–

за Österreichische Datenschutzbehörde, от A. Jelinek и M. Schmidl, в качеството на представители,

–

за WK, от M. Sommer, Rechtsanwalt,

–

за Präsident des Nationalrates, от C. Neugebauer и R. Posnik, в качеството на представители,

–

за австрийското правителство, от A. Posch, J. Schmoll, S. Dörnhöfer и C. Leeb, в качеството на представители,

–

за чешкото правителство, от O. Serdula, M. Smolek и J. Vláčil, в качеството на представители,

–

за Европейската комисия, от A. Bouchagiar, M. Heller и H. Kranenborg, в качеството на представители,

1

Преюдициалното запитване се отнася до тълкуването на член 16, параграф 2, първо изречение ДФЕС и на член 2, параграф 2, буква а), член 51, параграф 1, член 55, параграф 1 и член 77, параграф 1 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните) (ОВ L 119, 2016 г., стр. 1, наричан по-нататък „ОРЗД“).

2

Запитването е отправено в рамките на спор между Österreichische Datenschutzbehörde (Орган за защита на данните, Австрия) (наричан по-нататък „Datenschutzbehörde“) и WK относно жалбата, подадена от WK, за твърдяно нарушение на правото му на защита на неговите лични данни.

3

Съображения 16, 20 и 117 от ОРЗД гласят:

[…]

[…]

4

Член 2 („Материален обхват“) от ОРЗД предвижда:

„1.   Настоящият регламент се прилага за обработването на лични данни изцяло или частично с автоматични средства, както и за обработването с други средства на лични данни, които са част от регистър с лични данни или които са предназначени да съставляват част от регистър с лични данни.

2.   Настоящият регламент не се прилага за обработването на лични данни:

[…]

3.   При обработването на лични данни от институциите, органите, службите и агенциите на Съюза се прилага Регламент (ЕО) № 45/2001 [на Европейския парламент и на Съвета от 18 декември 2000 година относно защитата на лицата по отношение на обработката на лични данни от институции и органи на Общността и за свободното движение на такива данни (ОВ L8, 2001 г., стр. 1; Специално издание на български език, 2007 г., глава 13, том 30, стр. 142)]. Регламент (ЕО) № 45/2001 и другите правни актове на Съюза, приложими към подобна обработка на лични данни, се адаптират към принципите и правилата на настоящия регламент в съответствие с член 98.

[…]“.

5

Член 4 („Определения“) от ОРЗД гласи:

„За целите на настоящия регламент:

[…]

[…]“.

6

Член 23 („Ограничения“) от ОРЗД предвижда в параграф 1:

„В правото на Съюза или правото на държава членка, което се прилага спрямо администратора или обработващия лични данни, чрез законодателна мярка може да се ограничи обхватът на задълженията и правата, предвидени в членове 12—22 и в член 34, както и в член 5, доколкото неговите разпоредби съответстват на правата и задълженията, предвидени в членове 12—22, когато подобно ограничение е съобразено със същността на основните права и свободи и представлява необходима и пропорционална мярка в едно демократично общество с цел да се гарантира:

[…]

[…]“.

7

Член 51 („Надзорен орган“) от ОРЗД прогласява в параграф 1:

„Всяка държава членка осигурява един или повече независими публични органи, които са отговорни за наблюдението на прилагането на настоящия регламент, за да се защитят основните права и свободи на физическите лица във връзка с обработването и да се улесни свободното движение на личните данни в рамките на Съюза („надзорен орган“)“.

8

Член 54 („Правила за създаването на надзорния орган“) от ОРЗД предвижда в параграф 1:

„Всяка държава членка урежда със закон всичко от по-долу посоченото:

[…]“.

9

Съгласно член 55 („Компетентност“) от ОРЗД:

„1.   Всеки надзорен орган е компетентен да изпълнява задачите и да упражнява правомощията, възложени му в съответствие с настоящия регламент, на територията на своята собствена държава членка.

2.   Когато обработването се извършва от публични органи или частни организации на основание член 6, параграф 1, буква в) или д), компетентен е надзорният орган на съответната държава членка. В тези случаи член 56 не се прилага.

3.   Надзорните органи не са компетентни да осъществяват надзор на дейностите по обработване, извършвани от съдилищата при изпълнение на съдебните им функции“.

10

Член 77 („Право на подаване на жалба до надзорен орган“) от ОРЗД предвижда в параграф 1:

„1.   Без да се засягат които и да било други административни или съдебни средства за правна защита, всеки субект на данни има право да подаде жалба до надзорен орган, по-специално в държавата членка на обичайно местопребиваване, място на работа или място на предполагаемото нарушение, ако субектът на данни счита, че обработването на лични данни, отнасящи се до него, нарушава разпоредбите на настоящия регламент.

2.   Надзорният орган, до когото е подадена жалбата, информира жалбоподателя за напредъка в разглеждането на жалбата и за резултата от нея, включително за възможността за съдебна защита съгласно член 78“.

11

Съгласно член 53 от Bundes-Verfassungsgesetz (Федерален конституционен закон), повторно обнародван на 2 януари 1930 г. (BGBl. 1/1930), в приложимата му редакция към фактите по главното производство (наричан по-нататък „B-VG“):

„(1) Nationalrat [(Национален съвет, камарата на народните представители в австрийския парламент)] може да реши да създаде анкетни комисии. Анкетна комисия се създава и по искане на една четвърт от членовете му.

(2) Разследването се отнася до минала дейност в област от обхвата на изпълнителната власт на федерално равнище. Това включва всички дейности на федералните органи, чрез които федералната държава, независимо от размера на своето участие, упражнява права на участие и надзор. Не се допуска преразглеждане на съдебната практика.

(3) Всички органи на федералната държава, федералните провинции, общините и сдруженията от общини, както и на другите органи на самоуправление, трябва при поискване да представят своите преписки и документи на анкетната комисия, доколкото те попадат в предмета на разследването, и са длъжни да изпълняват исканията на анкетна комисия за събиране на доказателства във връзка с предмета на разследването. Това не важи за представянето на преписки и документи, разкриването на които би застрашило източниците по смисъла на член 52a, параграф 2.

(4) Задължението по параграф 3 не е налице, ако би се засегнал правният процес по формиране или непосредствената подготовка по формиране на волята на федералното правителство или на някои от неговите членове.

[…]“.

12

B-VG предвижда разделение на законодателната, изпълнителната и съдебната власт, като за всяко накърняване на този принцип на разделение е необходимо конституционно основание.

13

Член 1, параграф 1 от Datenschutzgesetz (Закон за защита на данните) от 17 август 1999 г. (BGBl. I, 165/1999), в приложимата му редакция към фактите по главното производство (наричан по-нататък „DSG“), предвижда:

„Всеки има право, с оглед и на зачитането на личния и семейния му живот, на поверителност на личните му данни, доколкото е налице съответен подлежащ на защита интерес. Такъв интерес не съществува, когато поради общата си достъпност или невъзможността от тях да се стигне до субекта на данни, данните не дават право на поверителност“.

14

Съгласно член 18, параграф 1 от DSG:

„Datenschutzbehörde се създава като национален надзорен орган в съответствие с член 51 от ОРЗД“.

15

Член 24, параграф 1 от DSG има следното съдържание:

„Всеки субект на данни има право да подаде жалба до Datenschutzbehörde, ако счита, че обработването на лични данни, отнасящи се до него, нарушава разпоредбите на ОРЗД или на член 1 или член 2, първа глава“.

16

Член 35 от DSG предвижда:

„1. Datenschutzbehörde има за задача да гарантира защитата на данните в съответствие с разпоредбите на ОРЗД и на този федерален закон.

2. Datenschutzbehörde упражнява своите правомощия и спрямо върховните органи на изпълнителната власт, посочени в член 19 от B-VG, както и спрямо върховните органи съгласно член 30, параграфи 3—6, член 125, член 134, параграф 8 и член 148h, параграфи 1 и 2 от B-VG, що се отнася до административните въпроси от тяхната компетентност“.

17

С решение от 20 април 2018 г. Националният съвет създава на основание член 53 от B-VG анкетна комисия, на която е възложено да изясни дали е налице евентуално политическо влияние върху Bundesamt für Verfassungsschutz und Terrorismusbekämpfung (Федерална служба за защита на конституцията и борба с тероризма, Австрия) (наричана по-нататък „BVT“), на мястото на която от 1 декември 2021 г. е създадена Direktion Staatsschutz und Nachrichtendienst (Дирекция „Защита на държавата и разузнавателни служби“, Австрия).

18

На 19 септември 2018 г. тази анкетна комисия (наричана по-нататък „анкетната комисия за BVT“) изслушва WK като свидетел по време на заседание, на което могат да присъстват представители на медиите. Въпреки искането за анонимизиране, направено от WK, докладът от това заседание, в който е цитирано пълното му лично и фамилно име, е публикуван на интернет страницата на Parlament Österreich (австрийския парламент).

19

На 2 април 2019 г. WK подава жалба до Datenschutzbehörde, в която твърди, че публикуването против волята му на доклада от споменатото заседание, в който е разкрита самоличността на WK, противоречи на разпоредбите на ОРЗД и на член 1 от DSG. В жалбата си той посочва, че работи като агент под прикритие в звеното на полицията за борба с уличната престъпност.

20

С решение от 18 септември 2019 г. Datenschutzbehörde отхвърля тази жалба. Datenschutzbehörde приема, че по принцип ОРЗД не е пречка надзорните органи да осъществяват надзор върху законодателните органи, но по силата на принципа на разделение на властите е изключено законодателната власт да подлежи на надзор от страна на изпълнителната власт. При това положение, и доколкото анкетната комисия за BVT била част от законодателната власт, Datenschutzbehörde — орган на изпълнителната власт, нямал правомощие да контролира дейността на тази комисия и следователно нямал компетентност да се произнесе по жалбата на WK.

21

С решение от 23 ноември 2020 г. Bundesverwaltungsgericht (Федерален административен съд, Австрия) уважава жалбата по съдебен ред, подадена от WK, и отменя решението на Datenschutzbehörde. Той по същество приема, че ОРЗД е приложим към актовете на законодателя, а следователно и към действията на анкетната комисия за BVT. Той посочва, че материалният обхват на ОРЗД, както е определен в член 2, параграф 1 от него, е формулиран изчерпателно и визира всякакво обработване на данни, независимо от субекта, който извършва обработването, и от това какви функции на държавната власт упражнява този субект. Според него от член 2, параграф 2 от ОРЗД не може да се изведе и правило, че приложимостта на този регламент се дерогира за някои функции на държавната власт, като законодателната функция, понеже дерогацията по буква а) от тази разпоредба трябва да се тълкува стриктно. Ето защо според Bundesverwaltungsgericht (Федерален административен съд) Datenschutzbehörde има компетентност да се произнесе по жалбата на WK съгласно член 77 от този регламент.

22

Сезиран от Datenschutzbehörde с ревизионна жалба срещу решението на Bundesverwaltungsgericht (Федерален административен съд), Verwaltungsgerichtshof (Върховен административен съд, Австрия), който е запитващата юрисдикция по настоящото дело, иска да се установи, на първо място, дали актовете на създадена от парламента на държава членка анкетна комисия са — независимо дори от предмета на разследване — изключени от приложното поле на ОРЗД по силата на член 2, параграф 2, буква а) от него и на член 16, параграф 2, първо изречение ДФЕС, по съображение че работата на такава комисия по естеството си представлява дейност, която е извън приложното поле на правото на Съюза.

23

Във връзка с това посочената юрисдикция отбелязва най-напред, че съгласно релевантната практика на Съда, и по-специално решение от 9 юли 2020 г., Land Hessen (C‑272/19, EU:C:2020:535), за целите на прилагането на ОРЗД не може да се изисква съответното обработване на лични данни да се извършва конкретно за цели, които попадат в обхвата на правото на Съюза, независимо дали това обработване е трансгранично, или засяга конкретно и пряко свободното движение между държавите членки. Обратно, според тази юрисдикция приложимостта на цитирания регламент е изключена само ако е изпълнено поне едно от условията за прилагане на дерогацията по член 2, параграф 2, букви а)—г) от същия регламент.

24

В тази насока запитващата юрисдикция припомня, че съгласно практиката на Съда за член 2, параграф 2, буква а) от ОРЗД, разглеждан във връзка със съображение 16 от този регламент, трябва да се счита, че цели единствено да изключи от приложното поле на посочения регламент обработването на лични данни, извършвано от държавните органи в рамките на дейност, насочена към запазване на националната сигурност, или на дейност, която може да бъде причислена към същата категория. Посочените в член 2, параграф 2, буква а) от ОРЗД дейности, които имат за цел защита на националната сигурност, обхващат по-специално дейностите, които имат за предмет защитата на съществените функции на държавата и на основните интереси на обществото (решение от 22 юни 2021 г., Latvijas Republikas Saeima (Точки за пътнотранспортни нарушения),C‑439/19, EU:C:2021:504, т. 62—67 и цитираната съдебна практика).

25

По-нататък, тя подчертава някои разлики между парламентарната комисия по делото, по което е постановено решение от 9 юли 2020 г., Land Hessen (C‑272/19, EU:C:2020:535), т.е. комисията по петиции на парламента на провинция Хесен (Германия), и анкетната комисия за BVT. По-специално, според нея работата на последната комисия не просто допринася косвено за парламентарната дейност, а е в ядрото на тази дейност, поради контролната функция, която B-VG е възложил на анкетните комисии, създадени от Националния съвет.

26

Накрая, запитващата юрисдикция се позовава на принципа на разделение на законодателна, изпълнителна и съдебна власт, присъщ и на правото на всяка държава членка, и на правото на Съюза. Действително член 55, параграф 3 от ОРЗД единствено изключва компетентността на надзорните органи да осъществяват надзор върху обработването на лични данни, извършено от съдилищата при осъществяване на съдебната им дейност, и не визира обработването на данни, извършено в рамките на ядрото на парламентарната дейност. За нея обаче това мълчание би могло да се обясни с факта, че за законодателя на Съюза последната дейност е извън приложното поле на цитирания регламент по силата още на член 2, параграф 2, буква а) от него.

27

На второ място, запитващата юрисдикция подчертава, че предмет на разследването на анкетната комисия за BVT са дейности в областта на националната сигурност, които от гледна точка на съображение 16 от ОРЗД попадат извън приложното поле на правото на Съюза и следователно са изключени от материалния обхват на този регламент, в съответствие с член 2, параграф 2, буква а) от него.

28

Ето защо според нея, ако се предположи, че дейността по парламентарен контрол на анкетна комисия по принцип попада в приложното поле на правото на Съюза по смисъла на член 16, параграф 2, ДФЕС, следва да се провери и дали дейностите ѝ попадат в обхвата поне на изключението по член 2, параграф 2, буква а) от ОРЗД, с оглед на факта, че предмет на разследването са дейности на изпълнителната власт, които, както в настоящия случай, са извън приложното поле на правото на Съюза.

29

На трето място, запитващата юрисдикция иска да се установи дали, предвид по-специално на конституционния принцип на разделение на властите в Австрия, Datenschutzbehörde — единственият национален надзорен орган по смисъла на член 51 от ОРЗД, има компетентност въз основа само на този регламент да се произнесе по жалба като подадената от WK, при положение че в националното право изобщо липсва конституционно основание, което да позволява да се направи извод за такава компетентност.

30

При тези обстоятелства Verwaltungsgerichtshof (Върховен административен съд) решава да спре производството и да постави на Съда следните преюдициални въпроси:

При утвърдителен отговор на първия въпрос:

При отрицателен отговор на втория въпрос:

31

С първия си въпрос запитващата юрисдикция по същество иска да се установи дали член 16, параграф 2, първо изречение ДФЕС и член 2, параграф 2, буква а) от ОРЗД трябва да се тълкуват в смисъл, че дадена дейност само защото се извършва от анкетна комисия, създадена от парламента на държава членка при упражняването на правомощието му на контрол върху изпълнителната власт, попада извън приложното поле на правото на Съюза, а следователно и на този регламент.

32

Член 16 ДФЕС, който е правното основание на ОРЗД, предвижда в параграф 2, че Европейският парламент и Съветът на Европейския съюз определят правилата в частност за защита на физическите лица по отношение на обработката на личните данни от държавите членки при извършване на дейности, които попадат в обхвата на правото на Съюза.

33

В съзвучие с тази разпоредба член 2, параграф 1 от ОРЗД определя много широко материалния обхват на този регламент (решение от 22 юни 2021 г., Latvijas Republikas Saeima (Точки за пътнотранспортни нарушения),C‑439/19, EU:C:2021:504, т. 61). Всъщност той предвижда, че този регламент „се прилага за обработването на лични данни изцяло или частично с автоматични средства, както и за обработването с други средства на лични данни, които са част от регистър с лични данни или които са предназначени да съставляват част от регистър с лични данни“.

34

По-нататък, пак член 2 от ОРЗД изчерпателно изброява в параграфи 2 и 3 изключенията от правилото, което определя материалния обхват на този регламент и е прогласено в параграф 1 от него. По-специално член 2, параграф 2, буква а) от същия регламент уточнява, че този регламент не се прилага за обработването на лични данни „в хода на дейности, които са извън приложното поле на правото на Съюза“.

35

При тези обстоятелства запитващата юрисдикция иска да се установи дали обработването на лични данни в рамките на дейността на анкетна комисия, създадена от парламента на държава членка при упражняване на правомощието му на контрол върху изпълнителната власт, във всички случаи и независимо от предмета на разследването попада в обхвата на изключението, предвидено в последната разпоредба.

36

В тази насока следва да се припомни, че освен в случаите, посочени в член 2, параграфи 2 и 3 от ОРЗД, този регламент се прилага към дейностите по обработване, извършвани както от частноправни субекти, така и от публични органи (вж. в този смисъл решение от 24 март 2022 г., Autoriteit Persoonsgegevens,C‑245/20, EU:C:2022:216, т. 25).

37

Видно от практиката на Съда, изключението по член 2, параграф 2 от ОРЗД трябва да се тълкува стриктно (решение от 22 юни 2021 г., Latvijas Republikas Saeima (Точки за пътнотранспортни нарушения),C‑439/19, EU:C:2021:504, т. 62 и цитираната съдебна практика). В тази насока Съдът вече е имал повод да изясни, че член 2, параграф 2, буква а) от този регламент, разглеждан във връзка със съображение 16 от него, има за цел единствено да изключи от приложното поле на посочения регламент обработването на лични данни, извършвано от държавните органи в рамките на дейност, насочена към запазване на националната сигурност, или на дейност, която може да бъде причислена към същата категория, от което следва, че сам по себе си фактът, че дадена дейност е присъща на държавата или на публичен орган, не е достатъчен, за да може това изключение да се прилага автоматично към подобна дейност (решения от 22 юни 2021 г., Latvijas Republikas Saeima (Точки за пътнотранспортни нарушения),C‑439/19, EU:C:2021:504, т. 62, и от 20 октомври 2022 г., Коалиция Демократична България — Обединение, C‑306/21, EU:C:2022:813, т. 39).

38

Изложеното тълкуване, което следва още от факта, че член 2, параграф 1 от ОРЗД не провежда разграничение съобразно това кой извършва съответното обработване, се потвърждава от член 4, точка 7 от този регламент, съгласно която „администратор“ е „физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни“.

39

При тълкуването именно на последната разпоредба Съдът е постановил, че доколкото комисия по петиции на парламент на федерална провинция на държава членка сама или съвместно с други определя целите и средствата за обработването на лични данни, тази комисия трябва да се квалифицира като „администратор“ по смисъла на посочената разпоредба, поради което извършваното от нея обработване на лични данни попада в приложното поле на този регламент (решение от 9 юли 2020 г., Land Hessen,C‑272/19, EU:C:2020:535, т. 74).

40

Фактът, подчертан от Präsident des Nationalrates (председателя на Националния съвет, Австрия), че за разлика от комисията по петициите в делото, по което е постановено решение от 9 юли 2020 г., Land Hessen (C‑272/19, EU:C:2020:535), която допринася само непряко за парламентарната дейност, анкетната комисия за BVT е орган, чиято дейност е пряко и изключително парламентарна по естеството си, не означава, че дейностите на последната комисия са изключени от приложното поле на ОРЗД.

41

Както отбелязва по същество генералният адвокат в точка 84 от заключението си, всъщност изключването от приложното поле на ОРЗД, предвидено в член 2, параграф 2, буква а) от този регламент, се отнася само до категории дейности, които поради естеството си не попадат в приложното поле на правото на Съюза, а не до категории лица — публично- или частноправни — нито пък, когато администраторът е публичен орган, до обстоятелството, че задълженията и функциите на този орган спадат пряко и единствено към определено властническо правомощие, без това правомощие да се свързва с дейност, която при всички положения е изключена от приложното поле на правото на Съюза.

42

Ето защо обстоятелството, че обработването на лични данни се извършва от анкетна комисия, създадена от парламента на държава членка при упражняване на правомощието му на контрол върху законодателната власт, само по себе си не дава основание да се направи извод, че това обработване се извършва в рамките на дейност, която е извън приложното поле на правото на Съюза, по смисъла на член 2, параграф 2, буква а) от ОРЗД.

43

С оглед на изложеното дотук на първия въпрос следва да се отговори, че член 16, параграф 2, първо изречение ДФЕС и член 2, параграф 2, буква а) от ОРЗД трябва да се тълкуват в смисъл, че не може да се смята, че дадена дейност попада извън приложното поле на правото на Съюза, а следователно и на този регламент, само защото тя се извършва от анкетна комисия, създадена от парламента на държава членка при упражняване на правомощието му на контрол върху изпълнителната власт.

44

С втория си въпрос запитващата юрисдикция по същество иска да се установи дали член 2, параграф 2, буква а) от ОРЗД във връзка със съображение 16 от този регламент трябва да се тълкува в смисъл, че дейностите на анкетна комисия, създадена от парламента на държава членка при упражняване на правомощието му на контрол върху изпълнителната власт, предмет на които е разследването на дейностите на полицейски орган за защита на държавата поради подозрения за политическо влияние върху този орган, не могат да се смятат за дейности в областта на националната сигурност, които са извън приложното поле на правото на Съюза, по смисъла на тази разпоредба.

45

Както бе припомнено в точка 37 от настоящото решение, член 2, параграф 2, буква а) от ОРЗД трябва да се тълкува стриктно и има за цел единствено да изключи от приложното поле на посочения регламент обработването на лични данни, извършвано от държавните органи в рамките на дейност, насочена към запазване на националната сигурност, или на дейност, която може да бъде причислена към същата категория.

46

Дейностите, които имат за цел защита на националната сигурност по смисъла на член 2, параграф 2, буква а) от ОРЗД, обхващат по-специално дейностите, които имат за предмет защитата на съществените функции на държавата и на основните интереси на обществото (решения от 22 юни 2021 г., Latvijas Republikas Saeima (Точки за пътнотранспортни нарушения),C‑439/19, EU:C:2021:504, т. 67, и от 20 октомври 2022 г., Коалиция Демократична България — Обединение, C‑306/21, EU:C:2022:813, т. 40).

47

В съответствие с член 4, параграф 2 ДЕС такива дейности остават отговорност единствено на държавите членки (вж. в този смисъл решение от 15 юли 2021 г., Ministrstvo za obrambo,C‑742/19, EU:C:2021:597, т. 36).

48

В случая от преписката на разположение на Съда е видно, че анкетната комисия за BVT е създадена от Националния съвет, за да разследва дали евентуално е налице политическо влияние върху BVT, чиято функция през процесния период е да осигурява защита на конституцията и да се бори с тероризма.

49

Председателят на Националния съвет и чешкото правителство по същество считат, че след като функциите на BVT включват „дейности в областта на националната сигурност“, дейностите на BVT попадат в обхвата на изключението по член 2, параграф 2, буква а) от ОРЗД. Дейностите на анкетна комисия на парламента на държава членка, състоящи се в упражняването на контрол върху държавни органи, на които, както в случая на BVT, било възложено да гарантират националната сигурност, също попадали в обхвата на понятието за дейности в областта на националната сигурност. Всъщност целта на упражняването от такава анкетна комисия на дейност по контрол била да се провери дали контролираните органи надлежно гарантират националната сигурност.

50

В тази насока е уместно да се отбележи, че макар в съответствие с член 4, параграф 2 ДЕС държавите членки да са тези, които определят основните интереси на своята сигурност и предприемат подходящи мерки, за да гарантират вътрешната и външната си сигурност, сам по себе си фактът, че дадена национална мярка е приета за целите на защитата на националната сигурност, не може да доведе до неприложимост на правото на Съюза и до освобождаване на държавите членки от необходимостта да спазват това право (вж. в този смисъл решение от 15 юли 2021 г., Ministrstvo za obrambo,C‑742/19, EU:C:2021:597, т. 40 и цитираната съдебна практика).

51

Както бе припомнено в точка 41 от настоящото решение, изключението по член 2, параграф 2, буква а) от ОРЗД се отнася само до категории дейности, които поради естеството си не попадат в приложното поле на правото на Съюза, а не до категории лица — публично- или частноправни — нито пък, когато администраторът е публичен орган, до обстоятелството, че задълженията и функциите на този орган спадат пряко и единствено към определено властническо правомощие, без това правомощие да се свързва с дейност, която при всички положения е изключена от приложното поле на правото на Съюза. В тази насока фактът, че администраторът е публичен орган, чиято основна дейност е да се гарантира националната сигурност, сам по себе си не е достатъчен, за да изключи от приложното поле на ОРЗД обработването на лични данни, извършено от този орган в рамките на други осъществявани от него дейности.

52

В настоящия случай от преписката пред Съда става ясно, че обсъжданата по главното производство анкетна комисия е трябвало да извърши политически контрол върху дейността на BVT поради подозрения за политическо влияние върху BVT; сам по себе си този контрол, изглежда, не представлява дейност, която е насочена към запазване на националната сигурност или която може да бъде причислена към същата категория, по смисъла на съдебната практика, припомнена в точка 45 от настоящото решение. Ето защо, без да се засяга проверката, която трябва да се направи от запитващата юрисдикция, тази дейност не попада извън приложното поле на ОРЗД съгласно член 2, параграф 2, буква а) от него.

53

Парламентарна анкетна комисия като тази по главното производство обаче може в рамките на работата си да има достъп до сведения, в частност до лични данни, които по съображения за национална сигурност трябва да се ползват от особена защита, например като се ограничат сведенията, които трябва да се предоставят на субектите на данни, що се отнася до събирането на посочените данни или до достъпа на същите лица до тях.

54

В тази насока член 23 от ОРЗД предвижда, че чрез законодателна мярка могат да се ограничат задълженията и правата, предвидени в членове 5, 12—22 и 34 от ОРЗД, по-специално с цел да се гарантира националната сигурност или функция по наблюдение, свързана с упражняването на официални правомощия, в частност в контекста на националната сигурност.

55

Ето защо изискването за опазване на националната сигурност може да обоснове налагането чрез законодателна мярка на ограничения на задълженията и правата, произтичащи от ОРЗД, по-специално що се отнася до събирането на лични данни, предоставянето на информация на субектите на данни и достъпа им до тези данни или пък разкриването на посочените данни, без съгласието на субектите на данни, на различни от администратора лица, при условие че подобни ограничения са съобразени със същността на основните права и свободи и представляват необходима и пропорционална мярка в едно демократично общество.

56

В настоящия случай от преписката пред Съда обаче не е видно анкетната комисия за BVT да е твърдяла, че разкриването на личните данни на WK, станало факт с публикуването на интернет страницата на австрийския парламент на протокола от изслушването му пред тази комисия, без WK да е дал съгласие, е необходимо за опазването на националната сигурност и се основава на предвидена за тази цел национална законодателна мярка. При все това запитващата юрисдикция следва да извърши според случая съответно необходимите проверки.

57

С оглед на изложеното дотук на втория въпрос следва да се отговори, че член 2, параграф 2, буква а) от ОРЗД във връзка със съображение 16 от този регламент трябва да се тълкува в смисъл, че дейностите на анкетна комисия, създадена от парламента на държава членка при упражняване на правомощието му на контрол върху изпълнителната власт, предмет на които е разследването на дейностите на полицейски орган за защита на държавата поради подозрения за политическо влияние върху този орган, сами по себе си не могат да се смятат за дейности в областта на националната сигурност, които са извън приложното поле на правото на Съюза, по смисъла на тази разпоредба.

58

С третия си въпрос запитващата юрисдикция по същество иска да се установи дали член 77, параграф 1 и член 55, параграф 1 от ОРЗД трябва да се тълкуват в смисъл, че когато държава членка е взела решение съгласно член 51, параграф 1 от този регламент да създаде само един надзорен орган, без обаче да му възложи компетентността да наблюдава прилагането на ОРЗД от анкетна комисия, създадена от парламента на държава членка при упражняване на правомощието му на контрол върху изпълнителната власт, тези разпоредби предоставят пряко на посочения орган компетентността да разглежда жалбите относно обработването на лични данни, извършено от споменатата анкетна комисия.

59

За да се отговори на този въпрос, следва да се припомни, че съгласно член 288, втора алинея ДФЕС регламентът е задължителен в своята цялост и се прилага пряко във всички държави членки.

60

Съгласно постоянната съдебна практика по силата на тази разпоредба и с оглед на самото естество на регламентите и тяхната функция в системата от източници на правото на Съюза разпоредбите на регламентите по общо правило имат непосредствено действие в националните правни системи, без да е необходимо националните органи да приемат мерки за прилагането им (решение от 15 юни 2021 г., Facebook Ireland и др., C‑645/19, EU:C:2021:483, т. 110 и цитираната съдебна практика).

61

От една страна, съгласно член 77, параграф 1 от ОРЗД всеки субект на данни има право да подаде жалба до надзорен орган, ако счита, че обработването на лични данни, отнасящи се до него, нарушава разпоредбите на този регламент. От друга страна, член 55, параграф 1 от ОРЗД предвижда, че всеки надзорен орган е компетентен да изпълнява задачите и да упражнява правомощията, възложени му в съответствие с този регламент, на територията на своята собствена държава членка.

62

Както по същество изтъква генералният адвокат в точка 132 от заключението си, от формулировката на тези разпоредби следва, че прилагането на член 77, параграф 1 и член 55, параграф 1 от ОРЗД не налага да се приемат национални мерки за прилагане и че те са достатъчно ясни, конкретни и безусловни, за да имат директен ефект.

63

Следователно в съответствие с член 51, параграф 1 от ОРЗД този регламент предоставя на държавите членки свобода на преценка досежно броя на надзорните органи, които да бъдат създадени, но за сметка на това определя обхвата на компетентността, която тези органи, без значение от броя им, трябва да имат, за да наблюдават прилагането на този регламент.

64

Ето защо, както по същество отбелязва генералният адвокат в точка 137 от заключението си, когато държава членка реши да създаде само един надзорен орган, същият задължително разполага с всички правомощия, които ОРЗД предоставя на надзорните органи.

65

Всяко различно тълкуване би поставило под въпрос полезния ефект на член 55, параграф 1 и на член 77, параграф 1 от ОРЗД и има опасност да отслаби полезния ефект на всички останали разпоредби от този регламент, до които може да се отнася дадена жалба.

66

Впрочем в случаите, когато е желал да ограничи компетентността на надзорните органи относно надзора върху операциите по обработване, извършени от публични органи, законодателят на Съюза е направил това изрично, свидетелство за което е член 55, параграф 3 от ОРЗД, съгласно който тези органи не са компетентни да осъществяват надзор на дейностите по обработване, извършвани от съдилищата при изпълнение на съдебните им функции.

67

Datenschutzbehörde, председателят на Националния съвет и австрийското правителство отбелязват, че разпоредби на австрийското право с конституционен ранг забраняват на изпълнителната власт да упражнява какъвто и да било контрол върху законодателната власт. Ето защо тези разпоредби изключвали възможността за Datenschutzbehörde, който бил част от изпълнителната власт, да наблюдава прилагането на ОРЗД от анкетната комисия за BVT, която била орган на законодателната власт.

68

В настоящия случай обаче в съзвучие именно с конституционната структура на държавите членки член 51, параграф 1 от ОРЗД просто изисква държавите членки да създадат поне по един надзорен орган, като им дава възможност да създадат и няколко. Впрочем съображение 117 от ОРЗД предвижда, че държавите членки следва да могат да създават повече от един надзорен орган, за да отговаря на тяхната конституционна, организационна и административна структура.

69

Следователно член 51, параграф 1 от ОРЗД предоставя на всяка държава членка свобода на преценка, което ѝ позволява да създаде толкова надзорни органи, колкото по-специално налага нейната конституционна структура.

70

Уместно е да се припомни също, че позоваването от държава членка на разпоредби на националното право не би могло да засегне единството и ефективността на правото на Съюза. Всъщност действието на принципа на предимство на правото на Съюза обвързва всички органи на дадена държава членка, без националните разпоредби в частност, в това число и конституционни, да могат да са пречка за това (решение от 22 февруари 2022 г., RS (Действие на решенията на конституционен съд), C‑430/21, EU:C:2022:99, т. 51 и цитираната съдебна практика).

71

Когато в рамките на свободата си на преценка е решила да създаде само един надзорен орган, държавата членка не може да се позовава на разпоредби на националното право, били те и с конституционен ранг, за да изключи обработването на лични данни, което попада в приложното поле на ОРЗД, от упражнявания от този орган надзор.

72

С оглед на изложеното дотук на третия въпрос следва да се отговори, че член 77, параграф 1 и член 55, параграф 1 от ОРЗД трябва да се тълкуват в смисъл, че когато държава членка е взела решение съгласно член 51, параграф 1 от този регламент да създаде само един надзорен орган, без обаче да му възложи компетентността да наблюдава прилагането на споменатия регламент от анкетна комисия, създадена от парламента на държава членка при упражняване на правомощието му на контрол върху изпълнителната власт, тези разпоредби предоставят пряко на посочения орган компетентността да разглежда жалбите относно обработването на лични данни, извършено от споменатата анкетна комисия.

73

С оглед на обстоятелството, че за страните по главното производство настоящото дело представлява отклонение от обичайния ход на производството пред запитващата юрисдикция, последната следва да се произнесе по съдебните разноски. Разходите, направени за представяне на становища пред Съда, различни от тези на посочените страни, не подлежат на възстановяване.

По изложените съображения Съдът (голям състав) реши: