–

Österreichische Datenschutzbehörde vārdā – A. Jelinek un M. Schmidl, pārstāvji,

–

WK vārdā – M. Sommer, Rechtsanwalt,

–

Präsident des Nationalrates vārdā – C. Neugebauer un R. Posnik, pārstāves,

–

Austrijas valdības vārdā – A. Posch, J. Schmoll, S. Dörnhöfer un C. Leeb, pārstāvji,

–

Čehijas valdības vārdā – O. Serdula, M. Smolek un J. Vláčil, pārstāvji,

–

Eiropas Komisijas vārdā – A. Bouchagiar, M. Heller un H. Kranenborg, pārstāvji,

1

Lūgums sniegt prejudiciālu nolēmumu ir par to, kā interpretējami LESD 16. panta 2. punkta pirmais teikums, kā arī Eiropas Parlamenta un Padomes Regulas (ES) 2016/679 (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula) (OV 2016, L 119, 1. lpp.; turpmāk tekstā – “VDAR”) 2. panta 2. punkta a) apakšpunkts, 51. panta 1. punkts, 55. panta 1. punkts un 77. panta 1. punkts.

2

Šis lūgums ir iesniegts tiesvedībā starp Österreichische Datenschutzbehörde (Datu aizsardzības iestāde, Austrija; turpmāk tekstā – “Datenschutzbehörde”) un WK par to, ka tika noraidīta sūdzība, ko WK bija iesniedzis tāpēc, ka esot pārkāptas viņa tiesības uz savu personas datu aizsardzību.

3

VDAR 16., 20. un 117. apsvērums ir formulēti šādi:

[..]

[..]

4

VDAR 2. pants “Materiālā darbības joma” noteic:

“1.   Šo regulu piemēro personas datu apstrādei, kas pilnībā vai daļēji veikta ar automatizētiem līdzekļiem, un tādu personas datu apstrādei, kuri veido daļu no kartotēkas vai ir paredzēti, lai veidotu daļu no kartotēkas, ja apstrādi neveic ar automatizētiem līdzekļiem.

2.   Šo regulu nepiemēro personas datu apstrādei:

[..]

3.   Personas datu apstrādei Savienības iestādēs, struktūrās, birojos un aģentūrās piemēro [Eiropas Parlamenta un Padomes] Regulu (EK) Nr. 45/2001 [(2000. gada 18. decembris) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi Kopienas iestādēs un struktūrās un par šādu datu brīvu apriti (OV 2001, L 8, 1. lpp.)]. Regulu (EK) Nr. 45/2001 un citus Savienības tiesību aktus, ko piemēro šādai personas datu apstrādei, pielāgo šīs regulas principiem un noteikumiem saskaņā ar 98. pantu.

[..]”

5

VDAR 4. pants “Definīcijas” ir formulēts šādi:

“Šajā regulā:

[..]

[..].”

6

VDAR 23. panta “Ierobežojumi” 1. punktā ir noteikts:

“Saskaņā ar Savienības vai dalībvalsts tiesību aktiem, kas piemērojami datu pārzinim vai apstrādātājam, ar leģislatīvu pasākumu var ierobežot to pienākumu un tiesību darbības jomu, kas paredzēti 12.–22. pantā un 34. pantā, kā arī 5. pantā, ciktāl tā noteikumi atbilst 12.–22. pantā paredzētajām tiesībām un pienākumiem, – ja ar šādu ierobežojumu tiek ievērota pamattiesību un pamatbrīvību būtība un tas demokrātiskā sabiedrībā ir nepieciešams un samērīgs, lai garantētu:

[..]

[..].”

7

VDAR 51. panta “Uzraudzības iestāde” 1. punktā ir noteikts:

“Katra dalībvalsts paredz, ka viena vai vairākas neatkarīgas publiskas iestādes ir atbildīgas par šīs regulas piemērošanas uzraudzību, lai aizsargātu fizisku personu pamattiesības un pamatbrīvības saistībā ar apstrādi un veicinātu personas datu brīvu apriti Savienībā (“uzraudzības iestāde”).”

8

VDAR 54. panta “Noteikumi par uzraudzības iestādes izveidi” 1. punktā ir noteikts:

“Katra dalībvalsts tiesību aktos paredz visu turpmāk minēto:

[..].”

9

VDAR 55. pants “Kompetence” ir formulēts šādi:

“1.   Katra uzraudzības iestāde savas dalībvalsts teritorijā ir kompetenta pildīt uzticētos uzdevumus un īstenot pilnvaras, ko tai piešķir saskaņā ar šo regulu.

2.   Ja apstrādi veic publiska iestāde vai privāta struktūra, kas darbojas saskaņā ar 6. panta 1. punkta c) vai e) apakšpunktu, par to ir atbildīga attiecīgās dalībvalsts uzraudzības iestāde [to uzraudzīt ir attiecīgās dalībvalsts uzraudzības iestādes kompetencē]. Šādos gadījumos 56. pantu nepiemēro.

3.   Uzraudzības iestādes nav kompetentas uzraudzīt apstrādes darbības, ko veic tiesa, pildot savus uzdevumus.”

10

VDAR 77. pants “Tiesības iesniegt sūdzību uzraudzības iestādē” noteic:

“1.   Neskarot jebkādus citus administratīvos tiesību aizsardzības līdzekļus vai tiesību aizsardzību tiesā, katram datu subjektam ir tiesības iesniegt sūdzību uzraudzības iestādē, jo īpaši tajā dalībvalstī, kurā ir viņa pastāvīgā dzīvesvieta, darbavieta vai iespējamā pārkāpuma izdarīšanas vieta, ja datu subjekts uzskata, ka viņa personas datu apstrāde pārkāpj šo regulu.

2.   Uzraudzības iestāde, kurā ir iesniegta sūdzība, informē sūdzības iesniedzēju par sūdzības izskatīšanas virzību un iznākumu, tostarp par tiesību aizsardzības tiesā iespēju saskaņā ar 78. pantu.”

11

Bundes‑Verfassungsgesetz (Federālais konstitucionālais likums), kas pārpublicēts 1930. gada 2. janvārī (BGBl. 1/1930), redakcijā, kas piemērojama pamatlietas faktiem (turpmāk tekstā – “B‑VG”), 53. pants noteic:

“(1) Nationalrat [(Nacionālā padome, Austrija)] var pieņemt lēmumu izveidot izmeklēšanas komisijas. Turklāt izmeklēšanas komisija tiek izveidota pēc vienas ceturtās daļas Nationalrat locekļu pieprasījuma.

(2) Izmeklēšana attiecas uz darbību, kas notikusi izpildvaras jomā federālā līmenī. Šajās darbībās ietilpst visas to federālo struktūru darbības, ar kuru starpniecību Bund (Federālā valsts), neatkarīgi no tā, cik nozīmīga ir tās līdzdalība, īsteno līdzdalības un uzraudzības tiesības. Ir izslēgta judikatūras pārskatīšana.

(3) Visām Bund, Länder (federālo zemju), administratīvo vienību vai administratīvo vienību kopu, kā arī citu autonomo vienību struktūrām pēc pieprasījuma ir jāiesniedz izmeklēšanas komisijai savi lietu materiāli un dokumenti, ciktāl tie attiecas uz izmeklēšanas priekšmetu, un tām ir pienākums izpildīt izmeklēšanas komisijas pieprasījumus, lai savāktu pierādījumus saistībā ar izmeklēšanas priekšmetu. Šis pienākums neattiecas uz tādu lietu un dokumentu iesniegšanu, kuru izpaušana varētu apdraudēt avotus 52.a panta 2. punkta izpratnē.

(4) Šā panta 3. punktā noteiktais pienākums nav jāpilda, ja tas var ietekmēt federālās valdības vai kādu tās locekļu lēmumu tiesisku tapšanu vai tiešo sagatavošanos tai.

[..]”

12

B‑VG ir paredzēta likumdošanas varas, izpildvaras un tiesu varas savstarpēja nodalīšana. Lai varētu atkāpties no šā varas dalīšanas principa, ir vajadzīgs konstitucionāls pamats.

13

1999. gada 17. augustaDatenschutzgesetz (Datu aizsardzības likums; BGBl. I, 165/1999), redakcijā, kas piemērojama pamatlietas faktiskajiem apstākļiem (turpmāk tekstā – “DSG”) 1. panta 1. punkts noteic:

“Ikvienam, jo īpaši ņemot vērā viņa privātās un ģimenes dzīves neaizskaramību, ir tiesības uz savu personas datu konfidencialitāti, ja viņam ir aizsargājamas intereses. Šādu interešu esamība ir izslēgta, ja dati nerada tiesības uz konfidencialitāti tāpēc, ka vai nu tie ir brīvi publiski pieejami, vai pēc šiem datiem nav iespējams identificēt datu subjektu.”

14

DSG 18. panta 1. punkts noteic:

“Datenschutzbehörde ir izveidota kā valsts uzraudzības iestāde saskaņā ar VDAR 51. pantu.”

15

DSG 24. panta 1. punkts ir formulēts šādi:

“Jebkuram datu subjektam ir tiesības iesniegt sūdzību Datenschutzbehörde, ja tas uzskata, ka viņa personas datu apstrādē ir pieļauts VDAR vai šā likuma 1. panta vai 2. daļas [Artikel 2] 1. pamatsadaļas pārkāpums.”

16

DSG 35. pants noteic:

“(1) “Datenschutzbehörde uzdevums ir nodrošināt datu aizsardzību atbilstoši VDAR un šā federālā likuma normām.

(2) Datenschutzbehörde īsteno savas pilnvaras arī attiecībā uz augstākajiem izpildvaras orgāniem, kas minēti B‑VG 19. pantā, kā arī attiecībā uz augstākajiem orgāniem saskaņā ar B‑VG 30. panta 3.–6. punktu, 125. pantu un 134. panta 8. punktu, kā arī 148.h panta 1. un 2. punktu attiecībā uz to kompetencē esošajiem administratīviem jautājumiem.”

17

Ar 2018. gada 20. aprīļa lēmumu Nacionālā padome saskaņā ar B‑VG 53. pantu izveidoja izmeklēšanas komisiju, kuras uzdevums bija noskaidrot, vai pastāv iespējama politiska ietekme uz Bundesamt für Verfassungsschutz und Terrorismusbekämpfung (Federālais konstitucionālās kārtības aizsardzības un terorisma apkarošanas birojs, Austrija; turpmāk tekstā – “BVT”), kura pēctece kopš 2021. gada 1. decembra ir Direktion Staatsschutz und Nachrichtendienst (Valsts drošības un izlūkošanas dienesta direkcija, Austrija).

18

2018. gada 19. septembrī šī izmeklēšanas komisija (turpmāk tekstā – “BVT izmeklēšanas komisija”) iztaujāja WK kā liecinieku uzklausīšanā, kurā varēja piedalīties arī plašsaziņas līdzekļu pārstāvji. Lai arī WK bija izteicis lūgumu par anonimizāciju, Parlament Österreich (Austrijas parlamenta) interneta vietnē tika publiskots šīs uzklausīšanas protokols, kurā bija pilnībā norādīts viņa vārds un uzvārds.

19

2019. gada 2. aprīlī WK iesniedza sūdzību Datenschutzbehörde, apgalvodams, ka minētās uzklausīšanas protokola publiskošana pret viņa gribu, norādot viņa identitāti, esot pretrunā VDAR noteikumiem un DSG 1. pantam. Savas sūdzības pamatojumam viņš paskaidroja, ka viņš strādāja par slepeno aģentu policijas operatīvajā vienībā, kas ir atbildīga par noziedzības apkarošanu uz publiskas lietošanas ceļiem.

20

Ar 2019. gada 18. septembra lēmumu Datenschutzbehörde šo sūdzību noraidīja. Tā uzskatīja, ka, lai gan VDAR principā neliedz uzraudzības iestādēm īstenot kontroli pār likumdošanas orgāniem, tomēr saskaņā ar varas dalīšanas principu ir izslēgts, ka izpildvarai būtu kontrole pār likumdošanas varu. Šajos apstākļos un tā kā BVT izmeklēšanas komisija ietilpst likumdošanas varā, Datenschutzbehörde, kas ir izpildvaras orgāns, neesot tiesīga kontrolēt minētās komisijas darbību un tādējādi tās kompetencē neesot lemt par WK sūdzību.

21

Ar 2020. gada 23. novembra nolēmumu Bundesverwaltungsgericht (Federālā administratīvā tiesa, Austrija) apmierināja WK celto prasību un atcēla Datenschutzbehörde lēmumu. Tā būtībā nosprieda, ka VDAR ir piemērojama likumdevēja un līdz ar to arī BVT izmeklēšanas komisijas darbībām. Proti, VDAR materiālā piemērošanas joma, kā tā ir noteikta tās 2. panta 1. punktā, esot iecerēta kā visaptveroša un iekļaujot visu datu apstrādi neatkarīgi no to veicošās struktūras un valstiskās funkcijas, kurai tā struktūra ir piederīga. Turklāt no VDAR 2. panta 2. punkta neesot arī izsecināma atkāpe no šīs regulas piemērojamības attiecībā uz noteiktām valsts funkcijām, kā, piemēram, likumdošanas funkciju, jo šīs tiesību normas a) apakšpunktā paredzētā atkāpe esot jāinterpretē šauri. Līdz ar to, Bundesverwaltungsgericht (Federālās administratīvās tiesas) ieskatā, Datenschutzbehörde kompetencē bija lemt par WK sūdzību saskaņā ar minētās regulas 77. pantu.

22

Izskatot Datenschutzbehörde revīzijas sūdzību par šo Bundesverwaltungsgericht (Federālā administratīvā tiesa) nolēmumu, Verwaltungsgerichtshof (Augstākā administratīvā tiesa, Austrija), kas ir iesniedzējtiesa šajā lietā, pirmām kārtām, jautā, vai kādas dalībvalsts parlamenta izveidotas izmeklēšanas komisijas darbības neatkarīgi pat no izmeklēšanas priekšmeta ir izslēgtas no VDAR piemērošanas jomas saskaņā ar tās 2. panta 2. punkta a) apakšpunktu un LESD 16. panta 2. punkta pirmo teikumu tāpēc, ka šādas komisijas darbs pēc savas iedabas ir darbība, kas neietilpst Savienības tiesību aktu darbības jomā.

23

Šajā sakarā minētā tiesa vispirms norāda, ka saskaņā ar šo jautājumu iztirzājošo Tiesas judikatūru, kas izriet konkrēti no 2020. gada 9. jūlija sprieduma Land Hessen (C‑272/19, EU:C:2020:535), VDAR piemērojamība nav pakārtojama nosacījumam, ka attiecīgajai personas datu apstrādei jābūt konkrēti veiktai Savienības tiesību darbības jomā esošos nolūkos, veiktai pārrobežu kontekstā vai konkrēti un tieši jāietekmē brīva aprite starp dalībvalstīm. Gluži pretēji, šīs regulas piemērojamība esot izslēdzama vienīgi tad, ja ir izpildīts vismaz viens no minētās regulas 2. panta 2. punkta a)–d) apakšpunktā noteiktajiem atkāpes piemērošanas nosacījumiem.

24

Šajā ziņā iesniedzējtiesa atgādina, ka saskaņā ar Tiesas judikatūru VDAR 2. panta 2. punkta a) apakšpunkts, lasot to šīs regulas 16. apsvēruma gaismā, jāuzskata par tādu, kura vienīgais mērķis ir izslēgt no minētās regulas piemērošanas jomas personas datu apstrādi, ko valsts iestādes veic uz valsts drošības aizsardzību vērstas vai arī šajā pašā kategorijā iekļaujamas darbības ietvaros. VDAR 2. panta 2. punkta a) apakšpunktā paredzētās darbības, kuru mērķis ir aizsargāt valsts drošību, it īpaši ietver darbības, kuras vērstas uz valsts pamatfunkciju un sabiedrības pamatinterešu aizsardzību (spriedums, 2021. gada 22. jūnijs, Latvijas Republikas Saeima (Pārkāpumu uzskaites punkti), C‑439/19, EU:C:2021:504, 62.–67. punkts un tajos minētā judikatūra).

25

Turpinājumā tā norāda, ka starp parlamentāro komisiju, kas tika aplūkota 2020. gada 9. jūlija sprieduma Land Hessen (C‑272/19, EU:C:2020:535) lietā, proti, Land Hessen (Hesenes federālās zemes, Vācija) parlamenta Lūgumrakstu komisiju, un BVT izmeklēšanas komisiju ir zināmas atšķirības. Konkrēti, šīs otrās darbs nevis tikai netieši sekmējot parlamentāro darbību, bet gan ietilpstot šīs darbības pašā kodolā, jo Nacionālās padomes izveidotajām izmeklēšanas komisijām B‑VG ir uzticēts kontroles uzdevums.

26

Visbeidzot, iesniedzējtiesa atsaucas uz likumdošanas varas, izpildvaras un tiesu varas nodalīšanas principu, kas ir gan katras dalībvalsts tiesību, gan Savienības tiesību princips. VDAR 55. panta 3. punkts patiešām vienīgi izslēdzot uzraudzības iestāžu kompetenci kontrolēt to personas datu apstrādi, ko tiesas veic judikatīvās darbības ietvaros, un tajā neesot norādes uz datu apstrādi, kas veikta parlamentārās pamatdarbības jomā. Tomēr tas varētu būt izskaidrojams tādējādi, ka Savienības likumdevēja ieskatā šī otrā darbība no minētās regulas piemērošanas jomas ir izslēgta jau saskaņā ar tās 2. panta 2. punkta a) apakšpunktu.

27

Otrām kārtām, iesniedzējtiesa uzsver, ka BVT izmeklēšanas komisijas veiktās izmeklēšanas priekšmets attiecas uz darbībām saistībā ar valsts drošību, kas, ņemot vērā VDAR 16. apsvērumu, neietilpst Savienības tiesību aktu darbības jomā un tādējādi ir izslēgtas no šīs regulas materiālās piemērošanas jomas saskaņā ar tās 2. panta 2. punkta a) apakšpunktu.

28

Tādējādi, ja pieņemtu, ka izmeklēšanas komisijas īstenotā parlamentārās kontroles darbība principā ietilpst Savienības tiesību piemērošanas jomā LESD 16. panta 2. punkta izpratnē, vēl būtu jāpārbauda, vai uz tās darbībām vismaz attiecas VDAR 2. panta 2. punkta a) apakšpunktā paredzētais izņēmums, ņemot vērā apstākli, ka izmeklēšanas priekšmets attiecas uz izpildvaras darbībām, kuras, kā tas ir šajā gadījumā, neietilpst Savienības tiesību aktu darbības jomā.

29

Trešām kārtām, iesniedzējtiesa jautā, vai, ņemot vērā konkrēti Austrijā esošo konstitucionālo varas dalīšanas principu, Datenschutzbehörde – kas ir vienīgā valsts uzraudzības iestāde VDAR 51. panta izpratnē – ir kompetenta, pamatojoties tikai uz šo regulu vien, lemt par tādu sūdzību kā tā, kuru iesniedzis WK, ja valsts tiesībās nav nekāda konstitucionālā pamata šādas kompetences konstatēšanai.

30

Šādos apstākļos Verwaltungsgerichtshof (Augstākā administratīvā tiesa) nolēma apturēt tiesvedību un uzdot Tiesai šādus prejudiciālus jautājumus:

Gadījumā, ja atbilde uz pirmo jautājumu ir apstiprinoša:

Gadījumā, ja atbilde uz otro jautājumu ir noliedzoša:

31

Ar pirmo jautājumu iesniedzējtiesa būtībā jautā, vai LESD 16. panta 2. punkta pirmais teikums un VDAR 2. panta 2. punkta a) apakšpunkts ir jāinterpretē tādējādi, ka darbība neietilpst Savienības tiesību aktu darbības jomā un līdz ar to šīs regulas piemērošanas jomā tāpēc vien, ka šo darbību veic izmeklēšanas komisija, ko dalībvalsts parlaments izveidojis, izmantojot savas tiesības īstenot kontroli pār izpildvaru.

32

VDAR juridisko pamatu veidojošā LESD 16. panta 2. punkts noteic, ka Eiropas Parlaments un Eiropas Savienības Padome paredz noteikumus par fizisko personu aizsardzību attiecībā uz tostarp to personas datu apstrādi, ko veic dalībvalstis saistībā ar Savienības tiesību aktu darbības jomu.

33

Atbilstīgi minētajā normā paredzētajam VDAR 2. panta 1. punkts noteic ļoti plašu šīs regulas materiālo piemērošanas jomu (spriedums, 2021. gada 22. jūnijs, Latvijas Republikas Saeima (Pārkāpumu uzskaites punkti), C‑439/19, EU:C:2021:504, 61. punkts). Proti, tas noteic, ka šo regulu “piemēro personas datu apstrādei, kas pilnībā vai daļēji veikta ar automatizētiem līdzekļiem, un tādu personas datu apstrādei, kuri veido daļu no kartotēkas vai ir paredzēti, lai veidotu daļu no kartotēkas, ja apstrādi neveic ar automatizētiem līdzekļiem”.

34

Turklāt šā paša VDAR 2. panta 2. un 3. punktā ir izsmeļoši uzskaitīti izņēmumi no šā panta 1. punktā esošā noteikuma par šīs regulas materiālo piemērošanas jomu. Konkrēti, minētās regulas 2. panta 2. punkta a) apakšpunkts noteic, ka šo regulu nepiemēro personas datu apstrādei “tādas darbības gaitā, kas neietilpst Savienības tiesību aktu darbības jomā”.

35

Šajā kontekstā iesniedzējtiesa vēlas noskaidrot, vai uz personas datu apstrādi, kas tiek veikta saistībā ar tādas izmeklēšanas komisijas darbību, kuru dalībvalsts parlaments izveidojis, izmantojot savas tiesības īstenot kontroli pār izpildvaru, katrā ziņā un neatkarīgi no izmeklēšanas priekšmeta attiecas šajā nupat minētajā tiesību normā paredzētais izņēmums.

36

Šajā ziņā jāatgādina, ka VDAR – izņemot tās 2. panta 2. un 3. punktā minētos gadījumus – ir piemērojama datu apstrādei, ko veic gan privātpersonas, gan valsts iestādes (šajā nozīmē skat. spriedumu, 2022. gada 24. marts, Autoriteit Persoonsgegevens, C‑245/20, EU:C:2022:216, 25. punkts).

37

No Tiesas judikatūras izriet, ka VDAR 2. panta 2. punktā noteiktais izņēmums ir jāinterpretē šauri (spriedums, 2021. gada 22. jūnijs, Latvijas Republikas Saeima (Pārkāpumu uzskaites punkti), C‑439/19, EU:C:2021:504, 62. punkts un tajā minētā judikatūra). Šajā kontekstā Tiesai jau ir bijusi iespēja precizēt, ka VDAR 2. panta 2. punkta a) apakšpunkta, lasot to šīs regulas 16. apsvēruma gaismā, vienīgais mērķis ir izslēgt no minētās regulas piemērošanas jomas personas datu apstrādi, ko valsts iestādes veic uz valsts drošības aizsardzību vērstas vai arī šajā pašā kategorijā iekļaujamas darbības ietvaros, un tādējādi ar to vien, ka darbība ir raksturīga valstij vai valsts iestādei, nav pietiekami, lai šis izņēmums automātiski būtu piemērojams šādai darbībai (spriedumi, 2021. gada 22. jūnijs, Latvijas Republikas Saeima (Pārkāpumu uzskaites punkti), C‑439/19, EU:C:2021:504, 66. punkts, un 2022. gada 20. oktobris, Koalitsia Demokratichna Bulgaria – Obedinenie, C‑306/21, EU:C:2022:813, 39. punkts).

38

Šo interpretāciju, kas izriet jau no apstākļa, ka VDAR 2. panta 1. punktā nav paredzēta nošķiršana atkarībā no datu apstrādes veicēja identitātes, apstiprina šīs regulas 4. panta 7. punkts, kurā jēdziens “pārzinis” ir definēts kā “fiziska vai juridiska persona, publiska iestāde, aģentūra vai cita struktūra, kas viena pati vai kopīgi ar citām nosaka personas datu apstrādes nolūkus un līdzekļus”.

39

Tieši interpretējot šo pēdējo minēto tiesību normu, Tiesa ir nospriedusi, ka, ciktāl federālās zemes parlamenta lūgumrakstu komisija viena pati vai kopīgi ar citiem nosaka apstrādes mērķus un līdzekļus, šī komisija ir jākvalificē kā “pārzinis” šīs tiesību normas izpratnē un līdz ar to šādas komisijas veikta personas datu apstrāde ietilpst šīs regulas piemērošanas jomā (spriedums, 2020. gada 9. jūlijs, Land Hessen, C‑272/19, EU:C:2020:535, 74. punkts).

40

Präsident des Nationalrates (Nacionālās padomes priekšsēdētājs, Austrija) uzsvērtais apstāklis – ka atšķirībā 2020. gada 9. jūlija sprieduma Land Hessen (C‑272/19, EU:C:2020:535) lietā aplūkotās lūgumrakstu komisijas, kas parlamentārajā darbībā piedalās tikai netieši, BVT izmeklēšanas komisijas gadījumā runa ir par orgānu, kura darbība pēc savas iedabas ir tieši un ekskluzīvi parlamentāra – nenozīmē, ka šīs otrās komisijas darbība būtu izslēgta no VDAR piemērošanas jomas.

41

Proti, – kā secinājumu 84. punktā būtībā norāda ģenerāladvokāts – VDAR 2. panta 2. punkta a) apakšpunktā paredzētais izņēmums no šīs regulas piemērošanas jomas attiecas tikai uz darbību kategorijām, kas savas iedabas dēļ neietilpst Savienības tiesību aktu darbības jomā, nevis uz personu kategorijām atkarībā no tā, vai tās ir privātas vai publiskas, nedz arī – ja pārzinis ir valsts iestāde – uz apstākli, ka šīs iestādes uzdevumi un funkcijas tieši un ekskluzīvi ietilpst kādā konkrētā publiskās varas prerogatīvā, ja vien šī prerogatīva nav saistīta ar darbību, kas katrā ziņā neietilpst Savienības tiesību aktu darbības jomā.

42

Līdz ar to apstāklis, ka personas datu apstrādi veic izmeklēšanas komisija, ko dalībvalsts parlaments izveidojis, izmantojot savas tiesības īstenot kontroli pār izpildvaru, pats par sevi neļauj konstatēt, ka šī apstrāde tiek veikta tādas darbības ietvaros, kas neietilpst Savienības tiesību aktu darbības jomā VDAR 2. panta 2. punkta a) apakšpunkta izpratnē.

43

Ņemot vērā iepriekš minēto, uz pirmo jautājumu ir atbildams, ka LESD 16. panta 2. punkta pirmais teikums un VDAR 2. panta 2. punkta a) apakšpunkts ir jāinterpretē tādējādi, ka nevar uzskatīt, ka darbība neietilpst Savienības tiesību aktu darbības jomā un līdz ar to šīs regulas piemērošanas jomā tāpēc vien, ka šo darbību veic izmeklēšanas komisija, ko dalībvalsts parlaments izveidojis, izmantojot savas tiesības īstenot kontroli pār izpildvaru.

44

Ar otro jautājumu iesniedzējtiesa būtībā jautā, vai VDAR 2. panta 2. punkta a) apakšpunkts, lasot to šīs regulas 16. apsvēruma gaismā, ir jāinterpretē tādējādi, ka par Savienības tiesību aktu darbības jomā neietilpstošām ar valsts drošību saistītām darbībām šīs tiesību normas izpratnē nav uzskatāmas darbības, ko veic izmeklēšanas komisija, kuru, izmantojot savas tiesības īstenot kontroli pār izpildvaru, dalībvalsts parlaments izveidojis tālab, lai izmeklētu valsts drošības policijas iestādes darbību sakarā ar aizdomām par politisko ietekmi uz šo iestādi.

45

Kā atgādināts šā sprieduma 37. punktā, VDAR 2. panta 2. punkta a) apakšpunkts ir jāinterpretē šauri un tā vienīgais mērķis ir izslēgt no minētās regulas piemērošanas jomas personas datu apstrādi, ko valsts iestādes veic uz valsts drošības aizsardzību vērstas vai arī šajā pašā kategorijā iekļaujamas darbības ietvaros.

46

Darbības, kuru mērķis ir aizsargāt valsts drošību, VDAR 2. panta 2. punkta a) apakšpunkta izpratnē it īpaši ietver tās darbības, kuras vērstas uz valsts pamatfunkciju un sabiedrības pamatinterešu aizsardzību (spriedumi, 2021. gada 22. jūnijs, Latvijas Republikas Saeima (Pārkāpumu uzskaites punkti), C‑439/19, EU:C:2021:504, 67. punkts, un 2022. gada 20. oktobris, Koalitsia Demokratichna Bulgaria – Obedinenie, C‑306/21, EU:C:2022:813, 40. punkts).

47

Saskaņā ar LES 4. panta 2. punktu šādas darbības paliek vienīgi dalībvalstu atbildībā (šajā nozīmē skat. spriedumu, 2021. gada 15. jūlijs, Ministrstvo za obrambo, C‑742/19, EU:C:2021:597, 36. punkts).

48

Šajā gadījumā no Tiesas rīcībā esošajiem lietas materiāliem izriet, ka Nacionālā padome ir izveidojusi BVT izmeklēšanas komisiju tālab, lai izmeklētu, vai pastāv iespējama politiska ietekme uz BVT, kuras uzdevums pamatlietā aplūkotajā laikposmā bija nodrošināt konstitucionālās kārtības aizsardzību un apkarot terorismu.

49

Nacionālās padomes priekšsēdētājs un Čehijas valdība būtībā uzskata, ka, tā kā BVT uzdevumos ietilpst “darbības attiecībā uz valsts drošību”, uz tās darbību attiecoties VDAR 2. panta 2. punkta a) apakšpunktā paredzētais izņēmums. Savukārt dalībvalsts parlamenta izmeklēšanas komisijas darbības, kas izpaužas kā kontrole pār tiem valsts orgāniem, kuriem, kā tas bija BVT gadījumā, ir jāgarantē valsts drošība, arī ietilpstot šādu ar valsts drošību saistītu darbību jēdzienā. Proti, šādas izmeklēšanas komisijas kontroles darbības mērķis esot pārbaudīt, vai iestādes, pār kurām tiek veikta kontrole, pienācīgi garantē valsts drošību.

50

Šajā ziņā jānorāda, ka, lai gan saskaņā ar LES 4. panta 2. punktu dalībvalstu ziņā ir noteikt savas būtiskās drošības intereses un veikt pienācīgus pasākumus, lai nodrošinātu savu iekšējo un ārējo drošību, tas vien, ka valsts pasākums ir veikts valsts drošības aizsardzības nolūkā, nevar izraisīt Savienības tiesību nepiemērojamību un atbrīvot dalībvalstis no obligātās šo tiesību ievērošanas (šajā nozīmē skat. spriedumu, 2021. gada 15. jūlijs, Ministrstvo za obrambo, C‑742/19, EU:C:2021:597, 40. punkts un tajā minētā judikatūra).

51

Taču – kā atgādināts šā sprieduma 41. punktā – VDAR 2. panta 2. punkta a) apakšpunktā paredzētais izņēmums attiecas tikai uz tādām darbību kategorijām, kas savas iedabas dēļ neietilpst Savienības tiesību aktu darbības jomā, nevis uz personu kategorijām atkarībā no tā, vai tās ir privātas vai publiskas, nedz arī – ja pārzinis ir valsts iestāde – uz apstākli, ka šīs iestādes uzdevumi un funkcijas tieši un ekskluzīvi ietilpst kādā konkrētā publiskās varas prerogatīvā, ja vien šī prerogatīva nav saistīta ar darbību, kas katrā ziņā neietilpst Savienības tiesību aktu darbības jomā. Šajā ziņā apstāklis, ka pārzinis ir publiska iestāde, kuras pamatdarbība ir garantēt valsts drošību, pats par sevi nav pietiekams, lai no VDAR piemērošanas jomas izslēgtu personas datu apstrādi, ko šī iestāde veic saistībā ar citām tās veiktajām darbībām.

52

Šajā gadījumā no Tiesas rīcībā esošajiem lietas materiāliem izriet, ka pamatlietā aplūkotās izmeklēšanas komisijas mērķis bija veikt BVT darbības politisko kontroli tāpēc, ka bija aizdomas par politisku ietekmi uz šo struktūru, taču šī pārbaude pati par sevi nešķiet esam darbība, kas vērsta uz valsts drošības aizsardzību, vai tāda, kas būtu iekļaujama tajā pašā kategorijā šā sprieduma 45. punktā atgādinātās judikatūras izpratnē. No tā izriet, ka – ja vien iesniedzējtiesas veicamajā pārbaudē netiek konstatēts citādi – šī darbība nav izslēgta no VDAR piemērošanas jomas saskaņā ar tās 2. panta 2. punkta a) apakšpunktu.

53

Tomēr tāda parlamentārā izmeklēšanas komisija kā pamatlietā aplūkotā savā darbā var piekļūt informācijai, konkrēti personas datiem, kam valsts drošības apsvērumu dēļ jānodrošina īpaša aizsardzība, piemēram, ierobežojot datu subjektiem sniedzamo informāciju par šo datu vākšanu vai arī šo subjektu piekļuvi minētajiem datiem.

54

Šajā ziņā VDAR 23. pants noteic, ka pienākumus un tiesības, ko paredz VDAR 5., 12.–22. un 34. pants, var ierobežot ar leģislatīvu pasākumu tālab, lai citastarp garantētu valsts drošību vai uzraudzības funkciju saistībā ar oficiālu pilnvaru īstenošanu, jo īpaši saistībā ar valsts drošību.

55

Tādējādi nepieciešamība aizsargāt valsts drošību var attaisnot, ka ar leģislatīvu pasākumu palīdzību tiek noteikti ierobežojumi no VDAR izrietošajiem pienākumiem un tiesībām, tostarp attiecībā uz personas datu vākšanu, datu subjektu informēšanu un viņu piekļuvi minētajiem datiem vai arī šo datu izpaušanu bez datu subjektu piekrišanas personām, kas nav pārzinis, ciktāl ar šādiem ierobežojumiem tiek ievērota datu subjektu pamattiesību un pamatbrīvību būtība un tie demokrātiskā sabiedrībā ir nepieciešami un samērīgi.

56

Tomēr šajā gadījumā no Tiesas rīcībā esošajiem lietas materiāliem neizriet, ka BVT izmeklēšanas komisija būtu apgalvojusi, ka WK personas datu izpaušana – kas notika, Austrijas parlamenta tīmekļvietnē bez viņa piekrišanas publiskojot viņa šajā komisijā veiktās uzklausīšanas protokolu – bija nepieciešama valsts drošības aizsardzībai un balstīta uz tālab paredzētu valsts leģislatīvu pasākumu. Tomēr to pārbaudīt vajadzības gadījumā ir iesniedzējtiesas ziņā.

57

Ņemot vērā iepriekš minēto, uz otro jautājumu ir atbildams, ka VDAR 2. panta 2. punkta a) apakšpunkts, lasot to šīs regulas 16. apsvēruma gaismā, ir jāinterpretē tādējādi, ka par Savienības tiesību aktu darbības jomā neietilpstošām ar valsts drošību saistītām darbībām šīs tiesību normas izpratnē pašas par sevi nav uzskatāmas darbības, ko veic izmeklēšanas komisija, kuru, izmantojot savas tiesības īstenot kontroli pār izpildvaru, dalībvalsts parlaments izveidojis tālab, lai izmeklētu valsts drošības policijas iestādes darbību sakarā ar aizdomām par politisko ietekmi uz šo iestādi.

58

Ar trešo jautājumu iesniedzējtiesa būtībā jautā, vai VDAR 77. panta 1. punkts un 55. panta 1. punkts ir jāinterpretē tādējādi, ka – situācijā, kad dalībvalsts saskaņā ar šīs regulas 51. panta 1. punktu ir izvēlējusies izveidot tikai vienu uzraudzības iestādi, tomēr nepiešķirot tai kompetenci uzraudzīt to, kā VDAR piemēro izmeklēšanas komisija, ko šīs dalībvalsts parlaments izveidojis, izmantojot savas tiesības īstenot kontroli pār izpildvaru – šīs tiesību normas tieši piešķir šai iestādei kompetenci izskatīt sūdzības par minētās izmeklēšanas komisijas veikto personas datu apstrādi.

59

Lai atbildētu uz šo jautājumu, jāatgādina, ka saskaņā ar LESD 288. panta otro daļu regulas uzliek saistības kopumā un ir tieši piemērojamas visās dalībvalstīs.

60

Iedibinātās judikatūras atziņa ir tāda, ka, atbilstoši šai normai un ņemot vērā pašu regulu raksturu un to funkciju Savienības tiesību avotu sistēmā, regulu normas vispārīgi ir tieši piemērojamas valstu tiesību sistēmās un valstu iestādēm nav jāveic piemērošanas pasākumi (spriedums, 2021. gada 15. jūnijs, Facebook Ireland u.c., C‑645/19, EU:C:2021:483, 110. punkts, kā arī tajā minētā judikatūra).

61

Savukārt, pirmkārt, saskaņā ar VDAR 77. panta 1. punktu katram datu subjektam ir tiesības iesniegt sūdzību uzraudzības iestādē, ja tas uzskata, ka viņa personas datu apstrāde pārkāpj šo regulu. Otrkārt, šīs regulas 55. panta 1. punkts noteic, ka katra uzraudzības iestāde savas dalībvalsts teritorijā ir kompetenta pildīt uzticētos uzdevumus un īstenot pilnvaras, ko tai piešķir saskaņā ar šo regulu.

62

No šo tiesību normu formulējuma ir redzams – kā secinājumu 132. punktā būtībā norāda ģenerāladvokāts –, ka VDAR 77. panta 1. punkta un 55. panta 1. punkta īstenošanai nav nepieciešams veikt valsts piemērošanas pasākumus un tie ir pietiekami skaidri, precīzi un nosacījumiem nepakārtoti, lai būtu apveltīti ar tiešu iedarbību.

63

No tā izriet, ka VDAR, lai arī 51. panta 1. punktā dalībvalstīm atzīstot rīcības brīvību attiecībā uz izveidojamo uzraudzības iestāžu skaitu, tomēr noteic kompetences apjomu, ar kādu šīm iestādēm – neatkarīgi no to skaita – jābūt apveltītām, lai uzraudzītu šīs regulas piemērošanu.

64

Tādējādi – kā secinājumu 137. punktā būtībā norāda ģenerāladvokāts – gadījumā, ja dalībvalsts izvēlas izveidot tikai vienu uzraudzības iestādi, tā noteikti ir apveltīta ar visām kompetencēm, kas uzraudzības iestādēm ir piešķirtas VDAR.

65

Jebkura citāda interpretācija apdraudētu VDAR 55. panta 1. punkta un 77. panta 1. punkta lietderīgo iedarbību un draudētu vājināt lietderīgo iedarbību visām pārējām šīs regulas normām, uz kurām varētu attiekties sūdzība.

66

Turklāt, kad Savienības likumdevējs ir vēlējies ierobežot uzraudzības iestāžu kompetenci publisko iestāžu veikto apstrādes darbību uzraudzības jomā, tas to ir darījis skaidri; tas redzams, piemēram, VDAR 55. panta 3. punktā, kas noteic, ka šo iestāžu kompetencē nav uzraudzīt apstrādes darbības, ko veic tiesas, īstenojot judikatīvo funkciju.

67

Datenschutzbehörde, Nacionālās padomes priekšsēdētājs un Austrijas valdība norāda, ka Austrijas konstitucionāla ranga tiesību normas aizliedz izpildvarai īstenot jebkādu kontroli pār likumdošanas varu. Tādējādi šīs normas izslēdzot iespēju izpildvarai pakļautajai Datenschutzbehörde uzraudzīt to, kā VDAR piemēro BVT izmeklēšanas komisija, kas ir likumdošanas varai piederīgs orgāns.

68

Tomēr šajā gadījumā, tieši ievērojot dalībvalstu konstitucionālo iekārtu, VDAR 51. panta 1. punktā ir vienīgi prasīts, lai dalībvalstis izveidotu vismaz vienu uzraudzības iestādi, vienlaikus ļaujot tām izveidot vairākas uzraudzības iestādes. Turklāt šīs regulas 117. apsvērumā ir precizēts, ka dalībvalstīm būtu jāspēj izveidot vairāk nekā vienu uzraudzības iestādi atbilstoši valsts konstitucionālajai, organizatoriskajai vai administratīvajai uzbūvei.

69

Tādējādi VDAR 51. panta 1. punktā katrai dalībvalstij ir atzīta rīcības brīvība, kas tai ļauj izveidot tik daudz uzraudzības iestāžu, cik tas var būt nepieciešams, it īpaši ņemot vērā prasības, kas saistītas ar tās konstitucionālo iekārtu.

70

Jāatgādina arī, ka dalībvalsts atsaukšanās uz valsts tiesību normām nevar apdraudēt Savienības tiesību vienotību un efektivitāti. Proti, Savienības tiesību pārākuma principam piemītošās sekas ir saistošas visām dalībvalsts iestādēm, un valsts tiesību normas, tostarp konstitucionāla rakstura, nevar tam radīt šķērsli (spriedums, 2022. gada 22. februāris, RS (Konstitucionālās tiesas spriedumu iedarbība), C‑430/21, EU:C:2022:99, 51. punkts un tajā minētā judikatūra).

71

Situācijā, kad savas rīcības brīvības ietvaros dalībvalsts ir izvēlējusies izveidot tikai vienu uzraudzības iestādi, tā nevar no šīs iestādes uzraudzības atbrīvot VDAR piemērošanas jomā ietilpstošu personas datu apstrādi, atsaucoties uz valsts tiesību normām, pat ja tām ir konstitucionāls rangs.

72

Ņemot vērā iepriekš minēto, uz trešo jautājumu ir atbildams, ka VDAR 77. panta 1. punkts un 55. panta 1. punkts ir jāinterpretē tādējādi, ka situācijā, kad dalībvalsts saskaņā ar šīs regulas 51. panta 1. punktu ir izvēlējusies izveidot tikai vienu uzraudzības iestādi, tomēr nepiešķirot tai kompetenci uzraudzīt to, kā minēto regulu piemēro izmeklēšanas komisija, ko šīs dalībvalsts parlaments izveidojis, izmantojot savas tiesības īstenot kontroli pār izpildvaru, šīs tiesību normas tieši piešķir šai iestādei kompetenci izskatīt sūdzības par minētās izmeklēšanas komisijas veikto personas datu apstrādi.

73

Attiecībā uz pamatlietas pusēm šī tiesvedība izriet no tiesvedības, kas notiek iesniedzējtiesā, tāpēc tā lemj par tiesāšanās izdevumiem. Izdevumi, kas radušies, iesniedzot apsvērumus Tiesai, un kas nav minēto pušu izdevumi, nav atlīdzināmi.

Ar šādu pamatojumu Tiesa (virspalāta) nospriež: