–

Österreichische Datenschutzbehörde, v zastúpení: A. Jelinek a M. Schmidl, splnomocnení zástupcovia,

–

WK, v zastúpení: M. Sommer, Rechtsanwalt,

–

Präsident des Nationalrates, v zastúpení: C. Neugebauer a R. Posnik, splnomocnené zástupkyne,

–

rakúska vláda, v zastúpení: A. Posch, J. Schmoll, S. Dörnhöfer a C. Leeb, splnomocnení zástupcovia,

–

česká vláda, v zastúpení: O. Serdula, M. Smolek a J. Vláčil, splnomocnení zástupcovia,

–

Európska komisia, v zastúpení: A. Bouchagiar, M. Heller a H. Kranenborg, splnomocnení zástupcovia,

1

Návrh na začatie prejudiciálneho konania sa týka výkladu článku 16 ods. 2 prvej vety ZFEÚ, ako aj článku 2 ods. 2 písm. a), článku 51 ods. 1, článku 55 ods. 1 a článku 77 ods. 1 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (Ú. v. EÚ L 119, 2016, s. 1, ďalej len „GDPR“).

2

Tento návrh bol podaný v rámci sporu medzi Österreichische Datenschutzbehörde (Úrad na ochranu osobných údajov, Rakúsko, ďalej len „Datenschutzbehörde“) a WK, ktorého predmetom je zamietnutie sťažnosti podanej WK proti údajnému porušeniu jeho práva na ochranu jeho osobných údajov.

3

Odôvodnenia 16, 20 a 117 GDPR znejú:

…

…

4

Článok 2 GDPR, nazvaný „Vecná pôsobnosť“, stanovuje:

„1.   Toto nariadenie sa vzťahuje na spracúvanie osobných údajov vykonávané úplne alebo čiastočne automatizovanými prostriedkami a na spracúvanie inými než automatizovanými prostriedkami v prípade osobných údajov, ktoré tvoria súčasť informačného systému alebo sú určené na to, aby tvorili súčasť informačného systému.

2.   Toto nariadenie sa nevzťahuje na spracúvanie osobných údajov:

…

3.   Na spracovanie osobných údajov inštitúciami, orgánmi, úradmi a agentúrami Únie sa uplatňuje nariadenie [Európskeho parlamentu a Rady] (ES) č. 45/2001 [z 18. decembra 2000 o ochrane jednotlivcov so zreteľom na spracovanie osobných údajov inštitúciami a orgánmi spoločenstva a o voľnom pohybe takýchto údajov (Ú. v. ES L 8, 2001, s. 1; Mim. vyd. 13/026, s. 102)]. Nariadenie (ES) č. 45/2001 a ostatné právne akty Únie uplatniteľné na takéto spracúvanie osobných údajov sa upravia podľa zásad a pravidiel tohto nariadenia v súlade s článkom 98.

…“

5

Článok 4 GDPR, nazvaný „Vymedzenie pojmov“, znie takto:

„Na účely tohto nariadenia:

…

…“

6

Článok 23 GDPR, nazvaný „Obmedzenia“, v odseku 1 stanovuje:

„V práve Únie alebo práve členského štátu, ktorému prevádzkovateľ alebo sprostredkovateľ podliehajú, sa prostredníctvom legislatívneho opatrenia môže obmedziť rozsah povinností a práv ustanovených v článkoch 12 až 22 a v článku 34, ako aj v článku 5, pokiaľ jeho ustanovenia zodpovedajú právam a povinnostiam ustanoveným v článkoch 12 až 22, ak takéto obmedzenie rešpektuje podstatu základných práv a slobôd a je nevyhnutným a primeraným opatrením v demokratickej spoločnosti s cieľom zaistiť:

…

…“

7

Článok 51 GDPR, nazvaný „Dozorný orgán“, v odseku 1 stanovuje:

„Každý členský štát stanoví, že za monitorovanie uplatňovania tohto nariadenia je zodpovedný jeden alebo viacero nezávislých orgánov verejnej moci s cieľom chrániť základné práva a slobody fyzických osôb pri spracúvaní a uľahčiť voľný tok osobných údajov v rámci Únie (ďalej len ‚dozorný orgán‘).“

8

Článok 54 GDPR, nazvaný „Pravidlá zriadenia dozorného orgánu“, v odseku 1 stanovuje:

„Každý členský štát prostredníctvom právnych predpisov upraví všetky tieto skutočnosti:

…“

9

Článok 55 GDPR, nazvaný „Príslušnosť“, znie:

„1.   Každý dozorný orgán je príslušný plniť úlohy, ktoré mu boli uložené, a vykonávať právomoci, ktoré mu boli zverené, v súlade s týmto nariadením na území vlastného členského štátu.

2.   Ak spracúvanie uskutočňujú orgány verejnej moci alebo súkromnoprávne subjekty konajúce na základe článku 6 ods. 1 písm. c) alebo e), za príslušný orgán sa považuje dozorný orgán dotknutého členského štátu. V takých prípadoch sa článok 56 neuplatňuje.

3.   Dozorné orgány nie sú príslušné pre vykonávanie dozoru nad spracovateľskými operáciami na súdoch pri výkone ich súdnej právomoci.“

10

Článok 77 GDPR, nazvaný „Právo podať sťažnosť dozornému orgánu“, stanovuje:

„1.   Bez toho, aby boli dotknuté akékoľvek iné správne alebo súdne prostriedky nápravy, má každá dotknutá osoba právo podať sťažnosť dozornému orgánu, najmä v členskom štáte svojho obvyklého pobytu, mieste výkonu práce alebo v mieste údajného porušenia, ak sa domnieva, že spracúvanie osobných údajov, ktoré sa jej týka, je v rozpore s týmto nariadením.

2.   Dozorný orgán, ktorému sa sťažnosť podala, informuje sťažovateľa o pokroku a výsledku sťažnosti vrátane možnosti podať súdny prostriedok nápravy podľa článku 78.“

11

Článok 53 Bundes‑Verfassungsgesetz (Spolkový ústavný zákon), znova vyhlásený 2. januára 1930 (BGBl. 1/1930), v znení uplatniteľnom na spor vo veci samej (ďalej len „B‑VG“), stanovuje:

„1. Nationalrat [Národná rada, Rakúsko] môže rozhodnúť o zriadení vyšetrovacích výborov. Okrem toho sa na žiadosť jednej štvrtiny jej členov zriadi vyšetrovací výbor.

2. Vyšetrovanie sa týka predchádzajúcej činnosti v oblasti výkonnej moci na spolkovej úrovni. Patria sem všetky činnosti spolkových orgánov, prostredníctvom ktorých Bund bez ohľadu na rozsah svojej účasti vykonáva práva účasti a dohľadu. Preskúmanie judikatúry je vylúčené.

3. Všetky orgány Bund, Länder, obcí a združení obcí, ako aj iných samosprávnych orgánov sú povinné na požiadanie vyšetrovaciemu výboru predložiť svoje spisy a dokumenty v rozsahu, v akom sa týkajú predmetu vyšetrovania, a sú povinné vyhovieť požiadavkám vyšetrovacieho výboru na zhromaždenie dôkazov týkajúcich sa predmetu vyšetrovania. Táto povinnosť sa nevzťahuje na predkladanie spisov a dokumentov, ktorých sprístupnenie by mohlo ohroziť zdroje v zmysle článku 52a ods. 2.

4. Povinnosť stanovená v odseku 3 nevzniká, pokiaľ je dotknutý zákonný proces tvorby vôle spolkovej vlády alebo niektorých jej členov alebo jej bezprostredná príprava.

…“

12

B‑GV upravuje deľbu zákonodarnej, výkonnej a súdnej moci. Každý zásah do tejto zásady deľby moci vyžaduje ústavný základ.

13

Ustanovenie § 1 ods. 1 Datenschutzgesetz (zákon o ochrane údajov) zo 17. augusta 1999 (BGBl. I, 165/1999), v znení uplatniteľnom na spor vo veci samej (ďalej len „DSG“), stanovuje:

„Každý má, najmä pokiaľ ide o rešpektovanie jeho súkromného a rodinného života, právo na utajenie osobných údajov, ktoré sa ho týkajú, ak existuje záujem hodný ochrany. Existencia uvedeného záujmu je vylúčená, ak sa právo na utajenie na údaje nevzťahuje, pretože sú všeobecne dostupné, alebo z dôvodu nemožnosti vysledovať údaje späť k dotknutej osobe.“

14

Podľa § 18 ods. 1 DSG:

„Datenschutzbehörde je zriadený ako vnútroštátny dozorný orgán podľa článku 51 [GDPR].“

15

Ustanovenie § 24 ods. 1 DSG znie:

„Každá zúčastnená osoba má právo podať sťažnosť na Datenschutzbehörde, ak sa domnieva, že spracúvanie osobných údajov, ktoré sa jej týka, predstavuje porušenie GDPR alebo článku 1 alebo článku 2 prvej hlavnej časti.“

16

Ustanovenie § 35 DSG stanovuje:

„1. Úlohou Datenschutzbehörde je zabezpečiť ochranu údajov v súlade s ustanoveniami GDPR a tohto spolkového zákona.

2. Datenschutzbehörde vykonáva svoje právomoci tiež vo vzťahu k najvyšším orgánom výkonnej moci uvedeným v článku 19 B‑VG, ako aj vo vzťahu k najvyšším orgánom v súlade s článkom 30 ods. 3 až 6, článkom 125 a článkom 134 ods. 8, ako aj článkom 148 h ods. 1 a 2 B‑VG v oblasti správnych záležitostí spadajúcich do ich právomoci.“

17

Rozhodnutím z 20. apríla 2018 Národná rada zriadila v súlade s článkom 53 B‑VG vyšetrovací výbor poverený objasniť existenciu prípadného politického ovplyvňovania Bundesamt für Verfassungsschutz und Terrorismusbekämpfung (Spolkový úrad pre ochranu ústavy a boj proti terorizmu, Rakúsko) (ďalej len „BVT“), ktorý bol od 1. decembra 2021 nahradený Direktion Staatsschutz und Nachrichtendienst (Riaditeľstvo pre bezpečnosť štátu a spravodajské služby, Rakúsko).

18

Dňa 19. septembra 2018 tento vyšetrovací výbor (ďalej len „vyšetrovací výbor BVT“) vypočul WK ako svedka počas vypočutia, ktoré bolo prístupné zástupcom médií. Napriek žiadosti o anonymizáciu podanej WK bola zápisnica z tohto vypočutia, v ktorej boli uvedené jeho celé priezvisko a meno, uverejnená na internetovej stránke Parlament Österreich (Rakúsky parlament).

19

Dňa 2. apríla 2019 WK podal sťažnosť na Datenschutzbehörde, v ktorej tvrdil, že uverejnenie zápisnice z uvedeného vypočutia s uvedením jeho totožnosti proti jeho vôli je v rozpore s ustanoveniami GDPR a s § 1 DSG. Na podporu svojej sťažnosti vysvetlil, že pracuje ako tajný agent v policajnej zásahovej jednotke poverenej bojom proti pouličnej kriminalite.

20

Rozhodnutím z 18. septembra 2019 Datenschutzbehörde zamietol túto sťažnosť. Domnieval sa, že hoci GDPR v zásade nebráni tomu, aby dozorné orgány vykonávali kontrolu zákonodarných orgánov, avšak na základe zásady deľby moci je vylúčené, aby zákonodarná moc podliehala kontrole výkonnej moci. Za týchto podmienok a vzhľadom na to, že vyšetrovací výbor BVT patrí do zákonodarnej moci, nie je Datenschutzbehörde, ktorý je orgánom výkonnej moci, oprávnený kontrolovať činnosť uvedeného výboru, a teda nemá právomoc rozhodnúť o sťažnosti WK.

21

Rozhodnutím z 23. novembra 2020 Bundesverwaltungsgericht (Spolkový správny súd, Rakúsko) vyhovel žalobe podanej WK a zrušil rozhodnutie Datenschutzbehörde. V podstate rozhodol, že GDPR sa uplatňuje na konanie zákonodarcu, a teda na činnosť vyšetrovacieho výboru BVT. Vecná pôsobnosť GDPR, ako je vymedzená v jeho článku 2 ods. 1, je totiž koncipovaná taxatívne a vzťahuje sa na každé spracúvanie údajov bez ohľadu na subjekt, ktorý vykonáva spracúvanie, a na funkciu štátu, ku ktorej tento subjekt patrí. Okrem toho ani z článku 2 ods. 2 GDPR nemožno vyvodiť výnimku z uplatniteľnosti tohto nariadenia na niektoré funkcie štátu, ako je legislatívna funkcia, pretože výnimka stanovená v písmene a) tohto ustanovenia sa má vykladať reštriktívne. Podľa Bundesverwaltungsgericht (Spolkový správny súd) mal preto Datenschutzbehörde právomoc rozhodnúť o sťažnosti WK v súlade s článkom 77 uvedeného nariadenia.

22

Verwaltungsgerichtshof (Najvyšší správny súd, Rakúsko), na ktorý podal Datenschutzbehörde proti tomuto rozhodnutiu Bundesverwaltungsgericht (Spolkový správny súd) opravný prostriedok „Revision“, a ktorý je vnútroštátnym súdom v tejto veci, sa v prvom rade pýta, či úkony vyšetrovacieho výboru zriadeného parlamentom členského štátu sú bez ohľadu na predmet vyšetrovania vylúčené z pôsobnosti GDPR na základe jeho článku 2 ods. 2 písm. a) a článku 16 ods. 2 prvej vety ZFEÚ z dôvodu, že činnosť takéhoto výboru je zo svojej povahy činnosťou, ktorá nepatrí do pôsobnosti práva Únie.

23

V tomto kontexte uvedený súd v prvom rade uvádza, že v súlade s judikatúrou Súdneho dvora v tejto oblasti vyplývajúcou najmä z rozsudku z 9. júla 2020, Land Hessen (C‑272/19, EU:C:2020:535), nemožno na účely uplatnenia GDPR vyžadovať, aby sa dotknuté spracúvanie osobných údajov vykonávalo konkrétne na účely, na ktoré sa vzťahuje právo Únie, aby bolo cezhraničné alebo aby sa konkrétne a priamo dotýkalo voľného pohybu medzi členskými štátmi. Uplatnenie tohto nariadenia je naopak vylúčené len vtedy, ak je splnená aspoň jedna z podmienok uplatnenia výnimky podľa článku 2 ods. 2 písm. a) až d) uvedeného nariadenia.

24

V tejto súvislosti vnútroštátny súd pripomína, že v súlade s judikatúrou Súdneho dvora sa má článok 2 ods. 2 písm. a) GDPR v spojení s odôvodnením 16 tohto nariadenia považovať za článok, ktorého jediným cieľom je vylúčiť z pôsobnosti uvedeného nariadenia spracúvanie osobných údajov vykonávané štátnymi orgánmi v rámci činnosti, ktorej cieľom je zabezpečiť národnú bezpečnosť, alebo činnosti, ktorá môže byť zaradená do tej istej kategórie. Činnosti, ktorých cieľom je chrániť národnú bezpečnosť, uvedené v článku 2 ods. 2 písm. a) GDPR, zahŕňajú najmä činnosti, ktorých cieľom je ochrana základných funkcií štátu a základných záujmov spoločnosti [rozsudok z 22. júna 2021, Latvijas Republikas Saeima (Trestné body), C‑439/19, EU:C:2021:504, body 62 až 67 a citovaná judikatúra].

25

Ďalej poukazuje na určité rozdiely medzi parlamentným výborom dotknutým vo veci, v ktorej bol vydaný rozsudok z 9. júla 2020, Land Hessen (C‑272/19, EU:C:2020:535), a to petičným výborom Hesenského krajinského snemu (spolková krajina Hesensko, Nemecko) a vyšetrovacím výborom BVT. Konkrétne činnosti posledného uvedeného výboru neprispievajú len nepriamo k parlamentnej činnosti, ale sú jej jadrom z dôvodu kontrolnej úlohy, ktorú B‑VG zveruje vyšetrovacím výborom zriadeným Národnou radou.

26

Nakoniec vnútroštátny súd odkazuje na zásadu deľby zákonodarnej, výkonnej a súdnej moci, ktorá je vlastná tak právu každého členského štátu, ako aj právu Únie. Je pravda, že článok 55 ods. 3 GDPR vylučuje len príslušnosť dozorných orgánov pre vykonávanie dozoru nad spracovateľským operáciami osobných údajov na súdoch pri výkone ich súdnej právomoci a neupravuje spracúvanie údajov vykonávané v rámci hlavnej parlamentnej činnosti. Táto medzera by sa však mohla vysvetliť skutočnosťou, že podľa normotvorcu Únie táto posledná uvedená činnosť už nepatrí do pôsobnosti uvedeného nariadenia v súlade s jeho článkom 2 ods. 2 písm. a).

27

V druhom rade vnútroštátny súd zdôrazňuje, že predmet vyšetrovania vyšetrovacieho výboru BVT sa týka činností národnej bezpečnosti, ktoré vzhľadom na odôvodnenie 16 GDPR nepatria do pôsobnosti práva Únie, a sú teda vylúčené z vecnej pôsobnosti tohto nariadenia v súlade s jeho článkom 2 ods. 2 písm. a).

28

Preto aj za predpokladu, že by činnosť parlamentnej kontroly vyšetrovacieho výboru v zásade patrila do pôsobnosti práva Únie v zmysle článku 16 ods. 2 ZFEÚ, bolo by ešte treba overiť, či sa na jeho činnosti vzťahuje prinajmenšom výnimka stanovená v článku 2 ods. 2 písm. a) GDPR, a to s prihliadnutím na okolnosť, že predmet vyšetrovania sa týka činností výkonnej moci, ktoré tak ako v prejednávanej veci nepatria do pôsobnosti práva Únie.

29

V treťom rade sa vnútroštátny súd pýta, či s prihliadnutím najmä na ústavnú zásadu deľby moci v Rakúsku má Datenschutzbehörde, ktorý je jediným vnútroštátnym dozorným orgánom v zmysle článku 51 GDPR, právomoc rozhodnúť o takej sťažnosti, akou je sťažnosť podaná WK, iba na základe tohto nariadenia, keďže vo vnútroštátnom práve chýba ústavnoprávny základ pre takú právomoc.

30

Za týchto podmienok Verwaltungsgerichtshof (Najvyšší správny súd) rozhodol prerušiť konanie a položiť Súdnemu dvoru nasledujúce prejudiciálne otázky:

V prípade kladnej odpovede na prvú otázku:

V prípade zápornej odpovede na druhú otázku:

31

Svojou prvou otázkou sa vnútroštátny súd v podstate pýta, či sa majú článok 16 ods. 2 prvá veta ZFEÚ a článok 2 ods. 2 písm. a) GDPR vykladať v tom zmysle, že určitá činnosť nepatrí do pôsobnosti práva Únie, a teda sa ňu nevzťahuje toto nariadenie, len z toho dôvodu, že ju vykonáva vyšetrovací výbor zriadený parlamentom členského štátu pri výkone jeho kontrolnej právomoci výkonnej moci.

32

Článok 16 ZFEÚ, ktorý predstavuje právny základ GDPR, vo svojom odseku 2 stanovuje, že Európsky parlament a Rada Európskej únie stanovia pravidlá týkajúce sa najmä ochrany fyzických osôb pri spracúvaní osobných údajov členskými štátmi pri výkone činností, ktoré patria do pôsobnosti práva Únie.

33

V súlade s týmto ustanovením článok 2 ods. 1 GDPR poskytuje veľmi širokú definíciu vecnej pôsobnosti GDPR [rozsudok z 22. júna 2021, Latvijas Republikas Saeima (Trestné body), C‑439/19, EU:C:2021:504, bod 61]. Stanovuje totiž, že toto nariadenie „sa vzťahuje na spracúvanie osobných údajov vykonávané úplne alebo čiastočne automatizovanými prostriedkami a na spracúvanie inými než automatizovanými prostriedkami v prípade osobných údajov, ktoré tvoria súčasť informačného systému alebo sú určené na to, aby tvorili súčasť informačného systému“.

34

Okrem toho ten istý článok 2 GDPR v odsekoch 2 a 3 vyčerpávajúcim spôsobom stanovuje výnimky z pravidla definujúceho vecnú pôsobnosť tohto nariadenia stanovenú v jeho odseku 1. článok 2 ods. 2 písm. a) uvedeného nariadenia konkrétne spresňuje, že toto nariadenie sa nevzťahuje na spracúvanie osobných údajov vykonané „v rámci činnosti, ktorá nepatrí do pôsobnosti práva Únie“.

35

V tomto kontexte sa vnútroštátny súd pýta, či sa na spracúvanie osobných údajov v rámci činnosti vyšetrovacieho výboru zriadeného parlamentom členského štátu pri výkone jeho kontrolnej právomoci výkonnej moci v každom prípade a nezávisle od predmetu vyšetrovania vzťahuje výnimka stanovená v tomto poslednom uvedenom ustanovení.

36

V tejto súvislosti treba pripomenúť, že s výnimkou prípadov uvedených v jeho článku 2 ods. 2 a 3 sa GDPR uplatňuje na spracúvanie vykonávané tak súkromnými osobami, ako aj orgánmi verejnej moci (pozri v tejto súvislosti rozsudok z 24. marca 2022, Autoriteit Persoonsgegevens, C‑245/20, EU:C:2022:216, bod 25).

37

Z judikatúry Súdneho dvora vyplýva, že výnimku stanovenú v článku 2 ods. 2 GDPR treba vykladať reštriktívne [rozsudok z 22. júna 2021, Latvijas Republikas Saeima (Trestné body), C‑439/19, EU:C:2021:504, bod 62 a citovaná judikatúra]. V tejto súvislosti už mal Súdny dvor príležitosť spresniť, že cieľom článku 2 ods. 2 písm. a) tohto nariadenia v spojení s odôvodnením 16 uvedeného nariadenia je teda vylúčiť z jeho pôsobnosti spracúvanie osobných údajov vykonávané štátnymi orgánmi v rámci činnosti, ktorou sa má zaručiť národná bezpečnosť, alebo činnosti, ktorá môže byť zaradená do tej istej kategórie, v dôsledku čoho samotná skutočnosť, že určitá činnosť je vlastná štátu alebo orgánu verejnej moci, nestačí na to, aby táto výnimka bola automaticky uplatniteľná na takúto činnosť [rozsudok z 22. júna 2021, Latvijas Republikas Saeima (Trestné body), C‑439/19, EU:C:2021:504, bod 66, a z 20. októbra 2022, Koalicija Demokratična Bălgarija – Obedinenie, C‑306/21, EU:C:2022:813, bod 39].

38

Tento výklad, ktorý vyplýva už z okolnosti, že článok 2 ods. 1 GDPR nerozlišuje na základe totožnosti autora dotknutého spracúvania, potvrdzuje článok 4 bod 7 tohto nariadenia, ktorý definuje pojem „prevádzkovateľ“ ako „fyzick[ú] alebo právnick[ú] osobu, orgán verejnej moci, agentúr[u] alebo iný subjekt, ktorý sám alebo spoločne s inými určí účely a prostriedky spracúvania osobných údajov“.

39

Práve pri výklade tohto posledného uvedeného ustanovenia Súdny dvor rozhodol, že v rozsahu, v akom petičný výbor parlamentu člena federácie, ktorá je členským štátom, sám alebo spoločne s inými určí účely a prostriedky spracúvania osobných údajov, sa tento výbor má považovať za „prevádzkovateľa“ v zmysle tohto ustanovenia, takže spracúvanie osobných údajov vykonané takýmto výborom patrí do pôsobnosti tohto nariadenia (rozsudok z 9. júla 2020, Land Hessen, C‑272/19, EU:C:2020:535, bod 74).

40

Okolnosť, ktorú zdôraznil Präsident des Nationalrates (predseda Národnej rady, Rakúsko), že na rozdiel od petičného výboru dotknutého vo veci, v ktorej bol vydaný rozsudok z 9. júla 2020, Land Hessen (C‑272/19, EU:C:2020:535), ktorý iba nepriamo prispieva k parlamentnej činnosti, je vyšetrovací výbor BVT orgánom, ktorého činnosť má priamo a výlučne parlamentnú povahu, neznamená, že činnosti posledného uvedeného výboru sú vylúčené z pôsobnosti GDPR.

41

Ako totiž v podstate uviedol generálny advokát v bode 84 svojich návrhov, výnimka z pôsobnosti GDPR stanovená v článku 2 ods. 2 písm. a) tohto nariadenia sa vzťahuje len na kategórie činností, ktoré vzhľadom na svoju povahu nepatria do pôsobnosti práva Únie, a nie na kategórie osôb bez ohľadu na to, či majú súkromnú či verejnú povahu, ani, pokiaľ je prevádzkovateľom orgán verejnej moci, na okolnosť, že úlohy a funkcie tohto orgánu sú priamo a výlučne spojené s určitou výsadou verejnej moci bez toho, aby táto výsada súvisela s činnosťou, ktorá v každom prípade nepatrí do pôsobnosti práva Únie.

42

Okolnosť, že spracúvanie osobných údajov vykonáva vyšetrovací výbor zriadený parlamentom členského štátu pri výkone jeho kontrolnej právomoci výkonnej moci, sama osebe neumožňuje konštatovať, že toto spracúvanie sa vykonáva v rámci činnosti, ktorá nepatrí do pôsobnosti práva Únie v zmysle článku 2 ods. 2 písm. a) GDPR.

43

S prihliadnutím na vyššie uvedené treba na prvú otázku odpovedať tak, že článok 16 ods. 2 prvá veta ZFEÚ a článok 2 ods. 2 písm. a) GDPR sa majú vykladať v tom zmysle, že nemožno vychádzať z toho, že určitá činnosť nepatrí do pôsobnosti práva Únie, a teda sa na ňu nevzťahuje toto nariadenie, len z toho dôvodu, že ju vykonáva vyšetrovací výbor zriadený parlamentom členského štátu pri výkone jeho kontrolnej právomoci výkonnej moci.

44

Svojou druhou otázkou sa vnútroštátny súd v podstate pýta, či sa má článok 2 ods. 2 písm. a) GDPR v spojení s jeho odôvodnením 16 vykladať v tom zmysle, že činnosti vyšetrovacieho výboru zriadeného parlamentom členského štátu pri výkone jeho kontrolnej právomoci výkonnej moci, ktorých predmetom je vyšetrovanie činnosti policajného orgánu ochrany štátu z dôvodu podozrenia z politického ovplyvňovania tohto orgánu, nemožno považovať za činnosti týkajúce sa národnej bezpečnosti, ktoré nepatria do pôsobnosti práva Únie v zmysle tohto ustanovenia.

45

Ako bolo pripomenuté v bode 37 tohto rozsudku, článok 2 ods. 2 písm. a) GDPR sa má vykladať reštriktívne a jeho jediným cieľom je vylúčiť z pôsobnosti uvedeného nariadenia spracúvanie osobných údajov vykonávané štátnymi orgánmi v rámci činnosti, ktorej cieľom je ochrana národnej bezpečnosti alebo činnosti, ktorú možno zaradiť do tej istej kategórie.

46

Činnosti, ktorých cieľom je chrániť národnú bezpečnosť, uvedené v článku 2 ods. 2 písm. a) GDPR, zahŕňajú najmä činnosti, ktorých cieľom je ochrana základných funkcií štátu a základných záujmov spoločnosti [rozsudok z 22. júna 2021, Latvijas Republikas Saeima (Trestné body), C‑439/19, EU:C:2021:504, bod 67, a z 20. októbra 2022, Koalicija Demokratična Bălgarija – Obedinenie, C‑306/21, EU:C:2022:813, bod 40].

47

V súlade s článkom 4 ods. 2 ZEÚ takéto činnosti ostávajú vo výlučnej zodpovednosti každého členského štátu (pozri v tomto zmysle rozsudok z 15. júla 2021, Ministrstvo za obrambo, C‑742/19, EU:C:2021:597, bod 36).

48

V prejednávanej veci zo spisu, ktorý má Súdny dvor k dispozícii, vyplýva, že vyšetrovací výbor BVT bol zriadený Národnou radou na účely vyšetriť existenciu prípadného politického ovplyvňovania BVT, ktorého úloha bola počas obdobia, o ktoré ide vo veci samej, zabezpečiť ochranu ústavy a boj proti terorizmu.

49

Predseda Národnej rady a česká vláda sa v podstate domnievajú, že vzhľadom na to, že úlohy BVT zahŕňajú „činnosti týkajúce sa národnej bezpečnosti“, vzťahuje sa na jeho činnosti výnimka stanovená v článku 2 ods. 2 písm. a) GDPR. Činnosti vyšetrovacieho výboru parlamentu členského štátu spočívajúce v kontrole štátnych orgánov, ktoré sú, ako to bolo v prípade BVT, poverené zabezpečovaním národnej bezpečnosti, pritom tiež spadajú pod pojem činnosti týkajúce sa národnej bezpečnosti. Cieľom kontrolnej činnosti takého vyšetrovacieho výboru je totiž overiť, či kontrolované orgány riadne zabezpečujú národnú bezpečnosť.

50

V tejto súvislosti treba uviesť, že členským štátom síce prináleží v súlade s článkom 4 ods. 2 ZEÚ definovať ich základné bezpečnostné záujmy a prijať opatrenia vhodné na zabezpečenie ich vnútornej a vonkajšej bezpečnosti, samotná skutočnosť, že vnútroštátne opatrenie bolo prijaté na účely ochrany národnej bezpečnosti, nemôže mať za následok neuplatniteľnosť práva Únie a oslobodiť členské štáty od potrebného dodržiavania tohto práva (pozri v tomto zmysle rozsudok z 15. júla 2021, Ministrstvo za obrambo, C‑742/19, EU:C:2021:597, bod 40 a citovanú judikatúru).

51

Ako bolo pritom pripomenuté v bode 41 tohto rozsudku, výnimka stanovená v článku 2 ods. 2 písm. a) GDPR sa vzťahuje len na kategórie činností, ktoré vzhľadom na svoju povahu nepatria do pôsobnosti práva Únie, a nie na kategórie osôb bez ohľadu na to, či majú súkromnú či verejnú povahu, ani, pokiaľ je prevádzkovateľom orgán verejnej moci, na okolnosť, že úlohy a funkcie tohto orgánu sú priamo a výlučne spojené s určitou výsadou verejnej moci bez toho, aby táto výsada súvisela s činnosťou, ktorá v každom prípade nepatrí do pôsobnosti práva Únie. V tejto súvislosti okolnosť, že prevádzkovateľom je orgán verejnej moci, ktorého hlavnou činnosťou je zabezpečiť národnú bezpečnosť, nemôže sama osebe postačovať na to, aby bolo z pôsobnosti GDPR vylúčené spracúvanie osobných údajov, ktoré tento orgán vykonáva v rámci svojich ostatných činností.

52

V prejednávanej veci zo spisu, ktorý má Súdny dvor k dispozícii, vyplýva, že cieľom vyšetrovacieho výboru, o ktorý ide vo veci samej, bolo vykonať politickú kontrolu činnosti BVT z dôvodu podozrenia z politického ovplyvňovania tohto orgánu, pričom sa táto kontrola sama osebe nejavila ako činnosť slúžiaca na ochranu národnej bezpečnosti alebo ako činnosť, ktorá by sa mohla zaradiť do tej istej kategórie v zmysle judikatúry pripomenutej v bode 45 tohto rozsudku. Z toho vyplýva, že s výhradou overenia vnútroštátnym súdom nie je táto činnosť vyňatá z pôsobnosti GDPR podľa jeho článku 2 ods. 2 písm. a).

53

Parlamentný vyšetrovací výbor, o aký ide vo veci samej, však môže mať v rámci svojej činnosti prístup k informáciám a najmä k osobným údajom, ktoré musia z dôvodov týkajúcich sa národnej bezpečnosti požívať osobitnú ochranu spočívajúcu napríklad v obmedzení informácií, ktoré sa majú poskytnúť dotknutým osobám v súvislosti so zhromažďovaním týchto údajov, alebo v obmedzení prístupu tých istých osôb k uvedeným údajom.

54

V tejto súvislosti článok 23 GDPR stanovuje, že prostredníctvom legislatívnych opatrení možno stanoviť obmedzenia povinností a práv stanovených v článkoch 5, 12 až 22 a 34 GDPR najmä s cieľom zabezpečiť národnú bezpečnosť alebo monitorovaciu úlohu spojenú s výkonom verejnej moci, najmä v rámci národnej bezpečnosti.

55

Požiadavka ochrany národnej bezpečnosti tak môže prostredníctvom legislatívnych opatrení odôvodniť obmedzenia povinností a práv vyplývajúcich z GDPR, najmä pokiaľ ide o zhromažďovanie osobných údajov, informovanie dotknutých osôb a ich prístup k uvedeným údajom, ako aj ich sprístupnenie bez súhlasu dotknutých osôb iným osobám, než je prevádzkovateľ, pokiaľ takéto obmedzenia rešpektujú podstatu základných práv a slobôd dotknutých osôb a predstavujú nevyhnutné a primerané opatrenie v demokratickej spoločnosti.

56

V prejednávanej veci však zo spisu, ktorý má Súdny dvor k dispozícii, nevyplýva, že by vyšetrovací výbor BVT tvrdil, že zverejnenie osobných údajov WK, ku ktorému došlo pri uverejnení zápisnice z jeho vypočutia pred týmto výborom na internetovej stránke Rakúskeho parlamentu bez súhlasu tejto osoby, je nevyhnutné na ochranu národnej bezpečnosti a založené na vnútroštátnom legislatívnom opatrení prijatom na tento účel. Prináleží však vnútroštátnemu súdu, aby v prípade potreby vykonal v tejto súvislosti potrebné overenia.

57

S prihliadnutím na vyššie uvedené skutočnosti treba na druhú otázku odpovedať tak, že článok 2 ods. 2 písm. a) GDPR v spojení s jeho odôvodnením 16 sa má vykladať v tom zmysle, že činnosti vyšetrovacieho výboru zriadeného parlamentom členského štátu pri výkone jeho kontrolnej právomoci výkonnej moci, ktorých predmetom je vyšetrovanie činnosti policajného orgánu ochrany štátu z dôvodu podozrenia z politického ovplyvňovania tohto orgánu, nemožno ako také považovať za činnosti týkajúce sa národnej bezpečnosti, ktoré nepatria do pôsobnosti práva Únie v zmysle tohto ustanovenia.

58

Svojou treťou otázkou sa vnútroštátny súd v podstate pýta, či sa majú článok 77 ods. 1 a článok 55 ods. 1 GDPR vykladať v tom zmysle, že ak sa členský štát rozhodol v súlade s článkom 51 ods. 1 tohto nariadenia zriadiť iba jeden dozorný orgán, ktorému však nepriznáva právomoc dohliadať na uplatňovanie GDPR vyšetrovacím výborom zriadeným parlamentom tohto členského štátu pri výkone jeho kontrolnej právomoci výkonnej moci, tieto ustanovenia priamo priznávajú tomuto orgánu právomoc rozhodovať o sťažnostiach týkajúcich sa spracúvania osobných údajov, ktoré vykonáva uvedený vyšetrovací výbor.

59

Na účely odpovede na túto otázku treba pripomenúť, že podľa článku 288 druhého odseku ZFEÚ je nariadenie záväzné vo svojej celistvosti a je priamo uplatniteľné vo všetkých členských štátoch.

60

V súlade s ustálenou judikatúrou podľa tohto ustanovenia a z dôvodu povahy nariadení a ich funkcie v systéme prameňov práva Únie majú ustanovenia nariadení vo všeobecnosti bezprostredný účinok vo vnútroštátnych právnych poriadkoch, a to bez toho, aby vnútroštátne orgány museli prijať vykonávacie predpisy (rozsudok z 15. júna 2021, Facebook Ireland a i., C‑645/19, EU:C:2021:483, bod 110, ako aj citovaná judikatúra).

61

Na jednej strane podľa článku 77 ods. 1 GDPR má každá dotknutá osoba právo podať sťažnosť dozornému orgánu, ak sa domnieva, že spracúvanie osobných údajov, ktoré sa jej týka, je v rozpore s týmto nariadením. Na druhej strane článok 55 ods. 1 uvedeného nariadenia stanovuje, že každý dozorný orgán je príslušný plniť úlohy, ktoré mu boli uložené, a vykonávať právomoci, ktoré mu boli zverené, v súlade s tým istým nariadením na území vlastného členského štátu.

62

Zo znenia týchto ustanovení vyplýva, ako v podstate uviedol generálny advokát v bode 132 svojich návrhov, že článok 77 ods. 1 a článok 55 ods. 1 GDPR nevyžadujú na ich vykonanie prijatie vnútroštátnych vykonávacích opatrení a sú dostatočne jasné, presné a nepodmienené na to, aby mali priamy účinok.

63

Z toho vyplýva, že hoci GDPR v súlade so svojím článkom 51 ods. 1 priznalo členským štátom mieru voľnej úvahy, pokiaľ ide o počet dozorných orgánov, ktoré majú byť zriadené, stanuje naopak rozsah právomoci, ktorú musia tieto orgány mať nezávisle od ich počtu na účely dohľadu dodržiavania tohto nariadenia.

64

Ako teda v podstate uviedol generálny advokát v bode 137 svojich návrhov, v prípade, že sa členský štát rozhodne zriadiť jediný dozorný orgán, má tento orgán nevyhnutne všetky právomoci, ktoré GDPR zveruje dozorným orgánom.

65

Akýkoľvek iný výklad by spochybnil potrebný účinok článku 55 ods. 1 a článku 77 ods. 1 GDPR a mohol by oslabiť potrebný účinok všetkých ostatných ustanovení tohto nariadenia, ktoré môžu byť sťažnosťou dotknuté.

66

Okrem toho, keď normotvorca Únie zamýšľal obmedziť právomoc dozorných orgánov v oblasti monitorovania spracovateľských operácií vykonávaných orgánmi verejnej moci, urobil tak výslovne, ako to potvrdzuje článok 55 ods. 3 GDPR, podľa ktorého tieto orgány nemajú právomoc monitorovať spracovateľské operácie vykonávané súdmi pri výkone ich súdnej právomoci.

67

Datenschutzbehörde, predseda Národnej rady a rakúska vláda poznamenávajú, že ustanovenia rakúskeho ústavného práva zakazujú, aby výkonná moc vykonávala akúkoľvek kontrolu zákonodarnej moci. Tieto ustanovenia teda vylučujú možnosť, aby Datenschutzbehörde, ktorý je súčasťou výkonnej moci, dohliadal na uplatňovanie GDPR vyšetrovacím výborom BVT, ktorý je orgánom patriacim do zákonodarnej moci.

68

V prejednávanej veci sa však článok 51 ods. 1 GDPR obmedzuje na požiadavku, aby členské štáty zriadili aspoň jeden dozorný orgán, pričom im zároveň poskytuje možnosť zriadiť viacero dozorných orgánov práve z dôvodu rešpektovania ústavnej štruktúry členských štátov. Navyše odôvodnenie 117 tohto nariadenia spresňuje, že členské štáty by mali mať možnosť zriadiť viac ako jeden dozorný orgán, aby zohľadnili svoju ústavnú, organizačnú a správnu štruktúru.

69

Článok 51 ods. 1 nariadenia GDPR tak priznáva každému členskému štátu určitú mieru voľnej úvahy, ktorá mu umožňuje zriadiť toľko dozorných orgánov, koľko vyžadujú najmä požiadavky súvisiace s jeho ústavnou štruktúrou.

70

Navyše treba pripomenúť, že odvolávanie sa členského štátu na ustanovenia vnútroštátneho práva nemôže zasahovať do jednoty a účinnosti práva Únie. Účinky spojené so zásadou prednosti práva Únie sú totiž záväzné pre všetky orgány členského štátu, pričom tomu najmä nemôžu brániť vnútroštátne ustanovenia, vrátane tých ústavných [rozsudok z 22. februára 2022, RS (Účinok rozhodnutí Ústavného súdu), C‑430/21, EU:C:2022:99, bod 51 a citovaná judikatúra].

71

Vzhľadom na to, že sa členský štát v rámci svojej voľnej úvahy rozhodol zriadiť jediný dozorný orgán, nemôže sa odvolávať na ustanovenia vnútroštátneho práva, a to ani v prípade, že by boli ústavnej povahy, na účely vyňatia spracúvania osobných údajov, ktoré patrí do pôsobnosti GDPR, z dohľadu tohto orgánu.

72

S prihliadnutím na vyššie uvedené treba na tretiu otázku odpovedať tak, že článok 77 ods. 1 a článok 55 ods. 1 GDPR sa majú vykladať v tom zmysle, že ak sa členský štát rozhodol v súlade s článkom 51 ods. 1 tohto nariadenia zriadiť iba jeden dozorný orgán, ktorému však nepriznáva právomoc dohliadať na uplatňovanie uvedeného nariadenia vyšetrovacím výborom zriadeným parlamentom tohto členského štátu pri výkone jeho kontrolnej právomoci výkonnej moci, tieto ustanovenia priamo priznávajú tomuto orgánu právomoc rozhodovať o sťažnostiach týkajúcich sa spracúvania osobných údajov, ktoré vykonáva uvedený vyšetrovací výbor.

73

Vzhľadom na to, že konanie pred Súdnym dvorom má vo vzťahu k účastníkom konania vo veci samej incidenčný charakter a bolo začaté v súvislosti s prekážkou postupu v konaní pred vnútroštátnym súdom, o trovách konania rozhodne tento vnútroštátny súd. Iné trovy konania, ktoré vznikli v súvislosti s predložením pripomienok Súdnemu dvoru a nie sú trovami uvedených účastníkov konania, nemôžu byť nahradené.

Z týchto dôvodov Súdny dvor (veľká komora) rozhodol takto: