–

de Österreichische Datenschutzbehörde, vertegenwoordigd door A. Jelinek en M. Schmidl als gemachtigden,

–

WK, vertegenwoordigd door M. Sommer, Rechtsanwalt,

–

de Präsident des Nationalrates, vertegenwoordigd door C. Neugebauer en R. Posnik als gemachtigden,

–

de Oostenrijkse regering, vertegenwoordigd door A. Posch, J. Schmoll, S. Dörnhöfer en C. Leeb als gemachtigden,

–

de Tsjechische regering, vertegenwoordigd door O. Serdula, M. Smolek en J. Vláčil als gemachtigden,

–

de Europese Commissie, vertegenwoordigd door A. Bouchagiar, M. Heller en H. Kranenborg als gemachtigden,

1

Het verzoek om een prejudiciële beslissing betreft de uitlegging van artikel 16, lid 2, eerste volzin, VWEU, alsmede van artikel 2, lid 2, onder a), artikel 51, lid 1, artikel 55, lid 1, en artikel 77, lid 1, van verordening \(EU\) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB 2016, L 119, blz. 1, met rectificatie in PB 2021, L 74, blz. 35; hierna: „AVG”).

2

Dit verzoek is ingediend in het kader van een geding tussen de Österreichische Datenschutzbehörde (toezichthoudende autoriteit op het gebied van gegevensbescherming, Oostenrijk; hierna: „Datenschutzbehörde”) en WK over de afwijzing van zijn klacht tegen een vermeende schending van zijn recht op bescherming van zijn persoonsgegevens.

Toepasselijke bepalingen

Unierecht

3

De overwegingen 16, 20 en 117 AVG luiden als volgt:

4

Artikel 2 AVG, met als opschrift „Materieel toepassingsgebied”, bepaalt:

5

Artikel 4 AVG („Definities”) luidt als volgt:

6

Artikel 23, lid 1, AVG, met als opschrift „Beperkingen”, bepaalt:

7

Artikel 51, lid 1, AVG, met als opschrift „Toezichthoudende autoriteit”, bepaalt:

8

Artikel 54 AVG, met als opschrift „Regels inzake de oprichting van de toezichthoudende autoriteit”, bepaalt in lid 1:

9

Artikel 55 AVG („Competentie”) luidt als volgt:

10

Artikel 77 AVG, „Recht om een klacht in te dienen bij een toezichthoudende autoriteit”, bepaalt het volgende:

Oostenrijks recht

11

Artikel 53 van het Bundes-Verfassungsgesetz (federale grondwet) van 2 januari 1930 (BGBl. 1/1930), in de versie die van toepassing is op de feiten in het hoofdgeding (hierna: „B-VG”), bepaalt het volgende:

12

Het B-VG voorziet in de scheiding van de wetgevende, de uitvoerende en de rechterlijke macht. Om dit beginsel van de scheiding der machten te doorbreken, is er een constitutionele grondslag vereist.

13

§ 1, lid 1, van het Datenschutzgesetz (wet inzake gegevensbescherming) van 17 augustus 1999 (BGBl. I, 165/1999), in de versie die van toepassing is op de feiten in het hoofdgeding (hierna: „DSG”), bepaalt:

14

§ 18, lid 1, DSG bepaalt:

15

§ 24, lid 1, DSG luidt:

16

§ 35 DSG bepaalt:

Hoofdgeding en prejudiciële vragen

17

Bij besluit van 20 april 2018 heeft het lagerhuis van het parlement overeenkomstig artikel 53 B-VG een enquêtecommissie ingesteld om na te gaan of er sprake was van mogelijke politieke beïnvloeding van het Bundesamt für Verfassungsschutz und Terrorismusbekämpfung (federaal bureau voor de bescherming van de grondwet en de bestrijding van terrorisme, Oostenrijk; hierna: „BVT”), sinds 1 december 2021 de Direktion Staatsschutz und Nachrichtendienst (directoraat staatsveiligheid en inlichtingendienst) geheten.

18

Op 19 september 2018 heeft deze enquêtecommissie (hierna: „BVT-enquêtecommissie”) WK als getuige gehoord tijdens een hoorzitting die toegankelijk was voor de media. Hoewel WK om anonimiteit had verzocht, werd het verslag van deze hoorzitting gepubliceerd op de website van het Parlament Österreich (Oostenrijks parlement), met vermelding van zijn volledige voor- en achternaam.

19

Op 2 april 2019 heeft WK bij de Datenschutzbehörde een klacht ingediend waarin hij aanvoerde dat de publicatie van het verslag van die hoorzitting, met vermelding van zijn identiteit, in strijd was met de bepalingen van de AVG en met § 1 DSG en tegen zijn wil was gebeurd. Ter ondersteuning van zijn klacht heeft hij aangegeven dat hij als undercoveragent werkte bij de politie-eenheid voor de bestrijding van criminaliteit op straat.

20

Bij besluit van 18 september 2019 heeft de Datenschutzbehörde die klacht afgewezen. Volgens deze autoriteit staat de AVG er in beginsel weliswaar niet aan in de weg dat de toezichthoudende autoriteiten toezicht uitoefenen op de wetgevende organen, maar is het op grond van het beginsel van de scheiding der machten uitgesloten dat de uitvoerende macht toezicht houdt op de wetgevende macht. Betoogd wordt dat, aangezien de BVT-enquêtecommissie onderdeel is van de wetgevende macht, de Datenschutzbehörde als orgaan van de uitvoerende macht in die omstandigheden niet bevoegd is om controle uit te oefenen op de werkzaamheden van deze commissie en dus onbevoegd is om uitspraak te doen over de klacht van WK.

21

Bij vonnis van 23 november 2020 heeft het Bundesverwaltungsgericht (federale bestuursrechter in eerste aanleg, Oostenrijk) het door WK ingestelde beroep toegewezen en het besluit van de Datenschutzbehörde nietig verklaard. Het heeft in wezen geoordeeld dat de AVG van toepassing is op de handelingen van de wetgever en dus op die van de BVT-enquêtecommissie. Het materiële toepassingsgebied van de AVG is overeenkomstig artikel 2, lid 1, ervan alomvattend opgevat en is van toepassing op alle gegevensverwerkingen, ongeacht het orgaan dat de verwerking verricht en de overheidsfunctie waarvan dat orgaan deel uitmaakt, aldus het Bundesverwaltungsgericht. Ook uit artikel 2, lid 2, AVG kan niet worden afgeleid dat deze verordening niet van toepassing is op bepaalde overheidsfuncties, zoals de wetgevende functie, aangezien de in punt a) van die bepaling genoemde uitzondering restrictief moet worden uitgelegd. Bijgevolg was de Datenschutzbehörde volgens het Bundesverwaltungsgericht bevoegd om overeenkomstig artikel 77 van deze verordening uitspraak te doen over de klacht van WK.

22

De Datenschutzbehörde heeft tegen het vonnis van het Bundesverwaltungsgericht beroep in Revision ingesteld bij het Verwaltungsgerichtshof (hoogste bestuursrechter, Oostenrijk), de verwijzende rechter in de onderhavige zaak. Het Verwaltungsgerichtshof vraagt zich in de eerste plaats af of de handelingen van een enquêtecommissie die door het parlement van een lidstaat is ingesteld, ongeacht het voorwerp van het onderzoek, krachtens artikel 2, lid 2, onder a), AVG en artikel 16, lid 2, eerste volzin, VWEU buiten het toepassingsgebied van de AVG vallen op de grond dat de werkzaamheden van een dergelijke commissie naar hun aard een activiteit vormen die buiten de werkingssfeer van het Unierecht valt.

23

In deze context merkt de verwijzende rechter om te beginnen op dat volgens de desbetreffende rechtspraak van het Hof, die met name voortvloeit uit het arrest van 9 juli 2020, Land Hessen (C‑272/19, EU:C:2020:535), voor de toepassing van de AVG niet kan worden vereist dat de betrokken verwerking van persoonsgegevens concreet wordt verricht voor doeleinden die onder het Unierecht vallen, grensoverschrijdend is of het vrije verkeer tussen de lidstaten specifiek en rechtstreeks beïnvloedt. De toepassing van de AVG is echter slechts uitgesloten als ten minste één van de uitzonderingen in artikel 2, lid 2, onder a) tot en met d), van deze verordening van toepassing is.

24

In dit verband herinnert de verwijzende rechter eraan dat volgens de rechtspraak van het Hof artikel 2, lid 2, onder a), AVG, gelezen in het licht van overweging 16 van die verordening, moet worden geacht enkel tot doel te hebben de verwerking van persoonsgegevens door overheidsinstanties in het kader van activiteiten die ertoe strekken de nationale veiligheid te beschermen of in het kader van activiteiten die in dezelfde categorie kunnen worden ondergebracht, van het toepassingsgebied van de verordening uit te sluiten. De in artikel 2, lid 2, onder a), AVG bedoelde activiteiten die ertoe strekken de nationale veiligheid te beschermen, bestrijken met name de activiteiten die tot doel hebben de essentiële functies van de staat en de fundamentele belangen van de samenleving te beschermen [arrest van 22 juni 2021, Latvijas Republikas Saeima (Strafpunten), C‑439/19, EU:C:2021:504, punten 62‑67 en aldaar aangehaalde rechtspraak].

25

Vervolgens wijst de verwijzende rechter op bepaalde verschillen tussen de parlementaire commissie die aan de orde was in de zaak die heeft geleid tot het arrest van 9 juli 2020, Land Hessen (C‑272/19, EU:C:2020:535), namelijk de commissie verzoekschriften van het parlement van het Land Hessen (deelstaat Hessen, Duitsland), en de BVT-enquêtecommissie. In het bijzonder dragen de activiteiten van de laatstgenoemde commissie niet slechts indirect bij aan de parlementaire werkzaamheden, maar behoren zij tot de kern van deze werkzaamheden, gelet op de taak om toezicht te houden die de door het lagerhuis van het parlement ingestelde enquêtecommissies volgens het B-VG hebben.

26

Ten slotte verwijst de verwijzende rechter naar het beginsel van de scheiding van de wetgevende, de uitvoerende en de rechterlijke macht, dat inherent is aan zowel het recht van elke lidstaat als het Unierecht. Het is juist dat artikel 55, lid 3, AVG slechts bepaalt dat toezichthoudende autoriteiten niet competent zijn om toe te zien op de verwerking van persoonsgegevens door gerechten bij de uitoefening van hun rechterlijke taken en geen betrekking heeft op gegevensverwerking waar het gaat om de kern van de parlementaire werkzaamheden, aldus die rechter. Dit kan evenwel worden verklaard door het feit dat die werkzaamheden volgens de Uniewetgever reeds buiten het toepassingsgebied van deze verordening vallen op grond van artikel 2, lid 2, onder a), ervan.

27

In de tweede plaats merkt de verwijzende rechter op dat het onderzoek van de BVT-enquêtecommissie betrekking heeft op activiteiten met betrekking tot de nationale veiligheid, welke activiteiten gelet op overweging 16 AVG buiten de werkingssfeer van het Unierecht vallen en dus zijn uitgesloten van het materiële toepassingsgebied van deze verordening overeenkomstig artikel 2, lid 2, onder a), ervan.

28

Indien er wordt aangenomen, aldus de verwijzende rechter, dat de parlementaire controlewerkzaamheden van een enquêtecommissie in beginsel binnen het toepassingsgebied van het Unierecht vallen in de zin van artikel 16, lid 2, VWEU, dan moet ook worden nagegaan of de werkzaamheden van die commissie in elk geval niet onder de uitzondering van artikel 2, lid 2, onder a), AVG vallen, gelet op het feit dat het onderzoek betrekking heeft op activiteiten van de uitvoerende macht die, zoals in casu, niet binnen het toepassingsgebied van het Unierecht vallen.

29

In de derde plaats vraagt de verwijzende rechter zich, met name gelet op het constitutionele beginsel van de scheiding der machten in Oostenrijk, af of de Datenschutzbehörde – de enige nationale toezichthoudende autoriteit in de zin van artikel 51 AVG – bevoegd is om louter op grond van de verordening uitspraak te doen over een klacht als die van WK wanneer er in het nationale recht geen constitutionele grondslag is die het mogelijk maakt om te kunnen spreken van een dergelijke bevoegdheid.

30

In deze omstandigheden heeft het Verwaltungsgerichtshof de behandeling van de zaak geschorst en het Hof verzocht om een prejudiciële beslissing over de volgende vragen:

Beantwoording van de prejudiciële vragen

Eerste vraag

31

Met zijn eerste vraag wenst de verwijzende rechter in essentie te vernemen of artikel 16, lid 2, eerste volzin, VWEU en artikel 2, lid 2, onder a), AVG aldus moeten worden uitgelegd dat activiteiten louter omdat zij worden verricht door een enquêtecommissie die door het parlement van een lidstaat is ingesteld ter uitoefening van zijn recht van toezicht op de uitvoerende macht, buiten de werkingssfeer van het Unierecht vallen en daarmee zijn uitgesloten van het toepassingsgebied van deze verordening.

32

Artikel 16 VWEU, dat de rechtsgrondslag voor de AVG is, bepaalt in lid 2 dat het Europees Parlement en de Raad van de Europese Unie de voorschriften vaststellen betreffende de bescherming van natuurlijke personen wat de verwerking van persoonsgegevens door onder meer de lidstaten bij de uitoefening van activiteiten die binnen het toepassingsgebied van het Unierecht vallen betreft.

33

In overeenstemming met deze bepaling bevat artikel 2, lid 1, AVG een zeer ruime definitie van het materiële toepassingsgebied van de AVG [arrest van 22 juni 2021, Latvijas Republikas Saeima (Strafpunten), C‑439/19, EU:C:2021:504, punt 61]. Het bepaalt dat deze verordening „van toepassing [is] op de geheel of gedeeltelijk geautomatiseerde verwerking van persoonsgegevens, alsmede op de verwerking van persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen”.

34

Voorts geeft artikel 2, leden 2 en 3, AVG een uitputtende opsomming van de uitzonderingen op de regel in lid 1, waarin het materiële toepassingsgebied van deze verordening wordt gedefinieerd. In het bijzonder bepaalt artikel 2, lid 2, onder a), van die verordening dat deze niet van toepassing is op de verwerking van persoonsgegevens „in het kader van activiteiten die buiten de werkingssfeer van het Unierecht vallen”.

35

Tegen deze achtergrond vraagt de verwijzende rechter zich af of de verwerking van persoonsgegevens in het kader van de werkzaamheden van een enquêtecommissie die door het parlement van een lidstaat is ingesteld ter uitoefening van zijn recht van toezicht op de uitvoerende macht, hoe dan ook onder de uitzondering van de laatstgenoemde bepaling valt, ongeacht het voorwerp van het onderzoek.

36

In dit verband dient te worden opgemerkt dat de AVG, behoudens in de in artikel 2, leden 2 en 3, ervan genoemde gevallen, van toepassing is op zowel verwerkingen door particulieren als verwerkingen door overheidsinstanties (zie in die zin arrest van 24 maart 2022, Autoriteit Persoonsgegevens, C‑245/20, EU:C:2022:216, punt 25).

37

Uit de rechtspraak van het Hof volgt dat de uitzondering waarin artikel 2, lid 2, AVG voorziet restrictief moet worden uitgelegd [arrest van 22 juni 2021, Latvijas Republikas Saeima (Strafpunten), C‑439/19, EU:C:2021:504, punt 62 en aldaar aangehaalde rechtspraak]. In deze context heeft het Hof reeds verklaard dat artikel 2, lid 2, onder a), AVG, gelezen in het licht van overweging 16 van deze verordening, enkel tot doel heeft om de verwerking van persoonsgegevens door overheidsinstanties in het kader van activiteiten die ertoe strekken de nationale veiligheid te beschermen of in het kader van activiteiten die in die categorie kunnen worden ondergebracht, van het toepassingsgebied van die verordening uit te sluiten, zodat het feit dat een activiteit kenmerkend is voor de staat of voor een overheidsinstantie, op zichzelf niet volstaat opdat die uitzondering automatisch op die activiteit van toepassing is [arresten van 22 juni 2021, Latvijas Republikas Saeima (Strafpunten), C‑439/19, EU:C:2021:504, punt 66, en 20 oktober 2022, Koalitsia „Demokratichna Bulgaria – Obedinenie”, C‑306/21, EU:C:2022:813, punt 39].

38

Deze uitlegging, die reeds voortvloeit uit de omstandigheid dat artikel 2, lid 1, AVG geen onderscheid maakt naargelang van wie de betrokken verwerking verricht, wordt bevestigd door artikel 4, punt 7, van deze verordening, waarin het begrip „verwerkingsverantwoordelijke” wordt gedefinieerd als „een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt”.

39

Het is juist bij de uitlegging van deze laatste bepaling dat het Hof heeft geoordeeld dat een commissie verzoekschriften van het parlement van een deelstaat van een lidstaat, voor zover zij, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt, moet worden aangemerkt als „verwerkingsverantwoordelijke” in de zin van die bepaling, zodat de verwerking van persoonsgegevens door deze commissie binnen de werkingssfeer van deze verordening valt (arrest van 9 juli 2020, Land Hessen, C‑272/19, EU:C:2020:535, punt 74).

40

De door de Präsident des Nationalrates (voorzitter van het lagerhuis van het parlement, Oostenrijk) naar voren gebrachte omstandigheid dat – anders dan de commissie verzoekschriften in de zaak die heeft geleid tot het arrest van 9 juli 2020, Land Hessen (C‑272/19, EU:C:2020:535), die slechts indirect bijdroeg aan de parlementaire werkzaamheden – de BVT-enquêtecommissie een orgaan is waarvan de activiteiten rechtstreeks en uitsluitend van parlementaire aard zijn, impliceert niet dat de activiteiten van die enquêtecommissie van het toepassingsgebied van de AVG zijn uitgesloten.

41

Zoals de advocaat-generaal in punt 84 van zijn conclusie in wezen heeft opgemerkt, heeft de in artikel 2, lid 2, onder a), AVG neergelegde uitzondering op het toepassingsgebied van deze verordening immers slechts betrekking op categorieën van activiteiten die naar hun aard niet binnen de werkingssfeer van het Unierecht vallen en niet op categorieën van personen, waarbij er wordt gekeken of zij van privaatrechtelijke dan wel publiekrechtelijke aard zijn, en ook niet – wanneer de verwerkingsverantwoordelijke een overheidsinstantie is – op de omstandigheid dat de taken en plichten van die instantie rechtstreeks en uitsluitend zien op een specifieke publiekrechtelijke bevoegdheid, indien deze bevoegdheid geen verband houdt met activiteiten die hoe dan ook buiten de werkingssfeer van het Unierecht vallen.

42

Bijgevolg kan op basis van het feit dat de verwerking van persoonsgegevens wordt verricht door een enquêtecommissie die door het parlement van een lidstaat is ingesteld ter uitoefening van zijn recht van toezicht op de uitvoerende macht, als zodanig niet worden geoordeeld dat deze verwerking plaatsvindt in het kader van activiteiten die buiten de werkingssfeer van het Unierecht vallen in de zin van artikel 2, lid 2, onder a), AVG.

43

Gelet op een en ander dient op de eerste vraag te worden geantwoord dat artikel 16, lid 2, eerste volzin, VWEU en artikel 2, lid 2, onder a), AVG aldus moeten worden uitgelegd dat activiteiten niet kunnen worden geacht buiten de werkingssfeer van het Unierecht te vallen en daarmee te zijn uitgesloten van het toepassingsgebied van deze verordening om de enkele reden dat zij worden verricht door een enquêtecommissie die door het parlement van een lidstaat is ingesteld ter uitoefening van zijn recht van toezicht op de uitvoerende macht.

Tweede vraag

44

Met zijn tweede vraag wenst de verwijzende rechter in essentie te vernemen of artikel 2, lid 2, onder a), AVG, gelezen in het licht van overweging 16 van deze verordening, aldus moet worden uitgelegd dat de activiteiten die door een door het parlement van een lidstaat ter uitoefening van zijn recht van toezicht op de uitvoerende macht ingestelde enquêtecommissie worden verricht en die dienen om de activiteiten van een politiële staatsveiligheidsdienst te onderzoeken omdat er sprake is van mogelijke politieke beïnvloeding van die dienst, niet kunnen worden aangemerkt als activiteiten die betrekking hebben op de nationale veiligheid en die buiten de werkingssfeer van het Unierecht vallen in de zin van die bepaling.

45

Zoals in punt 37 van het onderhavige arrest in herinnering is gebracht, moet artikel 2, lid 2, onder a), AVG restrictief worden uitgelegd en heeft het enkel tot doel de verwerking van persoonsgegevens door overheidsinstanties in het kader van activiteiten die ertoe strekken de nationale veiligheid te beschermen of in het kader van activiteiten die in dezelfde categorie kan worden ondergebracht, van het toepassingsgebied van die verordening uit te sluiten.

46

De in artikel 2, lid 2, onder a), AVG bedoelde activiteiten die ertoe strekken de nationale veiligheid te beschermen, bestrijken met name de activiteiten die tot doel hebben de essentiële functies van de staat en de fundamentele belangen van de samenleving te beschermen [arresten van 22 juni 2021, Latvijas Republikas Saeima (Strafpunten), C‑439/19, EU:C:2021:504, punt 67, en 20 oktober 2022, Koalitsia „Demokratichna Bulgaria – Obedinenie”, C‑306/21, EU:C:2022:813, punt 40].

47

Overeenkomstig artikel 4, lid 2, VEU blijven dergelijke activiteiten de uitsluitende verantwoordelijkheid van de lidstaten (zie in die zin arrest van 15 juli 2021, Ministrstvo za obrambo, C‑742/19, EU:C:2021:597, punt 36).

48

In casu blijkt uit het dossier waarover het Hof beschikt dat de BVT-enquêtecommissie is ingesteld door het lagerhuis van het parlement om te onderzoeken of er mogelijk sprake is van politieke beïnvloeding van de BVT, die in de in het hoofdgeding aan de orde zijnde periode tot taak had de bescherming van de grondwet te waarborgen en terrorisme te bestrijden.

49

De voorzitter van het lagerhuis van het parlement en de Tsjechische regering zijn in wezen van mening dat de activiteiten van de BVT onder de uitzondering van artikel 2, lid 2, onder a), AVG vallen omdat zijn taken „activiteiten betreffende de nationale veiligheid” omvatten. Volgens hen vallen ook de activiteiten van een enquêtecommissie van het parlement van een lidstaat die bestaan uit het toezicht houden op overheidsinstanties die, net als de BVT, belast zijn met het waarborgen van de nationale veiligheid, onder dat begrip. Betoogd wordt dat de toezichthoudende activiteiten van die enquêtecommissie namelijk tot doel hebben om na te gaan of de autoriteiten waarop toezicht wordt gehouden de nationale veiligheid naar behoren waarborgen.

50

In dit verband moet erop worden gewezen dat het weliswaar aan de lidstaten staat om overeenkomstig artikel 4, lid 2, VEU hun wezenlijke veiligheidsbelangen te definiëren en om passende maatregelen te nemen teneinde hun binnenlandse en buitenlandse veiligheid te verzekeren, maar dat het enkele feit dat een nationale maatregel is genomen met het oog op de bescherming van de nationale veiligheid er niet toe kan leiden dat het Unierecht niet van toepassing is en dat de lidstaten worden ontheven van de verplichting om dit recht te eerbiedigen (zie in die zin arrest van 15 juli 2021, Ministrstvo za obrambo, C‑742/19, EU:C:2021:597, punt 40 en aldaar aangehaalde rechtspraak).

51

Zoals in punt 41 van het onderhavige arrest is opgemerkt, heeft de uitzondering van artikel 2, lid 2, onder a), AVG slechts betrekking op categorieën van activiteiten die naar hun aard niet binnen de werkingssfeer van het Unierecht vallen en niet op categorieën van personen, waarbij er wordt gekeken of zij van privaatrechtelijke dan wel publiekrechtelijke aard zijn, en ook niet – wanneer de verwerkingsverantwoordelijke een overheidsinstantie is – op de omstandigheid dat de taken en plichten van die instantie rechtstreeks en uitsluitend zien op een specifieke publiekrechtelijke bevoegdheid, indien deze bevoegdheid geen verband houdt met activiteiten die hoe dan ook buiten de werkingssfeer van het Unierecht vallen. Het is op zichzelf niet voldoende dat de verwerkingsverantwoordelijke een overheidsinstantie is waarvan de hoofdactiviteiten bestaan uit het waarborgen van de nationale veiligheid om de verwerking van persoonsgegevens die deze instantie in het kader van andere door haar uitgevoerde activiteiten verricht uit te sluiten van het toepassingsgebied van de AVG.

52

In casu blijkt uit het dossier waarover het Hof beschikt dat de enquêtecommissie die in het hoofdgeding aan de orde is tot doel had om politiek toezicht uit te oefenen op de activiteiten van de BVT vanwege mogelijke politieke beïnvloeding van dat orgaan, maar dat er bij dit toezicht als zodanig geen sprake lijkt te zijn van activiteiten waarmee de nationale veiligheid wordt beschermd of die in die categorie kunnen worden ondergebracht in de zin van de in punt 45 van het onderhavige arrest in herinnering gebrachte rechtspraak. Hieruit volgt dat deze activiteiten, onder voorbehoud van verificatie door de verwijzende rechter, niet buiten het toepassingsgebied van de AVG vallen op grond van artikel 2, lid 2, onder a), AVG.

53

Een parlementaire enquêtecommissie zoals die welke in het hoofdgeding aan de orde is, kan in het kader van haar werkzaamheden echter toegang hebben tot informatie, waaronder ook persoonsgegevens, die om redenen van nationale veiligheid bijzondere bescherming behoeven. Zo kan het zijn dat er beperkingen gelden voor de aan de betrokkenen bij het verzamelen van persoonsgegevens te verstrekken informatie of dat de toegang van die personen tot die gegevens wordt beperkt.

54

In dit verband bepaalt artikel 23 AVG dat er door middel van een Unierechtelijke of lidstaatrechtelijke wetgevingsmaatregel beperkingen aan de verplichtingen en rechten als bedoeld in de artikelen 5, 12 tot en met 22 en 34 AVG kunnen worden gesteld, onder meer ter waarborging van de nationale veiligheid of een taak op het gebied van toezicht die verband houdt met de uitoefening van het openbaar gezag, waaronder ook de uitoefening daarvan in het kader van de nationale veiligheid.

55

De noodzaak om de nationale veiligheid te waarborgen kan dus rechtvaardigen dat de uit de AVG voortvloeiende verplichtingen en rechten door middel van een Unierechtelijke of lidstaatrechtelijke wetgevingsmaatregel worden beperkt, met name waar het gaat om het verzamelen van persoonsgegevens, de aan de betrokkenen te verstrekken informatie en hun toegang tot die gegevens of de openbaarmaking ervan – zonder toestemming van de betrokkenen – aan andere personen dan de verwerkingsverantwoordelijke, op voorwaarde dat die beperking de wezenlijke inhoud van de grondrechten en fundamentele vrijheden van de betrokkenen onverlet laat en in een democratische samenleving een noodzakelijke en evenredige maatregel is.

56

In casu blijkt uit het dossier waarover het Hof beschikt echter niet dat de BVT-enquêtecommissie heeft gesteld dat de openbaarmaking van de persoonsgegevens van WK, die zonder zijn toestemming plaatsvond toen het verslag van de hoorzitting voor deze commissie op de website van het Oostenrijkse parlement werd gepubliceerd, noodzakelijk was om de nationale veiligheid te waarborgen en gebaseerd was op een daartoe vastgestelde nationale wetgevingsmaatregel. Het staat evenwel aan de verwijzende rechter om indien nodig de daartoe noodzakelijke verificaties te verrichten.

57

Gelet op een en ander moet op de tweede vraag worden geantwoord dat artikel 2, lid 2, onder a), AVG, gelezen in het licht van overweging 16 ervan, aldus moet worden uitgelegd dat de activiteiten die door een door het parlement van een lidstaat ter uitoefening van zijn recht van toezicht op de uitvoerende macht ingestelde enquêtecommissie worden verricht en die dienen om de activiteiten van een politiële staatsveiligheidsdienst te onderzoeken omdat er sprake is van mogelijke politieke beïnvloeding van die dienst, als zodanig niet kunnen worden aangemerkt als activiteiten die betrekking hebben op de nationale veiligheid en die buiten de werkingssfeer van het Unierecht vallen in de zin van die bepaling.

Derde vraag

58

Met zijn derde vraag wenst de verwijzende rechter in essentie te vernemen of artikel 77, lid 1, en artikel 55, lid 1, AVG aldus moeten worden uitgelegd dat, wanneer een lidstaat er overeenkomstig artikel 51, lid 1, van deze verordening voor heeft gekozen één enkele toezichthoudende autoriteit in te stellen, maar er niet de bevoegdheid aan heeft toegekend om toezicht te houden op de toepassing van de AVG door een enquêtecommissie die door het parlement van deze lidstaat is ingesteld ter uitoefening van zijn recht van toezicht op de uitvoerende macht, die bepalingen aan deze autoriteit rechtstreeks de bevoegdheid verlenen om kennis te nemen van klachten over de verwerking van persoonsgegevens door die enquêtecommissie.

59

Ter beantwoording van deze vraag dient eraan te worden herinnerd dat een verordening volgens artikel 288, tweede alinea, VWEU verbindend is in al haar onderdelen en rechtstreeks toepasselijk is in elke lidstaat.

60

Volgens vaste rechtspraak hebben bepalingen van verordeningen krachtens dat artikel en wegens hun aard en hun functie in het systeem van de bronnen van het Unierecht in het algemeen rechtstreekse werking in de nationale rechtsorden, zonder dat de nationale autoriteiten uitvoeringsmaatregelen hoeven vast te stellen (arrest van 15 juni 2021, Facebook Ireland e.a., C‑645/19, EU:C:2021:483, punt 110 en aldaar aangehaalde rechtspraak).

61

Volgens artikel 77, lid 1, AVG heeft iedere betrokkene het recht een klacht in te dienen bij een toezichthoudende autoriteit, indien hij van mening is dat de verwerking van hem betreffende persoonsgegevens inbreuk maakt op deze verordening. Voorts heeft volgens artikel 55, lid 1, AVG elke toezichthoudende autoriteit de competentie om op het grondgebied van haar lidstaat de taken uit te voeren die haar overeenkomstig deze verordening zijn opgedragen en de bevoegdheden uit te oefenen die haar overeenkomstig deze verordening zijn toegekend.

62

Uit de bewoordingen van deze bepalingen blijkt dat, zoals de advocaat-generaal in punt 132 van zijn conclusie in wezen heeft opgemerkt, artikel 77, lid 1, en artikel 55, lid 1, AVG geen nationale uitvoeringsmaatregelen vereisen en voldoende duidelijk, nauwkeurig en onvoorwaardelijk zijn om rechtstreekse werking te hebben.

63

Hieruit volgt dat de AVG de lidstaten overeenkomstig artikel 51, lid 1, ervan weliswaar een beoordelingsmarge laat met betrekking tot het aantal in te stellen toezichthoudende autoriteiten, maar dat deze verordening wel bepaalt welke reikwijdte de bevoegdheden van deze autoriteiten, ongeacht hun aantal, hebben opdat zij toezicht houden op de toepassing van de verordening.

64

Zoals de advocaat-generaal in punt 137 van zijn conclusie in wezen heeft opgemerkt is het zo dat, wanneer een lidstaat ervoor kiest om één enkele toezichthoudende autoriteit in te stellen, deze dan noodzakelijkerwijs beschikt over alle bevoegdheden die de AVG aan de toezichthoudende autoriteiten toekent.

65

Een andersluidende uitlegging zou afbreuk doen aan de effectiviteit van artikel 55, lid 1, en artikel 77, lid 1, AVG en zou de effectiviteit kunnen aantasten van alle andere bepalingen van deze verordening die relevant zouden kunnen zijn voor een klacht.

66

Bovendien heeft de Uniewetgever, waar hij de bevoegdheid van de toezichthoudende autoriteiten heeft willen beperken met betrekking tot het toezicht op verwerkingen door overheidsinstanties, dat uitdrukkelijk gedaan, zoals blijkt uit artikel 55, lid 3, AVG, volgens hetwelk deze autoriteiten niet competent zijn om toe te zien op verwerkingen door gerechten bij de uitoefening van hun rechterlijke taken.

67

De Datenschutzbehörde, de voorzitter van het lagerhuis van het parlement en de Oostenrijkse regering merken op dat bepalingen van Oostenrijks constitutioneel recht de uitvoerende macht verbieden toezicht uit te oefenen op de wetgevende macht. Deze bepalingen sluiten volgens hen dus uit dat de Datenschutzbehörde, die onderdeel is van de uitvoerende macht, toezicht kan uitoefenen op de toepassing van de AVG door de BVT-enquêtecommissie, die onderdeel is van de wetgevende macht.

68

Het is echter juist met het oog op de constitutionele structuur van de lidstaten dat artikel 51, lid 1, AVG slechts vereist dat de lidstaten ten minste één toezichthoudende autoriteit instellen, maar hun de mogelijkheid laat om er meerdere in te stellen. Overweging 117 van deze verordening vermeldt overigens dat de lidstaten de mogelijkheid moeten hebben om in overeenstemming met hun constitutionele, organisatorische en bestuurlijke structuur meer dan één toezichthoudende autoriteit in te stellen.

69

Artikel 51, lid 1, AVG verleent elke lidstaat dus een beoordelingsmarge waardoor hij zo veel toezichthoudende autoriteiten kan instellen als nodig is, met name vanwege zijn constitutionele structuur.

70

Er zij bovendien aan herinnerd dat de omstandigheid dat een lidstaat zich beroept op bepalingen van nationaal recht niet kan afdoen aan de eenheid en de werking van het Unierecht. De gevolgen van het beginsel van voorrang van het Unierecht zijn immers bindend voor alle organen van een lidstaat, zonder dat de nationale bepalingen – waaronder de grondwettelijke – daaraan in de weg kunnen staan [arrest van 22 februari 2022, RS (Gevolgen van de uitspraken van een grondwettelijk hof), C‑430/21, EU:C:2022:99, punt 51 en aldaar aangehaalde rechtspraak].

71

Wanneer een lidstaat in het kader van zijn beoordelingsmarge ervoor heeft gekozen om één enkele toezichthoudende autoriteit in te stellen, kan hij zich niet beroepen op bepalingen van nationaal recht, ook niet van constitutionele aard, om onder de AVG vallende verwerkingen van persoonsgegevens aan het toezicht van deze autoriteit te onttrekken.

72

Gelet op het voorgaande moet op de derde vraag worden geantwoord dat artikel 77, lid 1, en artikel 55, lid 1, AVG aldus moeten worden uitgelegd dat, wanneer een lidstaat er overeenkomstig artikel 51, lid 1, van deze verordening voor heeft gekozen één enkele toezichthoudende autoriteit in te stellen, maar er niet de bevoegdheid aan heeft toegekend om toezicht te houden op de toepassing van de AVG door een enquêtecommissie die door het parlement van deze lidstaat is ingesteld ter uitoefening van zijn recht van toezicht op de uitvoerende macht, die bepalingen aan deze autoriteit rechtstreeks de bevoegdheid verlenen om kennis te nemen van klachten over de verwerking van persoonsgegevens door die enquêtecommissie.

Kosten

73

Ten aanzien van de partijen in het hoofdgeding is de procedure als een aldaar gerezen incident te beschouwen, zodat de verwijzende rechter over de kosten heeft te beslissen. De door anderen wegens indiening van hun opmerkingen bij het Hof gemaakte kosten komen niet voor vergoeding in aanmerking.

1)

Artikel 16, lid 2, eerste volzin, VWEU, en artikel 2, lid 2, onder a), van verordening \(EU\) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming)

2)

Artikel 2, lid 2, onder a), van verordening 2016/679, gelezen in het licht van overweging 16 van deze verordening,

3)

Artikel 77, lid 1, en artikel 55, lid 1, van verordening 2016/679