosti katechetky je „činností nehospodářské povahy, která nemá žádnou souvislost (nebo alespoň žádnou přímou souvislost) s výkonem základních svobod zaručených Smlouvou a nepodléhá žádné zvláštní právní úpravě na úrovni Společenství“ ( 12 ). Podle generálního advokáta proto tato činnost nespadala do oblasti působnosti práva Společenství ve smyslu čl. 3 odst. 2 směrnice 95/46.

43.

Těmito závěry se Soudní dvůr neřídil z důvodů, které lze dát do souvislosti se záměrem zachovat právní jistotu a potřebou zajistit užitečný účinek směrnice 95/46.

44.

Vzhledem ke specifické povaze osobních údajů, jejichž oběh a ekonomické využití usnadňuje jejich digitalizace, je totiž v praxi velmi obtížné v jednotlivých případech určit, zda jejich zpracování souvisí s konkrétními ustanoveními unijního práva nebo se svobodami upravujícími vnitřní trh, jak by vyžadoval konkretizující výklad.

45.

Na příkladu věci, v níž byl vydán rozsudek Lindqvist ( 13 ), by bylo v praxi obtížné určit, zda provoz internetových stránek určených pro omezený okruh farníků má konkrétní souvislost s ustanoveními směrnice 95/46 o volném pohybu údajů mezi členskými státy na společném trhu. Odpověď na tuto otázku může mimo jiné záviset na fyzickém umístění serverů, na kterých jsou dané internetové stránky umístěny ( 14 ).

46.

Dodávám, že potíže podobného charakteru by pravděpodobně vznikly, pokud by v projednávané věci převážil konkretizující výklad v souvislosti s GDPR.

47.

Pro ilustraci lze uvést, že by bylo obtížné přesně určit, do jaké míry se na činnosti některých správců údajů – jako jsou církve nebo náboženská sdružení, na něž se toto nařízení výslovně vztahuje ( 15 ) – nadále skutečně vztahují zvláštní ustanovení unijního práva ( 16 ). Stejná otázka by mohla vyvstat u neziskových organizací, které nevykonávají hospodářskou činnost. To by vedlo k právní nejistotě, pokud jde o oblast působnosti GDPR.

48.

Vzhledem k těmto obtížím Soudní dvůr odmítl konkretizující výklad „oblasti působnosti práva Společenství“ v souvislosti se směrnicí 95/46. V rozsudcích Österreichischer Rundfunk a další ( 17 ) a Lindqvist ( 18 ) Soudní dvůr rozhodl, že „[p]rotože jakýkoli osobní údaj je způsobilý pohybovat se mezi členskými státy, směrnice 95/46 v zásadě ukládá povinnost dodržovat pravidla o ochraně těchto údajů v souvislosti s jakýmkoli zpracováním těchto údajů tak, jak je vymezeno v článku 3 této směrnice. […] Za těchto podmínek nemůže použitelnost směrnice 95/46 záviset na otázce, zda mají konkrétní dotčené situace […] dostatečnou spojitost s výkonem základních svobod zajištěných Smlouvou[…]. V případě opačného výkladu by totiž hrozilo nebezpečí, že by se omezení působnosti této směrnice stala neurčitými a nahodilými, což by bylo v rozporu se základním cílem této směrnice, kterým je sblížit právní a správní předpisy členských států, aby byly vyloučeny překážky fungování vnitřního trhu způsobené rozdíly mezi vnitrostátním zákonodárstvím“ ( 19 ).

49.

V judikatuře Soudního dvora tak převládl „zobecňující“ výklad směrnice 95/46.

50.

Tento výklad vede k tomu, že do oblasti působnosti unijního práva jsou zahrnuty všechny činnosti, které do ní mohou spadat v tom smyslu, že z ní nebyly vyloučeny z důvodu výlučných pravomocí členských států.

51.

V souvislosti se směrnicí 95/46 vedl tento výklad Soudní dvůr k uplatňování restriktivního výkladu výjimky pro činnosti, které nespadají do oblasti působnosti práva Společenství. V rozsudku Lindqvist tak Soudní dvůr konstatoval, že „činnosti příkladmo uvedené v čl. 3 odst. 2 první odrážce směrnice 95/46 slouží k vymezení rozsahu tam stanovené výjimky, takže se tato výjimka vztahuje pouze na činnosti, které jsou buď takto výslovně uvedeny, nebo které lze zařadit do téže kategorie (ejusdem generis)“ ( 20 ).

52.

Před vstupem Lisabonské smlouvy v platnost spadaly činnosti, na které se tato výjimka vztahuje – týkající se veřejné bezpečnosti, obrany, bezpečnosti státu, trestních věcí, jakož i činností uvedených v hlavách V a VI Smlouvy o Evropské unii – do druhého a třetího pilíře Unie a jako takové podléhaly mezivládní spolupráci. Tyto činnosti proto nemohly být regulovány na úrovni Společenství vzhledem k rozdělení pravomocí mezi Unií a členskými státy, jak bylo stanoveno v tehdy platných Smlouvách.

53.

V tomto kontextu je tedy třeba chápat vyloučení „činností, které nespadají do oblasti působnosti práva Společenství“ obsažené v čl. 3 odst. 2 první odrážce směrnice 95/46. Působnost GDPR přitom byla vymezena podobně.

54.

Podle čl. 2 odst. 2 písm. a) až d) GDPR se toto nařízení nevztahuje na zpracování osobních údajů prováděné „a) při výkonu činností, které nespadají do oblasti působnosti práva Unie; b) členskými státy při výkonu činností, které spadají do oblasti působnosti hlavy V kapitoly 2 Smlouvy o EU; c) fyzickou osobou v průběhu výlučně osobních či domácích činností; d) příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, včetně ochrany před hrozbami pro veřejnou bezpečnost a jejich předcházení“. Na tento druhý typ zpracování se vztahují ustanovení směrnice (EU) 2016/680 ( 21 ).

55.

Podle bodu 16 odůvodnění GDPR patří mezi činnosti, které nespadají do oblasti působnosti unijního práva, mimo jiné činnosti týkající se národní bezpečnosti.

56.

Na základě všech těchto ustanovení Soudní dvůr v rozsudku Land Hessen rozhodl, že výjimka uvedená v čl. 2 odst. 2 písm. a) GDPR, která se vztahuje na „činnosti, které nespadají do oblasti působnosti práva Unie“, musí být vykládána restriktivně, takže „[s]kutečnost, že se jedná o činnost státu nebo orgánu veřejné moci […] nepostačuje k tomu, aby se tato výjimka na takovou činnost automaticky vztahovala. Je totiž nutné, aby tato činnost patřila mezi činnosti, které jsou výslovně uvedeny ve zmíněném ustanovení, nebo které lze zařadit do téže kategorie jako tyto činnosti“ ( 22 ).

57.

Žádný z argumentů vznesených v projednávané věci nemůže podle mého názoru tento výklad zpochybnit.

58.

Zejména nesouhlasím s argumenty založenými na zásadě svěření pravomocí, které vznesl zejména předkládající soud a předseda Národní rady.

59.

V souladu se zásadou svěření pravomocí stanovenou v čl. 5 odst. 2 SEU ( 23 ) má Unie pouze ty pravomoci, které jí byly svěřeny členskými státy ve Smlouvách.

60.

Z čistě lexikálního hlediska je pojem „činnosti spadající do oblasti působnosti práva Unie“ v tomto ohledu nejednoznačný. Na první pohled se může zdát, že zobecňující výklad tohoto pojmu přijatý v judikatuře Soudního dvora je pochybný, neboť vede k tomu, že se na všechny činnosti, které nebyly z tohoto nařízení vyjmuty, vztahují ustanovení GDPR, což se zdá být v rozporu s výše připomenutou zásadou.

61.

Avšak podle ustálené judikatury je při výkladu ustanovení unijního práva třeba vzít v úvahu nejen jeho znění a cíle, které sleduje, ale i jeho kontext a ustanovení unijního práva jako celku. Historie vzniku ustanovení unijního práva může rovněž poskytnout informace relevantní pro jeho výklad ( 24 ).

62.

Pomineme-li přitom doslovný výklad, který se mi vzhledem k nejednoznačnému obsahu pojmu „oblast působnosti práva Unie“ jeví jako nepřesvědčivý, kontextuální analýza ( 25 ) a teleologická analýza jasně hovoří ve prospěch zobecňujícího výkladu čl. 16 odst. 2 SFEU, takže oblast působnosti tohoto ustanovení přesahuje oblast „uplatňování práva Unie“ ve smyslu čl. 51 odst. 1 Listiny.

63.

Zaprvé je tento závěr třeba učinit s ohledem na systém SFEU a zvláštní místo čl. 16 odst. 2 ve struktuře této smlouvy.

64.

Dotčený článek je obsažen v hlavě II části I SFEU, která obsahuje „obecně použitelná ustanovení“. Z toho vyplývá, že právo jednotlivců na ochranu osobních údajů zakotvené v tomto ustanovení má mimořádný význam ve vztahu k ostatním základním právům, která našla své místo v Listině připojené ke Smlouvě.

65.

Konkrétně výsadní postavení článku 16 SFEU v systému Smlouvy naznačuje, že „oblast působnosti“ uvedená v tomto ustanovení není omezena na situace, kdy členské státy „uplatňují právo Unie“ ve smyslu čl. 51 odst. 1 Listiny, což by odpovídalo výše uvedenému konkretizujícímu výkladu.

66.

V této souvislosti bych rád zdůraznil rozdíl v povaze ustanovení čl. 16 odst. 2 SFEU a ustanovení Listiny.

67.

Podle čl. 51 odst. 2 Listiny tato listina „nevytváří žádnou novou pravomoc či úkol pro Unii, ani nemění pravomoc a úkoly stanovené ve Smlouvách“. Její ustanovení jsou určena členským státům, pokud provádějí právo Unie v oblastech, které již spadají do oblasti působnosti tohoto práva.

68.

Jinak je tomu v případě čl. 16 odst. 2 SFEU, jehož ustanovení zakládají a přenášejí na Unii legislativní pravomoc v oblasti ochrany a volného pohybu osobních údajů a vymezují pro tento účel konkrétní oblast působnosti na základě ustanovení směrnice 95/46, jak dokládá historie vzniku tohoto ustanovení.

69.

Zadruhé je z přípravných prací na Lisabonské smlouvě zřejmé, že autoři SFEU měli v úmyslu potvrdit oblast působnosti pravidel pro ochranu osobních údajů, jak byla vymezena ve směrnici 95/46.

70.

V této souvislosti je třeba připomenout, že obsah článku 16 SFEU je přímo inspirován návrhem Smlouvy o Ústavě pro Evropu, jejíž čl. 36a odst. 2 (nyní čl. 50 odst. 2, v konečném znění návrhu ze dne 18. července 2003 ( 26 )) stanovil pravomoc Parlamentu a Rady přijímat „pravidla o ochraně fyzických osob při zpracovávání osobních údajů orgány a institucemi Unie, jakož i členskými státy, pokud vykonávají činnosti spadající do oblasti působnosti práva Unie, a pravidla o volném pohybu těchto údajů“ ( 27 ) (neoficiální překlad).

71.

Podle vysvětlení, které poskytli jeho autoři, je přitom „cílem návrhu článku 36a vytvořit jednotný právní základ pro ochranu osobních údajů, a to pro ochranu těchto údajů jak ze strany orgánů, tak ze strany členských států, pokud jednají v oblasti, která spadá do působnosti práva Unie. Text vychází ze stávajícího režimu Společenství, který vyplývá ze [směrnice 95/46] (na základě článku 95 Smlouvy o ES), pokud jde o opatření členských států“ ( 28 ).

72.

Z toho jasně vyplývá, že pokud by byl pojem „oblast působnosti práva Unie“ uvedený v čl. 2 odst. 2 písm. a) GDPR vykládán tak, že by omezoval použití tohoto nařízení ve srovnání se směrnicí 95/46, bylo by to v rozporu s vůlí členských států vyjádřenou v SFEU.

73.

Zatřetí je třeba zohlednit teleologické úvahy spojené se specifickou dynamikou a cíli ochrany osobních údajů, v jejichž rámci bylo GDPR přijato.

74.

Z tohoto pohledu není pochyb o tom, že se unijní normotvůrce snažil tuto ochranu posílit a konsolidovat oblast působnosti příslušných pravidel. Svědčí o tom záměrné nahrazení směrnice 95/46 závaznějším právním rámcem, a výslovně obsah bodů 9, 11 a 13 odůvodnění GDPR.

75.

Cíle sledované tímto opatřením vyplývají ze specifické povahy jevu zpracování osobních údajů, který přesahuje rámec činností, při nichž mohou být tyto údaje shromažďovány.

76.

Navíc tyto činnosti nejsou nutně hospodářskými činnostmi, které již podléhají pravidlům unijního práva upravujícím vnitřní trh, což nijak nesnižuje tržní hodnotu shromažďovaných údajů a neodstraňuje rizika spojená s jejich zpracováním.

77.

V tomto ohledu má problematika osobních údajů průřezovou povahu, takže pravidla týkající se jejich ochrany nelze omezit na oblast působnosti již existujících kategorií unijního práva.

78.

Jinými slovy, pokud „oblast působnosti práva Unie“ uvedená v čl. 16 odst. 2 SFEU jde nad rámec předpokladu „uplatňování práva Unie“ ve smyslu čl. 51 odst. 1 Listiny, je to z důvodu autonomní povahy otázek spojených se zpracováním osobních údajů, které si vyžádaly vlastní legislativní zásah, jehož rozsah přesahuje souhrn již existujících ustanovení unijního práva. Z tohoto pohledu odráží široká oblast působnosti GDPR snahu reagovat na výzvy v oblasti ochrany osobních údajů přijetím systému „šitého na míru“.

79.

Vzhledem ke shodnosti závěrů, které vyplývají z kontextuální a teleologické analýzy čl. 16 odst. 2 SFEU, navrhuji, aby Soudní dvůr potvrdil svou předchozí judikaturu ( 29 ), a to přijetím striktního výkladu výjimky týkající se „činností, které nespadají do oblasti působnosti práva Unie“ obsažené v čl. 2 odst. 2 písm. a) GDPR.

80.

S ohledem na tento výklad navrhuji, aby Soudní dvůr posoudil použitelnost tohoto nařízení na činnost parlamentního vyšetřovacího výboru, o který se jedná v původním řízení.

81.

Považuji za nutné učinit úvodní poznámku ke způsobu, jakým příslušná ustanovení GDPR vymezují oblast působnosti tohoto nařízení.

82.

Je třeba zdůraznit, že organické nebo institucionální aspekty týkající se povahy orgánů nebo osob odpovědných za zpracování osobních údajů mají při vymezování oblasti působnosti GDPR druhořadý význam.

83.

Na jedné straně je oblast působnosti GDPR založena na věcném pojmu „zpracování“ osobních údajů podle čl. 2 odst. 1 tohoto nařízení. Organický pojem „správce“ obsažený v čl. 4 bodě 7 GDPR má z tohoto hlediska pouze pomocnou povahu, neboť je v podstatě založen na věcném pojetí pojmu zpracování. Ačkoli definice správce odkazuje na „fyzickou nebo právnickou osobu, orgán veřejné moci, agenturu nebo jiný subjekt“, tento odkaz znamená neutralizaci organických kritérií pro účely jeho použití.

84.

Na druhé straně, ačkoli ustanovení omezující věcnou působnost GDPR, která jsou obsažena v čl. 2 odst. 2 tohoto nařízení, odkazují na určité kategorie osob nebo orgánů, konkrétně na členské státy, fyzické osoby a orgány příslušné v trestních věcech, vždy se jedná o činnosti, které nespadají do oblasti působnosti tohoto nařízení. Z působnosti GDPR tedy nejsou vyňaty fyzické osoby jako takové, ale pouze některé jejich činnosti.

85.

Druhořadý význam institucionálních kritérií potvrzuje i způsob, jakým jsou definovány dílčí odchylky, které omezují působnost konkrétních ustanovení GDPR. Pro ilustraci ( 30 ), pokud jsou soudy vyjmuty z pravomoci vnitrostátních dozorových úřadů podle čl. 55 odst. 3 GDPR, je to pouze v rozsahu, v jakém jednají v rámci svých soudních pravomocí. Rozsah této výjimky tedy není dán postavením justičních orgánů, ale zvláštní povahou jejich činnosti.

86.

Vzhledem k tomu, že GDPR neobsahuje žádné ustanovení, které by bylo výslovně zaměřeno na parlamentní orgány, vyplývá z této skutečnosti podle mého názoru, že pro použitelnost tohoto nařízení není rozhodující status parlamentního orgánu podle rakouského práva, ale povaha činností takového orgánu.

87.

S ohledem na všechny aspekty, na které byl Soudní dvůr upozorněn, se domnívám, že úkoly svěřené tomuto výboru lze kvalifikovat jako činnost veřejné kontroly zahrnující výkon veřejné moci.

88.

Tato kvalifikace vyplývá ze samotného obsahu první a druhé předběžné otázky, které se týkají činností vykonávaných v rámci kontroly moci výkonné. Podle vysvětlení předkládajícího soudu je „účelem vyšetřovacích výborů objasnit určité otázky pro politické účely […]. V tomto ohledu je na vyšetřovacích výborech, aby plnily svou ústavou svěřenou kontrolní úlohu“ ( 31 ).

89.

Tuto kvalifikaci potvrzují i písemná vyjádření předložená Soudnímu dvoru ( 32 ).

90.

S ohledem na vysvětlení, která během jednání poskytl předseda Národní rady, je rovněž zřejmé, že dotčený vyšetřovací výbor má jako orgán veřejné moci určité výsady, jako je právo předvolat svědky nebo získat přístup k dokumentům týkajícím se předmětu jeho činnosti, které doplňuje pravomoc ukládat finanční sankce, aby byl zajištěn řádný průběh vyšetřování.

91.

Podle všeho však, že panují určité nejasnosti ohledně legislativní povahy činnosti tohoto výboru a jejích možných důsledků pro použitelnost GDPR.

92.

Předseda Národní rady v této souvislosti poznamenává, že „vyšetřovací výbory jsou organizačně i funkčně součástí zákonodárné moci. Úkony prováděné vyšetřovacími výbory nebo jejich jménem tedy spadají do legislativní funkce státu“ ( 33 ). Podle názoru tohoto orgánu z toho vyplývá, že „činnost vyšetřovacího výboru se proto počítá mezi stěžejní oblast vnitrostátní legislativy a jakožto (kontrolní) činnost výlučně parlamentní a politické povahy spadá pod výjimku stanovenou v čl. 2 odst. 2 písm. a) GDPR“ ( 34 ).

93.

K těmto tvrzením mám tři poznámky.

94.

Zaprvé bez ohledu na možnou účast vyšetřovacích výborů na legislativní činnosti bych rád zdůraznil, že legislativní nebo parlamentní činnosti nebyly vyňaty z působnosti GDPR ( 35 ), a to na rozdíl od činností souvisejících s výkonem soudních funkcí, na které se vztahuje dílčí výjimka stanovená v čl. 55 odst. 3 tohoto nařízení.

95.

V tomto ohledu mám na rozdíl od některých dotčených osob pochybnosti, zda lze tuto výjimku vykládat analogicky tak, že se na legislativní funkce rozšíří výjimka, která se vztahuje na funkce soudní. Naopak, pokud by výjimka obsažená v čl. 55 odst. 3 GDPR měla být inspirací pro úvahy Soudního dvora v projednávané věci, mohla by vést pouze k výkladu a contrario. S ohledem na širokou oblast působnosti GDPR nelze výjimku pro soudní funkce vykládat extenzivně.

96.

Zadruhé se domnívám, že žádný z aspektů, na které Soudní dvůr upozornil, neumožňuje tvrdit, že činnost vyšetřovacího výboru v původním řízení měla legislativní funkci.

97.

Dotčený vyšetřovací výbor není zejména oprávněn k zákonodárné iniciativě a žádným jiným způsobem se nepodílí na legislativní činnosti rakouského parlamentu. Navíc, i když závěrečná zpráva z vyšetřování může být pro zákonodárce zdrojem inspirace, nedomnívám se, že by tato okolnost propůjčovala jeho činnosti legislativní povahu. Činnost některých mimoparlamentních orgánů – například rakouského účetního dvora, jehož zprávy jsou předávány parlamentu – může zákonodárce rovněž inspirovat, aniž by přicházelo v úvahu je z tohoto důvodu spojovat s výkonem zákonodárné moci.

98.

Zatřetí bez ohledu na možný význam institucionálních hledisek podle rakouského práva zůstávají tato hlediska pro použitelnost GDPR irelevantní, takže organizační spojení parlamentního vyšetřovacího výboru nemůže být pro odpověď na první předběžnou otázku rozhodující.

99.

S ohledem na výše uvedené úvahy vyvstává otázka, zda činnosti parlamentního vyšetřovacího výboru v oblasti veřejné kontroly spadají do působnosti GDPR.

100.

Podle mého názoru je třeba na tuto otázku odpovědět kladně, a to ze tří hlavních důvodů.

101.

Zpracování osobních údajů prováděné dotčeným výborem spadá zaprvé pod věcný pojem „zpracování“, jak je definován v čl. 2 odst. 1 GDPR. Tuto kvalifikaci nezpochybňuje žádná ze zúčastněných stran v projednávané věci.

102.

Zadruhé činnost veřejné kontroly spadá do oblasti působnosti práva Unie ve smyslu ustanovení čl. 16 odst. 2 SFEU a čl. 2 odst. 2 písm. a) GDPR, jak jsou vykládána v judikatuře Soudního dvora, zejména pokud žádné ustanovení tohoto nařízení nevyjímá tuto činnost z jeho působnosti.

103.

Naopak kontrolní činnost je výslovně uvedena v čl. 23 odst. 1 písm. h) nařízení GDPR, který stanoví možnost omezit rozsah některých práv a povinností stanovených v nařízení, pokud je takové omezení nezbytné k zajištění výkonu „monitorovací, inspekční nebo regulační funkce spojené, i pouze příležitostně, s výkonem veřejné moci“, a to v určitých případech stanovených v tomto ustanovení.

104.

Z toho vyplývá, že ustanovení GDPR mají upravovat činnost veřejné kontroly, i když pro tento účel mohou být stanovena zvláštní opatření. Případné omezení ochrany vyplývající ze GDPR však nevede k vyloučení uplatnění tohoto nařízení.

105.

A konečně zatřetí vzhledem k obecnému rozdělení pravomocí mezi Unií a členskými státy nic nenasvědčuje tomu, že by činnosti veřejné kontroly byly vyhrazeny členským státům.

106.

Jako konkrétní příklad parlamentní kontroly lze uvést dvojí vyšetřování tzv. aféry „Dieselgate“, které současně zahájil Evropský parlament ( 36 ) a německý Spolkový sněm (Bundestag) a jež dobře ilustruje souběh pravomocí v této oblasti.

107.

Lze namítnout, že oblast působnosti práva Unie zahrnuje pouze ty kontrolní činnosti, které jsou relevantní pro uplatňování unijního práva.

108.

Takový přístup by však znamenal znovuzavedení konkretizujícího výkladu pojmu „oblast působnosti práva Unie“, a představoval by tak stejné riziko právní nejistoty. Vzhledem k samotné povaze parlamentního vyšetřování, jehož cílem je objasnit dané okolnosti, je podle mého názoru obtížné předem určit, zda má činnost vyšetřovacího výboru konkrétní souvislost s uplatňováním ustanovení unijního práva ( 37 ).

109.

V této souvislosti je třeba vzít v úvahu cíl právní jistoty, který sledují ustanovení GDPR, jejichž úkolem je zabránit roztříštěnosti v provádění ochrany údajů v celé Unii ( 38 ).

110.

S ohledem na tento cíl a v souladu s řešením, které Soudní dvůr přijal v rozsudku Österreichischer Rundfunk a další ( 39 ), v němž rozhodoval ve vztahu ke směrnici 95/46, by měla být oblast působnosti GDPR vykládána tak, že zahrnuje činnosti veřejné kontroly bez ohledu na jejich vztah k uplatňování konkrétních ustanovení unijního práva.

111.

S ohledem na výše uvedené navrhuji odpovědět na první předběžnou otázku tak, že činnost vyšetřovacího výboru zřízeného parlamentem členského státu v rámci výkonu jeho práva na kontrolu moci výkonné spadá do oblasti působnosti práva Unie ve smyslu čl. 16 odst. 2 první věty SFEU.

112.

Svou druhou otázkou se předkládající soud ptá, zda činnost vyšetřovacího výboru v původním řízení spadá pod výjimku stanovenou v čl. 2 odst. 2 písm. a) GDPR ve světle bodu 16 odůvodnění tohoto nařízení s ohledem na zvláštní předmět jeho činnosti, který souvisí s otázkami národní bezpečnosti.

113.

Nemyslím si, že je tomu tak, a to z několika důvodů.

114.

Zaprvé vzhledem k širokému rozsahu působnosti GDPR by výjimka týkající se činností v oblasti národní bezpečnosti měla být vykládána striktně. Z toho vyvozuji, že tato výjimka se vztahuje pouze na činnosti, jejichž bezprostředním cílem je národní bezpečnost.

115.

To zjevně není případ činnosti vyšetřovacího výboru v původním řízení, který byl pověřen kontrolou orgánů spolkové vlády.

116.

Je sice pravda, že činnost tohoto výboru mohla nepřímo přispět k zajištění národní bezpečnosti, pokud se předmětná kontrola týkala fungování BVT, jehož úkolem bylo zajistit integritu a kontinuitu státních institucí.

117.

Takové přispění však nemění povahu činností svěřených vyšetřovacímu výboru a nemělo by vést k tomu, aby byly vyjmuty z působnosti GDPR. Pokud by bylo upřednostněno opačné řešení, bylo by možné si klást otázku, zda by stejným způsobem neměla být vyjmuta reklamní agentura najatá ministerstvem obrany k propagaci armádních profesí.

118.

Zadruhé, pokud by použití GDPR záviselo na předmětu parlamentního vyšetřování, bylo by to v rozporu s cílem právní jistoty, který sledoval unijní normotvůrce.

119.

Předmět parlamentního vyšetřování neposkytuje vzhledem ke své proměnlivé povaze dostatečně konzistentní základ pro určení oblasti působnosti GDPR. Jako měřítko pro tento účel nelze použít nepřímé faktory, jako je osobní zapojení ministra obrany do korupční kauzy, které by mohlo být odhaleno (nebo popřeno) v průběhu vyšetřování.

120.

Zatřetí výklad výjimky obsažené v čl. 2 odst. 2 písm. a) GDPR by měl zohlednit ratio legis tohoto ustanovení. Souvisí si to dle mého názoru s nemožností sladit některé základní aspekty práva na zacházení s osobními údaji se skutečností, že některé činnosti týkající se národní bezpečnosti musí být nutně utajeny.

121.

Pro ilustraci uvádím, že je obtížné si představit, jak by domácí zpravodajské služby mohly zajistit dodržování práv na informace a přístup k nim, která jsou zakotvena v článcích 14 a 15 GDPR, aniž by zároveň ohrozily kontrolní činnost zaměřenou na osoby podezřelé z terorismu. V takovém případě se požadavky vyplývající z GDPR jeví jako zásadně neslučitelné s požadavky národní bezpečnosti.

122.

Naopak mám za to, že činnost parlamentního vyšetřovacího výboru nenaráží na žádnou nepřekonatelnou překážku tohoto typu, a není zjevné, jak by dodržování povinností vyplývajících z GDPR mohlo ohrozit jeho možný přínos k zajištění národní bezpečnosti.

123.

K veřejnému rozměru parlamentní kontroly samozřejmě přispívá i publicita, která obvykle provází práci vyšetřovacích výborů. Cíl transparentnosti je však v rozporu s ratio legis čl. 2 odst. 2 písm. a) GDPR, jehož cílem je zachovat tajemství národní bezpečnosti.

124.

Začtvrté, i když se řádný průběh parlamentního vyšetřování může v některých případech dostat do rozporu s povinnostmi vyplývajícími z GDPR – například v případě, že výbor získá přístup k důvěrným dokumentům obsahujícím osobní údaje – připomínám, že čl. 23 odst. 1 písm. a) a h) GDPR stanoví možnost omezit práva a povinnosti zakotvené v článcích 5, 12 až 22 a 34 tohoto nařízení, pokud je takové omezení nezbytné k zajištění kontrolní úlohy s ohledem na požadavky národní bezpečnosti.

125.

Z toho podle mého názoru vyplývá, že skutečnost, že předmět parlamentního vyšetřování může souviset s otázkami národní bezpečnosti, by neměla vést k tomu, aby byl vyšetřovací výbor vyjmut z oblasti působnosti GDPR. Vzhledem k institucionálnímu kontextu práce těchto výborů, jejichž členové se podílejí na práci zákonodárných orgánů parlamentu, považuji rovněž za poměrně snadné provést nezbytné legislativní úpravy, které by zohlednily zvláštní účel některých parlamentních vyšetřování, jak je stanoveno v čl. 23 odst. 1 GDPR.

126.

Ze všech těchto důvodů navrhuji, aby Soudní dvůr na druhou předběžnou otázku odpověděl tak, že na činnost parlamentního vyšetřovacího výboru, předmětem jehož vyšetřování jsou činnosti policejní složky pověřené ochranou státu, které se týkají národní bezpečnosti ve smyslu bodu 16 odůvodnění nařízení GDPR, se nevztahuje výjimka stanovená v čl. 2 odst. 2 písm. a) tohoto nařízení.

127.

Svou třetí otázkou se předkládající soud ptá, zda lze pravomoc jediného dozorového úřadu zřízeného podle čl. 51 odst. 1 GDPR k projednávání stížností ve smyslu čl. 77 odst. 1 tohoto nařízení odvodit přímo z posledně uvedeného ustanovení ve spojení s čl. 55 odst. 1 GDPR.

128.

Důvodem této otázky, která vyvstává v případě, že se na práci vyšetřovacího výboru, která je předmětem původního řízení, vztahuje GDPR, jsou překážky ústavní povahy. Podle názoru Verwaltungsgerichtshof (Správního soudní dvůr) a některých zúčastněných stran brání zásada dělby moci, která je vlastní rakouskému právu, tomu, aby správní orgán, v projednávané věci Úřad pro ochranu osobních údajů, zasahoval do činnosti parlamentu tím, že přezkoumává stížnosti týkající se parlamentu.

129.

Třetí otázka tedy směřuje k určení rozsahu přímého účinku ustanovení čl. 55 odst. 1 ve spojení s čl. 77 odst. 1 GDPR, kdy pravomoc jediného dozorového úřadu zřízeného členským státem může být omezena zásadou síly ústavního zákona.

130.

Vzhledem k tomu, že se jedná o nařízení Unie, je třeba připomenout, že je v zásadě přímo použitelné v plném rozsahu v souladu s čl. 288 druhým pododstavcem SFEU, jak potvrzuje čl. 99 odst. 2 druhý pododstavec GDPR ( 40 ).

131.

V souladu s judikaturou Soudního dvora se jedná pouze o případy, kdy právní předpis vyžaduje přijetí prováděcích opatření, s přihlédnutím k prostoru pro uvážení, který je členským státům ponechán při jeho provádění ( 41 ).

132.

V tomto ohledu se domnívám, že ustanovení čl. 77 odst. 1 GDPR, který stanoví pravomoc dozorových úřadů přezkoumávat stížnosti stanovené v tomto nařízení, jsou ve spojení s ustanoveními čl. 55 odst. 1 GDPR dostatečně jasná a bezpodmínečná, aby byla přímo použitelná.

133.

Dodávám, že Soudní dvůr již potvrdil přímý účinek čl. 58 odst. 5 GDPR, když rozhodl, že vnitrostátní dozorový úřad může využít možnosti zahájit soudní řízení, kterou mu toto ustanovení přiznává, proti jednotlivcům, nebo v tomto řízení pokračovat, a to i v případě, že dotyčný členský stát nepřijal za tímto účelem žádná legislativní prováděcí opatření ( 42 ).

134.

Kromě toho se za okolností původního řízení nedomnívám, že by bylo nutné přijmout další prováděcí opatření, která by upravovala procesní postup při podání stížnosti podle článku 77 GDPR. Úřad pro ochranu osobních údajů se těmito stížnostmi pravidelně zabývá, přičemž jedinou otázkou je, zda má pravomoc vůči parlamentním orgánům.

135.

Tato otázka přitom nebyla ponechána na uvážení členských států.

136.

Účinný výkon práva podat stížnost samozřejmě předpokládá předchozí zřízení jednoho nebo více dozorových úřadů v souladu s čl. 51 odst. 1 GDPR, což vyžaduje zásah členských států. Jedná se však o otázku přímého účinku posledně uvedeného ustanovení, která není předmětem původního řízení.

137.

Pokud jde o počet dozorových orgánů, které mají být zřízeny podle čl. 51 odst. 1 GDPR, institucionální volba ponechaná v tomto ohledu členským státům nemůže vést k omezení pravomocí jediného orgánu zřízeného rakouským zákonodárcem. Opačný výklad by zbavil čl. 55 odst. 1 a čl. 77 odst. 1 GDPR jejich přímého účinku a hrozilo by oslabení účinnosti všech ostatních ustanovení tohoto nařízení, která by mohla být stížností dotčena.

138.

Konečně, pokud jde o překážky ústavní povahy, jež existují v rakouském právu, tyto nemohou vést k odmítnutí použití ustanovení GDPR. V souladu s ustálenou judikaturou Soudního dvora nemůže dovolávání se porušení zásad vnitrostátní ústavní struktury ovlivnit účinek aktu Unie ( 43 ).

139.

V odpovědi na třetí předběžnou otázku proto navrhuji, aby Soudní dvůr rozhodl, že pokud členský stát zřídil pouze jeden dozorový úřad ve smyslu čl. 51 odst. 1 GDPR, vyplývá jeho pravomoc projednávat stížnosti uvedené v čl. 77 odst. 1 tohoto nařízení přímo z tohoto posledně uvedeného ustanovení ve spojení s čl. 55 odst. 1 uvedeného nařízení.

140.

Vzhledem k výše uvedeným úvahám navrhuji, aby Soudní dvůr odpověděl na otázky položené Verwaltungsgerichtshof (Správní soudní dvůr, Rakousko) následovně: