–

za Österreichische Datenschutzbehörde: A. Jelinek a M. Schmidl, jako zmocněnci,

–

za WK: M. Sommer, Rechtsanwalt,

–

za Präsident des Nationalrates: C. Neugebauer a R. Posnik, jako zmocněnkyně,

–

za rakouskou vládu: A. Posch, J. Schmoll, S. Dörnhöfer a C. Leeb, jako zmocněnci,

–

za českou vládu: O. Serdula, M. Smolek a J. Vláčil, jako zmocněnci,

–

za Evropskou komisi: A. Bouchagiar, M. Heller a H. Kranenborg, jako zmocněnci,

1

Žádost o rozhodnutí o předběžné otázce se týká výkladu čl. 16 odst. 2 první věty SFEU, jakož i čl. 2 odst. 2 písm. a), čl. 51 odst. 1, čl. 55 odst. 1 a čl. 77 odst. 1 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. 2016, L 119, s. 1, dále jen „GDPR“).

2

Tato žádost byla předložena v rámci sporu mezi Österreichische Datenschutzbehörde (Úřad pro ochranu osobních údajů, Rakousko) (dále jen „Datenschutzbehörde“) a WK ohledně zamítnutí stížnosti podané WK proti údajnému porušení jeho práva na ochranu osobních údajů.

Právní rámec

Unijní právo

3

Body 16, 20 a 117 odůvodnění GDPR znějí takto:

4

Článek 2 GDPR, nadepsaný „Věcná působnost“, stanoví:

5

Článek 4 nařízení GDPR, nadepsaný „Definice“, stanoví:

6

Článek 23 GDPR, nadepsaný „Omezení“, v odstavci 1 stanoví:

7

Článek 51 GDPR, nadepsaný „Dozorový úřad“, v odstavci 1 stanoví:

8

Článek 54 GDPR, nadepsaný „Pravidla pro zřízení dozorového úřadu“, v odstavci 1 stanoví:

9

Článek 55 GDPR, nadepsaný „Příslušnost“, zní takto:

10

Článek 77 GDPR, nadepsaný „Právo podat stížnost u dozorového úřadu“, stanoví:

Rakouské právo

11

Článek 53 Bundes-Verfassungsgesetz (spolkový ústavní zákon), znovu vyhlášený dne 2. ledna 1930 (BGBl. 1/1930), ve znění použitelném na skutkový stav v původním řízení (dále jen „B-VG“), stanoví:

12

B-VG upravuje dělbu moci zákonodárné, výkonné a soudní. Každé prolomení této zásady dělby moci vyžaduje ústavní základ.

13

Ustanovení § 1 odst. 1 Datenschutzgesetz (zákon o ochraně osobních údajů) ze dne 17. srpna 1999 (BGBl. I, 165/1999), ve znění použitelném na skutkový stav v původním řízení (dále jen „DSG“), stanoví:

14

Ustanovení § 18 odst. 1 DSG zní takto:

15

Ustanovení § 24 odst. 1 DSG stanoví:

16

Ustanovení § 35 DSG stanoví:

Spor v původním řízení a předběžné otázky

17

Rozhodnutím ze dne 20. dubna 2018 zřídila Národní rada v souladu s článkem 53 B-VG vyšetřovací výbor, který měl objasnit existenci případného politického ovlivňování Bundesamt für Verfassungsschutz und Terrorismusbekämpfung (Spolkový úřad pro ochranu ústavy a boj proti terorismu, Rakousko) (dále jen „BVT“), který byl od 1. prosince 2021 nahrazen Direktion Staatsschutz und Nachrichtendienst (Ředitelství pro bezpečnost státu a zpravodajské služby, Rakousko).

18

Dne 19. září 2018 vyslechl tento vyšetřovací výbor (dále jen „vyšetřovací výbor BVT“) WK jako svědka na slyšení, které bylo přístupné zástupcům sdělovacích prostředků. Navzdory žádosti WK o zachování anonymity byl zápis z tohoto slyšení, ve kterém bylo uvedeno jeho úplné příjmení a jméno, zveřejněn na internetových stránkách rakouského parlamentu.

19

Dne 2. dubna 2019 podal WK stížnost k Datenschutzbehörde, v níž tvrdil, že zveřejnění zápisu z uvedeného slyšení s uvedením jeho totožnosti proti jeho vůli je v rozporu s ustanoveními GDPR a § 1 DSG. Na podporu své stížnosti vysvětlil, že působí jako tajný agent u policejní zásahové jednotky pověřené bojem s pouliční kriminalitou.

20

Datenschutzbehörde zamítl tuto stížnost rozhodnutím ze dne 18. září 2019. Měl za to, že GDPR sice v zásadě nebrání tomu, aby dozorové úřady prováděly dohled nad zákonodárnými orgány, avšak na základě zásady dělby moci je vyloučeno, aby zákonodárná moc podléhala kontrole ze strany moci výkonné. Za těchto podmínek a vzhledem k tomu, že vyšetřovací výbor BVT je součástí zákonodárné moci, není Datenschutzbehörde, který je orgánem výkonné moci, oprávněn kontrolovat činnost uvedeného výboru, a nemá tedy pravomoc rozhodnout o stížnosti WK.

21

Rozhodnutím ze dne 23. listopadu 2020 vyhověl Bundesverwaltungsgericht (Spolkový správní soud, Rakousko) žalobě podané WK a rozhodnutí Datenschutzbehörde zrušil. V podstatě rozhodl, že GDPR je použitelné na jednání zákonodárce, a tedy i na činnost vyšetřovacího výboru BVT. Věcná působnost GDPR definovaná v jeho čl. 2 odst. 1 je totiž koncipována taxativně a zahrnuje veškerá zpracování údajů bez ohledu na subjekt, který provádí zpracování, a na funkci státu, pod níž tento subjekt spadá. Kromě toho konstatoval, že ani z čl. 2 odst. 2 GDPR nelze vyvodit výjimku z použitelnosti tohoto nařízení pro některé funkce státu, jako je legislativní funkce, neboť výjimka stanovená v písm. a) tohoto ustanovení musí být vykládána restriktivně. Podle Bundesverwaltungsgericht (Spolkový správní soud) měl tedy Datenschutzbehörde pravomoc rozhodnout o stížnosti WK v souladu s článkem 77 uvedeného nařízení.

22

Verwaltungsgerichtshof (Nejvyšší správní soud, Rakousko), k němuž podal Datenschutzbehörde proti tomuto rozhodnutí Bundesverwaltungsgericht (Spolkový správní soud, Rakousko) opravný prostředek Revision a který je předkládajícím soudem v projednávané věci, se zaprvé táže, zda úkony vyšetřovacího výboru zřízeného parlamentem členského státu jsou i bez ohledu na předmět vyšetřování vyloučeny z působnosti GDPR na základě jeho čl. 2 odst. 2 písm. a) a čl. 16 odst. 2 první věty SFEU, jelikož činnost takového výboru je ze své povahy činností, která nespadá do působnosti unijního práva.

23

V této souvislosti uvedený soud poukazuje v první řadě na to, že podle judikatury Soudního dvora v oblasti vycházející zejména z rozsudku ze dne 9. července 2020, Land Hessen (C‑272/19, EU:C:2020:535), nelze pro účely použití GDPR vyžadovat, aby dotčené zpracování osobních údajů bylo prováděno konkrétně pro účely, které spadají do působnosti unijního práva, aby bylo přeshraniční nebo aby se konkrétně a přímo dotýkalo volného pohybu mezi členskými státy. Použití tohoto nařízení je naopak vyloučeno pouze tehdy, pokud je splněna alespoň jedna z podmínek pro použití výjimky uvedené v čl. 2 odst. 2 písm. a) až d) uvedeného nařízení.

24

V tomto ohledu předkládající soud připomíná, že podle judikatury Soudního dvora musí být čl. 2 odst. 2 písm. a) GDPR ve spojení s bodem 16 odůvodnění tohoto nařízení považován za ustanovení, jehož jediným cílem je vyloučit z působnosti uvedeného nařízení zpracování osobních údajů prováděné státními orgány v rámci činnosti, která má chránit národní bezpečnost, nebo činnosti, kterou lze zařadit do téže kategorie. Činnosti uvedené v čl. 2 odst. 2 písm. a) GDPR, jejichž cílem je ochrana národní bezpečnosti, zahrnují zejména činnosti, jejichž cílem je chránit základní funkce státu a hlavní zájmy společnosti [rozsudek ze dne 22. června 2021, Latvijas Republikas Saeima (Trestné body), C‑439/19, EU:C:2021:504, body 62 až 67 a citovaná judikatura].

25

Předkládající soud dále poukazuje na určité rozdíly mezi parlamentním výborem dotčeným ve věci, v níž byl vydán rozsudek ze dne 9. července 2020, Land Hessen (C‑272/19, EU:C:2020:535), a sice Petičním výborem Zemského sněmu spolkové země Hesensko (Německo), a vyšetřovacím výborem BVT. Konkrétně činnosti posledně uvedeného výboru nepřispívají pouze nepřímo k parlamentní činnosti, ale jsou jejím jádrem z důvodu kontrolní úlohy, kterou B-VG svěřuje vyšetřovacím výborům, které zřídila Národní rada.

26

A konečně předkládající soud odkazuje na zásadu dělby zákonodárné, výkonné a soudní moci, která je vlastní jak právu každého členského státu, tak unijnímu právu. Je pravda, že čl. 55 odst. 3 GDPR vylučuje pouze pravomoc dozorových úřadů kontrolovat zpracování osobních údajů, které provádějí soudy v rámci svých soudních činností, a mlčí o zpracování údajů prováděné v rámci hlavní parlamentní činnosti. Tato mezera by však podle předkládajícího soudu mohla být vysvětlena skutečností, že podle unijního normotvůrce tato posledně uvedená činnost nespadá do působnosti uvedeného nařízení již na základě jeho čl. 2 odst. 2 písm. a).

27

Ve druhé řadě předkládající soud zdůrazňuje, že se předmět vyšetřování vyšetřovacího výboru BVT týká činností v oblasti národní bezpečnosti, které s ohledem na bod 16 odůvodnění GDPR nespadají do působnosti unijního práva, a jsou tedy v souladu s jeho čl. 2 odst. 2 písm. a) vyloučeny z věcné působnosti tohoto nařízení.

28

Předkládající soud má za to, že i kdyby parlamentní kontrolní činnost vyšetřovacího výboru v zásadě spadala do působnosti unijního práva ve smyslu čl. 16 odst. 2 SFEU, bylo by třeba ještě ověřit, zda se na jeho činnosti vztahuje přinejmenším výjimka stanovená v čl. 2 odst. 2 písm. a) GDPR, a to s ohledem na okolnost, že předmět vyšetřování se týká činností výkonné moci, která tak jako v projednávané věci nespadá do působnosti unijního práva.

29

Ve třetí řadě si předkládající soud klade otázku, zda s ohledem zejména na ústavní zásadu dělby moci v Rakousku má Datenschutzbehörde, který je jediným vnitrostátním dozorovým úřadem ve smyslu článku 51 GDPR, pravomoc rozhodnout o takové stížnosti, jako je stížnost podaná WK, pouze na základě tohoto nařízení, jelikož ve vnitrostátním právu chybí ústavněprávní základ pro takovou pravomoc.

30

Za těchto okolností se Verwaltungsgerichtshof (Nejvyšší správní soudní) rozhodl přerušit řízení a položit Soudnímu dvoru následující předběžné otázky:

K předběžným otázkám

K první otázce

31

Podstatou první otázky předkládajícího soudu je, zda čl. 16 odst. 2 první věta SFEU a čl. 2 odst. 2 písm. a) GDPR musí být vykládány v tom smyslu, že určitá činnost nespadá do působnosti unijního práva, takže se na ni nevztahuje toto nařízení, pouze z toho důvodu, že je vykonávána vyšetřovacím výborem zřízeným parlamentem členského státu při výkonu jeho kontrolní pravomoci vůči výkonné moci?

32

Článek 16 SFEU, který je právním základem nařízení GDPR, v odstavci 2 stanoví, že Evropský parlament a Rada Evropské unie přijmou pravidla o ochraně fyzických osob při zpracovávání osobních údajů mimo jiné členskými státy, pokud vykonávají činnosti spadající do oblasti působnosti práva Unie.

33

V souladu s tímto ustanovením definuje čl. 2 odst. 1 GDPR velmi široce věcnou působnost GDPR [rozsudek ze dne 22. června 2021, Latvijas Republikas Saeima (Trestné body), C‑439/19, EU:C:2021:504, bod 61]. Toto ustanovení totiž stanoví, že toto nařízení „se vztahuje na zcela nebo částečně automatizované zpracování osobních údajů a na neautomatizované zpracování těch osobních údajů, které jsou obsaženy v evidenci nebo do ní mají být zařazeny“.

34

Kromě toho tento článek 2 GDPR stanoví v odstavcích 2 a 3 vyčerpávajícím způsobem výjimky z pravidla definujícího věcnou oblast působnosti tohoto nařízení stanovenou v jeho odstavci 1. Článek 2 odst. 2 písm. a) uvedeného nařízení mimo jiné stanoví, že se toto nařízení nevztahuje na zpracování osobních údajů prováděné „při výkonu činností, které nespadají do oblasti působnosti práva Unie“.

35

V této souvislosti se předkládající soud táže, zda zpracování osobních údajů v rámci činnosti vyšetřovacího výboru zřízeného parlamentem členského státu při výkonu jeho kontrolní pravomoci vůči výkonné moci spadá v každém případě a nezávisle na předmětu vyšetřování pod výjimku stanovenou v tomto posledně uvedeném ustanovení.

36

V tomto ohledu je třeba připomenout, že s výhradou případů uvedených v jeho čl. 2 odst. 2 a 3 se GDPR použije na zpracování prováděné jak soukromými osobami, tak orgány veřejné moci (v tomto smyslu viz rozsudek ze dne 24. března 2022, Autoriteit Persoonsgegevens, C‑245/20, EU:C:2022:216, bod 25).

37

Z judikatury Soudního dvora vyplývá, že výjimka stanovená v čl. 2 odst. 2 GDPR musí být vykládána restriktivně [rozsudek ze dne 22. června 2021, Latvijas Republikas Saeima (Trestné body), C‑439/19, EU:C:2021:504, bod 62 a citovaná judikatura]. V tomto kontextu již měl Soudní dvůr příležitost upřesnit, že jediným cílem čl. 2 odst. 2 písm. a) GDPR ve světle bodu 16 odůvodnění tohoto nařízení je vyloučit z působnosti uvedeného nařízení zpracování osobních údajů prováděné státními orgány v rámci činnosti, která má chránit národní bezpečnost, nebo činnosti, kterou lze zařadit do téže kategorie, takže pouhá skutečnost, že se jedná o činnost státu nebo orgánu veřejné moci nepostačuje k tomu, aby se na takovou činnost automaticky vztahovala tato výjimka [rozsudky ze dne 22. června 2021, Latvijas Republikas Saeima (Trestné body), C‑439/19, EU:C:2021:504, bod 66, a ze dne 20. října 2022, Koalicia „Demokratična Bulgaria – Obedinenie“, C‑306/21, EU:C:2022:813, bod 39].

38

Tento výklad, který vyplývá již z okolnosti, že čl. 2 odst. 1 GDPR nerozlišuje podle totožnosti autora dotčeného zpracování, je potvrzen čl. 4 bodem 7 tohoto nařízení, který definuje pojem „správce“ jako „fyzickou nebo právnickou osobu, orgán veřejné moci, agenturu nebo jiný subjekt, který sám nebo společně s jinými určuje účely a prostředky zpracování osobních údajů“.

39

Právě při výkladu posledně uvedeného ustanovení Soudní dvůr rozhodl, že pokud petiční výbor parlamentu člena federace, která je členským státem, sám nebo společně s jinými určuje účely a prostředky zpracování osobních údajů, je nutno jej kvalifikovat jako „správce“ ve smyslu tohoto ustanovení, takže zpracování osobních údajů prováděné takovým výborem spadá do působnosti tohoto nařízení (rozsudek ze dne 9. července 2020, Land Hessen, C‑272/19, EU:C:2020:535, bod 74).

40

Okolnost, kterou zdůraznil Präsident des Nationalrates (předseda Národní rady, Rakousko), že na rozdíl od petičního výboru dotčeného ve věci, ve které byl vydán rozsudek ze dne 9. července 2020, Land Hessen (C‑272/19, EU:C:2020:535), který přispívá k parlamentní činnosti pouze nepřímo, je vyšetřovací výbor BVT orgánem, jehož činnost má přímo a výlučně parlamentní povahu, neznamená, že jsou činnosti posledně uvedeného výboru vyloučeny z působnosti GDPR.

41

Jak totiž v podstatě uvedl generální advokát v bodě 84 svého stanoviska, výjimka z oblasti působnosti GDPR stanovená v čl. 2 odst. 2 písm. a) tohoto nařízení se vztahuje pouze na kategorie činností, které z důvodu své povahy nespadají do oblasti působnosti unijního práva, a nikoli na kategorie osob bez ohledu na to, zda mají soukromou či veřejnou povahu, ani – pokud je správcem orgán veřejné moci – na okolnost, že úkoly a povinnosti tohoto orgánu jsou přímo a výlučně spjaty s určitou výsadou veřejné moci, aniž tato výsada souvisí s činností, která se každopádně vymyká působnosti unijního práva.

42

Okolnost, že zpracování osobních údajů provádí vyšetřovací výbor zřízený parlamentem členského státu při výkonu jeho kontrolní pravomoci vůči výkonné moci, neumožňuje tedy sama o sobě konstatovat, že toto zpracování je prováděno v rámci činnosti, která nespadá do působnosti unijního práva ve smyslu čl. 2 odst. 2 písm. a) GDPR.

43

S ohledem na výše uvedené je třeba na první otázku odpovědět tak, že čl. 16 odst. 2 první věta SFEU a čl. 2 odst. 2 písm. a) GDPR musí být vykládány v tom smyslu, že nelze mít za to, že určitá činnost nespadá do působnosti unijního práva, takže se na ni nevztahuje toto nařízení, pouze z toho důvodu, že je vykonávána vyšetřovacím výborem zřízeným parlamentem členského státu při výkonu jeho kontrolní pravomoci vůči moci výkonné.

K druhé otázce

44

Podstatou druhé otázky předkládajícího soudu je, zda musí být čl. 2 odst. 2 písm. a) GDPR ve spojení s bodem 16 odůvodnění tohoto nařízení vykládán v tom smyslu, že činnosti vyšetřovacího výboru zřízeného parlamentem členského státu při výkonu jeho kontrolní pravomoci vůči moci výkonné, jejichž předmětem je vyšetřování činností policejního orgánu ochrany státu z důvodu podezření z politického ovlivňování tohoto orgánu, nelze považovat za činnosti týkající se národní bezpečnosti, které nespadají do oblasti působnosti unijního práva ve smyslu tohoto ustanovení.

45

Jak bylo připomenuto v bodě 37 tohoto rozsudku, článek 2 odst. 2 písm. a) GDPR musí být vykládán restriktivně a jeho jediným cílem je vyloučit z působnosti tohoto nařízení zpracování osobních údajů prováděná státními orgány v rámci činnosti, která má chránit národní bezpečnost, nebo činnosti, kterou lze zařadit do téže kategorie.

46

Činnosti uvedené v čl. 2 odst. 2 písm. a) GDPR, jejichž cílem je ochrana národní bezpečnosti, zahrnují zejména činnosti, jejichž cílem je chránit základní funkce státu a hlavní zájmy společnosti [rozsudky ze dne 22. června 2021, Latvijas Republikas Saeima (Trestné body), C‑439/19, EU:C:2021:504, bod 67, a ze dne 20. října 2022 Koalicia „Demokratična Bulgaria – Obedinenie“, C‑306/21, EU:C:2022:813, bod 40].

47

Podle čl. 4 odst. 2 SEU zůstávají takové činnosti výhradní odpovědností členských států (v tomto smyslu viz rozsudek ze dne 15. července 2021, Ministrstvo za obrambo, C‑742/19, EU:C:2021:597, bod 36).

48

V projednávané věci vyplývá ze spisu, který má Soudní dvůr k dispozici, že vyšetřovací výbor BVT byl zřízen Národní radou za účelem vyšetřování existence případného politického ovlivňování BVT, jehož úkolem bylo v období dotčeném v původním řízení zajištění ochrany ústavy a boj proti terorismu.

49

Předseda Národní rady a česká vláda mají za to, že jelikož úkoly BVT zahrnují „činnosti týkající se národní bezpečnosti“, vztahuje se na jeho činnosti výjimka stanovená v čl. 2 odst. 2 písm. a) GDPR. Činnosti vyšetřovacího výboru parlamentu členského státu spočívající v kontrole státních orgánů, které jsou, jako tomu bylo v případě BVT, pověřeny zajišťováním národní bezpečnosti, spadají přitom rovněž pod pojem „činnosti týkající se národní bezpečnosti“. Cílem kontrolní činnosti takového vyšetřovacího výboru je totiž ověřit, zda kontrolované orgány zajišťují národní bezpečnost řádným způsobem.

50

V této souvislosti je třeba uvést, že členským státům sice přísluší podle čl. 4 odst. 2 SEU vymezit jejich podstatné bezpečnostní zájmy a přijmout opatření způsobilá k zajištění jejich vnitřní a vnější bezpečnosti, avšak nelze na základě pouhé skutečnosti, že určité vnitrostátní opatření bylo přijato za účelem ochrany národní bezpečnosti, vyloučit uplatnění unijního práva a zprostit členské státy povinnosti jej dodržovat (v tomto smyslu viz rozsudek ze dne 15. července 2021, Ministrstvo za obrambo, C‑742/19, EU:C:2021:597, bod 40 a citovaná judikatura).

51

Jak bylo připomenuto v bodě 41 tohoto rozsudku, výjimka stanovená v čl. 2 odst. 2 písm. a) GDPR se vztahuje pouze na kategorie činností, které z důvodu své povahy nespadají do oblasti působnosti unijního práva, a nikoli na kategorie osob bez ohledu na to, zda mají soukromou či veřejnou povahu, ani – pokud je správcem orgán veřejné moci – na okolnost, že úkoly a povinnosti tohoto orgánu jsou přímo a výlučně spjaty s určitou výsadou veřejné moci, aniž tato výsada souvisí s činností, která se každopádně vymyká působnosti unijního práva. Okolnost, že správce je orgánem veřejné moci, jehož hlavní činností je zajistit národní bezpečnost, nemůže sama o sobě postačovat k tomu, aby byla z působnosti GDPR vyloučena zpracování osobních údajů, která tento orgán provádí v rámci svých ostatních činností.

52

V projednávané věci ze spisu, který má Soudní dvůr k dispozici, vyplývá, že účelem vyšetřovacího výboru dotčeného ve věci v původním řízení byla politická kontrola činnosti BVT z důvodu podezření z politického ovlivňování tohoto orgánu, aniž se tato kontrola jako taková jevila jako činnost sloužící k ochraně národní bezpečnosti nebo jako činnost, kterou lze zařadit do téže kategorie ve smyslu judikatury připomenuté v bodě 45 tohoto rozsudku. Z toho vyplývá, že s výhradou ověření předkládajícím soudem není tato činnost vyňata z působnosti GDPR podle jeho čl. 2 odst. 2 písm. a).

53

Takový parlamentní vyšetřovací výbor, jako je výbor dotčený ve věci v původním řízení, však může mít v rámci své činnosti přístup k informacím, a zejména k osobním údajům, které musí z důvodů národní bezpečnosti požívat zvláštní ochrany, která spočívá například v omezení informací, které mají být poskytnuty subjektům údajů ohledně shromažďování těchto údajů, nebo v omezení přístupu těchto osob k uvedeným údajům.

54

V tomto ohledu článek 23 GDPR stanoví, že prostřednictvím legislativního opatření lze omezit povinnosti a práva uvedená v článcích 5, 12 až 22 a 34 GDPR zejména s cílem zajistit národní bezpečnost nebo monitorovací funkci spojenou s výkonem veřejné moci mimo jiné v rámci národní bezpečnosti.

55

Požadavek zajištění národní bezpečnosti může tedy prostřednictvím legislativního opatření odůvodnit omezení povinností a práv vyplývajících z GDPR, zejména pokud jde o shromažďování osobních údajů, informování subjektů údajů a jejich přístup k těmto údajům nebo také jejich zpřístupnění jiným osobám, než jsou správci bez souhlasu subjektů údajů, pokud tato omezení respektují podstatu základních práv a svobod subjektů údajů a představují nezbytné a přiměřené opatření v demokratické společnosti.

56

V projednávané věci však ze spisu, který má Soudní dvůr k dispozici, nevyplývá, že by vyšetřovací výbor BVT tvrdil, že zveřejnění osobních údajů WK, k němuž došlo při zveřejnění zápisu z jeho slyšení před tímto výborem na internetových stránkách rakouského parlamentu bez souhlasu této osoby, je nezbytné pro zajištění národní bezpečnosti a je založeno na vnitrostátním legislativním opatření přijatém za tímto účelem. Nezbytná ověření však musí v této souvislosti případně provést předkládající soud.

57

S ohledem na výše uvedené je třeba na druhou otázku odpovědět tak, že čl. 2 odst. 2 písm. a) GDPR ve spojení s bodem 16 odůvodnění tohoto nařízení musí být vykládán v tom smyslu, že činnosti vyšetřovacího výboru zřízeného parlamentem členského státu při výkonu jeho kontrolní pravomoci vůči výkonné moci, jejichž předmětem je vyšetřování činností policejního orgánu ochrany státu z důvodu podezření z politického ovlivňování tohoto orgánu, nelze jako takové považovat za činnosti týkající se národní bezpečnosti, které nespadají do oblasti působnosti unijního práva ve smyslu tohoto ustanovení.

K třetí otázce

58

Podstatou třetí otázky předkládajícího soudu je, zda čl. 77 odst. 1 a čl. 55 odst. 1 GDPR musí být vykládány v tom smyslu, že pokud se členský stát rozhodl v souladu s čl. 51 odst. 1 tohoto nařízení zřídit pouze jeden dozorový úřad, kterému však nepřiznává pravomoc dohlížet na dodržování GDPR vyšetřovacím výborem zřízeným parlamentem tohoto členského státu při výkonu jeho kontrolní pravomoci nad výkonnou mocí, svěřují tomuto úřadu pravomoc rozhodovat o stížnostech týkajících se zpracování osobních údajů prováděného uvedeným vyšetřovacím výborem přímo tato ustanovení.

59

Pro účely odpovědi na tuto otázku je třeba připomenout, že podle čl. 288 druhého pododstavce SFEU je nařízení závazné v celém rozsahu a přímo použitelné ve všech členských státech.

60

Podle ustálené judikatury mají ustanovení nařízení – na základě článku 288 SFEU a z důvodu samotné povahy nařízení a jejich funkce v systému pramenů unijního práva – ve vnitrostátních právních řádech obecně bezprostřední účinek, aniž je třeba, aby vnitrostátní orgány přijaly prováděcí opatření (rozsudek ze dne 15. června 2021, Facebook Ireland a další, C‑645/19, EU:C:2021:483, bod 110, jakož i citovaná judikatura).

61

Zaprvé podle čl. 77 odst. 1 GDPR platí, že každý subjekt údajů má právo podat stížnost u některého dozorového úřadu, pokud se domnívá, že zpracováním jeho osobních údajů je porušeno toto nařízení. Zadruhé podle čl. 55 odst. 1 uvedeného nařízení je každý dozorový úřad na území svého členského státu příslušný k plnění úkolů a výkonu pravomocí, které mu byly svěřeny v souladu s tímto nařízením.

62

Ze znění těchto ustanovení vyplývá, jak v podstatě uvedl generální advokát v bodě 132 svého stanoviska, že čl. 77 odst. 1 a čl. 55 odst. 1 GDPR nevyžadují ke svému provedení přijetí vnitrostátních prováděcích opatření a jsou dostatečně jasné, přesné a bezpodmínečné, aby měly přímý účinek.

63

Z toho vyplývá, že i když GDPR přiznalo členským státům v souladu s jeho čl. 51 odst. 1 prostor pro uvážení při určení počtu dozorových úřadů, které mají být zřízeny, stanovilo naopak rozsah pravomoci, kterou musí tyto úřady mít bez ohledu na jejich počet, aby mohly dohlížet na dodržování tohoto nařízení.

64

Jak v podstatě uvedl generální advokát v bodě 137 svého stanoviska, v případě, že se členský stát rozhodne zřídit jediný dozorový úřad, má tento orgán nutně veškeré pravomoci, které GDPR svěřuje dozorovým úřadům.

65

Jakýkoli jiný výklad by zpochybnil přímý účinek čl. 55 odst. 1 a čl. 77 odst. 1 GDPR a mohl by oslabit účinnost všech ostatních ustanovení tohoto nařízení, jichž by se mohla týkat stížnost.

66

Kromě toho, pokud unijní normotvůrce zamýšlel omezit pravomoc dozorových úřadů v oblasti kontroly zpracování osobních údajů prováděných orgány veřejné moci, učinil tak výslovně, jak dokládá čl. 55 odst. 3 GDPR, podle kterého tyto orgány nejsou příslušné k dozoru nad operacemi zpracování, které provádějí soudy jednající v rámci svých soudních pravomocí.

67

Datenschutzbehörde, předseda Národní rady a rakouská vláda podotýkají, že ustanovení rakouského ústavního práva zakazují, aby výkonná moc vykonávala jakoukoli kontrolu nad zákonodárnou mocí. Tato ustanovení tedy vylučují možnost, aby Datenschutzbehörde, který je součástí výkonné moci, dohlížel na používání GDPR vyšetřovacím výborem BVT, který je institucí spadající pod zákonodárnou moc.

68

V projednávané věci se však čl. 51 odst. 1 GDPR omezuje na požadavek, aby členské státy zřídily alespoň jeden dozorový úřad, avšak poskytuje jim možnost zřídit několik takových úřadů, právě z důvodu respektování ústavního uspořádání členských států. Bod 117 odůvodnění tohoto nařízení navíc stanoví, že členské státy by měly mít možnost zřídit více než jeden dozorový úřad, aby zohlednily své ústavní, organizační a správní uspořádání.

69

Článek 51 odst. 1 GDPR svěřuje tedy každému členskému státu prostor pro uvážení, který mu umožňuje zřídit tolik dozorových úřadů, kolik vyžadují zejména požadavky týkající se jeho ústavního uspořádání.

70

Je nutné rovněž připomenout, že skutečnost, že se členský stát dovolává ustanovení vnitrostátního práva, nemůže mít vliv na jednotu a účinnost unijního práva. Účinky spojené se zásadou přednosti unijního práva jsou totiž závazné pro všechny orgány členského státu, a zejména tomu nemohou bránit vnitrostátní ustanovení, ani ta ústavní povahy [rozsudek ze dne 22. února 2022, RS (Účinek rozsudků ústavního soudu), C‑430/21, EU:C:2022:99, bod 51 a citovaná judikatura].

71

Vzhledem k tomu, že se členský stát v rámci svého prostoru pro uvážení rozhodl zřídit jediný dozorový úřad, nemůže se dovolávat ustanovení vnitrostátního práva, a to ani v případě, že by byla ústavní povahy, za účelem vynětí zpracování osobních údajů, které spadá do působnosti GDPR, z dohledu tohoto úřadu.

72

S ohledem na výše uvedené je třeba na třetí otázku odpovědět tak, že čl. 77 odst. 1 a čl. 55 odst. 1 GDPR musí být vykládány v tom smyslu, že pokud se členský stát rozhodl v souladu s čl. 51 odst. 1 tohoto nařízení zřídit pouze jeden dozorový úřad, kterému však nepřiznává pravomoc dohlížet na dodržování GDPR vyšetřovacím výborem zřízeným parlamentem tohoto členského státu při výkonu jeho kontrolní pravomoci nad výkonnou mocí, svěřují tomuto úřadu pravomoc rozhodovat o stížnostech týkajících se zpracování osobních údajů prováděného uvedeným vyšetřovacím výborem přímo tato ustanovení.

K nákladům řízení

73

Vzhledem k tomu, že řízení má, pokud jde o účastníky původního řízení, povahu incidenčního řízení ve vztahu ke sporu probíhajícímu před předkládajícím soudem, je k rozhodnutí o nákladech řízení příslušný uvedený soud. Výdaje vzniklé předložením jiných vyjádření Soudnímu dvoru než vyjádření uvedených účastníků řízení se nenahrazují.

1)

Článek 16 odst. 2 první věta SFEU a čl. 2 odst. 2 písm. a) nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů)

2)

Článek 2 odst. 2 písm. a) nařízení 2016/679 ve spojení s bodem 16 odůvodnění tohoto nařízení

3)

Článek 77 odst. 1 a čl. 55 odst. 1 nařízení 2016/679